CloudStack Administration Documentation¶

最终用户界面概览¶

CloudStack用户界面帮助云基础设施的用户查看和使用他们的云资源，包括虚拟机、模板和ISO、数据卷和快照、宾客网络，以及IP 地址。如果用户是一个或多个CloudStack项目的成员或管理员，用户界面能提供一个面向项目的视图。

根管理员界面的概述¶

CloudStack界面帮助CloudStack管理员配置、查看和管理云的基础设施、用户域、账号、项目和配置。当一个全新的管理服务器安装完成后，在第一次启动界面的时候，可以选择根随引导步骤配置云的基础设施。当再次登录时，会显示当前登录用户的仪表板。在这个页面有很多的连接，可以通过左边的导航栏访问各种管理功能。根管理员也可以使用界面像最终用户一样来执行所有的功能。

作为根管理员登录¶

在管理服务器软件安装并且运行后, 你就可以运行CloudStack的用户界面.了。在这里通过UI，可以供给、查看并管理你的云基础架构。

1. 打开你自己喜欢的浏览器并访问这个URL。请把IP地址替换成你自己的管理服务器的IP。

   http://<management-server-ip-address>:8080/client
   

   初次登录管理服务器时，会出现一个向导启动画面。后续访问时，您会直接进入控制面板。

2. 如果你看到第一次的向导屏幕, 可以选择下面步骤之一进行。

   • **继续执行基本安装。**如果你仅仅是想体验CloudStack，请选择这个，并且这样你可以马上开始跟着向导进行简单的配置。我们将帮助你建立一个有以下功能的云：一个运行CloudStack软件的机器和使用NFS协议的存储；一个运行VMs的XenServer或KVM hypervisor的服务器；一个共享的公有网络。

     安装向导的提示会给你需要的所有信息。但如果你需要更多的详细信息，你可以按照试用安装向导进行。

   • 我之前用过CloudStack。 如果您已经完成设计阶段，计划部署一个复杂CloudStack云，或是准备对用基础安装向导搭建的试验云进行扩展，请选择此项。在管理员UI中，您可以使用CloudStack中更强大的功能，例如高级VLAN网络、高可用、负载均衡器和防火墙等额外网络设备，以及支持Citrix XenServer、KVM、VMware vSphere等多种虚拟化平台。

     根管理员的仪表盘显示出来。

3. 你应该为根管理员设置一个新的密码。如果你选择基础设置。将会提示你立即创建一个新的密码。如果你选择有经验的用户，请选择:ref:`changing-root-password`里的步骤。

更改Root密码¶

在云的安装及后续管理过程中，您需要用根管理员登录UI。根管理员账号管理着CloudStack的部署以及物理设施。根管理员可以修改系统配置，改变基本功能，创建和删除用户账号，以及其他仅限于已授权人员执行的操作。在初始安CloudStack时，请务必修改默认密码为新的较独特的密码。

1. 打开你自己喜欢的浏览器并访问这个URL。请把IP地址替换成你自己的管理服务器的IP。

   http://<management-server-ip-address>:8080/client
   

2. 使用当前root用户的ID和口令登录UI。缺省为admin，pawword。

3. 点击帐户。

4. 点击管理员帐号名。

5. 点击查看用户。

6. 点击管理员用户名。

7. 点击更改密码按钮。

8. 输入新密码，然后点击确认。

Roles¶

A role represents a set of allowed functions. All CloudStack accounts have a role attached to them that enforce access rules on them to be allowed or disallowed to make an API request. Typically there are four default roles: root admin, resource admin, domain admin and user.

账户¶

一个账户通常代表一个客户的服务提供者或一个大组织中的一个部门。一个账户可存在多个用户。

域¶

帐户通常按域进行分组。域中经常包含多个账户，这些账户间存在一些逻辑上关系和一系列该域和其子域下的委派的管理员（这段的意思就是说在逻辑上域下可以有管理员，子域下也可以有管理员）。比如，一个服务提供商可有多个分销商这样的服务提供商就能为每一个分销商创建一个域

对于每个账户的创建,Cloud的安装过程中创建了三种不同类型的用户账户：根管理员，域管理员，普通用户。

普通用户¶

用户就像是账户的别名。在同一账户下的用户彼此之间并非隔离的。但是他们与不同账户下的用户是相互隔离的。大多数安装不需要用户的表面概念；他们只是每一个帐户的用户。同一用户不能属于多个帐户。

多个账户中的用户名在域中应该是唯一的。相同的用户名能在其他的域中存在，包括子域。域名只有在全路径名唯一的时候才能重复。比如，你能创建一个root/d1，也可以创建root/foo/d1和root/sales/d1。

管理员在系统中是拥有特权的账户。可能有多个管理员在系统中，管理员能创建删除其他管理员，并且修改系统中任意用户的密码。

域管理员¶

域管理员可以对属于该域的用户进行管理操作。域管理员在物理服务器或其他域中不可见。

根管理员¶

根管理员拥有系统完全访问权限，包括管理模板，服务方案，客户服务管理员和域。

资源所有权¶

资源属于帐户，而不是帐户中的单个用户。例如，账单、资源限制等由帐户维护，而不是用户维护。用户有权限操作任何在帐户中提供的资源。权限有角色决定。根管理员通过使用assignVirtualMachine API可以将任何虚拟机的所有权从一个帐户调整到另一个帐户。域或子域管理员可以对域中的VMs做同样的操作，包括子域。

如何使用专用主机¶

要使用明确专用主机，在关联组 (参阅 “关联组”)中选择explicit-dedicated 类型。比如，当创建新VM的时候，终端用户可以选择将其运行在专用基础架构上。如果一些基础架构已经被分配给专用的用户帐号或域，那么这个操作才能成功。

专用主机、群集、机架和区域的行为¶

管理员可以将VMs从专用主机上迁移到任何想要的地方，不管目标主机是不同帐号/域专用的还是共享的主机(不对任何特殊帐号或域专用)。CloudStack将生成一个警告，不过操作还是允许的。

专用主机可用主机标签连接。如果同时需要主机标签和专用，那么VM将只会在匹配所有需求的主机上运行。如果没有专用资源可用于这类用户，那么VM就不会被不部署。

如果你删除了一个指定了专用资源的帐号或者域，那么其中的任何主机、群集、机架和区域就会被释放。它们会变成可被任何帐户或者域共享，或者管理员可选择重新把它们指定给不同的帐号或域。

系统VMs和虚拟路由器影响专用主机的行为。系统VMs和虚拟路由器由CloudStack系统账号拥有，并且它们可在任何主机上部署。它们不会伴随着明确专用主机。主机上的系统虚机和虚拟路由器使其不再适合作为严格的潜在专用主机。主机之所以不能用于严格的潜在专用主机，是因为主机已经有针对帐号(默认系统账号)的VMs。尽管如此，运行着系统VMs或虚拟路由器的主机可以被用于优先的潜在专用。

Restricting LDAP users to a group:¶

• ldap.search.group.principle: this is optional and if set only users from this group are listed.

LDAP SSL:¶

If the LDAP server requires SSL, you need to enable the below configurations. Before enabling SSL for LDAP, you need to get the certificate which the LDAP server is using and add it to a trusted keystore. You will need to know the path to the keystore and the password.

• ldap.truststore : truststore path
• ldap.truststore.password : truststore password

LDAP groups:¶

• ldap.group.object: object type of groups within LDAP. Default value is group for AD and groupOfUniqueNames for openldap.
• ldap.group.user.uniquemember: attribute for uniquemembers within a group. Default value is member for AD and uniquemember for openldap.

Once configured, on Add Account page, you will see an “Add LDAP Account” button which opens a dialog and the selected users can be imported.

You could also use api commands: listLdapUsers, ldapCreateAccount and importLdapUsers.

Once LDAP is enabled, the users will not be allowed to changed password directly in cloudstack.

设置邀请¶

CloudStack可以设置成项目管理员直接添加用户或者向接受者发送邀请。邀请可以通过邮件或者用户的CloudStack帐户。如果你希望管理员使用邀请来添加项目成员，那么打开并设置CloudStack中的邀请属性。

1. 使用管理员登录到CloudStack管理界面。

2. 在左侧导航栏，点击 全局设置

3. 在搜索栏中，输入项目，点击搜索按钮。 |搜索项目|

4. 在搜索结果中，你还需要设置一些其他的参数来控制邀请行为。下表所示的是全局配置参数中与项目邀请相关的部分，点击编辑按钮设置每个参数。

   配置参数	描述
   project.invite.required	将值设置为 true以打开邀请特性。
   project.email.sender	邀请邮件中填入发送区域的邮件地址。
   project.invite.timeout	新成员对于邀请的允许响应时间。
   project.smtp.host	作为处理邀请的邮件服务器的主机名。
   project.smtp.password	(可选)SMTP服务器要求的密码。你必须将project.smtp.username和project.smtp.useAuth也设置为true。
   project.smtp.port	SMTP服务器的监听端口。
   project.smtp.useAuth	如果SMTP服务器需要用户名和密码，则设置为true
   project.smtp.username	(可选) 用于SMTPU认证的用户名。必须将project.smtp.password 和project.smtp.useAuth也设置为true。

5. 重启管理服务器：

   service cloudstack-management restart
   

设置项目的资源限制¶

CloudStack管理员可以设置全局默认限制来控制云中每个项目可拥有的资源量。该服务用来限制不可控的资源使用，如快照，IP地址，虚拟机实例。域管理员在域中可以覆盖个人项目中的这些资源限制，只要这些限制在CloudStack根管理员的全局默认限制范围内。CloudStack根管理员可以为云中的任何项目设置更低的资源限制。

设置项目创建许可¶

你可以配置 CloudStack允许所有用户创建新项目，或限制只有 CloudStack管理员具备此项能力。

1. 使用管理员登录到CloudStack管理界面。

2. 在左侧导航栏，点击 全局设置

3. 在搜索框中，输入allow.user.create.projects。

4. 点击编辑按钮设置参数。|编辑参数|

   allow.user.create.projects

   设置为true以允许端用户创建项目。设置为false如果你仅希望CloudStack根管理员和域管理员创建项目。

5. 重启管理服务器。

   # service cloudstack-management restart
   

发送项目成员关系邀请¶

如果邀请特性按照 `“设置邀请” <#设置邀请>`_中描述的方式被打开，使用这些步骤添加项目成员。如果邀请特性没有被打开，使用在界面中添加项目成员的步骤。

1. 登录到CloudStack的界面
2. 在左侧导航栏点击项目。
3. 在选择视图选择项目。
4. 点击您要操作的项目名称。
5. 点击邀请标签。
6. 在添加中，选择以下其中一个：
   1. 帐户 – 邀请将出现在用户项目概览的邀请标签中。参见使用项目概览。
   2. 邮件 – 邀请将发送到用户的邮箱地址。每个被发送的邀请中包含一个唯一的编码，称为令牌，当接收者接受邀请时需要向 CloudStack提供此令牌。只有当SMTP服务器相关的参数设置完毕后，邮件邀请才能工作。参见`“设置邀请” <#setting-up-invitations>`_。
7. 输入想要添加的新用户的用户名称或邮件地址，点击邀请。如果你在前述步骤中选择了帐户那么输入CloudStack用户名。如果你选择了邮箱，那么输入邮箱地址，你只能邀请在云中拥有帐户并在与项目组同一域中的用户。然而，你可以向任何邮箱发送邀请。
8. 为了浏览和管理你所发送的邀请，返回到这个标签。当邀请被接受，新成员将显示在项目帐户标签中。

在界面中添加项目成员¶

下面的步骤介绍在邀请特性未使能的情况下如何添加项目新成员。如果邀请特性已按照 `“设置邀请” <#设置邀请>`_在云中被使能，那么使用 `“发送项目成员关系邀请” <#发送项目成员关系邀请>`_中的步骤。

1. 登录到CloudStack的界面
2. 在左侧导航栏点击项目。
3. 在选择视图选择项目。
4. 点击您要操作的项目名称。
5. 点击项目按钮，项目目前的成员将被列表显示。
6. 输入你想添加的新成员帐户名称，点击添加帐户。你只能添加云中已有并与项目存在于相同域中的帐户。

自定义计算方案¶

CloudStack provides you the flexibility to specify the desired values for the number of CPU, CPU speed, and memory while deploying a VM. As an admin, you create a Compute Offering by marking it as custom, and the users will be able to customize this dynamic Compute Offering by specifying the memory, and CPU at the time of VM creation or upgrade. Custom Compute Offering is same as the normal Compute Offering except that the values of the dynamic parameters will be set to zeros in the given set of templates. Use this offering to deploy VM by specifying custom values for the dynamic parameters. Memory, CPU and number of CPUs are considered as dynamic parameters.

动态计算方案可以在下列情况下使用：部署虚拟机，改变停止状态虚拟机和运行中的虚拟机的计算方案，单独扩容。为了支持此功能的新字段，自定义，已经被添加到创建计算方案页面。如果自定义字段被选中，用户将可以通过填写所需 CPU ，CPU 速度和内存数量的值来创建自定义计方案。看到了吗？有关它的更多信息。

Recording Usage Events for Dynamically Assigned Resources.

为了支持该功能，使用事件已经被增强到动态分配资源注册事件中。当从一个自定义计算方案创建一个虚拟机时，使用事件被注册，并紧接更改处于停止状态或者运行状态虚拟机的计算方案。如 CPU ，速度，RAM 这些参数的值被记录下来。

创建一个新的计算方案¶

为了创建一个新的计算方案

1. 以管理员权限登录CloudStack用户界面。

2. 在左侧导航栏中，点击 服务方案。

3. 选择方案中，选择计算方案

4. 点击 添加计算方案

5. 在对话框中，选择如下操作：

   • ** 名称 **: 服务方案所需的名称。

   • ** 描述 ** ：显示给用户的简短方案描述。

   • ** 存储类型 *：磁盘类型应该被分配。系统VM 运行时所在主机挂载的存储作为本地分配。通过 NFS 可访问的存储作为 共享分配。

   • ** 自定义 ** ：自定义计算方案使用在以下场景：部署虚拟机，改变停止状态和运行中虚拟机的计算方案，仅仅为了扩大规模。

     如果自定义字段被选中，最终用户必须为CPU，CPU速度和RAM存储器的数量所需的值使用自定义计算产品时填写。当您选中该复选框，这三个输入字段隐藏在该对话框。

   • # of CPU cores: 在该方案中分配核心数量给系统 VM , 如果选择自定义，该区域不会出现。

   • ** CPU (in MHz) **: 分配给系统 VM 的 CPU 核心速度。比如 “ 2000 ” 将提供 2 GHz 时钟频率。如果选择订制，该区域不会出现

   • ** Memory (in MB) **: 分配给系统 VM 的内存M数。比如，, “ 2048 ” 应该提供 2 G RAM。如果选择订制，该区域不会出现。

   • 网络速度: 允许的数据传输速度（MB/秒）。

   • ** 磁盘读取速率 ** ：磁盘每秒允许读取的bit数

   • ** 磁盘写入速率 **： 磁盘每秒允许写入的bit数。

   • ** 磁盘读取速率 ** : IPOS (每秒的输入/输出操作 )中运行磁盘读取的速率

   • ** 磁盘写入速率 ** : IPOS (每秒的输入/输出操作 )中运行磁盘写入的速率

   • ** HA 方案 ** : 如果必要，管理员可以选择监控系统 VM 和尽可能采用高可用。

   • QoS Type: Three options: Empty (no Quality of Service), hypervisor (rate limiting enforced on the hypervisor side), and storage (guaranteed minimum and maximum IOPS enforced on the storage side). If leveraging QoS, make sure that the hypervisor or storage system supports this feature.

   • Custom IOPS: If checked, the user can set their own IOPS. If not checked, the root administrator can define values. If the root admin does not set values when using storage QoS, default values are used (the defauls can be overridden if the proper parameters are passed into CloudStack when creating the primary storage in question).

   • Min IOPS: Appears only if storage QoS is to be used. Set a guaranteed minimum number of IOPS to be enforced on the storage side.

   • Max IOPS: Appears only if storage QoS is to be used. Set a maximum number of IOPS to be enforced on the storage side (the system may go above this limit in certain circumstances for short intervals).

   • Hypervisor Snapshot Reserve: For managed storage only. This is a value that is a percentage of the size of the root disk. For example: if the root disk is 20 GB and Hypervisor Snapshot Reserve is 200%, the storage volume that backs the storage repository (XenServer) or datastore (VMware) in question is sized at 60 GB (20 GB + (20 GB * 2)). This enables space for hypervisor snapshots in addition to the virtual disk that represents the root disk. This does not apply for KVM.

   • ** 存储标签 ** ：这个标签应该和系统 VM 使用的主存储相关联。

   • ** 主机标签 ** ：（可选）用于组织你的主机的任何标签。

   • ** CPU 容量 ** : 是否限制CPU使用率的水平，即使备用容量仍可用。

   • ** 公共 ** : 指明系统方案是对所有域或者部分域是否可用。 选择 Yes 则所有域可用。选择 No 则限制一定范围的域可用； CloudStack 会给出一个字域名字提示。

   • ** 隔离 ** ： 如果选中，从这个服务方案创建的虚拟机重启复位后都会有自己的根磁盘。这对于需要通过重启获得全新开始和无需保持桌面状态的安全环境中非常有用。

   • ** 部署方案 ** ：当部署基于这个服务方案的虚拟机时，你会让 CloudStack 选择使用这个技术。

     首先，存放新虚拟机的第一台主机必须有足够的容量来满足虚拟机的要求。

     User Dispersing makes the best effort to evenly distribute VMs belonging to the same account on different clusters or pods.

     用户更倾向于集中部署同一帐户内的虚拟机在单一提供点.

     默认将虚拟机部署在特定域或账户的专属基础设施中。如果你选择，那么你必须为规划者参考 “ 为账号和域指定资源 ”.

     裸机协同全裸机使用。参考安装向导中的全裸机安装。

   • ** 方案模式 ** :当在之前场景中默认指定方案被选中时使用。方案模式决定了在分享的单独域或账户的私有基础架构中部署多少虚拟机。

     严禁：一个主机禁止通过多个账号共享。例如，严格默认指定对于部署的某些应用是有用处的，例如，在无隔离桌面软件授权主机上不能在不同账号间进行桌面共享。

     优先：VM 尽可能的部署在专属基础架构。否则部署在共享基础架构。

   • GPU: Assign a physical GPU(GPU-passthrough) or a portion of a physicalGPU

     GPU card(vGPU) to the guest VM. It allows graphical applications to run on the VM. Select the card from the supported list of cards.

     The options given are NVIDIA GRID K1 and NVIDIA GRID K2. These are vGPU capable cards that allow multiple vGPUs on a single physical GPU. If you want to use a card other than these, follow the instructions in the “GPU and vGPU support for CloudStack Guest VMs” page in the Cloudstack Version 4.4 Design Docs found in the Cloudstack Wiki.

   • vGPU Type: Represents the type of virtual GPU to be assigned to a guest VM. In this case, only a portion of a physical GPU card (vGPU) is assigned to the guest VM.

     Additionally, the passthrough vGPU type is defined to represent a physical GPU device. A passthrough vGPU can directly be assigned to a single guest VM. In this case, a physical GPU device is exclusively allotted to a single guest VM.

