Современные средства виртуализации и защиты виртуализированных систем

 
       

2. Недостатки  виртуализации:

• Невозможность эмуляции всех устройств;

• Виртуализация требует дополнительных аппаратных ресурсов;
• Некоторые платформы виртуализации требовательны к конкретному аппаратному обеспечению;
• Платформы виртуализации предназначенные, для средних и крупных проектов имеют высокую стоимость;
• Высокая уязвимость в отношении информационной безопасности;
• Нет единого стандарта защиты ИБ для виртуальных систем;
• Малое количество сертифицированных средств защиты информации предназначенных для виртуальных систем.

 
       

5. Описание  основных средств  виртуализации

       К основным программным средствам  виртуализации в настоящее время  относятся:

• Xen - гипервизор, разработанный в компьютерной лаборатории Кембриджского университета;
• VMware ESX Server 3.0 - гипервизор, являющийся частью продукта VMware vSphere, разработанной компанией VMware. VMware vSphere 5 — платформа для виртуализации ИТ-инфраструктуры предприятия;
• Hyper-V - система виртуализации для x64-систем на основе гипервизора.

 
       

1. Гипервизор  Xen
1. Общие сведения

       Xen — это монитор виртуальных  машин (VMM, Virtual Machine Monitor) или гипервизор (hypervisor) с поддержкой паравиртуализации  (para-virtualization) для процессоров x86 архитектуры,  распространяющийся с открытым  исходным кодом (opensource). Xen может  организовать совместное безопасное  исполнение нескольких виртуальных  машин на одной физической  системе с производительностью  близкой к непосредственной (native).

       К основным особенностям гипервизора  Xen относятся:

• поддержка режима паравиртуализации;
• поддержка режима аппаратной виртуализации;
• минимальность кода самого гипервизора за счёт выноса максимального количества компонентов за пределы гипервизора.

       Под паравиртуализацией подразумевается  адаптация ядра исполняемой операционной системы (ОС) для работы совместно  с Xen, обычно сокращается до PV. Достигается  очень высокая производительность за счёт отсутствия эмуляции «настоящего  железа», простоты интерфейсов и  учёта существования гипервизора  при выполнении системных вызовов  в коде ядра. Выполнение привилегированных операций запрещено, вместо них совершаются гипервызовы (англ. hypercalls) — обращения ядра гостевой ОС к гипервизору с просьбой о выполнении тех или иных операций. В большинстве случаев изменения при портировании ОС под Xen затрагивают только ядро ОС, хотя могут предполагать и незначительные изменения в системных библиотеках (например, libc). Процесс адаптации к Xen очень похож на портирование для новой платформы, однако значительно проще ввиду простоты реализации «гостевой» части драйвера (Драйвера в Xen состоят из двух частей — одна исполняется вне виртуальной машины, вторая находится внутри неё. Часть драйвера в гостевой системе крайне примитивна и служит лишь транслятором запросов во вторую часть. Это сделано преднамеренно для простоты портирования ОС под Xen.). В PV-режиме не поддерживаются «вложенные» режимы работы процессора, такие как real-86, virtual-86, переключение между 32-битным и 64-битным режимом, поддержка эмуляции аппаратной виртуализации и т. д. В связи с этим в PV-режиме отсутствует начальный фрагмент загрузки компьютера (с имитацией кода BIOS, загрузчика и т. д.), а ядро гостевой системы сразу же запускается в нужном режиме, подобно тому, как запускаются обычные программы. В связи с этим, в частности, сам Xen не может работать в PV-режиме (то есть невозможно запустить «вложенный» гипервизор в PV-режиме).

       В режиме аппаратной виртуализации (HVM) гостевая ОС не «знает» про существование гипервизора. Xen. С помощью модулей из QEMU эмулирует реальное аппаратное обеспечение и позволяет провести начальную загрузку ОС. По её окончании для нормальной производительности должны запускаться PV-драйверы, которые реализуют быстрый интерфейс с виртуальными устройствами, подобно тому, как это работает в PV-режиме. Поскольку большинство привилегированных операций эмулируется, возможен запуск Xen в HVM-режиме из-под Xen. В этом случае вложенный гипервизор сможет работать только в PV-режиме.

       Гипервизор Xen (по состоянию на версии 3 и 4) реализует  минимальный набор операций для:

• управления оперативной памятью;
• состоянием процессора;
• таймерами реального времени;
• счётчиками тактов (TSC) процессора;
• прерываниями и контролем за DMA.

