Как вы уже знаете, VMware vSphere 5 будет уже только на базе гипервизора ESXi, а выпуск продукта ESX прекращается (версия 4.1 - последняя на базе этой платформы). Поэтому тем, кто еще не перешел на VMware ESXi нужно задумываться о миграции.
Мы уже писали на тему того, как перейти с ESX на ESXi (тут, тут и тут), а сегодня расскажем в общих чертах о плане миграции таких хост-серверов и о том, что делать после установки нового ESXi (пост-миграционные процедуры).
Как вы знаете, есть такой продукт vGate 2 от российского разработчика "Код Безопасности", который нужен для защиты информации от несанкционированного доступа и контроля выполнения политик безопасности для виртуальной инфраструктуры на базе платформ VMware Infrastructure 3 и VMware vSphere 4. Также он облегчает приведение виртуальной инфраструктуры в соответствие законодательству и отраслевым стандартам информационной безопасности (и также имеет сертификат ФСТЭК).
Мы уже описывали основные возможности и архитектуру vGate 2 для VMware vSphere, а сегодня поговорим более детально о важной функциональной составляющей продукта - настройке политик безопасности и имеющихся встроенных политиках.
Политики безопасности, реализованные в vGate, контролируют критичные для безопасности виртуальной среды настройки серверов ESX и ВМ. Помните те самые политики, на предмет соответствия которым вы сканировали инфраструктуру виртуализации с помощью бесплатного средства vGate Compliance Checker? Так вот теперь их можно задать для хостов VMware ESX, а также виртуальных машин. И, соответственно, привести их в соответствие с этими политиками.
Основная идея таких политик - облегчить жизнь администратору виртуальной инфраструктуры VMware vSphere при работе с серверами VMware ESX / ESXi в ситуации, когда есть необходимость защиты данных виртуальных машин. Поскольку виртуализация, зачастую, полностью меняет подход к управлению виртуальной инфраструктурой, список требований к безопасности существенно увеличивается (см., например, как украсть виртуальную машину или наши записи с тэгом Security).
Так вот, когда у вас в компании есть администратор информационной безопасности, продукт vGate 2 - это лучший способ настроить виртуальную инфраструктуру с помощью политик так, чтобы он не мог прикопаться к администратору vSphere, поскольку все будет сконфигурировано в соответствии с отраслевыми стандартами, а значит потенциальные дырки будут закрыты.
То есть, сакральный смысл политик в vGate 2 - освободить администратора vSphere от геморроя по удовлетворению требований безопасников за счет автоматизации настройки безопасности для хостов и виртуальных машин. Все просто и нужно.
Политики безопасности vGate 2 объединены в наборы (они же шаблоны). Эти шаблонов целых пять штук:
Набор политик
Описание
vGate
Специально разработанный аналитиками компании Код Безопасности для vGate базовый набор политик, включающий в себя политики для ESX-серверов и ВМ
CIS 1.0
Набор политик для быстрого приведения виртуальной среды в соответствие рекомендации CIS VMware ESX Server 3.x Benchmark (v 1.0)
PCI DSS
Набор политик для быстрого приведения виртуальной среды в соответствие требованиям PCI DSS 1.2. Это типа для всяких контор, которые работают с платежными системами.
Набор политик для быстрого приведения виртуальной среды в соответствие рекомендации CIS VMware ESX Server 3.5 Benchmark
(v 1.2.0)
Позырим на самый простенький шаблон политик с одноименным названием vGate, который обеспечивает базовую настройку безопасности на хостах ESX и ВМ.
Для ESX:
Список разрешенных программ - на ESX-сервере хранится список разрешенных по умолчанию программ. Безопасник или админ может добавить или
удалить из этого списка нужные программы.
Запрет локального входа
на ESX-сервер - указываем пользователей для входа в консоль.
Запрет подключения USB-носителей - после применения надо перезагрузиться.
Правила для межсетевого экрана - содержит правила фильтрации трафика для межсетевого экрана netfilter, поступающего на ESX-сервер(по умолчанию политика запрещает административный доступ по портам TCP 443/22 для всех объектов из за-
щищаемого периметра за исключением сервера авторизации и vCenter - админы ходят клиентом через сервер авторизации).
Для виртуальных машин:
Список запрещенных устройств - всякую фигню не подключишь.
Запрет клонирования виртуальных машин - не склонируешь и не украдешь.
Запрет создания снимков виртуальных машин - снапшоты это вообще плохо (не только в плане безопасности).
Проверка целостности виртуальных машин - контроль целостности и доверенной загрузки ВМ перед стартом.
Очистка памяти виртуальной машины - после завершения ее работы (нужна перезагрузка ВМ).
Ну а дальше идут шаблоны, отвечающие различным общепринятым стандартам (там очень много пунктов, полный список здесь). Самый разумный из них - VMware Security Hardening Best Practice, там есть реально нужные в жизни вещи.
Кстати, делается это все за счет агентов, работающих на серверах ESX и устанавливаемых туда с сервера авторизации (см. статью).
Назначение политики делается так:
Делаем из шаблонов набор политик (можно комбинировать шаблоны и отдельные политики):
Назначаем для категории или уровня конфиденциальности (метки безопасности) этот набор:
Далее объекту (ESX-серверу или ВМ) назначаем эту метку безопасности.
Потом проходит некоторое время (его можно настраивать, по дефолту - 10 минут) и политики применяются. Работает - само.
Теперь, что еще нужно сказать о vGate 2. Во-первых, просили зафигачить ссылку на вот это видео (http://www.sltv.ru/comments/clip-1812/) - там вам пафосным голосом расскажут о продукте. Во-вторых, вы можете написать все, что думаете о vGate 2 вот в этой форме, а также в комментариях здесь. Сотрудники Кода Безопасности ответят на ваши вопросы.
Теперь у вас есть полностью бесплатный StarWind iSCSI Target, чтобы создавать хранилища для виртуальных машин на базе существующей Ethernet-инфраструктуры и без каких-либо вложений. Дальше уже можно задуматься о коммерческом издании StarWind CDP или средстве создания отказоустойчивых хранилищ StarWind Enterprise HA.
