HowTo: Router

OpenStack Router – Einführung und Funktionsumfang

In einer OpenStack-Cloud übernehmen Router eine zentrale Rolle bei der Vernetzung von Projektnetzwerken (Tenant Networks) mit der Außenwelt. Sie bilden die Schnittstelle zwischen internen, privaten Netzwerken und externen Netzwerken (z. B. dem Internet oder einem Provider-Netzwerk). Der Router ist Bestandteil des OpenStack-Neutron-Dienstes, der die gesamte Netzwerkverwaltung innerhalb der Cloud steuert.

Grundprinzip

Ein OpenStack-Router verbindet ein oder mehrere interne Subnetze mit einem externen Netzwerk. Dabei fungiert er als Layer-3-Gerät, das IP-Routing, NAT (Network Address Translation) und Floating-IP-Zuweisungen ermöglicht. So können virtuelle Maschinen (Instanzen) aus privaten Netzwerken heraus auf externe Ressourcen zugreifen – und umgekehrt, falls gewünscht.

In Openstack unterscheidet man zwischen externen und internen Routern. Mit externen Routern kann eine Verbindung zum Internet hergestellt werden, hierzu wird beim erstellen des Routers das "External Network" angegeben. Anschließend können die VMs über SNAT ins Internet. Interne Router dienen der Vernetzung zwischen Openstack internen Netzwerken oder Peering Ports. Mit internen Routern ohne "External Network" können VM-Netzwerke oder Housing Geräte über ein Transfernetzwerk angebunden werden.

Wichtige Funktionen

Routing zwischen privaten Netzwerken OpenStack-Router ermöglichen die Kommunikation zwischen mehreren privaten Netzwerken innerhalb desselben Projekts. Sie übernehmen das Routing auf IP-Ebene und erlauben so, dass Instanzen in unterschiedlichen Subnetzen miteinander kommunizieren können.
Verbindung zu externen Netzwerken Durch das Anbinden eines externen Netzwerks wird der Router zum Gateway für den ausgehenden Datenverkehr (North-South-Traffic). So erhalten Instanzen z. B. über NAT Zugriff auf das Internet.
Network Address Translation (NAT) Der Router übersetzt private IP-Adressen in öffentliche, wenn Instanzen nach außen kommunizieren. Dies ist die Grundlage für sicheren Internetzugang aus privaten Cloud-Netzen.
Floating IPs Über Floating-IP-Adressen kann einzelnen Instanzen eine öffentliche IP zugewiesen werden. Der Router leitet eingehenden Traffic auf die entsprechende interne IP weiter. So lassen sich bestimmte Dienste gezielt von außen erreichbar machen.
Sicherheits- und Policy-Funktionen OpenStack-Router arbeiten eng mit Security Groups und Firewall-Regeln (z. B. über Neutron FWaaS) zusammen, um den Datenverkehr zu filtern und den Zugriff zu kontrollieren.
Hochverfügbarkeit
Router sind Plattformkomponenten und werden als HA-Cluster gestartet und sind damit gegen Serverausfälle abgesichert. Router werden über die OpenStack Plattform bereitgestellt und benötigten keine Wartung seitens des Kunden.

Anwendungsbeispiel

Ein typisches Szenario: Ein Projekt besitzt zwei interne Netzwerke (vm-network und dmz-network). Beide werden über denselben OpenStack-Router miteinander und über das externe Netzwerk verbunden. Dadurch können VMs untereinander kommunizieren und gleichzeitig über NAT oder Floating-IPs das Internet erreichen.

Router einrichten

In dem Beispiel gehen wir davon aus, dass in der OpenCloud zwei Netzwerke vm-networkund dmz-networkangelegt wurden und diese mit einem Router verbunden werden sollen.

via Horizon

Router hinzufügen

In Horizon kann dies über die Menüs "Network -> Routers" erfolgen

über Schritt eins und zwei können die Router aufgerufen werden

Um einen neuen Router anzulegen (Schritt 3) muss ein Router Name vergeben werden. Soll ein externer Router erstellt werden, der mit dem Internet verbunden ist, muss ein "External Network" angeben werden. Über diesen Router können die VMs anschließend in Internet gelangen.

Hier unterscheiden wir zwischen WAN-Default - Internet ohne DDoS Schutz und einem Netzwerk mit besonderem DDoS Schutz für den Traffic der VMs.

📘
Wir bieten ein DDoS-Protected Netzwerk an, mit dem Ihre VMs aktiv von DDoS-Angriffen geschützt werden. https://kb.telemaxx.de/docs/opencloud-internet-network-public-ipv4-ipv6#floating-ip-mit-ddos-protect-ondemand

Netzwerke mit Router verbinden

Nachdem der Router erstellt wurde können nun unsere Netzwerke verlinkt werden. Unser neuer Router "r2" hat noch keine verbundenen Netze.

Project -> Network -> Network Topology

Nach einem klick auf das Router "r2" Symbol öffnet sich ein Menü zum bearbeiten der zu verlinkenden Interfaces. Über "Add Interface" kann das zuverlinkende Subnetz ausgewählt werden.

Nachdem das passende Netzwerk ausgewählt wurde auf Submit drücken.

In der Übersicht erscheint nun die neue Verbindung.

via CLI

Beispielshaft die Schritte die notwenig sind um einen Router zu erstellen und mit dem Subnetz vm-network zu verbinden.

Gleiches Vorgehen wir beim anlegen in Horizon. Es muss ein Router mit externen GW erstellt werden und Subnetz aus dem VM-Network an den Router gehängt werden.

openstack router create r2 --external-gateway WAN-Default # externen Router "r2" erstellen
openstack subnet list # Subnetz zum verlinken auflisten
openstack router add subnet r2 <SUBNET_ID>