打通I/O瓶颈

　　由于厂商最初致力于数据中心的服务器虚拟化，每台服务器上的虚拟机数量保守估计也有四到六个，具体取决于运行的应用软件。后来管理员们发现，他们可以在每台服务器上安全地运行七种或更多的应用软件，占用服务器总处理能力的80%，这与未经过虚拟化处理的服务器其利用率平均只有5%至15%相比有了显著提高。

　　但是运行所有那些虚拟机给一个硬件的输入/输出处理能力带来了负担；本来就要处理进出网络的流量，更不用说处理从其他应用程序或后端数据库大批装入的数据了。过大的输入/输出流量会让服务器的通道不堪重负，从而导致等待数据过程中，待处理流量积压、CPU资源闲置。

　　解决办法就是采用服务器输入/输出虚拟化。也就是说，把通常固定、静态的输入/输出通道、主机总线适配器（HBA）和网卡转变成更加动态的资源，它们的处理能力可以根据虚拟服务器的需要进行相应调整。如果能实现输入/输出虚拟化，就有望解决服务器管理员们把虚拟化应用软件放到同一个硬件上时面临的一个长期问题。只有虚拟化输入/输出变得很普遍，才有必要对输入/输出要求特别高或不断变化的应用软件进行虚拟化处理，以免它们最终导致输入/输出受堵。

　　现在已经有了两种早期的解决办法，以后肯定会出现更多的办法。新兴公司Xsigo把输入/输出流量卸载到负责输入/输出虚拟化的专用附加设备上。这种方法需要把服务器上的标准HBA和网卡换成Xsigo定制卡，还要购买Xsigo附加设备。起价为3万美元。

　　Xsigo的附加设备最多可创建16个可用输入/输出通道，把存储流量送到光纤通道网络，或者把局域网流量送到以太网网络。它还能监测工作负荷，为最需要处理能力的虚拟机分配处理能力。输入/输出虚拟化有助于平衡虚拟机的工作负荷，让夜间生成大量输入/输出流量的应用软件可与只是偶尔遇到活动高峰的其他应用软件一同运行。

　　虚拟输入/输出设备方法还减少了数据中心的网络线缆，让IT管理员可以购买更小巧、更节能的服务器；这类服务器使用较少的网络端口以及较庞大的HBA和网卡。

　　Oracle公司前任总裁Ray Lane是Xsigo的投资者之一，他认为，输入/输出虚拟化使数据中心更加高效，还为虚拟机工作负荷平衡了输入/输出。Lane说：”不够灵活的架构导致了资源利用率低下，还浪费了宝贵的电力、空间和散热资源。”

　　另一个输入/输出虚拟化方法在标准的HBA或网卡里面实现，用不着采用附加设备。行业组织PCI-SIG已推出了单根输入/输出虚拟化（SR-IOV）标准，它可以对高速万兆以太网进行虚拟化处理，供将来的网卡和HBA使用。

　　非SR-IOV网卡将分配给服务器上的一个虚拟机或一组虚拟机，代表静态处理能力的固定资源，比方说1 Gbps。Neterion公司符合SR-IOV的X3100系列适配器可创建最多16个可用通道，可以根据需要动态分配给虚拟机。如果服务级别协议规定优先服务于某个虚拟机，这种功能甚至可以保证网卡的10Gpbs处理能力全部分配给它，而不是只能使用数量有限而且固定的处理能力。

　　Neterion公司的首席执行官Dave Zabrowski说：”对大型数据库备份而言，1 Gbps的功能再也不够了。我们正试图把所需的处理能力合并成一条管道。”不过在大多数情况下，这16个通道会同时服务于多个虚拟机。

　　Neterion公司万兆Xframe适配器的驱动程序已包含在VMware的ESX虚拟机管理程序中，让它可以在ESX创建的虚拟机和Neterion板卡之间分配流量。Neterion适配器用于美国富士通计算机产品公司、惠普、IBM和Sun等公司的服务器中。

　　虚拟机管理程序面临险境

　　随着虚拟化逐渐进入到企业的底层计算结构，桌面虚拟化和服务器输入/输出带来的难题有望得到解决。但随着虚拟化技术不断推广，虚拟化的安全性变得越来越重要，因为入侵者可能会找到办法从闯入的某台虚拟机，进而潜入到虚拟机管理程序本身，从而攻击门户大开的敏感数据、信息流量以及整个系统的资源。

　　Core Security Technologies这家网络安全软件公司在今年初就证明了可能会发生这一幕。VMware客户机虚拟化软件（包括VMware Player、VMware ACE和VMware Workstation）都有”共享文件夹”（Shared Folder）特性，让客户机可以写入到主机操作系统上的文件，而其他客户机可以共享其内容。Core Security公司的工程师表示，在某些情况下，这个共享文件夹可能被用来把病毒或特洛伊木马程序植入到主机的操作系统。这个安全威胁披露后，VMware随即向客户发布了危急安全公告。

