保姆级教程：在CentOS7.9单节点OpenStack上，搞定虚拟机SSH访问（附浮动IP配置全流程）

从零到一：CentOS7.9单节点OpenStack虚拟机SSH访问实战指南

当你第一次在CentOS7.9上完成OpenStack的all-in-one部署，创建了漂亮的虚拟机实例，却发现无论如何都无法通过SSH连接时，那种挫败感我深有体会。这不是你的问题——OpenStack的网络配置本就是新手最容易踩坑的环节。本文将带你一步步打通这个关键链路，从网桥配置到浮动IP分配，最终实现稳定可靠的SSH访问。

1. 环境准备与网络拓扑解析

在开始实际操作前，我们需要明确几个关键概念。OpenStack的网络模型采用"网桥+虚拟路由器"的架构，其中：

• br-ex：外部网桥，负责连接物理网络与虚拟网络
• br-int：集成网桥，内部虚拟网络交换的核心
• 浮动IP：使外部能够访问虚拟机的公网IP地址

典型的单节点部署网络拓扑如下：

提示：在开始配置前，请确保已关闭NetworkManager服务：systemctl stop NetworkManager; systemctl disable NetworkManager

2. 网桥配置：打通物理与虚拟网络

网桥配置是OpenStack网络通信的基础。我们需要将物理网卡绑定到br-ex网桥，这是外部访问虚拟机的第一步。

2.1 检查当前网桥状态

首先确认你的网桥现状：

# 列出所有网桥 ovs-vsctl list-br # 查看br-ex网桥端口 ovs-vsctl list-ports br-ex

如果输出中br-ex没有绑定物理网卡，就需要进行以下配置。

2.2 配置br-ex网桥

进入网络配置文件目录：

cd /etc/sysconfig/network-scripts/

创建或修改ifcfg-br-ex文件：

vi ifcfg-br-ex

关键配置如下：

TYPE="OVSBridge" DEVICETYPE=ovs NAME="br-ex" DEVICE="br-ex" ONBOOT="yes" IPADDR=192.168.187.128 # 改为你的实际IP PREFIX=24 GATEWAY=192.168.187.2 # 改为你的实际网关 DNS1=114.114.114.114

2.3 修改物理网卡配置

编辑物理网卡配置文件(如ifcfg-ens33)：

vi ifcfg-ens33

修改为以下内容：

TYPE="OVSPort" DEVICETYPE=ovs OVS_BRIDGE=br-ex NAME="ens33" DEVICE="ens33" ONBOOT="yes"

重启网络服务使配置生效：

systemctl restart network

3. OpenStack网络架构调整

3.1 清理默认路由配置

OpenStack的all-in-one部署通常会创建一些默认网络配置，但这些往往不符合实际需求：

1. 以admin用户登录Dashboard
2. 进入"管理员"→"网络"→"路由"
3. 找到默认路由器，点击"清除网关"
4. 删除不必要的外部网络子网

3.2 重建外部网络

1. 在"管理员"→"网络"中，选择public网络
2. 点击"创建子网"，配置如下参数：

3. 保存配置后，返回路由设置，重新为路由器设置网关

3.3 验证网络拓扑

在Dashboard中查看"网络拓扑"，应该能看到：

• 虚拟机实例连接到虚拟网络
• 虚拟路由器连接内部网络和外部网络
• 外部网络与br-ex网桥连通

4. 浮动IP配置与SSH连接

4.1 分配浮动IP

1. 在"项目"→"计算"→"实例"中，选择目标虚拟机
2. 点击"关联浮动IP"
3. 从下拉菜单中选择可用的IP地址池
4. 点击"关联"完成分配

注意：如果IP池为空，需要先在"管理员"→"网络"中为public网络分配浮动IP地址范围

4.2 SSH连接准备

确保你的虚拟机已经：

• 安装了SSH服务(yum install openssh-server)
• 启动了SSH服务(systemctl start sshd)
• 开放了22端口(默认应该已开放)

4.3 使用密钥连接

1. 将创建实例时下载的密钥文件上传到你的客户端机器
2. 设置正确的权限：

chmod 600 your_private_key.pem

3. 使用SSH连接：

ssh -i your_private_key.pem centos@<浮动IP>

如果使用cirros镜像，用户名为cirros；如果使用CentOS镜像，用户名为centos

5. 常见问题排查指南

5.1 连接超时

检查步骤：

1. 确认浮动IP已正确分配

openstack floating ip list

2. 检查安全组规则是否允许SSH

openstack security group rule list default

3. 验证网络连通性

ping <浮动IP>

5.2 认证失败

可能原因：

• 使用了错误的密钥对
• 虚拟机未正确注入公钥
• 用户名称错误

解决方案：

1. 通过控制台登录虚拟机检查~/.ssh/authorized_keys
2. 确认使用的私钥与注入的公钥匹配
3. 尝试重置实例密码(如果镜像支持)

5.3 网络不稳定

优化建议：

1. 检查物理主机网络配置

ovs-vsctl show

2. 调整MTU值(常见于VPN环境)

ip link set dev br-ex mtu 1400

3. 检查防火墙规则

iptables -L -n -v

6. 高级配置技巧

6.1 多网络接口配置

有时你可能需要为虚拟机配置多个网络接口：

1. 在Dashboard中创建第二个网络
2. 为实例添加新接口
3. 分配第二个浮动IP

6.2 安全组最佳实践

建议的安全组规则配置：

设置命令示例：

openstack security group rule create --proto tcp --dst-port 22 --remote-ip <你的IP> default

6.3 自动化脚本部署

对于频繁部署的场景，可以编写自动化脚本：

#!/bin/bash # 分配浮动IP并关联实例 INSTANCE_NAME="my-vm" FLOATING_IP=$(openstack floating ip create public -f value -c floating_ip_address) openstack server add floating ip $INSTANCE_NAME $FLOATING_IP echo "Assigned floating IP $FLOATING_IP to $INSTANCE_NAME"

在实际项目中，我发现最常被忽视的环节是安全组规则的配置——即使网络连通性没问题，错误的安全组设置仍会导致SSH连接失败。建议每次创建实例后，第一时间检查安全组设置。