       Все остальные функции, такие как  реализация дисковых и блочных устройств, создание и удаление виртуальных  машин, их миграция между серверами  и т. д. реализуется в управляющем  домене.

       За  счёт этого размер гипервизора получается весьма малым (для версии 3.4 размер двоичного  кода всего гипервизора меньше 600 КБ), так же как и размер его  исходного текста. По замыслу авторов  это увеличивает устойчивость системы  виртуализации, так как ошибка в  компонентах вне гипервизора  не приводит к компрометации/повреждению  самого гипервизора и ограничивает повреждения только вышедшей из строя  компонентой, не мешая работать остальным.

       Все функции, связанные с обеспечением работы сети, блочных (дисковых) устройств, эмуляции видеоадаптеров и прочих устройств  вынесены за пределы гипервизора. Большинство  таких устройств состоит из двух частей:

• драйвера в domU;
• программы в dom0.

       Драйвер (чаще всего встроенный в ядро ОС или загружающийся в виде модуля) реализует минимальный объём  работы, фактически, транслируя запросы  от ОС в программу в dom0. Программа  в dom0 выполняет основную часть работы. При этом программа чаще всего  запускается в виде отдельного процесса для каждого обслуживаемого устройства. Сбой в такой программе ведёт  к сбою только одного устройства (блочного, сетевого) и не затрагивает работу других копий программы (то есть не затрагивает сетевые/блочные устройства остальных доменов, или даже другие устройства того же самого домена).

       В качестве поддерживаемых процессоров  хостовой ОС используются:

• Intel x86;
• AMD64;
• ведётся портирование на PowerPC и IA-64.

       Официально  поддерживаемые гостевые ОС следующие:

• Linux;
• NetBSD;
• FreeBSD;
• OpenBSD;
• Windows XP & 2003 Server (требует версию не ниже 3.0 и процессор поддерживающий технологию Vanderpool или Pacifica);
• Plan 9.

       Поддерживается  SMP в гостевых ОС.

       Для того чтобы развернуть Xen, необходима установленная и настроенная  операционная система, одна из тех, которая  может работать в домене 0 (Linux, NetBSD, OpenSolaris).

       Для превращения инсталляции Linux в инсталляцию Xenolinux необходимо установить несколько  пакетов программного обеспечения  и изменить конфигурацию загрузчика. Полученная в результате система будет доменом 0 Xen.

       При желании Xen можно установить из исходных текстов. Однако для большинства  случаев будет достаточно инсталляции  из пакетов, входящих в дистрибутив  операционной системы.

       Необходимо  установить:

• гипервизор;
• ядро, портированное на Xen, и способное работать в домене 0;
• утилиты Xen, необходимые для управления другими доменами.
2. Требования к аппаратному и программному обеспечению

       Гипервизор Xen устанавливается на используемый сервер с установленной ОС NetBSD или Linux. Официально поддерживаемые хостовые ОС следующие:

• NetBSD;
• Linux.

 
       

2. ПО VMware vShere
1. Общие сведения

       Основой построения подсистемы виртуализации  является ПО VMware vSphere, основные компоненты которого – ПО VMware ESX Server, и ПО VMware vCenter либо VMware vSphere Client.

       Основа  виртуализации – гипервизор VMWare ESX Server. Гипервизор обеспечивает механизмы изоляции виртуализованных систем как друг от друга, так и от фактической аппаратной платформы. Также гипервизор распределяет ресурсы – процессор, оперативная память, дисковое пространство, сетевые подключения и т.д. – между виртуальными машинами.

       Гипервизор  обеспечивает возможность независимого «включения», перезагрузки, «выключения» любой из виртуальных машин с  той или иной ОС.

       При этом работа операционной системы в  виртуальном окружении не отличается от работы на реальном аппаратном обеспечении.

       Гипервизор VMware ESX Server — программный продукт  для виртуализации уровня предприятия, предлагаемый компанией VMware в качестве компонента VMware Infrastructure. В настоящее время ESX замещается продуктом ESXi.

       ESX и ESXi являются встроенными гипервизорами  и ставятся непосредственно «на  железо», то есть при установке  не требуют наличия на машине  установленной операционной системы.