6. 点击 添加

创建一个新的磁盘方案¶

为了创建一个新的磁盘方案

1. 以管理员权限登录CloudStack用户界面。
2. 在左侧导航栏中，点击 服务方案。
3. 在选择方案中，选择 磁盘方案
4. 点击 添加磁盘方案
5. 在对话框中，选择如下操作：
   • Name: Any desired name for the disk offering.
   • ** 描述 ** ：显示给用户的简短方案描述。
   • Custom Disk Size: If checked, the user can set their own disk size. If not checked, the root administrator must define a value in Disk Size.
   • Disk Size: Appears only if Custom Disk Size is not selected. Define the volume size in GB (2^30 1GB = 1,073,741,824 Bytes).
   • QoS Type: Three options: Empty (no Quality of Service), hypervisor (rate limiting enforced on the hypervisor side), and storage (guaranteed minimum and maximum IOPS enforced on the storage side). If leveraging QoS, make sure that the hypervisor or storage system supports this feature.
   • Custom IOPS: If checked, the user can set their own IOPS. If not checked, the root administrator can define values. If the root admin does not set values when using storage QoS, default values are used (the defauls can be overridden if the proper parameters are passed into CloudStack when creating the primary storage in question).
   • Min IOPS: Appears only if storage QoS is to be used. Set a guaranteed minimum number of IOPS to be enforced on the storage side.
   • Max IOPS: Appears only if storage QoS is to be used. Set a maximum number of IOPS to be enforced on the storage side (the system may go above this limit in certain circumstances for short intervals).
   • Hypervisor Snapshot Reserve: For managed storage only. This is a value that is a percentage of the size of the data disk. For example: if the data disk is 20 GB and Hypervisor Snapshot Reserve is 200%, the storage volume that backs the storage repository (XenServer) or datastore (VMware) in question is sized at 60 GB (20 GB + (20 GB * 2)). This enables space for hypervisor snapshots in addition to the virtual disk that represents the data disk. This does not apply for KVM.
   • (Optional)Storage Tags: The tags that should be associated with the primary storage for this disk. Tags are a comma separated list of attributes of the storage. For example “ssd,blue”. Tags are also added on Primary Storage. CloudStack matches tags on a disk offering to tags on the storage. If a tag is present on a disk offering that tag (or tags) must also be present on Primary Storage for the volume to be provisioned. If no such primary storage exists, allocation from the disk offering will fail..
   • ** 公共 ** : 指明系统方案是对所有域或者部分域是否可用。 选择 Yes 则所有域可用。选择 No 则限制一定范围的域可用； CloudStack 会给出一个字域名字提示。
6. 点击 添加

修改或删除一个服务方案¶

服务方案一旦被创建则不能被修改。这个特性同样适用于计算方案和磁盘方案。

系统服务方案可以被删除。它不再处于使用中，它可以被立即永久删除。如果服务方案处于使用中，它会留在数据库中，直到所有引用它的虚拟机被删除。管理员删除后，管理员创建新的虚拟机时这个服务方案将不可用。

创建一个新的系统服务方案¶

为了创建一个系统服务方案：

1. 以管理员权限登录CloudStack用户界面。
2. 在左侧导航栏中，点击 服务方案。
3. 在选择方案中，选择 系统方案
4. 点击 添加系统服务方案
5. 在对话框中，选择如下操作：
   • 名称。系统方案任意名称。
   • 描述。显示给用户的方案简短描述。
   • 系统 VM 类型。选中方案支持的系统虚拟机的类型。
   • 存储类型。应该指明磁盘类型。运行中的虚拟机所在主机关联的存储采用本地分配。通过 NFS 可访问存储共享分配。
   • # CPU 核心。方案中提供给系统 VM 可分配的核心数量。
   • CPU ( MHz )。 分配给系统 VM CPU 核心频率。例如，” 2000 “ 将提供一个2 GHz 时钟。
   • 内存 （ MB ）。系统 VM 应该总计分配兆字节内存。例如，” 2048 “ 应该分配 2GB RAM.
   • 网络速率。每秒允许传输多少 MB 数据。
   • 提供HA。如果提供，管理员可以为监控系统 VM 并且提供必要的高可用。
   • 存储标签。它应该和系统 VM 使用的主存储相关联。
   • 主机标签。 （ 可选 ）你可以选择任何标签用于规范你的主机。
   • CPU 容量。是否限制 CPU 使用水平不管是否还有可用的空闲容量。
   • ** 公共 ** : 指明系统方案是对所有域或者部分域是否可用。 选择 Yes 则所有域可用。选择 No 则限制一定范围的域可用； CloudStack 会给出一个子域名字提示。
6. 点击 添加

独立的网络¶

一个隔离的网络可以访问虚拟机的单一账户。隔离的网络具有下列性质。

• 如VLAN等资源被动态分配和垃圾收集
• 有一个用于整个网络的网络方案
• 网络提供可升级或降级，但它是用于整个网络的

更多信息，参考`“在高级区域中配置来宾流量” <networking2.html#configure-guest-traffic-in-an-advanced-zone>`_.

共享网络¶

共享网络可以被属于不同客户的虚拟机访问。共享网络中的网络隔离通过安全组实现（仅在CloudStack 3.0.3及以后的基本区域中支持）

• 管理员创建的共享网络
• 在一个确定的哉中设计共享网络
• 共享网络资源如VLAN和物理网络，它映射到指定的管理员
• 共享网络通过安全组实现隔离
• 公网网络作为一个共享网络不会展示给终端用户
• 当共享网络是由虚拟路由提供的服务，则每个区域是不支持Source NAT功能的。然而，每个帐户是支持Source NAT功能的。更多信息，参考`“配置共享来宾网络” <networking2.html#configuring-a-shared-guest-network>`_.

虚拟网络资源的运行时分配¶

当你定义一个新的虚拟网络，该网络的所有的设置都存储在CloudStack中。只有当第一台虚拟机在该网络中启动时，实际的网络资源才会被激活。当所有的虚拟机都离开了虚拟网络，系统进行网络资源垃圾收集，使它们能够重新分配。这有助于节约网络资源。

创建一个新的网络方案¶

创建一个新的网络方案

1. 以管理员权限登录CloudStack用户界面。

2. 在左侧导航栏中，点击 服务方案。

3. 在选择方案中，选择网络方案。

4. 点击添加网络方案。

5. 在对话框中，选择如下操作：

   • 名称: 任何网络方案的名称。

   • 描述: 提供一个简短的方案描述。

   • 网络速度: 允许的数据传输速度（MB/秒）。

   • 来宾类型: 选择来宾网络为隔离或共享网络。

     关于此组的描述，参考 see “关于虚拟网络”.

   • 持续性: 表明来宾网络是否支持持续性。无需提供任何VM部署的网络，称之为持续性网络。更多信息，参考 “持久性网络”.

   • 指定VLAN.(只针对隔离来宾网络)这表明无论使用这个方案时是否指定了VLAN，如果你选中了这个选项，并且当你创建VPC层或隔离网络时使用了这个网络方案，那么，你都可以为你创建的网络拽定一个VLAN ID。

   • VPC: 此选项表明是否在来宾网络中启用VPC。 CloudStack中的虚拟专用云(VPC)是专用、隔离的。 一个VPC可以有一个类似于传统物理网络的虚拟网络拓扑结构。有关的VPC的详细信息，请参考 see “关于VPC”.

   • 支持的服务.选择一个或多个可能的网络服务。对于有一个服务，你还必须同时选择服务的提供者。比如，如果你选择了负载均衡服务，那你可以CLOUDSTACK虚拟路由或是云环境中其它配置了此功能的服务者。取决于你选择服务的不同，额外的选项或是对话框的填写项也会相应不同。

     基于你选择的来宾网络类型，可以看到如何支持的服务。

     支持的服务	描述	隔离	共享
     DHCP	更多信息，请参考 “DNS and DHCP”.	支持	支持
     DNS	更多信息，请参考 “DNS and DHCP”.	支持	支持
     负载均衡	如果选择了负载均衡功能，你就可以选择CLOUDSTACK虚拟路由或是云环境中其它配置了此服务的提供者。	支持	支持
     防火墙	更多信息，请参考管理指南	支持	支持
     Source NAT	如果选择了 Source NAT功能，你就可以选择CLOUDSTACK虚拟路由或是云环境中其它配置了此服务的提供者。	支持	支持
     静态 NAT	如果选择了Static NAT功能，你就可以选择CLOUDSTACK虚拟路由或是云环境中其它配置了此服务的提供者。	支持	支持
     端口转发	如果选择了端口转发功能，你就可以选择CLOUDSTACK虚拟路由或是云环境中其它配置了此服务的提供者。	支持	不支持
     VPN	更多信息，请参考`“Remote Access VPN” <networking2.html#remote-access-vpn>`_.	支持	不支持
     用户数据	更多信息，请参考 “用户数据和元数据”.	不支持	支持
     网络 ACL	更多信息，参考 “配置网络ACL”.	支持	不支持
     安全组	更多信息，请参考 “添加一个安全组”.	不支持	支持

   • 系统方案.如果你在任务服务提供者中选择了虚拟路由，那就会出现系统方案的填写项。选择你希望虚拟路由在此网络中提供的服务。比如，如果你选择了虚拟路由提供负载均衡服务，系统方案填写项就会出现，你可以选择CLOUDSTACK管理员定义的所有系统服务及默认服务。

     更多信息，参考 “系统服务方案”.

   • 负载均衡隔离:指定一种你希望的网络里的负载均衡隔离类型：共享的或单独的。

     单独的:如果你选择了单独的负载均衡隔离类型，这个区域内的单独负载均衡设备资源池里就会分出一个设备来供使用。如果没有足够的设备，网络创建就会失败。如果要在高流量环境充分利用设备，单独的负载均衡设备是一个很好的选择。

     共享的:如果你选择了共享的负载均衡设备， 这个区域内的共享负载均衡设备资源池里就会分出一个设备来供使用。CloudStack会将共享设备分配给不少于一定量的帐号共用，如果共享设备到达了最大数量，则这个设备不会再分配给新的帐号使用。

   • 模式: 你可以选择 Inline mode 或 Side by Side 模式:

     Inline mode: 这种模式只被Juniper SRX 和BigF5负载均衡设备支持。在Inline mode模式下，防火墙设备放在负载均衡设置的前端，这个防火墙作为进入流量的网关，所有的流量会被转发到后端的负载均衡设备上。在这种情况下，负载均衡不是直接连接到公网网络的。

     Side by Side*:在Side by Side模式下，防火墙设备和负载均衡设备是并列的。所以所有的流量都是直接到负载均衡设备而不经过防火墙。因此，负载均衡设备是直接暴露在公网中的。

   • 关联的公网IP:如果你想给来宾网络中的虚拟机直接分配公网IP，选择这个选项。这个选择只有在以下情况都满足时才有效：

     • 来宾网络被共享
     • 启用StaticNAT
     • 启用弹性IP

     更多信息，参考`“关于弹性IP” <networking2.html#about-elastic-ip>`_.

   • 冗余路由性能:这个选项只有在虚拟路由作为Source NAT提供者时才是可选的。如果你希望提供不间断的网络连接，选中这个选项，则系统会提供两个虚拟路由：一个主的，一个辅的。主虚拟路由负载收发用户虚拟机器的相关请深圳市。如主的路由DOWN掉时，由辅助路由升级为主路由接替工作。CloudStack 会将两个邪气路由分别部署在不同的主机上，以保证可用性。

   • Conserve mode: 这个选项表明是滞要使用Conserve模式。在这种模式下，网络资源只会分配给网络里第一个启动的虚拟机。当Conserve模式被关闭时，公网IP只能用于一个设备。比如，一个用于端口转发规则的公网IP不会被用于其它StaticNAT或是负载均衡服务。当Conserve模式启用时，你可以在同一个公网IP上定义多个服务。

     注解

     如果StaticNAT启用后，不考虑conseve模式的状态，则此IP不会创建端口转发或是负载均衡规则。然而，你可以通过 createFirewallRule命令添加防火墙规则。

   • 标签:网络标签用于指定所要使用的物理网络。

   • 默认外出策略: 为防火墙配置默认的外出流量规则。选项有阻止和允许。如果没有特别制定策略的话，所有外出流量都是允许的。这表明，从这个方案创建的客户网络是允许所有外出流量的。

     为了阻止客户网络的外出流量，选择阻止选项。在这种情况下，当你从一个隔离的客户网络配置一个外出规则时，添加一些特殊的规则以允许外出流量。

6. 点击 添加

监视VMs的最大容量¶

管理员应该监视每个集群中的虚拟机实例的总数，如果总量快达到hypervisor允许的最大虚拟机数量时，不再向此群集分配虚拟机。并且，要注意为主机预留一定的计算能力，以防止群集中有主机发生故障,因为发生故障的主机上的虚拟机需要重新部署在这些预留主机上。请咨询您所选择hypervisor的文档，了解此hypervisor能支持的最大虚拟机数量，并将此数值设置在CloudStack的全局设置里。监控每个群集里虚拟机的活跃程序，并将活跃虚拟机保持在一个安全线内。这样，CloudStack就能允许偶尔的主机故障。举个示例：如果集群里有N个主机，而你只能让其中任一主机的停机时间不超过特定时间。那么，你能在此集群部署的最多虚拟主机数量值为：(N-1) * (每主机最大虚拟量数量限值)。一旦群集中的虚拟机达到此数量，必须在CloudStack的用户界面中禁止向此群集分配新的虚拟机。

安装需要的工具和驱动¶

确认在每个VM上都安装了下列软件和驱动：

• 对于XenServer，在每个VM上安装PV驱动和Xen tools。这将启用动态迁移和干净的来宾虚机关机。安装Xen tools也是为了使动态的CPU和RAM扩展能够工作。
• 对于vSphere，在每台VM上安装VMware Tools。这是为了能让控制台查看正常工作。安装VMware Tools也是为了使动态的CPU和RAM扩展能够工作。

使用下面其中一个方法确认已经安装了Xen tools或VMware Tools：

• 从已经安装了tools的模板创建的每个VM；或者，
• 当注册一个新的模板时，管理员或者用户可以标示出哪个在模板上安装了tools。这可以通过UI或者使用updateTemplate API来做；或者，
• 如果用户通过一个没有安装Xen tools或者VMware Tools的模板部署虚机，然后在VM上安装了tools，之后用户可以使用updateVirtualMachine API告知CloudStack。在安装tools和更新虚拟机之后，请重启虚拟机。

关联性组¶

依靠定义关联性组并把VMs分配给它们，用户或管理员可以影响(但不是指令)VMs运行在不同的主机上。这个功能是让用户可以规定某些VMs运行在同“host anti-affinity”类型的而非同一台主机上。这写类服务器增强了容错功能。如果一个主机出现问题，那么另一个提供同样服务的VM(比如，运行用户的网站)依然在别的主机上运行。

一个关联性组的作用域是针对每个用户账号的。

VM快照的限制¶

• 如果一个VM存储了一些快照，你就不能给他附加新卷或删除存在的卷。如果你更改了VM的卷，他将不能通过之前卷结构下所做快照来进行恢复。如果你想给这样一个VM附加卷，请先删除快照。
• 如果你更改了VM的服务方案，那么包含了数据卷和内存的VM快照就不能保留了，任何已有的此类型的VM快照都将被丢弃。
• 你不能同时对VM在做卷快照和VM快照。
• 你只能使用CloudStack来创建其管理的主机上的VM快照。你在hypervisor上直接创建的任何快照都不能被CloudStack识别。

配置VM快照¶

云管理员可以使用全局配置变量来控制VM快照的行为。要设置这些变量，移步至CloudStack UI中的全局设置。

配置设置名

描述

vmsnapshots.max

云中虚拟机能够保存快照的最大数。 (number of VMs) * vmsnapshots.max是云中VM快照的总共可能数量。如果任何一个VM的快照数达到了最大值，那么快照删除任务会把最老的快照删掉。

vmsnapshot.create.wait

在提示失败和发生错误之前快照工作为了成功的做快照而等待的秒数。

是用VM的快照¶

是用CloudStack UI创建一个VM快照：

1. 是用用户或者管理员登录CloudStack。

2. 点击实例。

3. 点击你想做快照的VM名称。

4. 点击抓取VM快照按钮。

   注解

   如果一个快照处理过程正在进行，那么点击这个按钮是没有反应的。

5. 提供一个名称和秒数。这些会显示在VM快照列表中。

6. (仅限运行中的VMs)如果你想在快照中包含VM的内存状态，请勾选内存。这可以保存虚拟机的CPU和内存状态。如果你不勾选这个选项，那么只有VM目前磁盘状态会被保存。勾选了这个选项会让快照过程变长。

7. 静止VM：如果你想在做快照之前让VM的文件系统处于静止状态，请勾选此选项。使用CloudStack提供的主存储的XenServer环境不受支持。

   当这个选项在CloudStack提供的主存储中使用了，那么静止操作是由底层的hypervisor完成的(VMware支持)。当使用了其他主存储提供商的插件，静止操作是由其提供商的软件完成的，

8. 点击确定。

要删除一个快照或者还原VM的状态到指定的一个快照：

1. 通过之前描述的步骤定位至VM。

2. 点击查看VM快照。

3. 在快照列表中，点击你要操作的快照名字。

4. 取决于你想做什么：

   要删除快照，点击删除按钮。

   要还原至此快照，点击还原按钮。

运行中VMs的CPU和内存的扩展和缩减¶

(支持XenServer、KVM和VMware)

通常当你第一次部署VM的时候不太可能精确地预计CPU和RAM需求。你可能必须在VM的生命周期内的任何时间增加这些资源。你可以在不中断运行状态中的VM的情况下，动态的修改CPU和RAM级别来提升这些资源，、。

动态CPU和RAM扩展和缩减能被用于一下情况：

• 运行VMware和XenServer的主机上的用户VMs。
• VMware上的系统VMs。
• 虚拟机上必须安装VMware Tools或者XenServer Tools。
• 对于新的CPU和RAM大小必须在hypervisor和VM操作系统要求之内。
• 在CloudStack 4.2安装完以后创建的新VMs都可以使用动态扩展和缩减功能。如果你的CloudStack是从旧版本升级而来的，其上已有的VMs不会支持动态扩展和缩减功能，除非你按照下面的过程来升级这些VM。

升级已有VMs¶

如果你正在升级旧版本的CloudStack，并且你还想让你的旧版本VMs拥有动态扩展和缩减能力，请使用以下步骤来升级VMs：

1. 确保区域级别设置enable.dynamic.scale.vm被设置为true。在CloudStack UI的左侧导航条，点击基础架构，然后点击区域，点击你要操作的区域，然后点击Settings标签。
2. 在每台VM上安装Xen tools(适用于XenServer主机)或者VMware Tools(适用于VMware主机)。
3. 停止VM。
4. 点击编辑按钮。
5. 点击动态伸缩选框。
6. 点击应用
7. 重启VM。

配置动态CPU和RAM伸缩¶

要配置此功能，请使用下面的全局配置变量：

• enable.dynamic.scale.vm：设置为True以启用此功能。默认情况下，此功能是被关闭的。
• scale.retry：伸缩操作的重试次数。默认为2。

如果动态伸缩CPU和RAM¶

要修改虚拟机的CPU和/或RAM，你必须更改VM的计算方案为你想要的。你可以按照上文中所述的同样的步骤 “Changing the Service Offering for a VM”，但是要跳过停止虚拟机的步骤。当然，你可能必须先创建一个新的计算方案。

当你提交一个动态伸缩的请求的时候，当前主机可能会扩展资源。如果主机没有足够的资源，VM会被在线迁移至同一群集中的其他主机。如果群集中没有能满足CPU和RAM条件的主机，那么扩展操作会失败。不用担心，VM会往常一样继续运行。

局限性¶

• 你不能为XenServer上运行的系统VMs进行动态伸缩操作。
• CloudStack不会检查新的CPU和RAM级别是不是符合VM操作系统的要求。
• 当为VMware上运行的Linux VM扩展内存或者CPU的时候，你可能需要运行额外的脚本。更多信息，请参阅VMware知识库中的 在Linux中热添加内存 (1012764)
• (VMware)如果当前主机上没有可用资源，因为一个已知的问题，VMware上的虚机扩展会失败，这是因为CloudStack和vCenter计算可用容量方法的不同。更多信息，请参阅`https://issues.apache.org/jira/browse/CLOUDSTACK-1809 <https://issues.apache.org/jira/browse/CLOUDSTACK-1809>`_。
• 对于运行Linux 64位和Windows 7 32位操作系统的VMs，如果VM初始分配的RAM小于3GB，那么它最大能动态的扩展到3GB。这是因为这些操作系统已知的问题，如果尝试从小于3G动态扩展至超过3G的话，操作系统会宕机。

添加ISO¶

为了添加额外的操作系统或者给来宾VMs使用其它软件，你可以添加ISO。操作系统镜像被认为是最典型的ISO，但是你也能添加软件类型的ISOs，例如你想把安装的桌面应用作为模板的一部分。

1. 使用管理员或者终端用户账号登录CloudStack UI。

2. 在左侧的导航栏，点击模板。

3. 在选择视图中，选择ISOs。

4. 点击添加ISO。

5. 在添加ISO界面中，提供下列信息:

   • 名称: ISO 镜像的简称。例如，CentOS6.2 64-bit。

   • 描述: 对于ISO镜像的描述。例如，CentOS 6.2 64-bit.

