Недавно мы писали об уязвимости Log4j, затрагивающей компоненты веб-серверов Apache Software Foundation log4j Java logging, а значит присутствующей и во многих продуктах VMware. Также мы рассказывали о том, как понять, что вас сканируют на уязвимость log4j, если у вас есть VMware vRealize Network Insight.

Надо сказать, что у партнеров VMware есть такое средство, как HealthAnalyzer, которое осуществляет сбор данных с различных компонентов виртуальной среды и составляет отчет об их состоянии. Оно позволяет собрать детальную информацию о продуктах VMware Horizon, VMware vSphere и VMware NSX, которая включает в себя различные конфигурации и данные об использовании. Собранные с помощью VMware HealthAnalyzer Collector данные можно отправить партнерам VMware или в саму VMware для дальнейшего анализа.

HealthAnalyzer позволит вам обнаружить угрозы, которые описаны в статьях CVE-2021-4428, CVE-2021-45046 и CVE-2021-45105 (а это 10/10 и 7.5/10 по шкале серьезности). Однако чтобы это работало, вам нужно удалить старую версию VMware HealthAnalyzer и поставить новую с портала Partner Connect.

Чтобы удалить старую Java-версию HealthAnalyzer, нужно просто удалить ее папки и связанные файлы. Для виртуальных модулей - нужно выключить ВМ и удалить ее из инвентори.

Также если вы будете использовать предыдущую версию анализатора, то ваши регистрационные данные в форме не будут приняты:

За установкой продукта HealthAnalyzer обращайтесь к своему поставщику VMware.

Ну и бонус-видео о том, как временно обезопасить свой VMware vCenter от Log4j, пока критические фиксы еще в пути:

Компания VMware анонсировала новую версию продукта VMware HCX 4.3, предназначенного для миграции с различных онпремизных инфраструктур (на базе как vSphere, так и Hyper-V или KVM) в облако на платформе VMware vCloud. Напомним, что о возможностях версии 4.2 этого продукта мы писали вот тут.

Давайте посмотрим на новые возможности HCX 4.3:

1. Переход на PostgreSQL

Теперь HCX использует БД PostgreSQL вместо устаревших баз данных, использовавшихся ранее. Для пользователя переход произойдет незаметно, а сами данные в фоновом режиме будут перенесены на новую платформу.

2. Улучшения HCX Network Extension

Теперь для виртуальных модулей Network Extension появились функции высокой доступности (high availability). Так как сервис Network Extension является критичной частью HCX, нарушения в работе которого могут привести к серьезным проблемам с функционированием, то теперь на уровне виртуальных модулей (Virtual Appliance) есть функции HA, которые работают в режиме active/standby. В случае сбоя переключение на запасной узел происходит автоматически.

Диаграмма ниже показывает, как работают виртуальные модули NE, которые формируют пары на каждой из площадок, а во время нормальных операций трафик использует active-туннель между модулями. Другой туннель между standby-модулями также поддерживается, но трафик по нему не идет. На него происходит переключение в случае сбоя основного канала.

HA group 1 и HA group 2 имеют независимые механизмы хартбитов, чтобы мониторить состояние виртуальных модулей.

3. Улучшения OS Assisted-миграций

OS Assisted Migration (OSAM) - это режим миграции виртуальных машин из не-vSphere окружений, таких как KVM и Hyper-V, на платформу vSphere. Здесь было сделано несколько важных улучшений:

• Поддержка новых гостевых ОС - теперь HCX поддерживает миграцию ВМ на базе RHEL 8.x (64-bit) и CentOS 8.x (64-bit) в окружениях KVM на vSphere. Кроме того, можно мигрировать RHEL 8.x (BIOS/GEN-1 & UEFI/GEN-2) и CentOS 8.x (BIOS/GEN-1 & UEFI/GEN-2) из виртуальных машин Hyper-V.
• Совместимость HCX OSAM для vSphere и Cloud Director - теперь при миграции поддерживается связка продуктов VMware vSphere 7.0 U3 и VMware Cloud Director 7.0 U3. 

4. Улучшения юзабилити

• Устранен лимит на 15 символов для имен хостов ВМ на базе MS Windows при кастомизации гостевой ОС.
• Возможность изменять Compute Profile в режиме OSAM. Ранее надо было явно указывать целевой датастор в профиле, теперь же HCX обнаруживает набор датасторов, которые доступны для репликации в кластер. Также происходит валидация, что Sentinel Data Receiver (SDR) имеет доступ к датастору, указанному пользователем.

Более подробно о продукте VMware HCX 4.3 можно почитать на этой странице.

Мы много пишем про растянутые кластеры VMware vSAN Stretched Clusters для онпремизной инфраструктуры VMware vSphere, но не особо затрагивали тему растянутых кластеров в публичных облаках. В частности, в инфраструктуре VMware Cloud on AWS можно создавать такие кластеры, работающие на уровне зон доступности (Availability Zones).

Облачные администраторы знают, что публичное облако AWS разделено на регионы (Regions), в рамках которых есть зоны доступности (Availability Zones, AZ), представляющие собой домены отказа (аналогичные таковым в vSAN). То есть если произойдет сбой (что довольно маловероятно), он затронет сервисы только одной зоны доступности, остальные AZ этого региона продолжат нормально функционировать.

Сама Amazon рекомендует дублировать критичные сервисы на уровне разных зон доступности, а с помощью растянутых кластеров VMware vSAN можно сделать полноценную задублированную среду на уровне AZ в рамках одного региона с компонентом Witness для защиты от ситуации Split-brain, когда будет разорвана коммуникация между зонами:

Для такой конфигурации вам потребуется создать SDDC с поддержкой Stretched Cluster, который создается на этапе настройки SDDC на платформе VMC on AWS. Надо понимать, что при развертывании SDDC можно задать тип кластера Standard или Stretched, который уже нельзя будет поменять в дальнейшем.

Пользователь задает AWS Region, тип хоста, имя SDDC и число хостов, которые он хочет развернуть. Далее администратор выбирает аккаунт AWS и настраивает VPC-подсеть, привязывая ее к логической сети для рабочих нагрузок в аккаунте. Нужно выбрать 2 подсети для обслуживания двух зон доступности. Первая устанавливается для preferred-площадки vSAN, а вторая помечается как сеть для "non-preferred" сайта.

После создания кластера, когда вы зайдете в инстанс Multi-AZ SDDC vCenter вы увидите растянутый кластер vSAN с одинаковым числом узлов на каждой из AZ и один компонент Witness, находящийся за пределами данных AZ.

Такая конфигурация работает как Active-Active, то есть вы можете помещать производственные виртуальные машины в каждую из зон, но вам нельзя будет использовать более 50% дисковой емкости для каждой из облачных площадок.

Конечно же, нужно позаботиться и о защите виртуальных машин как на уровне площадки, так и на уровне растянутого кластера. Лучше всего использовать политику хранения "Dual site mirroring (stretched cluster)" на уровне ВМ. В этом случае при сбое виртуальной машины в рамках одной зоны доступности она будет автоматически перезапущена в другой AZ с помощью механизма VMware HA.

Также администратору надо контролировать физическое размещение виртуальных машин по площадкам, а также политику Failures to tolerate (FTT):

Конечно же, не все виртуальные машины нужно реплицировать между площадками - иначе вы просто разоритесь на оплату сервисов VMConAWS. Администратор должен выставить правила site affinity rules, которые определяют, какие машины будут реплицироваться, а какие нет. Делается это с помощью движка политик storage policy-based management (SPBM) для ВМ и их VMDK-дисков: 

Также более подробно обо всем этом вы можете почитать в статьях vSAN Stretched Cluster Guide и VMware Cloud on AWS: Stretched Clusters.

Недавно мы писали про критическую уязвимость log4j, которая появилась в компоненте веб-сервера Apache Software Foundation log4j Java logging, а значит и во многих продуктах VMware. Атакующий, который имеет доступ к отсылке логов, может исполнять код, полученный с LDAP-серверов, когда настройка message lookup substitution включена. Это уязвимость типа "zero-day", а значит исправление ее для различных программных продуктов еще находится в процессе.

Если у вас есть средство VMware vRealize Network Insight, предназначенное для мониторинга и защиты сетевой инфраструктуры виртуальной среды на уровне приложений в онпремизном и облачном датацентре, то вы можете легко обнаружить злоумышленников, которые пытаются использовать уязвимость log4j.

Итак, вам понадобится собранный участниками краудсорсинговой кампании список IP-адресов, а также вот этот Python-скрипт от автора Martijn Smit. В VMware vRNI должен быть включен анализ потоков (flows), кроме того у вас должен быть развернут vRealize Network Insight Python SDK.

Для запуска процесса анализа сетевых подключений и потоков выполняем следующие команды:

# export PYTHONPATH=/your/path/tp/network-insight-sdk-python/swagger_client-py2.7.egg

# python3 vrni-log4j-flow-check.py --platform_ip yourvRNIPlatformIP --username yourUsername --password yourPassword

Отработают эти команды примерно следующим образом (кликните для анимации):

Также этот скрипт можно запустить и в облачной версии vRealize Network Insight Cloud с токеном Cloud Services Portal API. Для этого надо посмотреть параметры скрипта:

# python3 vrni-log4j-flow-check.py --help

Понятное дело, что если вы найдете соединения с атакующих IP (однако, не все они могут быть вредными, так как в списке много адресов российских провайдеров), то лучше отклонить эти соединения.

Вот еще немного информации по теме, которая может оказаться вам полезна:

• Detecting & Preventing CVE-2021-44228 (Log4Shell) with the NSX Distributed IDS/IPS
• Log in the Shell: An Analysis of Log4Shell Exploitation

Компания VMware на сайте проекта Labs сделала доступной новую версию платформы виртуализации ESXi ARM Edition 1.8. Напомним, что это специальная версия гипервизора VMware, предназначенная для процессоров ARM (на их базе построена, например, архитектура Raspberry Pi, а также многие IoT-устройства). Также этот гипервизор в будущем найдет свое применение в таких платформах, как Project Monterey. О прошлой версии ESXi для ARM мы писали вот тут.

Давайте посмотрим, что нового появилось в ESXi ARM Edition 1.8:

• Исправление для ACPI, что позволяет поддерживать гостевые ОС OpenBSD.
• Улучшенная обработка ITS device ID width в реализации без поддержки indirect table.
• Улучшенная обработка VMkernel TLB (Translation Lookaside Buffer - он представляет собой кэш для MMU).
• Улучшенная обработка механизма NUMA, особенно в части сообщений об ошибках.

Скачать VMware ESXi ARM Edition 1.8 можно по этой ссылке. Напомним, что апгрейд с прошлых версий этого гипервизора не поддерживается, каждую новую версию нужно устанавливать заново.

На сайте проекта VMware Labs появилось обновление утилиты Virtual Machine Desired State Configuration. О прошлой ее версии мы писали вот тут.

Администраторам виртуальной инфраструктуры часто приходится менять параметры виртуальной машины, такие как CPU и память, чтобы проводить разного рода тюнинг и оптимизации. Для таких действий требуется перезагрузка виртуальной машины, что вызывает сложности в планировании.

