INotify: map address/netmask to cidr while parsing interfaces
[pve-common.git] / src / PVE / INotify.pm
index 630e62f..11b6728 100644 (file)
@@ -13,11 +13,16 @@ use File::Basename;
 use Fcntl qw(:DEFAULT :flock);
 use PVE::SafeSyslog;
 use PVE::Exception qw(raise_param_exc);
+use PVE::Network;
 use PVE::Tools;
-use Storable qw(dclone);            
+use PVE::ProcFSTools;
+use PVE::JSONSchema;
+use Clone qw(clone);
 use Linux::Inotify2;
 use base 'Exporter';
-use JSON; 
+use JSON;
+use Digest::SHA;
+use Encode qw(encode decode);
 
 our @EXPORT_OK = qw(read_file write_file register_file);
 
@@ -54,13 +59,11 @@ sub ccache_compute_diff {
 
     my $diff = '';
 
-    open (TMP, "diff -b -N -u '$filename' '$shadow'|");
-       
-    while (my $line = <TMP>) {
-       $diff .= $line;
-    }
-
-    close (TMP);
+    my $cmd = ['/usr/bin/diff', '-b', '-N', '-u', $filename, $shadow];
+    PVE::Tools::run_command($cmd, noerr => 1, outfunc => sub {
+       my ($line) = @_;
+       $diff .= decode('UTF-8', $line) . "\n";
+    });
 
     $diff = undef if !$diff;
 
@@ -197,6 +200,16 @@ sub discard_changes {
     return read_file ($filename, $full);
 }
 
+sub poll_changes {
+    my ($filename) = @_;
+
+    poll() if $inotify; # read new inotify events
+
+    $versions->{$filename} = 0 if !defined ($versions->{$filename});
+
+    return $versions->{$filename};
+}
+
 sub read_file {
     my ($fileid, $full) = @_;
 
@@ -209,11 +222,7 @@ sub read_file {
     my $fd;
     my $shadow;
 
-    poll() if $inotify; # read new inotify events
-
-    $versions->{$filename} = 0 if !defined ($versions->{$filename});
-
-    my $cver = $versions->{$filename};
+    my $cver = poll_changes($filename);
 
     if (my $copy = $shadowfiles->{$filename}) {
        if ($fd = IO::File->new ($copy, "r")) {
@@ -238,15 +247,15 @@ sub read_file {
 
     # file unchanged?
     if (!$ccinfo->{nocache} &&
-       $inotify && $versions->{$filename} &&
+       $inotify && $cver &&
        defined ($ccinfo->{data}) &&
        defined ($ccinfo->{version}) &&
        ($ccinfo->{readonce} ||
-        ($ccinfo->{version} == $versions->{$filename}))) {
+        ($ccinfo->{version} == $cver))) {
 
        my $ret;
        if (!$noclone && ref ($ccinfo->{data})) {
-           $ret->{data} = dclone ($ccinfo->{data});
+           $ret->{data} = clone ($ccinfo->{data});
        } else {
            $ret->{data} = $ccinfo->{data};
        }
@@ -268,7 +277,7 @@ sub read_file {
     }
 
     # we cache data with references, so we always need to
-    # dclone this data. Else the original data may get
+    # clone this data. Else the original data may get
     # modified.
     $ccinfo->{data} = $res;
 
@@ -277,7 +286,7 @@ sub read_file {
 
     my $ret;
     if (!$noclone && ref ($ccinfo->{data})) {
-       $ret->{data} = dclone ($ccinfo->{data});
+       $ret->{data} = clone ($ccinfo->{data});
     } else {
        $ret->{data} = $ccinfo->{data};
     }
@@ -340,7 +349,7 @@ sub register_file {
 sub register_regex {
     my ($dir, $regex, $parser, $writer, $update, %options) = @_;
 
-    die "can't register regex after initify_init" if $inotify;
+    die "can't register regex after inotify_init" if $inotify;
 
     my $uid = "$dir/$regex";
     die "regular expression '$uid' already added :ERROR" if defined ($ccacheregex->{$uid});
@@ -530,6 +539,54 @@ register_file('hostname', "/etc/hostname",
              \&read_etc_hostname, 
              \&write_etc_hostname);
 
