《第二章虚拟化核心技术和安全精编版》由会员分享，可在线阅读，更多相关《第二章虚拟化核心技术和安全精编版（53页珍藏版）》请在金锄头文库上搜索。
1、虚拟化核心技术和安全,虚拟化的核心技术,VMotion,VMotion是什么? 通过VMotion可以实现虚拟机的动态迁移, 而服务不中断 客户优势 零宕机时间: 进行有计划的服务器维护和升级迁移工作负载，资源利用率最大化 服务器的持续可用性, 完整的交易集成 支持Fibre Channel和iSCSI SAN环境以及NAS,VMotion迁移虚拟机,SAN、iSCSI或NAS,Storage VMotion,虚拟机磁盘存储独立迁移 无需虚拟机停机 LUN 独立 支持光纤通道 SAN,无中断： 刷新到新阵列 迁移到不同类别的存储器 升级到新文件系统格式 虚拟机粒度，LUN 独立,分布式资源调度
2、（DRS）,功能 跨资源池动态调整计算资源 基于预定义的规则智能分配资源 优势 使IT和业务优先级对应 动态提高系统管理效率 自动化的硬件维护,动态负载均衡和连续智能优化，保证所有应用需要的的资源,资源池Resource Pool,业务需求Business Demand,围绕业务进行组织和规划而不是您的硬件!,负载分配规则设定一次，永远有效，自动执行 易于添加更多的资源 避免业务繁忙时段的过载,DRS动态获得硬件资源,动态添加硬件,资源池 CPU 36GHz, Mem 58GB 优先级： 高,资源池 CPU 50 GHz, Mem 70GB 优先级：高,分布式电源管理 (DPM),资源池,业务
3、需求,下电,当整个群集需要资源减少时，整合所有负载到少数几台服务器上 将不需要的服务器置于备用模式 当负载增加时，DPM自动将处于备用状态的服务器唤醒,在确保服务级别的同时，最大限度降低了数据中心服务器的耗电量 虚拟机没有中断或停机,利用 Update Manager 和 DRS 无中断地升级 Hypervisor,Update Manager 升级整个 DRS 群集 DRS 群集中的每个Hypervisor主机依次进入维护模式 虚拟机被 VMotion 到其他Hypervisor Hypervisor升级并重启 虚拟机重新 VMotion 回来 下一台 Hypervisor重复以上步骤,VM
4、otion,VMotion,Update Manager server,大批量地升级 Hypervisor并且不影响任何应用的运行，虽然 Hypervisor会重启，但确保虚拟机永不停机,Update Manager,对Hypervisor和Microsoft 及RHEL虚拟机的自动补丁管理 扫描和更新在线和 非在线 的虚拟机，以及在线的 Hypervisor 补丁更新前先对虚拟机做快照，允许随时回退到补丁前状态,Update Manager,不需手工跟踪补丁版本和更新情况 使用标准或自定义的补丁列表，批量更新虚拟机补丁 利用快照技术降低应用补丁的风险 离线补丁技术可以避免网络上的干扰，还可以
5、对模板应用补丁,OFFLINE,描述 用于 ESX 虚拟机的高性能集群文件系统 优势 简化虚拟机的部署和管理 利用共享存储确保数据完整性 可运行多个 ESX 实例同时访问同一个虚拟机存储 支持基于虚拟化的分布式基础架构服务,vStorage VMFS,ESX,数据存储,虚拟磁盘,20GB,100GB,LUN,扩展 10G 的虚拟磁盘,添加新的虚拟磁盘,增加 VMFS 卷可扩大数据存储,扩展 8G 的虚拟磁盘,20GB,数据存储不改变,增加 VMFS 卷可扩大数据存储,40GB,描述 通过分配比实际购买容量 更多的存储容量，来实现更高的存储利用率 优势 简化了管理 延长了应用程序正常运行时间 提