   • URL: ISO镜像主机的URL。管理服务器必须能够通过HTTP访问这个地址。如果有需要你可以直接将ISO放置到管理服务器中。

   • 区域: 选择你希望该ISO在到哪个区域可用，或者选择所有区域使该ISO在CloudStack中全部区域中可用。

   • 可启动: 来宾是否可以通过该ISO镜像启动。例如，一个CentOS ISO 是可启动的，一个Microsoft Office ISO 是不可启动的。

   • **操作系统类型*: 这有助于CloudStack和Hypervisor执行某些操作并假设可提高来宾虚拟机的性能。选择下列之一。

     • 如果你需要的ISO镜像对应的操作系统在列表中，请选择它。
     • 如果ISO镜像的操作系统类型没有被列出或者ISO是不可引导的，选择Other。
     • (仅针对XenServer) 如果你想使用这个ISO在PV 模式中引导，选择 Other PV (32-bit) 或 Other PV(64-bit)
     • (仅针对KVM) 如果你选择一个操作系统为PV-enabled,， 通过这个ISO创建的虚拟机会有一个SCSI(virtio)根磁盘。如果这个操作系统没有PV-enabled,,虚拟机将有一个IDE根磁盘。PV-enabled 类型是:
       • Fedora 13
       • Fedora 12
       • Fedora 11
       • Fedora 10
       • Fedora 9
       • Other PV
       • Debian GNU/Linux
       • CentOS 5.3
       • CentOS 5.4
       • CentOS 5.5
       • Red Hat Enterprise Linux 5.3
       • Red Hat Enterprise Linux 5.4
       • Red Hat Enterprise Linux 5.5
       • Red Hat Enterprise Linux 6

     注解

     不建议选择一个比操作系统镜像老的版本。例如，选择CentOS 5.4 去支持一个CentOS6.2的镜像通常导致不能工作。在这种情况下，去选择Other。

   • 可提取: 如果该ISO可以被提取出来，则选择Yes。

   • 公共: 如果该ISO可以被所有用户使用，则选择Yes。

   • 精选: 如果你想这个用户在选择这个ISO时更加突出则选择Yes。该ISO将出现在精选ISO列表中。只有管理员可以设置ISO为精选。

6. 点击确定。

   管理服务器将下载该ISO。根据ISO镜像的大小，下载过程可能会用很长时间。一旦该镜像已经被成功下载到辅助存储时ISO 状态栏将会显示Ready。点击刷新更新更新百分比。

7. 重要: 等等ISO下载完成过程中。如果你想执行下一个任务并且尝试正常使用该ISO，这将会失败。在CloudStack 使用它之前该ISO必须是完整且有效的。

附加ISO到虚拟机¶

1. 在左侧的导航菜单中，点击实例。
2. 选择要使用的虚拟机。
3. 点击附加ISO按钮。
4. 在附加ISO对话框中，选择所需的ISO。
5. 点击确定。

改变VM’s 的基础镜像¶

每个VM都是通过基础镜像创建的，可以是创建并存储在CloudStack中的一个模版或者一个ISO镜像。云管理员和终端用户都可以创建和修改模版，ISO和VM。

在CloudStack中，你可以改变虚拟机的基础磁盘从一个模版换成其他模版，或从一个ISO换成其他ISO。(你不能把ISO变成模版或模版变成ISO。)

例如，假设有一个模板基于一个特定的操作系统，并且操作系统厂商发布了一个补丁。管理员和用户理所当然的想要将该补丁应用到已经存在的虚拟机中，并确保虚拟机开始使用它。无论是否涉及软件更新，也有可能只是将虚拟机从当前的模板切换至其他所需的模板。

要改变熏鸡的基础镜像，通过虚拟机iD和新的模版ID调用restoreVirtualMachine API命令。模版ID参数可以参考模版或者ISO，取决于虚拟机正在使用的基础镜像类型(它必须匹配先前的镜像类型)。当这个调用生效时，虚拟机的根磁盘首先被摧毁，然后通过指定的模版ID参数创建根磁盘。新的根磁盘会附件到虚拟机中，现在虚拟机已经基于新的模版了。

你同样可以在调用restoreVirtualMachine时忽略模版ID参数。在这个情况下，虚拟机的根磁盘被摧毁并重新创建。但相同的模版或ISO已经被该虚拟机使用。

创建一个支持SSH秘钥的实例模板¶

创建一个支持SSH秘钥的实例模板。

1. 使用CloudStack提供的模板创建一个新的实例。

   关于创建新实例的更多信息，请参阅

2. 从 The SSH Key Gen Script 下载CloudStack脚本到你已经创建的实例中。

   wget https://raw.githubusercontent.com/apache/cloudstack/master/setup/bindir/cloud-set-guest-sshkey.in
   

3. 复制这个脚本到 /etc/init.d。

   cp cloud-set-guest-sshkey.in /etc/init.d/
   

4. 给这个脚本必要的权限：

   chmod +x /etc/init.d/cloud-set-guest-sshkey.in
   

5. 当系统启动的时候运行脚本：

   chkconfig --add cloud-set-guest-sshkey.in
   

6. 停止实例。

创建SSH秘钥对¶

你必须给createSSHKeyPair api方法做一个调用。你可以使用CloudStack Python API 库或curl 命令给CloudStack API做调用。

比如，从CloudStack服务器为根域中的管理员帐户做调用来创建一个SSH秘钥对 ，名称为 “keypair-doc” ：

1. 运行如下curl命令：

   curl --globoff "http://localhost:8096/?command=createSSHKeyPair&name=keypair-doc&account=admin&domainid=5163440e-c44b-42b5-9109-ad75cae8e8a2"
   

   输出的内容与下面所示的类似：

   <?xml version="1.0" encoding="ISO-8859-1"?><createsshkeypairresponse cloud-stack-version="3.0.0.20120228045507"><keypair><name>keypair-doc</name><fingerprint>f6:77:39:d5:5e:77:02:22:6a:d8:7f:ce:ab:cd:b3:56</fingerprint><privatekey>-----BEGIN RSA PRIVATE KEY-----
   MIICXQIBAAKBgQCSydmnQ67jP6lNoXdX3noZjQdrMAWNQZ7y5SrEu4wDxplvhYci
   dXYBeZVwakDVsU2MLGl/K+wefwefwefwefwefJyKJaogMKn7BperPD6n1wIDAQAB
   AoGAdXaJ7uyZKeRDoy6wA0UmF0kSPbMZCR+UTIHNkS/E0/4U+6lhMokmFSHtu
   mfDZ1kGGDYhMsdytjDBztljawfawfeawefawfawfawQQDCjEsoRdgkduTy
   QpbSGDIa11Jsc+XNDx2fgRinDsxXI/zJYXTKRhSl/LIPHBw/brW8vzxhOlSOrwm7
   VvemkkgpAkEAwSeEw394LYZiEVv395ar9MLRVTVLwpo54jC4tsOxQCBlloocK
   lYaocpk0yBqqOUSBawfIiDCuLXSdvBo1Xz5ICTM19vgvEp/+kMuECQBzm
   nVo8b2Gvyagqt/KEQo8wzH2THghZ1qQ1QRhIeJG2aissEacF6bGB2oZ7Igim5L14
   4KR7OeEToyCLC2k+02UCQQCrniSnWKtDVoVqeK/zbB32JhW3Wullv5p5zUEcd
   KfEEuzcCUIxtJYTahJ1pvlFkQ8anpuxjSEDp8x/18bq3
   -----END RSA PRIVATE KEY-----
   </privatekey></keypair></createsshkeypairresponse>
   

2. 复制秘钥的数据到一个文件。这个文件类似于：

   -----BEGIN RSA PRIVATE KEY-----
   MIICXQIBAAKBgQCSydmnQ67jP6lNoXdX3noZjQdrMAWNQZ7y5SrEu4wDxplvhYci
   dXYBeZVwakDVsU2MLGl/K+wefwefwefwefwefJyKJaogMKn7BperPD6n1wIDAQAB
   AoGAdXaJ7uyZKeRDoy6wA0UmF0kSPbMZCR+UTIHNkS/E0/4U+6lhMokmFSHtu
   mfDZ1kGGDYhMsdytjDBztljawfawfeawefawfawfawQQDCjEsoRdgkduTy
   QpbSGDIa11Jsc+XNDx2fgRinDsxXI/zJYXTKRhSl/LIPHBw/brW8vzxhOlSOrwm7
   VvemkkgpAkEAwSeEw394LYZiEVv395ar9MLRVTVLwpo54jC4tsOxQCBlloocK
   lYaocpk0yBqqOUSBawfIiDCuLXSdvBo1Xz5ICTM19vgvEp/+kMuECQBzm
   nVo8b2Gvyagqt/KEQo8wzH2THghZ1qQ1QRhIeJG2aissEacF6bGB2oZ7Igim5L14
   4KR7OeEToyCLC2k+02UCQQCrniSnWKtDVoVqeK/zbB32JhW3Wullv5p5zUEcd
   KfEEuzcCUIxtJYTahJ1pvlFkQ8anpuxjSEDp8x/18bq3
   -----END RSA PRIVATE KEY-----
   

3. 保存文件。

创建实例¶

在你保存了SSH秘钥对文件之后，你必须使用你在`章节 5.2.1, “ 创建支持SSH秘钥的实例模板” <#create-ssh-template>`__中创建的模来板创建一个实例。确保你使用与你在`章节 5.2.2, “创建秘钥对” <#create-ssh-keypair>`__中创建的同样的SSH秘钥名称。

使用简单的curl命令创建新的实例：

curl --globoff http://localhost:<port number>/?command=deployVirtualMachine\&zoneId=1\&serviceOfferingId=18727021-7556-4110-9322-d625b52e0813\&templateId=e899c18a-ce13-4bbf-98a9-625c5026e0b5\&securitygroupids=ff03f02f-9e3b-48f8-834d-91b822da40c5\&account=admin\&domainid=1\&keypair=keypair-doc

在你的云环境中，服务方案和安全组IDs(如果你使用安全组功能)可以替代模板。

使用SSH秘钥对登录¶

测试你的SSH秘钥的生成是否成功，需要检查是否能够登录到云中。

举个例子，在LinuxOS中，运行：

ssh -i ~/.ssh/keypair-doc <ip address>

参数-i是通知ssh客户端使用一个在~/.ssh/keypair-doc中找到的ssh秘钥。

重置SSH密钥¶

通过API命令resetSSHKeyForVirtualMachine，用户可以设置或者重设分配给虚拟机的SSH秘钥对。可以更改丢失或被盗用的SSH密钥对，并且用户可以使用新的秘钥对来访问VM。只要创建或注册新的密钥对然后调用resetSSHKeyForVirtualMachine。

Using Cloud-Init¶

Cloud-Init can be use to access an interpret user-data from virtual machines. Cloud-Init be installed into templates and also require CloudStack password and sshkey scripts (Adding Password Management to Your Templates and using ssh keys). User password management and resetSSHKeyForVirtualMachine API are not yet supported by cloud-init.

1. Install cloud-init package into a template:

   # yum install cloud-init
     or
   $ sudo apt-get install cloud-init
   

2. Create datasource configuration file: /etc/cloud/cloud.cfg.d/99_cloudstack.cfg

   datasource:
     CloudStack: {}
     None: {}
   datasource_list:
     - CloudStack
   

user-data example¶

This example use cloud-init to Upgrade Operating-System of the newly created VM:

#cloud-config

# Upgrade the instance on first boot
# (ie run apt-get upgrade)
#
# Default: false
# Aliases: apt_upgrade
package_upgrade: true

base64 formated:

I2Nsb3VkLWNvbmZpZw0KDQojIFVwZ3JhZGUgdGhlIGluc3RhbmNlIG9uIGZpcnN0IGJvb3QNCiMgKGllIHJ1biBhcHQtZ2V0IHVwZ3JhZGUpDQojDQojIERlZmF1bHQ6IGZhbHNlDQojIEFsaWFzZXM6IGFwdF91cGdyYWRlDQpwYWNrYWdlX3VwZ3JhZGU6IHRydWUNCg==

Refer to Cloud-Init CloudStack datasource documentation for latest capabilities. Cloud-Init and Cloud-Init CloudStack datasource are not supported by Apache CloudStack community.

Prerequisites and System Requirements¶

Before proceeding, ensure that you have these prerequisites:

• The vGPU-enabled XenServer 6.2 and later versions. For more information, see Citrix 3D Graphics Pack.
• GPU/vPGU functionality is supported for following HVM guest operating systems: For more information, see Citrix 3D Graphics Pack.
• Windows 7 (x86 and x64)
• Windows Server 2008 R2
• Windows Server 2012
• Windows 8 (x86 and x64)
• Windows 8.1 (“Blue”) (x86 and x64)
• Windows Server 2012 R2 (server equivalent of “Blue”)
• CloudStack does not restrict the deployment of GPU-enabled VMs with guest OS types that are not supported by XenServer for GPU/vGPU functionality. The deployment would be successful and a GPU/vGPU will also get allocated for VMs; however, due to missing guest OS drivers, VM would not be able to leverage GPU resources. Therefore, it is recommended to use GPU-enabled service offering only with supported guest OS.
• NVIDIA GRID K1 (16 GiB video RAM) AND K2 (8 GiB of video RAM) cards supports homogeneous virtual GPUs, implies that at any given time, the vGPUs resident on a single physical GPU must be all of the same type. However, this restriction doesn’t extend across physical GPUs on the same card. Each physical GPU on a K1 or K2 may host different types of virtual GPU at the same time. For example, a GRID K2 card has two physical GPUs, and supports four types of virtual GPU; GRID K200, GRID K220Q, GRID K240Q, AND GRID K260Q.
• NVIDIA driver must be installed to enable vGPU operation as for a physical NVIDIA GPU.
• XenServer tools are installed in the VM to get maximum performance on XenServer, regardless of type of vGPU you are using. Without the optimized networking and storage drivers that the XenServer tools provide, remote graphics applications running on GRID vGPU will not deliver maximum performance.
• To deliver high frames from multiple heads on vGPU, install XenDesktop with HDX 3D Pro remote graphics.

Before continuing with configuration, consider the following:

• Deploying VMs GPU/vGPU capability is not supported if hosts are not available with enough GPU capacity.
• A Service Offering cannot be created with the GPU values that are not supported by CloudStack UI. However, you can make an API call to achieve this.
• Dynamic scaling is not supported. However, you can choose to deploy a VM without GPU support, and at a later point, you can change the system offering to upgrade to the one with vGPU. You can achieve this by offline upgrade: stop the VM, upgrade the Service Offering to the one with vGPU, then start the VM.
• Live migration of GPU/vGPU enabled VM is not supported.
• Limiting GPU resources per Account/Domain is not supported.
• Disabling GPU at Cluster level is not supported.
• Notification thresholds for GPU resource is not supported.

Supported GPU Devices¶

GPU/vGPU Assignment Workflow¶

CloudStack follows the below sequence of operations to provide GPU/vGPU support for VMs:

1. Ensure that XenServer host is ready with GPU installed and configured. For more information, see Citrix 3D Graphics Pack.

2. Add the host to CloudStack. CloudStack checks if the host is GPU-enabled or not. CloudStack queries the host and detect if it’s GPU enabled.

3. Create a compute offering with GPU/vGPU support: For more information, see Creating a New Compute Offering..

4. Continue with any of the following operations:

   • Deploy a VM.

     Deploy a VM with GPU/vGPU support by selecting appropriate Service Offering. CloudStack decide which host to choose for VM deployment based on following criteria:

     • Host has GPU cards in it. In case of vGPU, CloudStack checks if cards have the required vGPU type support and enough capacity available. Having no appropriate hosts results in an InsufficientServerCapacity exception.
     • Alternately, you can choose to deploy a VM without GPU support, and at a later point, you can change the system offering. You can achieve this by offline upgrade: stop the VM, upgrade the Service Offering to the one with vGPU, then start the VM. In this case, CloudStack gets a list of hosts which have enough capacity to host the VM. If there is a GPU-enabled host, CloudStack reorders this host list and place the GPU-enabled hosts at the bottom of the list.

   • Migrate a VM.

     CloudStack searches for hosts available for VM migration, which satisfies GPU requirement. If the host is available, stop the VM in the current host and perform the VM migration task. If the VM migration is successful, the remaining GPU capacity is updated for both the hosts accordingly.

   • Destroy a VM.

     GPU resources are released automatically when you stop a VM. Once the destroy VM is successful, CloudStack will make a resource call to the host to get the remaining GPU capacity in the card and update the database accordingly.

Linux的系统准备工作¶

下列步骤将会为模板准备一个基本的Linux安装。

1. 安装

   通常在安装过程中给VM命名是一个好的做法，这么做能确保某些组件如LVM不会只在一台机器中出现。推荐在在安装过程中使用”localhost”命名。

   警告

   对于CentOS，必须要修改网络接口的配置文件，在这里我们编辑/etc/sysconfig/network-scripts/ifcfg-eth0文件，更改下面的内容。

   DEVICE=eth0
   TYPE=Ethernet
   BOOTPROTO=dhcp
   ONBOOT=yes
   

   下一步更新主模板中的包。

   • Ubuntu

     sudo -i
     apt-get update
     apt-get upgrade -y
     apt-get install -y acpid ntp
     reboot
     

   • CentOS

     ifup eth0
     yum update -y
     reboot
     

2. 密码管理

   注解

   如果需要，客户(如在Ubuntu的安装过程中创建的用户)应该被移除。首先确认root用户账户是启用的并且使用了密码，然后使用root登录。

   sudo passwd root
   logout
   

   使用root，移除任何在安装过程中创建的自定义用户账户。

   deluser myuser --remove-home
   

   关于设置密码管理脚本的相关说明，请参阅 Adding Password Management to Your Templates ，这样能允许CloudStack通过web界面更改root密码。

3. 主机名管理

   默认情况下CentOS在启动的时候配置主机名。但是，Ubuntu却没有此功能，对于Ubuntu，安装时使用下面步骤。

   • Ubuntu

     The hostname of a Templated VM is set by a custom script in /etc/dhcp/dhclient-exit-hooks.d, this script first checks if the current hostname is localhost, if true, it will get the host-name, domain-name and fixed-ip from the DHCP lease file and use those values to set the hostname and append the /etc/hosts file for local hostname resolution. Once this script, or a user has changed the hostname from localhost, it will no longer adjust system files regardless of its new hostname. The script also recreates openssh-server keys, which should have been deleted before templating (shown below). Save the following script to /etc/dhcp/dhclient-exit-hooks.d/sethostname, and adjust the permissions.