+sub read_etc_hosts {
+    my ($filename, $fh) = @_;
+
+    my $raw = '';
+    my $data = '';
+
+    while (my $line = <$fh>) {
+       $raw .= $line;
+       if ($line =~ m/^\s*#/) {
+           $line = decode('UTF-8', $line);
+       }
+       $data .= $line;
+    }
+
+    return {
+       digest => Digest::SHA::sha1_hex($raw),
+       data => $data,
+    }
+}
+
+sub write_etc_hosts {
+    my ($filename, $fh, $hosts, @args) = @_;
+
+    # check validity of ips/names
+    for my $line (split("\n", $hosts)) {
+       next if $line =~ m/^\s*#/; # comments
+       next if $line =~ m/^\s*$/; # whitespace/empty lines
+
+       my ($ip, @names) = split(/\s+/, $line);
+
+       raise_param_exc({ 'data' => "Invalid IP '$ip'" })
+           if $ip !~ m/^$PVE::Tools::IPRE$/;
+
+       for my $name (@names) {
+           raise_param_exc({ 'data' => "Invalid Hostname '$name'" })
+               if $name !~ m/^[.\-a-zA-Z0-9]+$/;
+       }
+    }
+
+    die "write failed: $!" if !print $fh encode('UTF-8', $hosts);
+
+    return $hosts;
+}
+
+register_file('etchosts', "/etc/hosts",
+             \&read_etc_hosts,
+             \&write_etc_hosts);
+
 sub read_etc_resolv_conf {
     my ($filename, $fh) = @_;
 
@@ -540,7 +597,7 @@ sub read_etc_resolv_conf {
        chomp $line;
        if ($line =~ m/^(search|domain)\s+(\S+)\s*/) {
            $res->{search} = $2;
-       } elsif ($line =~ m/^nameserver\s+(\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3})\s*/) {
+       } elsif ($line =~ m/^\s*nameserver\s+($PVE::Tools::IPRE)\s*/) {
            $nscount++;
            if ($nscount <= 3) {
                $res->{"dns$nscount"} = $1;
@@ -648,9 +705,9 @@ sub write_active_workers {
        my $saved = $task->{saved} ? 1 : 0;
        if ($task->{endtime}) {
            if ($task->{status}) {
-               $raw .= sprintf("$upid $saved %08X $task->{status}\n", $task->{endtime});
+               $raw .= sprintf("%s %s %08X %s\n", $upid, $saved, $task->{endtime}, $task->{status});
            } else {
-               $raw .= sprintf("$upid $saved %08X\n", $task->{endtime});
+               $raw .= sprintf("%s %s %08X\n", $upid, $saved, $task->{endtime});
            }
        } else {
            $raw .= "$upid $saved\n";
@@ -665,7 +722,7 @@ register_file('active', "/var/log/pve/tasks/active",
              \&write_active_workers);
 
 
-my $bond_modes = { 'balance-rr' => 0,
+our $bond_modes = { 'balance-rr' => 0,
                   'active-backup' => 1,
                   'balance-xor' => 2,
                   'broadcast' => 3,
@@ -745,6 +802,24 @@ my $extract_ovs_option = sub {
     return $v;
 };
 
+my $check_mtu = sub {
+    my ($ifaces, $parent, $child) = @_;
+
+    die "check mtu - missing parent interface\n" if !$parent;
+    die "check mtu - missing child interface\n" if !$child;
+
+    my $cmtu = $ifaces->{$child}->{mtu};
+    return if !$cmtu;
+
+    my $parentdata = $ifaces->{$parent};
+    my $pmtu = $parentdata->{mtu};
+    $pmtu = $cmtu if $parentdata->{type} eq 'bond' && !$pmtu;
+    $pmtu = 1500 if !$pmtu;
+
+    die "interface '$parent' - mtu $pmtu is lower than '$child' - mtu $cmtu\n"
+       if $pmtu < $cmtu;
+};
+
 # config => {
 #   ifaces => {
 #     $ifname => {
@@ -785,22 +860,35 @@ my $extract_ovs_option = sub {
 sub read_etc_network_interfaces {
     my ($filename, $fh) = @_;
     my $proc_net_dev = IO::File->new('/proc/net/dev', 'r');
-    my $proc_net_if_inet6 = IO::File->new('/proc/net/if_inet6', 'r');
-    return __read_etc_network_interfaces($fh, $proc_net_dev, $proc_net_if_inet6);
+    my $active = PVE::ProcFSTools::get_active_network_interfaces();
+    return __read_etc_network_interfaces($fh, $proc_net_dev, $active);
 }
 
 sub __read_etc_network_interfaces {
-    my ($fh, $proc_net_dev, $proc_net_if_inet6) = @_;
+    my ($fh, $proc_net_dev, $active_ifaces) = @_;
 
     my $config = {};
     my $ifaces = $config->{ifaces} = {};
     my $options = $config->{options} = [];
 
