Как вы знаете, на днях было объявлено о выходе платформы виртуализации VMware vSphere 5. Наше любимое средство обеспечения информационной безопасности vGate R2 от компании Security Code, безусловно, будет поддерживает ее либо еще до выхода продукта, либо сразу после него (а пока о vGate R2 почитайте тут и тут, а также про поддержку ESXi).

VMware также объявила о выходе решения VMware vShield 5 для обеспечения безопасности vSphere 5, но если вы посмотрите сюда, то увидите, что vGate является наиболее эффективным средством защиты, в отличие от нишевого продукта vShield.

А сегодня мы поговорим о том, как дополнительно можно защитить инфраструктуру VMware vSphere, в которой работает средство vGate R2, ведь помимо программных средств обеспечения безопасности, нужно обезопасить инфраструктуру еще и на физическом уровне в организациях с повышенными требованиями к ИБ и в компаниях, работающих с конфиденциальными данными. Кроме того, актуальна проблема защиты данных внутри виртуальных машин, которые для VMware являются, по-сути, "черными ящиками".

Продукт Secret Net является сертифицированным средством защиты информации от несанкционированного доступа и позволяет привести автоматизированные системы в соответствие требованиям регулирующих документов:

• №98-ФЗ ("О коммерческой тайне")
• №152-ФЗ ("О персональных данных")
• №5485-1-ФЗ ("О государственной тайне")
• СТО БР (Стандарт Банка России)

Этот продукт можно использовать для защиты от несанкционированного доступа следующих объектов виртуальной инфраструктуры vSphere:

• Защита виртуальных машин от НСД (разграничение доступа, контроль устройств, управление политиками доступа к информации в гостевой ОС, мониторинг и аудит событий ИБ).
• Защита сервера авторизации vGate R2 (несанкционированный доступ к функциям администратора информационной безопасности). Надо отметить, что сервер авторизации также может быть физической машиной, что требует дополнительных мер по его защите (см. ПАК "Соболь").
• Защита рабочего места администратора VMware vSphere (не является компонентов виртуальной инфраструктуры, а значит требует дополнительной защиты)

Более детально о продукте Secret Net можно почитать здесь.

Электронный замок (ПАК) "Соболь"

Электронный замок «Соболь» -  это аппаратно-программное средство защиты компьютера от несанкционированного доступа (аппаратно-программный модуль доверенной загрузки).

Если виртуальные машины мы можем защитить за счет их доверенной загрузки средствами vGate R2, то физические компоненты виртуальной инфраструктуры нужно наиболее тщательно защищать от злоумышленников за счет специализированных аппаратно-программных средств. Таким средством и является ПАК "Соболь" (как видно из картинки, это специальная плата и ПО). Его можно использовать для защиты следующих объектов виртуальной инфраструктуры vSphere:

• Доверенная загрузка сервера авторизации vGate R2
• Доверенная загрузка серверов ESXi и ESX

В качестве альтернативного или дополнительного метода защиты сервера авторизации и серверов ESX / ESXi могут применяться организационные меры, заключающиеся в физическом ограничении доступа к оборудованию со стороны возможных нарушителей.

Более подробно о ПАК "Соболь" можно почитать здесь.

Все эти средства прекрасно живут и работают с vGate R2. Если есть какие-то вопросы - задавайте в каментах.

Параллельно с релизом новой версии платформы виртуализации VMware vSphere 5 компания VMware объявила о выходе новых версий еще нескольких продуктов своей линейки для организации частных облаков. Один из них - VMware Site Recovery Manager 5, где появилось несколько полезных новых возможностей и улучшений.

Взглянем на общую картину улучшений:

Как мы видим, основных моментов, отличающих VMware SRM 5 от предыдущей версии, три - это репликация на уровне хостов VMware ESXi 5, возможность запланированных миграций и автоматизированный failback (восстановление на основную площадку с резервной после восстановления работы первой).

Рассмотрим сначала репликацию на уровне хоста (Host Based Replication):

Теперь нам предлагается 2 вида репликации в VMware Site Recovery Manager 5. Наиболее критичные виртуальные машины (Tier 1 apps) мы защищаем с помощью репликации на уровне дисковых массивов (а значит, это дорого), а менее критичные (Tier 2) мы защищаем с помощью Host Based Replication. Под менее критичными приложениями мы подразумеваем такие, у которых требования к точке восстановления составляют от 15 минут до 24 часов (именно для таких и применяется репликация).

Взглянем на репликацию в VMware Site Recovery Manager 5 поближе:

На каждом хосте VMware ESXi 5 у нас работает vSphere Replication Agent (VSR Agent), который передает все данные об изменении виртуальных дисков машин на резервный сайт в асинхронном режиме с некоторым интервалом. Наличие агента означает, что репликация на базе хоста будет работать только, начиная с VMware ESXi 5.

На резервном сайте работает vSphere Replication Server, который собирает данные об изменениях виртуальных дисков с основной площадки и применяет их к виртуальным машинам на хранилищах резервного сайта. Также на обеих площадках есть компонент vSphere Replication Management Server, который тесно интегрирован с vCenter и SRM и необходим для управления процессом репликации, а также чтобы управлять несколькими vSphere Replication Server, потому как какждый из них обслуживает около 100 машин.

Рассмотрим теперь новый рабочий процесс - Planned Migrations:

Теперь, помимо основного процесса DR Failover, в VMware SRM 5 есть процесс Planned migration (он входит в Recovery Plan). Он позволяет выключить виртуальные машины, синхронизировать хранилища и переместить виртуальные машины на резервную площадку. Поскольку машины выключаются корректно, они переезжают на резервную площадку без вреда для приложений и данных.

Данный процесс может быть полезен для обслуживания основного сайта, тестирования возможности восстановления и просто для переезда виртуальных машин на резервную площадку по необходимости. Ну и, по-сути, на практике его можно применять, когда команда основной площадки знает, что через некоторое время основной сайт будет выведен из строя и есть возможность машины на некоторое время остановить для миграции.

Ну и третье наиболее значимое нововведение VMware Site Recovery Manager 5 - Automated Failback:

Это та возможность, которую так долго ждали пользователи VMware SRM. Теперь в продукте есть механизм реализации двунаправленных миграций за счет автоматизации операций по переключению с резерва на основной сайт (Failback).

При инициации Failback, VMware SRM 5 взаимодействует с массивом, чтобы повернуть репликацию в обратную сторону, а затем выполняет Recovery Plan в обратном направлении в отношении основного сайта (то есть отдельный план восстановления для Failback не нужен).

Для данной возможности SRM 5 есть два ограничения:

• основной сайт не должен измениться после восстановления (то есть там нельзя снова переустановить хосты ESXi)
• эта функция не работает с vSphere Host Based Replication

Лицензирование VMware Site Recovery Manager 5

Ну и рассмотрим, что изменилось в лицензировании VMware Site Recovery Manager 5. У нас есть теперь два издания SRM - Standard и Enterprise, оба с одинаковым функционалом:

Как видно из таблицы, единственная разница - это то, что в издании SRM Standard есть ограничение на 75 виртуальных машин на одной площадке. Здесь отчетливо видно, что цена в $195 за виртуальную машину для издания Standard (а значит, и для среднего и малого бизнеса) - это попытка конкурировать с продуктом Veeam Backup and Replication 5, который еще со своей первой версии умеет делать репликацию виртуальных машин между площадками. Однако здесь совершенно понятно, что даже при 7 виртуальных машинах на двухпроцессорный хост (а это немного) - VMware SRM уже проигрывает по цене Veeam Backup and Replication (а в последнем есть помимо репликации еще много чего).