6、高了存储利用率,vStorage Thin Provisioning,ESX,数据存储,虚拟磁盘,20GB,40GB,20GB,20GB,20GB,100GB,厚,精简,精简,40GB,100GB,vHA,功能 当服务器故障时，自动重新启动虚拟机 优势 经济有效的适用于所有应用的高可用 不需要独占的stand-by 硬件 没有集群软件的成本和复杂性,经济有效的适用于所有应用的高可用解决方案,X,Fault Tolerance (FT),在不同的主机上同步运行相同的虚拟机 出现硬件故障时，所有虚拟机均可实现零停机时间、零数据损失故障切换 零停机时间、零数据损失 无需复杂的群集或专用硬件 所有应用
7、程序和操作系统通用的单一机制,VDC OS,X,X,Data Recovery,虚拟机的无代理、基于磁盘的备份和恢复 虚拟机或文件级别的恢复 增量备份和消除重复数据以节约磁盘空间 为虚拟机提供快速、简单和完整的数据保护 通过 vCenter 实现集中式管理 经济高效的存储管理,消除重复数据 存储设备,Hypervisor,描述 为供应商提供的编程界面。由 VCB演变的新一代产品 优势 支持虚拟机的增量、差异和完整 映像备份和恢复 为 Windows 和 Linux 虚拟机提供 文件级备份支持 提供不会对 ESX 造成负载的高效 备份,用于数据保护的 vStorage API,vNetwork
8、分布式交换机,聚合数据中心级别虚拟网络 简化的设置和更改 轻松地进行故障排除、监视和调试 支持第三方虚拟环境的透明管理,VDC OS,vNetwork 分布式交换机,虚拟交换机,虚拟交换机,虚拟交换机,Cisco Nexus 1000V,vShield Zones,安全遵从性,vShield Zones,vShield Zones,VDC OS,VDC OS,保护引擎,Virtual Data Center OS,VMsafe,API 通过检查与管理程序一起使用的虚拟组件来保护虚拟机 将保护引擎与恶意软件隔离 广泛的覆盖范围，包括虚拟机 CPU、内存、存储器和网络,应用程序,操作系统,vApp
9、 自我描述的应用系统可实现自动化 SLA 管理,纵向扩展应用系统以实现有保证的 QoS,可扩展虚拟机 热添加 CPU 内存 热添加和删除 存储设备 网络设备 热扩展虚拟磁盘 以零停机时间横向扩展虚拟机,64 GB,4 个 CPU,255 GB,8 个 CPU,P2V Converter,说明 VMware Converter 自动将物理机、其他格式的虚拟机和第三方映像格式转换为 VMware 虚拟机。,优势 简化升级到 VMware Infrastructure 的过程。,物理机 第三方映像格式 其他虚拟机格式,虚拟机,P2V Converter,虚拟数据中心的可靠性,存储,站点,组件,服务器
10、,避免计划内停机,最大限度地减少计划外停机,网络冗余、多路径,Storage VMotion,VMotion + DRS 维护模式,网卡和 HBA 绑定,Data Recovery、VMware Ready 数据保护合作伙伴,HA Fault Tolerance,Site Recovery Manager,受保护站点,恢复站点,vCenter,Site Recovery Manager,vCenter,Site Recovery Manager,数据存储组,数据存储组,X,Site Recovery Manager 概览,Site Recovery Manager 核心功能,对灾难恢复的集中管
11、理 从单一管理点创建、测试、更新和执行恢复计划 与 VirtualCenter 紧密集成 灾难恢复自动化 预先构建恢复流程 自动测试恢复计划 自动执行恢复流程 简化的设置和集成 分配和管理恢复资源 与领先供应商的存储复制系统轻松集成,存储设备,服务器,虚拟机,Hypervisor,Hypervisor,Hypervisor,Hypervisor,vCenter,虚拟化的安全,虚拟化安全策略,体系结构：服务器虚拟化类型,托管虚拟化,裸机虚拟化,VMware Workstation VMware Server VMware Player VMware Fusion,VMware ESX,主机 OS