+    my $options_alternatives = {
+       'bond-slaves' => 'slaves',
+       'bond_slaves' => 'slaves',
+       'bond-xmit-hash-policy' => 'bond_xmit_hash_policy',
+       'bond-mode' => 'bond_mode',
+       'bond-miimon' =>'bond_miimon',
+       'bridge-vlan-aware' => 'bridge_vlan_aware',
+       'bridge-fd' => 'bridge_fd',
+       'bridge-stp' => 'bridge_stp',
+       'bridge-ports' => 'bridge_ports',
+       'bridge-vids' => 'bridge_vids'
+    };
+
     my $line;
 
     if ($proc_net_dev) {
        while (defined ($line = <$proc_net_dev>)) {
-           if ($line =~ m/^\s*(eth\d+):.*/) {
+           if ($line =~ m/^\s*($PVE::Network::PHYSICAL_NIC_RE):.*/) {
                $ifaces->{$1}->{exists} = 1;
            }
        }
@@ -827,17 +915,16 @@ sub __read_etc_network_interfaces {
            my $f = { method => $3 }; # by family, merged to $d with a $suffix
            (my $suffix = $family) =~ s/^inet//;
 
-           my $d = $ifaces->{$i};
+           my $d = $ifaces->{$i} ||= {};
            $d->{priority} = $priority++ if !$d->{priority};
            push @{$d->{families}}, $family;
 
            while (defined ($line = <$fh>)) {
                chomp $line;
                if ($line =~ m/^\s*#(.*?)\s*$/) {
-                   # NOTE: we use 'comments' instead of 'comment' to 
-                   # avoid automatic utf8 conversion
                    $f->{comments} = '' if !$f->{comments};
-                   $f->{comments} .= "$1\n";
+                   my $comment = decode('UTF-8', $1);
+                   $f->{comments} .= "$comment\n";
                } elsif ($line =~ m/^\s*(?:iface\s
                                           |mapping\s
                                           |auto\s
@@ -849,10 +936,34 @@ sub __read_etc_network_interfaces {
                } elsif ($line =~ m/^\s*((\S+)\s+(.+))$/) {
                    my $option = $1;
                    my ($id, $value) = ($2, $3);
+
+                   $id = $options_alternatives->{$id} if $options_alternatives->{$id};
+
+                   my $simple_options = {
+                       'mtu' => 1,
+                       'ovs_type' => 1,
+                       'ovs_options' => 1,
+                       'ovs_bridge' => 1,
+                       'ovs_bonds' => 1,
+                       'ovs_ports' => 1,
+                       'bridge_fd' => 1,
+                       'bridge_vids' => 1,
+                       'bridge-access' => 1,
+                       'bridge-learning' => 1,
+                       'bridge-arp-nd-suppress' => 1,
+                       'bridge-unicast-flood' => 1,
+                       'bridge-multicast-flood' => 1,
+                       'bond_miimon' => 1,
+                       'bond_xmit_hash_policy' => 1,
+                       'vlan-protocol' => 1,
+                       'vxlan-id' => 1,
+                       'vxlan-svcnodeip' => 1,
+                       'vxlan-physdev' => 1,
+                       'vxlan-local-tunnelip' => 1 };
+
                    if (($id eq 'address') || ($id eq 'netmask') || ($id eq 'broadcast') || ($id eq 'gateway')) {
                        $f->{$id} = $value;
-                   } elsif ($id eq 'ovs_type' || $id eq 'ovs_options'|| $id eq 'ovs_bridge' ||
-                            $id eq 'ovs_bonds' || $id eq 'ovs_ports') {
+                   } elsif ($simple_options->{$id}) {
                        $d->{$id} = $value;
                    } elsif ($id eq 'slaves' || $id eq 'bridge_ports') {
                        my $devs = {};
@@ -872,12 +983,8 @@ sub __read_etc_network_interfaces {
                        } else {
                            $d->{$id} = 'off';
                        }
-                   } elsif ($id eq 'bridge_fd') {
-                       $d->{$id} = $value;
-                   } elsif ($id eq 'bond_miimon') {
-                       $d->{$id} = $value;
-                   } elsif ($id eq 'bond_xmit_hash_policy') {
-                       $d->{$id} = $value;
+                   } elsif ($id eq 'bridge_vlan_aware') {
+                       $d->{$id} = 1;
                    } elsif ($id eq 'bond_mode') {
                        # always use names
                        foreach my $bm (keys %$bond_modes) {
@@ -888,6 +995,8 @@ sub __read_etc_network_interfaces {
                            }
                        }
                        $d->{$id} = $value;
+                   } elsif ($id eq 'vxlan-remoteip') {
+                       push @{$d->{$id}}, $value;
                    } else {
                        push @{$f->{options}}, $option;
                    }
@@ -903,7 +1012,11 @@ sub __read_etc_network_interfaces {
        }
     }
 