Маппинг лицензий существующих пользователей VMware Site Recovery Manager на пятую версию будет проходить так:

Обновление на VMware SRM 5 для пользователей с активной подпиской и поддержкой (SnS) происходит бесплатно. Все получают издание SRM Enterprise, однако есть нюанс: те, кто покупал SRM по процессорам хостов ESX / ESXi теперь получают лицензии по количеству виртуальных машин из расчета 5 лицензий на ВМ для одной купленной ранее лицензии на процессор (невыгодно, да, а что делать). Это потому, что VMware SRM уже достаточно давно лицензируется только по количеству защищаемых виртуальных машин.

Вот вкратце и все. Если у вас будет интерес к тому, чтобы мы подетальнее описали VMware Site Recovery Manager 5 - то сделаем технический обзор.

Сегодня, в 20-00 по московскому времени, состоится онлайн-мероприятие под названием "Raising the Bar, Part V", вести которое будет, в частности Пол Мориц, глава компании VMware. Вот по этой ссылке можно зарегистрироваться на мероприятие.

Cloud Infrastructure Launch Forum

В этом вебкасте нам расскажут о VMware vSphere 5 и новых инициативах компании в сфере облачных вычислений (vCloud). Бонус - весьма вероятен синхронный перевод на русский язык.

Восстановление объектов Microsoft Exchange из резервных копий Veeam Backup and Replication.

Мы уже много писали о том, что Veeam Backup and Replication 5 умеет восстанавливать не только виртуальные машины VMware vSphere и их файлы, но и объекты приложений. Эта возможность называется Veeam U-AIR (Universal application item recovery).

На данный момент поддерживаются объекты Microsoft Active Directory, Exchange и SQL, а также есть мастер для восстановления любых объектов из виртуальных машин для приложений с веб-фронтендом.

Насчет восстановления объектов Exchange в Veeam записали познавательное видео:

Кстати, в Exchange 2010 из веб-интерфейса OWA вы можете восстановить только письма, а мастер восстановления Veeam Backup and Replication умеет восстанавливать не только ящики, но и встречи, контакты, документы, заметки и прочее.

Ну и не забываем про мгновенное восстановление виртуальных машин из резервных копий в Veeam Backup and Replication. Вот такой пример:

Instant VM Recovery Benchmark: A VM running Exchange 2010 with 500 mailboxes booted from a backup file it took 36 seconds to begin processing up to 300 transactions per second in Instant VM Recovery mode.

Сергей Халяпин из компании Citrix делится интересной новостью - теперь у пользователей XenDesktop, XenServer и других продуктов компании есть возможность скачать документацию на русском языке. Делается это на странице http://edocs.citrix.com, где нужно выбрать язык - русский.

В настоящий момент переведена часть документации из XenApp 6, XenDesktop 4, Web Interface 5.2, Provisioning Server 5.6, Licensing Server 11.6.1.

Раздел будет пополнятся новыми документами на русском языке. В частности, Сергей привел ссылки еще на парочку документов (они должны быть доступны уже в понедельник-вторник):

• Установка виртуальных машин для XenServer 5.6
• Установка XenServer 5.6

Некоторые пользователи серверов хранения iSCSI на базе Microsoft iSCSI Target хотели бы перейти на StarWind Enterprise (тем более, что есть бесплатная версия StarWind). Но есть одна проблема - Microsoft iSCSI хранит свои данные в виде VHD-дисков, а у StarWind - формат IMG.

Специально для этого в StarWind и сделали утилиту StarWind V2V Converter, которая справляется с задачей конвертации VHD2IMG:

Оригинальные VHD тоже неплохо бы оставить в целях бэкапа.

Вслед за выпуском бета-версии Citrix XenServer 6.0, вышла также бета Provisioning Services 6.0. Данный продукт необходим для доставки образов операционных систем в физические и виртуальные машины. Citrix XenDesktop использует Provisioning Server для доставки виртуальных ПК на базе мастер-образа.

Новые возможности в службах Citrix Provisioning Services 6.0:

• Integrated vDisk Version Management: позволяет создавать и управлять версиями vDisk прямо из консоли Provisioning Services Console. Версии могут быть созданы для различных устройств и групп для обеспечения жизненного цикла виртуальных дисков разных версий с сохранением дискового пространства.
• Automated vDisk Updates: позволяет создавать запланированные задачи, автоматизирующие процесс обновления vDisk через Microsoft System Center Configuration Manager (SCCM) и Windows Server Update Services (WSUS).
• Support for vDisk Replication: позволяет использовать решения по репликации хранилищ, такие как Microsoft DFS Replication для распределения дисков по географически разнесенным сайтам. Provisioning Servers обслуживает набор доступных vDisks и их версий и балансирует нагрузку, а также обеспечивает разграничение доступа серверов к хранилищам.

Скачать бету Citrix Provisioning Services 6.0 можно по этой ссылке.

Мы уже писали о новых возможностях версии Citrix XenServer 6.0 "Project Boston", теперь же он доступна для свободного скачивания с сайта Citrix, при этом добавилось несколько новых функций.

Чуть более развернутое описание новых возможностей Citrix XenServer 6.0:

• Product Simplification - Технологии Workload Balancing, StorageLink и Site Recovery полностью интегрированы в XenServer. Управление ими происходит через центральную консоль XenCenter, все виртуальные модули (virtual appliances) теперь построены на базе Linux и поставляются в соответствующих форматах VA (например, модуль Workload Balancing). Дистрибутив теперь поставляется на одном CD.
• Architectural Changes - в качестве гипервизора используется доработанный Xen 4.1, включающий в себя распределенный коммутатор Open vSwitch (OVS), который используется по умолчанию. В Open vSwitch появились улучшения NIC Bonding (Teaming), поддержка Jumbo Frames. Говорится также об улучшении производительности сетевого взаимодействия до 70-100% для некоторых сценариев. Также есть поддержка SR-OIV и увеличена производительность сетевого взаимодействия (особенно для продуктов NetScaler VPX и SDX).
• Self-Service & Cloud Building Tools - новая консоль Self-Service Manager позволит создавать окружения с сервисом самообслуживания пользователей (поставляется в виде виртуального модуля с веб-интерфейсом). Это что-то вроде облачного менеджера для частных облаков, который поддерживает платформы XenSever и VMware vSphere. Поддерживаются виртуальные модули OVF, возможность создавать многомашинные конфигурации (vApp) для использования с функциями HA и Site Recovery, а также возможность импорта виртуальных дисков VMware VMDK и Microsoft VHD.
• Microsoft System Center Integration - Управление хостами XenServer и виртуальными машинами из System Center Virtual Machine Manager (VMM) 2012. Также предполагается мониторинг XenServer с помощью System Center Operations Manager 2012, на который будет накатываться специальными пакет от Citrix (подробности будут позже).
• XenDesktop Enhancement & Improvements - Улучшения технологии HDX для оптимизации производительности виртуальных ПК и поддержка GPU Pass-Thru, что позволяет раздавать ресурсы видеоадаптера виртуальным машинам (поддержка как single GPU card, так и multi-card GPU card). Это все позволяет за счет технологии XenDesktop HDX 3D Pro улучшить поддержу CAD и требовательных к графике приложений.
• Guest OS Support Updates - поддержка гостевых ОС Ubuntu 10.04, RHEL 5.6 и SLES 10 SP4. Экспериментальная поддержка Solaris и Ubuntu 10.10. Версии RHEL 6 и Debian Squeeze поддерживаются еще с XenServer 5.6 SP2.
• Platform Enhancements & Improvements - мастер "Rolling Pool Upgrade" (упрощение миграции с 5.6 на 6.0), поддержка хранилищ NFS для высокой доступности (HA) и последовательности загрузки ВМ в случае сбоя, поддержка 1ТБ памяти хост-сервера, улучшенные параметры количества vCPU (16) и vRAM (128 ГБ) для виртуальных машин, улучшения NIC bonding (а также поддержка active/passive bonding).
• Другие изменения - Self-Service Manager - это замена Lab Manager. Поддержка последнего еще некоторое время останется. Некоторые массивы перестали поддерживаться StorageLink, что проверяется при апгрейде с 5.6 на 6.0. Кроме того, теперь Site Recovery не зависит от технологии StorageLink, что позволяет более гибко подходить к созданию катастрофоустойчивых конфигураций на базе XenServer.

