文/張慶

本文從物理環(huán)境搭建、備份策略和管理策略三個角度討論如何確保虛擬化平臺安全穩(wěn)定運行。

隨著高?！八接性啤逼脚_的建設(shè)，虛擬化技術(shù)為管理員帶來了便捷的維護手段。當(dāng)大量的應(yīng)用平臺被遷移至虛擬化平臺中，虛擬化平臺已成為信息中心最為核心的平臺。虛擬化平臺的故障必然導(dǎo)致大量應(yīng)用系統(tǒng)的癱瘓，因此確保虛擬化平臺安全穩(wěn)定的運行是關(guān)鍵問題。本文從物理環(huán)境搭建、備份策略和管理策略三個角度討論如何構(gòu)建更可靠的虛擬環(huán)境。

校園的信息化步伐與服務(wù)器的數(shù)量、存儲的規(guī)模和網(wǎng)絡(luò)拓撲結(jié)構(gòu)的復(fù)雜度是同步發(fā)展的。面對越來越復(fù)雜的設(shè)備環(huán)境和越來越高的能耗，虛擬化技術(shù)帶來了較好的解決方案。通過虛擬技術(shù)平衡計算資源、存儲資源和網(wǎng)絡(luò)資源，極大地提升了資源利用率，將成為構(gòu)建綠色數(shù)據(jù)中心的規(guī)劃方向。同時虛擬層也降低了操作系統(tǒng)與物理設(shè)備的耦合關(guān)系，使得應(yīng)用系統(tǒng)以整體的方式在物理環(huán)境中遷移成為可能，提升了系統(tǒng)的可靠性和易維護性。

隨著應(yīng)用系統(tǒng)不斷地遷移至虛擬環(huán)境下，使得原有分散的風(fēng)險被集中到了虛擬平臺，虛擬環(huán)境下的故障波及的范圍更廣，影響面更大。虛擬環(huán)境的可靠性越來越成為管理人員需要保障的首要任務(wù)。在實際中，不同應(yīng)用系統(tǒng)對于可靠性的要求不同，規(guī)劃應(yīng)用系統(tǒng)在虛擬環(huán)境中的部署，使應(yīng)用系統(tǒng)被分配在相應(yīng)的虛擬區(qū)域中，既能滿足應(yīng)用系統(tǒng)與之對應(yīng)的可靠性要求，又不用為可靠性付出更高的成本代價，是虛擬機部署策略首要考慮的問題。因此，上述關(guān)于虛擬環(huán)境描述的內(nèi)容歸結(jié)為兩個要解決的問題：1.如何構(gòu)建高可靠的虛擬環(huán)境；2.如何部署和管理虛擬機。高可靠的虛擬環(huán)境主要依靠全冗余的物理架構(gòu)和安全的網(wǎng)絡(luò)架構(gòu)。部署和管理虛擬機包括定制高質(zhì)量的虛擬機模板、定期升級和維護、合理的備份策略、自動化的監(jiān)控和人工巡檢的方式來實現(xiàn)。

圖1 虛擬平臺網(wǎng)絡(luò)結(jié)構(gòu)

本文以主流虛擬化平臺VMWare vSphere 5.0 為基礎(chǔ)架構(gòu)，VCenter、DataRecovery、PowerShell、DeepSecurity 為輔助工具，以校園網(wǎng)絡(luò)典型應(yīng)用為虛擬化對象，討論如何構(gòu)建層次化的安全可靠的虛擬環(huán)境。

高可靠的虛擬環(huán)境建設(shè)

全冗余物理架構(gòu)

可靠的虛擬環(huán)境帶來可靠的應(yīng)用環(huán)境，而虛擬環(huán)境的可靠性則依賴于可靠的物理架構(gòu)。冗余的物理架構(gòu)是解決可靠性最實用的方法。對于虛擬環(huán)境下的物理架構(gòu)，任何單點故障導(dǎo)致的問題都是災(zāi)難性的。服務(wù)器設(shè)備、網(wǎng)絡(luò)和存儲是虛擬環(huán)境必須的基礎(chǔ)，而虛擬機文件主要部署在存儲設(shè)備中，當(dāng)服務(wù)器發(fā)生故障時，vCenter會管理虛擬機將其切換至其他正常服務(wù)器上（注：不同品牌的CPU之間，如Intel 和 AMD ，不支持切換），但當(dāng)存儲發(fā)生故障時，所有部署在該存儲中的虛擬機將無法運行。因此，從光纖交換機到存儲設(shè)備之間鏈路的可靠性極為重要。

數(shù)據(jù)的安全存儲作為虛擬化環(huán)境的核心，需要設(shè)備成本的投入。以雙機頭的虛擬化存儲網(wǎng)關(guān)作為前端，管理不同的性能存儲環(huán)境，形成虛擬存儲池。其中包括以冗余架構(gòu)的光纖交換機和高端存儲搭建的具有鏡像功能的一級存儲環(huán)境，以NAS和普通存儲構(gòu)建的二級存儲環(huán)境，而一些過保的和低端的存儲設(shè)備構(gòu)成三級存儲環(huán)境。按照信息系統(tǒng)風(fēng)險評估策略將虛擬機部署在相應(yīng)級別的存儲環(huán)境中。

安全的網(wǎng)絡(luò)管理環(huán)境

安全的虛擬機管理環(huán)境十分重要，將虛擬環(huán)境的管理網(wǎng)絡(luò)與虛擬機的業(yè)務(wù)網(wǎng)絡(luò)隔離可極大提高虛擬環(huán)境的安全性。實際中為每臺物理服務(wù)器配多塊網(wǎng)卡，并在交換設(shè)備上劃分不同的VLAN，管理VLAN設(shè)置更高的安全策略，業(yè)務(wù)VLAN只為虛擬層服務(wù)。通過雙網(wǎng)卡的Connect服務(wù)器建立管理網(wǎng)絡(luò)和其他網(wǎng)絡(luò)環(huán)境的連接。虛擬環(huán)境網(wǎng)絡(luò)結(jié)構(gòu)圖如圖1所示。