-
+    foreach my $ifname (@$active_ifaces) {
+       if (my $iface = $ifaces->{$ifname}) {
+           $iface->{active} = 1;
+       }
+    }
 
     if (!$ifaces->{lo}) {
        $ifaces->{lo}->{priority} = 1;
@@ -959,7 +1072,15 @@ sub __read_etc_network_interfaces {
                $ifaces->{$1}->{exists} = 0;
                $d->{exists} = 0;
            }
-       } elsif ($iface =~ m/^eth\d+$/) {
+       } elsif ($iface =~ m/^(\S+)\.\d+$/) {
+           $d->{type} = 'vlan';
+           if (defined ($ifaces->{$1})) {
+               $d->{exists} = $ifaces->{$1}->{exists};
+           } else {
+               $ifaces->{$1}->{exists} = 0;
+               $d->{exists} = 0;
+           }
+       } elsif ($iface =~ m/^$PVE::Network::PHYSICAL_NIC_RE$/) {
            if (!$d->{ovs_type}) {
                $d->{type} = 'eth';
            } elsif ($d->{ovs_type} eq 'OVSPort') {
@@ -972,7 +1093,9 @@ sub __read_etc_network_interfaces {
        } elsif ($iface =~ m/^lo$/) {
            $d->{type} = 'loopback';
        } else {
-           if (!$d->{ovs_type}) {
+           if ($d->{'vxlan-id'}) {
+               $d->{type} = 'vxlan';
+           } elsif (!$d->{ovs_type}) {
                $d->{type} = 'unknown';
            } elsif ($d->{ovs_type} eq 'OVSIntPort') {
                $d->{type} = $d->{ovs_type};
@@ -981,26 +1104,69 @@ sub __read_etc_network_interfaces {
            }
        }
 
+       # map address and netmask to cidr
+       if ($d->{address}) {
+           if ($d->{netmask} =~ m/^\d+$/) { # e.g. netmask 20
+               $d->{cidr} = $d->{address} . "/" . $d->{netmask};
+           } elsif ($d->{netmask} &&
+                    (my $cidr = PVE::JSONSchema::get_netmask_bits($d->{netmask}))) { # e.g. netmask 255.255.255.0
+               $d->{cidr} = $d->{address} . "/" . $cidr;
+           } elsif ($d->{address} =~ m!^(.*)/(\d+)$!) {
+               $d->{cidr} = $d->{address};
+               $d->{address} = $1;
+               $d->{netmask} = $2;
+           } else {
+               $d->{cidr} = $d->{address};
+           }
+       }
+
+       # map address6 and netmask6 to cidr6
+       if ($d->{address6}) {
+           $d->{cidr6} = $d->{address6};
+           if ($d->{netmask6}) {
+               $d->{cidr6} .= "/" . $d->{netmask6} if $d->{netmask6};
+           } elsif ($d->{address6} =~ m!^(.*)/(\d+)$!) {
+               $d->{cidr6} = $d->{address6};
+               $d->{address6} = $1;
+               $d->{netmask6} = $2;
+           }
+       }
+
        $d->{method} = 'manual' if !$d->{method};
        $d->{method6} = 'manual' if !$d->{method6};
 