       В качестве поддерживаемых процессоров  хостовой ОС используются:

• Intel x86;
• AMD64

       Официально  поддерживаемые гостевые ОС следующие:

• Windows;
• RedHat;
• SuSE;
• Netware;
• Solaris.

       Поддерживается  SMP в гостевых ОС.

       VMware vCenter обеспечивает централизованное управление, автоматизацию процессов, оптимизацию ресурсов и высокую доступность. vCenter является ключевым компонентом подсистемы виртуализации.

       Для подключения к vCenter Server с рабочего места администратора или пользователя, используется Virtual Infrastructure Client, который позволяет управлять виртуальными машинами и серверами.

       Права пользователя определяются администратором  системы.

       Компьютер администратора может быть подключен  как непосредственно к сети управления, так и к другой при наличии  маршрутизируемого подключения  к серверу vCenter и серверам ESX.

       Для подключения необходим открытый порт 443 по протоколу TCP.

       VMware vSphere Client предназначен для управления виртуальными машинами, установленными на ESXi серверах. Данное ПО устанавливается на АРМ администратор. АРМ администратора должен находиться в одной сети с физическими серверами, на которых подняты ESXi серверы. Для подключения к ESXi серверам с АРМ администратора посредствам VMware vSpher Client необходимо знать IP-адрес данного сервера, а также учётные данные администратора или иного пользователя, обладающего правами работы с ESXi сервером.

2. Требования к аппаратному и программному обеспечению

       Гипервизор VMware ESX Server устанавливается на используемый сервер без дополнительной установки операционной системы (на «голове железо»), в качестве процессора необходимо использовать Intel x86, AMD64, оперативной памяти должно быть не менее 2 Гб. 

       

3. Hyper-V
1. Общие сведения

       Microsoft Hyper-V — система виртуализации  для x64-систем на основе гипервизора.

       Технология Hyper-V — основа платформы виртуализации  для серверов на базе процессоров  с архитектурой x64. Hyper-V распространяется двумя способами: как часть Windows Server 2008 или в составе независимого бесплатного продукта Microsoft Hyper-V Server.

       В Windows Server 2008 технология Hyper-V может быть развернута как в полной установке, так и в режиме Server Core, Hyper-V Server работает только в режиме Core. Это  позволяет в полной мере реализовать  все преимущества «тонкой», экономичной  и управляемой платформы виртуализации.

       Hyper-V является встроенным компонентом 64-разрядных версий Windows Server 2008 Standard, Windows Server 2008 Enterprise и Windows Server 2008 Datacenter. Эта технология недоступна в 32-разрядных версиях Windows Server 2008, в Windows Server 2008 Standard без Hyper-V, Windows Server 2008 Enterprise без Hyper-V, Windows Server 2008 Datacenter без Hyper-V, в Windows Web Server 2008 и Windows Server 2008 для систем на базе Itanium.

       Microsoft Hyper-V является Гипервизором использующим аппаратную виртуализацию.

       Hyper-V поддерживает разграничение согласно  понятию раздел. Раздел - логическая единица разграничения, поддерживаемая гипервизором, в котором работают операционные системы. Каждый экземпляр гипервизора должен иметь один родительский раздел, с запущенной Windows Server 2008. Стек виртуализации запускается на родительском разделе и обладает прямым доступом к аппаратным устройствам. Затем родительский раздел порождает дочерние разделы, на которых и располагаются гостевые ОС. Дочерний раздел также может породить собственные дочерние разделы. Родительский раздел создает дочерние при помощи API гипервызова, представленного в Hyper-V.

       Разделы виртуализации не имеют ни доступа  к физическому процессору, ни возможностью управлять его реальными прерываниями. Вместо этого, у них есть виртуальное  представление процессора и гостевой виртуальный адрес, зависящий от конфигурации гипервизора, необязательно  при этом занимающий все виртуальное  адресное пространство. Гипервизор может  определять набор процессоров для  каждого раздела. Гипервизор управляет  прерываниями процессора и перенаправляет их в соответствующий раздел, используя  логический контроллер искусственных  прерываний (Synthetic Interrupt Controller или сокр. SynIC). Hyper-V может аппаратно ускорять трансляцию адресов между различными гостевыми виртуальными адресными  пространствами при помощи IOMMU (I/O Memory Management Unit — Устройство управления вводом-выводом  памяти), которое работает независимо от аппаратного управления памятью, используемого процессором.