Новая бесплатная версия StarWind Free Edition позволит вам использовать многие серьезные возможности, которые есть только у коммерческих продуктов:
Любую современную хостовую операционную систему Windows Server для сервера хранилища. Можно использовать локальные диски серверов для создания томов VMFS с поддержкой VMware HA/DRS и других распределенных служб.
Можно создавать хранилища для виртуальных машин VMware vSphere, Microsoft Hyper-V, Citrix XenServer и других систем виртуализации.
Дедупликация данных (с различными размерами блоков). Это позволяет экономить дисковое пространство на системе хранения, убирая дублированные блоки.
Полностью разрешенное лицензией использование хранилищ в производственной среде.
Поддержка! Для бесплатной версии идет basic support plan, что подразумевает поддержку через форум на сайте. Далее можно покупать поддержку по инцидентам, а также переключиться на любое коммерческое издание без дополнительных доплат (в платите только разницу между изданиями).
Caching - в StarWind iSCSI есть хороший механизм кэширования (write-back и write-through), ускоряющий работу виртуальных машин с хранилищами.
Функции VTL (Virtual Tape Library) и репликация по сети WAN доступны как возможность платного обновления на коммерческую версию.
Поддержка возможностей Thin Provisioning в StarWind - ваше хранилище для виртуальных машин (образ виртуального диска) будет расти по мере наполнения его данными.
Как вы знаете, есть такой хороший продукт StarWind Enterprise iSCSI, о котором мы уже немало писали и сделали специальный раздел. Он позволяет вам сделать отказоустойчивое iSCSI-хранилище для виртуальных машин VMware vSphere или Microsoft Hyper-V на базе любого устройства хранения, в том числе обычного Windows-сервера с локальными дисками.
Сегодня мы поговорим о том, что нам нужно сделать с сервером StarWind Enterprise, чтобы у нас была безопасная конфигурация хранилища, и никто лишний не смог бы к нему подключиться.
Во-первых, когда мы установили StarWind, то к нему можно подключиться с помощью StarWind Management Console, установленной локально на сервере или на другой рабочей станции. По умолчанию для подключения к серверу используется логин root и пароль starwind. Это нужно изменить. Меняется это вот тут:
Во-вторых, само собой, StarWind Enterprise поддерживает CHAP-аутентификацию клиентов (с паролем от iSCSI инициатора к таргету). Ее можно настроить, зайдя в свойства таргета StarWind и перейдя на вкладку "CHAP Permissions". Там нужно нажать правой кнопкой на белом поле и выбрать Add Permission:
Ну и, в-третьих, можно настроить разрешения для IP-адресов клиентов, которые могут соединяться с определенными таргетами по определенным сетевым интерфейсам. Для этого нужно зайти в свойства таргета StarWind и, перейдя на вкладку "Access Rights", нажать правой кнопкой на белом поле и выбрать Add Rule:
Все эти три вещи рекомендуется настраивать для производственного хранилища StarWind Enterprise iSCSI.
Мы уже писали о семействе продуктов VMware vShield, которые позволяют организовать защиту вашего виртуального датацентра на базе VMware vSphere (еще и тут). Повторим вкратце:
vShield Endpoint - это мидлваре (то есть, само по себе для пользователя ничего не делающее ПО), которое построено поверх VMsafe API и позволяет сторонним производителям антивирусов интегрироваться с инфраструктурой виртуализации VMware vSphere.
vShield App - думайте об этом компоненте как о виртуальном распределенном коммутаторе (dvSwitch) с логикой фаервола с неограниченным количеством портов.
vShield Edge - это продукт для комплексной защиты периметра датацентра. Это уже более глобальный продукт, он включает в себя такие сервисы как Stateful firewall, VPN, DHCP, NAT, Web Load Balancing и другое. Он интегрируется с vCloud Director.
Есть еще vShield Zones, который идет в комплекте с изданиями vShphere, начиная с редакции Advanced. Это урезанная версия vShiled App.
Наши зарубежные коллеги затронули тему - а с какими же изданиями и версиями vSphere работают эти продукты? Тем более, что в документации об этом нигде не говорится.
Ситуация такова:
vShield Zones работает с vSphere 4.0 и более позними версиями, начиная с редакции Advanced (то есть, плюс Enterprise и Enterprise Plus).
vShield Endpoint работает только с vSphere 4.1 и выше, начиная с редакции Essentials Plus (то есть, еще и от Standard до Enterprise Plus).
vShield App работает, начиная с vSphere 4.0 и выше, с редакции Essentials Plus (то есть, еще и от Standard до Enterprise Plus). Несмотря на то, что Zones (работающий, начиная с Advanced) является частью App, все равно последний работает на младших изданиях vSphere.
vShield Edge работает, начиная с vSphere 4.0 и выше, с редакции Essentials Plus.
Поэтому в пролете от vShield остается только издание VMware vSphere Essentials.
Дорогие читатели. Как вы знаете, мы сотрудничаем с компанией "Код Безопасности", которая является разработчиком сертифицированных средств для обеспечения безопасности ИТ-инфраструктуры. В частности, они делают продукт vGate 2 for VMware, который позволяет автоматизировать работу администраторов по конфигурированию и эксплуатации системы безопасности, а также облегчает приведение виртуальной инфраструктуры на платформах компании VMware в соответствие законодательству и отраслевым стандартам.
Это очень важно для многих тех из вас, которые видят перед собой призрак закона ФЗ 152 о персональных данных. Ну и для тех из вас, конечно, кто хочет эти данные в виртуальной инфраструктуре vSphere защитить. Тем более, что виртуализация открывает множество новых источников угроз.
Надежность vGate подтверждает и сертификат ФСТЭК России №2308.
Тыкаем на ссылку и регистрируемся. Не каждый день девушки вам рассказывают о безопасности виртуальной ИТ-инфраструктуры VMware vSphere.
Ну и описание вебинара по vGate 2:
На вебинаре «Автоматизация работы администраторов по конфигурированию и эксплуатации системы безопасности виртуальной инфраструктуры» будут рассмотрены возможности разделения объектов инфраструктуры на логические группы и сферы администрирования, автоматического приведения виртуальной инфраструктуры в соответствие положениям законодательства и отраслевых стандартов, а так же контроля над изменениями на основе заданных корпоративных политик.