        $d->{families} ||= ['inet'];
     }
 
-    if ($proc_net_if_inet6) {
-       while (defined ($line = <$proc_net_if_inet6>)) {
-           if ($line =~ m/^[a-f0-9]{32}\s+[a-f0-9]{2}\s+[a-f0-9]{2}\s+[a-f0-9]{2}\s+[a-f0-9]{2}\s+(\S+)$/) {
-               $ifaces->{$1}->{active} = 1 if defined($ifaces->{$1});
+    # OVS bridges create "allow-$BRIDGE $IFACE" lines which we need to remove
+    # from the {options} hash for them to be removed correctly.
+    @$options = grep {defined($_)} map {
+       my ($pri, $line) = @$_;
+       if ($line =~ /^allow-(\S+)\s+(.*)$/) {
+           my $bridge = $1;
+           my @ports = split(/\s+/, $2);
+           if (defined(my $br = $ifaces->{$bridge})) {
+               # if this port is part of a bridge, remove it
+               my %in_ovs_ports = map {$_=>1} split(/\s+/, $br->{ovs_ports});
+               @ports = grep { not $in_ovs_ports{$_} } @ports;
+           }
+           # create the allow line for the remaining ports, or delete if empty
+           if (@ports) {
+               [$pri, "allow-$bridge " . join(' ', @ports)];
+           } else {
+               undef;
            }
+       } else {
+           # don't modify other lines
+           $_;
        }
-       close ($proc_net_if_inet6);
-    }
+    } @$options;
 
     return $config;
 }
 
 sub __interface_to_string {
-    my ($iface, $d, $family, $first_block) = @_;
+    my ($iface, $d, $family, $first_block, $ifupdown2) = @_;
 
     (my $suffix = $family) =~ s/^inet//;
 
@@ -1024,38 +1190,64 @@ sub __interface_to_string {
        # not printing out options
     } elsif ($d->{type} eq 'bridge') {
 
+       $d->{bridge_ports} =~ s/[;,\s]+/ /g;
        my $ports = $d->{bridge_ports} || 'none';
-       $raw .= "\tbridge_ports $ports\n";
+       $raw .= "\tbridge-ports $ports\n";
        $done->{bridge_ports} = 1;
 
        my $v = defined($d->{bridge_stp}) ? $d->{bridge_stp} : 'off';
-       $raw .= "\tbridge_stp $v\n";
+       $raw .= "\tbridge-stp $v\n";
        $done->{bridge_stp} = 1;
 
        $v = defined($d->{bridge_fd}) ? $d->{bridge_fd} : 0;
-       $raw .= "\tbridge_fd $v\n";
+       $raw .= "\tbridge-fd $v\n";
        $done->{bridge_fd} = 1;
+
+       if( defined($d->{bridge_vlan_aware})) {
+           $raw .= "\tbridge-vlan-aware yes\n";
+           $v = defined($d->{bridge_vids}) ? $d->{bridge_vids} : "2-4094";
+           $raw .= "\tbridge-vids $v\n";
+       }
+       $done->{bridge_vlan_aware} = 1;
+       $done->{bridge_vids} = 1;
     
     } elsif ($d->{type} eq 'bond') {
 
+       $d->{slaves} =~ s/[;,\s]+/ /g;
        my $slaves = $d->{slaves} || 'none';
-       $raw .= "\tslaves $slaves\n";
+       $raw .= "\tbond-slaves $slaves\n";
        $done->{slaves} = 1;
 
        my $v = defined ($d->{'bond_miimon'}) ? $d->{'bond_miimon'} : 100;
-       $raw .= "\tbond_miimon $v\n";
+       $raw .= "\tbond-miimon $v\n";
        $done->{'bond_miimon'} = 1;
 
        $v = defined ($d->{'bond_mode'}) ? $d->{'bond_mode'} : 'balance-rr';
-       $raw .= "\tbond_mode $v\n";
+       $raw .= "\tbond-mode $v\n";
        $done->{'bond_mode'} = 1;
 
        if ($d->{'bond_mode'} && $d->{'bond_xmit_hash_policy'} &&
            ($d->{'bond_mode'} eq 'balance-xor' || $d->{'bond_mode'} eq '802.3ad')) {
-           $raw .= "\tbond_xmit_hash_policy $d->{'bond_xmit_hash_policy'}\n";
+           $raw .= "\tbond-xmit-hash-policy $d->{'bond_xmit_hash_policy'}\n";
        }
        $done->{'bond_xmit_hash_policy'} = 1;
+    } elsif ($d->{type} eq 'vlan') {
+       die "$iface: wrong vlan-protocol $d->{'vlan-protocol'}\n" 
+           if $d->{'vlan-protocol'} && $d->{'vlan-protocol'} ne '802.1ad' && $d->{'vlan-protocol'} ne '802.1q';
+       
+    } elsif ($d->{type} eq 'vxlan') {
 
