mellanox/passthrough-plugin

已弃用

请使用 rdma/sriov-plugin 替代

docker-passthrough-plugin

概述

该网络插件允许Docker容器直接/直通访问原生以太网网络设备，提供两种操作模式：

(1) SRIOV模式

在此模式下，指定的网络设备作为PCIe物理功能（PF）来定义网络。所有容器实例启动时将获得一个基于PCIe虚拟功能（VF）的网络设备。此模式利用网络设备的PCIe SRIOV功能，提供对实际PCIe网络设备的原生访问，无虚拟设备开销。每个容器可获得专用的NIC发送（Tx）和接收（Rx）队列，避免与其他容器的资源竞争。插件会自动处理SRIOV的启用/禁用及容器启动时VF设备的分配，减少管理开销。

(2) Passthrough模式

在此模式下，指定的网络设备直接映射到容器。每个网络对应一个网络设备，因此每个容器会获得一个网络。适用于需直接映射绑定设备（bond bonded device）的场景，无需额外层且不消耗额外MAC地址。

两种模式均类似于KVM等虚拟化技术的直通模式。通过该插件创建的接口，容器网络设备与主机网络设备的IP子网无限制，容器可使用任意IP地址，与主机或其他容器的子网相同或不同。未来将添加更多网络设备和网络的配置选项。

用例

• 高性能网络应用：运行在容器中的高性能网络应用可通过原生设备提升性能。
• NFV应用：适合网络功能虚拟化（NFV）应用，可利用硬件隔离、NIC适配器交换、设备精细控制，降低CPU利用率。
• 嵌套虚拟化：在基于VF的网络接口上，可通过macvlan或ipvlan创建嵌套容器。
• InfiniBand场景：使用InfiniBand（非RoCE）时，IPoIB网络设备可直接作为直通设备映射，无需创建额外虚拟设备。

快速启动说明

以下说明介绍如何启动插件并使用。

1. 环境要求

确保使用Docker 1.9或更高版本。

2. 获取插件

bash
$ docker pull mellanox/passthrough-plugin

3. 运行插件

bash
$ docker run -v /run/docker/plugins:/run/docker/plugins -v /etc/docker:/etc/docker --net=host --privileged mellanox/passthrough-plugin

启动后容器会输出插件控制台日志，无需重启Docker引擎。网络配置将持久化到/etc/docker/mellanox目录。

4. 测试SRIOV模式

4.1 创建网络

以下命令使用ens2f0作为PF网络设备，模式设为SRIOV，插件会自动为容器分配VF设备。容器与主机的子网可不同：

bash
$ docker network create -d passthrough --subnet=194.168.1.0/24 -o netdevice=ens2f0 -o mode=sriov mynet

4.2 运行容器

bash
$ docker run --net=mynet -itd --name=web nginx

4.3 SRIOV模式下的多租户支持

可通过VLAN创建二层隔离网络，不同网络中的容器相互隔离。例如创建两个VLAN网络：

bash
$ docker network create -d passthrough --subnet=194.168.1.0/24 -o netdevice=ens2f0 -o mode=sriov -o vlan=100 customer1
$ docker network create -d passthrough --subnet=194.168.1.0/24 -o netdevice=ens2f0 -o mode=sriov -o vlan=200 customer2

分别在两个网络中运行容器：

bash
$ docker run --net=customer1 -itd --name=web nginx
$ docker run --net=customer2 -itd --name=web nginx

4.4 安全网络

默认创建非特权网络，容器无法进行欺骗***或嗅探其他容器流量（利用硬件卸载功能防止欺骗）。若受信任应用（如DPDK框架）需修改L2地址，可创建特权网络：

bash
$ docker network create -d passthrough --subnet=194.168.1.0/24 -o netdevice=ens2f0 -o mode=sriov -o vlan=100 -o privileged=1 customer1

4.5 根据MAC地址选择特定VF

可通过指定MAC地址选择特定VF：

bash
$ docker run --net=customer1 --mac-address=<目标VF的有效MAC地址> -itd --name=web nginx

5. 测试Passthrough模式

5.1 创建网络

bash
$ docker network create -d passthrough --subnet=194.168.1.0/24 -o netdevice=ens2f0 -o mode=passthrough mynet

5.2 运行容器

bash
$ docker run --net=mynet -itd --name=web nginx

网络创建选项列表

1. netdevice：用于创建网络接口的父网络设备
2. mode：操作模式，可选值：passthrough/sriov
3. vlan：子网络设备使用的VLAN卸载
4. privileged：特权网络标识（1表示启用），允许修改L2地址和嗅探流量

限制

仅支持Linux环境。