　　VMware此后发布了VMsafe API（应用编程接口），让第三方安全供应商可以开发能监控及保护虚拟机管理程序、从而防范这种威胁的产品。现在二十家厂商在使用VMsafe API，致力于开发虚拟化安全产品。其中一家厂商Apani Networks正在设计一种方法，把其EpiForce产品在企业网络中创建的安全区扩大到运行虚拟机的服务器。EpiForce可以把整个网络分成几个网段，为每个网段分配EpiForce强制执行的一个安全区等级。它可以通过检查用户权限、要求对处理敏感数据的虚拟机发来的数据进行加密，为虚拟机实施粒度级别细得多的安全机制。

　　Apani公司的高级技术主管George Tehrani表示，该公司正致力于让EpiForce方法能够随时可用，那样就可以为刚创建的虚拟机指定相应的安全区。他表示，VMware的VMsafe API让Apani可以为虚拟基础架构3控制台提供这样的功能：指定EpiForce安全策略，并同时更新策略和其他管理功能。VMsafe”将统一管理控制台，从而节省管理虚拟机的时间和成本，”他说。所有功能将通过虚拟基础架构3来管理，而不是分别使用虚拟基础架构3控制台和安全控制台。

　　赛门铁克的知名工程师Bruce McCorkendale表示，VMware的安全API非常必要。赛门铁克正使用VMsafe API，把其产品扩展到虚拟机领域。他表示，开发可监控虚拟机管理程序的安全产品为安全软件厂商提供了比他们留意防范的入侵者”更高的权限视角”（privilege perspective）。就权限而言，公司网络是比较平坦的：谁只要获得或骗过服务器管理员角色，就有机会进入服务器。虚拟机管理程序的权限视角更像是塔楼看守人的视角：他能在被人发现之前发现对方。

　　通过虚拟机管理程序，安全专家们就可以”对虚拟机采取前所未有的控制力度”；McCorkendale表示，而对物理服务器实行这种力度的隔离和监控比较难。

　　该信任谁？

　　XenSource的拥有者思杰公司虽然没有类似VMsafe的计划，但其虚拟机管理程序Xen包含的安全特性来自IBM公司在虚拟化领域的丰富经验。IBM研究中心开发出了sHype虚拟机管理程序安全掩盖（security cloaking）技术，后来捐给了Xen开源项目；sHype计划集成到Xen和思杰的产品中。

　　配备sHype的虚拟机管理程序知道哪些虚拟机值得信任从而可以与其他虚拟机共享数据、哪些虚拟机不值得信任。sHype可监控虚拟机的组件、把它们正确配置的”独特指纹”记录下来，然后观察有无任何变化。只要配置保持一样，它就是值得信任的资源。

　　如果一个运行中的应用软件由于有人入侵或其他原因突然有了一种新的功能，sHype会检测到这种改动，把应用软件的状态改成不可信任的组件。同样的一套机制适用于运行虚拟机的访客操作系统；对入侵者而言，操作系统常常是一条攻击途径。

　　IBM研究中心的高级经理Ron Perez说：”我们使用可信计算技术来评估运行中组件的完整性。” 虚拟机管理程序会被告知哪些虚拟机在启动时，可以彼此信任；然后它会继续监控，确保这些虚拟机每一个都保持可信状态。

　　在管理控制台中，sHype用同一种颜色显示可以相互通话的虚拟机。Perez说：”标以蓝色的虚拟机可以与另一个标以蓝色的虚拟机进行通话，但绝不可以与标以红色的虚拟机进行通话。”他表示，这种方法为隔离不同虚拟机提供了一种非常可靠的保障。

　　VMsafe、sHype可信计算概念及其他措施旨在确保：虚拟化继续席卷整个企业；如果采取适当管理，会在企业蓬勃发展起来。由于虚拟化桌面与数据中心的虚拟服务器进行联系，所以基础架构的每个部分都有所规划以便与其他部分协同工作、并得到有效管理会显得很重要。

　　要是不这么做，那么弗雷斯特研究公司所说的”引爆点”不是表明虚拟化得到迅速采用，而是可能逐渐会产生另一种完全不同的含意：采用率太快了，快得IT部门都控制不了。

　　链接：虚拟化已发展成熟还是仍在变化中？

　　应用虚拟化已到了完全成熟的阶段；在接下来的十年不会出现重大变化。

　　网络虚拟化在企业领域取得了重大成功；在接下来的十年不可能出现太大的变化。

　　桌面虚拟化处于发展的早期阶段，但在迅猛发展；在接下来的三年会逐渐成熟，进入到采用的下一个阶段。

　　VMware、思杰和微软的虚拟机管理程序以及Sun和Oracle的版本表现出色，会在接下来的三年发展到一个更高级的阶段。

　　虚拟设备作为厂商发布试用软件的一种方式已流行起来，但作为一种把新应用软件部署到企业的方式，普及非常缓慢。在接下来的三至五年里，虚拟设备会朝这个方向大步前进。

　　相关链接：弗雷斯特研究公司Galen Schreck在2008年第二季度发布的《TechRadar：基础架构虚拟化》报告中的数据。