服務(wù)器虛擬化的真正意義在于將物理服務(wù)器的CPU、內(nèi)存、網(wǎng)絡(luò)、包括外部存儲(chǔ)等資源進(jìn)行池化后按需分配,對(duì)服務(wù)器進(jìn)行的虛擬化可以使多個(gè)不同操作系統(tǒng)的虛擬機(jī)在同一個(gè)物理機(jī)(宿主機(jī))上各自獨(dú)立的并行運(yùn)行,每個(gè)虛擬機(jī)都有一套自己的虛擬硬件配置(比如內(nèi)存、CPU、網(wǎng)卡等),安裝各自不同的操作系統(tǒng)和應(yīng)用程序。虛擬機(jī)的使用者并不需要關(guān)心物理硬件的設(shè)置,只需要把虛擬機(jī)當(dāng)做普通的物理服務(wù)器來(lái)使用即可。

    近些年來(lái),各種虛擬化產(chǎn)品的應(yīng)用越來(lái)越多,在虛擬化實(shí)施過(guò)程中,工程人員深刻體會(huì)到通過(guò)服務(wù)器虛擬化帶來(lái)的效益是明顯的,但同時(shí)也存在著一定的安全風(fēng)險(xiǎn)。下面我們以VMware虛擬化平臺(tái)為例分析一下服務(wù)器虛擬化的效益和風(fēng)險(xiǎn)問(wèn)題。

1 服務(wù)器虛擬化產(chǎn)生的具體效益

    1.1 降低硬件購(gòu)置成本,提高系統(tǒng)資源利用率率

    有調(diào)查數(shù)據(jù)顯示,大多數(shù)信息化建設(shè)單位部署的業(yè)務(wù)應(yīng)用系統(tǒng)的資源利用率并不高,通常只有16％-30％,即便是一些重要業(yè)務(wù)應(yīng)用系統(tǒng),其大部分系統(tǒng)資源也都未被充分利用。加之有些重要應(yīng)用為保證系統(tǒng)運(yùn)行的連續(xù)性,甚至要運(yùn)行雙機(jī)熱備,僅硬件一項(xiàng)的投入成本就會(huì)翻倍。通過(guò)采用服務(wù)器虛擬化的方式,可以實(shí)現(xiàn)硬件資源的共享,很大程度上提高了系統(tǒng)硬件資源利用率,減少了物理服務(wù)器數(shù)量,從而降低硬件的購(gòu)置成本和運(yùn)維成本。同時(shí),實(shí)現(xiàn)服務(wù)器虛擬化使得物理服務(wù)器的數(shù)量減少,機(jī)房的占地面積減少了、電力和散熱需求都有所降低。

    1.2 主動(dòng)的風(fēng)險(xiǎn)回避,提高系統(tǒng)的可用性

    服務(wù)器虛擬化可以實(shí)現(xiàn)將虛擬機(jī)從一臺(tái)物理服務(wù)器遷移到另一臺(tái)物理服務(wù)器的實(shí)時(shí)操作,減少停機(jī)時(shí)間。VMware的DRS(動(dòng)態(tài)資源分配)技術(shù)實(shí)現(xiàn)應(yīng)用自動(dòng)遷移,在具體應(yīng)用中,通過(guò)預(yù)設(shè)規(guī)則,當(dāng)集群中某臺(tái)物理服務(wù)器的資源不夠用時(shí),可以動(dòng)態(tài)地分配硬件資源來(lái)滿足各業(yè)務(wù)應(yīng)用系統(tǒng)的不同需求,運(yùn)行在上面的虛擬機(jī)可以平滑遷移到另一臺(tái)物理服務(wù)器。這項(xiàng)技術(shù)的使用,可以實(shí)現(xiàn)基于業(yè)務(wù)優(yōu)先級(jí)來(lái)分配IT資源的功能,通過(guò)擴(kuò)展物理服務(wù)器來(lái)實(shí)現(xiàn)應(yīng)用的負(fù)載均衡, 大大提高系統(tǒng)管理員的工作效率。通過(guò)設(shè)置H A ( H i g hAvailability,高可用性)集群,實(shí)現(xiàn)當(dāng)集群中任意一臺(tái)物理服務(wù)器發(fā)生故障時(shí),其上部署的所有虛擬機(jī)在另一臺(tái)HA物理服務(wù)器上實(shí)時(shí)重新啟用,提高了系統(tǒng)的可用性。

