服务器虚拟化在存储和安全方面的问题

服务器虚拟化带来存储瓶颈

一、 存储性能下降以及I/O瓶颈

让IT管理员非常郁闷的是，存储性能增长速度相比于计算能力的增长，其明显要慢得多。对于虚拟化而言，I/O瓶颈和缓慢的存储性能成为头号难题。“虚拟化可以让你在单个物理硬盘上进行频繁的操作，但这会产生大量的I/O流，所以会加大了磁盘的工作工作负载，并且缓存越来越难对性能进行提升，”Taneja Group高级分析师Jeff Boles表示，“虚拟化能够让我们完成比实际计算能力更多的工作。”

二、 更复杂的数据备份和灾难恢复

这方面最大的错误之一就是试图使用传统备份方法来保护虚拟基础设施。对于传统备份，从硬件上的虚拟机数量来看，降级和备份性能并不只是线性降级。你想在夜晚保护这些虚拟服务器，而这无疑将制造一场备份争夺战。而当你试图在这一台物理服务器上同时进行10个备份，服务器内部的内存、CPU、网络和存储将出现激烈争斗。

使问题更加复杂的是工作负载迁移工具（例如VMware的Storage vMotion），这些工具可以让用户在共享存储位置之间迁移虚拟机磁盘文件，必须保持与这些随时可能迁移的虚拟服务器相关的备份的有效进行，这又可能陷入其他瓶颈，真是让人头痛的问题。

三、虚拟桌面的I/O困境

虚拟桌面I/O工作负载正在严重“折磨”硬盘阵列。现在恐怕只有入门者还在运行个人工作站的传统I/O工作负载，而大部分IT部门都在运行成千上万个虚拟桌面，且是在单个存储平台进行，这造成了极大的I/O 混乱。

“他们在磁盘的不同位置进行顺序I/O操作，从阵列角度来看，这无疑使简单易用的顺序I/O模式变成了讨厌的随机I/O模式，”固态存储阵列制造商WhipTail Technologies公司James Candelaria表示。

这对于传统存储阵列是个严重的问题，因为很多公司没有足够的缓存来处理涌入的数据，这就会出现缓存故障，减慢系统速度。

四、 难以管理共享存储

企业通常有很多不同的工作负载存储在存储系统中，对于管理员而言，存储卷、每卷支持的工作负载、对每卷的要求以及什么占用容量之间并不存在明确的关联性。

五、存储基础设施需要同时适应物理和虚拟环境

与备份和恢复困境相似，很多管理员表示很难将其存储基础设施适应于传统和虚拟混合环境。

六、 为虚拟服务器选择正确的网络存储存在困难

“如果选择正确的话，网络存储可以带来很多好处，你可以获得更好的性能，更简化的流程，”Boles表示，但是选择正确的解决方案在很大程度上取决于企业的目标。

在普渡大学克兰纳特管理学院，IT部门的首要任务不是虚拟环境的24*7可用性，而是更快的恢复时间，如果系统崩溃的话，IT经理Jeff Ellow表示。

在不造成巨大性能损失的情况下，虚拟化存储密集型服务器需要一定水平的存储性能，而这是SAN无法实现的。很明显适合普渡大学的是10千兆的 iSCSI，但是成本是个很大的问题。普渡大学最终选择了LSI 6Gbps SAS 交换技术，该技术提供了故障转移SAN的优势以及端到端本地SAS 6Gbps数据路径的性能，更重要的是，成本也在他们可以接受的水平。

安全问题不可忽视

一、单点故障风险

要考虑服务器硬件性能是否满足需求。在一台物理服务器上部署承载企业IT应用的多个虚拟服务器时，要提前做好应对物理硬件发生故障的准备，否则不能及时恢复将给企业带来灾难性的后果。

因此我们推荐同时使用另一台物理服务器做镜像备份和冗余设置，虽然增加了虚拟化成本，但当故障发生时，备用服务器能立刻上线运行，有效避免了服务器物理损伤而导致的全盘虚拟服务器崩溃。这也是大部分企业所采用的方法，毕竟谁也保证不了物理服务器永远恒定。同时，对供电系统，防雷电干扰，散热系统等等包括自然灾害的相关因素都必需考虑到。

当然最好为每一台虚拟机映射一个独立的物理磁盘分区，以便将其从逻辑上隔离，起到互不干扰的效果。尤其针对大型企业的服务器集群。当某一块物理硬件出现故障，其对应的应用应该能及时从这台机器上动态迁移到别的机器上。这需要通过VMware、微软等虚拟化平台软件实现，保证了应用服务不会异常中断，提供了高可靠性，减少损失。

二、潜在攻击威胁

对于访问者而言虚拟服务器和物理服务器没有区别，同样面临被人恶意攻击的风险，一旦一台有漏洞的虚拟机被攻陷，安全威胁就可以透过网络散布到其它的虚拟机器，威胁整个虚拟机管理系统。

解决办法要依赖于管理员，大多安全隐患就存在于虚拟机系统补丁的落后。更新系统补丁、应用程序补丁在内的补丁的及时性，对所允许运行的服务、开放的端口等等都应进行审慎的考量，每台虚拟机的安全策略也应当针对不同的作用而有所区别。保护物理服务器的稳定安全，是安全防范工作的重中之重，毕竟物理服务器是虚拟服务器的根本。

网络构架对安全的防护也很重要，体现在各虚拟机的网络独立性。通过VLAN和不同的lP网段的方式可以实现对各虚拟机的逻辑隔离，有相互通信需求的虚拟服务器可采用VPN的方式来进行网络连接，保护它们之间网络传输的安全。此外，管理员还要有明确的监控手段，如果不能了解各个虚拟机之间联系，你将面对一个失控的虚拟服务器网络。

三、病毒侵害

关于病毒的防护，通常的做法是将每一个独立的虚拟机单独安装杀毒软件以及防木马工具等。但其总体占用的系统资源对服务器而言也是很可怕的，只怕没等病毒入侵，光凭众多杀毒软件所带来的系统冗余就给你的系统拖得疲惫不堪了。

现在有个好方法，就是寄希望于虚拟化平台厂商与杀毒软件厂商合作，专门开发出用于虚拟化平台整合的杀毒软件，相当于为每一台虚拟机设置一台安全检查设备，去过滤进出这些虚拟机的所有流量，于是虚拟机器就不需要安装任何的软件便能得到保护。只是目前还没有此类平台的相关消息，相信随着服务器虚拟化的普及发展，一切都会有的。

四、虚拟机的数据安全保护

究其根本，虚拟机只是存储在实体硬盘的几个文件，一旦有人取得存取硬盘的权限，就能将这些文件复制到其它装置，泄露出去。因此在权限管理上应提出更高的要求，对共享文件也应进行加密处理。

每台虚拟服务器，都必需实施相应的备份策略，对配置文件、虚拟机文件及其中的重要数据都要进行备份。需要做完善的备份计划，包括完整备份、增量备份或差量备份方式。此外，将数据和备份数据保存至其它服务器是行之有效的安全保护方法，但是这也增加了成本和管理复杂度。

不管是任何技术，有其优异的一面就会有限制性的一面。但是随着技术的不断进步，很多虚拟化过程中出现问题都会有其解决方法。