在ContainerLab中构建隔离网络环境测试eBPF交换机

在虚拟化网络测试环境中，构建完全隔离的网络拓扑是验证网络设备功能的关键前提。本文将介绍如何利用ContainerLab这一容器化网络实验室工具，搭建一个典型的二层交换机测试环境，重点解决网络隔离问题。

测试环境需求分析

测试目标是一个基于eBPF技术实现的软件交换机，需要满足以下核心需求：

1. 两个终端设备（源端和目标端）位于相同IP子网（2.2.2.0/24）
2. 终端设备之间默认不能直接通信
3. 软件交换机作为中间节点，不配置任何IP地址
4. 当软件交换机启用时，终端设备才能互通

这种测试场景能够准确验证交换机的二层转发功能，排除网络层的影响。

ContainerLab实现方案

基础拓扑配置

ContainerLab使用YAML格式定义网络拓扑。基础配置包含三个节点：

name: ebpf-test
topology:
  nodes:
    src:
      kind: linux
      image: alpine:3
    sw:
      kind: linux
      image: my-ebpf-switch:latest
    dst:
      kind: linux
      image: alpine:3
  links:
    - endpoints: [src:eth1, sw:eth1]
    - endpoints: [dst:eth1, sw:eth2]

关键隔离配置

默认情况下，ContainerLab会为每个节点创建管理网络接口（eth0），这会导致节点间可以通过管理网络直接通信。要实现完全隔离，需要采取以下措施：

1. 禁用管理网络：通过设置网络模式为"none"来关闭Docker默认网络

nodes:
  src:
    kind: linux
    network-mode: none

2. 显式指定测试接口：确保测试流量只通过eth1接口

# 在源端执行ping测试时指定源接口
ping -I eth1 2.2.2.200

完整隔离方案

最终的隔离测试方案应包含：

1. 所有节点禁用管理网络
2. 仅配置测试用接口
3. 终端设备配置相同子网的IP地址
4. 交换机节点不配置IP地址

测试验证流程

1. 初始状态验证：

   • 确认源端和目标端无法直接ping通
   • 确认交换机接口未配置IP地址

2. 功能启用验证：

   • 在交换机节点启动eBPF交换程序
   • 验证源端和目标端可以互相ping通

3. 功能关闭验证：

   • 停止交换机程序
   • 确认通信再次中断

技术要点总结

1. ContainerLab默认会创建管理网络，测试时需要特别注意隔离
2. 使用network-mode: none可以完全禁用Docker网络栈
3. 测试时需要明确指定测试接口，避免误用管理接口
4. 相同子网的终端设备默认不能通信，是验证二层转发功能的理想场景

这种测试方法不仅适用于eBPF交换机验证，也可用于其他二层网络设备的测试场景，如传统交换机、SDN交换机等。通过精确控制网络隔离，可以确保测试结果真实反映设备功能。