Nova → KubeVirt
Las instancias son VirtualMachines; CDI importa las imágenes
Más informaciónArquitectura
Vista general
Clientes, API Go, workers y agentes, infraestructura compartida, operadores, la plataforma Kubernetes y los sistemas externos.
Servicios, datos y plataforma
Pantalla completaNo reescribir lo que es complejo
Cada servicio se apoya en un componente Kubernetes probado; Ironic es la excepción: Python upstream en un chart de OpenKeel.
Cinder → CSI de bloque
Los volúmenes son PVC sobre cualquier CSI de bloque: Rook-Ceph, Longhorn, NetApp, Dorado, Pure
Más informaciónManila → NFS-Ganesha
Gateway NFS creado bajo demanda en la red del tenant, sobre un volumen CSI de bloque
Más informaciónNeutron → OVN
Red de VM aislada de la red de Kubernetes (Multus)
Más informaciónSwift / S3 → Ceph
Rook-Ceph y su gateway RGW
Más informaciónDesignate → ExternalDNS
Zonas y registros publicados por ExternalDNS
Más informaciónMasakari → Medik8s
Node Healthcheck y Self Node Remediation
Más informaciónIronic sigue en Python
Demasiadas configuraciones de hardware que probar
Más informaciónAislamiento de tenants: los caminos cerrados
Una VM no tiene ninguna interfaz en la red CNI de Kubernetes: cada NIC se conecta a su propio puerto Neutron en el OVN de OpenKeel. Una protección instalada por el plugin CNI cierra los caminos a través de los namespaces que comparte.
| Ruta | Por qué está cerrado |
|---|---|
| Del invitado a otra red de tenant | La única salida del tap es el bridge dentro del Pod y el veth hacia br-int; ovn-controller lo asocia a un puerto lógico. Los demás switches solo son accesibles a través de un router Neutron |
| Del invitado a la red de Pods, al nodo, a los Services del clúster | Ninguna interfaz del invitado los toca y la protección cierra el camino a través de los namespaces compartidos |
| MAC o IP suplantada | port_security del puerto lógico, escrito por Neutron |
| Puerto de otro proyecto | Un proyecto no puede crear ni Pods ni NAD; solo el rol service puede vincular un puerto |
Fuente: openkeel-neutron/docs/VM-NETWORKING.md (§ Tenant isolation). make test-cni reproduce el ataque en namespaces reales, con y sin la protección.