На вебинаре будет представлено решение для защиты виртуальных инфраструктур компании «Код Безопасности» - vGate 2. В конце вебинара будет проведена демонстрация его работы.
Вебинар будет интересен всем специалистам, которые работают с виртуальными инфраструктурами или планируют перейти на их использование, а также специалистам по информационной безопасности занимающимся обеспечением их защиты.
Докладчик: Сидорова Мария, заместитель руководителя направления «Защита виртуальных инфраструктур», компания «Код Безопасности»
Как вы знаете, в рамках партнерства с компанией Код Безопасности мы будем вас знакомить с продуктом vGate 2, который позволяет автоматизировать работу администраторов по конфигурированию и эксплуатации системы безопасности, а также облегчает приведение виртуальной инфраструктуры на платформах компании VMware в соответствие законодательству и отраслевым стандартам.
Мы уже много писали о таком документе как VMware vSphere Security Hardening (есть также и версия для VMware View), который описывает основные принципы и приемы обеспечения информационной безопасности VMware vSphere и виртуальных машин (без учета гостевых ОС).
Так вот, недавно компания VMware выпустила бесплатный продукт "VMware Compliance Checker for vSphere", который и проверяет вашу виртуальную инфраструктуру VMware vSphere на соответствие требованиям данного документа.
Основные возможности VMware Compliance Checker for vSphere:
Проверка соответствия нескольких серверов VMware ESX / ESXi в рамках одной сессии (поддерживается только соединение с vCenter).
Сканируются не только хост-серверы, но и vmx-параметры виртуальных машин.
Основан на VMware vSphere Security Hardening.
После того как обследование запущено, можно посмотреть пункты по виртуальным машинам и по типу категории обследования
Ну а теперь самое главное - у российской компании "Код Безопасности" есть бесплатный продукт vGate Compliance Checker, который не только объединяет в себе возможности сканирования виртуальной инфраструктуры на соответствие обоим видам требований по безопасности (Security Hardening и PCI DSS), но и поддерживает сканирование по различным версиям этих стандартов и руководящих документов. То есть, он круче, чем VMware Compliance Checker for vSphere.
Как вы знаете, хорошая компания Veeam Software делает не только всем известный Veeam Backup and Replication, но и полезный продукт Veeam Reporter, который позволяет вести трекинг изменений виртуальной инфраструктуры VMware vSphere и получать отчетность обо всех ее аспектах. О продукте Veeam Reporter мы уже писали.
Сейчас компания Veeam работает над созданием второй версии Capacity Planning Report pack for Veeam Reporter, которая позволит осуществлять планирование мощностей инфраструктуры виртуализации VMware vSphere. Он станет частью законченного решения для мониторинга и отчетности Veeam ONE.
Какими возможностями будет обладать Capacity Planning Report pack for Veeam Reporter:
Recommendations for hardware planning and provisioning. В рамках этих возможностей можно будет получать грамотные рекомендации по планированию новых серверных мощностей и дозакупке хранилищ. В отличие от других решений по capacity planning, которые идентифицируют проблемные области и предсказывают, когда пороговые значения будут превышены, Capacity Planning Report pack анализирует узкие места в производительности и росте инфраструктры и выдает конкретные рекомендации по оборудованию и хранилищам, а также их конфигурациям.
Enhanced what-if analysis. В дополнение к сценариям моделирования развития инфраструктуры, которые есть в текущей версии, появятся новые типы конфигураций хостов и виртуальных машин, которые можно использовать для анализа в стиле "что произойдет, если будет как есть, или как будет, если мы добавим такие-то мощности".
Identification of over-provisioned storage. При использовании thin provisioning для виртуальных машин может возникнуть ситуация, когда машины при росте данных могут заполнить хранилище, что вызовет отказ гостевых ОС. Capacity Planning Report pack все это учитывает и своевременно дает рекомендации по хранилищам.
А теперь, слайды:
Приятно, что Capacity Planning Report pack for Veeam Reporter будет доступен абсолютно бесплатно для всех текущих и новых пользователей Veeam Reporter и Veeam ONE.
Как вы знаете, мы начали стратегическое сотрудничество с компанией "Код Безопасности", которая выпускает такой нужный для российского рынка продукт как vGate 2. Он нужен, чтобы автоматизировать работу администраторов по конфигурированию и эксплуатации системы безопасности, а также привести виртуальную инфраструктуру на платформах VMware в соответствие законодательству и отраслевым стандартам. Он имеет сертификат ФСТЭК, что очень нужно при наведении порядка в организации, которая хочет соответствовать нормам ФЗ 152.
Но у компании "Код Безопасности" есть и бесплатный продукт, с которого лучшего всего начать приобщение к продуктовой линейке по обеспечению безопасности VMware vSphere. Это утилита vGate Compliance Checker.
vGate Compliance Checker позволяет проверить соответствие виртуальных инфраструктур на платформах компании VMware требованиям таких стандартов, как PCI DSS и рекомендаций CIS VMware ESX Server Benchmarks и VMware Security Hardening Best Practices. Результатом проверки, которую ИТ-специалисты смогут провести с помощью vGate Compliance Checker, является структурированный отчет (можно экспортировать в HTML), представляющий информацию о положениях стандартов и о соответствии протестированной системы этим положениям. Проверять систему можно произвольно на соответствие только интересующим стандартам и рекомендациям.
Добавим в vGate Compliance Checker сервер VMware ESX (кнопка "Добавить") и запустим проверку безопасности VMware vSphere (кнопка "Запустить").
Начнется сканирование хоста VMware ESX:
После чего, ваш хост ESX конечно не будет соответствовать основным политикам безопасности. Поэтому чтобы узнать, каким именно - нажимаем кнопку "Детали":
Чтобы получить полный отчет в формате html, нужно нажать на кнопку "Сохранить". Отчет vGate Compliance Checker удобно разбит по категориям, соответствующим нормам безопасности виртуальной инфраструктуры VMware vSphere:
Давайте раскроем политику VMware и посмотрим что там внутри:
Как видите, для каждого несоответствия vGate Compliance Checker рассказывает о том, какие именно рекомендации и стандарты нарушены с точки зрения безопасности сервера VMware ESX, а также суть необходимой политики, которую нужно применить в целях повышения уровня безопасности.