Скачать XenServer 6.0 можно по этой ссылке.

Некоторым из вас должен быть знаком проект pfSense, который представляет собой разработку программного фаервола и роутера на базе дистрибутива FreeBSD. Это средство есть также в виде виртуального модуля (Virtual Appliance), которое можно импортировать в VMware vSphere в качестве уже готовой машины. Также Eric Sloof сделал его в в формате OVA.

Естественно, pfSense - это бесплатно и open source. Для продукта доступно огромное количество модулей, за счет которых можно расширять функционал.

У Duncan'а Epping'а появилась познавательная статья о том, как перенести ваш текущий сервер VMware vCenter 4.0, 32-битная версия которого еще была в VMware vSphere 4.0 на платформу 64-бит (начиная с 4.1) с сохранением всей иерархии объектов, задач и данных о производительности.

Во-первых, если вы скачаете пакет VIM (VMware Infrastructure Management) с дистрибутивом vCenter 4.1, в ISO-архиве вы найдете папку datamigration с файлом datamigration.zip:

Теперь вам нужно сделать следующие шаги:

1. Поднять новый VMware vCenter 4.1 64-bit.

2. Открыть этот datamigration.zip и скопировать его содержимое в папку datamigration на вашем 32-битном сервере vCenter 4.0.

3. Остановить службы vCenter Service, Update Management Service и vCenter Web Service.

4. Запустить backup.bat.

5. После завершения процесса бэкапа скопируйте всю папку datamigration на целевой хост vCenter 4.1 64-bit (в то же место).

6. Запустите install.bat.

Далее:

• Подтвердите имя vCenter Server и нажмите Y
• Укажите путь к установочным файлам vCenter
• Укажите путь к установочным файлам VMware Update Manager (по умолчанию, тот же)
• Высветится окошко о том, что базы данных будут восстановлены на новом сервере
• Продится все это минут 15, после чего можно запускать vSphere Client и смотреть на новый сервер со всеми сохранившимися тасками, объектами, иерархией и т.п.

Ну и если чего не получается, не забываем про утилиту VMware InventorySnapshot с VMware Labs.

Если ваша компания является партнером VMware, то для вас интересная новость. На партнерском портале компании VMware в разделе Content появилось множество офлайновых демок продуктов, которые позволят вам, не устанавливая их, посмотреть на GUI, функционал и обучиться основным возможностям по работе с продуктом.

Тыркать такие демо - весьма познавательно, особенно учитывая тот факт, что многие из продуктов VMware вы никогда в глаза не видели и вряд ли увидите в ближайшем будущем. Например, вот как выглядит VMware vFabric Hyperic:

А вот так работа VMware vShield App с vCloud Director:

А вот так VMware vCenter Operations Standard:

А так VMware vCenter Configuration Manager:

А тут VMware vShield Edge:

Полезно, в общем.

В-нулевых, не по теме, но вам всем нужно знать, кто выиграл Amazon Kindle - "Результаты конкурса "Лучшее предложение по новым функциям StarWind Enterprise" - победители".

В последнее время появилось несколько интересных вещей, касающихся решения по виртуализации корпоративных ПК предприятия VMware View. Во-первых, обновился документ "PC-over-IP Protocol Virtual Desktop Network Design Checklist", в котором описаны основные лучшие практики по использованию протокола PCoIP для доступа к виртуальным десктопам. По-сути, это обязательный для прочтения документ для тех, кто использует доступ к ПК по протоколу PCoIP. Там очень много практических рекомендаций:

Во-вторых, появился клиент VMware View для настольной ОС Ubuntu с поддержкой протокола PCoIP. Клиент неофициальный - основные моменты по его установке и использованию описаны в статье "VMware View PCoIP on Ubuntu How to".

В-третьих, появилось интересное видео о перенаправлении пользовательских папок в виртуальных ПК VMware View:

В-четвертых, интересное и завораживающее видео "VMware View GPU assisted Virtual Desktop":

На сайте проекта VMware Labs очередная новая утилита - VMware Zimbra for Android (VZA). Это email-клиент и не только, который работает с серверами VMware Zimbra Collaboration Suite (ZCS) и Microsoft Exchange в качестве бэкэнда.

VZA работает с Microsoft Exchange 2003, 2007 и 2010, а также Zimbra Collaboration Suite 6.x and 7.x (в последнем случае доступны дополнительные возможности, такие как Briefcase, Saved Searches и т.д.). В качестве ОС телефона поддерживаются Android 2.x и 3.x.

Чем защищать виртуальную инфраструктуру? vGate R2 или VMware vShield?

На сегодняшний день есть несколько средств для анализа текущего состояния виртуальной инфраструктуры VMware vSphere на предмет соответствия требованиям информационной безопасности, а также непосредственно для обеспечения этой самой безопасности.

Наиболее популярны продукты Security Code vGate R2 и VMware vShield (у обеих компаний есть бесплатные анализаторы безопасности vSphere - vGate Compliance Checker и VMware Compliance Checker). Но, дело в том, что нужны они для совершенно разных целей. Причем vGate R2 на практике для пользователей VMware оказывается значительно полезнее vShield, поскольку последний сосредоточен только на сетевой защите (+ интеграция с антивирусами), а vGate R2 позволяет автоматически настроить среду VMware vSphere в соответствии с требованиями ИБ на базе политик, а также защитить различные объекты инфраструктуры от несанкционированного доступа. К тому же, vGate еще имеет сертификат ФСТЭК, что немаловажно для российских компаний, стремящихся обеспечить соответствие нормам ФЗ 152.

Давайте посмотрим на сравнение функциональности продуктов vGate R2 и vShield в разрезе задач по обеспечению ИБ, которые стоят перед компаниями, использующими виртуализацию VMware. Информация взята из брошюры "Cравнение функциональных возможностей vGate R2 и VMware vShield". В таблице также приведены возможности продукта TrustAccess, который также делает компания Код Безопасности.

