Продолжаем нашу серию статей о продукте номер 1 - vGate R2, который необходим для защиты виртуальных инфраструктур VMware vSphere. Напомним, что продукт позволяет автоматически настроить среду виртуализации (хост-серверы и ВМ) в соответствии с регламентами и стандартами информационной безопасности, а также защитить инфраструктуру от несанкционированного доступа. Сегодня мы поговорим об администрировании продукта со стороны службы ИБ предприятия.
Компания VMware продолжает свою серию летне-осенних релизов. После выпуска VMware vSphere 5 и других сопутствующих продуктов для серверной инфраструктуры, компания обновила свою настольную платформу виртуализации, выпустив VMware Workstation 8 (см. тут и тут о предыдущих версиях).
VMware Workstation 8 включет в себя следующие новые возможности и улучшения:
Remote Connections - В VMware Workstation 8 появились возможности соединения с виртуальными машинами, которые исполняются не только в Workstation (причем не только на своем ПК), но и с ВМ на хостах VMware vSphere под управлением VMware vCenter (то есть, можно подцепить vCenter прямо в окружение Workstation и управлять его виртуальными машинами).
"Share" VMs - В Workstation 8 пользователи могут предоставлять общий доступ к своим виртуальным машинам при работе в группах (тестирование, разработка ПО), что предоставляет дополнительные возможности коллективной работы (есть оснастка "Shared VMs").
Upload to vSphere - В Workstation 8 появилась возможность загрузки виртуальной машины со своего ПК на сервер с VMware vSphere, что может быть полезно для развертывания разрабатываемого сервиса на ПК в виртуальной корпоративной среде предприятия (или в "облаке"). Поддерживается drag&drop виртуальных машин в иерархию vSphere.
New User Interface - Пользовательский интерфейс был значительно переработан, появились вякие "красивости" в части меню, анимированных иконок, улучшенных экранов настройки. Также появилась "библиотека виртуальных машин" с расширенными возможностями поиска (не только по своему рабочему столу, но и на других хостах с Workstation и vSphere).
Improved Virtual Machine Capabilities - Появилась поддержка HD со звуком 7.1, поддержка стандарта USB 3 и устройств Bluetooth. Кроме того, присутствует множество улучшений в компонентах virtual SMP (можно включать-выключать поддержку Virtual VT-X/EPT и AMD-V/RVI), увеличилась производительность 3D-графики, а также появилась возможность создания виртуальных машин с 64 ГБ памяти. Теперь поддерживается работа 64-битных гостевых ОС, запущенных как виртуальные машины на виртуальном ESXi (двойная виртуализация).
Скачать VMware Workstation 8 можно по этой ссылке. Полный список новых возможностей доступен здесь.
Один из наших читателей обнаружил интересную особенность VMware VSA при установке в триальном режиме:
Скачивал триальную версию, ключ не дали, нигде. Но, ведь все продукты работают без каких-либо ключей 60 дней, и нигде не написано, что для VSA это не так, даже наоборот - при инсталляции пишется, что без ввода ключа должен установиться и работать в триальном режиме. Я склоняюсь, что VSA глючит... может, русскоязычный Windows не нравится.
Это действительно проблема - на форумах уже попадались точно такие же вопросы от других людей, пока без ответов.
Когда мы ставили VMware VSA, то просто ввели партнерский ключик, и все заработало. А у вас, читатели, такой проблемы нет? Все работает в триальном режиме? Отпишитесь, плз, если есть такая же проблема.
Еще один интересный момент о VSA. Мы уже писали, что есть конфигурации VSA с двумя и с тремя хостами VMware ESXi. В частности, вот пример реализации с двумя хостами:
Однако, суть здесь в том, что в этом случае VMware vCenter у вас должен быть физический, а не в виртуальной машине, поскольку по своей сути кластер трехузловой. Более подробно можно почитать об этом в KB 2004834 (Running vCenter Server in a virtual machine within a VSA cluster is not supported).
То есть нужен либо физический vCenter, либо хост ESXi, не входящий в состав VSA-кластера, c vCenter в виртуальной машине.
И последнее о VMware VSA. Если вы все-таки планируете покупку VMware vSphere Essentials Plus и продукта дополнения VSA, у компании VMware сейчас есть хорошее промо - эти два продукта вместе существенно дешевле, чем по отдельности (есть отдельная позиция в прайсе). Это получается даже чуть дешевле, чем покупать vSphere 4 + vCenter VSA Addon. Так что имейте в виду (а покупайте у нас).
На прошедшей конференции VMworld 2011 компания Veeam Software традиционно представляет свои новинки в сфере средств управления виртуальной инфраструктурой и традиционно побеждает. В этот раз ребята из Veeam рассказывали о новом продукте Veeam Backup and Replication 6, который будет продолжателем традиций продукта номер 1 для резервного копирования виртуальных машин.
Во-первых, появилось новое видео, описывающее основные нововведения Veeam Backup and Replication 6:
Во-вторых, прояснился состав и список новых возможностей Veeam Backup and Replication 6. Он стал более полным:
Enterprise scalability: улучшенная архитектура продукта позволит производить развертывание в удаленных офисах и филиалах, а также для больших инсталляций. Теперь появятся несколько backup proxy для крупных окружений, которые будут распределять между собой нагрузку в процессе резервного копирования, а управлять процессом будет Veeam Enterprise Manager. Также будет увеличена производительность для резервного копирования, репликации и восстановления по WAN-каналам.
Advanced replication: в некоторых случаях скорость репликации вырастет до 10 раз, а также появится Failback (обратное восстановление после возобновления работы отказавшего хоста с ВМ) с возможностью синхронизации дельты (различия данных с момента отказа основной машины) с момента последнего отказа (Failover). Кроме того, будет поддерживаться репликация в thin provisined-диски на целевой сервер. Это сильная заявка на победу над VMware SRM 5 (в издании Standard) для небольших компаний, где серверов не много и нужно укладываться в небольшие бюджеты.
Multi-hypervisor support: полная поддержка Windows Server с ролью Hyper-V и Microsoft Hyper-V Server, а также возможность управления резервным копированием для гипервизоров разных производителей из одной консоли. Одна и та же инсталляция Veeam Backup позволит делать резервные копии и с VMware vSphere, и с Microsoft Hyper-V. При этом лицензирование также единое - один пул лицензий Veeam вы можете распределить между лицензиями на процессоры для хостов ESXi и Hyper-V.
Numerous enhancements, including 1-Click File Restore: расширение возможностей по восстановлению отдельных файлов гостевых ОС с возможностью делегирования полномочий по восстановлению с веб-интерфейсом, без необходимости иметь прямое соединение с ВМ, а также без агента в гостевой ОС. С помощью 1-Click File Restore можно зайти в Enterprise Manager, выбрать нужный файл и восстановить туда, откуда он был удален. При этом есть разделение ролей - есть тот, кто может файл восстановить (helpdesk), а есть тот, кто открыть.
Создание реплик базового образа. Видимо это будет сделано для окружений VMware View, там это сейчас весьма актуально.
Поддержка Changed Block Tracking для Hyper-V. Впервые на арене. Такого еще не было для Hyper-V. Нам обещают до двадцатикратного ускорения резервного копирования.
Режим SplitRx mode, который позволяет увеличить производительность сетевого взаимодействия для некоторых нагрузок
Функция VMX swap, которая уменьшает резервирование памяти для ВМ
Миграция vMotion по нескольким сетевым адаптерам (vmknics)
В документы присутствуют следующие темы:
Выбор оборудования для развертывания vSphere
Управление электропитанием
Настройка ESXi 5 для улучшения производительности
Настройка гостевой ОС для улучшения производительности
Настройка vCenter 5 и его базы данных для улучшения производительности
Производительность vMotion и Storage vMotion
Производительность Distributed Resource Scheduler (DRS) и Distributed Power Management (DPM)
Компоненты High Availability (HA), Fault Tolerance (FT) и VMware vCenter Update Manager
Документ обязателен к прочтению администраторам средних и крупных инфраструктур VMware vSphere 5. Кроме того, напомним о следующих новых документах о производительности платформы:
Напомним, что VMware Converter является абсолютно бесплатным решением, позволяющим осуществить P2V-миграцию ваших физических серверов в виртуальную среду, а также перенести виртуальные машины с других платформ (например, Hyper-V).