Как устранить эти дырки и привести свои серверы ESX в соответствие нормам и стандартам? Ну, во-первых, вы можете воспользоваться материалами нашего сайта, где по тэгу Security можно найти решения для некоторых требований безопасности (например, вот про политики паролей).
Но лучше всего, в целях настоящей безопасности, установить, попробовать, а потом и купить продукт vGate 2, который позволяет держать под контролем безопасность виртуальной инфраструктуры vSphere. Это уже более серьезный уровень, и, если вы озабочены тем, как сделать все правильно с точки зрения Security - не отключайтесь, на следующей неделе мы поговорим про vGate 2 подробнее.
На сайте проекта VMware Labs (о котором мы уже писали) появился новый интересный продукт - VMware PXE Manager for vCenter. Продукт позволяет настроить автоматизированное развертывание серверов VMware ESXi в виртуальной инфраструктуре.
Основные возможности VMware PXE Manager for vCenter:
Автоматизированное развертывание stateless и stateful хостов ESXi (без поддержки ESX)
Резервное копирование состояния ESXi (firmware), а также восстановление и архивирование в соответствии с политиками
Управление репозиториями билдов ESXi (stateless и statefull)
Управление патчами ESXi
Поддержка нескольких серверов vCenter
Поддержка сложных сетевых конфигураций за счет агентов (позже будет готов виртуальный модуль на базе Linux CentOS, который будет отвечать за развертывание хостов ESXi в своем сегменте датацентра)
Поддержка технологии WoL (Wake on Lan)
Выполнение тестирования памяти хостов ESXi (memtest)
Наличие плагина к vCenter
Развертывание систем в VMware Cloud Director напрямую
Развертывание серверов ESXi на блейд-системах Cisco UCS
Как обещают, эта утилита будет включена в состав платформы VMware vSphere 5. Сам PXE Manager состоит из нескольких компонентов (как и, например, Update Manager) - сервера, устанавливаемого на vCenter, и плагина к vSphere Client. Кроме того, в дочерних датацентрах (например, логических, под управлением Cloud Director) могут быть PXE-агенты в виде виртуальных модулей (это появится позже):
Обзорное видео по установке продукта:
Скачать VMware PXE Manager for vCenter можно по этой ссылке.
В новой версии появилось несколько дополнительных возможностей и параметров поиска по конфигурациям виртуальных систем. Кроме того, появился раздел VMware Aware Storage APIs (VASA, или он же VMware vStorage APIs for Storage Awareness), в котором можно будет найти информацию о поддержке данной технологии, связанной с интеграцией дисковых массивов с vCenter на платформе vSphere (это появится в пятой версии и может оказаться полезным для балансировки нагрузки на системы хранения Storage DRS).
Хорошо, что на свете есть Veeam Backup and Replication 5, который оставил конкурентов на сотни километров позади, и является лучшим на сегодняшний день средством резервного копирования виртуальных машин VMware vSphere. Мы уже писали о новых возможностях Veeam Backup and Replication 5.0, а сегодня рассмотрим нововведения в версиях 5.0.1 и 5.0.2 (последняя вышла не так давно).
Итак, новое в Veeam Backup and Replication 5.0.1:
Поддержка Distributed Virtual Switches (dvSwitch). Теперь это устройство VMware vSphere поддерживается для создания виртуальных лабораторий (Virtual Labs), позволяя еще более гибко подходить к их созданию.
SQL Server Role - новый скрипт для поддержки верификации резервных копий с SQL-серверами с помощью SureBackup.
Automatic failover for Veeam Backup - при попытке забэкапить сам сервер Veeam Backup в режиме Virtual Appliance происходит переключение в Network
mode.
Multi-OS File Level Restore DHCP requirement removed - теперь виртуальный модуль для восстановления файлов из резервных копий не требует наличия DHCP и может работать со статическим IP-адресом.
Multi-OS File Level Restore via FTP - теперь на виртуальном модуле для восстановления файлов можно включить FTP-сервер, который можно использовать в сценариях восстановления для тысяч файлов из гостевых ОС. Также в рамках этого, пользователь конкретной ВМ может восстанавливать файлы самостоятельно.
А вот что нового появилось в версии 5.0.2:
Internet access from virtual lab - теперь при тестировании бэкапов SureBackup в виртуальных лабораториях можно использовать доступ в интернет из этих машин (настраивается в реестре сервера Veeam).
Automated retention for removed and deleted VMs - в интерфейсе можно настроить удаление данных из резервных копий, которые относятся к уже удаленным из окружения vSphere виртуальным машинам. Удаление произойдет через заданное количество дней. Очень удобно для временных и тестовых систем.
Optional catalog import - импорт каталога гостевой ОС теперь не обязателен при импорте бэкапа для Veeam Backup (то есть когда не нужно залезать в гостевую ОС для восстановления, а достаточно восстановить машину целиком). Теперь импорт бэкапа работает быстрее.
Date Modified attribute preservation - теперь при мгновенном восстановлении файлов в ОС Microsoft сохраняется аттрибут Date Modified.
Поддержка Microsoft Windows Storage Server - теперь сюда можно устанавливать Veeam Backup Server и Veeam Enterprise Manager.
Напоминаю, что скачивать Veeam Backup and Replication 5 нужно по этой ссылке, а покупать - по этой.
Как вы уже все знаете, мы очень любим продукт StarWind Enterprise HA (о нем написано тут, тут и в разделе StarWind), который позволяет создавать отказоустойчивые хранилища для виртуальных машин на платформах VMware vSphere и Microsoft Hyper-V. Это позволяет существенно сэкономить на средствах репликации данных (например, VMware Site Recovery Manager) и не требует покупки дорогостоящих массивов Fibre Channel. То есть можно использовать существующую инфраструктуру Ethernet и дисковые массивы iSCSI, либо вообще серверы-хранилища.