     #!/bin/sh
     # dhclient change hostname script for Ubuntu
     oldhostname=$(hostname -s)
     if [ $oldhostname = 'localhost' ]
     then
         sleep 10 # Wait for configuration to be written to disk
         hostname=$(cat /var/lib/dhcp/dhclient.eth0.leases  |  awk ' /host-name/ { host = $3 }  END { printf host } ' | sed     's/[";]//g' )
         fqdn="$hostname.$(cat /var/lib/dhcp/dhclient.eth0.leases  |  awk ' /domain-name/ { domain = $3 }  END { printf     domain } ' | sed 's/[";]//g')"
         ip=$(cat /var/lib/dhcp/dhclient.eth0.leases  |  awk ' /fixed-address/ { lease = $2 }  END { printf lease } ' | sed     's/[";]//g')
         echo "cloudstack-hostname: Hostname _localhost_ detected. Changing hostname and adding hosts."
         printf " Hostname: $hostname\n FQDN: $fqdn\n IP: $ip"
         # Update /etc/hosts
         awk -v i="$ip" -v f="$fqdn" -v h="$hostname" "/^127/{x=1} !/^127/ && x { x=0; print i,f,h; } { print $0; }" /etc/hosts > /etc/hosts.dhcp.tmp
         mv /etc/hosts /etc/hosts.dhcp.bak
         mv /etc/hosts.dhcp.tmp /etc/hosts
         # Rename Host
         echo $hostname > /etc/hostname
         hostname -b -F /etc/hostname
         echo $hostname > /proc/sys/kernel/hostname
         # Recreate SSH2
         export DEBIAN_FRONTEND=noninteractive
         dpkg-reconfigure openssh-server
     fi
     ### End of Script ###
     
     chmod 774  /etc/dhcp/dhclient-exit-hooks.d/sethostname
     

   警告

   当你准备好做你的主模板的时候请运行下列步骤。如果主模板在这些步骤期间重启了，那么你要重新运行所有的步骤。在这个过程的最后，主模板应该关机并且将其创建为模板，然后再部署。

4. 移除udev持久设备规则

   这一步会移除你的主模板的特殊信息，如网络MAC地址，租约信息和CD块设备，这个文件会在下次启动时自动生成。

   • Ubuntu

     rm -f /etc/udev/rules.d/70*
     rm -f /var/lib/dhcp/dhclient.*
     

   • CentOS

     rm -f /etc/udev/rules.d/70*
     rm -f /var/lib/dhclient/*
     

5. 移除SSH Keys

   这步是为了确认所有要作为模板的VMs的SSH Keys都不相同，否则这样会降低虚拟机的安全性。

   rm -f /etc/ssh/*key*
   

6. 清除日志文件

   从主模板移除旧的日志文件是一个好习惯。

   cat /dev/null > /var/log/audit/audit.log 2>/dev/null
   cat /dev/null > /var/log/wtmp 2>/dev/null
   logrotate -f /etc/logrotate.conf 2>/dev/null
   rm -f /var/log/*-* /var/log/*.gz 2>/dev/null
   

7. 设置主机名

   为了Ubuntu DHCP的脚本功能和CentOS dhclient能设置VM主机名，他们都去要设置主模板的主机名设置为“localhost”，运行下面的命令来更改主机名。

   hostname localhost
   echo "localhost" > /etc/hostname
   

8. 设置用户密码期限

   这步是要在模板部署之后强制用户更改VM的密码。

   passwd --expire root
   

9. 清除用户历史

   下一步来清除你曾经运行过的bash命令。

   history -c
   unset HISTFILE
   

10. 关闭VM

    现在你可以关闭你的主模板并且创建模板了！

    halt -p
    

11. 创建模板！

    现在你可以创建模板了，更多信息请参阅 “从已存在的虚拟机创建模板”。

为Windows Server 2008 R2进行系统准备¶

对于Windows 2008 R2，你运行Windows系统镜像管理来创建一个自定义的sysprep应答XML文件。Windows系统镜像管理作为Windows Automated Installation Kit (AIK)的一部分安装在系统中。Windows AIK可以从 `微软下载中心 <http://www.microsoft.com/en-us/download/details.aspx?id=9085>`_下载到。

按照以下步骤运行Windows 2008 R2的sysprep：

1. 下载和安装Windows AIK

   注解

   刚刚创建的Windows 2008 R2上面并没有安装Windows AIK。Windows AIK不是你创建的模板中的一部分。它仅仅用于创建sysprep应答文件。

2. 在\Windows 2008 R2安装DVD中的源目录复制install.wim文件到本地硬盘。这是一个非常大的文件可能会复制较长时间。Windows AIK要求WIM文件是可写的。

3. 打开Windows系统镜像管理器。

4. 在Windows镜像面板，右击选择一个Windows镜像或编录文件选项来读取你刚刚复制的install.wim文件。

5. 选择Windows 2008 R2版本。

   你可能会收到一个警告提示说不能打开编录文件。点击是来创建一个新的编录文件。

6. 在应答文件面板，右击来创建一个新的应答文件。

7. 使用以下步骤从Windows系统镜像管理器生成应答文件：

   1. 第一个页面你必须让语言和国家或位置选择页面是自动的。要使这个自动化，请在你的Windows 镜像面板扩展组件，右击Microsoft-Windows-International-Core添加设置以传送 7 oobeSystem。在你的应答文件面板中，为语言和国家或位置用适当的设置配置InputLocale、SystemLocale、UILanguage、和UserLocale。你可能对这些设置有疑问，你可以指定一个设置右击选择帮助。这将打开对应的CHM帮助文件，这里面包括了与你尝试配置的设置相关的一些示例。

      

   2. 你需要将软件授权选择页配置为自动进行，这不是众所周知的EULA。为此，展开Microsoft-Windows-Shell-Setup组件，选中OOBE 设置，将此设置加入到Pass 7 oobeSystem中去。在设置中，将HideEULAPage 设置为true。

      

   3. 确保恰当的设置了序列号。如果使用MAK的话，可以在Windows2008R2的虚拟机上输入MAK。并不需要将MAK输入到Windows映像管理器中。如果你使用KMS主机进行激活，则不需要输入产品序列号。Windows卷激活的详细信息可以在http://technet.microsoft.com/en-us/library/bb892849.aspx 上查看。

   4. 类似机械化的操作还有更改管理员密码页。展开Microsoft-Windows-Shell-Setup组件（如果没有展开的话），展开用户账户，右键点击管理员密码，添加设置到Pass 7 oobeSystem配置，在设置中，指定一个密码。

      

      可能会需要阅读AIK文档并设置多个选项来适合你的部署。以上的步骤至少需要使windows脱离建立网络的过程。

8. 将答案文件保存为unattend.xml，可以忽略验证窗口中的警告信息。

9. 将unattend.xml文件拷贝到Windows 2008 R2 虚拟机的c:\windows\system32\sysprep 文件夹下，

10. 一旦将unattend.xml文件放到 c:\windows\system32\sysprep文件夹下，则按以下步骤运行sysprep工具：

    cd c:\Windows\System32\sysprep
    sysprep.exe /oobe /generalize /shutdown
    

    Windows 2008 R2虚拟机在sysprep完成后，会自动关闭。

针对Windows Server 2003R2的系统准备¶

早期的windows版本有个不同的sysprep的工具，按照这些步骤准备Windows Server 2003 R2。

1. 从Windows 安装CD中提取\support\tools\deploy.cab到WIndows 2003 R2 虚拟机中的此目录 c:\sysprep。

2. 运行 c:\sysprep\setupmgr.exe 来创建syprep.inf文件。

   1. 选择创建新的来创建一个新的应答文件。
   2. 安装的类型选择 “Sysprep 安装”
   3. 选择合适的OS版本
   4. 在许可协议界面，选择”是，完全自动安装”
   5. 提供你的名称和组织。
   6. 保留显示设置为默认。
   7. 设置合适的时区。
   8. 提供你的产品key。
   9. 给你的部署选择一个合适的许可模式。
   10. 选择”自动生成计算机名”。
   11. 输入一个默认的管理员密码。如果你启用了密码重置功能，用户实际上将不会使用这个密码。在来宾虚机启动之后实例管理器会重置密码。
   12. 网络组件使用”典型设置”。
   13. 选择“WORKGROUP”选项。
   14. 电话服务使用默认。
   15. 选择合适的区域设置。
   16. 选择合适的语言选项。
   17. 不要安装打印机。
   18. 不要指定”运行一次”。
   19. 你不必指定标示字符串。
   20. 将应答文件保存到c:\sysprep\sysprep.inf。

3. 运行以下命令行来sysprep镜像：

   c:\sysprep\sysprep.exe -reseal -mini -activated
   

   在这个步骤之后，虚拟机会自动关机。

Linux系统安装¶

使用一下步骤开始Linux系统的安装：

1. 下载cloud-set-guest-password脚本文件：

   • https://download.cloudstack.org/templates/4.2/bindir/cloud-set-guest-password.in

2. Rename the file:

   mv cloud-set-guest-password.in cloud-set-guest-password
   

3. 拷贝本文件到 /etc/init.d 。

   在某些linux发行版拷贝此文件到 /etc/rc.d/init.d。

4. 执行以下命令使脚本可执行：

   chmod +x /etc/init.d/cloud-set-guest-password
   

5. 根据不同的Linux发行版，选择适当的步骤继续。

   在Fedora,CentOS/RHEL和Debian上运行：

   chkconfig --add cloud-set-guest-password
   

Windows OS 安装¶

从`下载页<http://sourceforge.net/projects/cloudstack/files/Password%20Management%20Scripts/CloudInstanceManager.msi/download>`_ 下载安装程序CloudInstanceManager.msi，并在新创建的Windows 虚拟机中运行安装程序。

vCenter与维护模式¶

要使vCenter主机进入维护模式，vCenter和CloudStack上都必须进行此操作。CloudStack和vCenter有各自的维护模式，他们需要紧密合作。

1. 在CloudStack中，将主机进入”维护计划”模式。这个操作不会调用vCenter的维护模式，但是会将VMs迁离该主机。

   当CloudStack维护模式启用后，主机首先会进入准备维护状态。在这个阶段它不能运行新的来宾VMs。然后所有的VMs将会被迁离该主机。主机使用在线迁移来迁移VMs。这种方式能够使来宾VMs在迁移到其他主机的过程中不会中断用户的操作。

2. 等”准备好维护”指示灯出现在UI中。

3. 现在使用vCenter通过必要的步骤将主机进入维护模式。在此期间，主机不会运行新的VM。

4. 当维护任务完成之后，按以下操作将主机退出维护模式：

   1. 首先通过vCenter退出vCenter维护模式。

      这么做是为了主机能够准备好以便CloudStack恢复它。

   2. 然后通过CloudStack的管理员UI来取消CloudStack维护模式

      当主机恢复正常，被迁移走的VMs可能需要手工迁移回来并且也能在主机上添加新的VMs了。

XenServer和维护模式¶

对于XenServer，你能够通过使用XenCenter中的维护模式功能将一台服务器临时的离线。当你使一台服务器进入维护模式，所有运行的VMs都会自动的迁移到同一个池中的其他主机上。如果此服务器是池master主机，那么此池会选举一个新的master主机。当一台服务器在维护模式下时，你不能在上面创建或启动任何VMs。

使一台服务器进入维护模式：

1. 在资源面板，选择服务器，然后按下列步骤进行操作：
   • 右击，然后在弹出的快捷菜单中点击进入维护模式。
   • 在服务器菜单，点击进入维护模式。
2. 点击进入维护模式。

当所有运行当中的VMs成功的迁离该主机后，在资源面板中会显示服务器的状态。

使服务器退出维护模式：

1. 在资源面板，选择服务器，然后按下列步骤进行操作：
   • 右击，然后在弹出的快捷菜单中点击退出维护模式。
   • 在服务器菜单，点击提出维护模式。
2. 点击退出维护模式。

移除XenServer和KVM主机¶

cluster中的主机只有进入维护模式才能被移除。这么做是为了确保其上所有的VMs被迁移至其他主机。要从云中移除一个主机：

1. 将主机进入维护模式。

   请参考`“主机的维护计划与维护模式” <#scheduled-maintenance-and-maintenance-mode-for-hosts>`_.

2. 对于KVM，停止cloud-agent服务。

3. 使用UI选项来移除主机。

   然后你可以关掉主机，重用它的IP地址，重新安装系统，等等。

移除vSphere主机¶

要移除此类型的主机，首先按照 `“主机的维护计划与维护模式” <#scheduled-maintenance-and-maintenance-mode-for-hosts>`_中的描述将其进入维护模式。然后使用CloudStack来移除主机。使用CloudStack移除主机时，CloudStack不会直接操作主机。但是，主机可能仍然存留在vCenter群集中。

XenServer和KVM中超配的局限性¶

• 在XenServer中，由于这个hypervisor的限制，超配系数不能超过4。
• KVM hypervisor不能动态的管理分配给VMs的内存。CloudStack设置VM能够使用的内存最小和最大量。Hypervisor基于存储器争用技术在设定范围内调整内存。

存储超配的要求¶

为了让超配能够正常工作需要几个前提条件。此特性取决于OS类型，hypervisor功能和特定的脚本。管理员负责确认这些条件都符合。

设置存储超配系数¶

管理员有两种方法来设置CPU和RAM超配系数。第一，当新的群集被创建完成的时候全局配置中的cpu.overprovisioning.factor和mem.overprovisioning.factor将生效。第二，对于已存在的群集可以直接修改系数。

只有在变更之后部署VMs，设置才会生效。如果想让变更之前部署的VMs也能继承新的超配比率，你必须重启VMs。当此操作完成之后，CloudStack会重新计算或者调整已使用的资源，并且基于新的超配比率预留出容量，以保证CloudStack正确的掌握了剩余容量的情况。

在已存在的群集中更改超配系数：

1. 使用管理员登录到CloudStack管理界面。

2. 在左侧导航栏中，点击基础架构

3. 在群集页面，点击查看所有。

4. 选择你要操作的群集，点击编辑按钮。

5. 在CPU overcommit ratio和RAM overcommit ratio区域里填入你希望的超配系数。这里的初始值是从全局配置设置里继承而来的。

   注解

   在XenServer中，由于这个hypervisor的限制，超配系数不能超过4。

服务方案限制和超配¶

服务方案限制（比如1GHz，1 core）是受到core数严格限制的。比如，一个使用1 core服务方案的用户只能用 1core，无论这个主机多空闲。

GHz的服务方案限制只存在于CPU资源的争用中。比如，假设用户在一个有2GHz core的主机上创建了一个1 GHz的服务方案，并且该用户是这个主机上唯一一个用户。那么该用户有2 GHz可用性能。当多个用户尝试使用CPU，则由权重系数来调度CPU资源。这个权重基于服务方案中的时钟速度。用户分配到的CPU GHz与服务方案中一致。比如，用户从一个2GHz服务方案中创建的VM分配到的CPU是从1 GHz方案中分配到的2倍。CloudStack不能提供内存的超配。

VLAN分配示例¶

公共和来宾流量要求使用VLAN，下面是一个VLAN分配的示例：

添加不连续的VLAN范围¶

CloudStack能让你灵活的给你的网络添加不连续的VLAN范围。在创建一个zone的时候，管理员要么更新一个已存在的VLAN范围，要么添加多个不连续的VLAN范围。你同样可以使用UpdatephysicalNetwork API来扩展VLAN范围。

1. 使用管理员或者终端用户账号登录CloudStack UI。

2. 确保VLAN范围没有被使用。

3. 在左边的导航，选择基础架构。

4. 在Zones上，点击查看更多，然后点击你要进行操作的zone。

5. 点击物理网络。

6. 在图中的来宾节点上，点击配置

7. 点击编辑|edit-icon.png|。

   现在VLAN范围区域是可编辑的了。

8. 指定VLAN范围的起始和结束用逗号隔开。

   指定所有你想使用的VLANs，如果你添加新的范围到已有列表里，那么没有指定的VLANs将被移除。

9. 点击应用

给隔离的网络指定VLAN。¶

CloudStack能够让你控制VLAN分配至隔离网络。作为一个Root管理员，当一个网络被创建后，你能为其分配一个VLAN ID，这个网络只能是共享网络。

同样被支持—当网络转换为运行状态是，VLAN是随机地通过物理网络的VNET范围分配给网络。当网络作为网络垃圾回收过程的一部分而关闭时，VLAN会被回收到VNET池。当网络再次启用的时候VLAN还能被其重用，或者其他网络使用。在每个新启用的网络中，都有一个新的VLAN被分配。

只有Root管理员能够分配VLANs，因为常规的用户和域管理员并不清楚物理网络拓扑。他们也不能查看哪个VLAN被分配给网络。

要把VLANs分配给隔离的网络，

1. 使用下列指定的步骤创建一个网络方案：

   • 来宾网络类型：选择隔离的。
   • 指定VLAN：选择一个选项。

   更多信息，请参考CloudStack安装指导。

2. 使用这个网络方案，创建一个网络。

   你可以创建一个VPC层或者一个隔离网络。

3. 当你创建网络的时候指定VLAN。

   当VLAN被指定后，CIDR和网关就被分配给这个网络了，并且它的状态也变成Setup了。在这个状态下，网络不会被回收。

主存储的最佳实践¶

• 主存储的速度会直接影响来宾虚机的性能。如果可能，为主存储选择选择容量小，转速高的硬盘或SSDs。

• CloudStack用两种方式使用主存储：

  静态：CloudStack管理存储的传统方式。在这个模式下，要给CloudStack预先分配几个存储(比如一个SAN上的卷)。然后CloudStack在上面创建若干个卷(可以是root和/或者数据盘)。如果使用这种技术，确保存储上没有数据。给CloudStack添加存储会销毁已存在的所有数据。

  动态：这是一个比较新的CloudStack管理存储的方式。在这个模式中，给CloudStack使用的是一个存储系统(但不是预分配的存储)。CloudStack配合存储一起工作，动态的在存储系统上创建卷并且存储系统上的每个卷都映射到一个CloudStack卷。这样做非常有利于存储的QoS。目前数据磁盘(磁盘方案)支持这个特性。

Runtime Behaviour of Primary Storage¶

当创建虚拟机的时候，root卷也会自动的创建。在VM被销毁的时候root卷也会被删除。数据卷可以被创建并动态的挂载到VMs上。VMs销毁时并不会删除数据卷。

管理员可以监控主存储设备的容量和在需要时添加其他的主存储。强参阅高级安装指导。

管理员通过CloudStack创建存储池来给系统添加主存储。每个存储池对应一个群集或者区域。

对于数据磁盘，当一个用户执行一个磁盘方案来创建数据磁盘的时候，初始化信息就被写到了CloudStack的数据库中。根据第一次给VM附加数据磁盘的请求，CloudStack决定这个卷的位置和空间占用在哪个存储(预分配存储和存储系统(比如SAN)中的任意一种，这取决于CloudStack使用的哪种主存储)。

Hypervisor对主存储的支持¶

下表显示了针对不同Hypervisors的存储选项和参数。

XenServer通过在iSCSI和FC卷上使用集群化的LVM系统来存储VM镜像，并且不支持存储超配。尽管存储本身支持自动精简配置。不过CloudStack仍然支持在有自动精简配置的存储卷上使用存储超配。

KVM支持 “Shared Mountpoint”存储。Shared Mountpoint是群集中每个服务器本地文件系统中的一个路径。群集所有主机中的该路径必须一致，比如/mnt/primary1。并假设Shared Mountpoint是一个集群文件系统如OCFS2。在这种情况下，CloudStack不会把它当做NFS存储去尝试挂载或卸载。CloudStack需要管理员确保该存储是可用的。

在NFS存储中，CloudStack管理超配。这种情况下，使用全局配置参数storage.overprovisioning.factor来控制超配的范围。且不受hyperviso类型约束。

在vSphere, XenServer和KVM中，本地存储是一个可选项。当选择了使用本地存储，所有主机会自动创建本地存储池。想要系统虚拟机 (例如虚拟路由器)使用本地存储，请设置全局配置参数system.vm.use.local.storage为true.