Раньше подход был таким - к нужной дате/времени, согласованному с владельцами систем, происходила перезагрузка машин, которые за некоторое время уже поднимались в желаемой конфигурации (Desired State). Но это рождает довольно сложный административный процесс такого согласования.

Утилита VMDSC использует другой подход - виртуальные машины окажутся в Desired State при следующей перезагрузке гостевой ОС. Это позволяет не договариваться о простое ВМ в определенные периоды, а просто встраивать процесс реконфигурации процессора и памяти в жизненный цикл систем, когда им и так требуется перезагрузка (например, при накатывании обновлений).

Что нового появилось в VMDSC версии 1.0.1:

• Исправлена проблема, когда сервис VMDSC мог использовать неправильный сервисный аккаунт vCenter при восстановлении соединения.
• Сценарий первоначальной загрузки виртуального модуля теперь проверяет URL опционального сертификата vCenter CA в форматах DER или PEM.
• Теперь в составе есть vRealize Log Insight VMDSC Content Pack (1.0), который реализует дэшборд для исторических событий VMDSC.
• Появилась поддержка модуля PowerVMDSC, которая дает пользователям возможность взаимодействовать напрямую с VMDSC из PowerShell.

Скачать утилиту Virtual Machine Desired State Configuration версии 1.0.1 можно по этой ссылке.

В конце ноября мы писали о том, что "уже 5 дней VMware находится в состоянии экстренной починки VMware vSphere 7 Update 3", но ситуация оказалась гораздо хуже. Никаких новостей об исправлениях для новой версии, по-прежнему, нет. Напомним, что о новых возможностях vSphere 7 U3 мы писали тут.

Основная информация о возникшей ситуации с последним пакетом обновлений приведена в KB 86398. Там можно узнать, что вся линейка Update 3/3a/3b была отозвана из-за критических проблем, описанных в KB 86287 и KB 86281. На странице загрузки VMware vSphere, по-прежнему, висит красный баннер и релиз Update 2a от апреля этого года:

Среди найденных багов - и выпадение в PSOD, и проблемы апгрейда с прошлых версий, и проблемы со стабильностью vSphere HA, и многое другое, судя по заметкам в некоторых блогах:

Если мы зайдем на статью базы знаний "Build numbers and versions of VMware ESXi/ESX (2143832)", то увидим, что последние три релиза vSphere просто зачеркнуты в таблице:

18 ноября зачеркнутые в таблице релизы были удалены из VMware Customer Connect, а новостей по поводу сроков исправления проблем с этого времени не было. Сама VMware пишет в KB вот так:

Надо отметить, что VMware vCenter 7 Update 3 и Update 3a сейчас доступны для скачивания и использования в производственной среде.

В самом интересном положении оказались пользователи, которые уже прошли процедуру апгрейда своей инфраструктуры на Update 3. Им не рекомендуют откатывать все назад (это и не так просто, к тому же), если они не сталкиваются с критичными проблемами, такими как PSOD. Однако и сроков по доступности исправлений Update 3 тоже не дают.

Ждем исправлений!

Как знают многие администраторы VMware vSphere, у компании есть очень полезный документ "Security Configuration Guide", который представляет собой основное руководство по обеспечению безопасности виртуальной среды. Последняя версия этого документа содержит 87 настроек (мы писали об этом тут), так или иначе влияющих на безопасность как самой платформы виртуализации, так и виртуальных машин и их гостевых операционных систем.

Документ передает концепцию "Secure by design", что означает, что среда VMware vSphere изначально настроена оптимальным образом с точки зрения безопасности, поэтому вносить изменения вам нужно только в случае наличия каких-либо специальных требований именно в вашей инфраструктуре.

Надо понимать, что конфигурация виртуальной среды в целях обеспечения повышенной (относительно дефолтной) безопасности - это всегда компромисс между защищенностью и удобством использования (как и для любой другой ИТ-системы). Из коробки сама платформа, сервер vCenter и виртуальные машины настроены таким образом, чтобы обеспечить максимальное удобство использования при должном уровне безопасности.

Помните, что изменение настроек безопасности - очень опасная штука, которая требует обязательного документирования и оповещения администраторов об этом. Ведь из-за этого они могут получить проблемы с работой отдельных компонентов, но так и не понять их источника, что будет похуже чисто гипотетической маловероятной атаки, связанной с измененной настройкой.

Сегодня мы посмотрим на 15 действительно полезных рекомендаций и настроек, применение которых не сильно снизит удобство использования, но при этом даст чуть более высокий уровень безопасности, что может оказаться вам в каком-то случае полезным.

Структура списка конфигураций и рекомендаций

Давайте сначала взглянем на колонки Excel-таблицы, которая, по-сути, и является списком настроек и рекомендаций, которые вы можете применить в своей виртуальной инфраструктуре:

• Guideline ID - идентификационное имя рекомендации.
• Description - лаконичная формулировка сути этой рекомендации.
• Discussion - описание влияния настройки на конфигурацию среды и операции, а также обсуждение моментов, которые касаются удобства использования инструментов управления в связи с изменением настройки.
• Configuration Parameter - это название расширенной настройки соответствующего компонента, которую вы можете изменить. Понятно дело, что эта колонка заполнена не всегда, так как есть рекомендации, которые регулируются не конкретными настройками, а, например, топологией или подходом к организации среды.
• Desired value - рекомендуемое значение, часто оно является значением по умолчанию, если это не site specific.
• Default value - то значение, которое установлено по умолчанию.
• Is Desired Value the Default? - просто для понимания (и для референса в будущем), установлено ли желаемое значение по умолчанию.
• Action Needed - это тип действия, который необходимо предпринять - изменить настройку, проверить конфигурацию или топологию, добавить или удалить что-то и т.п.
• Setting Location in vSphere Client - очень полезная колонка, позволяющая вам найти нужную настройку в клиенте vSphere.
• Negative Functional Impact in Change From Default? - это как раз информация о влиянии на функционал в случае изменения настройки.
• PowerCLI Command Assessment - команда PowerCLI, с помощью которой можно узнать текущее значение настройки.
• PowerCLI Command Remediation Example - команда PowerCLI по применению настройки.
• Hardening - указывает на то, что это действительно настройка, которой нужно уделить внимание при конфигурации.
• Site Specific Setting - говорит о том, что задать конфигурацию должен сам пользователь, в зависимости от его окружения.
• Audit Setting - указывает, что вам необходимо время от времени проверять эту настройку, чтобы убедиться, что значение по умолчанию не было изменено необоснованно.

Само руководство разбито на 4 категории, которые понятны всем администраторам:

• Хосты ESXi
• Сервер vCenter
• Виртуальные машины
• Гостевые ОС виртуальных машин

Также в документе есть и вкладка "Deprecated" - там находятся те настройки, которые больше не актуальны. Что важно - там помечено, почему это случилось (в колонке Discussion).

Итак, давайте посмотрим на 15 самых интересных и, главное, полезных настроек, которые вы можете изменить, а также рекомендаций, которые вы можете выполнять, чтобы повысить безопасность виртуальной среды в своей инфраструктуре.

Хосты ESXi

• Configure remote logging - это действительно правильная рекомендация. Хосты ESXi должны отправлять свои логи на удаленный сервер Syslog. Самый удобный вариант - это использовать в качестве Syslog-сервера решение VMware vRealize Log Insight. Ведь если злоумышленник проникнет на сервер ESXi, то после своей активности он эти логи удалит, и расследовать будет нечего. С централизованного внешнего сервера удалить эти данные сложнее. На работу виртуальной среды эта конфигурация не влияет.
• Ensure ESXi management interfaces are isolated on their own network segment - это очевидная, но не всегда выполняемая администраторами конфигурация. Конечно же, вся управляющая инфраструктура виртуальной среды должна находиться в выделенном сегменте сети в своих VLAN, куда имеют доступ только администраторы. То же самое касается и сети vMotion, и сети vSAN.
• esxi-7.shell-interactive-timeout и esxi-7.shell-timeout (Set a timeout to automatically terminate idle ESXi Shell and SSH sessions) - по умолчанию сессии командной оболочки и SSH-сессии висят постоянно, что, конечно же, представляет потенциальную угрозу. Лучше ограничить таймаут 600 секундами, чтобы никто эти сессии не смог подхватить.
• Only run binaries delivered via VIB - эта настройка позволяет устанавливать бинарные компоненты только через VIB-пакеты, которые соответствуют установленному Acceptance Level. Если вы не пользуетесь посторонними библиотеками кустарного производства, то лучше эту настройку включить. Когда вам понадобится установить такой бинарник - просто включите эту настройку снова. Но это изменение лучше задокументировать.
• Enable bidirectional/mutual CHAP authentication for iSCSI traffic - настраивать CHAP-аутентификацию нужно обязательно, чтобы предотвратить атаки, связанные с перехватом трафика к хранилищам. Настраивать это недолго, но зато будет больше уверенности в сохранности данных.

Сервер vCenter

• Ensure vCenter Server management interfaces are isolated on their own network segment or as part of an isolated ESXi management network - это та же самая рекомендация по изоляции управляющей сети от сети виртуальных машин, что и для серверов ESXi. Убедитесь, что они надежно разделены с помощью VLAN и других техник.
• Ensure that port mirroring is being used legitimately - эта настройка отключена по умолчанию, но зеркалирование трафика на портах vSphere Distributed Switch надо периодически проверять (vSphere Client -> Networking -> Distributed Switch -> Configure -> Settings -> Port Mirroring). Такой способ атаки - один из самых простых в реализации, если у злоумышленника есть доступ к настройкам VDS (обычно в них никто не заглядывает после первичной настройки). То же самое касается и отправки трафика NetFlow, управление которым производится в разделе vSphere Client -> Networking -> Distributed Switch -> Configure -> Settings -> NetFlow.
• Limit access to vCenter Server by restricting DCLI / SSH - это разумная рекомендация, чтобы злоумышленник не смог залогиниться в консоль виртуального модуля напрямую или по SSH. Уменьшив поверхность атаки, вы сделаете среду более защищенной. Только не забудьте задокументировать это изменение.
• Configure File-Based Backup and Recovery - не ленитесь настраивать и обслуживать бэкап конфигурации вашего управляющего сервера. Однажды это может вам пригодиться как в контексте безопасности, так и в контексте быстрого восстановления системы управления в виртуальной инфраструктуре в случае сбоя.
• Configure remote logging - здесь те же рекомендации, что и для ESXi. Не ленитесь настраивать сервер удаленного сбора логов.

