作者：张华 发表于：2015-07-01版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明( http://blog.csdn.net/quqi99)DragonFlow的部署图如下：在计算节点上要安装DragonFlow L2 Agent, 在网络节点上安装DragonFlow L3 Controler Agent, 后者会通过调用Ryu openflow控制器的为每一个计算节点上的openvswith/datapath安装下图流规则（Ryu入门教程：http://www.sdnlab.com/1785.html）：每个虚机出来的流量经过qvb接口进入br-int网桥后都会将seg_id设置到流规则里的metadata里，显然，不同的子网就会有不同的seg_id, 再结合destination ip就可以判断是L2还是L3流量，在这里：1, 对于ARP流量，会通过table 51有ARP响应2, table 52表用于识别所有可能形式的东西向流量， 在计算节点上会控制南北向流量与东西向流量走不同的port出去。东西向流量这里可以替代DVR特性。3, table 53用于处理南北向流量, 南北向流量走集中节点。这些流详细的解释可以参见文档：http://blog.gampel.net/2015/01/dragonflow-sdn-based-d ...继续阅读 (91)

作者：张华 发表于：2015-06-27版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明( http://blog.csdn.net/quqi99)libvirt是支持设置密码来保护vnc session的，但下面的代码显示nova不支持，if ((CONF.vnc_enabled and virt_type not in ('lxc', 'uml'))):graphics = vconfig.LibvirtConfigGuestGraphics()graphics.type = "vnc"graphics.keymap = CONF.vnc_keymapgraphics.listen = CONF.vncserver_listenguest.add_device(graphics)add_video_driver = True添加代码蛮简单，提交了代码还得backport，算了太麻烦了，这也不是一个bug，算是一个feature enhancemment, 还是优先级workaround吧。通过在计算节点加iptables规则block所以对计算节点进行vnc请求的流量，但放开novnc过来的访问流量。iptables -A INPUT -p tcp ! -s 10.5.0.67 --sport 6080 -m multiport --dp ...继续阅读 (71)

作者：张华 发表于：2015-06-27版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明(http://blog.csdn.net/quqi99 )硬件：a, 树莓派，http://item.taobao.com/item.htm?spm=a1z09.2.9.12.oxZiLy&id;=43751062868&_u=ra7bk59d7bb, 树莓派的盒子，http://item.taobao.com/item.htm?spm=a1z09.2.9.28.oxZiLy&id;=45552077444&_u=ra7bk5744cc, 带开关的电源，http://item.taobao.com/item.htm?spm=a1z09.2.9.22.oxZiLy&id;=39042028287&_u=ra7bk527f6d, HDMI线，http://item.jd.com/767032.htmle, 存储卡，http://item.jd.com/679773.htmlf, 带HDMI口的电视1, 镜像，https://www.raspberrypi.org/downloads/ XBMC需要GPU硬件加速, 硬件加速需要MPEG和VC-1的licenses，那是要花钱的（http://www.raspberrypi.com/license-keys ...继续阅读 (249)

作者：张华 发表于：2015-06-15版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明(http://blog.csdn.net/quqi99 )Percona Xtradb Cluster是一个active/active mysql集群，其架构如下图所示：每个节点都包含完整的数据副本，任何节点均可查询，通过组通信框架在集群节点间复制。推荐配置是至少3个节点，但也可以运行在2个节点上。它这种集群和tomcat广播式的session复制差不多，它也是广播式的，写操作将发生在所有节点上，记得当年我在从事Java应用服务器中间件的研发时测出来的这种广播式的集群复制模式7个节点是一个临界点，多于7个节点由于广播数据巨大性能做急剧下降。单机模式部署如下：apt-get purge --auto-remove mysql*apt-get update && apt-cache search perconaapt-get install percona-xtradb-cluster-server percona-xtradb-cluster-client$ mysql -uroot -ppassword -hlocalhost集体模式部署请参见下列链接：https://www.percona.com/doc/percona-xtradb-cluster/ ...继续阅读 (95)

作者：张华 发表于：2015-06-10版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明(http://blog.csdn.net/quqi99)1, /etc/neutron/neutron.confservice_plugins = router,meteringnotification_driver=neutron.openstack.common.notifier.rpc_notifier2, /etc/neutron/metering_agent.inidebug = Truedriver = neutron.services.metering.drivers.iptables.iptables_driver.IptablesMeteringDrivermeasure_interval = 10report_interval = 3330interface_driver = neutron.agent.linux.interface.OVSInterfaceDriveruse_namespaces = True3, restart neutron-server and neutron-metering-agentneutron meter-label-rule-create outgoingnet 10.8.0.0/24 --dir ...继续阅读 (203)