Новые возможности VMware vCenter Converter Standalone 5.0:
Сохранение LVM-конфигурации томов исходной Linux-машины при ее миграции.
Улучшенный механизм синхронизации, включая запланированный запуск задачи, а также выполнение нескольких задач синхронизации в одной задаче миграции.
Оптимизация выравнивания дисков и разделов + возможность изменения размера кластера ФС.
Передаваемые данные при миграции между исходным сервером и сервером назначения - шифруются.
Поддержка миграции Red Hat Enterprise Linux 6.x (32-bit and 64-bit). Прекращена поддержка Ubuntu 5.x-7.x.
Возможность восстановления VCB-образов.
Поддержка VMware vCenter 5.0 и VMware ESXi 5.0 (что означает поддержку Virtual Hardware версии 8).
Тема мероприятия - как привести вашу инфраструктуру в плане безопасности к защищенной среде, которая будет соответствовать не только отраслевым стандартам, но и требованиям регулирующих органов. Скоро это будет очень важно.
Кстати, по оценочной шкале Anti-Malware продукт vGate R2 получил 9 из 10 баллов и стал победителем конкурса Virtualization Security Group Russia (тот же Deep Security от Trend Micro получил 8,5 баллов). Кстати, мы реально заметили существенное повышение интереса к этому продукту в последнее время.
Компания «Код Безопасности» объявляет об успешном прохождении продуктом vGate-S R2 сертификационных испытаний и получении им сертификата ФСТЭК России, согласно которому продукт может применяться для защиты государственной тайны в автоматизированных системах до класса 1Б включительно. Таким образом, продукт vGate-S R2 стал первым и единственным в России сертифицированным средством защиты государственной тайны от несанкционированного доступа в виртуальной среде.
Так что, в общем, не тупите, покупайте vGate R2 - пригодится. Купить можно через нас.
Мы уже много писали о различных технических аспектах новой версии серверной платформы виртуализации VMware vSphere 5 и особенностях лицензирования, но в этой статье постараемся сделать суммарный обзор функциональности различных изданий продукта, краткое описание состава пакетов ПО (Acceleration Kits и Essentials), а также детально рассмотреть особенности лицензирования.
Многим из вас известно средство номер 1 для защиты виртуальных инфраструктур VMware vSphere - продукт vGate R2 от компании Код Безопасности. У него две основных сферы применения - автоматическая настройка виртуальной среды в соответствии с лучшими практиками и отраслевыми стандартами на базе политик, а также создание инфраструктуры защиты от несанкционированного доступа.
Мы уже много писали о возможностях, развертывании и других аспектах функционирования средства vGate R2, а в этом посте мы постараемся собрать некоторые ответы на часто задаваемые вопросы о продукте со стороны интересующихся безопасностью в своей инфраструктуре VMware vSphere 5.
Q: У VMware есть средство vShield для защиты виртуальной инфраструктуры vSphere, зачем нам vGate R2?
A: Если вы заглянете в эту заметку, вы поймете, что vShield 4.x - это просто средство межсетевого экранирования различных типов, а vGate R2 - это комплексное средство для защиты виртуальной среды vSphere: мы можем настроить всю инфраструктуру в соответств Таги: Security Code, vGate, Обучение, Security, VMware, vSphere, ESX, ESXi
Компания VMware сегодня сделала доступной для скачивания новую версию своей платформы виртуализаци VMware vSphere 5. Надо сказать, что подробности о vSphere 5 появились довольно давно, затем было объявлено, что продукт можно будет скачать 22 августа, но только сегодня, 25 августа, VMware vSphere 5 можно наконец-то скачать.
Напоминаем, что для бесплатного гипервизора VMware ESXi 5 можно использовать максимально 32 ГБ сконфигурированной памяти запущенных виртуальных машин на данном хосте.
Старые версии VMware vSphere по-прежнему остаются доступными для скачивания: 4.1, 4.0
Отдельно можно скачать продукты семейства VMware vSphere на каждой из страниц конкретного продукта (за ссылки спасибо Duncan'у Epping'у):
Надо сказать, что не все компоненты решения доступны для загрузки. Например, VMware vCenter Server Appliance будет доступен для скачивания в течение нескольких дней.
Начать думать о миграции с VMware ESX / ESXi 4.x на VMware ESXi 5 можно с просмотра вот этого видео:
Про VMware Data Recovery 2.0 только нет пока заметки. Вы наверное заметили, что пока нельзя скачать VMware vCloud Director 1.5, VMware Site Recovery Manager 5 и VMware View 5. Это только пока - доступность этих продуктов для скачивания ожидается 1 сентября.
Кстати, по поводу покупки VMware vSphere 5 обращайтесь к нам, в компанию VMC. У нас обязательно будут предложения, от которых вы не сможете отказаться.
В новой версии платформы виртуализации VMware vSphere 5 появилась интересная возможность - Host Cache. Это механизм, который позволяет пользователю vSphere 5 выделить определенное место на локальных дисков хост-сервера ESXi (лучше всего, если это будут SSD-диски) для хранения свопируемых страниц памяти виртуальных машин. Это позволяет существенно увеличить скорость работы файлов подкачки виртуальных машин (vswp), так как они находятся на локальных высокопроизводительных дисках, и, соответственно, увеличить общее быстродействие инфраструктуры виртуализации.
Хорошая и развернутая статья о Swap to Host cache в VMware vSphere 5 есть у Duncan'а Epping'а, а здесь мы приведем основные ее выдержки.
Прежде всего, после установки VMware ESXi 5 хост может не увидеть локальные SSD-хранилища как пригодные для хранения кэша виртуальных машин. Для этого есть вот такой хак от Вильяма Лама. Далее мы идем на вкладку Configuration в vSphere Client и выбираем секцию Host Cache Configuration:
Тут мы можем задать объем дискового пространства на локальном томе VMFS, который мы можем использовать для файлов подкачки виртуальных машин, работающих на этом хосте. После включения этой возможности на этом локальном томе VMFS появится куча vswp-файлов, в которые гостевые ОС виртуальных машин этого хоста будут складывать свои свопируемые страницы памяти.
Поскольку эти своп-файлы находятся только на этом хосте, то при миграции vMotion содержимое страниц памяти из этих файлов надо скопировать на другой хост в его Host Cache или в vswp-файл в папке с виртуальной машиной на общем хранилище. Это, само собой, увеличивает время на миграцию vMotion, и это надо учитывать.
Что касается надежности при отказе хост-сервера, то тут нет проблем - так как при отказе хоста все равно его виртуальные машины перезапускаются на других хостах, то данные из файлов подкачки для ВМ уже не будут нужны.
Наблюдать за использованием Host Cache можно из VMware vCenter 5 с помощью метрик "Swap in from host cache" и "Swap out to host cache" (а также "rate..."). В результатах вывода консольной утилиты esxtop это метрики LLSWR/s и LLSWW/s.
Что будет когда место на локальном свопе Host Cache закончится? Сервер ESXi начнет копировать страницы в обычный vswp-файл, который находится в папке с виртуальной машиной, что само собой повлияет на производительность. Кстати, размер Host Cache можно изменять при работающем хосте и виртуальных машинах, поэтому лучше увеличивать его вовремя, да и в целом не доводить до большого свопа виртуальных машин (то есть, правильно сайзить хосты по памяти для ВМ). К примеру, Duncan рекомендует 128 ГБ SSD-диски в RAID-1 для 128 ГБ оперативной памяти хоста.