    1.3 支持不同操作系統(tǒng)的整合,支持舊應(yīng)用的持續(xù)運(yùn)行

    作為系統(tǒng)管理員,不難遇到這樣的情況:由于經(jīng)費(fèi)和管理的原因,有些應(yīng)用系統(tǒng)一直無(wú)法遷移,而現(xiàn)用的物理服務(wù)器由于使用年限過(guò)長(zhǎng)面臨硬件故障頻發(fā),但新購(gòu)的服務(wù)器又無(wú)法完全兼容支持該系統(tǒng)。在這種情況下,使用服務(wù)器虛擬化中的業(yè)務(wù)遷移技術(shù),能夠在發(fā)揮虛擬機(jī)硬件優(yōu)越性的同時(shí),高效率低成本地滿足多操作系統(tǒng)異構(gòu)平臺(tái)的應(yīng)用整合,實(shí)現(xiàn)舊系統(tǒng)到新系統(tǒng)的平滑過(guò)渡。

    1.4 提供便捷的災(zāi)備解決方案

    虛擬化系統(tǒng)具有硬件平臺(tái)無(wú)關(guān)性,固件、硬件配置、操作系統(tǒng)以及應(yīng)用程序都作為數(shù)據(jù)文件存儲(chǔ)在磁盤(pán)上的文件中,只要將這些文件備份,就相當(dāng)于對(duì)整個(gè)系統(tǒng)軟硬件進(jìn)行了災(zāi)備。

    實(shí)際情況表明,在實(shí)施服務(wù)器虛擬化之前,如果物理服務(wù)器發(fā)生硬件故障,通常要停用1-2天的時(shí)間,來(lái)進(jìn)行硬件修復(fù)或更換;在實(shí)施服務(wù)器虛擬化之后,如果虛擬機(jī)發(fā)生硬件故障,只需要將備份好的虛擬機(jī)配置文件和虛擬硬盤(pán)鏡像文件還原到新的虛擬機(jī)上,無(wú)需更改任何設(shè)置即可恢復(fù)虛擬機(jī)運(yùn)行,并恢復(fù)最近日期的數(shù)據(jù)備份,也就是在最短時(shí)間內(nèi)恢復(fù)業(yè)務(wù)系統(tǒng)的正常使用。

2 服務(wù)器虛擬化潛在安全風(fēng)險(xiǎn)

    2.1 服務(wù)器使用效率最大化帶來(lái)性能降低

    將物理服務(wù)器進(jìn)行虛擬化之后,虛擬機(jī)應(yīng)用程序運(yùn)行效率差別很大,有的虛擬機(jī)能夠達(dá)到原始物理環(huán)境下運(yùn)行的效率,有的則降低到終端用戶所難以接受的程度。這是有原因的,因?yàn)榇髷?shù)據(jù)庫(kù)系統(tǒng)或者需要占用大量的I/O和內(nèi)存資源的應(yīng)用,并不適合實(shí)施虛擬化技術(shù)。

    可以確定,無(wú)節(jié)制的創(chuàng)建過(guò)多的虛擬機(jī)是不可取的。首先,集群中的一個(gè)物理服務(wù)器上的虛擬機(jī)越多,安全問(wèn)題也就越突出,管理起來(lái)也越麻煩。有的管理員認(rèn)為現(xiàn)在的CPU處理速度快、內(nèi)存容量的和存儲(chǔ)能力也發(fā)展迅速,但不能否認(rèn)的是I/O瓶頸依然存在。因此,當(dāng)一臺(tái)物理機(jī)器上有過(guò)多的虛擬機(jī)時(shí),I/O資源就會(huì)變得緊張,導(dǎo)致系統(tǒng)運(yùn)行效率降低。

    2.2 可靠性、可服務(wù)性和可用性方面的安全風(fēng)險(xiǎn)

    2.2.1 虛擬機(jī)之間通信帶來(lái)安全風(fēng)險(xiǎn)