Виртуальные машины

• Limit the number of console connections - очень часто к консоли виртуальной машины не нужно больше одного подключения ее администратора. В этом случае дефолтное количество 40 одновременных подключений лучше уменьшить до 1. Делается это в разделе VM -> Edit Settings -> VM Options -> VMware Remote Console Options.
• Encrypt VMs during vMotion - это полезная настройка. По умолчанию, трафик vMotion шифруется, только если есть такая возможность (Opportunistic). Если у вас хватает вычислительных ресурсов и быстрая сеть, то можно установить это значение в "Required". Это обеспечит защиту от перехвата трафика vMotion, в котором есть данные гостевой ОС виртуальной машины.
• Lock the VM guest session when the remote console is disconnected - лучше включить эту настройку и лочить сессию при отключении удаленной консоли, чтобы брошенная администратором сессия в гостевой ОС виртуальной машины не была подхвачена злоумышленником. На удобство работы это не сильно влияет. Изменить эту настройку можно в VM -> Edit Settings -> VM Options -> VMware Remote Console Options.

Гостевая ОС

• Ensure that VMware Tools are updated - это просто еще одно напоминание, что нужно постоянно следить за тем, что пакет VMware Tools обновлен до последней версии (и желательно поддерживать единый уровень версий для всех машин). В нем содержится много компонентов (кстати, не устанавливайте ненужные), поэтому уязвимость в одном из них может скомпрометировать множество виртуальных машин. То же самое относится и к версии Virtual Hardware - следите за этим.
• Disable Appinfo information gathering - об интерфейсе Appinfo мы писали вот тут (он же Application Discovery). Он позволяет, например, собирать информацию о запущенных приложениях внутри гостевой системы и их параметрах. Механизм Appinfo используется различными решениями, такими как vRealize Operations Manager, для мониторинга на уровне гостевой ОС. Если же вы не используете эти решения в своей виртуальной среде, то данный механизм лучше просто отключить через VMware Tools. Учитывая какое количество багов, касающихся безопасности, в последнее время находится в различных компонентах инфраструктурного ПО, лучше отключить функции Appinfo, которые включены по умолчанию для всех гостевых ОС после установки VMware Tools.

Конечно же, в документе vSphere 7 Security Configuration Guide есть много и других настроек и конфигураций, изменение которых помогут вам повысить уровень безопасности. Иногда это связано с требованиями регулирующих органов или спецификой внутренних политик организации. Поэтому обратите особенное внимание на те конфигурации, которые помечены как Site Specific, а также те, где рекомендуемые значения отличаются от дефолтных. И обязательно документируйте сделанные изменения, а также проводите регулярный аудит наиболее важных настроек.

На днях компания VMware объявила о скором обновлении своего средства NSX-T до версии 3.2. Напомним, что NSX-T - это решение для сетевой виртуализации и агрегации виртуальных сетей датацентров, работающих на базе гибридной среды гипервизоров, физических серверов и контейнеров приложений Kubernetes. О версии VMware NSX-T 3.0 мы писали в прошлом году вот тут.

Отметим, что поддержка продукта VMware NSX Data Center for vSphere заканчивается 16 января 2022 года, поэтому все партнеры и клиенты должны перевести рабочие нагрузки на VMware NSX-T. При этом могут переезжать как окружения на базе Cloud Director, так и без него - все ресурсы, описывающие этот процесс, доступны. Основной инструмент для этого переезда - это VMware NSX Data Center for vSphere to VMware NSX-T Data Center migration tool.

Давайте посмотрим, что появилось нового в VMware NSX-T 3.2.

Функции мультиоблачной безопасности

Здесь появились следующие улучшения:

1. Возможности Tapless Network Traffic Analysis (NTA)

Функции Network traffic analysis (NTA) и средства для создания песочниц интегрированы в единый NSX Distributed Firewall (DFW). Сам сервис NTA встроен в гипервизор. Вместе с функциями IDS/IPS решения NSX администраторы могут виртуализовать весь стек безопасности и устранить слепые зоны для применения политик безопасности, чтобы контролировать сетевые потоки, безотносительно того, какие физические уровни под ними лежат.

2. Сетевой экран шлюза (Gateway Firewall)

Улучшенный gateway firewall служит как программный шлюз с возможностью контроля на уровнях L2-L7, включая URL-фильтрацию и расширенные функции предотвращения угроз с возможностями анализа вредоносного ПО и сэндбоксинга.

Это расширяет функции централизованного управления безопасностью на физические нагрузки, периметр датацентра и оконечные устройства, что дает возможность реализовать концепцию east-west и north-south по защите данных под центральным управлением движка NSX Intelligence.

3. Интегрированный механизм NDR и NSX Intelligence

Теперь решение NSX Network Detection and Response (NDR) интегрировано в платформу NSX Intelligence, что позволяет решению NDR понимать сигналы от IDS/IPS, NTA и сэндбокса, чтобы идентифицировать настоящие вторжения. Также NSX Intelligence получил улучшения производительности, а также улучшения движка рекомендаций для правил фаервола.

4. Распределенная Switch-agnostic безопасность

NSX Distributed Firewall теперь поддерживает рабочие нагрузки, развернутые на распределенных группах портов (Distributed Port Groups) распределенных коммутаторов (VDS). Это позволяет реализовать фаервол NSX без внесения изменений в vSphere Distributed Switch и без конвертации портов в N-VDS, а также без развертывания сетевых оверлеев.

Улучшения сетевого взаимодействия и механизма политик

Здесь мы увидим 3 основных улучшения:

1. Работа с сетью и обеспечение безопасности для связки NSX-T и Antrea

Начиная с NSX-T 3.2, сетевые администраторы могут определить политики для Antrea в плане сетевых настроек и безопасности для контейнеров прямо из интерфейса NSX-T Manager. Политики применяются к кластерам Kubernetes на базе Antrea 1.3.1-1.2.2 с использованием interworking controller. Объекты K8s, такие как поды, пространства имен и сервисы, объединяются в инвентаре NSX-T и тэгируются, а значит их можно выбрать при настройке политик Distributed Firewall. Также NSX-T может управлять компонентом Antrea Traceflow и собирать лог-бандлы с кластеров, используя Antrea.

2. Улучшенный координатор миграции

NSX Migration Coordinator был улучшен, теперь он поддерживает определенные пользователем топологии NSX, больший масштаб развертываний и другие возможности, которые ранее не поддерживались, например, VMware Integrated OpenStack (VIO), фиксированные топологии OSPF, функции guest introspection для партнеров, которые поддерживают Migration Coordinator, а также конфигурации identity-based firewall (IDFW/RDSH).

3. Функции NSX Federation

Эти возможности впервые были представлены в NSX-T 3.0. Они позволяют через NSX Global Manager централизованно управлять распределенной виртуальной сетью в нескольких локациях, поддерживая их в синхронизированном виде с точки зрения конфигурации, политик безопасности и операционного управления. 

Теперь NSX Federation поддерживает репликацию тэгов виртуальных машин между local managers, что позволяет виртуальным машинам при восстановлении после сбоя сохранить нужные политики безопасности. Также в NSX-T 3.2 есть мониторинг состояния каналов коммуникации между global и local manager.

Улучшения настройки сети и операций

В этой категории VMware сделала 4 основных улучшения:

1. Улучшенное развертывание NSX

Теперь администраторы могут развернуть NSX-T manager и различные сценарии networking and security напрямую из клиентов vSphere. Также есть guided workflows, которые упрощают развертывание NSX Manager и настройку политик.

2. Упрощенное развертывание для NSX Advanced Load Balancer 

Установка NSX Advanced Load Balancer (ALB) теперь стала проще за счет тесной интеграции с NSX Manager. Вы можете использовать графический интерфейс NSX Manager для установки и настройки контроллеров NSX Advanced Load Balancer, после чего запустить ALB UI для настройки расширенных параметров. Также появились возможности по миграции своего решения по балансировке с NSX for vSphere на VMware NSX Advanced Load Balancer с использованием Migration Coordinator.

3. Поддержка vRealize Network Insight Support для NSX-T Federation and Firewall

Тесная интеграция между vRealize Network Insight 6.4 и NSX-T Federation позволяет улучшить сетевую видимость между разными датацентрами на базе NSX-T на разных уровнях: глобальном, региональном и уровне локального сайта. Новые возможности позволяют оптимизировать производительность и просмотр сетевых потоков VM-to-VM как в рамках одного сайта, так и между сайтами в рамках федерированной топологии. vRealize Network Insight 6.4 теперь поддерживает  NSX-T Distributed Firewall (DFW) на распределенных порт-группах (Distributed Port Groups, DVPG), что дает дополнительные возможности анализа незащищенных потоков трафика, возможности безопасности, такие как Name Space (NS) groups, а также правила распределенного фаервола на существующих группах vSphere VLAN DVPG.

4. Улучшения сетевого мониторинга и механизма решения проблем

Новые функции Edge и L3 time-series monitoring позволяют получить представления во времени для метрик Edge и L3, такие как использование CPU, памяти, диска, пакетов в секунду, байтов в секунду, packet drop rate и многое другое в NSX Manager. Это позволяет сетевым администраторам получать больше данных для анализа в историческом контексте. Функции Live Traffic Analysis в NSX Manager дают возможность производить оперативную диагностику и решение проблем в плане состояния кластера, компонентов управления, федерации, состояния транспортных узлов, distributed firewall, Edge, VPN, NAT, Load Balancing и платформы NSX Application Platform. 

Компания VMware сообщает пользователям, что разобралась с проблемой, которая появилась в компоненте веб-сервера Apache Software Foundation log4j Java logging, а значит и во многих продуктах VMware. Эта уязвимость описана в CVE-2021-44228 - атакующий, который имеет доступ к отсылке логов (к отсылке самих сообщений или к настройке их параметров), может исполнять код, полученный с LDAP-серверов, когда настройка message lookup substitution включена. Это уязвимость типа "zero-day", а значит исправление ее еще находится в процессе.

Надо понимать, что поскольку проблема с log4j касается веб-серверов, то вам надо позаботиться о защите не только управляющих компонентов виртуальной инфраструктуры VMware, но и виртуальных и физических машин.

Итак, вот какие ресурсы помогут вам защититься от этой уязвимости:

• VMware Security Advisory VMSA-2021-0028 (главное описание проблемы и путей ее решения)
• VMSA-2021-0028 Questions & Answers (вопросы и ответы)
• VMSA-2021-0028 & Log4j: What You Need to Know (источник этого поста)
• VMware Communities Thread On CVE-2021-44228 (место, где можно задать вопросы по этой теме)
• Tips for Patching VMware vSphere & Cloud Infrastructure (практические советы по патчингу)
• VMware vSphere Security Configuration Guide (основной документ о безопасности vSphere)

Для инфраструктурного ПО VMware нужно просто убедиться в том, что у вас установлен соответствующий патч или апдейт, который не старше версии, указанной в таблице по первой ссылке:

Увы, для многих продуктов исправлений еще нет, они в процессе выпуска, поэтому до момента их накатывания следует озаботиться применением воркэраундов из рекомендаций VMware, ссылки на которые также приведены в таблице. Да, пока придется править реестр и конфигурационные файлы.

Помните, что уязвимость критическая и имеет оценку 10 из 10 по методике CVSS 3.1 (remote code execution, RCE), поэтому надо проверить все компоненты инфраструктуры уже сегодня, особенно те, что смотрят в интернет. Самым простым способом для злоумышленника будет посылка кода со страницы логина атакуемого сервиса, так как все такие действия логируются.