CloudStack支持在一个群集内有多个主存储池。比如，使用2个NFS服务器提供主存储。或原有的1个iSCSI LUN达到一定容量时再添加第二个iSCSI LUN。

存储标签¶

存储是可以被”标签”的。标签是与主存储、磁盘方案或服务方案关联的字符串属性。标签允许管理员给存储添加额外的信息。比如”SSD”或者”慢速”。CloudStack不负责解释标签。它不会匹配服务和磁盘方案的标签。CloudStack要求在主存储上分配root或数据磁盘之前，所有服务和磁盘方案的都已存在对应的标签。服务和磁盘方案的标签被用于识别方案对存储的要求。比如，高端服务方案可能需要它的root磁盘卷是”快速的”

标签，分配，跨集群或机架的卷复制之间的关系是很复杂的。简单的环境就是在一个机架内所有集群的主存储使用相同的标签。即使用这些标签表示不同设备，展现出来的标签组仍可以是一样的。

主存储的维护模式¶

主存储可以被设置成维护模式。这很有用，例如，替换存储设备中坏的RAM。对存储设备的维护模式将首先停止任何新的来自预处理的来宾虚机，然后停止所有有数据卷的来宾虚机。当所有来宾虚机被停止的时候，这个存储设备就进入维护模式了并且可以关机。当存储设备再次上线的时候，你可以对这个设备取消维护模式。CloudStack将返回在线状态并且试着启动所有曾在这个设备进入维护模式前运行的来宾机器。

创建新卷¶

你可以在符合你存储能力的情况下随时向来宾虚拟机添加多个数据卷。CloudStack的管理员和普通用户都可以向虚拟机实例中添加卷。当你创建了一个新卷，他以一个实体的形式存在于CloudStack中，但是在你将其附加到实例中之前他并不会被分配实际的物理空间。这个优化项允许CloudStack提供最接近来宾虚机的卷，并在第一个附加至虚机的时候使用它。

上传一个已存在的卷给虚拟机¶

已存在的数据现在可以被虚拟机存取。这个被称为上传一个卷到VM。例如，这对于从本地数据系统上传数据并将数据附加到VM是非常有用的。Root管理员、域管理员和终端用户都可以给VMs上传已存在的卷。

使用HTTP上传。上传的卷被存储在区域中的辅助存储中。

如果预配置的卷已经达到了上限的话，那么你就不能上传卷了。默认的限制在全局配置参数max.account.volumes中设置，但是管理员同样可以为每个用户域设置不同于全局默认的上限值。请参阅设置使用限制。

要上传一个卷：

1. (可选项)为将要上传的磁盘镜像文件创建一个MD5哈希(校验)。再上传数据磁盘之后，CloudStack将使用这个校验值来检查这个磁盘文件再上传过程中没有出错。

2. 用管理员或用户账号登录CloudStack UI

3. 在左侧导航栏点击存储。

4. 点击上传卷。

5. 填写以下内容：

   • 名称和描述。你想要的任何名称和一个简洁的描述，这些都会显示在UI中。

   • 可用的区域：选择你想存储卷的区域。运行在该区域中的主机上的VMs都可以附加这个卷。

   • 格式。在下面所指出的卷的磁盘镜像格式中选择一种。

     Hypervisor	磁盘镜像格式
     XenServer	VHD
     VMware	OVA
     KVM	QCOW2

   • URL。CloudStack用来访问你的磁盘的安全HTTP或HTTPS URL。URL对应的文件种类必须符合在格式中选择的。例如，格式为VHD，则URL必须像下面的：

     http://yourFileServerIP/userdata/myDataDisk.vhd

   • MD5校验。(可选项)使用在步骤1中创建的哈希。

6. 等到卷的上传显示完成。点击实例-卷，找到你在步骤5中指定的名称，单后确保状态是已上传。

附加一个卷¶

你可以通过附加一个卷来提供虚拟机的额外磁盘存储。当你第一次创建新卷，或移动已存在的卷到另一台虚拟机，或实在从另一个存储池迁移过来一个卷的时候你才可以附加一个卷。

1. 使用用户或管理员登录到CloudStack用户界面。
2. 在左侧导航栏点击存储。
3. 在选择视图中选择卷。
4. 在卷列表中点击卷的名称，然后点击附加磁盘按钮
5. 在弹出的实例界面，选择你打算附加卷的那台虚拟机。你只能看到允许你附加卷的实例；比如，普通用户只能看到他自己创建的实例，而管理员将会有更多的选择。
6. 当卷被附加之后，你通过点击实例看到实例名和该实例所附加的卷。

卸载和移动卷¶

卷可以从来宾虚机上卸载再附加到其他来宾虚机上。CloudStack管理员和用户都能从VMs上卸载卷再给其他VMs附加上。

如果两个VMs存在于不同的群集中，并且卷很大，那么卷移动至新的VM上可能要耗费比较长的时间。

1. 使用用户或管理员登录到CloudStack用户界面。
2. 在左侧的导航栏，点击存储，在选择视图中选择卷。或者，如果你知道卷要附加给哪个VM的话，你可以点击实例，再点击VM名称，然后点击查看卷。
3. 点击你想卸载卷的名字，然后点击卸载磁盘按钮。
4. 要移动卷至其他VM，按照`“附加卷” <#attaching-a-volume>`_中的步骤。

VM存储迁移¶

Supported in XenServer, VMware and KVM

你可以从同一区域中的一个存储池迁移虚机的root磁盘卷或任何其他的数据磁盘卷到其他的池

你可以使用存储迁移功能完成一些常用的管理目标。如将它们从有问题的存储池中迁移出去以平衡存储池的负载和增加虚拟机的可靠性。

在XenServer和VMware上，由于CloudStack支持XenMotion和vMotion，VM存储的在线迁移是启用的。在线存储迁移允许没有在共享存储上的VMs从一台主机迁移到另一台主机上。它提供选项让VM的磁盘与VM本身一起在线迁移。它让XenServer资源池之间/VMware群集之间迁移VM，或者在本地存储运行的VM，甚至是存储库之间迁移VM的磁盘成为可能，而且迁移同时VM是正在运行的。

For KVM, live storage migration is available from the 4.11 release and currently only supports migration from NFS/CEPH to SolidFire Managed Storage.

migrateVirtualMachineWithVolume virtualmachineid=ec5d3a84-2eb8-4a37-83f3-007b5013e3d9
hostid=bee55404-68e9-4710-bb10-ab9f4a3d357d
migrateto[0].pool=67654174-e2b6-4734-813d-2a4f0b027c0d migrateto[0].volume=ea390749-0194-4088-860c-71717c4efabe
migrateto[1].pool=67654174-e2b6-4734-813d-2a4f0b027c0d migrateto[1].volume=3b37927b-2cd2-46d1-aeca-18d4af46bda2

重新规划卷¶

CloudStack提供了调整数据盘大小的功能；CloudStack借助磁盘方案控制卷大小。这样提供了CloudStack管理员可以灵活地选择他们想要给终端用户多少可用空间。使用相同存储标签的磁盘方案中的卷可以重新划分。比如，如果你只想提供 10,50和100GB的方案，重新划分允许的极限就不会超过这些。也就是说，如果你定义了10GB，50GB和100GB的磁盘方案，用户可以从10GB升级到50GB，或者从50GB升级到100GB。如果你创建了自定义大小的磁盘方案，那么你可以重新规划卷的大小为更大的值。

另外，使用 resizeVolume API，数据卷可以从一个静态磁盘方案移动到指定大小的自定义磁盘方案。此功能允对特定容量或磁盘方案进行收费，同时可以灵活地更改磁盘大小。

KVM, XenServer和VMware主机支持这个功能。但是VMware主机不支持卷的收缩。

在你试图重新规划卷大小之前，请考虑以下几点：

• 与卷关联的VMs是停止状态。
• 与卷关联的数据磁盘已经移除了。
• 当卷缩小的时候，上面的磁盘会被截断，这么做的话可能会丢失数据。因此，在缩小数据磁盘之前，重新规划任何分区或文件系统以便数据迁移出这个磁盘。

要重新规划卷容量：

1. 使用用户或管理员登录到CloudStack用户界面。

2. 在左侧导航栏点击存储。

3. 在选择视图中选择卷。

4. 在卷列表中选择卷名称，然后点击调整卷大小按钮

5. 在弹出的调整卷大小窗口中，为存储选择想要的方案。

   

   1. 如果你选择自定义磁盘，请指定一个自定义大小。

   2. 点击是否确实要缩小卷大小来确认你要缩小的容量。

      此参数避免了不小心的失误造成数据的丢失。你必须知道你在做什么。

6. 点击确定。

在VM重启时重设VM的root盘¶

你可以指定你想要放弃的root磁盘和创建一个新的，并且无论何时在VM重启时都使用新的。每次启动时都是一个全新的VM并且桌面不需要保存它的状态，出于安全环境考虑这非常有用。VM的IP地址在这个操作期间不会改变。

要启用在VM重启时重置root磁盘：

当创建一个新的服务方案时，设置isVolatile这个参数为True。从这个服务方案创建的VMs一旦重启，它们的磁盘就会重置。请参阅 “创建新的计算方案”。

卷的删除和回收¶

删除卷不会删除曾经对卷做的快照

当一个VM被销毁时，附加到该VM的数据磁盘卷不会被删除。

使用回收程序后，卷就永久的被销毁了。全局配置变量expunge.delay和expunge.interval决定了何时物理删除卷。

• expunge.delay：决定在卷被销毁之前卷存在多长时间，以秒计算。
• expunge.interval：决定回收检查运行频率。

管理员可以根据站点数据保留策略来调整这些值。

如何给卷做快照¶

1. 是用用户或者管理员登录CloudStack。
2. 在左侧导航栏点击存储。
3. 在选择视图，确认选择的是卷。
4. 点击你要做快照的卷的名称。
5. 点击快照按钮。

创建和保留自动快照¶

(支持以下hypervisors：XenServer, VMware vSphere 和 KVM)

用户可以设置循环快照策略来自动的为磁盘定期地创建多个快照。快照可以按小时，天，周或者月为周期。每个磁盘卷都可以设置快照策略。比如，用户可以设置每天的02:30做快照。

依靠每个快照计划，用户还可以指定计划快照的保留数量。超出保留期限的老快照会被自动的删除。用户定义的限制必须等于或小于CloudStack管理员设置的全局限制。请参阅 “全局配置的限制”.。限制只能应用给作为自动循环快照策略的一部分的快照。额外的手动快照能被创建和保留。

增量快照和备份¶

创建的快照保存在磁盘所在的主存储。在创建快照之后，它会立即被备份到辅助存储并在主存储上删除以节省主存储的空间。

CloudStack给一些 hypervisors做增量备份。当使用了增量备份，那么每N备份就是一个完全备份。

卷状态¶

当快照操作是由一个循环快照策略所引发的时候，如果从其上次创建快照后，卷一直处于非活跃状态，快照被跳过。如果卷被分离或附加的虚拟机没有运行，那么它就被认为是非活跃的。CloudStack会确保从卷上一次变得不活跃后，至少创建了一个快照。

当手动创建了快照，不管改卷是不是活跃的，快照会一直被创建。

快照恢复¶

有两种方式恢复快照。用户能够从快照中创建一个卷。卷可以随后被挂载到虚拟机上并且文件根据需要被复原。另一种方式是，模板可以从一个root 盘的快照创建。用户能够从这个模板启动虚拟机从而实际上复原root盘。

快照工作调节¶

当虚拟机需要快照时，VM所在的主机上就会运行快照工作，或者在VM最后运行的主机上。如果在一台主机上的VMs需要很多快照，那么这会导致太多的快照工作进而占用过多的主机资源。

针对这种情况，云端的root管理员可以利用全局配置设置中的concurrent.snapshots.threshold.perhost调节有多少快照工作同时在主机上运行。借助这个设置，当太多快照请求发生时，管理员更好的确认快照工作不会超时并且hypervisor主机不会有性能问题。

给concurrent.snapshots.threshold.perhost设置一个你结合目前主机资源和在主机上运行的VMs数量的最佳值，这个值代表了在同一时刻有多少快照工作在hypervisor主机上执行。如果一个主机有比较多的快照请求，额外的请求就会被放在等待队列里。在当前执行 的快照工作数量下降至限制值之内，新的快照工作才会开始。

管理员也可以通过job.expire.minutes给快照请求等待队列的长度设置一个最大值。如果达到了这个限制，那么快照请求会失败并且返回一个错误消息。

VMware卷快照性能¶

当你为VMware中的数据卷或root卷做快照时，CloudStack使用一种高效率的存储技术来提高性能。

快照不会立即从vCenter导出OVA格式文件到挂载的NFS共享中。这个操作会消耗时间和资源。相反的，由vCenter提供的原始文件格式(比如VMDK)被保留。OVA文件只有在需要的时候被创建。CloudStack使用与原始快照数据存储在一起的属性文件(*.ova.meta)中的信息来生成OVA。

Disk caching (KVM)¶

This is for advanced user only, since may cause issues with improper DB changes.

Disk cache mode is the property of Compute Offering (ROOT disk) and Disk Offering (DATA disk). Currently, disk cache mode can only be set by editing “disk_offering” table inside “cloud” DB and can not be done via API/GUI (although there is “Write-cache Type” filed in the GUI on the “Add Disk Offering” wizard). Cache modes available are: write-back and write-through

Before proceeding with changing cache mode on disks (Offerings), please make sure that you understand the consequences and limitations it might bring.

1. If the guest storage is hosted on a clustered file system (or is read-only or is marked shareable), then the cache mode is ignored when determining if VM live migration can be allowed.
2. If guest storage is hosted on shared storage (NFS/CEPH) libvirt will not allow VM live migration unless the cache mode is set to “none”.
3. This means that in case of NFS and CEPH, VM live migrations will not be possible, and this will also make it impossible to put host into maintenance mode (VMs being live migrated away from this host - will not work)

In order to set disk write-back or write-through cache mode, we need to edit it’s parent Compute Offering (for ROOT disk) or Disk Offering (for DATA disks). Please note that this means that all volumes/disks which are created from specific offering will inherit cache mode.

mysql> select id from disk_offering where name="8vCPU-64GB-HDD-STD-NFS";
+-----+
| id  |
+-----+
| 111 |
+-----+
1 row in set (0.00 sec)
mysql> select id from disk_offering where name="100GB-HDD-STD-NFS";
+-----+
| id  |
+-----+
| 114 |
+-----+
1 row in set (0.00 sec)
mysql> UPDATE disk_offering SET cache_mode='writeback' WHERE id in ('111','114');
Query OK, 2 rows affected (0.00 sec)
Rows matched: 2  Changed: 2  Warnings: 0

In example above, we have set the write-back cache mode for a single Compute Offering and single Disk Offering. In order for KVM to actually pick-up the cache mode we have set, we need to stop VM and start VM. VM Reboot (“Reboot Instance” button) via GUI will not be enough.

After VM is started we can confirm that the both the ROOT and DATA disk of a VM have cache mode set to write-back:

root@ix1-c7-4:~# virsh dumpxml i-2-10-VM | grep cache -A2
   <driver name='qemu' type='qcow2' cache='writeback'/>
   <source file='/mnt/63a3ae7b-9ea9-3884-a772-1ea939ef6ec3/1b655159-ae10-41cf-8987-f1cfb47fe453'/>
   <target dev='vda' bus='virtio'/>
   ...
   <driver name='qemu' type='qcow2' cache='writeback'/>
   <source file='/mnt/63a3ae7b-9ea9-3884-a772-1ea939ef6ec3/09bdadcb-ec6e-4dda-b37b-17b1a749257f'/>
   <target dev='vdb' bus='virtio'/>

对控制台代理使用SSL证书。¶

默认情况下，代理视图功能使用HTTP协议，在任何生产环境下，代理服务连接至少要通过SSL进行加密。

CloudStack管理员有2种方式来保证SSL加密控制代理连接的安全：

• 建立一个SSL通配证书以及域名解析。
• 为指定的FQDN建立一个SSL证书并配置负载均衡

更改控制代理SSL证书及域¶

管理员可以通过选择一个域并上传一个新的SSL证书和密钥配置SSL加密。这个域必须运行一个能DNS服务器，该服务器能解决地址格式是aaa-bbb-ccc-ddd.your.domain到IPv4 IP地址的结构aaa.bbb.ccc.ddd，例如 for example, 202.8.44.1。就是为了改变终端代理与，SSL证书和私有密钥。

1. 建立一个动态的方案或者适用于所有可能DNS名称在你的公共IP范围以format aaa-bbb-ccc-ddd.consoleproxy.company.com-> aaa.bbb.ccc.ddd.到你已经存在的DNS服务器上

   注解

   在上述步骤中你会注意到*consoleproxy.company.com* -为安全最好的实践，我们推荐在独立的子域中创建一个新的有通配符的SSL证书，所以证书在事件中可能妥协，一个恶意的用户不能模仿一个company.com域。

2. 通常有私钥和证书签名请求(CSR)。当你使用openssl产生私钥/公钥对和CSR,你将私钥复制到CloudStack中，保证转换为PKCS#8格式。

   1. 产生一个新的2048位的私钥

      openssl genrsa -des3 -out yourprivate.key 2048
      

   2. Generate a new certificate CSR. Ensure the creation of a wildcard certificate, eg *.consoleproxy.company.com

      openssl req -new -key yourprivate.key -out yourcertificate.csr
      

   3. 前往你喜爱的站点相信授权证书，购买一个SSL证书并获得CSR确认。你将会收到一个返回的有效地证书

   4. 转化你的私钥格式成PKCS#8加密格式。

      openssl pkcs8 -topk8 -in yourprivate.key -out yourprivate.pkcs8.encrypted.key
      

   5. 转化你的PKC#8加密的私钥到PKC#8格式是CloudStack遵循的方式。

      openssl pkcs8 -in yourprivate.pkcs8.encrypted.key -out yourprivate.pkcs8.key
      

3. 在CloudStack用户界面的修改SSL证书，复制以下内容：

   • 刚刚生成的证书。
   • 刚刚生成的私钥。
   • The desired domain name, prefixed with *.; for example, *.consoleproxy.company.com

   

4. 这停止了所有正运行的终端代理VM,然后已新的许可和密钥重启。用户可能会注意到对控制台有益的一个简短的打断。

管理服务器在这个改变后生成格式如 “aaa-bbb-ccc-ddd.consoleproxy.company.com” 的URLs。这个新的终端请求将会依照新的DNS域名，证书和密钥提供服务。

Uploading ROOT CA and Intermediate CA¶

If you need to upload custom certificate with ROOT CA and intermediate CA, you can find more details here: https://cwiki.apache.org/confluence/display/CLOUDSTACK/Procedure+to+Replace+realhostip.com+with+Your+Own+Domain+Name

IMPORTANT NOTES:

In order to avoid errors and problems while uploading custom certificates, please check following:

1. While doing URL encoding of ROOT CA and any Intermediate CA, be sure that the plus signs (“+”) inside certificates are not replaced by space (” “), because some URL/string encoding tools tend to do that.