Альтернатива Host Cache - это задать параметр VM swapfile location для виртуальной машины в ее настройках, указав, например, локальный SATA или SSD-диск (можно использовать и быстрые общие хранилища).
Те из вас, кто следил за развитием функциональности платформы VMware vSphere, наверняка помнят, что в версии vSphere 4.1 появился такой компонент как Application Monitoring в настройках VMware High Availability (HA):
Этот компонент был реализован с помощью API, который был доступен сторонним разработчикам приложений, и позволял производить мониторинг доступности отдельных приложений в виртуальных машинах, работающих на платформе vSphere 4.1. В случае проблем с приложением (оно не обновляет Heartbeat - сигнал доступности), виртуальная машина перезагружалась.
То есть, эта технология была доступна только партнерам VMware, один из которых, компания Symantec, реализовала эту функциональность в своем продукте ApplicationHA и добавила поддержку распространенных Windows-приложений:
Теперь компания VMware в новой версии платформы VMware vSphere 5.0 решила пойти дальше и сделать механизм Application Monitoring доступным для всех.
Теперь у Application Monitoring есть свой SDK, в котором есть следующая утилита:
markActive - это функция, вызываемая со стороны приложения, которая вызывается каждые 30 секунд, что говорит о том, что приложение еще "живет". Если она прекратит вызываться, это будет означать что виртуальную машину надо перезагрузить.
isEnabled - проверить статус Application Monitoring.
getAppStatus - проверить статус защищаемого приложения.
То есть, теперь ваши разработчики, используя Java или C++, могут сами написать модуль для работы с VMware Application Monitoring в своем приложении, используя следующие функции:
VMGuestAppMonitor_Enable()
VMGuestAppMonitor_MarkActive()
VMGuestAppMonitor_Disable()
VMGuestAppMonitor_IsEnabled()
VMGuestAppMonitor_GetAppStatus()
VMGuestAppMonitor_Free()
Ну и, само собой, можно писать свои скрипты, которые могут мониторить состояние служб и других компонентов. Это отличная новость и хорошая возможность добавить еще один важный уровень высокой доступности в своей виртуальной инфраструктуре.
Компания VMware, чтобы морально и материально подготовить пользователей VMware vSphere 4.x и VMware VI 3 к переходу на новую версию VMware vSphere 5, выпустила специальную утилиту vSphere Licensing Advisor.
Как вы знаете, издания VMware vSphere 5 будут лицензироваться на процессоры, но для каждого процессора будет лицензироваться определенное количество сконфигурированной памяти запущенных виртуальных машин (vRAM).
Если суммарная скинфигурированная память виртуальных машин будет превышать лицензированный пул vRAM - будет выдано предупреждение о необходимости устранения проблемы (то есть закупка дополнительных лицензий этого издания или апгрейд на более высокое издание, позволяющее иметь больше памяти для виртуальных машин на процессор хост-сервера). Для изданий vSphere 5 Essentials и Essentials Plus - такое событие будет не только ограничиваться предупреждением, но и невозможностью запуска виртуальных машин, выходящих за лимиты доступной vRAM.
Считается во времени это просто - в каждый момент времени за последние 12 месяцев величина скользящей средней к суммарной сконфигурированной vRAM виртуальных машин должна быть меньше или равна величине лицензированного пула vRAM (напоминаю, что пул vRAM считается отдельно в рамках каждого издания).
Чтобы помочь пользователям разобраться во всех этих тонкостях лицензирования, и выпущена утилита vSphere Licensing Advisor. Она подсчитывает количество сконфигурированной памяти ваших запущенных виртуальных машин и говорит вам о том, как это отразится на новой модели лицензирования, когда вы сделаете апгрейд на vSphere 5.
Выглядят результаты работы таким образом (кликабельно):
Учитывайте, что если у вас издание Advanced, то результаты будут отображены для издания Enterprise, поскольку издания Advanced уже больше не будет, а все пользователи этого издания получат Enterprise бесплатно (см. тут).
Вы можете поэкспериментировать с утилитой vSphere Licensing Advisor, выключая и включая ваши виртуальные машин и запуская ее снова для получения различных вариантов отчетов.
Скачать утилиту vSphere Licensing Advisor можно по этой ссылке.
P.S. Кстати, утилитой не поддерживаются окружения, где vCenter 4 управляет хостами ESX / ESXi 3.x. Ну и говорят, что там много багов пока в целом.
Как многим известно, компания VMware вместе с анонсом платформы виртуализации VMware vSphere 5 объявила также о выпуске продукта VMware vCenter Server Virtual Appliance, который представляет собой готовую виртуальную машину, реализующую все необходимые сервисы аналогичные VMware vCenter для Windows.
Такой вариант развертывания системы управления виртуализацией несет в себе некоторые преимущества (прежде всего, экономия на лицензии, простота развертывания и обновления), однако несет в себе некоторое количество ограничений, которые могут заставить вас отказаться от его использования.
Прежде всего, vCenter Server Virtual Appliance доступен для загрузки с сайта VMware в формате OVF вместе с обычным vCenter:
Скачав эти файлы, можно приступить к установке vCenter Server Virtual Appliance, на процесс которой можно посмотреть в этом видео:
Вкратце: после импорта OVF коннектимся браузером по адресу:
https://<ip_of_appliance>:5480
И вводим логин root, а пароль vmware.
Перечислим некоторые возможности и особенности vCenter Server Virtual Appliance (vCSA):
Построен на базе SUSE Linux Enterprise Server 11 x64.
После развертывания OVF виртуальная машина создается с 2 vCPU и 8Gb памяти, адаптер SCSI - LSI Logic Parallel, сетевой адаптер - VMXNET 3, диски - 15Gb и 60Gb (VMDKs), VMware Tools установлены.
Включает базу данных DB2, которая вполне хорошо работает до 5 хостов ESXi или до 50 виртуальных машин (то же самое, что и рекомендуется для связки Windows vCenter Server + MSSQL Express).
Поддерживает внешнюю СУБД Oracle для больших инсталляций.
Включает в себя аутентификацию в Active Directory (AD) и Network Information Services (NIS).
Поддержка vSphere Web Client встроена в vCenter Server Virtual Appliance.
Также поддерживается Windows vSphere Client.
Включает в себя преднастроенный сервер Auto Deploy (не надо устанавливать самому).
Может использовать NFS mounts для хранения компонентов vCenter Server Virtual Appliance и лог-файлов.
vCSA может использоваться как syslog-сервер для сбора логов от серверов ESXi.
Может использоваться как сборщик дампов ядра ESXi.
Малое время развертывания - всего 15 минут.
Не требуется лицензии на хостовую ОС.
Простой способ обновления - если внешняя БД Oracle, просто заменяем Appliance, если используется внутренняя база - есть опция импорта данных от прошлой установки.
Патчи можно устанавливать прямо через веб-интерфейс.
Кстати, вот список продуктов VMware, которые поддерживают vCenter Server Virtual Appliance:
vCenter Operations.
vCenter Orchestrator.
vCenter CapacityIQ.
SRM5.
Auto Deploy.
vCenter Update Manager.
vMA.
vSphere Client.
vSphere Web Client.
То есть видим, что штука, вроде бы, неплохая.
Однако давайте взглянем на ограничения vCenter Server Virtual Appliance:
Microsoft SQL в качестве внешней (и, само собой, внутренней) базы - не поддерживается, нужен ODBC driver for Linux.
Не поддерживается vCenter Server Linked Mode, так как он требует поддержки ADAM.
Не работает vCenter Server Heartbeat, который есть только для Windows.
Не поддерживается IPv6.
Нельзя сделать сквозной вход (Single sign-on), используя учетные данные текущей сессии.
Не работает VMware View Composer (технология связанных клонов, Linked Clones).
Нельзя использовать vSphere Storage Appliance – компоненты VSA Manager & VSA Cluster Server есть только для Windows.