Ну и есть положительный момент - в облачных инфраструктурах, таких как VMware Cloud on AWS, эти проблемы уже устранены, но на стороне онпремизных облаков или небольших сервис-провайдеров они все еще могут быть.

VMware продолжает свою кампанию по раскрутке решения Avi Vantage Platform, которое было приобретено вместе с компанией Avi Networks пару лет назад. В хорошо оформленной мини-книге Multi-Cloud Load Balancing for Dummies на 48 страницах рассказывается о том, как с помощью Avi Vantage Platform можно осуществлять мультиоблачную балансировку на уровне приложений в гибридных средах.

Сейчас типичная инфраструктура крупных предприятий представляет собой комбинацию онпремизных и облачных сервисов, между которыми обеспечивается миграция виртуальных машин и приложений в контейнерах, построенных в концепции микросервисов:

Ранее для балансировки нагрузки использовались аппаратные модули, главным недостатком которых было отсутствие гибкости - их тяжело было обновлять и настраивать, и они просто не успевали реагировать на изменения инфраструктуры и технологий. Поэтому вендоры перешли на программные балансировщики. Но проблема в том, что они были построены на базе все той же старой архитектуры, где, помимо той же проблемы с гибкостью решений, была еще и проблема автоматизации операций, ведь основные решения для крупных датацентров эти фазы уже прошли:

Из книги вы узнаете вот о каких аспектах мультиоблачной балансировки приложений:

• Консистентная доставка сервисов в мультиоблачной среде
• Гибкое автомасштабирование сервисов по запросу
• Автоматизация операций по доставке приложений
• Мониторинг происходящего в реальном времени и сервисы аналитики
• Возможность предоставить разработчикам функции самообслуживания
• Упрощение управления инфраструктурой безопасности
• Модернизация доставки микросервисных приложений

Скачать книгу Multi-Cloud Load Balancing for Dummies можно по этой ссылке.

Компания VMware на сайте проекта Labs сделала доступной новую версию платформы виртуализации ESXi ARM Edition 1.7. Напомним, что это специальная версия гипервизора VMware, предназначенная для процессоров ARM (на их базе построена, например, архитектура Raspberry Pi, а также многие IoT-устройства). Также этот гипервизор в будущем найдет свое применение в таких платформах, как Project Monterey. О прошлой версии ESXi для ARM мы писали вот тут.

Давайте посмотрим, что нового появилось в ESXi ARM Edition 1.7:

• Экспериментальная поддержка платы Quartz64 от Pine64.
• Поддержка драйвера VMware SVGA (теперь он совместим с платой Fusion on AS, где исправлены многие ошибки)
• Монитор виртуальных машин, который поддерживает архитектуру NUMA, что улучшает производительность на двухсокетных машинах Ampere Altra.
• Улучшенная совместимость для систем без IORT.
• Исправлены проблемы с производительностью в гостевых ОС с новыми ядрами Linux, такими как Debian 10 и Photon 4.
• Добавлено распознавание ядра Cortex-A55.
• Улучшенная обработка TLBI в мониторе виртуальных машин и в VMkernel.
• Улучшения обработки одновременных базовых операций в гипервизоре.

Скачать VMware ESXi ARM Edition 1.7 можно по этой ссылке.

Компания VMware на днях выпустила новую версию флагманской платформы для виртуализации и доставки виртуальных ПК и приложений Horizon 8 2111. Напомним, что формат версий для продуктов Horizon Server, Horizon Client, Horizon Agent и Horizon Console указывается в формате YYMM. Например, эта версия от ноября 2021 года - 2111. О прошлой версии 2106 мы писали вот тут.

Давайте посмотрим, что именно нового появилось в Horizon 8 2111:

1. Более предсказуемая поддержка Horizon

Теперь клиентам VMware дается 30-дневный бесплатный период по истечении оплаченного периода Horizon, чтобы пользоваться услугами техподдержки, пока руководство занимается вопросом продления лицензий. Также появился релиз Extended Service Branch (ESB) Maintenance Release, который расширяет поддержку Horizon 8 2111 до 36 месяцев. Ну и прямой апгрейд с версий ESB 7.10.3 и 7.13.1 теперь полностью поддерживается. За более подробной информацией можно обратиться к KB 86744.

2. Улучшение эффективности и безопасности мгновенных клонов (Instant Clones)

Технология мгновенных клонов позволяет развертывать персонализированные десктопы на базе эталонного образа. Теперь администраторы могут указать, где именно будут развернуты эти клоны, включая подмножество на уровне пула. Образы можно проверить еще до того, как раскатывать их на уровень всего пула, что позволяет соблюсти гранулярность развертывания в целях тестирования.

Второе улучшение - это более глубокая интеграция между сервисами Horizon и Carbon Black, что дает дополнительные возможности безопасности для VDI-окружений. Carbon Black в фоновом режиме сканирует на вирусы и вредоносное ПО эталонный образ связанных клонов, еще до того, как из него начинают развертываться десктопы.

После того, как сканирование закончено, у образа появляется статус "ready to clone". Вот как это работает:

3. Оптимизация Windows для виртуального окружения

Многие из вас знают про очень полезную утилиту Windows OS Optimization Tool for VMware Horizon, которая предназначена для подготовки гостевых ОС к развертыванию и проведению тюнинга реестра в целях оптимизации производительности, а также отключения ненужных сервисов и запланированных задач.

Теперь эта утилита официально стала частью решения VMware Horizon. Она выполняет функции оптимизации эталонного образа, устраняя ненужные примочки из Windows, чтобы десктопы были более легковесными и работали быстрее. Также теперь появилась поддержка Windows 11 и Windows Server 2022.

4. Улучшенный траблшутинг с функцией Events Filtering

Каждое действие, совершенное в инфраструктуре Horizon, попадает в базу данных. В новом релизе появилась возможность более гранулярной фильтрации событий в консоли Horizon Console - теперь можно выбирать кастомный диапазон дат, а также применять дополнительные критерии фильтрации, такие как серьезность, модуль события, источник и многое другое. Администраторам теперь не нужно делать запросы к базе данных - встроенный функционал позволяет легко получить доступ к данным событий.

5. Улучшенная безопасность пользователей и решение проблем с помощью VMware Horizon Recording

Многим администраторам Horizon известна утилита Horizon Session Recording, которая теперь называется VMware Horizon Recording и стала частью Horizon. Данная утилита предназначена для записи пользовательских сессий и активности в виртуальных десктопах и приложениях. С помощью Session Recording администратор Horizon имеет возможность перенаправить запись экрана сессий пользователей, сделанных в определенное время, на центральный сервер, где потом он может воспроизвести их в HTML5-консоли. Саму сессию в виде видеофайла можно скачать как MP4 для воспроизведения в локальном плеере.

Вот как это работает:

6. Поддержка нескольких экранов для Samsung Desktop Experience (DeX)

7. Решение Microsoft Teams теперь доступно для Google Chrome OS и HTML Access 

Технология Microsoft Teams Optimization теперь была добавлена в клиент Horizon Chrome и HTML Access. Это позволяет полноценно использовать Teams на хромбуках для видеозвонков, получая отличное качество картинки и аудио. Можно использовать браузеры Chrome или Microsoft Chromium Edge. Полный список поддерживаемых фич Teams можно найти в Release Notes.

8. Улучшенная производительность и уменьшенное использование канала кодеком Blast

В Horizon 8 2111 на 17% была улучшена плотность сессий на хост RDSH, которая достигла 88. Также на 10% была улучшена плотность сессий Windows Virtual Desktops (WVD) - их может быть до 37. Кроме того, были сделаны некоторые оптимизации использования CPU, а кодек Blast теперь потребляет на 9.5% меньше пропускной способности канала.

9. Независимость версий клиента и агента

Обычно версии клиента и агента должны были соответствовать друг другу, чтобы работать корректно. Теперь же между ними нет тесной связи, так как они могут отличаться на плюс-минус одну версию. Это дает больше пространства для тестирования инфраструктуры при ее апгрейде.

10. Защита виртуальных ПК и приложений от кейлоггеров на клиенте для Mac

Теперь на Mac-клиенте работает антикейлоггер, который не позволяет вредоносному ПО записывать нажатие клавиш, что может привести к угону паролей с клиентов.

11. Улучшенная работа для приложений по запросу

Приложения, доставляемые с помощью технологии App Volumes, позволяют пользователям быстро получать доступ к новым установленным приложениям за счет подключения виртуальных томов в реальном времени. В этом релизе App Volumes доставляет только те приложения, которые нужны конечному пользователю.

Поэтому администратор может назначить только необходимые ему приложения, которые устанавливаются по запросу от пользователя, из списка доступных приложений. Это приводит к ускорению времени загрузки, а также не дает пользователю доступ к тем приложениям, которые ему не нужны.

Вот как это работает:

12. Хранение пользовательских профилей в облаке Microsoft OneDrive for Business

Теперь VMware Dynamic Environment Manager (DEM) интегрирован со службами Microsoft OneDrive for Business, что позволяет хранить профили пользователей на их собственных хранилищах OneDrive. Это позволяет легко и гибко использовать профиль, доступный напрямую из публичного облака, и не использовать SMB-ресурсы компании.

Более детально об этой возможности рассказано в документе DEM Installation Guide.

Скачать пробную версию VMware Horizon 8 2111 можно по этой ссылке. Release Notes доступны тут.

На днях компания VMware обновила свое облачное решение VMware vRealize Log Insight Cloud. Напомним, что это решение предназначено для аналитики лог-файлов и мониторинга инфраструктуры в облаке. О прошлой версии этого продукта мы писали вот тут.

Давайте посмотрим, что появилось нового в декабрьском обновлении vRLI Cloud:

1. Расширение локаций, где доступен продукт

Теперь Log Insight Cloud можно получить в регионе Asia Pacific (Tokyo, Japan).

Таким образом, полный список доступных регионов выглядит так:

• US West (Oregon)
• Europe (London, Frankfurt)
• Canada (Central)
• Asia Pacific (Sydney, Singapore)
• South America (Sao Paulo)
• Asia Pacific (Tokyo, Japan)

2. Загрузка локальных логов в облако

Часто администраторы загружают лог-файлы своей онпремизной инфраструктуры в облако во время пробного периода, для этого и предусмотрели данную возможность. Можно загружать файлы в формате .log и .txt и 10 файлов одновременно (до 10 МБ каждый).

3. Интеграция с AWS Lamba и HashiCorp Vault

Новая возможность интеграции с функциями платформы AWS Lambda теперь позволяет перенаправить логи CloudWatch, CloudTrail и многих других сервисов в Log Insight Cloud. Если вам нужна дополнительная безопасность по хранению учетных данных, то можно использовать функции интеграции с защищенным хранилищем учетных данных HashiCorp Vault.