2. If you are renewing certificates it might happen you need to upload new ROOT CA and Intermediate CA, together with new Server Certificate and key. In this case please be sure to use same names for certificates during API upload of certificate, example:

http://123.123.123.123:8080/client/api?command=uploadCustomCertificate&…&name=root1… http://123.123.123.123:8080/client/api?command=uploadCustomCertificate&…&name=intermed1…

Here names are “root1” and “intermed1”. If you used other names previously, please check the cloud.keystore table to obtain used names.

If you still have problems and folowing errors in management.log while destroying CPVM:

• Unable to build keystore for CPVMCertificate due to CertificateException
• Cold not find and construct a valid SSL certificate

that means that still some of the Root/intermediate/server certificates or the key is not in a good format, or incorrectly encoded or multiply Root CA/Intemediate CA present in database by mistake.

Other way to renew Certificates (Root,Intermediates,Server certificates and key) - although not recommended unless you fill comfortable - is to directly edit the database, while still respect the main requirement that the private key is PKCS8 encoded, while Root CA, Intemediate and Server certificates are still in default PEM format (no URL encoding needed here). After editing the database, please restart management server, and destroy SSVM and CPVM after that, so the new SSVM and CPVM with new certificates are created.

负载均衡终端代理¶

一个在最近的段落中使用动态DNS或者创建一定范围DNS记录作为可替换的描述将被用来创建一个特定域名的SSL证书，配置CloudStack使用特定的FQDN,然后配置一个负载均衡以均衡终端代理IP地址后的FQDN。作为这项新功能的更多详情，参见 http://cwiki.apache.org/confluence/display/CLOUDSTACK/Realhost+IP+changes。

配置虚拟路由¶

你可以设置以下内容：

• IP地址范围
• 支持的网络服务
• 由虚拟路由为网络服务提供的默认域名
• 网关IP地址
• CloudStack多久从虚拟路由器获取一次网络使用数据。如果你想搜集虚拟路由器的流量计量数据，设置全局变量router.stats.interval。如果你不使用虚拟路由器收集网络使用数据，设置该值为0

使用系统计算服务升级虚拟路由器¶

当 CloudStack创建一个虚拟路由器，它是按照默认的系统计算服务方案进行的设置。参见 <xref linkend=”system-service-offerings” />。所有在单独客户网络中的虚拟路由器都使用相同的系统计算服务方案。可以通过新建和使用自定义的系统计算服务方案来提高虚拟路由器的性能。

1. 定义定制的系统计算服务方案，参见<xref linkend=”creating-system-service-offerings” />。在系统虚拟机类型中，选择域路由器。
2. 使用网络服务方案配合系统计算服务方案，参见 “创建一个新网络方案”.
3. 将网络服务方案应用到使用新系统计算服务方案的虚拟路由器的网络上。如果这是一个新的网络，请根据66页的添加额外客户网络的步骤操作。想要改变已生成的虚拟路由器的计算服务方案，请根据 “在客户端网络改变网络方案”.

虚拟路由器的最佳实践¶

• 警告：从一个虚拟机管理程序控制台重新启动一台虚拟路由器，将删除所有iptables规则。要解决这个问题，从CloudStack用户界面停止虚拟路由器和启动。

• 警告

  在网络中只有一个路由器可用时，不要使用destroyRouter API，因为restartNetwork API 带cleanup=false参数不能随后重新创建它。如果你想销毁并重新创建网络中的单一路由器，使用restartNetwork API 带cleanup=true参数。

虚拟路由的服务监视工具¶

运行在CloudStack虚拟路由上的不同的各种服务都可以使用服务监视工具监视。工具将确保服务成功运行除非CloudStack被故意损坏。如果一个服务停止，工具将自动重启该服务，如果不能帮助重启该服务，将产生一个导致失败的警报事件。一个全局参数，”network.router.enableservicemonitoring”,已经被介绍了它能控制这种特性。默认值是false,也就是说监控不是默认。当你激活后，确保服务管理器和路由被重启。

监视工具可以帮助启动一个由不期望的原因导致的冲突的VR服务。例如：

• 由原代码的缺点引起的服务冲突。
• 当此服务的内存空间或者CPU运算出现不足时，OS将终止此服务。

在VR中监视下列服务：

• DNS
• HA代理
• SSH
• Apache网络服务器

支持以下网络：

• 独立的网络

• 在高级和基础域中分享网络

  注解

  VPC网络不被支持

在下列hypervisor上支持此特性：XenServer,VMware和KVM

增强的网络路由升级¶

升级VR也是很灵活的。CloudStack管理员将能够控制VR升级序列。该序列基于Infrastructure层，例如Cluster,pod或者Zone,管理层 (账户)，例如Tenan或者Domain.作为管理员，当一个特殊的用户服务,例如VR,在一个短暂的具体升级后的间隔后，你可以终止它。升级操作将允许多个升级操作并行操作促使升级速度增加。

在一个完整的持续的升级过程中，用户不能启动新服务或者改变已经存在的服务。

另外，使用多版本的VR在一个单例上也是支持的。对于具体地VR，你可以预览版本和是否升级。在管理服务器升级时，CLoudStack检查VR是否是VR上操作的最新版本。为支持此特点，一个新的全局参数，``router.version.check``, 已经被加入.这个参数默认设置为true,它意味着当操作前，最少要求版本检查。如果不是VR要求的版本就没有任何操作。在旧的版本上的VR仍然是有效地，但必须升级后才能进行更多的操作。在升级之前，它将是临时状态。这将保证VR服务和状态不受管理服务器升级的影响。

以下服务将是有效的，无论VR是否升级。或者，没有任何服务在VR升级后发送到VR.

• 安全组
• 用户数据
• DHCP
• DNS
• LB
• 端口转发
• VPN
• 静态 NAT
• Source NAT
• 防火墙
• 网关
• 网络ACL

全局配置限制¶

在一个域中，客户虚拟网络默认有24位CIDR.它限制了客户网络运行上线是254个实例。它可以根据需求调节，但必须在域中实例创建之前。例如，10.1.1.0/22 将提供 ~1000 地址。

下表列出了设置全局配置的限制：

使用CloudStack中的用户界面中的全局配置界面可以修改全局配置参数。

限制资源使用¶

CloudStack允许根据资源类型控制资源使用，例如CPU,RAM,主存储，辅助存储。一个新的资源类型集已经被添加到了已经存在的支持新通俗模型的资源池-基于需要使用，例如大型VM或者小型VM.新的资源类型被广泛分类在如CPU,RAM,主存储和辅助存储中。超级管理员能够利用下列资源的使用限制，例如域，项目或者账户。

• CPUs
• Memory (RAM)
• 主存储(卷)
• 辅助存储（快照，模板，ISOs）

为了控制该特征的行为，以下配置参数已经添加：

用户许可¶

超级管理员，域管理员和用户能够列出资源。确保合适的属性日至保存在 vmops.log 和 ``api.log``文件中。

• 超级管理员将有列出和升级资源限制的特权。
• 域管理员仅允许列出和改变在其拥有的域或者子域的子域和账户的资源限制。
• 终端用户拥有改变列出资源限制的特权。使用listResourceLimits API.。

限制使用注意事项：¶

• 主存储或者辅助存储空间参考启动的容器大小而不是物理容量，实际使用的物理空间要小于提供的空间。

• 如果管理员为账户减少资源限制，并设置少于目前设定的资源数，已经存在的VM/模板/卷也不会破坏。限制仅在账户中的用户试图使用这些资源执行新的操作时表现出来。例如，在一个VM中倘若存在下列行为：

  • 迁移虚拟机：在账户中的用户试图迁移一个正在运行的VM到任何不面临限制问题的主机。
  • 恢复虚拟机：破坏的VM不能被修复。

• 对于更多资源类型，如果一个域存在限制X，这个域的子域或者账户也能也有它们自身的限制。尽管如此，一个子域允许分配的资源总和或者域中账户在任何时间点都不能执行X限制。

  例如，当一个域有CPU的限制数量为40，其子域D1和账户A1可以有每个30的限制，但是任何时候分配给D1和A1的资源都不能超过限制40.

• 如果一些操作需要通过两个或更多的资源限制核查，最少的两个限制将被执行，例如：如果一个账户有10个限制VM和20个限制CPU,用户在账户中申请每4个CPU5个VM。用户可以部署5个或更多的VM,因为VM的限制个数是10。尽管如此，用户不能部署任何实例，因为CPU的限制已经用尽。

在一个域中限制资源使用¶

CloudStack允许在一个域基础上配置限制。使用域限制的地点是所有的用户都有其账户的的限制。它们有额外的限制，例如群组，不能执行设置在它们域上的资源限制。域限制聚集了任何域中使用的账户和任何账户的所有域的子域。限制设定在根域层次应用于所有域的账户和子域使用的资源综合都低于根域的限制。

设定一个域限制：

1. 登录到CloudStack的界面

2. 在导航栏左侧树中，单击域。

3. 选择你想修改的域。当前域限制将被显示出来。

   值为-1表明此处没有任何限制。

4. 单击编辑按钮

5. 编辑下列每一条要求：

   • 参数名称

   • 描述

   • 实例限制：

     可以被用在域中的实例的个数

   • 公共IP限制

     可以被用在域中的公共IP地址的个数。

   • 卷限制

     可以被创建在雨中的磁盘卷的个数

   • 快照限制

     可以被创建在域中的快照个数

   • 模板限制

     可以在域中注册的模板数量

   • VPC限制

     可以被创建在域中的VPC的个数

   • CPU限制

     可以在域中使用的CPU核心数。

   • 内存限制(MB)

     可以在域中使用的RAM数量。

   • 主存储限制(GB)

     在域中可以使用的主存储空间大小。

   • 辅助存储限制(GB)

     在域中可使用的辅助存储空间大小。

6. 点击应用

默认账户资源限制¶

你可以限制账户使用的资源。默认限制通过全局配置参数设置，它们影响在云中的所有账户。其相关参数开始于max.account,例如:max.account.snapshots。

对于覆盖一个默认限制的特殊账户，设置per-account资源限制。

1. 登录到CloudStack的界面

2. 在导航树左侧，单击账户。

3. 选择你想修改的账户。当前限制将显示出来。

   值为-1表明此处没有任何限制。

4. 单击编辑按钮。

5. 编辑下列每一条要求：

   • 参数名称

   • 描述

   • 实例限制：

     在一个账户中可以适用的实例个数。

     默认是20个。

   • 公共IP限制

     在账户中可以使用的公共IP地址个数。

     默认是20个。

   • 卷限制

     在账户中可以创建的磁盘卷个数。

     默认是20个。

   • 快照限制

     在账户中可以创建的快照数量。

     默认是20个。

   • 模板限制

     在账户中可以注册的模板数量。

     默认是20个。

   • VPC限制

     在账户中可以创建的VPC数量。

     默认是20个。

   • CPU限制

     在账户中可以使用的CPU内核的个数。

     默认是40。

   • 内存限制(MB)

     在账户中可以使用的RAM数量。

     默认值是40960。

   • 主存储限制(GB)

     在账户中可以使用的主存储空间。

     默认是200。

   • 辅助存储限制(GB)

     在账户中可以使用的辅助存储空间。

     默认是400。

6. 点击应用

虚拟机使用记录格式¶

对运行或者已分配虚拟机使用，下列字段存在于使用记录中：

• account–账户的名字
• accountid–账户的ID
• domainid –在此账户存在的域的 ID
• zoneid – 使用资源域的ID号
• description – 字符描述，用于追查使用量的记录
• usage – 代表使用量的文字，包括使用量的单位(如 ‘Hrs’代表虚机运行时间)
• usagetype – 代表使用量类型的数字 (参见使用量类型)
• rawusage – 代表以小时为单位实时使用量的数字
• virtualMachineId – 虚拟服务器的ID号
• name - 虚机名称
• offeringid - 计算方案的ID
• templateid – 模版或父模版的ID。当模版是从磁盘卷创建时，此处会使用父模版的ID。
• usageid – 虚拟机
• type - 虚拟化平台
• startdate, enddate –一定时间内的使用量总和; 参见 使用量记录中的日期

网络用量记录格式¶

网络用量(发送/接收字节数)记录中存在以下字段：

• account–账户的名字
• accountid–账户的ID
• domainid –在此账户存在的域的 ID
• zoneid – 使用资源域的ID号
• description – 字符描述，用于追查使用量的记录
• usagetype – 代表使用量类型的数字 (参见使用量类型)
• rawusage – 代表以小时为单位实时使用量的数字
• usageid - 设备ID(虚拟路由器ID或外部设备ID)
• type - 设备类型(虚拟路由器、外部负载均衡等)
• startdate, enddate –一定时间内的使用量总和; 参见 使用量记录中的日期

IP地址使用记录格式¶

对于IP地址使用下列字段存在于使用记录中。

• account - 账户的名称
• accountid-账户的ID
• domainid-本账户具有的鱼的ID
• zoneid-已经使用的域ID
• description – 字符描述追查用量记录
• usage – 代表使用量的字符串，包括使用量的单位
• usagetype – 代表使用量类型的数字 (参见使用量类型)
• rawusage – 代表以小时为单位实时使用量的数字
• usageid-IP地址ID
• startdate, enddate – 一定时间范围内的用量总和; 参见 用量记录中的日期
• issourcenat - IP地址的NAT资源是否有效
• iselastic - 如果IP地址是弹性的为True

磁盘用量记录格式¶

对于磁盘，用量记录存在下列字段。

• account–账户的名字
• accountid–账户的ID
• domainid –在此账户存在的域的 ID
• zoneid – 使用资源域的ID号
• description – 字符描述，用于追查使用量的记录
• usage – 代表使用量的文字，包括使用量的单位 (如 ‘Hrs’是小时)
• usagetype – 代表使用量类型的数字 (参见使用量类型)
• rawusage – 代表以小时为单位实时使用量的数字
• usageid - 磁盘ID
• offeringid - 磁盘方案的ID
• type - 虚拟化平台
• templateid - 根模版ID
• size - 分配的存储大小
• startdate, enddate –一定时间内的使用量总和; 参见 使用量记录中的日期

模版、ISO和快照用量记录格式¶

• account–账户的名字
• accountid–账户的ID
• domainid –在此账户存在的域的 ID
• zoneid – 使用资源域的ID号
• description – 字符描述，用于追查使用量的记录
• usage – 代表使用量的文字，包括使用量的单位 (如 ‘Hrs’是小时)
• usagetype – 代表使用量类型的数字 (参见使用量类型)
• rawusage – 代表以小时为单位实时使用量的数字
• usageid - 模版、ISO或快照的ID
• offeringid - 磁盘方案的ID
• templateid – 仅模版（用量类型为7）时包括。源模版ID。
• size - 模版、ISO或快照的大小
• startdate, enddate –一定时间内的使用量总和; 参见 使用量记录中的日期

负载均衡策略或端口导向用量记录格式¶

• account - 账户的名称
• accountid-账户的ID
• domainid-本账户具有的鱼的ID
• zoneid-已经使用的域ID
• description – 字符描述追查用量记录
• usage – 代表使用量的字符串，包括使用量的单位 (如 ‘Hrs’是小时)
• usagetype – 代表使用量类型的数字 (参见使用量类型)
• rawusage – 代表以小时为单位实时使用量的数字
• usageid -负载均衡或端口导向规则ID
• usagetype – 代表使用量类型的数字 (参见使用量类型)
• startdate, enddate – 一定时间范围内的用量总和; 参见 用量记录中的日期

网络服务方案用量记录格式¶

• account–账户的名字
• accountid–账户的ID
• domainid –在此账户存在的域的 ID
• zoneid – 使用资源域的ID号
• description – 字符描述，用于追查使用量的记录
• usage – 代表使用量的文字，包括使用量的单位 (如 ‘Hrs’是小时)
• usagetype – 代表使用量类型的数字 (参见使用量类型)
• rawusage – 代表以小时为单位实时使用量的数字
• usageid – 网络服务方案的ID
• usagetype – 代表使用量类型的数字 (参见使用量类型)
• offeringid – 网络服务方案的ID
• virtualMachineId – 虚拟服务器的ID号
• virtualMachineId – 虚拟服务器的ID号
• startdate, enddate –一定时间内的使用量总和; 参见 使用量记录中的日期

VPN用户用量记录格式¶

• account–账户的名字
• accountid–账户的ID
• domainid –在此账户存在的域的 ID
• zoneid – 使用资源域的ID号
• description – 字符描述，用于追查使用量的记录
• usage – 代表使用量的文字，包括使用量的单位 (如 ‘Hrs’是小时)
• usagetype – 代表使用量类型的数字 (参见使用量类型)
• rawusage – 代表以小时为单位实时使用量的数字
• usageid - VPN用户ID
• usagetype – 代表使用量类型的数字 (参见使用量类型)
• startdate, enddate –一定时间内的使用量总和; 参见 使用量记录中的日期

在高级域中设置客户通信¶

下面的步骤假定你已经登录进入 CloudStack 的界面。设置基本的客户网络：

1. 在左边的导航栏，选择基础架构。在区域界面点击查看全部，然后点击你要添加网络的区域。

2. 点击网络选项卡。

3. 点击 添加来宾网络。

   添加来宾网络窗口显示：

   

4. 填写以下内容：

   • Name: The name of the network. This will be user-visible
   • Display Text：网络的描述。用户可见
   • Zone: 这里的区域是指你要配置客户网络的区域。
   • 网络提议: 如果管理员已经配置了多个网络方案，可以选择你需要的那个
   • Guest gateway：虚拟机需要使用的网关
   • Guest Netmask：客户虚拟机会使用的子网掩码

5. 点击确定。

在高级区域中配置公共通信¶

在一个使用高级网络配置的区域中，你需要配置至少一个用于Internet通信的IP地址范围。

配置共享的客户网络¶

1. 作为管理员登录到CloudStack用户界面。

2. 在左边的导航，选择基础架构。

3. 在区域页面，点击查看全部。

4. 选择要添加客户网络的那个区域。

5. 点击物理网络标签卡。

6. 选择您要操作的物理网络。

7. 在客户节点界面，点击配置。

8. 点击网络选项卡。

9. 点击 添加来宾网络。

   现实添加客户网络窗口。

10. 指定以下信息：

    • Name: 要建立的网络的名字。这个是用户可见的

    • 描述: 提供一个简短的方案描述。

    • VLAN ID: VLAN 的ID。

    • Isolated VLAN ID: 二级独立 VLAN 的 ID。

    • Scope: 可用的范围，包括域，帐户，项目和其他所以。

      • Domain: 域，指定客户网络范围的域。指定域中的网络相对其他域是隔离不可见的。如果指定子域访问，域中的客户网络将在所有的子域中可用。
      • Account: 这里的帐户是为建立客户网络所指定的。必须指定域中所属的帐户。
      • Project: 项目是客户网络所建立的项目。必须为这个项目指定域。
      • All: 选择它，会让客户网络对这个区域（Zone）中的所有域，帐户和项目都可用。