Сегодня компания StarWind запустила промо-программу, в рамках которой можно купить StarWind Enterprise HA со скидкой 5% до конца июня. Продукт нужный - поэтому поторопитесь и закладывайте его в бюджет.
Не требуется никакого дополнительного ПО (виртуальные модули, VMware Mobile Access и т.п.). vmwClient соединяется с серверами VMware vSphere и vCenter напрямую как и vSphere Client.
Вменяемый и удобный интерфейс
Одновременное управление несколькими серверами vCenter и отдельными хостами ESX / ESXi. Не требуется logout при переключении к другому хосту.
vmwClient может хранить аккаунты для нескольких хостов и их настройки.
Клиент загружает только необходимую информацию из Inventory серверов vCenter или ESX / ESXi - что не требует большого объема трафика, передаваемого по сетям GPRS/3G/WCDMA.
Продукт развивается и постоянно обрастает функционалом.
Какие операции поддерживаются в vmwClient для работы с виртуальными машинами и хост-серверами:
Простейшие операции с хостами и ВМ: start, stop, reset, summary и т.п.
Просмотр событий (events) для объектов, просматриваемых в настоящий момент.
Как мы уже неоднократно писали, следующая версия платформы виртуализации VMware vSphere 5, которая выйдет в этом году, будет поставляться только на базе гипервизора VMware ESXi. Это означает, что всем пользователям VMware vSphere, которые работают с VMware ESX (а таких большинство), нужно уже сейчас задуматься о переходе на продукт ESXi.
Когда вышла VMware vSphere 4.1 в Release Notes мы могли прочитать подтверждение данного факта:
VMware vSphere 4.1 and its subsequent update and patch releases are the last releases to include both ESX and ESXi hypervisor architectures. Future major releases of VMware vSphere will include only the VMware ESXi architecture.
Сегодня мы поговорим о том, что нужно учитывать при неизбежной миграции на VMware ESXi c ESX, и почему можно сказать, что этот переход не будет особо болезненным. Для начала нужно посетить ресурс по переходу на ESXi на сайте VMware. Там есть много интересного, а в частности ESXi 4.1 migration guide, в котором описаны тонкости процесса миграции.
Если вы не хотите читать этот огромный 13-страничный гайд, то есть небольшая выжимка в виде презентации "Transitioning to the ESXi Hypervisor", где можно найти много полезной информации.
В частности, у каждого аспекта управления в VMware ESX есть свой аналог в VMware ESXi, совокупность которых справляется со всеми задачами, присутствующими в виртуальной инфраструктуре vSphere:
Кстати интересная фраза (август, 2010): "VMware users should put a plan in place to migrate to ESXi during the next 12 to 18 months".
Теперь вместо агентов в гостевой ОС (ESX), у нас есть партнерские модули Common Information Model (CIM) в ESXi:
В версии VMware ESX / ESXi 4.1 компания VMware свела различия в функциональности двух платформ к минимуму (красным выделено появившееся в 4.1):
Для диагностики и решения проблем у нас есть куча локальных и удаленных интерфейсов в ESXi. Tech Support Mode также поддерживается локально и по SSH, что делает настройку ESXi простым делом:
Через клиента vSphere Client или браузер мы проводим стандартные операции, в DCUI лезем, если что-то зависло, а TSM используем для глубокого копания.
К файлам настройки на ESXi мы можем ходить через браузер:
И к лог-файлам тоже:
Ну, то есть в ESXi есть то же, что и в ESX - поэтому переходить можно смело:
И, напоследок, для всех тех, кто хотел узнать, что за продукт такой vSphere Hypervizor:
VMware vSphere Hypervisor is the new name for what was formerly known as VMware ESXi Single Server or free ESXi (often abbreviated to simply “VMware ESXi”)
Как вы знаете, в платформе виртуализации VMware vSphere 4.1 появилось несколько новых улучшений в плане производительности горячей миграции виртуальных машин vMotion между серверами VMware ESX / ESXi (об этом можно почитать тут и тут).
Одно из улучшений vMotion - функция Quick Resume, которая позволяет произвести успешную миграцию виртуальной машины, в которой происходит очень интенсивная работа с памятью (то есть страницы меняются быстрее, чем успевают передаваться по сети на другой хост). Обычно это высокопроизводительные приложения вроде баз данных и т.п.
Duncan Epping, сотрудник VMware и известный блоггер, недавно раскрыл подробности работы Quick Resume. За счет этой техники виртуальная машна перемещаемая на целевой хост запускается еще до того, как все страницы полностью скопируются. Но в этом случае целевая машина может запросить страницу памяти, которая еще не скопировалась.
В этом случае Quick Resume обеспечивает доступ к странице с исходной виртуальной машины, продолжая при этом копирование страниц на целевой хост. Но что будет, если в этот момент сеть перестанет быть доступной, а целевой машине понадобится страница?
В этом случае Quick Resume для vMotion, также как и Storage IO Control, использует общее хранилище для хостов ESX / ESXi. На хранилище создается специальный файл, который используется как backup buffer, к которому имеют доступ оба хоста, и за счет которого миграция vMotion доводится до конца. То есть, через этот буферный файл (несколько мегабайт) происходит обмен страницами между хостами в случае недоступности сети или высокоинтенсивной нагрузки. Естественно это все заметно влияет на производительность ВМ во время миграции, так как время доступа к памяти сильно увеличивается, зато все отрабатывает надежно.
Иногда бывает полезно произвести монтирование CD-ROM к консоли сервера VMware ESXi, но традиционные средства для монтирования CD-ROM в ESXi не работают. Этот трюк был обнаружен в блоге virtuallyGhetto. Он работает только для VMware ESXi 4.1 и более поздних версий, поскольку там появился модуль VMKernel iso9660.
Для начала загружаем данный модуль командой консоли:
vmkload_mod iso9660
Этот модуль поддерживает процедуры mount и unmount. Вы увидите вот такой результат:
Теперь нужно идентифицировать, какое из устройств ESXi есть ваш CD-ROM. Для этого выполняем команду:
esxcfg-mpath -b | grep "CD-ROM"
Вы увидите что-то подобное:
Нам нужен выделенный идентификатор для использования команды mount.