4. Новые функции аудита событий через VMware Cloud Services Content Pack 2.0

Дополнительные аудируемые события контент-пака были добавлены для того, чтобы соблюсти регуляторные требования платформы VMware Cloud Service Portal (CSP). Теперь в VMware Cloud Services Content Pack 2.0 есть следующие новые события:

• Access Request Raised by Org Members
• Access Request Raised by Non Org Members
• Entitlement Request for Org Member Cancelled
• Entitlement Request for Non Org Member Cancelled
• Entitlement Request Actions
• Entitlement Request Approval Actions
• Violation Policies Updated
• Entity Violations Count Update OAuth App
• Entity Violations Count Update API Token
• Advance Features Toggled

5. Поддержка SSL для Cloud Proxy

Cloud Proxy получает логи и информацию о событиях из разных источников мониторинга и отправляет эти данные в vRealize Log Insight Cloud, которые уже дальше запрашиваются и анализируются. Теперь эти логи могут пересылаться по защищенному каналу SSL.

6. Алерты об изменении статуса форвардинга логов

Теперь по почте можно получать оповещения о следующих событиях:

• Log Forwarding Disabled Temporarily – перенаправление логов отключено на несколько следующих минут, ввиду обнаружения слишком большого количества ошибок на источнике. 
• Log Forwarding Disabled – перенаправление логов отключено постоянно из-за невозможности установить соединение.

Попробовать vRealize Log Insight Cloud в виртуальной тестовой лаборатории и запросить пробную версию в облаке VMware Cloud on AWS можно по этой ссылке.

Компания VMware продолжает поддерживать своих облачных партнеров, которые предлагают своим пользователям услуги аренды виртуальных машин. Мы уже писали о новостях для сервис-провайдеров на прошедшей конференции VMworld 2021, а сегодня расскажем еще об одном анонсе - возможность предложения пользователям услуг Tanzu Standard Edition.

Начиная с 25 ноября, провайдеры получили доступ к VMware Tanzu Standard - платформе, которая позволяет разработчикам развертывать и поддерживать свою инфраструктуру контейнеризованных приложений в кластерах Kubernetes. Теперь это возможно и в облаке посредством интеграции решений VMware Tanzu Standard и VMware Cloud Director (пока поддерживается версия 10.2), что позволяет создать инфраструктуру Kubernetes as-a-Service (KaaS) для мультиоблачных сред.

Теперь сервис-провайдеры имеют выбор между инфраструктурой Tanzu Kubernetes Grid, построенной на собственном дистрибутиве Kubernetes от VMware, и полностью интегрированном сервисе на платформе vSphere. Управлять всем этим можно через консоль Tanzu Mission Control.

Вот какие сервисы теперь могут предлагать провайдеры своим клиентам:

• Создание кластеров K8s
  • Развертывание кластеров
  • Служба VMware Storage service для окружений разработчиков
  • Библиотека контента (Content library) для версий Kubernetes
  • Сетевой сервис для K8s-кластеров, включая балансировку нагрузки (NSX ALB Basic), сервисы NAT и другое
  • Плагин для интерфейса Antrea Container Networking Interface (CNI)
  • Сервисы обслуживания жизненного цикла через Cluster API
• Операции с кластерами K8s
  • Привязка и управление CNCF-совместимыми кластерами K8s
  • Централизованный доступ и управление политиками
  • Служба vSphere Pod Service
  • Служба Image Registry на базе Harbor для управления версиями в контейнерном окружении
  • Возможности мониторинга состояния рабочих нагрузок через Fluent Bit, а также Prometheus и Grafana для мониторинга самой платформы
  • Управление на базе vCenter
  • Резервное копирование и восстановление пространств имен, а также запланированный бэкап
  • Возможности аудита системы и произошедших событий, включая срез кластера по производительности
  • Возможность загрузить opensource-пакеты для мониторинга через Fluent Bit, а также службу image registry через Harbor и Calico CNI

Больше интересного о решении Tanzu Standard Edition для сервис-провайдеров можно узнать на следующих ресурсах:

• Tanzu Standard Solution Brief
• VMware Tanzu Editions – Tanzu Standard
• VMware Developer Ready Cloud
• VMware Tanzu Blog

На сайте проекта VMware Labs обновилась полезная для администраторов VMware vSphere утилита VMware DRS Sump Insight до версии 2.1. Напомним, что это портал самообслуживания, куда пользователи могут загружать файлы дампов DRS. После этого будет выведена информация об операциях по перемещению виртуальных машин, которые рекомендует выполнить механизм балансировки нагрузки DRS. О прошлых версиях этой утилиты мы писали тут и тут.

В новой верси не так много нововведений:

• Добавлена поддержка дампов VMware vSphere 7.0 Update 2 и Update 3
• Минорные улучшение интерфейса и бэкенда
• Исправления ошибок

Напомним также о специальном плагине на базе HTML5 к vSphere Client для данного сервиса. Он добавляет функции утилиты DRS Dump Insight в интерфейс vSphere Client, работающего с сервером vCenter Server Appliance (vCSA).

Скачать VMware DRS Sump Insight 2.1 можно по этой ссылке.

Компания VMware объявила о выпуске технологического превью продукта Application Transformer for VMware Tanzu, который позволяет еще больше сократить разрыв между виртуализацией на уровне контейнеров и инфраструктурой серверной виртуализации.

Теперь с помощью этого решения можно упростить имплементацию стратегии 5R для модернизации корпоративных приложений: rehost, replatform, refactor, retain, retire. Начать можно с концепции replatform, которая предполагает миграцию приложений в корпоративную среду контейнеров, которая делает прозрачным и более гибким процесс развертывания и эксплуатации различных сервисов.

Application Transformer for Tanzu предназначен для решения следующих задач, касающихся legacy-приложений:  

• Discovery – утилита сканирует виртуальные машины, собирая структуру директорий, пулов ресурсов, имена приложений и процессов. Далее на основе этого выстраивается топология приложений датацентра.

• Analysis – на базе собранной детальной информации, с учетом имеющихся бизнес-требований, администраторы и менеджеры датацентра решают, каким приложениям надо мигрировать в контейнеры и в каком порядке.

• Transform – Application Transformer for Tanzu создает OCI-compliant образы контейнеров для Linux-based приложений посредством простого мастера, также в процессе поддерживаются такие сервисы, как Oracle WebLogic Server и Apache Tomcat. Выходные артефакты Kubernetes, такие как YAML-файлы, позволяют пользователям быстро развертывать образы контейнеров в кластерах VMware Tanzu Kubernetes.

Application Transformer for Tanzu работает без агентов поддерживает множество типов приложений (в базе есть более 200 сигнатур) и глубокий анализ содержимого ВМ. В список входят не только большие корпоративные приложения, такие как WebLogic и Tomcat, но и разнообразные generic Java-приложения. Утилита может получить имя приложения, состав его процессов, размещение на диске и другое.

Сам продукт использует VMware vCenter API для получения доступа к ВМ на платформе vSphere или VMware Cloud on AWS. За счет интеграции с решением VMware vRealize Network Insight, Application Transformer for Tanzu может использовать диаграмму потоков vRealize Network Insight для автоматического создания end-to-end топологий, что важно для визуализации взаимосвязей приложений.

Далее, если администратор принял решение о переводе приложения в кластер Kubernetes, Application Transformer for Tanzu предоставляет процесс на базе мастера, который автоматизирует задачи контейнеризации, такие как создание docker-файлов, генерацию образов контейнеров, сохранение их в нужный репозиторий, а также создание YAML-манифестов Kubernetes для приложений на базе Linux. Затем, если нужно развернуть приложение, можно использовать команду Kubectl для пуша OCI-образа на платформу VMware Tanzu Kubernetes.

Вот какие основные премущества дает Application Transformer for Tanzu:

• Holistic view – создание визуальных топологий через CLI/API, используя метаданные компонентов приложений и проанализированные связи между ними. 
• Efficiency through automation – уменьшение ручных операций за счет глубокой интроспекции в ВМ, создания инвентаря объектов и маппинга ВМ в рамках топологий.
• Flexibility – Application Transformer for Tanzu позволяет пользователям выбрать действия в рамках R-фреймворка на базе скоринга приложений.
• Increased agility and speed to market – Application Transformer for Tanzu уменьшает время и уменьшает затраченные ресурсы на модернизацию старых приложений, которых в больших компаниях довольно много. Также утилита уменьшает и время на ввод в эксплуатацию старых и новых приложений в унифицированную среду контейнеров.

Более подробно о VMware Application Transformer for Tanzu можно почитать на странице продукта. Application Transformer for VMware Tanzu доступен как для облачной инфраструктуры VMware Cloud on AWS, так и для онпремизной VMware vSphere. Для системных интеграторов будет доступен бесплатный NFR-ключ.

Продолжаем рассказывать об анонсах компании VMware, которые были сделаны на онлайн-конференции VMworld 2021, прошедшей этой осенью. Сегодня мы поговорим о новостях, касающихся облачных партнеров по программе Cloud Provider, которые, в свою очередь, предоставляют виртуальную инфраструктуру в аренду из облака конечным пользователям.

1. Выпуск новой версии Cloud Director 10.3

Об этом мы уже рассказывали вот в этой статье. Напомним, что Cloud Director - это основная система управления облаком, которую используют сервис-провайдеры.

Если вы еще более детально хотите узнать о новых возможностях новой версии этой платформы, посмотрите презентацию VMware Cloud Director [MCL2167].

2. Обновление VMware Cloud on Dell EMC

Доля Dell EMC на рынке оборудования для сервис-провайдеров виртуальных инфраструктур составляет 29%, поэтому VMware постоянно делает улучшения в этой сфере. С помощью VMware Cloud Foundation пользователи могут обслуживать онпремизное облако совместно с командой VMware SRE в режиме 24/7, точно так же, как это происходит и в публичных облаках, таких как VMware Cloud on AWS.

Поставщиков решений VMware Cloud on Dell EMC можно найти через VMware Cloud Partner Navigator, а обо всех последних новостях по продуктовой линейке VxRail можно узнать из доклада MCL2768S конференции VMworld.

Также теперь VMware Cloud Director поддерживается с инфраструктурой VMware Cloud Foundation, работающей на аппаратной платформе Dell EMC VxRail - таким образом, VMware поддерживает весь стек программно-аппаратных решений для построения полноценного частного облака Enterprise-уровня с поддержкой multi-tenancy:

Все это управляется через VMware Cloud Foundation SDDC Manager, а архитектура VCF/VxRail - по-сути, единственная на сегодняшний день для частных облаков, которая полностью поддерживается на всех программных и аппаратных уровнях. Более подробно об этом можно почитать здесь.

3. Расширение списка cloud endpoints.

Теперь через VMware Cloud Director и VMware Cloud Director Availability доступно еще больше интеграций для мультиоблачных сред:

Cloud Director теперь поддерживает Dell EMC vxRail под управлением VMware Cloud Foundation для публичных и частных облаков, также есть endpoint для VMware Cloud on Dell EMC (полностью управляемое со стороны VMware решение).

Кроме того, Cloud Director теперь может управлять службами Google Cloud VMware Engine в качестве endpoint для масштабирования рабочих нагрузок в облаке. Это позволяет получить возможности Google Cloud Platform для корпоративных пользователей, которые используют Cloud Director для управления мультиоблачными средами. Пока это решение находится в статусе технологического превью, но доступ к нему уже можно запросить по почте ask_cloud_director_service@vmware.com.

