OpenKeel: la soluzione Cloud sovrana, francese e di portata europea, del gruppo inherent Scopri inherent
Componenti · Rete
VPN IPsec site-to-site: IKE, policy IPsec, connessioni.
OpenKeel implementation in Go of OpenStack neutron-vpnaas on the OVN path, generated from the reverse-specification of branch stable/2026.2 by the generate-go-from-spec skill. neutron-vpnaas-api serves the VPN API (/v2.0/vpn and the agent scheduler) and replaces the ovn-vpnaas service plugin and its driver: same routes, status codes, error bodies and policies, same tables. neutron-vpnaas-agent replaces neutron-ovn-vpn-agent: it runs strongSwan, the original's daemon, in one qvpn-<router> namespace per router. It runs beside openkeel-neutron, on its database and its OVN; clients reach it through a proxy in openkeel-neutron: see docs/NEUTRON-INTEGRATION.md. What is reproduced and what differs is in docs/CONFORMANCE.md; the security checklist is in docs/SECURITY.md.
github.com/openkeel/openkeel-neutron-vpnaasneutron-vpnaas-api (API on port 9696, agent API on 9697, health and metrics on 9090), neutron-vpnaas-agent (health on 9091; needs Linux, root and strongSwan: Dockerfile.agent)Estratto da openkeel-neutron-vpnaas/README.md (in inglese).
35 operazioni dell'API REST originale (route e azioni nel corpo) e il loro stato in OpenKeel.
Gli scambi registrati del profilo OVN vengono riprodotti sul servizio Go, la generazione della configurazione viene confrontata con i template originali e tunnel IPsec reali vengono attivati end-to-end.
Gli scambi VPNaaS registrati serviti da questo servizio restituiscono le stesse risposte; quelli serviti da Neutron vengono verificati sullo stack reale.
make e2e-strict, su go-mysql-server e su MariaDB 11.4.
Ultimo risultato 84 riprodotti, 84 superati (2026-10-31); 25 dei 108 scambi registrati appartengono a Neutron o non sono più applicabili.
Fonte: openkeel-neutron-vpnaas/docs/CONFORMANCE.md
La configurazione di strongSwan corrisponde ai template jinja2 originali per ogni gruppo e algoritmo dell'API.
tools/gen_render_vectors.py, 50 vettori ricavati dai template originali.
Ultimo risultato 50 / 50, a parte le righe vuote (2026-10-31).
Fonte: openkeel-neutron-vpnaas/docs/CONFORMANCE.md
IKEv1 e IKEv2 con AES-GCM, ping attraverso ESP, admin down e up, demone terminato e riavviato, rimozione.
make tunnel-test: strongSwan 5.9.13 su entrambi i lati, XFRM reale del kernel.
Ultimo risultato Superato, 2 esecuzioni sul codice finale (2026-10-31).
Fonte: openkeel-neutron-vpnaas/docs/CONFORMANCE.md
Tramite il proxy di Neutron, una porta di tenant esegue il ping di una subnet dietro un peer strongSwan, attraverso il router OVN e il tunnel.
make stack-test: openkeel-neutron, ovsdb-server, ovn-northd, ovn-controller, OVS, MariaDB, l'immagine dell'agente.
Ultimo risultato Superato, 2 esecuzioni sul codice finale (2026-10-31).
Fonte: openkeel-neutron-vpnaas/docs/CONFORMANCE.md
Le operazioni VPN restano coerenti quando le richieste arrivano da tre nodi Galera.
make galera-test su un cluster a 3 nodi.
Ultimo risultato 3 test superati, 5 esecuzioni su 5 (2026-10-31).
Fonte: openkeel-neutron-vpnaas/docs/CONFORMANCE.md
I test API e di scenario VPNaaS upstream.
Richiede un cloud distribuito.
Ultimo risultato Non eseguito.
Fonte: openkeel-neutron-vpnaas/docs/CONFORMANCE.md
VPNaaS mantiene la sua API con un unico driver strongSwan su OVN, senza Libreswan, il vecchio percorso L3, rootwrap né RabbitMQ.
Non sono obiettivi del rewrite; viene fornito un solo driver, strongSwan in un namespace per router sullo chassis OVN.
Le connessioni IPsec site-to-site si creano tramite la stessa API; i deployment che si basavano su comportamenti specifici di Libreswan non li ritrovano.
Fonte: openkeel-neutron-vpnaas/config/dropped-options.md
L'agente interroga ogni 5 secondi un'API degli agenti con ETag anziché usare topic RPC; nessun servizio OpenKeel utilizzava le notifiche vpn_agent.
Nessun aggiornamento può andare perso, al prezzo di un ritardo fino a 5 s. Le notifiche diventano righe di log.
Fonte: openkeel-neutron-vpnaas/docs/CONFORMANCE.md
Gestito da Kubernetes DaemonSet
L'agente pilota OVS direttamente e gira nel suo container con i privilegi di cui ha bisogno.
Stessi namespace, porte e comandi strongSwan sul nodo; nessun filtro rootwrap da mantenere.
Fonte: openkeel-neutron-vpnaas/config/dropped-options.md
Qui è elencato solo ciò che è stato escluso per scelta progettuale; il lavoro non ancora svolto si trova nei Known gaps del docs/CONFORMANCE.md del modulo. Tutti i moduli
Vista del servizio generata dalla skill dei diagrammi a partire dal modello OpenKeel.
Schermo intero| Da | A | Protocollo | Cosa |
|---|---|---|---|
| Neutron server | Neutron VPNaaS | API REST | proxy /v2.0/vpn/*, vpn-agents, same token |
| Neutron VPNaaS | Neutron server | API REST | core and L3 calls: gateway ports, routes |
| Neutron VPNaaS | OVN Southbound DB | OVSDB | lists VPN agents (Chassis_Private) |
| VPNaaS agent | Neutron VPNaaS | API REST | agent API :9697: services (ETag poll), status |
| VPNaaS agent | OVN Southbound DB | OVSDB | registers ovn-vpnagent, acks nb_cfg |
Branch stable-2026.2 · 8 file
Leggi la reverse-specReti, subnet, porte, router e gruppi di sicurezza scritti nel database OVN Northbound; IPv4 e IPv6.
L'API Octavia v2 servita da neutron-api; load balancer OVN, attivati per impostazione predefinita.
Gruppi, policy e regole di firewall (FWaaS v2).
Annuncia tramite BGP gli IP delle VM e gli IP flottanti raggiungibili attraverso il nodo.