Edward L.Haletky

為了提高系統(tǒng)安全性與性能,平衡虛擬化主機(jī)之間的工作負(fù)載十分重要。虛擬化的目標(biāo)是越來(lái)越多地挖掘主機(jī)的潛在性能。很多虛擬化用戶(hù)的服務(wù)器利用率低于40%,而總體來(lái)說(shuō),達(dá)到80%的利用率才算合理,包括磁盤(pán)、網(wǎng)絡(luò)、CPU及內(nèi)存。有很多方法可以使系統(tǒng)利用率接近這一數(shù)字,其中之一就是讓開(kāi)發(fā)、測(cè)試及生產(chǎn)等任務(wù)的虛擬機(jī)運(yùn)行在相同的虛擬主機(jī)群之中。

但是當(dāng)你平衡工作負(fù)載時(shí),特別有一點(diǎn)需要引起注意:你在主機(jī)總線適配器(HBA)或一個(gè)基于IP的網(wǎng)絡(luò)上,到底可以有多大數(shù)量的數(shù)據(jù)混合。在兩個(gè)或兩個(gè)以上的安全區(qū)域中,數(shù)據(jù)混合可以在你使用VLAN、NPIV或使用相同的HBA訪問(wèn)數(shù)據(jù)時(shí)發(fā)生。

一些政府機(jī)構(gòu)及企業(yè)不需要數(shù)據(jù)混合,因此這些組織不使用VLAN或NPIV。他們是在單一虛擬主機(jī)內(nèi)部通過(guò)分離的物理網(wǎng)絡(luò)接口卡(PNIC)、pSwitch及HBA為每個(gè)使用中的網(wǎng)絡(luò)和數(shù)據(jù)存儲(chǔ)平衡負(fù)載,有些甚至實(shí)現(xiàn)了100%分離虛擬主機(jī)。這并非是一個(gè)通用的方法,因?yàn)樗黾恿顺杀?但的確是一個(gè)可行的方法。

有時(shí)不用VLAN是有原因的。例如,如果一個(gè)pSwitch失效了,一個(gè)VLAN中的數(shù)據(jù)流可以出現(xiàn)在另外一個(gè)VLAN中,允許數(shù)據(jù)跨越安全區(qū)。每當(dāng)pSwitch出現(xiàn)問(wèn)題時(shí),這種情況都會(huì)發(fā)生。

可以通過(guò)VLAN或私有pNIC的普及來(lái)解決不同安全區(qū)域產(chǎn)生的問(wèn)題。例如上面提到的pSwitch問(wèn)題,使一個(gè)ESX主機(jī)為來(lái)自不同安全區(qū)域的VM服務(wù)是可能的,雖然它將服務(wù)器總體利用率提高到80%,但是它需要額外的硬件投資,比如pSwitch、pNIC和HBA。

除了硬件,平衡虛擬機(jī)工作負(fù)載還需要管理員加倍警惕,防止數(shù)據(jù)從失效的pSwitch中泄露,并且防止管理員在一個(gè)不適當(dāng)?shù)陌踩珔^(qū)域內(nèi)操作虛擬機(jī)。然而,不幸的是,在當(dāng)前市場(chǎng)上,幾乎沒(méi)有什么工具可以控制這些問(wèn)題,Catbird's V-Security和Reflex Systems' Virtual Security Appliance可以通過(guò)拒絕可疑的虛擬機(jī)訪問(wèn)來(lái)協(xié)助保護(hù)網(wǎng)絡(luò)安全,這些工具是VMware特有的。為其他虛擬主機(jī)使用的工具還正在開(kāi)發(fā)過(guò)程中。

最后需要提醒的是,要確保在同一虛擬化主機(jī)集合中,通過(guò)組合共有安全區(qū)域以平衡負(fù)載。同時(shí),除非你已經(jīng)確定可以提高管理員的警惕性,否則不要混合安全區(qū)域。