Возможности/показатели	vGate R2	TrustAccess	vShield (App+Edge+Endpoint/Zones)
Межсетевое экранирование различных типов
Дополнительные лог-файлы событий информационной безопасности
Контроль доступа к элементам инфраструк- туры (дискреционное и мандатное управление доступом)
Автоматическое приведение конфигурации виртуальной инфраструктуры в соответствие положениям PCI DSS, VMware Security Hardening Best Practice и CIS VMware ESX Server 3.5 Benchmark
Согласование готовой виртуальной машины у администратора информационной безопасности
Запрет доступа администраторов виртуальных инфраструктур к данным виртуальных машин
Создание отчетов о произошедших событиях информационной безопасности и внесенных изменениях в конфигурацию
Создание отчетов о соответствии PCI DSS, VMware Security Hardening Best Practice и CIS VMware ESX Server 3.5 Benchmark
Создание отчетов о текущем статусе конфигурации системы безопасности
Регистрация попыток доступа к инфраструктуре
Контроль целостности и доверенная загрузка виртуальных машин
Сертификаты ФСТЭК России для защиты конфиденциальной информации и персо- нальных данных	СВТ5, НДВ4 (АС 1Г и ИСПДн К1)	МЭ2, НДВ4 (АС 1Г и ИСПДн К1)
Сертификаты ФСТЭК России для защиты государственной тайны	СВТ3, НДВ2 (АС 1Б и ИСПДн К1) *Проходит сертификационные испытания	МЭ2, НДВ2 (АС 1Б и ИСПДн К1)

Как видно из таблицы, vGate R2 обеспечивает очень много возможностей тем организациям, которые хотят правильно настроить конфигурацию VMware vSphere с точки зрения безопасности, а также защитить ее от НСД, особенно от своих собственных администраторов (для этого все действия фиксируются и попадают в отчет).

Если говорить о стоимости решения Кода Безопасности, то она вполне кокурентна:

Бесспорно, и у vShield есть несколько преимуществ перед vGate R2, ведь vGate не замахивается на нишу vShield (я бы сказал, что продукты дополняют друг друга). Но если дело касается практических задач ИБ на предприятии, то vGate R2 - куда полезнее.

Мы уже писали о некоторых расширенных настройках дисковой подсистемы серверов VMware ESX / ESXi, которые позволяют управлять доступом виртуальных машин к хранилищам VMFS. Сегодня постараемся описать еще несколько параметров:

• Disk.SchedNumReqOutstanding - описан в нашей статье "Глубина очереди (Queue Depth) и адаптивный алгоритм управления очередью в VMware vSphere". Там же описано как вообще задавать Advanced Settings для категории Disk.
• Disk.QFullSampleSize - описан в этой же статье.
• Disk.QFullThreshold - описан в этой же статье.
• Disk.UseLunReset - описан в нашей заметке "Disk.UseLunReset и Disk.UseDeviceReset".
• Disk.UseDeviceReset - описан в этой же заметке.

Опишем еще несколько параметров Advanced Settings для категории Disk:

• Disk.MaxLUN - это число (по умолчанию 256, т.е. ID от 0 до 255), опеделяющее максимальное количество томов, доступных серверу VMware ESX / ESXi.
• Disk.MaskLUNs = "vmhba1:0:32-35;vmhba2:0:1,5,7-9" - это параметр, определяющий маскирование томов VMFS в SAN. В данном примере от хоста ESX / ESXi скрываются LUN с ID от 32 до 35 для HBA-адаптера vmhba1, а также LUN с ID 1,5,7,8,9 для адаптера vmhba2. Разделитель для адаптеров - точка с запятой.
• Disk.SupportSparseLUN - эта настройка включена по умолчанию (значение 1), по желанию ее можно выставить в 0. Значение 1 означает, что на ESX / ESXi включена поддержка номеров LUN, идущих непоследовательно (например, 0,6 и 23). Если у вас все LUN идут по порядку, то можно отключить эту функцию, выставив значение 0. В этом случае будет тратиться немного меньше времени на сканирование всех LUN.
• Disk.DiskMaxIOSize - с помощью этого параметра можно задать максимальный размер операции ввода-вывода (IO request). По умолчанию, сервер VMware ESX / ESXi поддерживает объем IO-запроса размером до 32767 KB, запросы большего объема разбиваются на части. Для некоторых хранилищ (это надо смотреть в документации) такой размер IO-запроса, генерируемый некоторыми приложениями может оказаться слишком большим и привести к снижению производительности. Поэтому можно уменьшить этот параметр, в зависимости от модели дискового массива. Более подробно описано в KB 1003469.

Не так давно известный блоггер Duncan Epping опубликовал еще несколько расширенных параметров из категории Disk, которые представляют интерес. Для начала прочитайте нашу статью "Глубина очереди (Queue Depth) и адаптивный алгоритм управления очередью в VMware vSphere" и статью Duncan'а "Disk.SchedNumReqOutstanding the story".

Теперь давайте попробуем понять эти параметры:

• Disk.SchedQControlVMSwitches - по умолчанию, этот параметр равен 6. Он означает вот что. Когда у нас несколько виртуальных машин отдают свои IO к LUN, у нас вступает в игру параметр Disk.SchedNumReqOutstanding (а не глубина очереди адаптера), который определяет границу для виртуальных машин по одновременной отдаче команд ввода-вывода. Если эта граница превышена - наступает постановка команд в очередь. Но VMkernel должен перед этим обнаружить, что LUN использует несколько ВМ. Так вот Disk.SchedQControlVMSwitches определяет сколько раз должен VMkernel это обнаружить. А понимает он это только тогда, когда следующее IO приходит не от той машины, которая дала предыдущий IO. Надо понимать, что это значение может быть достигнуто не очень скоро, когда у нас есть одна высоконагруженная ВМ A на одном LUN, и там же есть низконагруженная по IO машина (B). И это хорошо, поскольку в таких окружениях не должно быть урезания по вводу-выводу для высоконагруженной ВМ.
• Disk.SchedQuantum - по умолчанию, этот параметр равен 8. Он определяет число высокоприоритетных последовательных команд, которые идут к дисковому устройству. Последовательными командами считаются те, которые идут к расположенным рядом секторам диска. Что такое расположенные рядом сектора диска? Это те, которые (по умолчанию) находятся друг от друга на расстоянии не более 2000 секторов. Такие команды выполняются до 10 раз быстрее, чем с далекими секторами.
• Disk.SectorMaxDiff - это и есть параметр, определяющий, что такое "близкие" секторы для предыдущего параметра. По умолчанию, он равен 2000.
• Disk.SchedQControlSeqReqs - этот параметр (по умолчанию, 128) определяет число последовательных IO без переключений (т.е. последовательность команд только от одной ВМ), после которых счетчик Disk.SchedQControlVMSwitches будет сброшен в 0, а машина сможет использовать опять всю очередь адаптера. Этот параметр нужен для того, чтобы после всплеска нагрузки на ВМ B в первом примере, когда этот всплеск прекратится, ВМ A снова смогла получить в свое распоряжение всю очередь адаптера и дальше работать в интенсивном режиме без входа в игру параметра Disk.SchedNumReqOutstanding, который распределяет IO на LUN.

Воткнули? Нет? Тогда еще раз перечитывайте статью Duncan'а. А еще один блоггер, Andy Grant, нарисовал замечательную картинку (кликабельно):

Мы уже вам надоели с необходимостью подготовки миграции вашей виртуальной инфраструктуры VMware vSphere с хостов ESX на ESXi (поскольку vSphere 5 будет только на базе ESXi), но, все-таки, пролжим деятельность в этом направлении.

Сначала предыдущие части:

• Новые технические документы VMware: продолжаем готовиться к миграции на ESXi
• План миграции с VMware ESX на ESXi и что делать после миграции (статья что-то сломалась, но мы ее починим)
• Различия ESX и ESXi - Scratch partition
• Как перейти с VMware ESX на VMware ESXi - часть 2
• Переход с VMware ESX на VMware ESXi - что делать?