在代码中我们常常需要在普通用户下以root用户免密码运行一些命令，例如：sudo neutron-rootwrap /etc/neutron/rootwrap.conf ip netns exec qrouter-d5943aab-4110-4856-bfd5-fb6cea4ee09b neutron-netns-wrapper --mount_paths=/etc:/tmp/tmpdQuMgD/tmpCKrcBq/ipsec/d5943aab-4110-4856-bfd5-fb6cea4ee09b/etc,/var/run:/tmp/tmpdQuMgD/tmpCKrcBq/ipsec/d5943aab-4110-4856-bfd5-fb6cea4ee09b/var/run --cmd=ipsec,statusNeutron是这样实现的，首先它定义了一个sudoer文件。$ sudo cat /etc/sudoers.d/neutron-rootwraphua ALL=(root) NOPASSWD: /usr/local/bin/neutron-rootwrap /etc/neutron/rootwrap.conf *在/etc/neutron/rootwrap.conf文件中定义了filters_path参数指明哪个目录下列举的命令需要以root执行:filters_path ...继续阅读 (80)

作者：张华 发表于：2015-06-03版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明(http://blog.csdn.net/quqi99)AMQP概念通过消息机制，可以实现数据传输，非阻塞型操作，推送通知，发布/订阅，异步处理，work队列。AMQP当中有四个概念非常重要：虚拟主机（virtual host），交换机（exchange），队列（queue）和绑定（binding）。virutal host相当于namespace，用于不同tenant之间的exchange, queue, binding的隔离。Queue队列, 每个消息都会被投入到一个或多个队列。消息就一直在里面，直到有客户端（也就是消费者，Consumer）连接到这个队列并且将其取走为止。队列是由消费者（Consumer）通过程序建立的，不是通过配置文件或者命令行工具。Binding绑定, 它的作用就是把exchange和queue按照路由规则绑定起来。Routing_Key路由关键字：exchange根据这个关键字进行消息投递。Channele消息通道：在客户端的每个连接里，可建立多个channel，每个channel代表一个会话任务。Exchange交换机，对消息进行路由，当收到Publisher传递给它的消息后，Excahnge会根据路由键routing_ke ...继续阅读 (100)

作者：张华 发表于：2015-06-03版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明(http://blog.csdn.net/quqi99)用户系统一般分为用户认证与授权两大问题。keystone用一个SQL backend用作认证，它不是一个好的认证系统。一般用户的密码被存储成MD5存储在DB里，但用户仍然需要输入clear text password去keystone server认证，所以这中间需要配置SSL/TLS来保护密码。但是这样有可能由一个恶意的keystone管理员修改keystone或者从内存中得到用户的clear text password。所以基于密码的认证系统一般会对密码的强度、修改周期等做一些强制规定，但keystone没有做这些事情。Keystone + LDAP可以代替Keystone + SQL来解决这个问题。大多数user和group信息是存储在中心化的LDAP服务器里。但是问题依旧，现有的keystone LDAP backend仍然将明文密码发给LDAP端，然后LDAP将密码转成MD5值去比较。所以Keystone与LDAP之间也应该通过SASL加密密码传输。遗憾的是，目前rabbitmq或LDAP都支持SASL，但keystone本身是不支持SASL的。Keystone也支持通过设置REMOTE_ ...继续阅读 (471)

好久没用windows了，今天打开居然浏览器上不了网，经检查所有网络连接都是好的，浏览器的网络设置也是没有问题的。为什么呢？运行cmd命令行，输入netsh，进入netsh的提示界面，输入winsock reset命令解决问题。 ...继续阅读 (86)

作者：张华 发表于：2015-05-07版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明(http://blog.csdn.net/quqi99)一，为什么虚机ping不通虚拟所在的tap设一种可能是虚机的MAC地址和其他的重复了，可使用arp命令查看。第二种可能就是ebtables， 可使用ebtables -t nat -L命令检查。# ebtables -t nat -LBridge table: natBridge chain: PREROUTING, entries: 1, policy: ACCEPT-i tapc8f2fe4d-7f -j libvirt-I-tapc8f2fe4d-7fBridge chain: OUTPUT, entries: 0, policy: ACCEPTBridge chain: POSTROUTING, entries: 1, policy: ACCEPT-o tapc8f2fe4d-7f -j libvirt-O-tapc8f2fe4d-7fBridge chain: libvirt-I-tapc8f2fe4d-7f, entries: 1, policy: ACCEPT-j DROPBridge chain: libvirt-O-tapc8f2fe4d-7f, entries: 1, polic ...继续阅读 (115)