Теперь проверяем возможность монтирования CD-ROM в консоли командой:
vsish -e set /vmkModules/iso9660/mount mpx.vmhba32:C0:T0:L0
Если вывод команды отсутствует - значит все в порядке, модуль успешно загружен и CD-ROM смонтирован. Если не в порядке - вы увидите сообщение об ошибки синтаксиса команды.
После этого CD-ROM будет автоматически смонтирован по следующему пути: /vmfs/volumes/mpx.*
Мы уже рассказывали о том, как известный профессионал в сфере виртуализации Eric Siebert начал писать свою книгу о лучших практиках резервного копирования виртуальных машин VMware vSphere. Сейчас на сайте Veeam появился документ "Top 10 Best Practices for VMware Data Protection", который именно об этом рассказывает, и который можно скачать бесплатно и без регистрации.
Документ рассказывает о довольно-таки простых, но важных вещах (все из которых реализованы в продукте Veeam Backup and Replication 5):
Не делайте резервные копии на уровне гостевой ОС - в среде виртуализации это делают на уровне образа виртуальной машины. Это не нагружает гостевую ОС, можно делать резервное копирование напрямую в SAN и можно таким образом бэкапить что угодно.
Используйте VMware vStorage API - эта технология (и, в частности, ее инструмент Changed Block Tracking) - в разы ускоряют создание инкрементальных резервных копий.
Обязательно используйте поддержку VSS для создания целостных бэкапов - Veeam Backup умеет работать с VSS в гостевых ОС.
Следите за использованием вычислительных и дисковых ресурсов - помните, что, с одной стороны, ваше решение по резервному копированию должно обеспечивать максимальную эффективность в отношении хранилища резервных копий - дедупликация, компрессия, возможность сохранять отдельные диски, возможность импорта изолированных бэкапов, а, с другой стороны, бэкап сервер должен иметь достаточные вычислительные мощности для обработки заданий и достаточную ширину канала резервного копирования.
Используйте репликацию для критичных систем - реплика создается в режиме Near-CDP, что позволяет добиться минимальных потерь в случае аварии и наименьшего времени восстановления работоспособности системы (показатели RPO и RTO).
Проверяйте целостность ваших резервных копий - с технологией SureBackup теперь это просто, а сама процедура автоматизирована. Теперь можно проверять абсолютно все бэкапы.
Используйте новые методики восстановления - отдельные файлы из образа можно восстанавливать в работающую ВМ уже давно, но теперь появилась возможность восстанавливать объекты Active Directory, SQL и Exchange - это действительно удобно и иногда по-настоящему (функция U-AIR).
Kenny Coleman, один из блоггеров, пишущий о виртуализации VMware, выпустил пакет утилит для администраторов виртуальной инфраструктуры vSphere / ESX под названием VM Advanced ISO. Пакет содержит в себе набор необходимых программ для рутинных задач с виртуальными машинами:
Утилиты 1 - P2V Clean-up
01 - Resolution Resize (меняем разрешение гостевой ОС)
02 - HP ProLiant Cleaner (вычищаем софт HP после миграции в ВМ)
Мы уже много писали о решении StarWind Enterprise iSCSI, которое позволяет создавать надежные отказоустойчивые хранилища для виртуальных машин на серверах VMware ESX и Microsoft Hyper-V (подробнее тут, тут и тут) и будем продолжать писать, пока вы все его не купите.
Сегодня мы поговорим о непрерывной защите данных виртуальных хранилищ, например, на томах VMFS, где размещены виртуальные машины VMware vSphere. Во-первых, настоятельно рекомендуем вам прочитать статью о виртуальных дисках типа Snapshot and CDP Device, которые позволяют создавать защищенные хранища на базе технологии снапшотов StarWind.
Диски типа Snapshot and CDP Device можно создать, когда вы выбираете опцию создания виртуального образа Advanced Virtual, а затем Snapshot and CDP Device:
CDP - это Continuous Data Protection, т.е. непрерывная защита данных ваших виртуальных машин. В этом режиме поддерживаются мгновенные снимки хранилища (snapshots), которые защитят вас от утраты каких-либо важных данных по вине пользователя - вы всегда сможете откатиться к снимку, созданному в определенный момент времени.
Диск типа Snapshot and CDP - в таком режиме StarWind будет автоматически создавать снапшоты хранилищ с заданным интервалом времени (опция Snapshot auto creation with interval of (minutes)). Такой тип диска полезен для постоянной защиты данных (Continuous Data Protection, CDP) хранилищ виртуальных машин от их утери или порчи. В случае сбоя можно откатиться к нужному снапшоту. Кроме того, поддерживаются также и снапшоты, создаваемые администратором вручную.
Здесь имеют значение следующие параметры:
Limit on the maximum number of stored snapshots - здесь мы ограничиваем число хранимых снапшотов.
Snapshot auto creation interval - это число минут, через которое будут автоматически создаваться снапшоты для защиты вашего хранилища от порчи пользовательских данных. Это очень удобно при разработке и тестировании, когда вам нужно создавать копии целого набора виртуальных машин на хранилище автоматически. Ну и, само собой, это удобно в производственной среде - когда есть шанс того, что какие-нибудь действия приведут к утере данных (БД и прочее).
В целях надежности - для каждой сессии при работе с хранилищем создается свой журнал. После снятия снапшота на диск пишутся только изменения, происходящие в хранилище, не затрагивая то, что было до создания снимка.
Почему иногда полезно использовать защиту хранилищ средствами снапшотов вместо бэкапов? Прежде всего, это скорость восстановления ваших данных - к снапшоту можно откатиться очень быстро, а восстановление хранилища из резервных копий занимает очень долгое время. Соответственно, снапшот делается быстро, а бэкап - долго. Все это влияет на показатели RTO (Recovery Time Objective), а по-русски - время восстановления работоспособности сервисов.