12、改变安全配置文件,可在客户虚拟机可信时采用,即使客户虚拟机不一定可信时也可采用,体系结构：设计为隔离方式,VMware Infrastructure 3 体系结构的安全性设计,ESX 虚拟机管理程序：坚实可靠的基础,MSFT / Xen 体系结构,VMware 体系结构,精简自定义内核 更少补丁程序 更少攻击 针对 VMware 优化的驱动程序 更为稳定 直接驱动程序模型 更高的 I/O 吞吐量,大型通用操作系统 频繁添加补丁 更多攻击 通用的第三方驱动程序 欠稳定 间接驱动程序模型 负载时 I/O 性能下降,Dom0 (Linux) 或 父级虚拟机 (Windows),安全实现,瘦Hyper
13、visor- ESXi 紧凑的 100 MB 占用空间 更少补丁程序 更小的受攻击面 无需通用管理操作系统 服务器上不运行任意码 不易受常见威胁影响 唯一不受操作系统影响的专门针对虚拟化的设计,ESXi,安全实现,平台安全强化 完善的内存保护功能 ASLR 随机确定核心内核模块在内存中的加载位置 NX/XD 将内存的可写区域标记为不可执行 内核完整性 数字签名 确保模块、驱动程序和应用程序在由 VMkernel 加载时的完整性和真实性 模块签名 使 ESX 具备识别模块、驱动程序或应用程序的提供者以及它们是否取得 VMware 认证的能力,安全开发生命周期流程,全面实现安全性的方式 培训 体系
14、结构风险分析/威胁建模 最佳实践和遵从性要求 自动和手动代码分析 安全性测试 响应 在各阶段都让第三方专家参与,经验证，受广大用户信任,成千上万客户已在生产环境中应用 已通过美国数家最大银行的安全审查并投入生产使用 已通过国防和安全机构的严格审查 VMware 技术被选为美国国家安全局 (NSA) 虚拟化工作站的基础,经过独立验证,Common Criteria EAL 认证 CC EAL 4+ 认证 最高的认证级别 ESX 3.0 已获此认证；ESX 3.5 即将获得 针对 ESX 的 DISA STIG 获准在美国国防部 (DoD) 信息系统中使用 NSA Central Security
15、 Service 针对数据中心和台式机方案的指导,最大的安全风险：操作,Neil MacDonald “如何安全地实施虚拟化” “与在物理方案中一样，多数安全漏洞都是通过误配置和管理失误带来的”,虚拟化对数据中心安全性的影响,虚拟化对数据中心安全性的影响,哪些是不必担心的,保护虚拟机安全,主机 防病毒软件 补丁程序管理 网络 入侵检测/预防 (IDS/IPS) 边缘 防火墙,提供与物理服务器一样的保护,针对虚拟化层的安全设计,基本设计原则 隔离所有管理网络 禁用所有不必要的服务 严格规范所有管理访问,VMware Infrastructure 3 安全强化指南 /726,实施强硬的访问控制,A
16、nne,Harry,Joe,安全性与遵从性管理控制,多样化而且不断壮大的产品体系有助于提供安全的 VMware Infrastructure,虚拟化的安全优势,易于维护 全面推广前，可以在受控环境中针对多种配置测试补丁程序 尝试某些有风险的配置前，可以使用快照保存虚拟机的已知良好状态 可以将生产虚拟机克隆后离线执行修改，同时让原虚拟机保持继续运行 可以将更新后的虚拟机与以前的版本并行启动 可根据需要让两者都运行足够长的时间，以验证新配置,虚拟化的安全优势,易于恢复 可以从上一个已知良好的备份恢复 可以在隔离状态应用补丁程序，然后再联机 能够执行辨证分析 可在隔离状态下启动受黑客攻击的虚拟机 可创建“虚拟蜜罐”,vShield Zones,安全遵从性,vShield Zones,vShield Zones,VDC OS,VDC OS,