4. Адаптер Cloud Director для vRealize Automation

Теперь пользователи онпремизного продукта VMware vRealize Automation могут получить преимущества облачного решения VMware Cloud Director, соединив свою инфраструктуру с инфраструктурой провайдера.

5. Обновление продукта VMware Cloud Provider lifecycle Manager до версии 1.2

Теперь с помощью VMware Cloud Provider lifecycle Manager 1.2 (VCPLM) можно автоматизировать рутинные операции жизненного цикла пользователей, разрабатывая свои сценарии развертывания, обслуживания и списания систем, что позволяет сотрудникам сервис-провайдеров сосредоточиться на более высокоуровневых операциях.

6. Обновление VMware Cloud Provider Navigator

Количество предлагаемых облачных сервисов через этот портал продолжает расти, а пользователи могут получить все более персонализированные и комплексные услуги от своих поставщиков:

Более подробно об этом средстве рассказано в презентации MCL1421 прошедшего VMworld.

7. On-Demand DRaaS для VMware Cloud Disaster Recovery

Теперь службы VMware Cloud Disaster Recovery позволяют производить восстановление после сбоев по запросу (On-Demand Disaster Recovery) напрямую в облако to VMware Cloud on AWS, что повышает спектр услуг, которые провайдеры могут предложить своим клиентам.

VMware Cloud Disaster Recovery обеспечивает оркестрацию процесса создания реплик на хранилищах S3 Cloud, а также реализацию процесса восстановления инфраструктуры на стороне VMware Cloud on AWS с сохранением показателя RPO равного 30 минутам.

Здесь пользователям доступны immutable-резервные копии с поддержкой шифрования, а также forever incremental копии в целях экономии пространства, за которое пользователь платит только по мере заполнения новых емкостей.

Для использования VMware Cloud Disaster Recovery понадобятся 2 MSP-контракта - на сервис и на публичное облако VMware Cloud on AWS. К сожалению, пока решение VMware Cloud Disaster Recovery не совместимо с VMware Cloud Director.

Сценарии на картинке ниже показывают, как облачные провайдеры могут предлагать сервис аварийного восстановления в публичное облако своим клиентам:

Как мы видим, тут доступны различные комбинации решений, включая замену существующей схемы, а также сосуществование с текущими endpoint-конфигурациями. На схеме обозначения читаются так:

• VMC on AWS – VMware Cloud on AWS
• VCD – VMware Cloud Director
• VCDA – VMware Cloud Director Availability
• VCDR – VMware Cloud Disaster Recovery

8. Возможность миграции VMware NSX Data Center for vSphere на VMware NSX-T Data Center

Так как поддержка VMware NSX Data Center for vSphere заканчивается 16 января 2022 года, все партнеры должны перевести рабочие нагрузки на VMware NSX-T. При этом могут переезжать как окружения на базе Cloud Director, так и без него - все ресурсы, описывающие этот процесс, доступны. Основной инструмент для этого переезда - это VMware NSX Data Center for vSphere to VMware NSX-T Data Center migration tool.

Если сервис-провайдер не хочет переезжать, он может купить Extended Support pack, но работать он будет только до 16 января 2023 года. Более подробно о процессе миграции написано вот тут, а также вот в этой статье на блогах VMware.

Аналитическая компания Gartner выпустила отчет "2021 Magic Quadrant for Hyperconverged Infrastructure Software", отражающий ситуацию на рынке гиперконвергентной инфраструктуры. Это такая инфраструктура, где все ее вычислительные ресурсы, системы хранения и сети виртуализованы и собраны в единую интегрированную сущность и управляются из одной точки.

Компания VMware заняла в этом квадранте место лидера (надо отметить, что учитывались не только онпремизные, но и облачные HCI-инициативы), расположившись рядом со своим главным конкурентом в этой сфере - компанией Nutanix:

Может показаться, что многие вендоры гиперконвергентных решений просто сошли с дистанции за пару лет. Давайте взглянем на тот же квадрант за 2018 год, где были решения от HPE, Dell EMC и Cisco:

Но дело совсем не в этом, просто поменялась методика определения игроков - теперь в квадрант добавляют только тех вендоров, которые предоставляют интегрированное решение для гиперконвергентной инфраструктуры на базе серверов, а значит оттуда убрали Cisco, Dell EMC, HPE, Huawei и Red Hat. Более подробно об этом вы можете почитать здесь.

VMware занимает место в квадрате лидеров заслуженно, несмотря на то, что не занимается производством аппаратного обеспечения. Очевидно, что в гиперконвергентной среде сложно построить инфраструктуру на базе одного вендора, поэтому в любом случае нужны решения для виртуализации и агрегации ресурсов.

Приятно также видеть среди ведущих HCI-производителей компанию StarWind Software, флагманским продуктом которой в HCI-сфере является программно-аппаратное решение StarWind HyperConverged Appliance (HCA), о котором мы писали вот тут.

Скачать отчет 2021 Magic Quadrant for Hyperconverged Infrastructure Software можно по этой ссылке.

Как все из вас знают, не так давно компания VMware выпустила обновление своей серверной платформы виртуализации vSphere 7 Update 3. Мы писали также о нововведениях в отношении хранилищ, обновлении 3a, новых возможностях продукта vSAN 7 U3 и обновлениях vCenter и vSphere Client.

Сегодня мы поговорим об улучшениях в плане производительности платформы VMware vSphere 7 Update 3, о которых рассказано в обновившемся недавно документе "What’s New in Performance for VMware vSphere 7?". О похожем документе о производительности платформы vSphere 7 Update 2 мы писали в начале осени тут.

Давайте посмотрим, что нового в vSphere 7 U3 в плане производительности:

1. Масштабируемость виртуальных машин

Теперь максимальные параметры ВМ, доступных в vSphere выглядят так:

2. Оптимизации рабочих нагрузок, чувствительных к задержкам

Гипервизор VMware ESXi был еще больше оптимизирован, чтобы быстрее исполнять приложения, чувствительные ко времени отклика и задержкам (ultra-low-latency applications), уменьшены jitter и interference для приложений реального времени. Для этого было сделано множество оптимизаций в плане обработки прерываний. Чтобы воспользоваться этой функцией (low-latency mode) ее надо включить в BIOS машины.

3. Технология vSphere Memory Monitoring and Remediation (vMMR)

Размер памяти DRAM влияет на 50-60% стоимости самого сервера. При этом 1TB DRAM - это уже 75% этой стоимости. Поэтому VMware давно борется с этим, и одна из возможных оптимизаций здесь - использование Intel Optane Persistent Memory Mode, когда железо использует DRAM как кэш и представляет PMem как основную память системы. PMem более дешевая технология, но имеет побольше задержки (latency).

С помощью vSphere Memory Monitoring and Remediation (vMMR) можно следить за работой памяти в режиме Intel PMem Memory Mode и получать алерты когда ESXi исчерпывает память DRAM, что может привести к падению производительности сервера.

4. NVMe over TCP/IP

В релизе vSphere 7.0 была анонсирована поддержка технология NVMe over Fabrics, где первоначально поддерживались только протоколы FC и RDMA. Теперь же поскольку SSD-хранилища продолжают набирать популярность, а транспорт Non-Volatile Memory Express (NVMe) стал стандартом для многих типов систем, в vSphere 7 Update 3 появилась поддержка и NVMe over TCP, которая позволяет использовать стандартную инфраструктуру TCP/IP, оптимизированную под Flash и SSD, для трафика хранилищ. Это поможет в некоторых случаях существенно сэкономить на оборудовании при поддержании высокого уровня производительности.

Больше подробностей о производительности VMware vSphere 7 вы найдете в документе "What’s New in Performance for VMware vSphere 7?".

Многие из вас заметили, что на сайте VMware обновление vSphere 7 Update 3 пока не скачать. При входе на страницу загрузки VMware vSphere показывают красное предупреждение, которое говорит о том, что проблема нового апдейта весьма серьезная:

Скачать VMware vSphere 7 Update 3 и ее компоненты сейчас нельзя.

Ситуация продолжается уже 5 дней, а VMware не дает конкретных сроков устранения проблемы. При этом пользователям, которые уже провели апгрейд до vSphere 7 Update 3, 3a или 3b - неясно пока, что делать. Нам в комментариях уже писали о том, что сталкиваются с серьезными проблемами при апгрейде на U3 и после этого.

Основная информация о возникшей проблеме приведена в KB 86398. Там можно узнать, что вся линейка Update 3 была отозвана из-за критических проблем, описанных в KB 86287 и KB 86281.

Прямо скажем - проблем этих много, и просто удивительно, как все это прошло выходной контроль при выпуске релизов третьего пакета обновлений. Это и выпадение в PSOD, и проблемы апгрейда с прошлых версий, и проблемы со стабильностью vSphere HA, и другое:

Следим за развитием событий, FAQ в KB 86398 не дает никакой ясности по планируемому времени исправления проблемы. Пользователям, обновившимся до vSphere 7 Update 3, не рекомендуют откатываться до предыдущей версии, если они не сталкиваются с серьезными проблемами в функционировании инфраструктуры.

Помните, любое обновление продуктов VMware надо проводить только по прошествии нескольких недель, в течение которых нужно следить за появившимися сообщениями о серьезных багах. Эта ситуация повторяется из релиза в релиз, а опытные пользователи vSphere к такому образу действий уже привыкли.

Некоторые Enterprise-администраторы знают, что у VMware есть такой сервис Skyline, предназначенный для проактивного получения рекомендаций по технической поддержке продуктов линейки VMware vSphere, включая vSAN. В частности, с помощью VMware Skyline пользователи и инженеры технической поддержки VMware (Technical Support Engineers, TSEs) могут просматривать некоторые заключения о работе виртуальной инфраструктуры и основные рекомендации по ее улучшению.

Skyline Advisor Pro построен на базе ранее существовавшего продукта Skyline Advisor, который доступен пользователям подписок Production и Premier, vRealize Cloud Universal, а также Success 360. С помощью этого решения пользователи могут получать проактивную аналитику для своей виртуальной инфраструктуры в целях идентификации текущих и будущих проблем. Оно поддерживает не только продукты vSphere, vSAN, NSX, vROps и Horizon, но и среды Cloud Foundation и Dell EMC VxRail.

Давайте взглянем на новые возможности этого продукта.

1. Теперь Skyline Advisor Pro работает быстрее.

В Skyline Advisor Pro реализован движок ускоренного анализа инфраструктуры, понимания необходимости обновлений и отслеживания изменений. Теперь вместо 48 часов в прошлой версии, сбор проблемных моментов и изменений inventory занимает 4 часа, что позволяет быстрее реагировать на инциденты и удобнее планировать активности администраторов по решению проблем (картинка - кликабельный gif):

2. Улучшения движка аналитики

Теперь Skyline Advisor Pro дает больше инсайтов об окружении, например, появился новый раздел End of Life Insights. В нем показывается, когда ваши развернутые решения больше не будут поддерживаться (окончание фаз General Support и Technical Guidance) в плане выпуска патчей, апдейтов и багофиксов. Эта возможность часто запрашивалась пользователями, чтобы дать возможность планирования своевременных апгрейдов виртуальных сред.