作者：张华 发表于：2015-05-05版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明(http://blog.csdn.net/quqi99)这篇文章《第三层交换机和路由器的区别》比较好，http://www.cnblogs.com/shengansong/archive/2012/05/06/2485571.html三层交换机在对第一个数据流进行路由后，它将会产生一个MAC地址与IP地址的映射表，当同样的数据流再次通过时，将根据此表直接从二层通过而不是再次路由器， 所以三层交换机通过简单的地址学习具备了简单的三层功能。路由器的转发采用最长匹配的方式，实现复杂，通常使用软件来实现。而三层交换机的路由查找是针对流的，它利用CACHE技术，很容易采用ASIC实现，因此，可以大大节约成本，并实现快速转发。OCP全称是Open Computer Project，是Facebook发起并主导的一个硬件开源组织。它的关注点主要在这些方面：存储设备、服务器主板、服务器机柜、虚拟I/O、硬件驱动管理、数据中心基础架构设计，他们期望能够把涉及其中的硬件尽量标准化，订单交出去，随便一个代工厂都可以生产。现在轮到了对三层交换机的硬件进行标准化。ONIE软件其实是一个比较智能的bootloader(相当于PC中的BIOS，但是比BIOS功能更多一些)，用来安装和 ...继续阅读 (95)

作者：张华 发表于：2015-05-05版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明(http://blog.csdn.net/quqi99)人啊，总要不断地与记忆作斗争。1, 加-g参数编译可执行性文件, 如果没有-g，你将看不见程序的函数名、变量名，所代替的全是运行时的内存地址。cc -g test.c -o test静态检查程序错误，splint test.c单元测试可使用CUnit, gcc -o test.o -I /usr/local/include/CUnit -L /usr/local/lib/ -g testcase.c -l cunit ./test.o2, 启动gdb, gdb test启动GDB的方法有以下几种：a、gdbprogram也就是你的执行文件，一般在当然目录下。b、gdbcore用gdb同时调试一个运行程序和core文件，core是程序非法执行后core dump后产生的文件。如果产生coredump呢？ 需要执ulimit -c unlimited才可以(缺省是coredump文件大小是0字节所以它不生成）。并不是所有的异常都会生成coredump文件，附录1是一个运行异常时会产生coredump文件的例子。运行后coredump文件产生在当前文件夹的core文件中。分析它： gdb ./test . ...继续阅读 (123)

作者：张华 发表于：2015-04-17版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明(http://blog.csdn.net/quqi99)UpStart, 用于动态可插拨服务，基于事件机制，主要概念是job和event，等待event的到来，然后执行一个job.job可以是task job（定时任务）, service job（后台服务进程）, abstract job(内部使用）三种。job按其他分类方法也可以分为session job(用户会话，即用户从远客或本地登入直到退出），system job（系统的初始化，如挂载文件）。job是有生命周期的, starting, pre-start, spawned, post-start, running, pre-stop, stoping, killed, post-stop, 其中仅有starting, started, stopping, stopped四个状态会引发init进程发送相应的event.event分为三类，signal(非阻塞异步的）， methods(阻塞同步的），hooks(阻塞同步，调用发出hooks事件的进程必须等待事件完成才可以得到控制权，但不检查事件是否成功）。job的配置文件位于/etc/init目录，如/etc/init/mysql.confD-Bu ...继续阅读 (70)

作者：张华 发表于：2015-03-18版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明(http://blog.csdn.net/quqi99)1, use root account to add sudo access for common account.STACK_USER=`whoami`echo "$STACK_USER ALL=(ALL) NOPASSWD: ALL" >> /etc/sudoers2, configure correct localeexport LANGUAGE=en_US.UTF-8export LANG=en_US.UTF-8export LC_ALL=en_US.UTF-8locale-gen en_US.UTF-8sudo dpkg-reconfigure locales3, install gitsudo apt-get install git4, use common account to create rsa key if that was not generated before.ssh-keygen -t rsa5, for ubuntu 14.10 use 'sudo start apparmor ACTION=reload', for 14.04 use 'sudo service ap ...继续阅读 (72)

