第二章：虛擬化核心技術(shù)和安全虛擬化的核心技術(shù)VMotionVMotion是什么?通過VMotion可以實現(xiàn)虛擬機的動態(tài)遷移,而服務不中斷客戶優(yōu)勢零宕機時間:進行有計劃的服務器維護和升級遷移工作負載，資源利用率最大化服務器的持續(xù)可用性,完整的交易集成支持FibreChannel和iSCSISAN環(huán)境以及NASx86ArchitectureHypervisorx86ArchitectureHypervisorVMotion遷移虛擬機SAN、iSCSI或NASStorageVMotion虛擬機磁盤存儲獨立遷移無需虛擬機停機LUN獨立支持光纖通道SAN應用程序操作

系統(tǒng)應用程序操作

系統(tǒng)應用程序操作

系統(tǒng)無中斷：刷新到新陣列

遷移到不同類別的存儲器升級到新文件系統(tǒng)格式虛擬機粒度，LUN獨立分布式資源調(diào)度（DRS）功能跨資源池動態(tài)調(diào)整計算資源基于預定義的規(guī)則智能分配資源優(yōu)勢使IT和業(yè)務優(yōu)先級對應動態(tài)提高系統(tǒng)管理效率自動化的硬件維護動態(tài)負載均衡和連續(xù)智能優(yōu)化，保證所有應用需要的的資源資源池ResourcePool業(yè)務需求BusinessDemand圍繞業(yè)務進行組織和規(guī)劃…而不是您的硬件!負載分配規(guī)則設定一次，永遠有效，自動執(zhí)行易于添加更多的資源避免業(yè)務繁忙時段的過載DRS動態(tài)獲得硬件資源動態(tài)添加硬件資源池CPU36GHz,Mem58GB優(yōu)先級：

高資源池CPU50GHz,Mem70GB優(yōu)先級：高分布式電源管理(DPM)資源池業(yè)務需求下電當整個群集需要資源減少時，整合所有負載到少數(shù)幾臺服務器上將不需要的服務器置于備用模式當負載增加時，DPM自動將處于備用狀態(tài)的服務器喚醒在確保服務級別的同時，最大限度降低了數(shù)據(jù)中心服務器的耗電量虛擬機沒有中斷或停機利用UpdateManager和DRS無中斷地升級HypervisorUpdateManager升級整個DRS群集DRS群集中的每個Hypervisor主機依次進入維護模式虛擬機被VMotion到其他HypervisorHypervisor升級并重啟虛擬機重新VMotion回來下一臺Hypervisor重復以上步驟VMotionVMotionUpdateManagerserver大批量地升級Hypervisor并且不影響任何應用的運行，雖然Hypervisor會重啟，但確保虛擬機永不停機UpdateManager對Hypervisor和Microsoft及RHEL虛擬機的自動補丁管理掃描和更新在線和非在線的虛擬機，以及在線的Hypervisor補丁更新前先對虛擬機做快照，允許隨時回退到補丁前狀態(tài)UpdateManager不需手工跟蹤補丁版本和更新情況使用標準或自定義的補丁列表，批量更新虛擬機補丁利用快照技術(shù)降低應用補丁的風險離線補丁技術(shù)可以避免網(wǎng)絡上的干擾，還可以對模板應用補丁OFFLINE描述用于ESX虛擬機的高性能集群文件系統(tǒng)優(yōu)勢簡化虛擬機的部署和管理利用共享存儲確保數(shù)據(jù)完整性可運行多個ESX實例同時訪問

同一個虛擬機存儲支持基于虛擬化的分布式

基礎架構(gòu)服務vStorageVMFSESXOSAPPOSAPPOSAPP數(shù)據(jù)存儲虛擬磁盤20GB100GBLUN擴展10G的虛擬磁盤添加新的虛擬磁盤增加VMFS卷