Мы уже писали о средстве PXE Manager for vCenter, имеющемся на сайте проекта VMware Labs. Оно нужно для автоматизации развертывания хостов VMware ESXi (Stateless или Stateful) по PXE. Говорят, что утилита войдет в состав VMware vSphere 5. Работает оно только с хостами VMware ESXi, но в версии 4.1 Update 1 утилита получила функцию по миграции хостов ESX на ESXi:

Теперь в утилиту можно добавить хост ESX (предварительно вы уже должны создать образ ESXi):

А далее просто выбрать пункт "Convert this ESX Server to VMware ESXi Server". Дальнейший процесс миграции со скриптом постконфигурации описан в статье Andy Grant "PXE Manager Howto: Converting ESX hosts to ESXi".

Как знают пользователи VMware vSphere, в версии платформы 4.1 появилась новая возможность по управлению приоритетами ввода-вывода виртуальных машин для хранилищ на уровне кластера под названием Storage IO Control (SIOC). Но эта функциональность доступна только в издании vSphere Enterprise Plus, что оставляет множество пользователей за бортом.

В рамках одного хост-сервера VMware ESX / ESXi есть механизм по управлению приоритетами ВМ для хранилищ с помощью Disk Shares (в настройках ВМ). Однако эти приоритеты могут быть заданы только в относительных значениях, что тоже в некоторых случаях неудобно.

В версии VMware vSphere 4.1 появилась возможность задать параметры ограничения ввода-вывода для конкретных ВМ с помощью абсолютных значений (в числе операций в секунду - IOPS и в пропускной способности в секунду - MBps). Это может пригодиться для отдельных виртуальных машин, для которых есть риск "забивания" канала к системе хранения.

Как можно эти параметры добавлять:

• Нажмите Edit Settings для выключенной виртуальной машины.
• Перейдите на вкладку Options.
• В категории Advanced: General нажмите кнопку Configuration Parameters.
• Нажмите Add Row.

Далее можно добавить 2 параметра (обратите внимание, что они задаются для каждого виртуального диска):

• sched.<diskname>.throughputCap = <value><unit>
  
  Например: 
  
  sched.scsi0:0.throughputCap = 10KIOps
  
  
• sched.<diskname>.bandwidthCap = <value><unit>
  
  Например:
  
  sched.scsi0:0.bandwidthCap = 10KBps

В качестве значений можно использовать буквы K (KBps или KIOps), M (MBps или MIOps) и G (GBps или GIOps). Подробнее в KB 1038241.

В своем блоге Didier Pironet отметил несколько ключевых особенностей работы данной возможности и записал небольшое видео:

По наблюдениям автора, если задать оба параметра для виртуального диска, они будут проигнорированы хост-сервером. А если для каждого диска одной ВМ задать определенные лимиты, то для каждого из этих дисков лимит установится как сумма для двух (то есть, если мы поставим 100IOps  и 50IOps, лимит для каждого диска станет 150IOps).

Напоминаю, что работает это только, начиная с VMware vSphere 4.1 (и для ESX, и для ESXi).

Пока все обсуждают то, что из Citrix ушли ключевые люди, а 12 июля VMware объявит о своей платформе VMware vSphere 5, мы расскажем о другом.

Хорошая новость для тех, кому необходимы средства для защиты инфраструктуры виртуализации VMware vSphere. Как многие знают, есть такое семейство продуктов VMware vShield, среди которых есть средства для обеспечения безопасности виртуальных машин, хост-серверов ESX / ESXi и периметра датацентра.

Теперь суть новой промо-акции. Любой пользователь VMware, приобретающий продукт VMware vSphere до 15 сентября 2011 года, получает бесплатно 50 лицензий на VMware vShield Data Security. Кстати, не очень понятно пока, какие именно компоненты vShield включены в промо-пакет, ведь как такого продукта VMware vShield Data Security еще нет, он выйдет несколько позже. При этом по данному промо, к пакету идет бесплатно поддержка и подписка на обновления на 1 год (SnS).

Исключение из акции составляют пакеты ПО VMware vSphere Essentials и VMware vSphere Essentials Plus, которые как всегда в пролете.

Список парт-номеров и названия продуктов, участвующих в акции, приведен здесь. Так что не забывайте задать вопрос своему поставщику VMware про данную акцию.

Продолжаем вам рассказывать о средстве vGate от компании Код Безопасности, которое необходимо  для двух важных с точки зрения информационной безопасности вещей: защиты компонентов VMware vSphere от несанкционированного доступа (НСД) и автоматической настройки среды VMware vSphere (хосты ESX и виртуальные машины) в соответствии со стандартами и регламентами по обеспечению безопасности виртуальных инфраструктур.

Кстати, обратите внимание, что продукт теперь называется не vGate 2, а vGate R2, и в него включена поддержка платформы VMware ESXi, на базе которой будет построена VMware vSphere 5.

На фоне грядущей ответственности за неисполнения норм ФЗ 152 продукт vGate R2 будет вам очень полезен, тем более, что он имеет сертификат ФСТЭК. Согласно сертификату ФСТЭК России №2308, программное средство защиты информации разработки компании «Код Безопасности» vGate R2 предназначено для защиты от несанкционированного доступа к информации, не содержащей сведения, составляющие государственную тайну, и может применяться в автоматизированных системах уровня защищенности до класса 1Г включительно и в информационных системах персональных данных (ИСПДн) до класса К1 включительно.

А сегодня - еще одна важная новость. В данное время продукт vGate R2 с поддержкой ESXi передан во ФСТЭК России для прохождения инспекционного контроля. Поступление сертифицированного продукта в продажу ожидается в августе 2011 года (т.е. ближе к релизу vSphere 5).

"При разработке новой версии vGate R2 мы постарались учесть все пожелания наших заказчиков. Теперь vGate R2 поддерживает ESXi-сервера, а также содержит новые встроенные наборы шаблонов для АС по требованиям ФСТЭК и для ИСПДН по требованиям СТО БР ИББС. Реализованные в новой версии vGate R2 функции значительно облегчат приведение виртуальных инфраструктур в соответствие законодательству, обеспечат непрерывность в соблюдении политик безопасности и позволят сократить затраты на обеспечение ИБ. На этом мы не останавливаемся и продолжаем дальше развивать vGate с учетом пожеланий наших заказчиков. Сегодня любой желающий может внести свой вклад в развитие vGate, предложив идею относительно развития функционала продукта на нашем сайте", - отметила Мария Сидорова, заместитель руководителя направления "Защита виртуальных инфраструктур" компании «Код Безопасности».

Свой вклад в развитие продукта vGate R2 можно внести, оставив комментарий вот в этой форме на сайте Кода Безопасности.

Скачать пробную версию vGate R2 можно по этой ссылке (вам выдадут лицензию на 60 или 90 дней). В ближайшее время мы подробно рассмотрим механизм защиты информации в виртуальной инфраструктуре VMware vSphere от несанкционированного доступа, а также расскажем о процессе установки vGate R2.

Мы уже писали об утилите VDI Sizing Tool от отчественного разработчика Василия. Она позволяет сымитировать нагрузку на виртуальные ПК предприятия (VMware View или Citrix XenDesktop) с помощью специальных агентов и измерить производительность решения (старт приложений, создание RDP-сессии и т.д.).