Кликните на картинку, чтобы открыть gif:

3. Функция Historical Insights

С помощью исторических данных Historical Insights администраторы могут ассоциировать некоторые ключевые события в своем окружении (например, изменения конфигурации) с рекомендациями, которые были сгенерированы в этот отрезок времени. Это позволяет в ретроспективе оценить полезный эффект от применения рекомендаций.

Посмотрите, как это работает (картинка кликабельна):

4. Функция Proactive Insights Report for Success 360

Она доступна только пользователям подписки Success 360 и предоставляется отдельной командой ИТ-специалистов VMware. Отчеты Proactive Insights генерируются при ее участии и могут быть использованы для регулярных проверок состояния виртуальной среды (там указаны конкретные действия по улучшению, которые были предприняты, а также еще имеющиеся рекомендации).

Также в этих отчетах доступно поле Resolution Type, которое определяет примерный объем усилий, которые нужно приложить для исправления проблемы. Например, применение некоторых рекомендаций не требует перезагрузки и их можно сгруппировать в единый пакет, применив который можно уже переходить к более "тяжелым" рекомендациям.

Ну и полезной также является возможность оставлять комментарии и пожелания о том, что планируется или хотелось бы сделать, чтобы совместно корректировать траекторию по оптимизации инфраструктуры (картинка кликабельна):

5. Новый Insights API

Теперь Skyline Advisor Pro предоставляет Insights API, который предоставляет данные Findings и Recommendations через программный интерфейс для любых сторонних решений в вашей инфраструктуре. Например, данные Findings можно отправить в Slack или создать тикет в ITSM-системе на базе информации, предоставленной Skyline Advisor Pro. Вот как это работает (кликните на картинку):

Также о работе Insights API есть отдельное видео:

Более подробно о продукте и сервисах VMware Skyline Advisor Pro можно узнать на этой странице.

Ежегодный VMware vForum Russia возвращается. Впервые он пройдет в гибридном формате, то есть офлайн и онлайн!

25 ноября все желающие бесплатно могут посетить мероприятие VMware vForum - встречайтесь офлайн в Москве в отеле отель InterContinental и онлайн – по всему миру! Конференция пройдет на русском языке.

VMware vForum – это лучший повод, чтобы встретиться и обсудить последние тренды ИТ-отрасли, а также узнать о последних новинках, представленных на глобальной конференции VMworld.

Вас ждет много интересного:

• 4 тематических блока – ИТ-инфраструктура и мультиоблачные среды, модернизация приложений, “работа где угодно”, сети и безопасность
• Истории заказчиков из различных отраслей в формате панельных дискуссий
• Выступления от ведущих экспертов VMware и топовых амбассадоров ИТ-рынка
• Онлайн трансляция на все регионы
• Розыгрыш призов

Скачать полную программу мероприятия вы можете по этой ссылке.

Зачем вам следует посетить vForum:

• Найти контент, который подходит именно вашей специализации
• Прокачать свои знания современных трендов в области цифровизации бизнеса
• Получить консультации и назначить личные встречи с экспертами VMware
• Получить помощь при выборе решения, которые подходят именно для вашей компании в том объеме и формате как вам необходимо

Регистрируйтесь на VMware vForum в Москве бесплатно здесь.

Компания VMware обещала большие новости о своем пакете решений vRealize True Visibility и вот недавно их объявила: теперь 19 менеджмент паков для вычислительных ресурсов и хранилищ доступны для всех пользователей продукта vRealize Operations. Также произошли некоторые изменения в самом пакете vRealize True Visibility Suite, а также были выпущены новые модули vRealize True Visibility Technology Modules, лицензируемые на базе метрик.

1. Management Packs для вычислительных ресурсов и хранилищ.

Теперь пользователи vRealize Operations получают доступ к 19 пакетам vRealize True Visibility Suite, которые позволяют получить доступ к глубоким метрикам, число которых превышает 1000.

Также пользователи получают новые детализированные дэшборды и статистики в реальном времени, которые помогают решать проблемы на всех уровнях оборудования.

Вот пример дэшборда, который отображает состояние дисковых массивов от разных вендоров в едином представлении Operations:

В данном случае удобно, что массивы представлены на одном экране с соответствующими Scoreboards, которые легко сравнивать между собой.

Все менеджмент паки vRealize True Visibility для Operations доступны по этой ссылке. А о том, как их устанавливать, вы можете узнать из большой серии обучающих видео, доступной на YouTube.

Вот ссылки на все менеджмент паки, которые вы можете использовать:

Также на ресурсе VMware Code доступны примеры дэшбордов, которые можно использовать в своем производственном окружении.

2. Изменения в пакете vRealize True Visibility Suite.

Издания vRealize True Visibility Suite Advanced и Enterprise были немного переработаны, чтобы соответствовать ожиданиям пользователей. Теперь Management packs перемещены из категории "Connectors", а менеджмент пак ServiceNow перемещен в vRealize True Visibility Suite Advanced. Вот наглядное представление изменений:

Если у вас есть издание vRealize True Visibility Suite Advanced, то вы можете уже сейчас загрузить менеджмент паки с VMware Customer Connect. Также можно ознакомиться с документацией по этим продуктам.

3. Новые модули vRealize True Visibility Technology Modules

Для тех пользователей, которые хотят расширить возможности своей инфраструктуры мониторинга за счет модулей vRealize True Visibility Technology Modules, теперь есть возможности добавить их из разных категорий: Connectors, Network, Virtualization/Containers, Database и Applications. Каждый из модулей лицензируется на базе метрики, определенной для данной категории (по числу объектов, устройств, виртуальных машин и т.п.).

Вот так выглядит полная экосистема доступных модулей:

Скачать 60-дневную пробную версию vRealize True Visibility Suite можно по этой ссылке.

В начале осени, в рамках прошедшей конференции VMworld 2021 Online, компания VMware представила свое виденье развития концепции виртуализации и агрегации хранилищ корпоративных инфраструктур - Federated Storage Platform (FSP).

Проблема современного подхода к организации хранилищ состоит в том, что аппаратные комплексы в датацентре представлены разными моделями, производителями, а также поколениями в рамках одной продуктовой линейки. Ввиду этого администраторам приходится разрабатывать набор административных регламентов по обслуживанию жизненного цикла таких хранилищ - ввод в эксплуатацию, развертывание новых сервисов, обеспечение высокой доступности и план по изменению емкостей - вывод устаревших систем и расширение существующих емкостей. Ко всему этому добавляются Day-2 Operations и обеспечение безопасности хранения данных виртуальных и физических сред.

Как итог - корпоративная инфраструктура предприятия не может обеспечить те же преимущества, что и унифицированная облачная среда, которая избавляет администраторов от заботы об оборудовании и, в частности, хранилищах.

Проблему отчасти решает подход к организации гиперконвергентной инфраструктуры (Hyperconverged Infrastructure, HCI), например, концепция HCI Mesh. Но этого было недостаточно, и VMware запустила радикальную инициативу - Federated Storage Platform (FSP) - решение, которое приведет к унификации операций онпремизных и облачных сред в плане хранилищ за счет их виртуализации и агрегации.

С помощью VMware FSP можно будет управлять любым числом хранилищ разных вендоров, с которыми работает любое количество управляющих серверов vCenter:

Здесь будет 2 ключевых сущности:

• Common volumes - это новый слой представления ресурсов хранения от гетерогенных кластеров vSAN, томов vSphere Virtual Volumes дисковых массивов, а также NFS-массивов. Все это будет объединено на уровне пулов.
• Data center control plane - новый слой управления инфраструктурой хранения на базе эластичных пулов с возможностью полного доступа к имеющимся емкостям. Все это позволит видеть ресурсы хранения как в облаке, безотносительно имеющихся моделей массивов и топологий.

FSP будет полностью интегрирован в уже имеющимся механизмом политик хранения SPBM (vSphere Storage Policy Based Management), предоставляя гибкие пулы хранения для уровня приложений на базе их потребностей. Платформа VMware vSphere будет выступать как один из потребителей ресурсов в рамках этой концепции.

Для обеспечения различных уровней сервиса будут работать расширенные политики FSP, такие как квоты на емкости и ограничения по производительности, чтобы обеспечить ярусность хранения и работы с данными.

В рамках FSP процесс добавления или списания хранилищ будет бесшовным, то есть не вовлекать физическую коммутацию, которая будет выводиться за рамки процесса управления единым пулом хранилищ. Например, FSP может автоматически обнаружить новое уже подключенное хранилище, после чего добавить его в общий federated пул и начать балансировку нагрузок посредством VMware vSphere Storage vMotion.

Сейчас администраторам приходится вручную выполнять операции SVMotion для ввода новых хранилищ в эксплуатацию и их вывода, а FSP будет делать все это автоматически в "lazy"-режиме, чтобы обеспечивать уровень производительности виртуальной среды.

FSP будет интегрирована с драйвером vSphere CSI в Kubernetes, а также технологией CNS (Cloud Native Storage). Разработчики смогут потреблять дисковые емкости в рамках классов через FSP, а администраторы получать полную видимость использования таких хранилищ на уровне всего датацентра.

Сейчас решения VMware vSphere with VMware Tanzu и TKG-S VMware Tanzu Kubernetes Grid могут развертывать рабочие нагрузки в рамках пространств имен кластера, а FSP даст возможность развернуть приложения на любом хранилище в любом кластере на базе любых доступных политик.

Сейчас с помощью x-vMotion виртуальную машину можно перемещать между кластерами и разными инфраструктурами vSphere. FSP расширит эти возможности, позволяя виртуальным машинам и контейнеризованным приложениям свободно "путешествовать" между кластерами, инфраструктурами и пространствами хранения - при этом под полным контролем управляющего слоя.

Получить больше информации об инициативе можно из записи этой ссессии с прошедшего VMworld 2021 Online: VMware’s vision for storage and data in a multi-cloud world.

В начале октября компания VMware представила платформу Tanzu Community Edition. Это такой бесплатный open source дистрибутив VMware Tanzu, который поддерживается со стороны открытого сообщества, а устанавливается за считанные минуты на локальную рабочую станцию или в облаке.

Появление Tanzu Community Edition - это часть стратегии VMware по популяризации своего решения для работы с кластерами Kubernetes среди инженеров, которые могут осваивать эту платформу бесплатно, а потом уже переходить на коммерческие решения, если у компаний появляется в этом необходимость.

Многие инженеры знают, что различные компоненты инфраструктуры Kubernetes не так-то легко развернуть и начать использовать (например, взгляните на инфографику Cloud Native Computing Landscape), поэтому VMware в решении Tanzu Community Edition сделала упор на простоту развертывания и эксплуатации компонентов, сохраняя при этом Enterprise-возможности решения.

Эта экосистема содержит набор проверенных решений, которых вам будет достаточно для организации доставки сервисов Kubernetes в контейнеризованных приложениях, а также мониторинга этой инфраструктуры.

