使用SDN 實踐零信任微分段-2

# 使用SDN 實踐零信任微分段 ## 核心架構如下： ![image](https://hackmd.io/_uploads/H10Yj-WPJl.png) ## 規格： * SDNController Ryu 用途 : 作為SDN PDP OS：Ubuntu 22.04(LTS) Ryu : SDN Controller framework based on python 3.9 Library：　Python==3.9(3.10以上不支援)、Miniconda ## 建置環境 ### Mininet 在 SDN-Test VM 上安裝 Mininet： ``` apt install mininet ``` 直接輸入 mn 就可以建立一個簡單的拓樸了 ``` mn ``` 如果後面後面加上-c，作用是清理和重置 Mininet 的環境這會模擬出兩個主機(h1、h2)及一台switch(s1)、一個默認控制器c0 h1、h2會連接到s1 ``` *** Creating network *** Adding controller *** Adding hosts: h1 h2 *** Adding switches: s1 *** Adding links: (h1, s1) (h2, s1) *** Configuring hosts h1 h2 *** Starting controller c0 *** Starting 1 switches s1 ... *** Starting CLI: mininet> ``` 可以使用指令net，來看目前的網路結構 ![image](https://hackmd.io/_uploads/BkUvoIfwyx.png) 或是輸入pingall來看互相的連接關係 ![image](https://hackmd.io/_uploads/SJYij8GP1l.png) 也可以直接用ping的(h1 ping h2) ![image](https://hackmd.io/_uploads/By4qRLzwkl.png) 使用 xterm 則可以開啟指定節點的終端 ### Controller 連結使用 linear,3 拓撲（線性拓撲，3個節點），並設置遠程控制器。 ``` 　sudo mn --topo linear,3 --controller remote ``` 明確指定控制器的 IP 和 Port，這裡控制器運行在本地 IP 127.0.0.1，端口為 6633（默認 OpenFlow 控制器端口）。 ``` sudo mn --controller remote,ip=127.0.0.1,port=6633 ``` 然後確保控制器是啟動的狀態檢查OpenFlow 規則用於檢查安裝在交換機（例如 s1）上的 OpenFlow 規則。這是用來驗證控制器是否正確管理了交換機中的流量規則。 ``` sudo ovs-ofctl dump-flows s1 ``` 如果要連接外地的SDN Controller，使用下面這個指令 ``` mn –-x –-topo linear,3 –-controller remote,ip=192.168.173.15,port=6633 –-switch ovs,protocols=OpenFlow13 ``` ## Ryu 先安裝Miniconda，以免python版本跑掉 ``` wget https://repo.anaconda.com/miniconda/Miniconda3-latest-Linux-x86_64.sh bash Miniconda3-latest-Linux-x86_64.sh ``` 啟動Miniconda 建立python=3.9的環境 ``` source ~/.bashrc conda create -n test_env python=3.9 conda activate test_env ``` 降級setuptool，安裝Ryu ``` pip install setuptools==59.6.0 pip install ryu pip install eventlet==0.30.2 ryu-manager --version ``` 啟用Ryu控制器，使用預設的simple_switch_13 ``` ryu-manager ryu.app.simple_switch_13 ``` 此時，Ryu 控制器會在默認端口（6633）上等待來自 OpenFlow 交換機的連接。確保 Ryu 控制器運行後再進行下一步操作。 Mininet 進行連接 ``` sudo mn --topo linear,3 --controller remote,ip=127.0.0.1,port=6633 --switch ovs,protocols=OpenFlow13 ``` ## 讓內部host 連網先安裝工具 ``` sudo apt update sudo apt install isc-dhcp-client ``` ![image](https://hackmd.io/_uploads/rJ2CLNPF1l.png) 原理是透過bridge 新增一個OVS bridge ``` $ ovs-vsctl add-br ovsbr0 #Create OVS bridge $ ovs-vsctl show #Show bridge information 1054844d-7b25-4ec1-be12-2069fac0c03b Bridge "ovsbr0" Port "ovsbr0" Interface "ovsbr0" type: internal ovs_version: "2.5.2" ``` 將實體網卡加入到ovs bridge 中(這裡會短暫被中斷網路) (假設enp0s8為實體網卡) 再加入到ovsbr0，使用dhclient 指令讓ovsbr0自動獲得IP 此時的網路就會恢復了 ``` ifconfig enp0s8 0 ovs-vsctl add-port ovsbr0 enp0s8 dhclient ovsbr0 ifconfig ovsbr0 route -n ``` ![image](https://hackmd.io/_uploads/H1u354Dt1e.png) 先把原本的host網卡所對應的switch s1-eth2 從bridge s1 中移除 ``` ovs-vsctl del-port s1 s1-eth2 ovs-vsctl add-port ovsbr0 s1-eth2 ``` 設定host 網卡，給定靜態網路 ``` mininet> h2 ifconfig h2-eth0 192.168.173.20/24 up ``` 設置後，內部host網路就可以外傳了 set controller ``` ovs-vsctl set-controller ovsbr0 tcp:192.168.1.100:6633 ``` ## 參考連結 https://bingdoal.github.io/network/2022/02/sdn-openflow-controller-opendaylight-mininet/ https://hackmd.io/@cu/SyLOH_-Cu https://medium.com/@john.lin/%E9%80%8F%E9%81%8E-ovs-bridge-%E5%8F%8A-docker-%E8%A6%AA%E6%89%8B%E6%89%93%E9%80%A0-sdn-%E5%AF%A6%E9%A9%97%E7%B6%B2%E8%B7%AF-%E5%9B%9B-%E8%A8%AD%E5%AE%9A%E5%A4%96%E9%83%A8%E9%80%A3%E7%B6%B2-b0e96d9d2ee1

Syntax	Example	Reference
# Header	Header	基本排版
- Unordered List	Unordered List
1. Ordered List	Ordered List
- [ ] Todo List	Todo List
> Blockquote	Blockquote
Bold font	Bold font
Italics font	Italics font
~~Strikethrough~~	~~Strikethrough~~
19^th^	19^th
H~2~O	H₂O
++Inserted text++	Inserted text
==Marked text==	Marked text
[link text](https:// "title")	Link
![image alt](https:// "title")	Image
`Code`	`Code`	在筆記中貼入程式碼
```javascript var i = 0; ```	`var i = 0;`
:smile:		Emoji list
{%youtube youtube_id %}	Externals
$L^aT_eX$	L^aT_eX
:::info This is a alert area. :::	This is a alert area.