OpenStack 2026.2「Hibiscus」のNeutronは何が変わった？ネットワーク運用で注目したい新機能

2026年11月9日 13:11

OpenStackのネットワーク機能を担当するNeutron。2026.2「Hibiscus」では、ネットワークの分離方法や、Floating IPを使わない通信、OVNの運用性などに関する改善が加わりました。

今回は、OpenInfra Liveで取り上げられた話題を手がかりに、Neutronの公式リリースノートで確認できる変更を整理します。

※この記事はOpenStack本家の2026.2に関する内容です。
Red Hat OpenStack Services on OpenShift（RHOSO）18での提供やサポートを示すものではありません。

通常、外部からプロジェクト内のVMに接続する方法の一つとしてFloating IPを使います。
一方、社内ネットワークからプライベートIPのままVMに接続したい構成もあるでしょう。

Hibiscusでは、OVN BGPサービスプラグインにサブネット属性「leak_routes」が追加されました。
条件を満たすサブネットでこれを有効にすると、サブネットのCIDRをBGP経由で物理ネットワーク側に広告できます。

たとえば、VMのIPが192.168.10.10、サブネットが192.168.10.0/24の場合、物理ネットワーク側がその経路を受け取ることで、Floating IPを使わずにVMのプライベートIPへ到達する構成が考えられます。

ただし、機能を有効にするだけで外部との通信が完成するわけではありません。
公式ノートでは、外部ゲートウェイを持つルーターに接続されたGeneveサブネットが対象として説明されています。
BGPの設定、物理ネットワーク側の経路制御、アドレスの重複やセキュリティ設計も必要です。

同じネットワークに複数のサブネットがある場合、leak_routesを設定していないサブネットのIPアドレスについても、ホスト経路が物理ネットワーク側に通知される可能性があります。

意図しない経路の通知を避けるため、leak_routesを使用するサブネットを、ほかのサブネットとは別の専用ネットワークに配置する方法が案内されています。

「同じネットワークにVMを配置したい。でもVM同士の直接通信は制限したい」。
そんな要件に関係するのがPrivate VLAN（PVLAN）です。

PVLANでは、対象ネットワークのポートに次の役割を設定します。

・Promiscuous：同じネットワークのどのポートとも通信可能
・Community：同じコミュニティのポートとPromiscuousポートに通信可能
・Isolated：Promiscuousポートとのみ通信可能

たとえば、VM側をIsolated、共通ゲートウェイ側をPromiscuousに設定すると、各VMはゲートウェイと通信しつつ、VM同士の直接通信を制限できます。

ポートのデフォルトはPromiscuousです。
また、PVLANを利用するネットワークにはpvlan属性を設定し、サービスプラグインを有効にします。
公式資料ではML2/OVN向けの実装として説明されています。

同じポートにPVLANとセキュリティグループが適用される場合、公式ノートではPVLANが優先されるとされています。
ポートセキュリティが無効なネットワークやポートは対象外です。

新しいAPI拡張により、新規作成するセキュリティグループのstateful属性の初期値を、プロジェクト単位またはシステム全体で設定できるようになりました。

ステートフルでは通信の状態を追跡し、許可された通信に対応する戻り通信を扱います。
一方、ステートレスでは接続状態を追跡しないため、必要な通信の方向を考えてルールを設計することになります。

DPDK環境などでステートレスを初期値にしたい場合に役立つ機能です。
すべての環境で自動的にステートレスへ変更される、という意味ではありません。

ML2/OVNでは、L3スケジューラーAPIを使い、ルーターを担当するゲートウェイシャーシの一覧や優先順位を確認できます。
ルーターとシャーシの割り当てや、既存の割り当ての優先順位を変更するAPIも用意されました。

ゲートウェイシャーシは、OVNのゲートウェイ機能を担うノードです。
障害時やメンテナンス時に、どのノードが担当し、どの順序でフェイルオーバーするかを把握するうえで重要になります。

L3 HA環境では、ルーターの状態変化を監視するneutron-keepalive-state-changeが、Python実装からPOSIXシェルスクリプトに書き直されました。

公式リリースノートによると、対象プロセスのメモリ使用量は約100 MBから6 MB未満になっています。
HAルーターが多数ある環境では、監視に必要なメモリの削減が期待できます。

ここで注意したいのは、この数値が対象プロセスの比較だという点です。Neutron全体やサーバー全体のメモリ使用量が一律で約15分の1になる、という意味ではありません。

今回のNeutronは、単に新しいネットワーク機能が増えたというだけでなく、接続方法の選択肢と、運用者が制御できる範囲の両方が広がったリリースといえます。

・Floating IPを使わない接続：OVN BGPのルートリーキング
・同じネットワーク内の分離：PVLAN
・セキュリティグループ：stateful属性の初期値を管理
・OVN運用：ゲートウェイシャーシの配置と優先順位を管理
・L3 HA：状態監視プロセスのメモリ使用量を削減

特にルートリーキングとPVLANは、既存のネットワーク設計を見直すきっかけになりそうです。実際に採用する際は、利用するバックエンドやリリース、ネットワーク構成ごとの条件を確認したいところです。

OpenStack 2026.2「Hibiscus」のNeutronは何が変わった？ ネットワーク運用で注目したい新機能