可擴大數(shù)據(jù)存儲擴展8G的虛擬磁盤20GB數(shù)據(jù)存儲不改變增加VMFS卷

可擴大數(shù)據(jù)存儲40GB描述通過分配比比實際購買買容量更更多的存儲儲容量，來來實現(xiàn)更高高的存儲利利用率優(yōu)勢簡化了管理理延長了應用用程序正常常運行時間間提高了存儲儲利用率vStorageThinProvisioningESXOSAPPOSAPPOSAPP數(shù)據(jù)存儲虛擬磁盤20GB40GB20GB20GB60GB20GB100GB厚精簡精簡40GB100GBvHA功能當服務器故故障時，自自動重新啟啟動虛擬機機優(yōu)勢經(jīng)濟有效的的適用于所所有應用的的高可用不需要獨占占的stand-by硬件沒有集群軟軟件的成本本和復雜性性經(jīng)濟有效的的適用于所所有應用的的高可用解解決方案XFaultTolerance(FT)在不同的主主機上同步步運行相同同的虛擬機機出現(xiàn)硬件故故障時，所所有虛擬機機均可實現(xiàn)現(xiàn)零停機時時間、零數(shù)數(shù)據(jù)損失故故障切換零停機時間間、零數(shù)據(jù)據(jù)損失無需復雜的的群集或?qū)Ｓ糜布袘贸坛绦蚝筒僮髯飨到y(tǒng)通用用的單一機機制VDCOS操作系統(tǒng)應用程序操作系統(tǒng)應用程序操作系統(tǒng)應用程序X操作系統(tǒng)應用程序XDataRecovery虛擬機的的無代理理、基于于磁盤的的備份和和恢復虛擬機或或文件級級別的恢恢復增量備份份和消除除重復數(shù)數(shù)據(jù)以節(jié)節(jié)約磁磁盤空間間為虛擬機機提供快快速、簡簡單和完完整的的數(shù)據(jù)保保護通過vCenter實現(xiàn)集中中式管理理經(jīng)濟高效效的存儲儲管理消除重復復數(shù)據(jù)存儲設備備Hypervisor操作系統(tǒng)應用程序操作系統(tǒng)應用程序描述為供應商提提供的編編程界面面。由VCB演變的新一一代產(chǎn)品品優(yōu)勢支持虛擬擬機的增增量、差差異和完完整映映像備份份和恢復復為Windows和Linux虛擬機提提供文文件級備備份支持持提供不會會對ESX造成負載載的高效效備備份份用于數(shù)據(jù)據(jù)保護的的vStorageAPIvNetwork分布式交交換機聚合數(shù)據(jù)據(jù)中心級級別虛擬擬網(wǎng)絡簡化的設設置和更更改輕松地進進行故障障排除、、監(jiān)視和和調(diào)試支持第三三方虛擬擬環(huán)境的的透明管管理操作系統(tǒng)應用程序操作系統(tǒng)應用程序操作系統(tǒng)應用程序操作系統(tǒng)應用程序操作系統(tǒng)應用程序操作系統(tǒng)應用程序操作系統(tǒng)應用程序操作系統(tǒng)應用程序操作系統(tǒng)應用程序VDCOSvNetwork分布式交交換機虛擬交換換機虛擬交換換機虛擬交換換機CiscoNexus1000VvShieldZones安全遵從從性vShieldZonesvShieldZonesVDCOSVDCOSDMZ保護引擎擎VirtualDataCenterOSVMsafeAPI通過檢查查與管理理程序一一起使用用的虛擬擬組件來來保護虛虛擬機將保護引引擎與惡惡意軟件件隔離廣泛的覆覆蓋范圍圍，包括括虛擬機機CPU、內(nèi)存、、存儲器器和網(wǎng)絡絡應用程序序操作系統(tǒng)統(tǒng)vApp—自我描述述的應用用系統(tǒng)可可實現(xiàn)自自動化SLA管理縱向擴展展應用系系統(tǒng)以實實現(xiàn)有保保證的QoS可擴展虛虛擬機熱添加CPU內(nèi)存熱添加和和刪除存儲設備備網(wǎng)絡設備備熱擴展虛虛擬磁盤盤以零停機機時間橫橫向擴展展虛擬機機64GB4個CPU255GB8個CPU操作系統(tǒng)應用程序P2VConverter說明VMwareConverter自動將物物理機、、其他格格式的虛虛擬機和和第三方方映像格格式轉(zhuǎn)換換為VMware虛擬機。。優(yōu)勢簡化升級級到VMwareInfrastructure的過程。。物理機第三方映映像格式式其他虛擬擬機格式式虛擬機P2VConverter虛擬數(shù)據(jù)據(jù)中心的的可靠性性存儲站點組件服務器避免計劃劃內(nèi)停機機最大限度度地減少計劃劃外停機網(wǎng)絡冗余余、多路路徑StorageVMotionVMotion+DRS維護模式式網(wǎng)卡和HBA綁定DataRecovery、VMwareReady?數(shù)據(jù)保護合作作伙伴HA