Кроме того, хранилище StarWind Enterprise, на котором сделан снапшот - просто забрать для резервной копии, поскольку все те данные, что были до момента снятия снапшота освобождены от операций записи:
Если вы задали параметры Limit on the maximum number of stored snapshots и Snapshot auto creation interval - то у вас снапшоты будут создаваться автоматически, а откатиться к ним вы сможете используя материалы вот этой нашей заметки.
В папке с виртуальным диском Snapshot and CDP вы можете увидеть следующие файлы, знать назначение которых полезно:
*.ibv - заголовок тома виртуального диска
*.ibvm - карта секторов тома, создаваемая на период сессии
*.ibvd - этот файл содержит отличия снапшота от базового образа (то есть сами данные)
*.ibvss - в этом файле содержится заголовок снапшота
Что насчет консистентности снапшотов StarWind Enterprise? Об этом разработчики также позаботились. В продукте есть поддержка технологии Volume Shadow Services - VSS Module (он есть как для 32-х, так и для 64-битных систем).
Технология VSS, работающая на блочном уровне, позволяет получать целостные копии томов при работе со снапшотами, таким образом, чтобы два куска одного файла не оказались по разные стороны от снапшота. В данном случае эта технология работает на уровне целого хранилища (помним, что StarWind - это ПО для Windows Server), не позволяя файлам VMDK или VHD получаться неконсистентными (то есть, невосстановимыми) при работе со снапшотами.
Бывает такое, что при резервном копировании виртуальной машине VMware vSphere на томе NFS (не VMFS!) виртуальная машина перестает отвечать на пинги, консоль подвисает и с ней не соединиться по RDP.
Такие вещи случаются, когда вы используете Veeam Backup and Replication 5 в режиме Changed Block Tracking (CBT), то есть с отслеживанием изменившихся блоков для более быстрого резервного копирования. Связано это с особенностями работы NFS-лочек, которые могут "провисать" до 30 секунд, в течении которых машина и зависает.
Если это вас так сильно беспокоит, Changed Block Tracking можно просто отключить в настройках задачи резервного копирования Veeam Backup and Replication:
Но если отключите CBT - бэкапы будут делаться медленнее. Так что выбирайте.
О чем нам рассказывает данный документ в плане безопасности платформы VMware vSphere 4.1:
Защита хост-серверов виртуализации VMware ESX / ESXi 4.1
Безопасность виртуальной машины как контейнера для гостевой ОС (то есть не рассматривается защита ОС в виртуальной машине и приложений)
Правильная конфигурация виртуальной инфраструктуры в целом: средства управления, сети хранения данных, виртуальные коммутаторы (но не сеть между ВМ)
Защита VMware vCenter Server, его базы данных, а также vSphere Client
Защита сервера VMware Update Manager (как главного средства своевременного наката обновлений, в том числе в плане безопасности)
Есть полезные рекомендации, а есть весьма пространные. Очень удобно, что они разбиты на блоки, в пределах которого разъясняется суть угрозы, пример воздействия на инфраструктуру и область применения (Enterprise, DMZ и Specialized Security Limited Functionality (SSLF)). Вот пример полезной рекомендации:
Напоминаем также, что в настоящее время идет публичное обсуждение данного руководства для продукта VMware View - VMware View Security Hardening.
P.S. Не забываем про скрипт VMware vSphere Security Hardening Report Check, который позволяет проверить вашу виртуальную инфраструктуру на соответствие VMware vSphere 4.x Security Hardening Guide.
Мы уже писали о ставших официально известными подробностях о новой версии платформы виртуализации VMware vSphere 5.0. С мной поделились интересной ссылкой на подробное описание новых функций vSphere 5.0, которое сделано, судя по всему, на базе Release Candidate версии продукта.
Поскольку я не нахожусь под действием NDA и не участвую в бета-программе, я могу поделиться с вами основными ключевыми возможностями vSphere 5.0 (приведены лишь ключевые особенности - остальные по ссылке выше):
1. Платформа vSphere 5.0 будет построена только на базе гипервизора ESXi - без возможности установки ESX. Сервер управления VMware vCenter 5.0 будет поддерживать управление хостами ESXi 5.0, ESX/ESXi 4.x и ESX/ESXi 3.5.
2. VMware vSphere Auto Deploy - полная поддержка автоматизированного развертывания хостов ESXi.
3. Новые возможности виртуальных машин - 32 виртуальных процессора (vCPU), 1 TB RAM, 3D-акселерация для поддержки Windows Aero, UEFI virtual BIOS, поддержка устройств USB 3.0 (пока только для Linux-систем и только для проброса через vSphere Web Client - напрямую к хосту нельзя). Устройства USB 2.0 теперь поддерживаются к пробросу в виртуальные машины через vSphere Client или vSphere Web Client.
6. Dynamic Resource Scheduling (DRS) for Storage - эта давно ожидаемая функция платформы виртуализации, которая позволит автоматически выравнивать нагрузку на системы хранения путем динамического перемещения работающих виртуальных машин между хранилищами (сейчас это можно сделать вручную за счет Storage VMotion). Пользователи смогут определять группы Datastor'ов (они зовутся Storage Pods), которые будут использоваться для балансировки по хранилищам на базе их заполненности. Предполагается, что это повысит автоматизацию датацентров. Вроде как присутствует и генерация рекомендаций по балансировке и Initial Placement на базе параметров IO.
7. Policy-driven storage delivery - политики размещения виртуальных машин на хранилищах на базе правил, задаваемых администратором. Это позволит регулировать качество обслуживания систем со стороны хранилищ и автоматически определять наилучшее место хранения виртуальных машин.
8. Файловая система VMFS 5.0.
9. Accelerator - новая технология кэширования данных виртуальных ПК для VMware View, увеличивающая их производительность.
10. Полный контроль за iSCSI адаптерами (программными и аппаратными) из графического интерфейса.
12. Swap to SSD - для хранилищ администратор будет назначать тэги, наиболее производительные хранилища SSD будет рекомендовано использовать для хранения swap-файлов в целях ускорения быстродействия.
13. Поддержка LUN для VMFS томов размером более 2 ТБ.
14. Поддержка технологии Storage vMotion для виртуальных машин со снапшотами.
