深度评测Hyper-V在安全和灾难恢复方面的改进

日期: 2013-05-08 来源:TechTarget中国

  到目前为止,我们已经在最新版本的微软Hyper-V方面作了相当深入的介绍:网络功能方面的巨大变化、可扩展性方面的改进、NUMA管理、集群补丁以及虚拟机监控。

  现在不妨把注意力转移到安全和灾难恢复方面的改进,尤其是Bitlocker驱动器加密(BDE)和Hyper-V 复制(HVR)特性。

  想确保不法分子没有控制你的虚拟硬盘格式(VHDX)/虚拟机文件,第二个最佳方法就是对存储这些文件的驱动器进行加密。最佳方法就是为你的数据中心采用妥善的物理安全措施。

  在随带可信平台模块(TPM)芯片的服务器上使用BDE,以便对存储虚拟机的驱动器进行加密,这会带来非常小(1%-2%)的性能开销,同时让你吃下定心丸:就算磁盘被人拆下了,也无法读取里面的数据。TPM芯片的管理在Windows 8和Server 2012中已得到了改进,因而有助于配置起来顺畅得多。不过要留意:你无法在虚拟机里面使用BDE,只能在存储VHDX的磁盘上使用BDE。采用集群共享卷(CSV)2.0格式化的共享式存储区域网(SAN)卷现在可以用Bitlocker加以保护。

  针对Hyper-V的其他安全建议与之前版本中仍然一样:如果你不需要虚拟机许可,只在主机上运行管理和备份代理软件,那就使用Server Core(现在容易得多,这归因于GUI可以安装,可用来初始配置服务器,然后予以清除),或使用Hyper-V服务器;有一个单独的网卡用于管理,使用管理员隔离机制,以确保主机管理员无法访问虚拟机,或虚拟机管理员无法访问主机;并且考虑为你的网络使用IPSec(你的网卡中有相应的硬件支持)。微软自己的内部测试实验室规定使用IPSec,因而实时迁移(Live Migration)以及Hyper-V的其他特性已接受了这方面的广泛测试。

  对Hyper-V管理员来说,大环境下的帐户管理有点麻烦,因为他们常常必须是每一个主机上的本地管理员。Windows Server 2012添加了一个新的本地安全群组:Hyper-V管理员,这让群组成员可以全面访问Hyper-V的所有特性,不用为他们授予全面的本地管理员访问权。

图1:配置HVR非常简单直观

图1:配置HVR非常简单直观

  为新特性库增添的这项特性绝对让中小企业最激动人心,因而让灾难恢复功能在中小企业的预算范围之内,而之前它们根本无法享用这种功能。

  Hyper-V复制特性提供了将虚拟机从一个主机异步复制到另一个主机的功能,不需要共享式存储或任何特殊硬件;复制关系的每一端可以是独立主机或集群。主机不需要在同一个域里面,它们也不需要加入到域;复制的虚拟机可以是得到Hyper-V支持的任何操作系统。复制操作可以在普通的非对称数字用户线路(ADSL或)其他低速连接上进行,取决于每个虚拟机中变化的数据量以及你在复制几个虚拟机。

  可能会采用HVR的场景是分支机构的虚拟机,它们通过复制回到总部来加以保护,以及IT服务提供商提供保护虚拟机这项额外服务的小公司。

  想实施HVR,你需要确定主要主机和复制主机是不是在同一个网络/域,或者确定防火墙是不是把两者隔离开来。就同一域或可信域主机而言,你可以使用Kerberos验证技术,这项技术任由复制流量处于未加密状态。至于其他的所有场景,你需要实施验证证书和流量加密。你可以将某些VHD/VHDX文件排除在复制对象之外,还可以选择是否想要额外的复制点。默认情况下,仅仅保留虚拟机的“最新”拷贝,你可以选择保留额外的每小时恢复点,让你可以在一段时间以后恢复虚拟机(比如在感染了恶意软件之后)。复制时滞在5分钟到15分钟之间,具体取决于每次复制操作所需要的时间。

图2:配置需要保存的额外复制点为你提供了一些灵活性,能够在一段时间以后将虚拟机灵活地“恢复”到之前的点

图2:配置需要保存的额外复制点为你提供了一些灵活性,能够在一段时间以后将虚拟机灵活地“恢复”到之前的点

  要注意:HVR是从一个主机到另一个主机的单一复制关系,你无法为了同一个虚拟机而把多个主机串联起来,不过某个主机对不同的虚拟机来说既可以是主要主机,又可以是复制主机;根据你的环境需要,不同的虚拟机可以从一个主机复制到不同的主机。

  要是任何一端将是Hyper-V集群的一部分,需要为该集群启用Hyper-V Replica Broker角色。如果你运行带事务日志的应用程序,还可以选择启用应用程序一致恢复点,这会在复制操作之前利用卷影复制服务(VSS),让应用程序暂时静止,从而确保复制虚拟机里面的应用程序会成功地开始运行。

  要是有足够的带宽可以使用,初始复制就会在网络上进行,或立即进行,或以后在指定的时间进行,你还可以备份到外部介质上,然后转移到复制站点。如果你在复制站点已经有了虚拟机的备份副本,还可以将它指定为初始配置的起始点。

  HVR包括了必要的Windows防火墙例外规则,但是你需要手动启用它们。在我自己测试安装HVR的过程中,这是个异常简单的过程;需要小心处理的部分就是在每一端设置X.509v3证书,但那是由于我在使用自签名证书。在使用第三方证书的生产环境中,整个过程(初始复制除外)用不了10分钟就能搞定。

  一旦初始复制完成,你要做的第一步就是,在复制主机上进行Test Failover(测试故障切换),这将启动虚拟机(“–Test”将添加到其名称中),确保应用程序和服务正常运行。

  如果你得到了充分的预警:某个站点即将受到影响,可以在首次关闭虚拟机后执行Planned Failover(计划故障切换),这将完成所有的复制,那样没有数据丢失。如果另一方面站点突然遇到了不测,你就得在复制服务器上执行故障切换,要是灾难发生之前一些变化的数据没有复制过去,数据就有可能丢失。另外,要是有Reverse Replication(逆向复制),你还可以启用这项特性,将虚拟机逆向复制到原始主机上。

图3:配置好了另外的TCP/IP设置,等到虚拟机在复制站点开始运行,HVR会自动把这些IP地址注入到虚拟机

图3:配置好了另外的TCP/IP设置,等到虚拟机在复制站点开始运行,HVR会自动把这些IP地址注入到虚拟机

  HVR让你可以为虚拟机配置不同的IP地址,以便在主要主机和复制主机上使用,但是没有更改DNS记录的内置机制,这项操作必须手动执行。要留意:虽然复制主机上的虚拟机并未运行,因而并不耗用处理器和网络资源,但是如果你有许多虚拟机,就需要相应调整存储空间的大小,因为它们的VHD(X)文件几乎持续不断地被写入到存储空间。

  虽然HVR的这样一些局限性对企业级环境来说是个重大障碍,但HVR提供了安装简单、易于管理的优点,因而使得它对中小企业来说再理想不过了。

我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。

我原创,你原创,我们的内容世界才会更加精彩!

【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

电子邮件地址不会被公开。 必填项已用*标注

敬请读者发表评论,本站保留删除与本文无关和不雅评论的权力。

相关推荐