    • 网络提议: 如果管理员已经配置了多个网络方案，可以选择你需要的那个。

    • Guest gateway: 虚拟机需要使用的网关。

    • Netmask: 虚拟机子网要使用的网络掩码。

    • IP Range: 定义公网IP范围，这些IP用来访问公网或是从公网访问客户虚拟机。

      如果使用了网卡，这些IP应该在相同的IPv6的CIDR中。

    • IPv6 CIDR: 用于定义网络子网的网络前缀。

    • 网络域: 如果你想为客户虚机网络定义一个域名，在此处输入后缀名。

11. 点击确定。

增添一个虚拟机的网络¶

1. 使用管理员或者终端用户账号登录CloudStack UI。
2. 在左侧的导航栏，选择网络。
3. 地阿基添加来宾网络。提供以下信息：
   • Name：网络的名称。对于最终用户可见。
   • Display Text:网络的描述信息。对于最终用户可见。
   • Zone：此网络所应用到zone的名称。每个zone都是一个广播域，因此每个zone中的来宾网络都有不同的IP范围。管理员必须为每个zone配置IP范围。
   • Network offering: 如果管理员已经配置了多个网络，选择一个你想使用的。
   • Guest Gateway: 来宾网络的网关。
   • Guest Netmask: 来宾网络的子网掩码。
4. 点击创建。

在VMs中重新配置网络¶

CloudStack能让你在不同网络间移动VMs和重新配置VM的网络。你可以从一个网络中移除一个VM，再将其移动到另一个网络。你同样可以修改虚拟机的默认我拿过来，使用这个功能，混合和传统的服务器负载可以被轻松缓解。

XenServer、VMware和KVM hypervisors支持这个特性。

在来宾网络上更改网络方案¶

用户或者管理员可以更改与之相关的来宾网络的网络方案。

1. 使用管理员或者终端用户账号登录CloudStack UI。

2. 如果你将使用CloudStack虚拟路由的一个网络方案改成使用公共网络设备作为网络服务商，那么你必须先关掉该网络中的所有虚机。

3. 在左侧的导航栏，选择网络。

4. 点击你要修改的网络名称。

5. 在 详细 页签，点击 编辑按钮。

6. 在网络方案中，选择新的网络方案，然后点击应用。

   这时会有一个提示问你是否保持已存在的CIDR不变。这是让你了解如果你改变网络了方案，那么CIDR会受到影响。

   如果你将虚拟路由升级到外网设备，在看到变更CIDR以继续时，请选择Yes。

7. 等待更新完成。在网络变更完成之前不要试图重启虚拟机。

8. 如果你停止了任何VMs，请重启他们。

IP预留事项¶

在给非cloudstack内的机器预留IP地址时，要考虑以下几个方面：

• IP预留仅在隔离网络内支持

• 仅当网络在实施状态时，IP预留才能被应用。

• 默认不做IP预留。

• 指定客户的CIDR必须是网络CIDR的子网。

• 指定一个有效的客户虚拟机CIDR。只有不活动的IP在客户虚拟机CIDR存在时，IP预留才能被应用。

  如果任一虚拟机被分配了客户虚拟机CIDR之外的IP地址时，IP预留将不能应用。

• 为重置一个已存在的IP预留，通过在CIDR框指定CIDR值就可应用IP预留。

  例如，下表描述了客户网络创建的三种情形：

  案例	CIDR	网络CIDR	非cloudstack虚拟机的IP预留范围	描述
  1	10.1.1.0/24	无	无	无
  2	10.1.1.0/26	10.1.1.0/24	10.1.1.64-10.1.1.254	在界面的CIDR框内输入10.1.1.0/26或通过UpdateNetwork的API配置为guestvmcidr=10.1.1.0/26，进行IP预留配置
  3	10.1.1.0/24	无	无	在界面的CIDR框内输入10.1.1.0/24或通过UpdateNetwork API配置为guestvmcidr=10.1.1.0/24，进行IP预留清除

局限性¶

• 如果在客户虚拟机CIDR外发现活动的IP地址，IP预留将不被支持。
• 在IP预留中，引起CIDR变化的网络升级方案都将无效，如将无外部设备的方案升级到带有外部设备的方案。在新实施的网络中，要重新配置IP预留。

最佳实践¶

一旦网络状态变为实施，应尽快应用IP预留到客户网络。如果在第一台客户虚拟机部署后应用IP预留，则会在应用IP会有较少的冲突发生。

预留一个IP范围¶

1. 使用管理员或者终端用户账号登录CloudStack UI。

2. 在左侧的导航栏，选择网络。

3. 点击你要修改的网络名称。

4. In the Details tab, click Edit.

   CIDR框将变为可编辑状态

5. 在CIDR框，说明客户虚拟机的CIDR

6. 点击应用

   等待更新完成。

分配IP地址给一个账户¶

1. 作为管理员登录到CloudStack用户界面。

2. 在左侧导航栏中，点击基础架构

3. 在区域中，点击查看全部

4. 选择你要设置的区域。

5. 点击物理网络标签卡。

6. 在图的公共节点上，点击配置。

7. 点击IP范围页签。

   或者指定一个已经的IP范围给帐户，或创建一个新的IP范围并指定给一个帐户。

8. 要指定一个已有IP范围给帐户，按以下操作进行

   1. 确定需要分配的IP范围

   2. 点击添加帐户按钮。

      会弹出添加帐户对话框。

   3. 指定以下信息：

      • 帐户: 即需要指定IP地址范围的帐户
      • 域: 与帐户关联的域名

      要指定一个新的IP范围给帐户，按以下操作进行

      1. 指定以下信息：

         • 网关

         • 掩码

         • VLAN

         • 起始IP

         • 结束IP

         • 帐户: 按以下操作进行：

           1. 点击帐户

              会显示添加帐户页

           2. 指定以下信息：

              • Account: The account to which you want to assign an IP address range.
              • 域: 与帐户关联的域名

           3. 点击确定。

      2. 点击 添加

确定需要分配的IP范围¶

1. 安装好CloudStack管理端后，使用管理员帐号登录CloudStack用户界面。

2. 在左侧导航栏中，点击基础架构

3. 在区域中，点击查看全部

4. 选择你要设置的区域。

5. 点击物理网络标签卡。

6. 在图中的来宾节点上，点击配置

7. 选择分配VLAN范围页签

8. 点击分配VLAN范围

   会弹出分配VLAN对话框。

9. 指定以下信息：

   • VLAN Range: The VLAN range that you want to assign to an account.
   • Account: The account to which you want to assign the selected VLAN range.
   • 域: 与帐户关联的域名

使用案例¶

一些使用案例见以下描述

• 网络设备，如防火墙或负责均衡设备，一般来讲，当他们在网络接口上接入更多的IP地址时，他们能够更好的工作。
• 在接口和实例中迁移IP地址。绑定到特定IP地址的应用可以在实例中迁移。
• 在单个实例上开启多个SSL网站。可以在单个实例上安装多个SSL认证，每一个认证都关联一个单独的IP地址。

指南¶

为防止IP冲突，当多个网络连接至同一个虚拟机时，要配置不同的子网。

指定额外的IP给虚拟机¶

1. 登录到CloudStack的界面

2. 在左侧导航栏，点击实例

3. 点击拟配置的实例

4. 在详细 页签，点击网卡

5. 点击查看二级地址

6. 点击获取新二级IP，在确认对话框点击确定。

   需要手动配置来宾虚拟机的网卡。在虚拟机上，CloudStack不会自动配置获取IP。确保在虚拟机重启IP地址配置仍有效。

   稍等一会，新的IP地址会出现，状态栏为会显示为分配。现在可以在端口转发或静态NAT规则中使用此IP地址了。

更改端口转发和静态NAT服务¶

因为每一个网卡都可关联至多IP，CloudStack可以允许为端口转发及静态NAT服务选择一个目标IP。默认为主IP。为开启此功能，另一个可选的配置参数 虚拟机来宾IP 需要被加至端口转发及静态NAT 的API中去（开启静态NAT，创建IP端口转发），以示IP地址NAT需要配置。如果虚拟机来宾IP 没有设置，NAT会配置在虚拟机的私有IP上，如果设置了，NAT会配置在虚拟机的主IP上。

关于端口IP¶

在CloudStack中，端口IP是地域级的IP地址池，其天然具有弹性，亦即可以在地理隔离的区域中进行转发。作为管理员,可以在地域级提供IP地址池供用户使用。如果在用户所属的地域，其管理员提供了端口IP，用户就可以获取此类IP。在高级区域内，这些IP可用于任一服务。也可以在基础区域中为EIP服务使用端口IP。

端口IP的主要功能如下：

• IP是静态分配的。
• IP与网络无关。
• IP关联是可以通过网络转发的。
• IP可以在基础区域和高级区域中转发。
• IP可通过VPC，非VPC隔离和共享网络进行转发。
• 端口IP转发仅对静态NAT可用。

配置端口IP¶

1. 使用管理员或者终端用户账号登录CloudStack UI。

2. 在左侧导航栏中，点击地域

3. 选择拟修改的地域。

4. 点击查看端口IP

5. 点击端口IP范围

   会出现 添加端口IP范围的窗口

6. 指定以下信息：

   • 起始IP/结束IP: 从Internet可以访问的一个IP地址范围，将会分配给客户虚拟机。输入起始IP以及结束IP，定义CloudStack指定给客户虚拟机的IP范围。
   • 网关: 配置端口IP地址所使用的网关。
   • 掩码: 与端口IP范围关联的掩码。
   • VLAN: 公共流量拟使用的VLAN。

7. 点击确定。

获取端口IP。¶

1. 使用管理员或者终端用户账号登录CloudStack UI。

2. 在左侧的导航栏，选择网络。

3. 点击拟修改的网络名称。

4. 点击查看IP地址。

5. 点击获取新IP。

   获取新IP的窗口会出现。

6. 说明是否需要IP跨区。

7. 在确认对话框中点击确定。

   稍等一会，新的IP地址会出现，状态栏为会显示为分配。现在可以在端口转发或静态NAT规则中使用此IP地址了。

便携式IP¶

IP要从一个网络转换至另一网络的话，只需启用静态NAT。但是，当一个portable IP对应一个网络的时候，你可以在网络中为任何服务使用它 。

要跨网络转换一个portable IP，执行下列API：

http://localhost:8096/client/api?command=enableStaticNat&response=json&ipaddressid=a4bc37b2-4b4e-461d-9a62-b66414618e36&virtualmachineid=a242c476-ef37-441e-9c7b-b303e2a9cb4f&networkid=6e7cd8d1-d1ba-4c35-bdaf-333354cbd49810

用正确的UUID替换此处的UUID。比如，如果你想转换一个portable IP至X网络和一个网络中的VM Y，请执行下列操作：

http://localhost:8096/client/api?command=enableStaticNat&response=json&ipaddressid=a4bc37b2-4b4e-461d-9a62-b66414618e36&virtualmachineid=Y&networkid=X

先决条件和指南¶

• 这个特性只能被实现在：
  • IPv4地址
  • 如果虚拟路由是由DHCP提供的
  • 在KVM，XenServer和VMware hypervisors
• 在添加IP范围之前，手动配置新子网的网关。
• CloudStack只支持一个子网对应一个网关；交叉子网目前不支持。

给共享网络添加多子网¶

1. 使用管理员或者终端用户账号登录CloudStack UI。

2. 在左边的导航，选择基础架构。

3. 在Zones上，点击查看更多，然后点击你要进行操作的zone..

4. 点击物理网络。

5. 在图中的来宾节点上，点击配置

6. 点击网络。

7. 选择你想要操作的网络。

8. 点击查看IP范围。

9. 点击添加IP范围。

   显示的添加IP范围对话框如下：

   

10. 指定以下信息：

    所有的区域必须填写的。

    • 网关：你创建网络层的网关。确保网关在你创建VPC时指定的超级CIDR范围内，并且不能与已存在VPC的任何网络层的CIDR重叠。

    • 子网掩码：你创建的网络层的子网掩码。

      比如，如果VPC CIDR是10.0.0.0/16并且该网络层CIDR是10.0.1.0/24，那么这个网络层的网关是10.0.1.1，子网掩码是255.255.255.0.

    • 起始/结束IP：从互联网获得的和将被分配给来宾VMsIP地址范围。输入第一个和最后一个IP地址，该地址范围定义的是CloudStack能分配给来宾VMs的范围。

11. 点击确定。

关于Private VLAN¶

在以太网交换机中，VLAN是二层网络中的一个主机之间主机能建立直接通讯的广播域 。Private VLAN被设计成一个标准的VLAN的延伸，为了进一步细分逻辑广播域。一个规则的VLAN是单一广播域，但是一个 private VLAN将一个较大的VLAN广播域划分为较小的多个子域。子域表现为一对VLANs：一个主VLAN和一个辅助VLAN。被划分为较小组的原始VLAN叫主，这意味着所有的在private VLAN中的VLAN对共享着同一个主VLAN。所有的辅助VLANs存在与主VLAN中。每个辅助VLAN有一个特定的区别于其他子域VLAN ID。

在private VLAN中有三种端口类型，它们实质上决定了所包含的主机的流量走势。每组端口都有自己唯一的策略，它能控制配置同一个private VLAN域中连接到端口的主机与其他已连接主机的通讯。使用下面三种端口定义中的一种来配置每个PVLAN对中的主机：

• 混杂模式（Promiscuous）：混杂模式的端口能与所有的接口通讯，包括可通讯与隔离属于辅助VLANs的主机端口。在混杂模式中，主机被连接到混在模式端口并且能够直接与主VLAN和辅助VLAN中的资源。典型的连接到混杂模式端口的是路由器，DHCP服务器和其他受信任的设备。
• 隔离(Isolated)VLANs: 隔离模式VLAN中的端口不能与其他二层网络中的端口通讯。连接隔离模式端口上的主机只能直接与混杂模式下的资源通讯。如果你的客户设备只访问网关路由器，请将其附加至隔离端口。
• Community VLANs：中的端口能与其他端口和混杂模式下的端口通讯，但是他们不能与二层网络中的其他community VLAN中的端口通讯。在Community模式下，主机能与同一community中的主机和连接到混杂模式中的主VLAN的主机可以通讯。如果你的客户有两个设备需要与其他客户的设备隔离，但是他们之间又要通讯，请将他们部署至 community 端口。

延伸阅读：

• 理解 Private VLANs
• Cisco Systems’ Private VLANs: Scalable Security in a Multi-Client Environment
• Private VLAN (PVLAN) on vNetwork Distributed Switch - Concept Overview (1010691)

先决条件¶

• 在支持的交换机上使用PVLAN。

  更多信息，请参考 Private VLAN Catalyst Switch Support Matrix

• 将所有能识别PVLAN的二层交换机之间互连，并且其中一个要连至一个路由器。主机连接到的所有端口需配置为trunk模式。打开VLAN管理，主VLAN（公共网络）和隔离的辅助VLAN端口。配置交换机连接到路由器的端口为PVLAN混杂trunk，这样可以为不识别PVLAN的路由器转换一个隔离的VLAN到主VLAN。

  注意只有Cisco Catalyst 4500有PVLAN混杂trunk模式，可以连接所有普通VLAN和PVLAN到不能识别PVLAN的交换机。其他支持PVLAN的Catalyst交换机，在PVALN对中的每个交换机上使用级联线连接到上联交换机。

• 在你的物理交换机上使用带外管理配置private VLAN。

• 在XenServer和KVM上使用PVALN之前，请启用Open vSwitch (OVS)。

  注解

  XenServer和KVM中的OVS不支持原生的PVLAN。因此，靠修改flow table，CloudStack为XenServer和KVM模拟OVS中的PVLAN。

配置一个启用了PVLAN的来宾网络¶

1. 作为管理员登录到CloudStack用户界面。

2. 在左边的导航，选择基础架构。

3. 在区域页面，点击查看全部。

4. 选择要添加客户网络的那个区域。

5. 点击物理网络标签卡。

6. 选择您要操作的物理网络。

7. 在客户节点界面，点击配置。

8. 点击网络选项卡。

9. 点击 添加来宾网络。

   现实添加客户网络窗口。

10. 指定以下信息：

    • Name: 要建立的网络的名字。这个是用户可见的

    • 描述: 提供一个简短的方案描述。

    • VLAN ID: VLAN 的ID。

    • 辅助隔离VLAN ID：辅助隔离VLAN的唯一ID。

      更多关于辅助隔离VLAN的描述，请参考see 关于 Private VLAN”.

    • Scope: 可用的范围，包括域，帐户，项目和其他所以。

      • Domain: 域，指定客户网络范围的域。指定域中的网络相对其他域是隔离不可见的。如果指定子域访问，域中的客户网络将在所有的子域中可用。
      • Account: 这里的帐户是为建立客户网络所指定的。必须指定域中所属的帐户。
      • Project: 项目是客户网络所建立的项目。必须为这个项目指定域。
      • All: 选择它，会让客户网络对这个区域（Zone）中的所有域，帐户和项目都可用。

    • 网络提议: 如果管理员已经配置了多个网络方案，可以选择你需要的那个。

    • Guest gateway: 虚拟机需要使用的网关。

    • Netmask: 虚拟机子网要使用的网络掩码。

    • IP Range: 定义公网IP范围，这些IP用来访问公网或是从公网访问客户虚拟机。

    • 网络域: 如果你想为客户虚机网络定义一个域名，在此处输入后缀名。

11. 点击确定。

关于安全组¶

安全组提供一种方法来隔离VMs流量。一个安全组是一组依照设置名为入口规则和出口规则来过滤他们进出流量的VMs，这些规则依靠与VM通讯的IP地址来过滤网络流量。安全组在使用基础网络的zones中尤为重要，因为这里只有一个来宾网络。在高级zones中，只有KVM hypervisor支持安全组。

每个CloudStack账号匹配一个拒绝所有入站流量和允许所有出口流量的默认安全组 。可以编辑默认的安全组以便所有新VMs的策略继承一些的想要的设置。

任何CloudStack用户可以增加任意数量的安全组。当一个新的VM运行起来的时候，它会被添加到默认安全组除非其他用户指定了其他安全组。一个VM可以是任何安全组的成员。一旦VM被添加到一个安全组，它会继承这个组的生命周期；你不能移动一台正在运行的VM到其他安全组。

你可以通过删除或添加任意的入口和出口策略来修改一个安全组。当你这么做的时候，新的策略会应用到组中的所有VMs，无论是运行的还是关机的。

如果没有指定入口规则，那么流量会被禁止，除了已经允许通过一个出口规则响应任何流量 。

添加一个安全组¶

一个用户或者管理员能定义一个新的安全组。

1. 使用管理员或者终端用户账号登录CloudStack UI。

2. 在左侧的导航栏，选择网络。

3. 在选择视图中，选择安全组。

4. 点击添加安全组。

5. 提供一个名称和描述。

6. 点击确定。

   新的安全组出现在安全组详细信息标签中。

7. 要使安全组生效，继续给这个安全组添加入口和出口策略。

高级区域中的安全组（只针对KVM）¶

以KVM作为虚拟机时，在单共享广域的网络内，CloudStack可以通过安全组来隔离客户。通过使用安全组而不是多VLAN，可以在云中隔离客户时具有更高的灵活性

开启安全组¶

使用安全组功能之前，必须先在Zone中启用安全组功能。系统管理员可以在创建一个新的Zone时，通过选择带‘安全组’功能的网络方案进行启用。在高级安装指南的基本Zone配置中有该过程的详细描述。系统管理员不能对现有Zone启用安全组，只能在新建Zone时启用。