Плагин VIX Plugin for vCenter Orchestrator – тоже не будет работать, так как VMware Tools API работает только под Windows.
А теперь подумаем, почему этот vCenter Server Virtual Appliance на данный момент, кроме перечисленных ограничений, не очень хорошая идея:
Неизвестно когда появится поддержка Microsoft SQL. Если встроенной базы не хватит, и у вас нет Oracle, непонятно, что делать дальше.
Версия 1.0 - значит есть куча ошибок и недоработок, а также граблей, на которые вы наступите одним из первых.
Проблемы совместимости - не работает View Composer, а также некоторые другие продукты VMware, которые вам, возможно, понадобятся.
Некоторые надстройки и компоненты не поставляются вместе с vCSA, они дотупны только для vCenter под Windows.
Трудно перенести существующий vCenter в новый vCSA для больших окружений.
Если что-то случается с vCSA - вам придется ковыряться в Linux, а не в Windows.
В итоге, vCenter Server Virtual Appliance - это пока игрушка, чтобы попробовать и потестировать для непроизводственной среды, ну и, возможно, его станут применять небольшие организации, купившие vSphere Essentials и vSphere Essentials Plus для 3 хост-серверов VMware ESXi.
Таги: VMware, vCenter, Virtual Appliance, ESXi, vSphere, Linux
Напоминаю о том, что мы продолжаем дружить с компанией Код Безопасности, которая выпускает самый лучший продукт vGate R2 для защиты виртуальной инфраструктуры VMware vSphere (в том числе на базе ESXi), который имеет сертификат ФСТЭК и даже сертифицирован для работы с данными, представляющими гостайну.
Он выполняет две нужные и важные задачи - позволяет автоматически настроить все компоненты виртуальной инфраструктуры в соответствии в отраслевыми рекомендациями и стандартами, а также защищает инфраструктуру от несанкционированного доступа.
Некоторые из вас знают, что на сайте VirtualizationSecurityGroup.Ru проходил конкурс продуктов в сфере информационной безопасности именно для виртуальных сред. Событие неординарное, учитывая специфику отрасли.
В комиссии экспертов сидело 7 серьезных мужиков и одна наша с вами хорошая знакомая (Маша Сидорова). Все они, а также посетители VirtualizationSecurityGroup.Ru выбирали лучшие продукты. И выбрали.
vGate R2 разработки компании «Код Безопасности» стал победителем Конкурса продуктов сразу в двух категориях: номинации Access control (Контроль доступа) и номинации «Best of Show».
Best of Show - это по голосованию всех, а не только экспертного совета. И еще они сделали прикольный ролик:
Основные критерии оценки продуктов экспертным советом – соответствие заявленным функциональным возможностям, наличие инновационных возможностей, удобство настройки и использования продукта, отсутствие конфликтов при взаимодействии с другими средствами и подсистемами системы управления информационной безопасностью, наличие и виды технической поддержки в России на русском языке, скорость реакции на запросы от Заказчиков, наличие «Историй успеха» и стоимость продукта.
Попробовать бесплатную версию vGate R2 можно по этой ссылке, проверить соответствие вашей инфраструктуры требованиям безопасности бесплатно можно с помощью vGate Compliance Checker тут (вот описание).
Сегодня мы обобщим новости о VMware vSphere 5 и приведем несколько новых интересных фактов. Итак:
1. Новые версии VMware vSphere 5, VMware vCenter 5, а также новый продукт vSphere Storage Appliance (VSA) станут доступными к заказу 22 августа 2011 года. Естественно, по новым ценам. Как можно узнать из нашей статьи, цены на лицензии и поддержку для продуктов поднимаются для России на 20% и будут, в итоге, на 30% выше цен для Северной Америки.
2. Все пользователи VMware vSphere 4.x с действующей поддержкой и подпиской получают VMware vSphere 5 бесплатно. Схема перехода комплектов лицензий на 5.0 такова:
3. Как вы могли заметить из таблицы выше, издание VMware vSphere Advanced упраздняется. Все пользователи VMware vSphere 4.x Advanced с действующей поддержкой и подпиской получают VMware vSphere 5 Enterprise бесплатно. Соответственно, оптимальное решение сейчас - купить VMware vSphere Advanced (или Advanced Acceleration Kit) до 22 августа и после этой даты получить VMware vSphere Enterprise совершенно бесплатно. Подробности тут.
4. Снимаются ограничения на число ядер для всех изданий VMware vSphere 5, но вводятся ограничения по максимальной сконфигурированной памяти запущенных на хосте виртуальных машин в соответствии с количеством памяти, определенной лицензией на базе процессоров. Более подробнее читайте тут.
Самая свежая на данный момент информация о максимальных значениях для vRAM в рамках лицензии для каждого из изданий (кликабельно):
Обратите внимание: информация изменилась, лимиты по памяти увеличились.
Как вы помните, используемую память можно расширить либо закупкой новых лицензий для этого издания, либо апгрейдом текущих лицензий на более высокое издание, позволяющее использовать больше памяти ВМ на физический процессор хост-сервера. Для изданий Essentials и Essentials Plus лимит по памяти расширить никак нельзя (нужно делать апгрейд на новый пакет лицензий Acceleration Kit).
Важный момент - при превышении лимита по памяти для изданий Essentials и Essentials Plus будет невозможно запустить новые виртуальные машины (hard limit), для остальных изданий - просто будет выведен Alert о том, что превышен лимит vRAM (но все продолжит работать в штатном режиме).
Если у вас несколько лицензий для каждого из изданий - пул vRAM считается для каждого издания отдельно.
5. Появляется новая лицензия VMware vSphere 5 Desktop. Эта лицензия для тех, кто не будет использовать VMware View для работы с виртуальными ПК предприятия, а хочет использовать сторонний брокер соединений (например, Citrix XenDesktop). Минимальный объем закупки - 100 виртуальных ПК. При этом неважно сколько хост-серверов VMware ESXi 5 вы будете использовать для этих ПК.
6. Для пользователей, не вдохновившихся новой политикой VMware касательно лицензирования по сконфигурированной памяти, есть возможность даунгрейда на VMware vSphere 4.x с пятой версии. Это возможно и для части лицензий (апгрейд тоже можно сделать не для всех своих лицензий 4.x).
7. Изменился состав пакета VMware vSphere 5 Enterprise Plus Acceleration Kit - он включает в себя лицензии для 6 процессоров (ранее они были на 8 процессоров).
8. Интересная фишка - если ваша ВМ потребляет памяти более 96 ГБ (например, 128 ГБ), то в пуле учета памяти для лицензирования она считается все равно как 96 ГБ.
9. С 22 августа станут недоступны к заказу все поддержки на 2 года. Вот такая штука, да.
10. Будет две интересных промо-программы: промоапгрейд с vSphere 5 Enterprise на vSphere 5 Enterprise Plus (со скидкой) и промопакет vSphere 5 Essentials Plus с продуктом VSA. Об этом напишем отдельно.
Во время установки ESXi 5 установщик имеет несколько опций по сохранению предыдущих настроек VMware ESX и хранилищ VMFS.
Кстати, вот еще несколько мыслей об обновлении хостов с vSphere 4 на vSphere 5. И самая главная мысль - как выйдет ESXi 5 не надо рваться в первых рядах и обновлять хост-серверы, тома VMFS, Virtual Hardware и прочее в своей производственной среде. Подождите хотя бы 2-3 недели пока что напишут о багах и недоделках.
Вот как только вышла vSphere 4 мы поехали к заказчику (немаленькому) ставить ее на демо-стенде. Он выбирал между vSphere и Hyper-V. Мы сделали HA-кластер, начинаем показывать - бах, кластер не заводится после выключения хоста, машинки не стартуют. А оказалось - бага, которую почти сразу после нашего отъезда пофиксили. А заказчик он посмотрел, побурчал и поставил там Hyper-V. Так вот.