作者：张华 发表于：2015-03-12版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明(http://blog.csdn.net/quqi99)A layer two VPN tunnel connects broadcast domains, not subnets. Also, tunneling the same subnet in different namespaces does not magically convert the layer three VPN to a layer two VPN.1, Use devstack to install a all-in-one openstack env with strongswan driver in 5 minutes.NOTE:a, Only supports ubuntu 14.04 now, devstack will help us disable apparmor in 14.04 by the following commands:sudo ln -sf /etc/apparmor.d/usr.lib.ipsec.charon /etc/apparmor.d/disable/sudo ln -sf /etc/apparmor.d/usr.lib.ipsec.st ...继续阅读 (63)

作者：张华 发表于：2014-02-02版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明(http://blog.csdn.net/quqi99)在我的印象中，每当我急切地想用devstack快速地搭起一个openstack环境去修改一些急迫的issue时，一般就不会很顺利，多半都是python模块发生冲突。这不，你会发现这两天的devstack（2015年2月2日）100%会运行失败的，不是少这个模块就是缺那个模块。已经在这上面花费两天时间了，定位到应该是这个BP造成的（http://specs.openstack.org/openstack/oslo-specs/specs/kilo/drop-namespace-packages.html）， 它说oslo这个名空间容易发生冲突，它的思想是将“from oslo.foo import bar”换成“from oslo_foo import bar”。但究竟是为什么，它没说清楚。1, 创建两个实验用的python模块mkdir -p pkg1/ns/pkg1 pkg2/ns/pkg2echo "from setuptools import setup, find_packages; setup(name='pkg1', packages=find_packages(), namespace ...继续阅读 (458)

作者：张华 发表于：2014-01-24版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明(http://blog.csdn.net/quqi99)chroot, 切换根文件系统并运行进程 (mount --rbind / /chroot && chroot /chroot $application )mount --bind /etc /tmp/test/etc 允许从任何其他位置访问任何文件或目录,它与mount namespace的区别是, /etc仍然对所有进程可见。它从Linux 2.4版本之后。mount namespace,让挂载点在各个进程之间隔离。一个进程不能看到其他进程的挂载点，实现真正的安全。它能实现上述chroot和mount --bind的功能，但比它们更灵活。它能真正做到对真正根目录下的子目录做共享、独享（也就是将拥有一个子目录的副本）。它从Linux 3.8版本之后。net namespace是从Linux 3.0版本之后。clone一个进程时也会为这个进程clone一份文件系统，并且这些clone的文件系统之间是相互隔离的，也就是说，在clone的文件系统里做mount操作不会影响到其他clone里的文件系统。这种完全隔离会造成问题，如：进程克隆了系统的文件系统名称空间之后，已经运行的系统守护进程无法为这个用户 ...继续阅读 (299)

作者：张华 发表于：2014-01-16版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明(http://blog.csdn.net/quqi99)OpenvSwitch OVN在本月（2015年1月）发布，它将tenant的概念引入openvswitch正式将手伸向neutron的地盘提供对L2/L3网络虚拟化的支持（logical switches, distributed logical l3 processing, software and hardware gateway, in-kernel based security groups, and L2/L3/L4 ACLs, tunnel-based[VXLAN, NVGRE, Geneve, STT, IPSec]). 看样子，neutron及openstack最好的归宿就是将精力集中在微内核，提供北向API，建立生态，外围的像这，像Service Framework都交给第三方去做。其架构如下, ovn-controller相当于neutron中的l2/l3 agents，它运行在每一个hypervisor上，直接通过opflow协议在南向和ovs-vswitched打交道。ovn database相当于neutron db。OVN Database||(OVSDB Protoc ...继续阅读 (258)

作者：张华 发表于：2014-01-15版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明(http://blog.csdn.net/quqi99)在Neutron中，在L2层有ML2, 在L4/L7层有LBaaS, FWaaS, VPNaaS, 没有一个从L2/L7层统一的服务框架。而网络服务在L2/L7层是都有的，例如：1, FWaaS应该和网络节点在一块2, LBaaS可能就不是一定需要和网络节点在一块，那么安装Haproxy的虚机就必须有两个port (新类型，ServiceInterface)，一个port能访问子网的网关，一个port能访问要做LB的其他虚机3, 像TapaaS，是在port前面拦一下，可以做port mirror或者port monitoring, 这个可是L2层。另一方面，这些网络服务之间可能需要是有序的（用例：一个tenant下的两个networks, 一个network里有FWaaS, 一个network里有LBaaS,现在要求他们有序）主要基于上述两大原因，出现了一系列的变种BPs.1, Service Insertion, 在原有的Neutron Service Type的代码之上扩展serviceBase来实现，本质在于在每个network的边界neutron port处再插入service port, ...继续阅读 (362)