Недавно вышла версия VDI Sizing Tool 0.2. В новой версии утилиты появилась поддержка VMware View Client для протоколов RDP и PCoIP. А на сайте автора появилась статья про сравнение потребления ресурсов протоколами PCoIP и RDP:

http://vdi-sizing.com/uploads/widget/docs/RDP_vs_PCoIP.pdf

Вот результаты тестирования для 10 виртуальных машин:

Подробнее - в доке.

Не так давно появилось несколько интересных открытых документов по продуктам Veeam, Microsoft и VMware, о которых стоит рассказать.

Первый - детальное описание техник оптимизации памяти Dynamic Memory от Aidan Finn, пишущего о продуктах компании Microsoft. Документ "Understanding, enabling, and configuring Windows Server 2008 R2 Hyper-V Dynamic Memory for virtualised workloads".

В документе детально описана концепция Dynamic Memory, технологии, появившейся в Microsoft Windows Server 2008 R2 SP1, рассмотрены варианты ее применения и настройки, а также даны лучшие практики по ее использованию в производственной среде. Документ весьма понятный и очень нужный для администраторов Hyper-V.

Второе - несколько интересных документов от Veeam Software, выпускающей продукт номер один Veeam Backup and Replication 5 для создания систем резервного копирования VMware vSphere. Документы написаны известными блоггерами, давно пишущими о виртуализации на базе VMware.

• Continuing to Reap the Rewards of Virtualization - о том, для чего нужно решение Veeam One (мониторинг, отчетность и управление изменениями) от Scott Lowe
• VMware Recovery: 77x Faster! - интересный документ о практическом применении новейших технологий в продукте Veeam Backup: мгновенное восстановление ВМ из резервных копий, верификация резервных копий в автоматических лабораториях и восстановление отдельных объектов приложений. Все с интересными картинками.
  
• Product Review: Veeam Backup & Replication v5 - whitepaper от известного блоггера Jason Boche по флагманскому продукту Veeam.
• И не забудьте прочитать сравнение системы резервного копирования виртуальных машин Veeam Backup and Replication 5 с продуктами Symantec.

Третье - очередной документ "Project Virtual Reality Check Phase IV" от Login Consultants. Вы их уже знаете по заметкам у нас тут и тут. Коллеги сравнивают производительность различных продуктов и технологий в сфере виртуализации и выкладывают результаты в открытый доступ. На этот раз сравнивались продукты для виртуализации приложений в инфраструктуре VDI: Citrix Application Streaming (XenApp), Microsoft App-V и VMware ThinApp.

Интересно, что VMware ThinApp бьет почти все остальные варианты:

Ну и четвертое - три новых whitepapers от VMware по семейству продуктов vShield:

• The Technology Foundations of VMware vShield
• vShield Edge Design Guide
• vShield App Design Guide

На этом пока все. Кстати, интересна ли будет вам рубрика "Что почитать?" или вы сами найдете что?

Случилось так, что один из билдов новой операционной системы Windows 8 утек в сеть (build 7989). Блоггер Robert McLaws, заведующий веб-ресурсом windows-now.com, нашел в новой ОС несколько возможностей, относящихся к виртуализации на базе Hyper-V, вероятно, версии 3.0.

Вот что нашел Роберт:

Хранилища

• Виртуальный HBA-адаптер для виртуальных машин - Virtual Fibre Channel Adapter (хотя на картинке не он, а просто новые настройки сети для виртуальных машин).
• Пулы ресурсов для систем хранения (картинка), которые позволяют кобинировать различные категории хранилищ в целях лучшей управляемости.
• Новый формат виртуальных дисков VHDX, который поддерживает диски до 16 ТБ, а также имеет возможности защиты от сбоя питания (картинка). Данный формат может быть использован, только начиная с Windows 8.

Улучшения вычислительных ресурсов (Memory/Processor)

• Поддержка более 4 ядер (картинка, я не очень понял что имеется в виду).
• Новые настройки NUMA-узлов (картинка - Memory per Node, Cores per Node, Nodes per Processor Socket).

Улучшения сетевого взаимодействия (Networking Enhancements)

• Поддержка аппаратного ускорения для сетевых адаптеров (картинка - техники Virtual Machine Queue и IPsec Offload).
• Управление пропускной способностью адаптеров (картинка - минимум, максимум).
• DHCP Guard - запрет на получение адресов неавторизованным виртуальным машинам.
• Router Guard - отклоняет сообщения Advertisement и Redirection для неавторизованных ВМ, которые хотят притвориться роутерами.
• Monitor Port - возможность перенаправления трафика виртуальной машины (входящего и исходящего) на другой порт в целях мониторинга ИБ.
• Virtual Switch Extensions - фильтры для виртуального коммутатора.
• Network Resource Pools - пулы сетевых ресурсов, как я понял, что-то вроде нетвоков в vSphere.

Также рекомендуем вам почитать нашу заметку "Hyper-V 3.0, Windows 8 и клиентский гипервизор от Microsoft".

Компания StarWind Software, выпускающая самый лучший продукт для создания отказоустойчивых хранилищ iSCSI, выпустила тестовую версию своего продукта в виде виртуального модуля (Virtual Appliance) под названием StarWind VSA (Virtual Storage Appliance).

StarWind Enterprise iSCSI Target в виде VSA позволит вам создать хранилища для виртуальных машин VMware vSphere или Microsoft Hyper-V в виде виртуальных серверов хранения (в ВМ), которые развертываются из уже готовой машины StarWind VSA. Для платформ ESX / ESXi и Hyper-V компания StarWind выпустила отдельные версии. Сам виртуальный модуль построен на базе Gentoo Linux и не требует отдельной лицензии Windows.

Отличительная особенность от аналогичных продуктов, поставляемых в виде виртуальных модулей (например, Openfiler) - это то, что с помощью этих модулей можно создать хранилища с высокой доступностью, которые в случае выхода из строя одного из узлов (т.е. ВМ или хост-сервера) мгновенно переключается на работу с синхронизированным резервным хранилищем.

О решении для создания хранилищ StarWind Enterprise iSCSI в виртуальных машинах мы уже писали тут. Его можно использовать для филиалов и небольших компаний, где нет возможности закупить дорогостоящие системы хранения данных, и даже нет денег на покупку отдельных серверов хранения.

Установка продукта StarWind VSA очень проста - вы импортируете виртуальный диск на хранилище VMware ESX или ESXi (понятное дело, что это может быть как локальный том VMFS, так и общее хранилище NFS/VMFS), создаете новую виртуальную машину, к которой подцепляете этот диск vmdk, а также еще один виртуальный диск для хранения данных виртуальных машин, которые будут защищены с помощью высокой доступности.

Конфигурацию машины StarWind VSA рекомендуется сделать такой (пока нет точной информации по этому поводу):

• Guest OS - other Linux 64 bit
• RAM - 1 GB
• 2 vNIC
• можно поставить paravirtualized SCIS-контроллер для диска с данными

После загрузки этой машины, на стартовом скрине можно будет увидеть IP-адрес, полученный по DHCP, а дальше ее можно подцепить с помощью StarWind Management Console, где уже настраиваются сетевые и прочие параметры:

Процесс установки для платформы Hyper-V в принципе аналогичен. Понятное дело, когда выйдет релизная версия StarWind VSA, она будет поставляться в виде виртуального модуля OVF, чтобы машину можно было сразу импортировать на ESX.

Насчет логина и пароля к Linux-консоли StarWind VSA. Это vsa и starwind, соответственно. Для добавления VSA к консоли управления логин и пароль остались теми же: root и starwind.

Скачать StarWind VSA сейчас можно бесплатно и без регистрации с пробной лицензией на 120 дней по этой ссылке.