Вы уже читали, что в VMware vSphere 5 механизм отказоустойчивости виртуальных машин VMware High Availability претерпел значительные изменения. Точнее, он не просто изменился - его полностью переписали с нуля. То есть переделали совсем, изменив логику работы, принцип действия и убрав многие из существующих ограничений. Давайте взглянем поподробнее, как теперь работает новый VMware HA с агентами Fault Domain Manager...
Таги: VMware, vSphere, HA, Update, ESXi, Storage, vCenter, FDM
Хотим напомнить еще раз, что продукт компании "Код Безопасности" vGate R2 - это лучшее средство для обеспечения безопасности вашей виртуальной инфраструктуры (в том числе, на базе VMware ESXi с сертфикатом ФСТЭК), а также для автоматизированной ее настройки в соответствии с требованиями ИБ.
Теперь пара новостей. Первая:
vGate-S R2 – первое в России сертифицированное средство защиты государственной тайны в виртуальной среде
Компания «Код Безопасности» объявляет об успешном прохождении продуктом vGate-S R2 сертификационных испытаний и получении им сертификата ФСТЭК России, согласно которому продукт может применяться для защиты государственной тайны в автоматизированных системах до класса 1Б включительно. Таким образом, продукт vGate-S R2 стал первым и единственным в России сертифицированным средством защиты государственной тайны от несанкционированного доступа в виртуальной среде.
Что это значит? Это значит, что если ваша организация работает с гостайной, и вы используете VMware vSphere - то у вас просто нет альтернатив, кроме как купить vGate-S R2.
Вторая новость:
Продукт vGate R2 стал победителем первого этапа Конкурса продуктов VirtualizationSecurityGroup.Ru в номинации Access Control
Продукт vGate R2 разработки компании «Код Безопасности» стал победителем первого этапа Конкурса продуктов (в номинации Access control), организованного некоммерческим объединением специалистов Virtualization Security Group Russia и порталом VirtualizationSecurityGroup.Ru.
Следующим этапом конкурса станет открытое голосование на портале VirtualizationSecurityGroup.Ru за видео-ролики, которые подготовили компаний-участники по своим продуктам. Голосование за видео-ролики по продуктам на портале VirtualizationSecurityGroup.Ru продлится десять дней. Победители Конкурса продуктов будут объявлены 4 августа на сайте организатора. По результатам двух этапов организаторы объявят победителей в трех номинациях Конкурса (Access Control, Network Protection, Antivirus/Anti-Malware), а самая оригинальная и интересная видео-презентация будет отмечена в номинации «Best of Show».
В Конкурсе также приняли участие продукты для защиты виртуальных инфраструктур компаний Cisco, HP, Trend Micro, McAfee, IBM, Symantec. Вне Конкурса были представлены продукты компаний ОКБ Сапр, Stonesoft.
Вместе с релизом продуктовой линейки VMware vSphere 5, VMware SRM 5 и VMware vShield 5 компания VMware объявила о выходе еще одного продукта - VMware vSphere Storage Appliance. Основное назначение данного продукта - дать пользователям vSphere возможность создать общее хранилище для виртуальных машин, для которого будут доступны распределенные сервисы виртуализации: VMware HA, vMotion, DRS и другие.
Для некоторых малых и средних компаний виртуализация серверов подразумевает необходимость использовать общие хранилища, которые стоят дорого. VMware vSphere Storage Appliance предоставляет возможности общего хранилища, с помощью которых малые и средние компании могут воспользоваться средствами обеспечения высокой доступности и автоматизации vSphere. VSA помогает решить эти задачи без дополнительного сетевого оборудования для хранения данных.
Кстати, одна из основных идей продукта - это подвигнуть пользователей на переход с vSphere Essentials на vSphere Essentials Plus за счет создания дополнительных выгод с помощью VSA для распределенных служб HA и vMotion.
Давайте рассмотрим возможности и архитектуру VMware vSphere Storage Appliance:
Как мы видим, со стороны хостов VMware ESXi 5, VSA - это виртуальный модуль (Virtual Appliance) на базе SUSE Linux, который представляет собой служебную виртуальную машину, предоставляющую ресурсы хранения для других ВМ.
Чтобы создать кластер из этих виртуальных модулей нужно 2 или 3 хоста ESXi 5. Со стороны сервера VMware vCenter есть надстройка VSA Manager (отдельная вкладка в vSphere Client), с помощью которой и происходит управление хранилищами VSA.
Каждый виртуальный модуль VSA использует пространство на локальных дисках серверов ESXi, использует технологию репликации в целях отказоустойчивости (потому это и кластер хранилищ) и позволяет эти хранилища предоставлять виртуальным машинам в виде ресурсов NFS.
Как уже было сказано, VMware VSA можно развернуть в двух конфигурациях:
2 хоста ESXi - два виртуальных модуля на каждом хосте и служба VSA Cluster Service на сервере vCenter.
3 хоста ESXi - на каждом по виртуальному модулю (3-узловому кластеру служба на vCenter не нужна)
С точки зрения развертывания VMware VSA - очень прост, с защитой "от дурака" и не требует каких-либо специальных знаний в области SAN (но во время установки модуля на хосте ESXi не должно быть запущенных ВМ)...
Как вы знаете, мы очень любим компанию Код Безопасности и продукт vGate R2 для обеспечения защиты виртуальных инфраструктур VMware vSphere, который они выпускают (подробнее тут). Любим мы его не только за то, что он хорошо работает и на отлично справляется как с задачей автоматизированной настройки виртуальной среды в соответствии с требованиями ИБ, так и с задачей защиты от несанкционированного доступа. Мы любим его еще и за то, что у него есть сертификаты ФСТЭК, которые так важны при общении с органами на предмет соответствия ФЗ 152.
Собственно, об этом и первая новость. Как мы уже писали, поскольку VMware vSphere 5 построена только на базе VMware ESXi, Код Безопасности выпустил версию vGate R2 с поддержкой ESXi 4.1 и подал ее на прохождение инспекционного контроля ФСТЭК.
Теперь vGate R2 этот инспекционный контроль успешно прошел:
Новая версия vGate R2 с поддержкой ESXi прошла инспекционный контроль во ФСТЭК России.
Компания «Код Безопасности» сообщает об успешном прохождении новой версии vGate R2 c поддержкой VMware ESXi Server 4.1 инспекционного контроля и подтверждении выданного ранее сертификата ФСТЭК России (№2308) на соответствие требованиям по 4-му уровню контроля отсутствия НДВ и 5-му классу защищенности от несанкционированного доступа.
Ключевыми особенностями новой версии продукта vGate R2 являются: поддержка VMware ESXi Server 4.1 и новые шаблоны безопасности по требованиям ФСТЭК для автоматизированных систем государственного сектора России, по требованиям ФСТЭК к информационным системам персональных данных и по требованиям отраслевого стандарта СТО БР ИББС (РС БР ИББС 2.3-2010). vGate R2 позволяет значительно облегчить приведение виртуальной инфраструктуры VMware, в которой обрабатывается информация ограниченного доступа, не содержащая государственную тайну, в соответствие требованиям отечественных и международных отраслевых стандартов и регулирующих органов России.
Продажа продукта vGate R2 c поддержкой ESXi откроется 1 августа 2011 года.
Скачать сертификат ФСТЭК для vGate R2 можно по ссылке:
Обратите внимание, что покупать сертифицированный продукт vGate R2 можно уже с 1-го августа.
Ну и вторая новость - по данным сайта anti-malware.ru (а это еще и информационно-аналитический центр Anti-Malware) продукт vGate R2 - хорош в плане обеспечения ИБ VMware vSphere. Об этом можно почитать в результатах тестирования продукта у этих ребят на тестовом стенде.
