文章來自作者維護的社群微信公眾號【虛擬化雲端計算】）建立虛擬機器時主機上會有一條iptables 用來將ip和mac繫結，用來防止arp欺騙。在需要給單個網絡卡配置多個ip的場景下（例如keepalive）另外新增的ip地址是無法與外界通訊的。 兩種方法來解決。第一種是使用allowed-address-pairs來擴充套件埠屬性，允許手動指定埠的mac_address和ip 地址對的流量通過。1. 建立port時指定allowed-address-pairs屬性# neutron port-create e13762dc-9af7-49b6-a74e-2ed2a9728a6c --allowed-address-pairs type=dict list=true ip_address=172.16.1.5
可以看出新建的port的ip_address為172.16.1.7，而對應的allowed-address-pairs為172.16.1.5，兩個ip對應的mac是相同的。2. 給現有網絡卡新增allowed-address-pairs屬性
# neutron port-update 18dea4cb-db1d-4c44-96f0-0b57305e7b1e --allowed-address-pairs type=dict list=true ip_address=172.16.1.23
設定了屬性後主機的iptables如下：

RETURN     all  --  172.16.1.5           anywhere             MAC FA:16:3E:65:5B:C7 /* Allow traffic from defined IP/MAC pairs. */RETURN     all  --  172.16.1.4           anywhere             MAC FA:16:3E:65:5B:C7 /* Allow traffic from defined IP/MAC pairs. */

第二種是使用port_security_enabled屬性，可以針對整個網路更改，也針對某個埠更改。建立net和port時現在沒有引數來指定port_security_enabled，預設是True，所以需要在建立之後更新。首先移除port上的安全組（建立port時預設是有安全組的，可以新增引數--no-security-groups建立沒有安全組的prot），然後設定port的port_security_enabled為False（有安全組時port_security_enabled無法設定為False ） ：# neutron port-update b0ddb9ad-6250-45f2-9927-a6633ddaf406 --no-security-groups --port_security_enabled=False設定了port_security_enabled=False後再主機的iptables中對應的下面規則會被刪除。

RETURN     all  --  172.16.1.4           anywhere             MAC FA:16:3E:65:5B:C7 /* Allow traffic from defined IP/MAC pairs. */

============================================================關注微信公眾號【虛擬化雲端計算】，閱讀更多虛擬化雲端計算知識，純技術乾貨更新不停。