Как знают администраторы систем хранения данных, у различных компонентов SAN-сети есть такой параметр как глубина очереди (Queue Depth). Он есть у HBA-адаптера сервера (на котором, например, работает VMware ESX / ESXi) и у порта Storage Processor'а системы хранения (SP). Глубина очереди определяет сколько операций ввода-вывода (IO) может быть одновременно обработано на устройстве.

Как мы уже писали, если до SP со стороны сервера ESX / ESXi используется один активный путь, то глубина очереди целевого порта массива (T) должна удовлетворять следующему соотношению:

T >= Q*L,

где Q - это глубина очереди на HBA-адаптере, а L - число LUN, обслуживаемых SP системы хранения. Если у нас несколько активных путей к одному SP правую часть неравенства надо еще домножить на P - число путей.

Соответственно, в виртуальной инфраструктуре VMware vSphere у нас несколько хостов имеют доступ к одному LUN через его SP и получается следующее соотношение:

T>= ESX1 (Q*L*P) + ESX2 (Q*L*P)+ и т.д.

Queue Depth на серверах

По умолчанию, для хостов VMware ESX / ESXi значение Queue Depth равно 32, как его изменить, читайте у нас тут и вот тут. Теперь внимание: этот параметр имеет значение только когда у вас только одна виртуальная машина на хост-сервере использует конкретный LUN. Если его используют уже 2 машины, то он игнорируется, а в действие вступает следующая расширенная настройка (Advanced Setting - как его задавать описано тут):

Disk.SchedNumReqOutstanding (DSNRO)

Этот параметр также по умолчанию равен 32. Он глобально определяет, сколько операций ввода-вывода (IOs) может максимально выдать одна виртуальная машина на LUN одновременно. В то же время, он задает это максимальное значение в IOs для всех виртуальных машин на этот LUN. То есть, если задано значение 32, то все машины могут одновременно выжать 32 IOs, это подтверждается в статье Jason Boche, где 3 машины генерируют по 32 одновременных IO к одному LUN, а реально к LUN идут все те же 32, а не 3*32:

Здесь видно, что активно выполняется 30 команд (максимально 32) для параметра DQLEN, а остальные 67 остаются в очереди. То есть параметр определяет максимальную планку в IO как для одной машины на LUN, так и для всех машин на LUN.

Важно, чтобы параметры Queue Depth и DSNRO были установлены в одно и то же значение. Это рекомендация VMware. Так что, если вздумаете изменить один из них - не забудьте и про второй. И помните, что параметр DSNRO для хоста - глобальный, а значит будет применяться ко всем LUN, подключенным к хосту.

Target Port Queue Depth на массивах

Для дискового массива (а точнее, SP) очередь - это то, куда он сладывает SCSI-команды в то время, пока обрабатывается и выполняется пачка предыдущих. Нормальный midrange-массив имеет глубину очереди 2048 и более. Если массив получает в очередь команд IO больше значения Target Port Queue Depth, то он назад выдает команду QFULL, которая означает, что очередь заполнена и хост-серверу нужно с этим что-то делать. VMware ESX / ESXi реагирует на это следующим образом - он уменьшает очередь на LUN и периодически (каждые 2 секунды) проверяет, не исчезло ли QFULL, и если исчезло, то начинает постепенно увеличивать глубину очереди для этого LUN (это может занять до одной минуты). Это и есть причины тормозов, которые часто возникают у пользователей VMware ESX / ESXi.

Как управлять очередью и адаптивный алгоритм VMware

Теперь становится понятным, почему мы сразу не выставляем параметр Disk.SchedNumReqOutstanding на хостах VMware ESX / ESXi в максимальное значение - мы можем вызвать QFULL на SP массива. С другой стороны, уменьшать его тоже нехорошо - мы ограничим количество операций IO с хоста на LUN.

Поэтому здесь нужен гибкий подход и он есть у VMware (adaptive queue depth algorithm). Работает он таким образом: мы его активируем с помощью параметров Disk.QFullSampleSize и Disk.QFullThreshold в Advanced Settings. Они влияют вот на что:

• QFullSampleSize - если число число ответов QFULL (оно же BUSY) превысит его, то ESX / ESXi наполовину обрежет глубину очереди (LUN queue depth)
• QFullThreshold - если число ответов о том, что QFULL или BUSY больше нет, превысит его, то ESX / ESXi будет постепенно увеличивать LUN queue depth на 1 (вроде бы, каждые 2 секунды).

Но сколько бы не уменьшалось DQLEN - ниже заданного нами значения DSNRO оно не упадет. Это защищает нас от неожиданного провала в производительности. Кстати, эти параметры тоже глобальные - так что если один (например, тормозящий) массив с хоста будет подвергаться такому адаптивному эффекту со стороны ESX / ESXi, то и для другого (например, производительного) тоже будут выполняться такие фокусы.

Теперь, что дополнительно можно почитать на эту тему:

• Disk.SchedNumReqOutstanding and Queue Depth
• Some Answers About Queues: LUN and HBA Queue Depth on ESX(i) Hosts
• Increasing the queue depth?
• Controlling LUN queue depth throttling in VMware ESX/ESXi

То есть мораль всей басни такова - дефолтные зачения DSNRO и Queue Depth подходят для большинства случаев. Но иногда имеет смысл изменить их. Но в этом случае надо учитывать параметры системы хранения данных, структуру SAN, количество LUN и другие параметры, влияющие на производительность ввода-вывода.

Как вы знаете, есть такой хороший продукт vGate 2, который производится нашим спонсором - компанией "Код Безопасности" (об основных его возможностях можно почитать в нашей статье). Нужен он для двух важных с точки зрения информационной безопасности вещей: защиты компонентов VMware vSphere от несанкционированного доступа (НСД) и автоматической настройки среды VMware vSphere (хосты ESX и виртуальные машины) в соответствии со стандартами и регламентами по обеспечению безопасности виртуальных инфраструктур (это экономит деньги, которые вы должны были бы потратить на консультантов, обучение своих специалистов и ручную настройку виртуальной среды).

Кстати, важная новость. Вышел vGate 2 с полной поддержкой VMware ESXi 4.1 (об этом мы писали тут, но продукт был еще в бете). Скачать vGate 2 для VMware ESXi можно тут.

Но сегодня мы поговорим о том, как было бы неплохо организовать безопасную инфраструктуру доступа системных администраторов VMware vSphere к различным компонентам среды виртуализации. Это нужно для того, чтобы понимать как правильно наладить контроль за серверами ESX / ESXi и виртуальными машинами со стороны vGate, а также разграничить доступ к этим объектам в рамках зон ответственности администраторов vSphere.

Логичной выглядит следующая схема построения локальной сети в контексте доступа к компонентам виртуальной инфраструктуры:

Немного опишем ее:

• Выделяем на уровне домена безопасности отдельно сеть администрирования инфраструктуры vSphere. Она содержит серверы ESX / ESXi, сервер vCenter, а также сервер авторизации vGate. Сам сервер авторизации имеет два сетевых адаптера - одним он смотрит в сети администрирования vSphere, а другим во внешнюю сеть предприятия, где находятся рабочие станции администраторов. Таким образом из последней сети в сеть управления можно попасть исключительно через сервер авторизации vGate (компоненты vGate выделены зеленым). На рабочих местах администраторов vSphere и администратора ИБ также установлены клиентские компоненты vGate.
• В отдельную подсеть нужно выделить сеть репликации ВМ (та, что для vMotion и Fault Tolerance).
• В отдельную подсеть выделяем сеть для IP-хранилищ (NFS/iSCSI).
• Ну и, само собой, сеть виртуальных машин тоже должна быть отдельной. Разделение сетей на хостах ESX / ESXi лучше делать на базе тегирования на уровне виртуального коммутатора (см. виды тэгирования).