FaultToleranceSiteRecoveryManager受保護站點恢復站點vCenterSiteRecoveryManagervCenterSiteRecoveryManager數(shù)據(jù)存儲組陣列復制數(shù)據(jù)存儲組XSiteRecoveryManager概覽SiteRecoveryManager核心功能對災難恢復的的集中管理從單一管理點點創(chuàng)建、測試試、更新和執(zhí)執(zhí)行恢復計劃劃與VirtualCenter緊密集成災難恢復自動動化預先構(gòu)建恢復復流程自動測試恢復復計劃自動執(zhí)行恢復復流程簡化的設置和和集成分配和管理恢恢復資源與領先供應商商的存儲復制制系統(tǒng)輕松集集成存儲設備服務器虛擬機HypervisorHypervisorHypervisorHypervisorvCenterSiteRecoveryManager虛擬化的安全全虛擬化安全策策略自我描述、自我

配置的安全性虛擬化的獨特優(yōu)勢安全性虛擬化.OVF安全的虛擬機管理程序體系結(jié)構(gòu)平臺安全強化功能安全的開發(fā)生命

周期平臺安全性針對部署和配置的說明性指導集成到企業(yè)的

現(xiàn)有策略、

流程和工具中安全的操作體系結(jié)構(gòu)：服服務器虛擬化化類型托管虛擬化裸機虛擬化VMwareWorkstationVMwareServerVMwarePlayerVMwareFusionVMwareESX主機OS改變安全配配置文件可在

客戶虛虛擬機

可信信時采用即使

客戶虛虛擬機

不一一定可信時也也可采用體系結(jié)構(gòu)：設設計為隔離方方式oryCPU和內(nèi)存虛擬機不具有完全的CPU訪問權(quán)內(nèi)存隔離通過硬件實施內(nèi)存頁在由虛擬機使用前一律清零

虛擬網(wǎng)絡

不存在鏈接虛擬交換機的代碼虛擬交換機不會受到學習型或橋接型攻擊虛擬存儲

虛擬機只能看到虛擬SCSI設備，而看不到實際存儲由VMFS使用SCSI文件鎖強制實施虛擬機對虛擬磁盤的獨占訪問

ESX虛擬機管理程程序：堅實可可靠的基礎MSFT/Xen體體系結(jié)構(gòu)VMware體系結(jié)構(gòu)構(gòu)精簡自定義內(nèi)內(nèi)核更少補丁程序序更少攻擊針對VMware優(yōu)化的驅(qū)動程程序更為穩(wěn)定直接驅(qū)動程序序模型更高的I/O吞吐量大型通用操作作系統(tǒng)頻繁添加補丁丁更多攻擊通用的第三方方驅(qū)動程序欠穩(wěn)定間接驅(qū)動程序序模型負載時I/O性能下降DriversDriversVirtualMachineVirtualMachineDriversVirtualMachine驅(qū)動程序驅(qū)動程序虛擬機虛擬機驅(qū)動程序虛擬機驅(qū)動程序驅(qū)動程序虛擬機驅(qū)動程序驅(qū)動程序虛擬機Dom0(Linux)或父級虛擬機(Windows)安全實現(xiàn)瘦Hypervisor-ESXi緊湊的100MB占用空間更少補丁程序序更小的受攻擊擊面無需通用管理理操作系統(tǒng)服務器上不運運行任意碼不易受常見威威脅影響唯一不受操作作系統(tǒng)影響的的

專門針對對虛擬化的設設計ESXi安全實現(xiàn)平臺安全強化化完善的內(nèi)存保保護功能ASLR––隨機確定核心心內(nèi)核模塊在在內(nèi)存中的的加載位置NX/XD––將內(nèi)存的可寫寫區(qū)域標記為為