    相對(duì)于物理服務(wù)器來(lái)說(shuō),虛擬機(jī)的安全問(wèn)題比較獨(dú)特。比如說(shuō):windows的剪貼板技術(shù)允許數(shù)據(jù)在虛擬機(jī)和主機(jī)之間方便地傳輸,這個(gè)功能很容易被利用,有意無(wú)意的造成惡意程序在系統(tǒng)之間傳輸;有些基于操作系統(tǒng)內(nèi)核的虛擬技術(shù),在虛擬層提供了按鍵和屏幕記錄,包括監(jiān)控虛擬機(jī)內(nèi)的加密連接;還有的虛擬機(jī)沒(méi)有進(jìn)行隔離,可以無(wú)障礙的進(jìn)入宿主機(jī)等等。這些情況在在側(cè)重運(yùn)行的應(yīng)用設(shè)計(jì)里非常常見(jiàn),可以有效避免信息孤島,這也是很多虛擬機(jī)用戶的要求,但這些都存在很大的安全隱患。

    2.2.2 “虛擬機(jī)逃逸”帶來(lái)安全風(fēng)險(xiǎn)

    虛擬機(jī)逃逸技術(shù)是在虛擬機(jī)分享主機(jī)資源的前提下,借助技術(shù)的限制和虛擬化軟件自身的bug突破底層隔離,利用宿主機(jī)的一種技術(shù)。理想情況下,一個(gè)應(yīng)用程序運(yùn)行在某個(gè)虛擬機(jī)中,應(yīng)該無(wú)法影響其他虛擬機(jī)。但是,在某種特定條件下理想狀態(tài)被打破,虛擬機(jī)里運(yùn)行的應(yīng)用程序會(huì)繞過(guò)底層,利用宿主機(jī),由于宿主機(jī)的特權(quán)地位,虛擬機(jī)逃逸導(dǎo)致的結(jié)果是整個(gè)虛擬化安全模型完全崩潰。

    2.2.3 宿主機(jī)對(duì)虛擬機(jī)控制帶來(lái)安全風(fēng)險(xiǎn)

    在服務(wù)器虛擬化中,宿主機(jī)可以對(duì)虛擬機(jī)進(jìn)行控制,對(duì)虛擬機(jī)的配置、檢測(cè)、更改及通信都在宿主機(jī)上完成,宿主機(jī)可以對(duì)虛擬機(jī)進(jìn)行很多操作:例如啟動(dòng)、停止、暫停、重啟操作;監(jiān)控、配置和更改虛擬機(jī)資源;監(jiān)控虛擬機(jī)內(nèi)運(yùn)行的程序;配置和更改虛擬機(jī)的磁盤(pán)存儲(chǔ),等等。

    由于宿主機(jī)能夠監(jiān)控所有虛擬機(jī)的網(wǎng)絡(luò)數(shù)據(jù)并加以控制,所以,一旦宿主機(jī)出現(xiàn)管理問(wèn)題或遭遇木馬控制,那等于所有的虛擬機(jī)全部淪陷。

    2.2.4 虛擬機(jī)對(duì)虛擬機(jī)的控制帶來(lái)安全風(fēng)險(xiǎn)

    在傳統(tǒng)的物理服務(wù)器管理中,CPU可以通過(guò)強(qiáng)制執(zhí)行管理程序來(lái)實(shí)現(xiàn)內(nèi)存保護(hù),內(nèi)存管理相對(duì)獨(dú)立。而在服務(wù)器虛擬化系統(tǒng)中,正確的策略應(yīng)該禁止正在使用的虛擬機(jī)2看到另外一個(gè)虛擬機(jī)1,即使虛擬機(jī)1上有內(nèi)存未被使用,虛擬機(jī)2也不能去使用這些閑置內(nèi)存;對(duì)于網(wǎng)絡(luò)數(shù)據(jù)傳輸來(lái)說(shuō),每個(gè)虛擬機(jī)的連接都應(yīng)該在各自的通道中,它們之間不能嗅探對(duì)方的數(shù)據(jù)包,但是,如果虛擬系統(tǒng)使用了“虛擬Hub”或者“虛擬交換”來(lái)將所有虛擬機(jī)進(jìn)行連接,那么虛擬機(jī)之間就可以進(jìn)行相互嗅探從而出現(xiàn)安全漏洞產(chǎn)生安全風(fēng)險(xiǎn)。

    2.2.5 拒絕服務(wù)帶來(lái)的安全風(fēng)險(xiǎn)