+       foreach my $k (qw(vxlan-id vxlan-svcnodeip vxlan-physdev vxlan-local-tunnelip)) {
+           $raw .= "\t$k $d->{$k}\n" if defined $d->{$k};
+           $done->{$k} = 1;
+       }
+
+       if ($d->{'vxlan-remoteip'}) {
+           foreach my $remoteip (@{$d->{'vxlan-remoteip'}}) {
+               $raw .= "\tvxlan-remoteip $remoteip\n";
+           }
+           $done->{'vxlan-remoteip'} = 1;
+       }
     } elsif ($d->{type} eq 'OVSBridge') {
 
        $raw .= "\tovs_type $d->{type}\n";
@@ -1100,7 +1292,13 @@ sub __interface_to_string {
        $done->{ovs_type} = 1;
 
        if ($d->{ovs_bridge}) {
-           $raw = "allow-$d->{ovs_bridge} $iface\n$raw";
+
+           if ($ifupdown2) {
+               $raw = "auto $iface\n$raw";
+           } else {
+               $raw = "allow-$d->{ovs_bridge} $iface\n$raw";
+           }
+
            $raw .= "\tovs_bridge $d->{ovs_bridge}\n";
            $done->{ovs_bridge} = 1;
        }
@@ -1108,7 +1306,7 @@ sub __interface_to_string {
 
     if ($first_block) {
        # print other settings
-       foreach my $k (keys %$d) {
+       foreach my $k (sort keys %$d) {
           next if $done->{$k};
           next if !$d->{$k};
           $raw .= "\t$k $d->{$k}\n";
@@ -1133,11 +1331,12 @@ sub __interface_to_string {
 
 sub write_etc_network_interfaces {
     my ($filename, $fh, $config) = @_;
-    my $raw = __write_etc_network_interfaces($config);
-    PVE::Tools::safe_print($filename, $fh, $raw);
+    my $ifupdown2 = -e '/usr/share/ifupdown2';
+    my $raw = __write_etc_network_interfaces($config, $ifupdown2);
+    PVE::Tools::safe_print($filename, $fh, encode('UTF-8', $raw));
 }
 sub __write_etc_network_interfaces {
-    my ($config) = @_;
+    my ($config, $ifupdown2) = @_;
 
     my $ifaces = $config->{ifaces};
     my @options = @{$config->{options}};
@@ -1147,6 +1346,9 @@ sub __write_etc_network_interfaces {
     foreach my $iface (keys %$ifaces) {
        my $d = $ifaces->{$iface};
 
+       delete $d->{cidr};
+       delete $d->{cidr6};
+
        my $ports = '';
        foreach my $k (qw(bridge_ports ovs_ports slaves ovs_bonds)) {
            $ports .= " $d->{$k}" if $d->{$k};
@@ -1162,11 +1364,18 @@ sub __write_etc_network_interfaces {
     # delete unused OVS ports
     foreach my $iface (keys %$ifaces) {
        my $d = $ifaces->{$iface};
-       if ($d->{type} eq 'OVSPort' || $d->{type} eq 'OVSIntPort' || 
+       if ($d->{type} eq 'OVSPort' || $d->{type} eq 'OVSIntPort' ||
            $d->{type} eq 'OVSBond') {
            my $brname = $used_ports->{$iface};
-           if (!$brname || !$ifaces->{$brname}) { 
-               delete $ifaces->{$iface}; 
+           if (!$brname || !$ifaces->{$brname}) {
+               if ($iface =~ /^$PVE::Network::PHYSICAL_NIC_RE/) {
+                   $ifaces->{$iface} = { type => 'eth',
+                                         exists => 1,
+                                         method => 'manual',
+                                         families => ['inet'] };
+               } else {
+                   delete $ifaces->{$iface};
+               }
                next;
            }
            my $bd = $ifaces->{$brname};
@@ -1185,15 +1394,18 @@ sub __write_etc_network_interfaces {
                my $n = $ifaces->{$p};
                die "OVS bridge '$iface' - unable to find port '$p'\n"
                    if !$n;
+               $n->{autostart} = 0;
                if ($n->{type} eq 'eth') {
                    $n->{type} = 'OVSPort';
-                   $n->{ovs_bridge} = $iface;              
+                   $n->{ovs_bridge} = $iface;
                } elsif ($n->{type} eq 'OVSBond' || $n->{type} eq 'OVSPort' ||
                    $n->{type} eq 'OVSIntPort') {
                    $n->{ovs_bridge} = $iface;
                } else {
                    die "interface '$p' is not defined as OVS port/bond\n";
                }
+
+               &$check_mtu($ifaces, $iface, $p);
            }
        }
     }
@@ -1208,19 +1420,114 @@ sub __write_etc_network_interfaces {
                    if !$n;
                die "OVS bond '$iface' - wrong interface type on slave '$p' " .
                    "('$n->{type}' != 'eth')\n" if $n->{type} ne 'eth';
+               &$check_mtu($ifaces, $iface, $p);
            }
        }
     }
 
