如何在 Openstack (neutron) 环境中编写规则？

Question

我已在单个节点（计算+网络）设置中成功安装了 openstack + openvswitch 插件（使用 devstack）。我可以从外部 ping 我的虚拟机，反之亦然。

现在我想在 openvswitch 网桥即 br-ex（或 br-int）上编写流程（使用 ovs-ofctl 的规则）。这样我就可以丢弃发往 VM1 的 ping 并允许发往 VM2 的数据包，但问题是我在我的 br-ex 网桥上看不到这些 ping（尽管 ping 成功，但使用 wireshark）。

我已将我的物理接口添加到 br-ex 网桥（作为端口）中，我可以在物理接口上看到 ping 数据包，但在我的 br-ex 接口上看不到相同的数据包（这很奇怪！）。

PS：br-ex 界面确实显示了其他流量，例如 rip、ARP、SSH 等数据包，但不显示我发送的 ping。

我将不胜感激任何形式的帮助

干杯:)

Answer 1

问题已解决（br-ex 是使用简单 ovs-ofctl 编写规则的桥梁）：

即使 br-ex 不显示 ping 流量，我仍然可以在上面写规则并且它们会生效。例如：

在我的场景中，我从 source=192.168.1.1 向 VM（浮动 IP）=192.168.1.99 发送 ping。 br-ex 不显示此流量，但如果我写一条规则：

ovs-ofctl add-flow br-ex "dl_type=0x0800,nw_src=192.168.1.1,nw_dst=192.168.1.99,actions=drop"

然后数据包被丢弃，流的数据包计数也增加。