不可執(zhí)行行內(nèi)核完整性數(shù)字簽名–確保模塊、驅(qū)驅(qū)動程序和應應用程序在在由VMkernel加載時的完完整性和真實實性模塊簽名–使ESX具備識別模塊塊、

驅(qū)動程程序或應用程程序的提供者者以及

它們們是否取得VMware認證的能力安全開發(fā)生命命周期流程全面實現(xiàn)安全全性的方式培訓體系結(jié)構(gòu)風險險分析/威脅建模最佳實踐和遵遵從性要求自動和手動代代碼分析安全性測試響應在各階段都讓讓第三方專家家參與經(jīng)驗證，受廣廣大用戶信任任成千上萬客戶戶已在生產(chǎn)環(huán)環(huán)境中應用用已通過美國數(shù)數(shù)家最大銀行行的安全審查查并投入生產(chǎn)產(chǎn)使用已通過國防和和安全機構(gòu)的的

嚴格審查查VMware技術(shù)被選為美美國

國家安安全局(NSA)虛擬化工作站站的基礎經(jīng)過獨立驗證證CommonCriteriaEAL認證CCEAL4+認證最高的認證級級別ESX3.0已獲此認證；；ESX3.5即將獲得針對ESX的DISASTIG獲準在美國國國防部(DoD)信息

系統(tǒng)中中使用NSACentralSecurityService針對數(shù)據(jù)中心心和臺式機方方案的

指導導最大的安全風風險：操作NeilMacDonald–“如何安全地地實施虛擬擬化”“與在物理方方案中一樣樣，多數(shù)安安全漏洞都都是通過誤誤配置和管管理失誤帶帶來的”虛擬化對數(shù)數(shù)據(jù)中心安安全性的影影響AbstractionandConsolidation↑CapitalandOperationalCostSavings↓Newinfrastructurelayertobesecured↓Greaterimpactofattackormisconfiguration抽象和整合↑節(jié)約資金成本和運營成本↓需要保護新的基礎架構(gòu)層

↓攻擊或錯誤配置會帶來較大影響

多臺交換機和服務器重合為一臺設備

↑靈活性↑節(jié)約成本↓缺少虛擬網(wǎng)絡可視性和控制

能力↓沒有“默認隔離”的管理機制

虛擬化對數(shù)數(shù)據(jù)中心安安全性的影影響ystems更快的服務器部署速度

↑IT響應速度

↓配置不一致↓過程定義較差

虛擬機移動性

↑提高了服務級別↓標識與物理位置分離

虛擬機封裝

↑輕松實現(xiàn)業(yè)務連續(xù)性↑一致的部署↑獨立于硬件↓過時的離線系統(tǒng)

哪些是不必必擔心的虛擬機管理程序攻擊

示例：BluePill、SubVirt等這些都是極為復雜的理論性攻擊安全保護領域人士普遍認為它只有學術(shù)上的意義

不相干的體系結(jié)構(gòu)

示例：大量報告宣稱發(fā)現(xiàn)客戶虛擬機逸出多數(shù)只適用于托管體系結(jié)構(gòu)（例如工作站），而不適用于裸機結(jié)構(gòu)（亦即ESX）托管體系結(jié)構(gòu)通常僅在您可以信賴客戶虛擬機時才適用

設想的情形

示例：VMotion截取造成漏洞的情形：

未遵守針對虛擬化的安全增強、鎖定、設計方面的最佳實踐，

或者采用了較差的一般IT基礎架構(gòu)安全機制

保護虛擬機機安全主機防病毒軟件件補丁程序管管理網(wǎng)絡入侵檢測/預防(IDS/IPS)邊緣防火墻提供與物理理服務器一一樣的保護護針對虛擬化化層的安全全設計基本設計原原則隔離所有管管理網(wǎng)絡禁用用所所有有不不必必要要的的服服務務嚴格格規(guī)規(guī)范范所所有有管管理理訪訪問問實施施強強硬硬的的訪訪問問控控制制安全原則在虛擬環(huán)境中的實施最低特權(quán)角色只具有必需的特權(quán)職責分離角色只適用于必需的對象管理員操作員用戶AnneHarryJoe安全全性性與與遵遵從從性性管管理理控控制制要求VMware產(chǎn)品合作伙伴產(chǎn)品配置管理、監(jiān)控、審核VMwarevCenterServerVMwarevSphere主機配置