+    # check bond
+    foreach my $iface (keys %$ifaces) {
+       my $d = $ifaces->{$iface};
+       if ($d->{type} eq 'bond' && $d->{slaves}) {
+           foreach my $p (split (/\s+/, $d->{slaves})) {
+               my $n = $ifaces->{$p};
+
+               die "bond '$iface' - unable to find slave '$p'\n"
+                   if !$n;
+               die "bond '$iface' - wrong interface type on slave '$p' " .
+                   "('$n->{type}' != 'eth')\n" if $n->{type} ne 'eth';
+               &$check_mtu($ifaces, $iface, $p);
+           }
+       }
+    }
+
+    # check vxlan
+    my $vxlans = {};
+    foreach my $iface (keys %$ifaces) {
+       my $d = $ifaces->{$iface};
+
+       if ($d->{type} eq 'vxlan' && $d->{'vxlan-id'}) {
+           my $vxlanid = $d->{'vxlan-id'};
+           die "iface $iface - duplicate vxlan-id $vxlanid already used in $vxlans->{$vxlanid}\n" if $vxlans->{$vxlanid};
+           $vxlans->{$vxlanid} = $iface;
+       }
+
+       my $ips = 0;
+       ++$ips if defined $d->{'vxlan-svcnodeip'};
+       ++$ips if defined $d->{'vxlan-remoteip'};
+       ++$ips if defined $d->{'vxlan-local-tunnelip'};
+       if ($ips > 1) {
+           die "iface $iface - vxlan-svcnodeip, vxlan-remoteip and vxlan-localtunnelip are mutually exclusive\n";
+       }
+
+       if (defined($d->{'vxlan-svcnodeip'}) != defined($d->{'vxlan-physdev'})) {
+           die "iface $iface - vxlan-svcnodeip and vxlan-physdev must be define together\n";
+       }
+       #fixme : check if vxlan mtu is lower than 50bytes than physical interface where tunnel is going out
+    }
+
+    # check vlan
+    foreach my $iface (keys %$ifaces) {
+       my $d = $ifaces->{$iface};
+       if ($d->{type} eq 'vlan' && $iface =~ m/^(\S+)\.\d+$/) {
+           my $p = $1;
+           my $n = $ifaces->{$p};
+
+           die "vlan '$iface' - unable to find parent '$p'\n"
+               if !$n;
+
+           if ($n->{type} eq 'bridge' && !$n->{bridge_vlan_aware}) {
+               die "vlan '$iface' - bridge vlan aware is not enabled on parent '$p'\n";
+           } elsif ($n->{type} ne 'eth' && $n->{type} ne 'bridge' && $n->{type} ne 'bond' && $n->{type} ne 'vlan') {
+               die "vlan '$iface' - wrong interface type on parent '$p' " .
+                   "('$n->{type}' != 'eth|bond|bridge|vlan' )\n";
+           }
+
+           &$check_mtu($ifaces, $p, $iface);
+
+       }
+    }
+
+    # check bridgeport option
+    my $bridgeports = {};
+    my $bridges = {};
+    foreach my $iface (keys %$ifaces) {
+       my $d = $ifaces->{$iface};
+       if ($d->{type} eq 'bridge') {
+           foreach my $p (split (/\s+/, $d->{bridge_ports})) {
+               $p =~ s/\.\d+$//;
+               my $n = $ifaces->{$p};
+               die "bridge '$iface' - unable to find bridge port '$p'\n"
+                   if !$n;
+               &$check_mtu($ifaces, $iface, $p);
+               $bridgeports->{$p} = $iface;
+           }
+           $bridges->{$iface} = $d;
+       }
+    }
+
+    foreach my $iface (keys %$ifaces) {
+       my $d = $ifaces->{$iface};
+
+        foreach my $k (qw(bridge-learning bridge-arp-nd-suppress bridge-unicast-flood bridge-multicast-flood bridge-access)) {
+           die "iface $iface - $k: bridge port specific options can be used only on interfaces attached to a bridge\n"
+               if $d->{$k} && !$bridgeports->{$iface};
+        }
+
+       if ($d->{'bridge-access'} && !$bridges->{$bridgeports->{$iface}}->{bridge_vlan_aware}) {
+           die "iface $iface - bridge-access option can be only used if interface is in a vlan aware bridge\n";
+       }
+    }
+
     my $raw = <<'NETWORKDOC';
 # network interface settings; autogenerated
 # Please do NOT modify this file directly, unless you know what
 # you're doing.
 #
-# If you want to manage part of the network configuration manually,
+# If you want to manage parts of the network configuration manually,
 # please utilize the 'source' or 'source-directory' directives to do
 # so.
-# PVE will preserve these directives, but will NOT its network
+# PVE will preserve these directives, but will NOT read its network
 # configuration from sourced files, so do not attempt to move any of
 # the PVE managed interfaces into external files!
 
