Зеркалирование трафика виртуальных машин в OVN: что пришлось добавить в overlay-сеть

NTA/NDR-системе для работы нужна копия сетевого трафика. Но в российских публичных облаках получить её с интерфейсов виртуальных машин было нельзя: OVN поддерживал зеркалирование на уровне физических портов гипервизора, а нужной функциональности для overlay-сети не было.

В K2 Cloud её реализовали с нуля и отправили патч в апстрим OVN — теперь он входит в основную кодовую базу проекта.

Дальше выяснилось, что без фильтров зеркалирование работает, но создаёт лишний трафик и может испортить анализ. Если копировать трафик двух общающихся ВМ, один пакет прилетит на сенсор дважды. Если оставить только входящий — получатся асинхронные сессии, где половина картины отсутствует. Плюс есть тяжёлый легитимный трафик, который незачем гонять через анализатор.

А при реальном развёртывании добавляются уже менее очевидные вещи — DNS и DHCP на шлюзе, DPDK, IOPS, несколько AZ и нагрузка выше паспортных 2 Гбит/с PT NAD.