虚拟化技术初步(12-02-24)

1、虚拟化技术郑伟平2011-7-26Page 2虚拟化技术内容n 1 虚拟化定义n 2 虚拟化分类n 3 全虚拟化与半虚拟化n 4虚拟化实现n 5虚拟化技术比较与选型n 6虚拟化带来的好处n 7虚拟化带来的问题n 8虚拟化适用范围n 9服务器虚拟化过程虚拟化是什么n 从某种意义上讲，计算机的历史是不断虚拟化的历史。n 虚拟技术通过标准的界面（ISA,API等）屏蔽底层复杂性。等）屏蔽底层复杂性。n 计算领域中的虚拟化是创建某种计算资源的虚拟版本的方法和过程。虚拟化对计算机资源的用户(应用程序或终端用户)隐藏了它们的物理特性。n 虚拟化可以将一种抽象接口转换成另外一种抽象接口。Page 3虚拟化技

2、术的复兴n 多任务操作系统/硬件价格下降导致问题 机器数量的泛滥导致资源利用率低 操作系统的复杂性导致其脆弱性 n 一台机器运行一个应用程序带来的问题 硬件需求增加, 资源利用率低 增加了硬件费用、管理和能源负担 n 虚拟化技术的其他好处 - 易管理 - 提高安全性和可靠性Page 4虚拟化定义n 虚拟化是指对物理资源的逻辑表示（而非简单的抽象），通常是将一组物理资源虚拟为多组逻辑资源，或者将多组物理资源虚拟为一组逻辑资源。n Virtualization is the creation of a virtual (rather than actual) version of somethin

3、g in the area of computing, such as an operating system, a server, a storage device or network resources.Page 5虚拟化的动机Page 6“计算系统利用率不高！“多数用户承认，计算系统平均利用率只有25%30%”性能测试报告，来自权威性能测试机构Metrons AthenePage 7虚拟化的目标Page 8n 系统虚拟化是将底层物理设备与上层操作系统、软件分离的一种去耦合技术n 虚拟化的目的是实现IT资源利用效率和灵活性的最大化 去耦合：软件与硬件去耦合；应用程序与操作系统去耦合虚拟化

4、概念Page 9Page 10虚拟化技术内容n 1 虚拟化定义n 2 虚拟化分类n 3 全虚拟化与半虚拟化n 4虚拟化实现n 5虚拟化技术比较与选型n 6虚拟化带来的好处n 7虚拟化带来的问题n 8虚拟化适用范围n 9服务器虚拟化过程虚拟化分类Page 11服务器虚拟化n 服务器虚拟化技术本质上是由虚拟机监视器（Virtual Machine Monitor , VMM）对底层资源进行模拟和划分，向上层表现出多组虚拟计算资源，支持多个虚拟计算环境。n VMM是整个虚拟系统的核心，它承担了资源的管理、分配和调度，保证多个虚拟机能够相互隔离，各自运行自己的操作系统（OS）。n 编程语言级虚拟化：典

5、型代表JAVA，一次编写多平台运行。n 操作系统虚拟化：Cygwin, winen ISA层虚拟化：采用软件模拟指令集的实现方式，截获客户操作系统（Guest OS）发出的指令，把这些指令翻译成系统所在的硬件平台上可以识别的指令。n 硬件虚拟化：分为全虚拟化和半虚拟化，以及硬件辅助的虚拟化。Page 12两种典型的VMM体系结构Page 13例如：ESX Server依赖虚拟层内核代理和帮助应用的服务控制台例如：GSX Server, 虚拟化 Server, Workstation安装和运行应用程序依赖于主机操作系统对设备的支持和物理资源的管理寄居架寄居架构构（Hosted Architect

6、ure）裸金属裸金属架架构构 (“Bare Metal” Architecture)两种典型的VMM体系结构Page 15虚拟化技术内容n 1 虚拟化定义n 2 虚拟化分类n 3 全虚拟化与半虚拟化n 4虚拟化实现n 5虚拟化技术比较与选型n 6虚拟化带来的好处n 7虚拟化带来的问题n 8虚拟化适用范围n 9服务器虚拟化过程全虚拟化与半虚拟化n 全虚拟化：全虚拟化技术的本质是利用二进制代码动态翻译技术，动动态地重写虚拟机的执行代码态地重写虚拟机的执行代码，在需要VMM监控和模拟的位置插入陷入指令。这里所提及的陷入指令指的就是当客户操作系统执行到一些特权指令时，就把这些指令陷入到VMM中，由VM

