NetworkManager, nmstate
und der NMState Operator

Der Dienst, der auf RHCOS die Netzwerkschnittstellen tatsächlich konfiguriert. Zwei Begriffe muss man auseinanderhalten:

• Device: die reale Schnittstelle im Kernel (eno1, bond0, br-ex).
• Connection/Profil: eine gespeicherte Konfiguration, die auf ein Device passt. Profile liegen als Keyfiles unter /etc/NetworkManager/system-connections/ (persistent) oder /run/NetworkManager/system-connections/ (flüchtig, nur bis zum Reboot).

Ein Profil wird aktiv, wenn es zu einem Device passt – standardmäßig über den Interface-Namen (connection.interface-name), optional über die MAC-Adresse (ethernet.mac-address).

nmcli -f NAME,UUID,TYPE,DEVICE,AUTOCONNECT,FILENAME con show
nmcli con show <profil> | grep -E 'interface-name|mac-address|ipv4\.'
ls -la /etc/NetworkManager/system-connections/

Eine deklarative API für Linux-Netzwerk. Statt einzelner nmcli-Befehle beschreibt man den Zielzustand in YAML; nmstate berechnet die Differenz zum Ist-Zustand und setzt sie über NetworkManager um.

• Eigenschaften, die im YAML nicht vorkommen, bleiben erhalten – Merge statt Überschreiben.
• Änderungen werden transaktional angewendet: Scheitert die Überprüfung nach dem Anwenden, wird zurückgerollt.

nmstatectl show            # Ist-Zustand als YAML
nmstatectl show eno1       # nur eine Schnittstelle
nmstatectl apply ziel.yml  # Zielzustand anwenden

Ein nmstate-Dokument hat im Kern vier Blöcke:

interfaces:      # Ethernet, Bond, VLAN, Bridge, OVS-Bridge …
routes:          # statische Routen
route-rules:     # Policy-Based Routing
dns-resolver:    # DNS-Server und Suchdomänen

Macht nmstate über die Kubernetes-API nutzbar. Nach der Installation läuft ein DaemonSet (in der Doku „NMState State Controller“ bzw. Handler) auf allen Nodes. Jeder Handler

• wendet Policies (NNCP) auf seinem Node über nmstate an,
• meldet regelmäßig den Ist-Zustand des Node-Netzwerks an den API-Server (NNS),
• schreibt das Ergebnis jeder Anwendung zurück (NNCE).

OpenShift unterstützt die Bond-Modi active-backup, balance-xor und 802.3ad. Die beiden letzten brauchen passende Switch-Konfiguration. Auf Bare Metal ist für VLANs nur das Namensschema <interface>.<vlan-id> unterstützt.

apiVersion: nmstate.io/v1
kind: NodeNetworkConfigurationPolicy
metadata:
  name: bond10-vlan103
spec:
  nodeSelector:
    node-role.kubernetes.io/worker: ""
  maxUnavailable: 1
  desiredState:
    interfaces:
    - name: bond10
      type: bond
      state: up
      link-aggregation:
        mode: active-backup
        options:
          miimon: '140'
        port:
        - eth2
        - eth3
    - name: bond10.103
      type: vlan
      state: up
      vlan:
        base-iface: bond10
        id: 103
      ipv4:
        enabled: true
        dhcp: true

apiVersion: nmstate.io/v1
kind: NodeNetworkConfigurationPolicy
metadata:
  name: br1-eth1
spec:
  nodeSelector:
    node-role.kubernetes.io/worker: ""
  desiredState:
    interfaces:
    - name: br1
      type: linux-bridge
      state: up
      ipv4:
        enabled: false
      bridge:
        options:
          stp:
            enabled: false
        port:
        - name: eth1

Werden ipv4.enabled und ipv6.enabled auf false gesetzt, muss state: up bleiben. Mit state: down holt sich die Schnittstelle durch automatisches DHCP eine Adresse.