    在服務(wù)器虛擬化系統(tǒng)中,所有的資源都是被共享的,隨著虛擬機(jī)數(shù)量的增加,有些虛擬機(jī)會(huì)出現(xiàn)強(qiáng)制占用資源的情況,導(dǎo)致其他虛擬機(jī)無(wú)法獲取這部分資源而使正常的服務(wù)被停止,這就出現(xiàn)了“拒絕服務(wù)攻擊”。為避免拒絕服務(wù)的出現(xiàn),應(yīng)該從服務(wù)器虛擬化系統(tǒng)底層配置上注意資源分配的均衡和可控。

3 有效的應(yīng)對(duì)服務(wù)器虛擬化帶來(lái)的安全風(fēng)險(xiǎn)

    職責(zé)分離和權(quán)利最小化的策略可以限制系統(tǒng)管理員管理資源和執(zhí)行日常任務(wù)的權(quán)限。服務(wù)器系統(tǒng)管理員通常負(fù)責(zé)服務(wù)器正常運(yùn)維,而網(wǎng)絡(luò)管理員則負(fù)責(zé)網(wǎng)絡(luò)通暢,安全管理員要與前兩個(gè)團(tuán)隊(duì)一起工作,同時(shí)還肩負(fù)自己的特定安全任務(wù)。服務(wù)器虛擬化改變了這種管理方式,這就要求上級(jí)管理機(jī)構(gòu)必須明確身份和訪問(wèn)管理策略,允許管理員和安全專業(yè)人員正確地維護(hù)和保證虛擬環(huán)境的安全,同時(shí)不會(huì)有無(wú)關(guān)人員具有過(guò)多權(quán)限。

    引進(jìn)了服務(wù)器虛擬化后,不論是控制虛擬機(jī)的管理控制臺(tái)還是提供技術(shù)基礎(chǔ)的虛擬機(jī)管理程序,都是大量代碼編寫(xiě)的軟件生成,這些代碼出現(xiàn)漏洞難以避免。同樣地,由于對(duì)現(xiàn)有架構(gòu)的服務(wù)器進(jìn)行虛擬化還存在不完善的地方,因此出現(xiàn)了一些與虛擬化軟件相關(guān)的新漏洞。此外,在軟件系統(tǒng)開(kāi)發(fā)過(guò)程中無(wú)故障編代碼是做不到的,尤其是開(kāi)發(fā)人員將復(fù)雜功能整合到各自的平臺(tái)上時(shí),出現(xiàn)故障代碼的概率更大。這就要求系統(tǒng)工程師一定要將服務(wù)器虛擬化作為最重要的應(yīng)用程序,部署的同時(shí)提供恰當(dāng)?shù)姆雷o(hù)以便應(yīng)付這些風(fēng)險(xiǎn)。

    從流程和技術(shù)上來(lái)解決服務(wù)器虛擬化帶來(lái)的安全風(fēng)險(xiǎn),必須要采用一些相對(duì)成熟的安全解決方案,加強(qiáng)對(duì)虛擬數(shù)據(jù)中心和云計(jì)算環(huán)境的保護(hù)。這些方案可以有效地提供針對(duì)網(wǎng)絡(luò)入侵的防范手段,同時(shí)將網(wǎng)絡(luò)端點(diǎn)的防病毒和惡意軟件防護(hù)性能提高一個(gè)層次,還必須提高敏感數(shù)據(jù)的可控性實(shí)施,促進(jìn)整個(gè)應(yīng)用系統(tǒng)和數(shù)據(jù)的安全。

4 結(jié)語(yǔ)

    總之,服務(wù)器虛擬化技術(shù)的實(shí)施打破了傳統(tǒng)服務(wù)器系統(tǒng)的架構(gòu),在減少系統(tǒng)管理員管理維護(hù)工作量的同時(shí),也為系統(tǒng)安全帶來(lái)了新的風(fēng)險(xiǎn)和威脅。但我們始終相信,隨著IT新技術(shù)的發(fā)展,存在的這些問(wèn)題都將得到解決。在未來(lái),服務(wù)器虛擬化會(huì)為信息化建設(shè)帶來(lái)更大的效益,具有更高的安全性能。

核心關(guān)注：拓步ERP系統(tǒng)平臺(tái)是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊(yùn)涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。

轉(zhuǎn)載請(qǐng)注明出處：拓步ERP資訊網(wǎng)http://www.oesoe.com/

本文標(biāo)題：服務(wù)器虛擬化效益與風(fēng)險(xiǎn)研究

本文網(wǎng)址：http://www.oesoe.com/html/support/11121812321.html