Эксперты Anti-Malware отметили «необходимость использования продукта vGate R2, который позволяет дополнить систему защиты от несанкционированного доступа и контроля выполнения политик информационной безопасности с учетом специфики виртуальной среды». По оценочной шкале Anti-Malware продукт vGate R2 получил 9 из 10 баллов.
Мы уже не раз писали об обновленной линейке продуктов VMware vShield (тут, тут и тут). Вместе с релизом VMware vSphere 5 компания VMware также объявила о выпуске VMware Site Recovery Manager 5 и VMware vShield 5. Сегодня мы поговорим о последнем из перечисленных продуктов.
Итак, давайте взглянем на общую картину решения VMware vShield 5:
Как мы помним, в VMware vShield есть 3 ключевых компонента:
vShield Edge - защищающий периметр датацентра.
vShield App with Data Security - защищающий виртуальные машины на хост-серверах VMware ESXi (контроль трафика по портам и протоколам). Обратите внимание, что появился новый компонент Data Security (его, кстати, будут давать бесплатно ко многим продуктам).
Всеми этими компонентами в той или иной степени управляет VMware vShield Manager, который представляет собой надстройку к VMware vCenter.
Теперь взглянем на список новых возможностей VMware vShield 5 (которые соответствуют потребностям заказчика из левой колонки):
По сути, в vShield 5 появилось 3 новых ключевых возможности. Рассмотрим их детальнее.
1. Система обнаружения конфиденциальных данных для соблюдения стандартов и нормативов.
Эта функциональность реализована в компоненте vShield Data Security 5, который поставляется вместе с vShield App 5 (который, в свою очередь, является виртуальным модулем - Virtual Appliance и работает на каждом хосте ESXi). Это продукт позволяет обнаруживать конфиденциальные данные (таких как информация о банковских картах, личные данные) которые могут быть сохранены внутри документов в виртуальных машинах (это делается за счет технологии Data Loss Prevention от RSA, DLP, которая может выявлять данные из файлов, например, PDF). На базе этого анализа делается заключение о данных, нуждающихся в защите с помощью политик безопасности. Самое интересное, что это делается без агентов.
Далее организации могут выбирать из более 80 шаблонов нормативных требований, таких как PII (личные данные), данные держателей карт PCI-DSS и PHI (защищенные медицинские данные), из различных стран (Северная Америка, Европа, Ближний Восток и Африка, Азиатско-Тихоокеанский регион). России тут нет - для нас есть продукт vGate R2 от компании Security Code.
Эти шаблоны содержат в себе наборы определенных политик безопасности, которые можно применить к хост-серверам ESXi 5 и виртуальным машинам (для каждой отрасли свои требования). Элементы виртуальной инфраструктуры VMware vSphere 5 (datacenter, file share, resource pool, host, VM) можно просканировать на предмет соответствия этим политикам. После этого будет получен детальный отчет о том, какие объекты и в чем именно не соответствуют требованиям стандартов.
Этот механизм имеет собственный API. Далее проблемные виртуальные машины можно исправлять вручную (но это долго и муторно) либо с помощью VMware vCenter Configuration Manager (перед этим эти машины можно поместить в карантин). Российским пользователям лучше использовать продукт vGate R2, сертифицированный ФСТЭК.
2. Возможность карантина виртуальных машин.
В VMware vShield есть возможность интеграции со сторонними виртуальными модулями, в которых реализован механизм обнаружения и предотвращения вторжений (IDS/IPS-системы). Такая система, выявившая подозрительную виртуальную машину, может поместить ее на карантин за счет механизма VMware vShield App 5.
Машины, находящиеся в карантине, полностью изолированы от производственной среды, их можно исследовать и исправлять. После исправления (удаление вирусов, ликвидация угроз, приведение в соответствие политикам ИБ) ее можно вернуть снова в production.
Эта функциональность может быть использована компонентом vShield Data Security, а также сторонними поставщиками ативирусных продуктов через API.
3. Повышение эффективности антивирусных решений.
Помимо функциональности помещения виртуальных машин в карантин, теперь в полную силу заработала технология сканирования виртуальных машин на уровне гипервизора, без агентов, на предмет наличия вредоносного ПО (ранее мы об этом писали). Антивирусное решение, поставляемое в виде виртуального модуля (Virtual Appliance), находится на каждом хосте ESXi 5 и обеспечивает проверку виртуальных машин на вирусы (см. компонент vShield Endpoint), после чего ПО в этом модуле может "лечить" зараженные ВМ после помещения в карантин.
VMware vSphere 5 знает о наличии таких специальных сервисных виртуальных машин, обеспечивающих безопасность, поэтому не перемещает их между хостами за счет технологии DRS.
VMware vShield 5 можно купить по отдельным компонентам (например, vShield App), кроме того, некоторые компоненты vShield 5 идут в комплекте поставки некоторых продуктов VMware (например, VMware View - там идет Endpoint). Также все компоненты vShield 5 можно купить в составе vShield Bundle.
За более подробной информацией обращайтесь в компанию VMC, которая, в том числе, оказывает услуги по внедрению инфраструктуры безопасности для VMware vSphere 5.
Компания StarWind Software, выпускающая самый лучший продукт для создания iSCSI-хранилищ для ваших серверов VMware vSphere и Mirosoft Hyper-V (см. тут и тут), объявила о выпуске решения StarWind Enterprise 5.7, которое предоставляет еще больше возможностей по созданию отказоустойчивых хранилищ (само собой, есть бесплатная версия StarWind 5.7 Free).
Этот релиз StarWind Enterprise 5.7 представляет собой первый шаг по переводу механизма отказоустойчивости хранилищ на новую архитектуру.
Перечислим основные новые возможности StarWind 5.7:
1. Улучшения механизма синхронизации. Теперь отсылка данных между узлами отказоустойчивого кластера происходит в асинхронном режиме. Это означает, что StarWind Enterprise HA теперь работает заметно быстрее. Подробности нового механизма работы HA вы можете прочитать в блоге у Константина, а мы приведем основную суть.
Ранее все работало следующим образом:
Когда iSCSI-пакет приходит на основной узел, он отправляет его на резервный. После того, как резервный узел получает пакет, он посылает iSCSI-команду подтверждения получения блока данных (ACK), только после получения которой основной узел передает ACK инициатору и записывает пакет на диск. Когда iSCSI-команд становилось много, они ставились в очередь и происходили некоторые задержки, поскольку постоянно нужно было совершать эти итерации.
Теперь все работает так (некий гибрид синхронного и асинхронного процессов):
Когда iSCSI-пакет приходит на основной узел, он отправляет его на резервный. И, не дожидаясь ACK от партнера, сразу посылается второй пакет. Когда очередь закончится, и второй узел запишет данные на диск, он отсылает ACK основному узлу, которые его уже передает инициатору. Так все работает значительно быстрее. Ну и защита от потери данных при сбое в канале синхронизации тоже есть.
2. Улучшения High availability. Появилось управление полосой пропускания канала синхронизации (QoS) - теперь можно регулировать приоритезацию трафика при синхронизации HA-узлов, что позволяет не забивать весь доступный канал и не затормаживать доступ к общему хранилищу. Для этого нужно выбрать пункт "Sync channel priorities" из контекстного меню HA-устройства.
По умолчанию для наибольшей безопасности приоритет стоит у канала синхронизации. Выставлять QoS нужно только на основном узле, на резервном он выставится автоматически.
3. Оптимизация канала. Теперь для оптимизации канала используется несколько параллельных iSCSI-сессий. В следующей версии StarWind Enterprise 5.8 это количество можно будет регулировать, а также возможна будет настройка количества каналов для Heartbeat.
4. Performance Monitoring - возможность отслеживания производительности дисковой подсистемы из Management Console (disk transfer rate, average number of I/O operations on targets, CPU and memory load on StarWind server). Выглядит это так:
5. Новая полезная оснастка - Snapshot Manager. Теперь можно управлять снапшотами через GUI. Для этого в контекстном меню для устройства нужно выбрать пункт "Snapshot Manager".