作者：张华 发表于：2014-01-08版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明(http://blog.csdn.net/quqi99)把这些技术(OpenStack, Neutron, Deis, flynn, coatine, Solum, Kolla, Kubernets, Rudder, CoreOS, OVs等）比较来比较去，最后还是感觉OpenStack + OpenStack Solum是离我心目中的Cloud长得最像的项目。路漫漫其修远兮啊。心目中的Cloud:1, 提供IaaS功能，支持同时提供Container, VM, BareMetal, OSv2, 提供PaaS功能，既支持对单个应用全生命周期的管理，也支持对Bundle全生命周期的管理。3, 良好的网络支持， 目前开源NaaS里Neutron应该算是对网络支持最好的。4, 一个好的框架，如很容易的扩展对应用负载感知的调度实现，如其他监控等必要的组件。所以OpenStack在这方面也还是蛮有优势的，不管它有些组件成不成熟，起码它有，起码提供了一个好的框架让你去扩展。OpenStack相比其他云的优势：1, 框架好，基本架子都搭好了。像ceilometer, keystone等很多完整云必备的因素先不管它实现的好不好，起码它有，不必重新发明轮子，如果使用别的如 ...继续阅读 (90)

作者：张华 发表于：2014-12-31版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明(http://blog.csdn.net/quqi99)你有没有发现有时候想顺利地更新openstack代码是一项非常耗时的挑战，那就用简单有效便宜的ssh遂道吧（使用三层路由的vpn不像上层的ssh那样方便控制，使用远程dns也麻烦）。第一步，通过ssh帐户创建一个socket 5的代理，ssh -l-fN -o ServerAliveInterval=30 -o ServerAliveCountMax=1 -D 7070支持socket5代理的软件就都可以用了，如QQ。若是firefox建议安装autoproxy插件用起来更方便一些，记得把远程dns的勾勾上。android上可以安装sshtunnel。剩下的步骤就都是可选的了。第二步，[可选], 如果是一般的不支持socket5的应用程序（如git)怎么办？ 例如，想通过git访问https://协议的git库（https://review.openstack.org/p/openstack-dev/devstack）。那就再用polipo配置一个http/https代理。sudo apt-get install poliposudo polipo socksProxyType=socks5 soc ...继续阅读 (100)

作者：张华 发表于：2014-12-29版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明(http://blog.csdn.net/quqi99)classTestVPNAgent(base.BaseTestCase):device_driver = NOOP_DEVICEdef setUp(self):super(TestVPNAgent, self).setUp()self.conf = cfg.CONFself.conf.set_override('vpn_device_driver', [self.device_driver],'vpnagent')self.agent= agent.VPNAgent('fake_host')classTestVPNAgent2(functional_base.BaseSudoTestCase, test_vpn_agent.TestVPNAgent):device_driver = STRONGSWAN_DEVICEdef setUp(self):super(TestVPNAgent, self).setUp()print self.agentself.addCleanup里传的应该是函数指针, 要传参数写到后面self.addCleanup(self.agent._router_removed, ...继续阅读 (66)

作者：张华 发表于：2014-12-25版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明(http://blog.csdn.net/quqi99)前天下午大脑高速运转地写了5个小时的文档，起码也有几十页吧，实际上我的习惯还是蛮好的，我一般写文档的时候会时不时地按ctrl+s来保存文档。因为我日常工作学习使用的是ubuntu 14.10, 用libreoffice吧插图的时候是悬浮的，所以安装了金山的wps linux版。但写着写着，不知道什么原因忽然wps全屏了显示全错乱了，所以需要关闭wps再重新打开，这时候我又习惯很好的特意把文件拷贝到其他目录备份了一下（实际上我写这个文档也是用git管理了的，因为我想多写一点了再git push，所以那时还未做到git push操作)，结果关闭wps之后，噩梦开始了，再打开全是空的，备份的文件也是空的，再看文件大小全只有十几K。无缘无故的数据就全没有了，当时那个心情啊糟糕到了极点。当天晚上要重新趁热打铁继续趁着还有记忆重新写一遍，但实在太累了，之前是一气呵成写的，但那时却一点也回忆不起来了，头脑全是空白的，作罢。今天上午，又实在不甘心啊，google了很多wps数据恢复的方法，有的说在恢复管理里能找到自动备份的文件，但是我打开之后什么也没有，点那儿的"Open Backup Folder"也什么都没有。 ...继续阅读 (64)