<div dir="ltr">Hi,<div><br></div><div>It's an interesting feature.</div><div>But just to understand, what do you blame to the actual implementation with iptables and linux bridge?</div><div><br></div><div>The OVS release 1.11.0 implements a new feature calls 'megaflows' which reduce the number of kernel/usespace crossings.</div>
<div>Actually, OVS neutron agent uses simple default "normal" flow (simple mac learning switch) which the wildcarding (use by megaflow) will be very good (just the L2 headers will be matched).</div><div>But if we implement security group as OVS flows, the performance will be reduced. Wildcarding will be worse (L2, L3, and L4headers will be mateched).</div>
<div>Here [1] and [2] a post from the OVS mailing list that explain that.</div><div>Perhaps we can create security group OVS flow smarter to improve the wilcarding.</div><div><br></div><div>Another improvement, I see, is the simplification of the interfaces on the compute node. All interfaces qbr, qvo and qvb will disappear.</div>
<div>But another simple improvement about that could be to use only one Linux bridge by network instead of one per VNIC and continous to use Linux bridge and iptables.</div><div><br></div><div>Another problem is the OVS flows are not stateful [3] but is it necessary?</div>
<div><br></div><div>[1] <a href="http://www.mail-archive.com/discuss@openvswitch.org/msg07715.html">http://www.mail-archive.com/discuss@openvswitch.org/msg07715.html</a></div><div>[2] <a href="http://www.mail-archive.com/discuss@openvswitch.org/msg07582.html">http://www.mail-archive.com/discuss@openvswitch.org/msg07582.html</a></div>
<div>[3] <a href="http://www.mail-archive.com/discuss@openvswitch.org/msg01919.html">http://www.mail-archive.com/discuss@openvswitch.org/msg01919.html</a></div><div><br></div><div>Édouard.</div></div><div class="gmail_extra">
<br><br><div class="gmail_quote">On Tue, Nov 19, 2013 at 10:31 AM, Kanthi P <span dir="ltr"><<a href="mailto:pavuluri.kanthi@gmail.com" target="_blank">pavuluri.kanthi@gmail.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
<div dir="ltr">Hi All,<div><br></div><div>Thanks for the response!</div><div>Amir,Mike: Is your implementation being done according to ML2 plugin</div><div><br></div><div>Regards,</div><div>Kanthi</div></div><div class="HOEnZb">
<div class="h5"><div class="gmail_extra">
<br><br><div class="gmail_quote">On Tue, Nov 19, 2013 at 1:43 AM, Mike Wilson <span dir="ltr"><<a href="mailto:geekinutah@gmail.com" target="_blank">geekinutah@gmail.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">

<div dir="ltr">Hi Kanthi,<div><br></div><div>Just to reiterate what Kyle said, we do have an internal implementation using flows that looks very similar to security groups. Jun Park was the guy that wrote this and is looking to get it upstreamed. I think he'll be back in the office late next week. I'll point him to this thread when he's back.</div>

<span><font color="#888888">
<div><br></div><div>-Mike</div></font></span></div><div><div><div class="gmail_extra"><br><br><div class="gmail_quote">On Mon, Nov 18, 2013 at 3:39 PM, Kyle Mestery (kmestery) <span dir="ltr"><<a href="mailto:kmestery@cisco.com" target="_blank">kmestery@cisco.com</a>></span> wrote:<br>


<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div>On Nov 18, 2013, at 4:26 PM, Kanthi P <<a href="mailto:pavuluri.kanthi@gmail.com" target="_blank">pavuluri.kanthi@gmail.com</a>> wrote:<br>



</div><div><div>> Hi All,<br>
><br>
> We are planning to implement quantum security groups using openflows for ovs plugin instead of iptables which is the case now.<br>
><br>
> Doing so we can avoid the extra linux bridge which is connected between the vnet device and the ovs bridge, which is given as a work around since ovs bridge is not compatible with iptables.<br>
><br>
> We are planning to create a blueprint and work on it. Could you please share your views on this<br>
><br>
</div></div>Hi Kanthi:<br>
<br>
Overall, this idea is interesting and removing those extra bridges would certainly be nice. Some people at Bluehost gave a talk at the Summit [1] in which they explained they have done something similar, you may want to reach out to them since they have code for this internally already.<br>



<br>
The OVS plugin is in feature freeze during Icehouse, and will be deprecated in favor of ML2 [2] at the end of Icehouse. I would advise you to retarget your work at ML2 when running with the OVS agent instead. The Neutron team will not accept new features into the OVS plugin anymore.<br>



<br>
Thanks,<br>
Kyle<br>
<br>
[1] <a href="http://www.openstack.org/summit/openstack-summit-hong-kong-2013/session-videos/presentation/towards-truly-open-and-commoditized-software-defined-networks-in-openstack" target="_blank">http://www.openstack.org/summit/openstack-summit-hong-kong-2013/session-videos/presentation/towards-truly-open-and-commoditized-software-defined-networks-in-openstack</a><br>



[2] <a href="https://wiki.openstack.org/wiki/Neutron/ML2" target="_blank">https://wiki.openstack.org/wiki/Neutron/ML2</a><br>
<div><div><br>
> Thanks,<br>
> Kanthi<br>
> _______________________________________________<br>
> OpenStack-dev mailing list<br>
> <a href="mailto:OpenStack-dev@lists.openstack.org" target="_blank">OpenStack-dev@lists.openstack.org</a><br>
> <a href="http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev" target="_blank">http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev</a><br>
<br>
<br>
<br>
_______________________________________________<br>
OpenStack-dev mailing list<br>
<a href="mailto:OpenStack-dev@lists.openstack.org" target="_blank">OpenStack-dev@lists.openstack.org</a><br>
<a href="http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev" target="_blank">http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev</a><br>
</div></div></blockquote></div><br></div>
</div></div><br>_______________________________________________<br>
OpenStack-dev mailing list<br>
<a href="mailto:OpenStack-dev@lists.openstack.org" target="_blank">OpenStack-dev@lists.openstack.org</a><br>
<a href="http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev" target="_blank">http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev</a><br>
<br></blockquote></div><br></div>
</div></div><br>_______________________________________________<br>
OpenStack-dev mailing list<br>
<a href="mailto:OpenStack-dev@lists.openstack.org">OpenStack-dev@lists.openstack.org</a><br>
<a href="http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev" target="_blank">http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev</a><br>
<br></blockquote></div><br></div>