Самый важный момент тут в том, что эту среду, которую сейчас вы используете для экспериментов и первых развертываний, потом можно будет перевести на коммерческие издания VMware Tanzu без каких-либо потерь.

Tanzu Community Edition - это полностью бесплатное open source решение, которое не ограничено ни с точки зрения использования ресурсов, ни с точки зрения функциональности. В нем нет ограничений по времени использования и недоступных функций, которые открываются при покупке полной версии решения - продукт можно использовать сразу и в производственной среде.

Если вам не хочется проводить процедуры по развертыванию компонентов, то VMware предлагает попробовать Tanzu Community Edition в песочнице. Также для администраторов доступны обучающие материалы с ресурсов KubeAcademy и Tanzu Developer Center. Ну и, конечно же, не надо забывать об образовательном потенциале самого сообщества вокруг бесплатного продукта.

За несколько минут можно развернуть Tanzu Community Edition на платформе VMware vSphere, в публичном облаке (например, Amazon AWS), либо вообще на локальной рабочей станции.

Очевидно, что основное назначение Tanzu Community Edition в бесплатном варианте - это эксперименты, обучение администраторов, подготовка к сертификациям по Kubernetes и прочее, но для создания первых компонентов инфраструктуры контейнеров приложений этого будет вполне достаточно.

Скачать VMware Tanzu Community Edition можно по этой ссылке. Ну а о том, как начать развертывать и использовать данную платформу, написано вот в этой статье блога VMware.

Update: вот еще отличное видео о том, как начать работу с VMware Tanzu Community Edition:

Какое-то время назад мы писали о возможностях платформы виртуализации VMware vSphere 7 Update 3, где появилось немало всего нового. Но, помимо заметных нововведений, было сделано немало и небольших улучшений, которые влияют на удобство использования vSphere Client для управления серверами VMware vCenter.

Давайте посмотрим на интерфейс рекомендаций VMware DRS в VMware vSphere 7 Update 2 и ниже, который находится вот тут: Cluster UI > Monitor > DRS Recommendations:

Видно, что интерфейс был так себе, поэтому в Update 3 его переделали:

Теперь в гриде мы видим список действий для данной рекомендации, появились элементы Select All и Clear Selection, ну и в целом все стало выглядеть намного приятнее.

Также это хорошо смотрится и в темной теме vSphere Client:

Кроме того, было улучшено и окно настройки механизма Proactive HA. Раньше оно выглядело вот так:

Это было довольно ненативно - нясно, включен ли соответствующий провайдер, и какие условия для него работают. Теперь же отдельным переключателем включается провайдер:

А когда он включен, соответствующими переключателями можно настраивать условия отказов:

При этом доступны и операции над всеми переключателями - Block All и Unblock All.

На самом деле, подобные улучшения происходят часто и в минорных релизах VMware vSphere - команда UI в VMware постоянно старается сделать жизнь администраторов проще и приятнее.

Этой осенью мы писали о новых возможностях флагманской платформы виртуализации компании VMware - vSphere 7 Update 3 и Update 3a. При этом мы забыли рассказать о новой версии платформы для создания отказоустойчивых хранилищ VMware vSAN 7 Update 3. Сегодня мы закроем этот пробел.

Итак, вот какие новые возможности были добавлены в VMware vSAN 7 Update 3:

1. Cluster Shutdown

Эта функция позволяет вам погасить все хосты кластера для проведения обслуживания, даже в том случае, если они исполняют серверы vCenter. Для начала процедуры выключения хостов нужно выбрать пункт "shutdown cluster" из контекстного меню кластера и запустить двухшаговый мастер.

На первом этапе пройдут предпроверки, которые убеждаются в том, что в данный момент нет активных задач ресинхронизации, отсутствуют хосты в режиме обслуживания, служебные ВМ выключены и другое:

2. Поддержка vLCM для виртуального модуля Witness Appliance

Теперь жизненной цикл виртуальной машины Witness Appliance в кластере можно обслуживать с помощью vSphere Lifecycle Manager (делать апгрейд и прочее).

3. Функции Skyline Health Correlation

С помощью возможности Skyline Health Correlation пользователи, которые видят множество срабатывающих в кластере алармов, понимают, что им нужно сделать. В vSAN 7 U3 можно понять корреляцию между событиями и сделать вывод о наиболее вероятной проблеме. Далее уже можно приступать к поиску корневой причины.

4. Возможность IO Trip Analyzer

IO Trip Analyzer - это средства, которые позволяют посмотреть информацию о задержках (latency) на каждом из уровней в форме диаграммы. Вот небольшой обзор этого инструмента от Дункана Эппинга:

5. Вложенные домены отказа Nested Fault Domains для 2-узловых кластеров

Домены Nested Fault Domains для 2-узловых кластеров предназначены для пользователей, которые хотят получить устойчивую к отказам конфигурацию на базе всего двух хостов ESXi. Для этого нужно иметь как минимум 3 дисковых группы на хост на каждом из узлов, после чего создается массив RAID-1 между этими двумя хостами, а также RAID-1 внутри каждого из хостов (можно также использовать RAID-5, если у вас достаточное количество дисковых групп). Если упадет один из хостов ESXi, а потом и еще один из дисков на выжившем хосте - то виртуальные машины все равно продолжат работать.

6. Функции Enhanced Stretched Cluster Durability

Мы уже писали о возможностях Enhanced Data Durability для кластеров vSAN, позволяющих еще больше защитить кластер хранилищ от аварий и сбоев, которые могут происходить не в один момент, а друг за другом на протяжении некоторого времени.

Теперь функции Enhanced Stretched Cluster Durability позволяют обработать ситуацию, когда отказывает одна из площадок растянутого кластера, а после этого и компонент Witness сторонней площадки. В этом случае ВМ растянутого кластера ранее оказывались недоступны, потому что последовательно происходил отказ двух из трех компонентов RAID растянутого кластера. В случае одновременного отказа сайта и компонента Witness происходила блокировка второго сайта и для обеспечения консистентности данных и защиты от ситуации Split Brain. Теперь же происходит обработка и ситуации последовательного отказа сайта и Witness.

В этом случае обеспечивается строгая консистентность данных виртуальных машин, так как упавший сайт может лежать достаточно долго.

Если все дисковые объекты виртуальных машин сохранились на работающей площадке, то даже в случае недоступности Witness все виртуальные машины продолжат свою нормальную работу. Более подробно об этой возможности Дункан рассказал вот тут.

7. Механизм Access Based Enumeration для SMB-шар через службы vSAN File Services

До vSAN Update 3, если пользователь имел доступ к SMB-шаре, то он мог просматривать список всех ее каталогов. Теперь же с помощью Access Based Enumeration для служб vSAN File Services пользователь видит только назначенные ему папки.

Посмотреть полный список новых возможностей VMware vSAN 7 Update 3 можно в Release Notes, а загрузить продукт можно по этой ссылке.

Также в комментариях поделились полезным видео от русской команды VMware, где рассказывается не только о новых возможностях vSAN 7 Update 3, но и о нововведениях vSphere и Tanzu в новом апдейте:

Недавно мы писали об обновлении на сайте проекта VMware Labs пакета Community Networking Driver for ESXi до версии 1.2.2, который представляет собой комплект нативных драйверов под ESXi для сетевых адаптеров, подключаемых в разъем PCIe. На днях на сайте Labs вышли обновления еще двух пакетов драйверов.

1. NVMe Driver for ESXi версии 1.2

Это набор драйверов для ESXi, которые позволяют поддерживать различные хранилища на базе технологии NVMe. Надо понимать, что community-драйверы не входят в официальный список поддержки VMware HCL, поэтому использовать их можно только в тестовых средах. О прошлой версии мы писали вот тут, а в новой версии нововведение только одно - поддержка ESXi 7.0 и более новых версий гипервизора для устройств Apple NVMe (это Apple 2018 Intel Mac Mini 8.1 или Apple 2019 Intel Mac Pro 7.1).

Скачать пакет драйверов Community NVMe Driver for ESXi 1.2 можно по этой ссылке.

2. USB Network Native Driver for ESXi версии 1.9

Это нативный USB-драйвер для ESXi, который необходим для сетевых адаптеров серверов, подключаемых через USB-порт. Такой адаптер, например, можно использовать, когда вам нужно подключить дополнительные Ethernet-порты к серверу, а у него больше не осталось свободных PCI/PCIe-слотов. О прошлой версии этих драйверов мы писали вот тут.

В версии пакета драйверов 1.9 появились следующие нововведения:

• Добавлена поддержка ESXi 7.0 Update 3
• Добавлена поддержка VID: 0x0b05/PID: 0x1976 и VID: 0x1A56/PID: 0x3100 (VID=VendorID, PID = ProductID)
• Исправлена проблема с функциями управления питанием для xHCI
• По умолчанию функция USB bus scanning отключается (настройка usbBusFullScanOnBootEnabled=0), чтобы не вызывать розовый экран смерти (PSOD) для пользователей, которые используют несколько карточек USB NIC.

Таблица поддерживаемых устройств теперь выглядит так:

Скачать USB Network Native Driver for ESXi версии 1.9 можно по этой ссылке (не забудьте корректно указать вашу версию ESXi при загрузке).

На сайте проекта VMware Labs появилось еще одно полезное средство для администраторов виртуальной инфраструктуры - vSphere Diagnostic Tool. Оно представляет собой python-скрипт, который запускает диагностические команды на виртуальном модуле Photon OS (на его базе построен, например, vCenter Server Appliance), а также в перспективе это будет работать и в среде VMware ESXi.

Основное назначение данной утилиты - дать администраторам быстрое средство траблшутинга, которое они могут использовать для первичной идентификации наиболее распространенных проблем. Если все проверки пройдут успешно, то дальше уже можно более глубоко изучать логи и проводить дополнительные тесты.

Интересно, что данный продукт уже был протестирован во внутренней команде поддержки VMware, которая опробовала его на реальных пользователях.

Для vCenter Server Appliance 6.5 или более поздней версии можно выполнить следующие тесты:

• Базовая информация о vCenter
• Проверка Lookup Service
• Проверка AD
• Проверка сертификатов vCenter
• Проверка основных файлов (Core File)
• Проверка диска
• Проверка vCenter DNS
• Проверка vCenter NTP
• Проверка портов vCenter
• Проверка аккаунта Root
• Проверка служб vCenter
• Проверка механизма VCHA

В качестве результатов будет выдан один из статусов Pass/Warning/Fail, а также для статусов Warning и Fail выводятся ссылки на статьи KB, которые могут пригодиться для решения проблем в данной категории.

Команда заявляет, что в бэклоге проекта еще более 100 планируемых фич, поэтому следите за обновлениями скриптов. Скорее всего, данное средство включат в будущем в состав инфраструктурных продуктов линейки VMware vSphere для проверки виртуальных модулей на базе Photon OS (а это уже почти все продукты, построенные на базе хостовой ОС Linux, вроде vCSA).

Скачать vSphere Diagnostic Tool можно по этой ссылке.