15. Enhanced Network I/O Control (на уровне виртуальных машин) - эта возможность будет позволять резервировать часть канала для приоритетных задач в кластере HA/DRS на случай его перегрузки. Актуально это будет для сетей 10G, где канал шире, а вот физических адаптеров значительно меньше.
16. ESXi Firewal - новый сетевой экран с фильтрами по диапазонам IP для каждой службы.
17. vSphere Web Client на базе технологии Adobe Flex с большим спектром возможностей. Старый vSphere Client под Windows также останется.
18. vCenter Server Appliance - виртуальный модуль на базе Linux с предустановленной службой vCenter. О CTP-версии данного продукта мы уже писали.
19. Enhanced logging support - поддержка логирования на удаленные серверы, в том числе на несколько серверов от одного источника по безопасному каналу SSL. Для vSphere Client будет плагин vSphere syslog listener, который позволит настраивать данную функциональность.
20. Fault Domain Manager - специализированный модуль управления высокой доступностью VMware HA, который еще больше увеличивает уровень доступности виртуальных машин. Кроме того, теперь все хост-серверы VMware ESXi в кластере являются первичными узлами (primary nodes) - то есть кластер HA переживет любое число отказов.
21. Host-based replication for Site Recovery Manager - возможность репликации виртуальных машин на уровне хостов а не SAN-хранилищ (как делается сейчас). То есть, поддержка технологии репликации со стороны СХД будет не нужна, репликация будет работать в асинхронном режиме со стороны хост-серверов. По-сути, это аналог репликации виртуальных машин в продукте Veeam Backup and Replication 5, которая сейчас активно используется в производственной среде многими компаниями для защиты данных виртуальных машин и наиболее быстрого восстановления работоспособности сервисов (показатели RTO).
Выход VMware vSphere 5.0 запланирован на второе полугодие 2011 года. Но скорее всего пятая версия платформы выйдет до VMworld 2011, который начнется 29 августа.
Естественно, информация неофициальная и список новых возможностей VMware vSphere 5.0 может быть изменен в любой момент. Но вот что будет точно - так это отсутствие гипервизора ESX - так что всем организациям пора задуматься о плане перехода на "тонкую" платформу ESXi 5.0.
Если вы вносите изменения в настройки виртуальной машины в файле vmx (что аналогично внесению изменений в Configuration Parameters), например, для ограничения максимального числа снапшотов:
то иногда бывает полезным перезагрузить vmx-файл виртуальной машины без удаления и повторного ее добавления в Inventory vSphere Client. Для этого нужно в консоли выполнить команду:
Механизм VMware High Availability (HA) в VMware vSphere позволяет автоматически перезапустить виртуальные машины отказавшего сервера в кластере с общего хранилища в случае сбоя. При настройке кластера VMware HA можно использовать несколько расширенных настроек (HA Advanced Settings), которые позволяют настроить его работу наиболее гибко.
Таги: VMware, HA, ESX, ESXi, Bugs, vSphere, VI, VMachines, Обучение
Как любая динамичная и бытрорастущая софтверная компания, Veeam потихоньку начинает предъявлять требования к квалификации партнеров. На партнерском портале Veeam появился список курсов для партнеров, прохождение которых и получение соответствующих сертификаций по которым будет необходимо для подтверждения уровней партнерства.
На данный момент основными сертификациями являются VMSP - по направлению продаж и технической поддержке продаж (все курсы - бесплатные).
С одной стороны, прохождение этих курсов требует некоторого времени, но, с другой стороны, это позволит специалистам вашей компании получить новые знания о продуктах Veeam Software и особенностях их продажи.
О решении StarWind Enterprise iSCSI для создания отказоустойчивых хранилищ VMware vSphere и Microsoft Hyper-V мы уже писали немало (для этого есть специальный раздел на нашем сайте) и будем писать еще, пока все кому оно нужно его не купят. А нужно оно очень многим, так как позволяет создать отказоустойчивый кластер хранения на базе существующей инфраструктуры Ethernet при минимальных инвестициях (не надо покупать FC-хранилища, устройства коммутации SAN и прочее).
Сегодня мы поговорим о типе диска Snapshot and CDP Device в StarWind Enterprise iSCSI. Во-первых, вам нужно прочитать первую часть статьи, где описаны основные режимы работы дисков со снапшотами, которые поддерживает продукт.
Диски типа Snapshot and CDP Device можно создать, когда вы выбираете опцию создания виртуального образа Advanced Virtual, а затем Snapshot and CDP Device:
CDP - это Continuous Data Protection, т.е. непрерывная защита данных ваших виртуальных машин. В этом режиме поддерживаются мгновенные снимки хранилища (snapshots), которые защитят вас от утраты каких-либо важных данных по вине пользователя - вы всегда сможете откатиться к снимку, созданному в определенный момент времени.
Какие опции мы имеем (кстати, обратите внимание, что StarWind можно использовать и для Citrix XenServer, где он находится в официальном HCL):
Во-первых, у нас есть три режима работы диска Snapshot and CDP Device...(нажимаем читать дальше и комментировать)
После выпуска черновой версии VMware vSphere 4.1 Security Hardening, содержащей в себе рекомендации по обеспечению безопасности серверной виртуальной инфраструктуры, компания VMware выпустила черновик очередного документа по безопасности VMware View Security Hardening, в котором приведены лучшие практики для инфраструктуры виртуальных ПК.
Основные разделы:
Лучшие практики по использованию продукта vShield Endpoint (об этом мы писали тут и тут)
Безопасность серверов
VMware View Connection Server и Security Server
Безопасность гостевых ОС – Windows 7
Политики использования PowerShell
Использование клиента View with
Local Mode (как он работает - вот тут)
Работа в режиме
Kiosk Mode (публичный доступ к инфраструктуре виртуальных ПК)
Основные общие практики по сопровождению инфраструктуры View (приложения, сертификаты, сетевая безопасность, роли)
В нем раскрываются технические детали работы антивирусных решений с технологией vShield Endpoint и Security VM (вспомогательная виртуальная машина на хосте ESX, осуществляющая сканирование всех ВМ на нем).
RSS