6. Улучшенный Event log. Теперь при наступлении события происходит нотификация администратора через иконку в System Tray.
7. Улучшения GUI. Теперь Targets и серверы могут объединяться в группы для удобства управления.
8. Экспериментальный "deduplication plugin". Он позволяет установить дедупликацию с размерами блока от 512Б до 256КБ на выбор (вместо 512Б сейчас), что позволяет увеличить производительность процесса дедупликации до десяти раз, при этом экономия пространства на дедупликации уменьшается всего на 10-15% (при сравнении 512 байтовых с 4кб блоками). Кроме того, значительно понизится нагрузка на ЦПУ и 90% уменьшятся требования к объёму ОЗУ.
9. ImageFile, DiskBridge. Поддержка режима Mode Sense page 0x3 для совместимости с iSCSI-инициатором Solaris.
Как вы знаете, только у нас вы можете прочитать самый полный список новых возможностей VMware vSphere 5 на русском языке, новой версии платформы виртуализации, которая выйдет в третьем квартале этого года (скорее всего, сразу после VMworld 2011). Новая версия будет построена только на базе VMware ESXi 5.
Сегодня мы хотим рассказать о новой версии VMware ESXi 5, которая (не волнуйтесь) останется в бесплатном варианте (правильно бесплатную версию VMware ESXi 5 нужно называть VMware vSphere Hypervisor). Но поскольку правила лицензирования теперь изменились (об этом там же), то нужно знать о важном ограничении, которое повлияет на большинство пользователей малого и среднего бизнеса, а именно:
Бесплатный VMware ESXi 5 позволяет использовать сколько угодно виртуальных машин на сервере, который имеет сколько угодно процессоров и ядер, но совокупная сконфигурированная память всех включенных виртуальных машин не должна превышать 32 ГБ.
Что такое сконфигурированная память виртуальной машины? Это та, которую вы выставляете в настройках при ее создании.
Звучит плохо, не правда ли - 32 ГБ памяти для всех запущенных виртуальных машин на сервере с бесплатным VMware ESXi 5? Но это так. Понятно дело, что для VMware ESXi 4.1 у вас на сервере для виртуальных машин, зачастую, выставлено больше памяти. Но этот тот способ, за счет которого VMware заставит вас купить хотя бы VMware vSphere 5 Essentials, где уже для каждого физического процессора сервера позволяется использовать 24 ГБ сконфигурированной памяти виртуальных машин (а значит, 48 ГБ на двухпроцессорный сервер).
VMware vSphere Hypervisor is a free product that provides a simple
and easy way to get started with virtualization at no cost...vSphere Hypervisor is entitled to 32GB of vRAM per server (regardless of the number of processors) and can be
utilized on servers with up to 32GB of physical RAM.
Хочется знать, то такое vRAM? Не проблема - vRAM is the entitlement of pooled virtual memory used across all active virtual machines on the system. Кстати, обратите внимание, что бесплатный VMware ESXi 5 можно использовать только на серверах, где установлено до 32 ГБ физической RAM.
Ну и, конечно, вам хочется знать, что произойдет, если вы превысите планку Entitled vRAM. В этом случае, после лимита в 32 ГБ, новая виртуальная машина просто не включится (это предварительная информация). Все очень просто - hard limit.
А вот какие улучшения и новые возможности появятся в бесплатном VMware ESXi 5:
8 виртуальных процессоров для виртуальной машины (vCPU)
Улучшенный фаервол для VMware ESXi 5 (см. видео тут)
Поддержка устройств USB 3.0
GUI для редактирования количества виртуальных ядер на виртуальный процессор
USB-устройства, подключаемые к ВМ со стороны клиента
Поддержка больших томов VMFS и RDM (до 64 ТБ) в VMFS 5
Поддержка EFI BIOS и гостевых ОС Mac OS 10.6
Поддержка смарт-карт для доступа к консоли виртуальных машин
Поддержка 3D-графики и Windows Aero
Становится понятным, что теперь возможны два варианта: или под давлением общественности VMware повысит планку используемой памяти для бесплатного VMware ESXi 5, или пользователи начнут массовые миграции на Microsoft Hyper-V и Citrix XenServer, которые потихоньку набирают силу в сегменте малого и среднего бизнеса.
Оставайтесь с нами. Еще интереснее дальше будут вещи. Кстати, по vSphere 5 появился еще вот такой интересный документик.
Как вы знаете, на днях было объявлено о выходе платформы виртуализации VMware vSphere 5. Наше любимое средство обеспечения информационной безопасности vGate R2 от компании Security Code, безусловно, будет поддерживает ее либо еще до выхода продукта, либо сразу после него (а пока о vGate R2 почитайте тут и тут, а также про поддержку ESXi).
VMware также объявила о выходе решения VMware vShield 5 для обеспечения безопасности vSphere 5, но если вы посмотрите сюда, то увидите, что vGate является наиболее эффективным средством защиты, в отличие от нишевого продукта vShield.
А сегодня мы поговорим о том, как дополнительно можно защитить инфраструктуру VMware vSphere, в которой работает средство vGate R2, ведь помимо программных средств обеспечения безопасности, нужно обезопасить инфраструктуру еще и на физическом уровне в организациях с повышенными требованиями к ИБ и в компаниях, работающих с конфиденциальными данными. Кроме того, актуальна проблема защиты данных внутри виртуальных машин, которые для VMware являются, по-сути, "черными ящиками".
Продукт Secret Net является сертифицированным средством защиты информации от несанкционированного доступа и позволяет привести автоматизированные системы в соответствие требованиям регулирующих документов:
№98-ФЗ ("О коммерческой тайне")
№152-ФЗ ("О персональных данных")
№5485-1-ФЗ ("О государственной тайне")
СТО БР (Стандарт Банка России)
Этот продукт можно использовать для защиты от несанкционированного доступа следующих объектов виртуальной инфраструктуры vSphere:
Защита виртуальных машин от НСД (разграничение доступа, контроль устройств, управление политиками доступа к информации в гостевой ОС, мониторинг и аудит событий ИБ).
Защита сервера авторизации vGate R2 (несанкционированный доступ к функциям администратора информационной безопасности). Надо отметить, что сервер авторизации также может быть физической машиной, что требует дополнительных мер по его защите (см. ПАК "Соболь").
Защита рабочего места администратора VMware vSphere (не является компонентов виртуальной инфраструктуры, а значит требует дополнительной защиты)
Более детально о продукте Secret Net можно почитать здесь.
Электронный замок «Соболь» - это аппаратно-программное средство защиты компьютера от несанкционированного доступа (аппаратно-программный модуль доверенной загрузки).
Если виртуальные машины мы можем защитить за счет их доверенной загрузки средствами vGate R2, то физические компоненты виртуальной инфраструктуры нужно наиболее тщательно защищать от злоумышленников за счет специализированных аппаратно-программных средств. Таким средством и является ПАК "Соболь" (как видно из картинки, это специальная плата и ПО). Его можно использовать для защиты следующих объектов виртуальной инфраструктуры vSphere:
Доверенная загрузка сервера авторизации vGate R2
Доверенная загрузка серверов ESXi и ESX
В качестве альтернативного или дополнительного метода защиты сервера авторизации и серверов ESX / ESXi могут применяться организационные меры, заключающиеся в физическом
ограничении доступа к оборудованию со стороны возможных нарушителей.
Более подробно о ПАК "Соболь" можно почитать здесь.
Все эти средства прекрасно живут и работают с vGate R2. Если есть какие-то вопросы - задавайте в каментах.
Компания VMware в июле 2011 года объявила о доступности новых версий целой линейки своих продуктов для облачных вычислений, среди которых находится самая технологически зрелая на сегодняшний день платформа виртуализации VMware vSphere 5.0.
