当人们提及虚拟交换机的时候，首先在您脑海出现的是否是一个放置于服务器机架顶端的，有1U或2U高，外观为黑色或深绿色的盒子？传统交换机厂商Cisco, 3Com 或Juniper提供这种用于完成IT系统内部连接的网络架构产品。在这些网络设备的硬件内集成有成熟的网络处理操作系统（Internetwork Operating System），用于完成用户生产环境中所需的复杂路由、交换和访问控制等功能。

　　在现有的任何一种技术下，用虚拟交换机去完全地模拟物理交换机还仅仅处于设想阶段。而虚拟化平台内部的虚拟机交换机已经和物理交换机功能非常的相似，只是现在它还仅能作为物理服务器连接子网的一部分提供补充功能。本文中将要涉及的是在Microsoft Hyper-V环境中这种技术可能面临的一些问题。

　　简言之，虚拟网络并不等同于物理网络，我们需要对虚拟网络安全性保障方面给予更多的关注。首先，Hyper-V的虚拟机交换机是“Learning Layer 2”设备，这指的是它们只能对基于介质访问控制地址（Media Access Control addresses）的数据包做路由。这也意味着Hyper-V的虚拟交换机不能识别和处理，基于更先进的IP地址方式的路由和数据访问控制功能，而这种方式在现在的Layer 3物理交换机上已经非常的普遍。从原理上看是因为在现有技术下，访问控制列表（ACL access control list）还无法被应用于Hyper-V内部的虚拟交换机上。

　　Hyper-V的虚拟交换机还有一些其它功能限制，这是由于它缺乏对第三方监控和虚拟网络流量管理功能的支持而导致的。一旦数据流从物理网络进入到Hyper-V的内部虚拟网络中，它就失去了所有来自外部的入侵防护和流量检测功能。

　　因此，Hyper-V网络环境需要通过一些配置技巧来复制那些在物理服务器中所具有的高级安全功能。首先，用于限制到Hyper-V宿主机端口流量的访问控制列表（ACLs）需要重新设置，使其仅支持来自物理网络架构中的数据访问。而位于同一台主机上的虚拟机之间的会话则不会受到那些基于网络的访问控制列表的限制。如果在安全法规中有要求的话，还需要为每台虚拟机单独安装操作系统层防火墙和流量监测软件。

　　在微软的Hyper-V安全指南中也强烈建议用户保留独立的网卡设备，用于宿主机主分区（primary partition,即管理操作系统所在的分区）到网络的连接。通过这种方式，可以使位于主分区上操作系统的网络流量和子虚拟机的网络流量接口层相分离。从安全的角度考虑，我们认为子虚拟机访问流量的安全级别往往比主分区的要低，因为必须首先保证主分区的安全才能使其上的子虚拟机保持正常运行。那些对安全级别要求较高的环境中可能会更加严格，对于主分区网络流量不仅仅要限制在自有的网卡接口上，而且要位于独有的受保护的子网中。

　　微软在Windows Server 2008 R2版本中，引入了一项新的虚拟机交换机管理设置，从而加强了Hyper-V的安全性。在R2版本的Hyper-V Virtual Network Manager中加入了一个新的复选框“Allow management operating system to share this network adapter（允许管理操作系统共享该网络适配器）”。通过这个选项进一步确保管理操作系统流量和虚拟机流量的分离。在不勾选该项的情况下，主操作系统分区就无法访问创建的虚拟网络。

　　在需要实现高可用的Hyper-V环境中，还需要在集群节点间实现一定形式的存储共享。在很多情况下，都是通过安装基于iSCSI接口的存储区域网络（SAN）架构以满足Hyper-V虚拟机的存储需求。那么，最佳的做法就是始终保持iSCSI网络流量和生产环境网络流量的分离。同时，iSCSI流量通常还应该位于一个独立的子网中，以防止在网络拥挤时出现拒绝服务的情况，而且也便于将来把各种不同类型的网络流量相互分离。

　　很多用户尝试通过网络接口间的聚合（teaming）来提高系统可用性。在这方面，微软本身并不提供用于实现高可用的网卡聚合功能。而这一点也是众多媒体经常批判的，关于生产环境中应用Hyper-V架构所具有的重大缺陷之一。但是，我们需要注意到微软从未对端口聚合做支持，包括在物理环境中。而在这点上，像Dell和HP这样的供应商多年来一直在坚持开发自己的支持负载均衡的网卡聚合驱动程序，而这些驱动有很多也可以用于Hyper-V环境中。很明显，作为用户我们需要去区分各OEM供应商所能提供的这类驱动的支持级别。

　　简言之，当我们的Hyper-V宿主机拥有足够多的物理网卡接口时，迁移到Hyper-V虚拟机环境的工作就会变得很简单。我们也可以看到一些公司采用了带有10个网卡接口的Hyper-V宿主机，除了现在通用的主板自带的两个网卡接口之外，加入两块四端口的物理网卡实现总计10个物理端口。拥有这么多的物理网卡接口可以确保满足冗余的生产网络、存储网络和管理网络分离的需求，另外还有部分预留的接口可以做很多“有趣的”网络设置，从而满足将来可能增长的需求。

　　网络具有潜在的风险，而在托管的虚拟机如何适应Hyper-V宿主机上也存在潜在的风险。尤其在为满足故障切换和负载均衡需求而设置的，可以支持虚拟机在线迁移的集群环境中，虚拟机的托管带来的安全性以及和IT架构的兼容性问题都是需要特别关注的。请关注这一系列文章的下一篇，您将了解到更多相关内容。