虛擬化環(huán)境的可靠性，越來越成為管理員首要的保障任務(wù)。

在該架構(gòu)下，管理人員只能通過專用的管理網(wǎng)段接入虛擬機的管理環(huán)境。在緊急情況下，通過移動設(shè)備臨時啟動Connect服務(wù)器上的外網(wǎng)網(wǎng)卡，達到從外網(wǎng)訪問Connect服務(wù)器管理虛擬區(qū)域的目的。外網(wǎng)的訪問操作會被桌面錄播軟件記錄，確保其操作的安全性和后期的審查功能。外部網(wǎng)絡(luò)的訪問只能通過不同業(yè)務(wù)VLAN訪問到獨立的虛擬機，保護了底層VMWare ESX的安全。

部署和管理虛擬機

定制高質(zhì)量的虛擬機模板

實際中為用戶分配虛擬機環(huán)境主要是通過模板生成的，用戶自己安裝虛擬機不能很好保障虛擬機自身的安全，而不安全的模板將導(dǎo)致所有由此生成的虛擬機不安全。因此要求管理員對模板的制作需要格外仔細。安全模板可以提供安全的虛擬機環(huán)境，不同操作系統(tǒng)模板安全配置的方式不同，以下幾個常見提升安全性的方法：

1. 啟動防火墻，關(guān)閉除80以外的端口；

2. 關(guān)閉不必要的服務(wù)；

3. 安裝vmtool，方便管理員維護虛擬機；

4. 安裝DeepSecurity，方便后期的升級、打補丁和殺毒。

定期升級和維護

該系統(tǒng)提供了兩個用于安全管理的接口VMware vShield Endpoint API和VMsafe API，DeepSecurity利用這兩個接口實現(xiàn)對虛擬環(huán)境的維護。DeepSecurity通過病毒防護、訪問控制、入侵檢測/入侵防護、虛擬補丁、主機完整性監(jiān)控、日志審計等功能實現(xiàn)虛擬主機和虛擬系統(tǒng)的全面防護，滿足信息系統(tǒng)規(guī)范性審計要求，構(gòu)建虛擬化平臺的基礎(chǔ)架構(gòu)多層次的綜合防護。

備份策略

全冗余的架構(gòu)帶來了高可靠的應(yīng)用環(huán)境，實際中不可能將所有應(yīng)用都部署到昂貴的、支持鏡像功能的存儲中。那些重要性相對較低的應(yīng)用則需要依靠備份策略來實現(xiàn)數(shù)據(jù)的安全。VMware Data Recovery，支持快速備份到磁盤，支持快速和完全的恢復(fù)，從而能夠預(yù)防虛擬環(huán)境中的數(shù)據(jù)丟失。

定期的克隆虛擬機是整機備份的一種方法，可以通過PowerShell下的命令行方式管理和維護虛擬機文件。因此，通過命令行方式自動克隆虛擬機文件，并將文件上傳至異地存儲的一種低成本的異地備份方案。

自動化的監(jiān)控與人工巡檢

監(jiān)控虛擬平臺不僅要監(jiān)控虛擬機是可用的，還要監(jiān)控虛擬機是否已經(jīng)沒用。由于搭建虛擬機十分容易，虛擬機在沒有計劃和約束的情況下增長的非?？?，極大消耗物理資源，造成虛擬機蔓延。一方面，將所有虛擬機加入到網(wǎng)絡(luò)監(jiān)控平臺中，有效利用虛擬平臺自帶的故障告警機制，實時監(jiān)測服務(wù)器運行狀態(tài)，定期掃描虛擬機上端口，確保虛擬機運行正常。另一方面，將虛擬機的增加納入到日常的網(wǎng)絡(luò)管理平臺中，要求有合理的申請審批流程，確保虛擬機不會被隨意添加，明確每個虛擬機的責(zé)任人，設(shè)置虛擬機的使用時間限制。

定期的人工巡查是對自動化管理的補充，必要的巡查會避免故障的擴大化。定期巡查的主要內(nèi)容包括：

1.了解維護工具是否運行正常；

2.整理虛擬環(huán)境的性能監(jiān)控報表；

3.了解物理資源消耗情況；

4.檢查系統(tǒng)備份的情況；

5.審查DeepSecurity收集的虛擬機日志。

最終形成巡查報告，使管理人員對虛擬機的當(dāng)前運行狀態(tài)、資源剩余情況有一個全面的了解。

虛擬化技術(shù)的確給日常的管理工作帶來便利，但同時也帶來了挑戰(zhàn)。虛擬環(huán)境成為網(wǎng)絡(luò)中心的核心平臺，集中了原有分散的風(fēng)險。維護虛擬平臺的安全和可靠是保障全網(wǎng)應(yīng)用和數(shù)據(jù)安全的重要工作。實際中通過設(shè)置冗余的物理架構(gòu)、區(qū)分等級的虛擬存儲環(huán)境、劃分管理VLAN和業(yè)務(wù)VLAN等方法為虛擬機提供安全的硬件基礎(chǔ)。同時在管理方面強調(diào)虛擬模板的定制、先進備份和維護工具的使用、以及自動化監(jiān)控和人工巡查相結(jié)合的方法，有效控制虛擬層中虛擬機文件的安全，為整個校園網(wǎng)絡(luò)虛擬化環(huán)境提供保障。