[BUG] ACL规则匹配dscp异常

[narutoqq]

Kube-OVN Version

v1.13.14

Kubernetes Version

Client Version: v1.32.0
Kustomize Version: v5.5.0
Server Version: v1.32.0

Operation-system/Kernel Version

Ubuntu 22.04.5 LTS

Description

子网新增acl规则期望特定dscp数据包放行，实际测试dscp不相等的数据包也错误的放行。

Steps To Reproduce

1.对子网173.200.104.0/24增加acl规则：期望放行特定dscp == 32（二进制：100000）的数据包。

2.实际测试，即使dscp不命中，也错误的放行了。图中tos=192（二进制：11000000），前6位为dscp == 48（110000）。

Current Behavior

数据包中ip.dscp无论何值，都可以命中dscp allow-related规则。

Expected Behavior

期望仅命中和acl规则dscp相等的数据包中。

[oilbeater]

可以看下 ovn-northd 有没有什么错误日志，我怀疑是流表没有被正确翻译

[narutoqq]

可以看下 ovn-northd 有没有什么错误日志，我怀疑是流表没有被正确翻译

查看ovn-northd没有ERROR日志。

[narutoqq]

查询OVN南向数据库规则。

查看openflow流表规则并没有包含tos或者dscp字段。是否是ovn-controller 不支持 DSCP 转换？

[oilbeater]

ovn-controller 有什么日志么，看现在的情况大概率是不支持

[oilbeater]

@narutoqq 可以试一下把 action 改成 allow-stateless，我怀疑 dcsp 无法在 conntrack 匹配，所以无法应用 allow-related 这种 stateful 规则