对安全组添加入口出口规则¶

1. 使用管理员或者终端用户账号登录CloudStack UI。

2. 在左侧的导航栏，选择网络

3. In Select view, choose Security Groups, then click the security group you want.

4. 为增加入口规则，点击入口规则并填写相应内容，以说明在此安全组内何种网络流量可以到达虚拟机实例。如果没有说明入口规则，则不会允许流量进入。也就只有出口规允许的流量了。

   • 通过CIDR帐户添加. 表明在CloudStack帐户中是否有CIDR定义的流量来源或是已存在的安全组。如果允许来自另一安全组的所有虚拟机的流量进入，则添加此帐户。
   • 协议. 发送源会使用网络协议来发送流量到安全组。TCP和UDP是典型的二种用来数据交换和终端用户交流的协议。ICMP则用来发送错误信息或网络监控数据
   • 开始端口，结束端口. (仅对TCP，UDP)。目的地为进入流量而设的监听端口范围。如果仅开放了单个端口，则在两者的区域中用同一端口。
   • ICMP类型，ICMP编码. (仅对ICMP)。接受的信息及错误码的类型。
   • CIDR. (仅通过CIDR添加)。为接受来来自特殊地址块的流量，输入一个CIDR，多个时用逗号隔开。CIDR是进入流量的基础IP地址。例如：192.168.0.0/22，为允许所有CIDR，请设为0.0.0.0/0
   • 帐户，安全组. (仅通过帐户添加)。为接受来自另一安全组的流量，输入一个CloudStack帐户和在此帐户中已经定义的安全组的名字。为允许你正在编辑的安全组内虚拟机之间的流量，输入你在第7步使用的相同的名字。

   下面这个例子允许内部任何地方的HTTP访问

   

5. 为添加一个出口规则，点击出口规则并填写以下内容，以说明在此安全组内的虚拟机，被允许哪一类型的流量送出。如果出口规则没有说明，所以的流量都被允许出去一旦进行了说明，则以下流量可以允许出去：在出口规则中进行说明的，查询DNS和DHCP服务器的，响应来自入口规则允许进入的流量的

   • 通过CIDR帐户添加. 表明流量目的地是否已通过IP地址(CIDR)定义或是CloudStack帐户(Account)内存在的安全组。选择帐户，以允许流量到其安全组内所有虚拟机
   • 协议. 虚拟机发送流量需要的协议。TCP和UDP是典型的二种用来数据交换和终端用户交流的协议。ICMP则用来发送错误信息或网络监控数据
   • 开始端口，结束端口. (仅对TCP，UDP) 。目的地为进入流量而设的监听端口范围。如果仅开放了单个端口，则在两者的区域中用同一端口。
   • ICMP类型，ICMP编码. (仅对ICMP) 。信息及错误码的类型。
   • CIDR. (仅通过CIDR添加) 。为接受来来自特殊地址块的流量，输入一个CIDR，多个时用逗号隔开。CIDR是进入流量的基础IP地址。例如：192.168.0.0/22，为允许所有CIDR，请设为0.0.0.0/0
   • 帐户，安全组. (仅通过帐户添加) 。为接受来自另一安全组的流量，输入一个CloudStack帐户和在此帐户中已经定义的安全组的名字。为允许你正在编辑的安全组内虚拟机之间的流量，输入名字。

6. 点击 添加

关于使用NetScaler负载均衡器¶

在区域中，或高级区域使用隔离网络时，CloudStack支持思杰的NetScaler作为外部网络设备元素作为负责均衡。拟通过其他方案提供负载均衡而不是CloudStack的虚拟路由器时，就可以建立一个外部负载均衡器

在基础域中使用NetScaler负载均衡提供EIP或ELB服务时，确保所有的客户虚拟机流量必须通过NetScaler设备进出。当入流量通过NetScaler设备时流量通过使用NAT协议被路由，此NAT协议依赖于公共IP到私有IP的配置。来自客户虚拟机的流量通常要经过3层路由器，为确保出流量通过提供EIP/ELB的NetScaler设备，3层路由器，必须具有基础策略。必有设立一个具有基础策略的路由器可保证所有客户机的流量都能转向NetScaler设备。这也需要确保客户虚拟机的出流量通过使用NAT被路由到公共IP。关于EIP的更多信息，参看`”关于EIP” <#about-elastic-ip>`_.

NetScaler可以设置成直通模式。它必须在区域中部署客户虚拟机负载均衡规则之前加入。

CloudStack中NetScaler的功能作用与CloudStack文档中说明的使用F5 外部负载均衡器的功能作用相同。一点差别就是，F5支持路由域名，而NetScaler无此功能。NetScaler也不可以用作防火墙。

为CLOUDSTACK管理端安装和启用外部负载均衡功能，参阅安装文档里的外部客户负载均衡。

The Citrix NetScaler comes in three varieties. The following summarizes how these variants are treated in CloudStack.

MPX

• 物理应用。能够进行深度数据包检测。可作为防火墙和负载均衡应用。
• 在高级区域中，完全支持负载均衡功能，没有限制。在基础区域中，也提供静态NAT，EIP，ELB功能。

VPX

• 虚拟应用，可以运行在XenServer，ESXi以及Hyper-V上虚拟机上。与MPX功能相同。
• 在ESXi和XenServer上支持。对MPX也支持一些功能。CloudStack将VPX和MPX作为同一类型的设备看待。

SDX

• 物理应用。可以在单个应用上创建多个完全隔离的VPX实例，以支持多客户使用。
• CloudStack会动态分配，配置，管理在SDX上的虚拟机实例的生命周期。分配的实例会自动加入到CloudStack，不需要管理员进行手动配置。一旦一个VPX实例加入到CloudStack，将会认为是ESXi主机上的一个VPX。

在RHEL服务器上配置SNMP社区字符串¶

SNMP社区字符串类似于用户ID或用户密码，用来登录网络设备，如路由器。这类字符串随着所有的SNMP请求发送。如果社区字符串正确，设备将反馈相应的字符串若不正确，设备将丢弃请求，不进行处理。

NetScaler设备使用SNMP与虚拟机进行通讯。为保证NetScaler设备与RHEL机器之间安全的通讯，必须安装并配置社区字符串。

1. 确保在RedHat上安装了SNMP，如果没有，执行以下命令:

   yum install net-snmp-utils
   

2. 编辑/etc/snmp/snmpd.conf 文件，以允许来自NetScaler设备的SNMP查询

   1. 映射社区名到一个安全的名字（本地，我的网络，依赖于其来源）

      注解

      编辑下表时，使用一个强密码

      #         sec.name   source        community
      com2sec   local      localhost     public
      com2sec   mynetwork  0.0.0.0       public
      

      注解

      设置0.0.0.0以允许所有的IP都可以查询NetScaler设备

   2. 映射一个安全名到组名

      #       group.name    sec.model  sec.name
      group   MyRWGroup     v1         local
      group   MyRWGroup     v2c        local
      group   MyROGroup     v1         mynetwork
      group   MyROGroup     v2c        mynetwork
      

   3. 创建一个视图，以允许组有权限执行：

      incl/excl subtree mask view all included .1
      

   4. 授权不同的写权限给二个组及你创建的视图

      # context     sec.model     sec.level      prefix     read     write    notif
        access      MyROGroup ""  any noauth     exact      all      none     none
        access      MyRWGroup ""  any noauth     exact      all      all      all
      

3. 在iptalbes中解除对SNMP的锁定。

   iptables -A INPUT -p udp --dport 161 -j ACCEPT
   

4. 开启SNMP服务：

   service snmpd start
   

5. 确保在系统启动时，SNMP服务能够自动启动。

   chkconfig snmpd on
   

初始化安装外部防火墙和负载均衡¶

当为一个新帐户创建一个虚拟机时，CloudStack会设置程序以让外部防火墙和负载均衡与虚拟机共同工作。会在防火墙上创建以下对象：

• 一个新的逻辑接口，用以连接帐户的私有VLAN。接口的IP通常是私有帐户私有子网的第一个IP。
• 一个源NAT规则转发帐户从私有VLAN到公共网络的的出口流量，使用帐户的公共IP地址作为源地址。
• 防火墙过滤计数器计量帐户出口流量的字节数

以下对象会在负载均衡上创建：

• 匹配帐户区域VLAN的私有VLAN。
• 一个VLAN的自有IP。经常是帐户私有子网的第二个IP。

继续配置外部防火墙和负载均衡¶

增加的用户行为(如设置端口转发)会引起防火墙和负载均衡的程序化。一个用户可以请求增加公共IP地址以及转发使用此公共IP地址的虚拟机接受到的流量。这是通过静态NAT功能完成的，静态NAT将一个公共IP地址映射给一个虚拟机，并指定一组特定协议，开放一组特定端口。当静态NAT建立好之后，CLOUDSTACK会在区域的外部防火墙上通过程序定制如下对象：

• 一条静态NAT规则将虚拟机的私有IP地址映射到公共IP地址。
• 一个安全策略可以允许说明的协议和端口范围内的流量通过。
• 防火墙过滤计数器计量到达此公共IP的流量

通过源NAT，静态NAT以及负载均衡规则进出的字节数均被计量并保存在每一个外部设备中。按一定的规则对这些数据进行收集，并将其存储在CloudStack的数据库中。

负载均衡规则¶

一个CloudStack的用户或管理员可以创建负载均衡规则以平衡一个公共IP地址收到的针对一个或多个虚拟机的外部流量。一个用户可以创建一条规则，说明一个算法，并将其指定给一部分虚拟机。

配置自缩放¶

自缩放允许你能够根据定义的条件进行无缝且自动的增加或减少后端服务或应用虚拟机。当开启自缩放时，可以确保在需求增加时，无缝的增加正在使用虚拟机的数量。因此他会通过关闭未使用的虚拟机或者需要时开启新的虚拟机，从而节省你的计算成本。这些操作，都不需要手动干预。

NetScaler的自缩放定义为基于用户定义的条件，无缝的开启或关闭虚拟机。触发扩大或缩小行为的条件从监控服务器cpu的使用率的单一用例到监控服务器响应及cpu使用率的组合用例，各不相同。例如，你可以一个自缩放，能够在CPU使用超过80%持续15分钟时启动一个新的虚拟机，或CPU使用率低于20%持续30分钟时，移除一个虚拟机。

CloudStack使用NetScaler负载均衡器来监控系统健康的各方面，并与CloudStack共同工作以初始化扩大或缩小的行为。

关于全局服务器负载均衡¶

全局服务器负载均衡(GSLB)是负载均衡功能的扩展，为了高效的避免停机时间。基于部署的性质，GSLB代表一组技术的集合，用于各种用途，如负载均衡，灾难恢复，性能，和法定义务。使用GSLB，工作负载可以分布在位于不同地理位置的多个数据中心。 GSLB也可以用于在发生故障时访问资源的另一个备用位置，或对流量提供了简易的维护方式，或两者兼得。

配置GSLB¶

要配置GSLB的部署，您必须首先为每个区域配置一个标准的负载平衡设置。这使您能够在该地域中每个区域的不同服务器之间进行负载均衡。然后在NetScaler方面，配置您计划添加到每个区域作为权威DNS(ADNS)服务器的两个NetScaler应用。接下来，为每个区域创建GSLB站点、配置GSLB虚拟服务器、创建GSLB服务并绑定GSLB服务到GSLB虚拟服务器中。最后，绑定该域到GSLB虚拟服务器。两个应用的GSLB配置在两个不同区域中是完全相同的，尽管每个网站的负载均衡配置特定于该网站。

作为云管理员执行以下操作。按照上面给出的例子中，由管理员xyztelco设置GSLB：

1. 在全局变量 cloud.dns.name中，为您租户云定义DNS名称并供GSLB服务使用。

2. 在NetScaler方面，给出GSLB配置 `配置全局服务器负载均衡 (GSLB)<http://support.citrix.com/proddocs/topic/netscaler-traffic-management-10-map/ns-gslb-config-con.html>`_:

   1. 配置一个标准的负载均衡设置。

   2. 配置权威DNS，如下解释 配置权威的DNS服务.

   3. 由域名详细信息配置一个GSLB站点和站点名称。

      由域名配置一个GSLB站点和站点名称。

      按照上面给出的例子，站点名称为 A.xyztelco.com 和 B.xyztelco.com

      更多信息，请参阅 配置基本的GSLB站点.

   4. 配置GSLB虚拟服务器。

      更多信息，请参阅 配置GSLB虚拟服务器.

   5. 为每个虚拟服务器配置GSLB服务。

      更多信息，请参阅 配置GSLB服务.

   6. 绑定GSLB服务到GSLB虚拟服务器。

      更多信息，请参阅 绑定GSLB服务到GSLB虚拟服务器.

   7. 绑定GSLB域名到GSLB虚拟服务器。从域的详细信息中获得域名。

      更多信息，请参阅 绑定GSLB域名到GSLB虚拟服务器.

3. 在每个参与GSLB的区域内，添加启用GSLB功能的NetScaler设备。

   更多信息请参考 开启NetScaler的GSLB.

以域管理员/用户执行以下操作：

1. 在两个站点中添加GSLB规则。

   参考”添加 GSLB规则”.

2. 分配负载均衡规则。

   参考”为GSLB分配负载均衡规则”.

已知的局限性¶

目前，CloudStack并不支持跨区域的服务编排。将引入服务的概念和地域服务提供者。

启用或禁用静态NAT¶

如果该公网IP上已经有端口转发规则，则不允许再启用静态NAT。

如果用户VM存在多个网络，则静态NAT规则仅在默认网络上定义时生效。

1. 使用管理员或者终端用户账号登录CloudStack UI。

2. 在左侧的导航栏，选择网络。

3. 点击拟修改的网络名称。

4. 点击查看IP地址。

5. 点击你要修改的IP地址

6. 点击静态NAT按钮。

   该按钮在启用和禁用之间切换，这取决于IP地址是否已经启用了静态NAT。

7. 如果是启用静态NAT，会出现一个对话框让您选择目标VM然后点击应用。

防火墙规则¶

默认情况下，防火墙拒绝所有流入公共IP的流量。要允许外部流量，你需要制定防火墙规则打开防火墙端口。你可以选择性的制定一个或多个CIDR来过滤来源IP。这在当你只需要允许特定IP请求时会很有用。

你不能使用防火墙规则打开弹性IP的端口。当弹性IP处在使用状态时，外部的通过请求将被安全组管理。参阅 “添加安全组”.

在高级Zone中，您也可以用虚拟路由器来创建流出的防火墙规则。更多信息，请查阅”高级区域中的出口防火墙规则”。

防火墙规则能在管理服务器的UI中防火墙选项卡里创建，CloudStac安装好以后，这个规则选项卡默认不显示，你需要以管理员身份修改全局变量 firewall.rule.ui.enabled为 “true”才能显示。

创建防火墙规则：

1. 使用管理员或者终端用户账号登录CloudStack UI。
2. 在左侧的导航栏，选择网络。
3. 点击拟修改的网络名称。
4. 点击查看IP地址。
5. 点击你要修改的IP地址
6. 点击设置选项卡 填入以下值：
   • Source CIDR: (Optional) To accept only traffic from IP addresses within a particular address block, enter a CIDR or a comma-separated list of CIDRs. Example: 192.168.0.0/22. Leave empty to allow all CIDRs.
   • Protocol: The communication protocol in use on the opened port(s).
   • Start Port and End Port: The port(s) you want to open on the firewall. If you are opening a single port, use the same number in both fields
   • ICMP Type and ICMP Code: Used only if Protocol is set to ICMP. Provide the type and code required by the ICMP protocol to fill out the ICMP header. Refer to ICMP documentation for more details if you are not sure what to enter
7. 点击 添加

高级区域中的出口防火墙规则¶

出口流量起源于从专用网络访问公共网络，例如Internet。默认情况下，在默认网络方案中，出口流量被拒绝，所以没有从来宾网络到Internet的出口流量被允许。不过，你可以通过创建出口防火墙规则来控制高级网络中的出口流量。当出口防火墙规则被应用时，规则指定的流量被允许，其余的流量被阻止。当所有的防火墙规则从默认策略中移除，阻止策略再次被应用。

端口转发¶

一个端口转发服务是一系列转发转发规则的集合。一个端口转发服务随后可以应用于一个或多个来宾虚拟机。来宾虚拟机会根据端口转发规则作相关进入端口的管理。你可以定义一个或多个CIDR来过滤源IP地址。当你只希望特定的IP流量进入时是相当有用的。

一个客户VM可以在任意数量的端口转发服务中。端口转发服务可以不包含客户VM。如果客户VM在多个网络中，则端口转发仅在默认网络中定义时才生效。

您不能使用端口转发打开弹性IP地址的端口。当使用弹性IP时，外部访问是由安全组控制的。参见安全组。

设置端口转发：

1. 使用管理员或者终端用户账号登录CloudStack UI。
2. 如果还没有，请在 CloudStack中为Zone添加公网IP段。参阅 安装指南中的添加Zone和Pod。
3. 在 CloudStack中创建1台或更多VM。
4. 在左边导航栏，点击网络。
5. 点击需要操作VM所在的网络名称。
6. 选择一个已有的IP或者获取一个新的IP地址。参阅 “获取一个新的IP”.。 点击列表中IP地址的名称。
7. 点击配置选项卡。
8. 在图表的端口转发节点，点击查看所有。
9. 填写以下内容：
   • 公用端口: 你在前面操作所获取的供公共流量使用的公用IP地址的端口。
   • 私有端口: 虚拟机实例将被转发到公共流量的监听端口。
   • Protocol: The communication protocol in use between the two ports
10. 点击 添加

配置远程访问VPN¶

为云设置VPN：

1. 使用管理员或者终端用户账号登录CloudStack UI。
2. 在左侧导航栏，点击 全局设置
3. 设置以下全局配置参数。
   • remote.access.vpn.client.ip.range – 分配给远程访问VPN客户端的IP地址范围。第一个IP被VPN服务器使用。
   • remote.access.vpn.psk.length – IPsec密钥长度。
   • remote.access.vpn.user.limit – 单个账户的最大VPN用户数量。

为特定的网络启用VPN：

1. 使用用户或管理员身份登录到CloudStack用户界面。

2. 在左边导航栏，点击网络。

3. 选择你要操作的网络名称

4. 点击查看IP地址。

5. 点击一个显示的IP地址名称。

6. 点击启用VPN按钮。

   IPsec密钥将显示在弹出的窗口中。

为VPC配置远程访问VPN¶

在VPC中启用远程访问VPN，任何VPC以外的VPN客户端都可以使用远程VPN连接访问VPC中的VM。VPN客户端可以在除了用户启用了远程访问VPN服务的VPC中的任何位置。

为VPC开启VPN：

1. 使用用户或管理员身份登录到CloudStack用户界面。

2. 在左边导航栏，点击网络。

3. 在选择视图中，选择VPC。

   此帐号创建的所有VPC将显示在页面中。

4. 点击VPC的配置按钮。

   对于每一个层，会显示以下选项。

   • 内部LB
   • 公共LB IP
   • 静态 NAT
   • 虚拟机
   • CIDR

   显示以下路由器信息：

   • 专用网关
   • 公共IP地址
   • 站点到站点 VPN
   • 网络 ACL列表

5. 在路由器节点中，选择公共IP地址。

   系统显示IP地址页面。

6. 点击源NAT IP地址。

7. 点击启用VPN按钮。

   点击OK确认。IPsec密钥将显示在弹出的窗口中。