Мы уже рассказывали об основном наборе новых возможностей VMware vSphere 5.0 неофициально, но сейчас ограничения на распространение информации сняты, и мы можем вполне официально рассказать о том, что нового для пользователей дает vSphere 5.
Сегодня мы поговорим о защите от несанкционированного доступа к различным компонентам инфраструктуры VMware vSphere с помощью vGate R2. Мы уже писали о том, как с помощью vGate R2 можно автоматически настроить vSphere в соответствии с политиками ИБ, а также обсуждали экономический эффект, а теперь углубимся в защиту от НСД...
Мы уже писали о некоторых расширенных настройках дисковой подсистемы серверов VMware ESX / ESXi, которые позволяют управлять доступом виртуальных машин к хранилищам VMFS. Сегодня постараемся описать еще несколько параметров:
Опишем еще несколько параметров Advanced Settings для категории Disk:
Disk.MaxLUN - это число (по умолчанию 256, т.е. ID от 0 до 255), опеделяющее максимальное количество томов, доступных серверу VMware ESX / ESXi.
Disk.MaskLUNs = "vmhba1:0:32-35;vmhba2:0:1,5,7-9" - это параметр, определяющий маскирование томов VMFS в SAN. В данном примере от хоста ESX / ESXi скрываются LUN с ID от 32 до 35 для HBA-адаптера vmhba1, а также LUN с ID 1,5,7,8,9 для адаптера vmhba2. Разделитель для адаптеров - точка с запятой.
Disk.SupportSparseLUN - эта настройка включена по умолчанию (значение 1), по желанию ее можно выставить в 0. Значение 1 означает, что на ESX / ESXi включена поддержка номеров LUN, идущих непоследовательно (например, 0,6 и 23). Если у вас все LUN идут по порядку, то можно отключить эту функцию, выставив значение 0. В этом случае будет тратиться немного меньше времени на сканирование всех LUN.
Disk.DiskMaxIOSize - с помощью этого параметра можно задать максимальный размер операции ввода-вывода (IO request). По умолчанию, сервер VMware ESX / ESXi поддерживает объем IO-запроса размером до 32767 KB, запросы большего объема разбиваются на части. Для некоторых хранилищ (это надо смотреть в документации) такой размер IO-запроса, генерируемый некоторыми приложениями может оказаться слишком большим и привести к снижению производительности. Поэтому можно уменьшить этот параметр, в зависимости от модели дискового массива. Более подробно описано в KB 1003469.
Disk.SchedQControlVMSwitches - по умолчанию, этот параметр равен 6. Он означает вот что. Когда у нас несколько виртуальных машин отдают свои IO к LUN, у нас вступает в игру параметр Disk.SchedNumReqOutstanding (а не глубина очереди адаптера), который определяет границу для виртуальных машин по одновременной отдаче команд ввода-вывода. Если эта граница превышена - наступает постановка команд в очередь. Но VMkernel должен перед этим обнаружить, что LUN использует несколько ВМ. Так вот Disk.SchedQControlVMSwitches определяет сколько раз должен VMkernel это обнаружить. А понимает он это только тогда, когда следующее IO приходит не от той машины, которая дала предыдущий IO. Надо понимать, что это значение может быть достигнуто не очень скоро, когда у нас есть одна высоконагруженная ВМ A на одном LUN, и там же есть низконагруженная по IO машина (B). И это хорошо, поскольку в таких окружениях не должно быть урезания по вводу-выводу для высоконагруженной ВМ.
Disk.SchedQuantum - по умолчанию, этот параметр равен 8. Он определяет число высокоприоритетных последовательных команд, которые идут к дисковому устройству. Последовательными командами считаются те, которые идут к расположенным рядом секторам диска. Что такое расположенные рядом сектора диска? Это те, которые (по умолчанию) находятся друг от друга на расстоянии не более 2000 секторов. Такие команды выполняются до 10 раз быстрее, чем с далекими секторами.
Disk.SectorMaxDiff - это и есть параметр, определяющий, что такое "близкие" секторы для предыдущего параметра. По умолчанию, он равен 2000.
Disk.SchedQControlSeqReqs - этот параметр (по умолчанию, 128) определяет число последовательных IO без переключений (т.е. последовательность команд только от одной ВМ), после которых счетчик Disk.SchedQControlVMSwitches будет сброшен в 0, а машина сможет использовать опять всю очередь адаптера. Этот параметр нужен для того, чтобы после всплеска нагрузки на ВМ B в первом примере, когда этот всплеск прекратится, ВМ A снова смогла получить в свое распоряжение всю очередь адаптера и дальше работать в интенсивном режиме без входа в игру параметра Disk.SchedNumReqOutstanding, который распределяет IO на LUN.
Воткнули? Нет? Тогда еще раз перечитывайте статью Duncan'а. А еще один блоггер, Andy Grant, нарисовал замечательную картинку (кликабельно):
Мы уже вам надоели с необходимостью подготовки миграции вашей виртуальной инфраструктуры VMware vSphere с хостов ESX на ESXi (поскольку vSphere 5 будет только на базе ESXi), но, все-таки, пролжим деятельность в этом направлении.
Мы уже писали о средстве PXE Manager for vCenter, имеющемся на сайте проекта VMware Labs. Оно нужно для автоматизации развертывания хостов VMware ESXi (Stateless или Stateful) по PXE. Говорят, что утилита войдет в состав VMware vSphere 5. Работает оно только с хостами VMware ESXi, но в версии 4.1 Update 1 утилита получила функцию по миграции хостов ESX на ESXi:
Теперь в утилиту можно добавить хост ESX (предварительно вы уже должны создать образ ESXi):
А далее просто выбрать пункт "Convert this ESX Server to VMware ESXi Server". Дальнейший процесс миграции со скриптом постконфигурации описан в статье Andy Grant "PXE Manager Howto: Converting ESX hosts to ESXi".
Как знают пользователи VMware vSphere, в версии платформы 4.1 появилась новая возможность по управлению приоритетами ввода-вывода виртуальных машин для хранилищ на уровне кластера под названием Storage IO Control (SIOC). Но эта функциональность доступна только в издании vSphere Enterprise Plus, что оставляет множество пользователей за бортом.
В рамках одного хост-сервера VMware ESX / ESXi есть механизм по управлению приоритетами ВМ для хранилищ с помощью Disk Shares (в настройках ВМ). Однако эти приоритеты могут быть заданы только в относительных значениях, что тоже в некоторых случаях неудобно.
В версии VMware vSphere 4.1 появилась возможность задать параметры ограничения ввода-вывода для конкретных ВМ с помощью абсолютных значений (в числе операций в секунду - IOPS и в пропускной способности в секунду - MBps). Это может пригодиться для отдельных виртуальных машин, для которых есть риск "забивания" канала к системе хранения.
Как можно эти параметры добавлять:
Нажмите Edit Settings для выключенной виртуальной машины.
Перейдите на вкладку Options.
В категории Advanced: General нажмите кнопку Configuration Parameters.
Нажмите Add Row.
Далее можно добавить 2 параметра (обратите внимание, что они задаются для каждого виртуального диска):
sched.<diskname>.throughputCap = <value><unit>
Например:
sched.scsi0:0.throughputCap = 10KIOps
sched.<diskname>.bandwidthCap = <value><unit>
Например:
sched.scsi0:0.bandwidthCap = 10KBps
В качестве значений можно использовать буквы K (KBps или KIOps), M (MBps или MIOps) и G (GBps или GIOps). Подробнее в KB 1038241.
По наблюдениям автора, если задать оба параметра для виртуального диска, они будут проигнорированы хост-сервером. А если для каждого диска одной ВМ задать определенные лимиты, то для каждого из этих дисков лимит установится как сумма для двух (то есть, если мы поставим 100IOps и 50IOps, лимит для каждого диска станет 150IOps).
Напоминаю, что работает это только, начиная с VMware vSphere 4.1 (и для ESX, и для ESXi).