OVS flows для определенного VLAN

Такое ощущение, что в таком контексте vlan просто не нужны, а нужна изоляция портов, чтобы трафик шел только от виртуалки на аплин и обратно.

https://serverfault.com/questions/388544/is-it-possible-to-enable-port-isolation-on-linux-bridges

Или все таки выдавать на каждый vlan свою подсеть, собирая на роутере в кучу гейтвеев.

Это про linux мост, у меня же ovs, и, как написанно в заглавном сообщении

Знаю, что можно фильтровать соединения в linux bridge через iptables, но переезд на него не самый желательный итог.

Почему бы просто не перетащить вм в разные виланы?

Сейчас так и живу, разные vlan, и на стороне debian маршрутизатор с этими vlan в linux мосте, но хочу отказаться от этого в веду сложности конструкции, и эпизодических сетевых петель при поломке keepalived, и в целом перевести всю маршрутизацию c отдельных vm-маршрутизаторов на коммутаторы.

и в целом перевести всю маршрутизацию c отдельных vm-маршрутизаторов на коммутаторы.

Коммутаторы - это устройства уровня L2 модели OSI, а маршрутизаторы - уровня L3.

Коммутаторы не поддерживают функцию маршрутизации.

Cпасибо за уточнение, думаю стоит открыть окно, душно как-то :/ И, да, боюсь представить, что за устройства такие, L1/неуправляемые коммутаторы.

У меня во всех стойках стоят L3-коммутаторы, которые могут и в BGP и в роутинг и даже базовый фаерволлинг.

L1 - это физический канал, ну и хабы тоже можно отнести к устройствам L1.

Ну так это уже не просто коммутаторы, а по сути роутеры, но у них нет поддержки динамической маршрутизации, поэтому называют коммутаторами.

А статическая маршрутизация и прочие функции маршрутизатора, в том числе и назначение ip адресов на интерфейсы, вланы есть.

Но чистый коммутатор не поддерживает даже статическую маршрутизацию.

Это про linux мост, у меня же ovs, и, как написанно в заглавном сообщении

Это про теорию. То, что ты хочешь, называется изоляция портов и эта функция в ovs отсутствует.

Знаю, что можно фильтровать соединения в linux bridge через iptables, но переезд на него не самый желательный итог.

Будь внимательнее, iptables не касается linux bridge. То, что тебе нужно, делает ebtables или ebtables-nft

В твоей постановки задачи разумнее всего использовать linux-bridge, где есть, то, что тебе нужно, а не использовать кошерный прекрасный ovs, в котором по несчастью нет необходимого.

Я использую ovs ровно потому, что мне, наоборот, нужны множественные vlan, хотя с некоторых пор это и в libux-bridge вроде не проблема.

Пока пришел к решению закидывать скриптами каждый раз правила фильтрации по mac, например ovs-ofctl add-flow ovs-br «cookie=»$cookie"1, table=0, priority=1001, in_port=$int, dl_dst=cc:4e:24:c3:31:10, action=normal", но да, при взаимодействии с вм, миграции на другой хост, каких либо еще действий, надо руками добавлять правило, но лучше пока не придумал.

Ну так в целом это и есть максимум возможного.

Если бы прям так необходим был ovs, например, из за dpdk или желания использовать в одном бридже пачку вланов или организации единого межсерверного бриджа, то это был бы вполне разумный компромисс.

Вообще у либвирта есть хуки. Может быть, использовать их для запуска своего скрипта?

https://github.com/nesanton/kvmvlan