@@ -1229,67 +1536,61 @@ NETWORKDOC
     my $printed = {};
 
     my $if_type_hash = {
-       unknown => 0,
-       loopback => 10,
-       eth => 20,
-       bond => 30,
-       bridge => 40,
+       loopback => 100000,
+       eth => 200000,
+       OVSPort => 200000,
+       OVSIntPort => 200000,
+       bond => 300000,
+       bridge => 400000,
+       OVSBridge => 400000,
+       vxlan => 500000,
    };
 
     my $lookup_type_prio = sub {
-       my $iface = shift;
+       my ($iface, $ifaces) = @_;
 
-       my $alias = 0;
-       if ($iface =~ m/^(\S+):\d+$/) {
-           $iface = $1;
-           $alias = 1;
-       }
+       my ($rootiface, @rest) = split(/[.:]/, $iface);
+       my $childlevel = scalar(@rest);
+       my $n = $ifaces->{$rootiface};
 
-       my $pri;
-       if ($iface eq 'lo') {
-           $pri = $if_type_hash->{loopback};
-       } elsif ($iface =~ m/^eth\d+$/) {
-           $pri = $if_type_hash->{eth} + $alias;
-       } elsif ($iface =~ m/^bond\d+$/) {
-           $pri = $if_type_hash->{bond} + $alias;
-       } elsif ($iface =~ m/^vmbr\d+$/) {
-           $pri = $if_type_hash->{bridge} + $alias;
-       }
+       my $pri = $if_type_hash->{$n->{type}} + $childlevel
+           if $n->{type} && $n->{type} ne 'unknown';
 
-       return $pri || ($if_type_hash->{unknown} + $alias);
+       return $pri;
     };
 
     foreach my $iface (sort {
        my $ref1 = $ifaces->{$a};
        my $ref2 = $ifaces->{$b};
-       my $p1 = &$lookup_type_prio($a);
-       my $p2 = &$lookup_type_prio($b);
+       my $tp1 = &$lookup_type_prio($a, $ifaces);
+       my $tp2 = &$lookup_type_prio($b, $ifaces);
 
-       return $p1 <=> $p2 if $p1 != $p2;
+       # Only recognized types are in relation to each other. If one type
+       # is unknown then only consider the interfaces' priority attributes.
+       $tp1 = $tp2 = 0 if !defined($tp1) || !defined($tp2);
 
-       $p1 = $ref1->{priority} || 100000;
-       $p2 = $ref2->{priority} || 100000;
+       my $p1 = $tp1 + ($ref1->{priority} // 50000);
+       my $p2 = $tp2 + ($ref2->{priority} // 50000);
 
        return $p1 <=> $p2 if $p1 != $p2;
 
        return $a cmp $b;
-                      } keys %$ifaces) {
-
-       my $d = $ifaces->{$iface};
-
+    } keys %$ifaces) {
        next if $printed->{$iface};
 
-       if (@options && $options[0]->[0] < $d->{priority}) {
+       my $d = $ifaces->{$iface};
+       my $pri = $d->{priority} // 0;
+       if (@options && $options[0]->[0] < $pri) {
            do {
                $raw .= (shift @options)->[1] . "\n";
-           } while (@options && $options[0]->[0] < $d->{priority});
+           } while (@options && $options[0]->[0] < $pri);
            $raw .= "\n";
        }
 
        $printed->{$iface} = 1;
        $raw .= "auto $iface\n" if $d->{autostart};
        my $i = 0; # some options should be printed only once
-       $raw .= __interface_to_string($iface, $d, $_, !$i++) foreach @{$d->{families}};
+       $raw .= __interface_to_string($iface, $d, $_, !$i++, $ifupdown2) foreach @{$d->{families}};
     }
 
     $raw .= $_->[1] . "\n" foreach @options;