Если взглянуть на разделение сетей со стороны сетевых адаптеров хост-сервера ESX сервера авторизации vGate, мы получим такую картину:

После конфигурирования локальной сети обязательно следует настроить маршрутизацию между подсетями, а также убедиться в наличии доступа с рабочих мест администраторов vSphere к элементам управления виртуальной инфраструктурой (vCenter и хост-серверы).

Вот основные варианты настройки маршрутизации (АВИ - это администратор виртуальной инфраструктуры):

Вот собственно и основные правила.

Как вы знаете, скоро должен состояться VMworld 2011, где, скорее всего, будет объявлено о выходе VMware vSphere 5, серверной платформы виртуализации. Возможно, параллельно с этим компания VMware выпустит и новую версию продукта для виртуализации настольных ПК предприятия VMware View 5.

На сегодняшний день уже известны некоторые подробности о новых возможностях VMware View 5:

• VMware View 5 будет включать в себя улучшенную версию протокола PCoIP (напомним, что во View 4.6 уже появились некоторые улучшения). На данный момент производительность протокола PCoIP существенно уступает аналогичному Citrix HDX/ICA, на базе которого построено конкурирующее решение Citrix XenDesktop. Улучшения PCoIP в VMware View 5 должны позволить VMware немного приблизиться к позициям Citrix в сфере виртуализации настольных ПК.
• VMware View 5 будет иметь некий аналог технологии Citrix IntelliCache, которая появилась в платформе Citrix XenServer 5.6 SP2 (со стороны брокера соединений у Citrix его поддержка включена в XenDesktop 5 SP1). У Citrix эта технология позволяет снижать стоимость обслуживания инфраструктуры виртуальных ПК и повышать их производительность за счет использования комбинации общего и локального хранилища (с кэшированием) для виртуальных машин. VMware View 5 также получит что-то подобное.
• Наконец-то VMware View 5 получит возможности Virtual Profiles - профили пользователей виртуальных ПК на базе программного продукта от компании RPO Software, приобретенного VMware. Эта возможность позволяет "отвязать" профиль пользователя от операционной системы Windows и повысить портируемость пользовательских окружений (ранее планировалось, что эти возможности войдут в состав View 4.5 или 4.6). Однако сообщается, что эта функция, скорее всего, будет включена несколько позже (но в этом году), и ее возможности будут весьма сильно урезаны по сравнению с тем, что планировалось сделать вначале.

Также о предложениях пользователей по функционалу VMware View 5 можно почитать вот в этой ветке на VMware Communities.

Мы уже писали о веб-клиенте для VMware View от компании Ericom, который построен на базе HTML5. Теперь вот вышла версия  Ericom AccessNow for VMware View 1.0. Примечательной особенностью данного ПО является то, что оно позволяет получить доступ к виртуальному ПК предприятия, где развернута инфраструктура VMware View, через любой HTML5-браузер, без необходимости установки каких-либо дополнительных компонентов. Можно также будет использовать и Chromebooks ("Хромбуки" - устройства с Google Chrome OS).

То есть рабочий стол виртуального ПК можно открывать прямо во вкладке Chrome:

Основные возможности Ericom AccessNow for VMware View 1.0:

• Не требует Java, Flash, Silverlight или других компонентов.
• Поддерживает процессоры Intel x86, ARM и другие.
• Может действовать как Gateway, предоставляя доступ к компьютерам в сети предприятия за счет публикации только одного IP.
• Передача данных по SSL.
• Используются техники WebSockets, AJAX, JSON и другие из HTML5.
• Веб-клиент соединяется с сервером Ericom, используя Ajax и WebSockets (когда это возможно) через SSL и пробрасывает клавиатуру и мышь.

С точки зрения протокола доступа, этот клиент от Ericom использует собственный  Ericom HTML Display Protocol (HDP), который несколько отличается от RDP и PCoIP (первый работает поверх WebSockets, а от последнего пришлось отказаться в силу его закрытости и невозможности реализации через HTML5).

Скачать пробную версию Ericom AccessNow for VMware View 1.0 можно по этой ссылке.

Вы уже знаете компанию StarWind Software, которая делает продукт StarWind Enterprise для создания отказоустойчивых хранилищ iSCSI под VMware и Hyper-V, как нашего спонсора. У них, кстати, есть бесплатная версия, с которой очень удобно начать знакомство с продуктом.

Кстати, не тупите - участвуйте в конкурсе, чтобы выиграть Amazon Kindle. Всего-то нужно кинуть пару слов в комментарии.

А сегодня мы расскажем вам еще об одной бесплатной утилите StarWind под названием RAM Disk Emulator (Virtual RAM Drive). Это средство для создания RAM-дисков, то есть виртуальных дисков, выглядящих как локальные в системе, но созданные на основе участка оперативной памяти. Само собой, такие диски на порядок быстрее обычных.

Так как при выключении компьютера такие диски пропадают, то их удобно использовать, например, при работе с расшифрованными копиями зашифрованных файлов (после выключения диск очистится).

RAM Disk Emulator прост в использовании. Устанавливаете, создаете новый диск с заданным объемом (максимум 1024 МБ для одного диска, дисков может быть несколько) и все. Можно поставить настройки форматирования RAM-диска и параметры его монтирования в ОС.

Скачать бесплатный StarWind RAM Disk Emulator можно по прямой ссылке: http://www.starwindsoftware.com/anonymous/download/RAMDiskSetup.exe.

И напоследок. Костян, мой добрый товарищ из StarWind, завел блог о технических вопросах, касающихся StarWind Enterprise. Заходим: http://constantinv.posterous.com.

Компания VMC, золотой партнер компании Veeam Software, ведущего поставщика решений для управления инфраструктурой VMware vSphere, объявляет о запуске промо-программы, которая позволит пользователям Veeam Backup and Replication осуществить обновление своего продукта до издания Enterprise по минимальной цене - со скидкой 40%.

До 16 сентября 2011 года действуют следующие промо-акции по продуктам Veeam Software:

• 40% скидка от прайс-листа на обновление продукта Veeam Backup & Replication Standard до версии Enterprise (различия изданий)

• 40% скидка от прайс-листа на обновление продукта Veeam Backup & Replication Standard до пакета продуктов Veeam Management Suite Plus (включает Veeam Backup Enterprise, а также Veeam Reporter и Veeam Monitor)

Внимание: акция действует только для клиентов Veeam, которые приобрели продукт до 1 марта 2011 года.

За более подробной информацией об акции обращайтесь к консультантам компании VMC.

При внесении различных параметров в конфигурационные файлы виртуальной машины на VMware ESX могут возникнуть различные ошибки. При этом виртуальная машина может до некоторого времени работать корректно.

Есть способ проверить vmx-файл на предмет наличия в нем ошибок (опечаток, например, в путях к рабочим директориям и т.п.). Для этого есть команда:

/usr/bin/vmware-configcheck <путь к vmx-файлу>

Она проверяет его на соответствие правилам оформления, приведенным в файле /etc/vmware/configrules.

В случае успешной проверки результат будет таким:

А в случае неуспешной - будет выведен результат FAIL и описание ошибки конфигурации.