文件（將來提供）VMwarevCenterConfigControlConfiguresoftECMforVirtualizationNetIQSecureConfigurationManagerTripwireEnterpriseforVMware可審核、可重復的過程VMwarevCenterOrchestratorVMwarevCenterLifecycleManager離線虛擬機更新VMwareUpdateManagerShavlikNetChkProtect虛擬網(wǎng)絡安全VMwarevShieldZonesvNetwork分布式交換機Cisco、Checkpoint、Reflex、ThirdBrigade多樣樣化化而而且且不不斷斷壯壯大大的的產(chǎn)產(chǎn)品品體體系系有有助助于于提提供供安安全全的的VMwareInfrastructure虛擬擬化化的的安安全全優(yōu)優(yōu)勢勢易于于維維護護全面面推推廣廣前前，，可可以以在在受受控控環(huán)環(huán)境境中中針針對對多多種種配配置置測測試試補補丁丁程程序序嘗試試某某些些有有風風險險的的配配置置前前，，可可以以使使用用快快照照保保存存虛虛擬擬機機的的已已知知良良好好狀狀態(tài)態(tài)可以以將將生生產(chǎn)產(chǎn)虛虛擬擬機機克克隆隆后后離離線線執(zhí)執(zhí)行行修修改改，，同同時時讓讓原原虛虛擬擬機機保保持持繼繼續(xù)續(xù)運運行行可以以將將更更新新后后的的虛虛擬擬機機與與以以前前的的版版本本并并行行啟啟動動可根根據(jù)據(jù)需需要要讓讓兩兩者者都都運運行行足足夠夠長長的的時時間間，，以以驗驗證證新新配配置置虛擬擬化化的的安安全全優(yōu)優(yōu)勢勢易于于恢恢復復可以以從從上上一一個個已已知知良良好好的的備備份份恢恢復復可以以在在隔隔離離狀狀態(tài)態(tài)應應用用補補丁丁程程序序，，然然后后再再聯(lián)聯(lián)機機能夠夠執(zhí)執(zhí)行行辨辨證證分分析析可在在隔隔離離狀狀態(tài)態(tài)下下啟啟動動受受黑黑客客攻攻擊擊的的虛虛擬擬機機可創(chuàng)創(chuàng)建建““虛虛擬擬蜜蜜罐罐””vShieldZones安全全遵遵從從性性vShieldZonesvShieldZonesVDCOSVDCOSDMZ保護護引引擎擎VirtualDataCenterOSVMsafeAPI通過過檢檢查查與與管管理理程程序序一一起起使使用用的的虛虛擬擬組組件件來來保保護護虛虛擬擬機機將保保護護引引擎擎與與惡惡意意軟軟件件隔隔離離廣泛泛的的覆覆蓋蓋范范圍圍，，包包括括虛虛擬擬機機CPU、內(nèi)內(nèi)存存、、存存儲儲器器和和網(wǎng)網(wǎng)絡絡應用用程程序序操作作系系統(tǒng)統(tǒng)VMsafe??API用于于虛虛擬擬機機的的所所有有虛虛擬擬硬硬件件組組件件的的APICPU/內(nèi)存存檢檢查查檢查查虛虛擬擬機機或或其其應應用用程程序序使使用用的的特特定定內(nèi)內(nèi)存存頁頁了解解CPU狀態(tài)態(tài)通過過CPU和內(nèi)內(nèi)存存頁頁的的資資源源分分配配強強制制執(zhí)執(zhí)行行策策略略網(wǎng)絡絡連連接接查看看主主機機上上的的所所有有IO流量量能夠夠截截取取、、查查看看、、修修改改和和復復制制來來自自一一臺臺主主機機上上的的任任何何或或所所有有虛虛擬擬機機的的IO流量量能夠夠提提供供嵌嵌入入式式保保護護或或被被動動保保護護存儲儲設設備備能夠夠裝裝入入和和讀讀取取虛虛擬擬磁磁盤盤(VMDK)檢查查對對存存儲儲設設備備的的IO讀取取/寫入入對于于設設備備具具有有透透明明特特點點，，對對于于ESXStorage堆棧棧具具有有嵌嵌入入特特點點VDCOS愿景景—““比物物理理機機更更好好””