7、M监控和模拟执行，并把模拟结果返回给客户操作系统，避免多个客户操作系统之间因资源竞争发生冲突。该技术的优势在于用户操作系统能够不经修改直接在虚拟机上运行，其缺点是动态翻译带来一定的性能开销。n 半虚拟化：半虚拟化技术通过修改客户操作系统的源代码，将需要监控的操作替换为对VMM的超级调用（Hypercall），实质上，在这种虚拟化方式下，VMM向客户操作系统呈现的不是经过虚拟化的虚拟资源，而是访问硬件资源的抽象API。该技术的优势在于虚拟机能够在硬件上直接运行，使客户操作系统能获得接近直接在裸机上运行的性能，其缺点是需要修改客户操作系统的源代码，使虚拟机上使用的操作系统类型受到限制，现有的一些参

8、考文献对比了在某一种虚拟机产品（如Xen）上修改不同类型操作系统（Windows，Linux）的源代码的工作量的差异性。Page 16硬件辅助的虚拟化n 硬件厂商通过改进其硬件设备来提供对虚拟化的支持。n 典型的例子是x86处理器的两大生产Intel和AMD。其基本思想是引入新的指令和处理器运行模式，使得VMM和Guest OS运行在不同的模式下，Guest OS只能在受控的模式下运行，当需要由VMM进行监控和模拟时，由硬件支持模式的切换。n 硬件虚拟化支持使得Guest OS能够直接运行在物理硬件上，提高了虚拟化性能，也极大的方便了VMM的设计和开发。n Intel VT-x: 4个特权级n

9、 AMD SVMn Intel VT-dn Intel VT-cPage 17Page 18虚拟化技术内容n 1 虚拟化定义n 2 虚拟化分类n 3 全虚拟化与半虚拟化n 4虚拟化实现n 5虚拟化技术比较与选型n 6虚拟化带来的好处n 7虚拟化带来的问题n 8虚拟化适用范围n 9服务器虚拟化过程虚拟机实现：VCPUn 虚拟CPU(VCPU)VMM按照其权重随机加入每个物理核的运行队列n 每个时刻一个VCPU映射至一个物理核，实现初级安全隔离机制n 提供VCPU的pin机制，使得某个VCPU固定运行于某个物理核Page 19内存虚拟化n VMM将VM中的虚拟物理内存连续地址映射至非连续的物理内存

10、空间n 通过虚拟物理内存向物理内存的映射页表机制实现初级内存安全隔离n 虚拟机可以通过共享内存进行通信Page 20I/O虚拟化n VMM将不同虚拟机磁盘分区分别映射至物理磁盘n 通过文件系统的功能实现虚拟机对磁盘I/O的初级安全隔离n 虚拟机可以共享文件系统文件，系统可以动态地在不同虚拟机mount/ unmountPage 21关键：云计算管理平台n 自动化部署能力n 迁移能力n 弹性提供能力n 资源监控能力n 资源调度能力n 计费度量、业务管理能力Page 22Page 23虚拟化技术内容n 1 虚拟化定义n 2 虚拟化分类n 3 全虚拟化与半虚拟化n 4虚拟化实现n 5虚拟化技术比较与

11、选型n 6虚拟化带来的好处n 7虚拟化带来的问题n 8虚拟化适用范围n 9服务器虚拟化过程虚拟化技术选型：ESXn ESX是VMware的企业级虚拟化产品，2001年开始发布ESX 1.0，到2011年2月发布ESX 4.1 Update 1。Page 24vSphere API存储网络安全性 设备ESX 4.0 组件概述VMkernel集群VM File System设备驱动程序存储栈vSwitch（数据 I/O 板）网络堆栈Virtual SMPVMMVMMVMMVMM物理硬件物理硬件服务控制台服务控制台hostd管理代理和接口其他外围 I/O定期负载平衡器资源管理PSAESX虚拟化n 虚

12、拟机对于CPU和内存资源是通过VMkernel直接访问，最大程度的减少了开销，CPU的直接访问得益于CPU硬件辅助虚拟化（Intel VT-x和AMD AMD-V，第一代虚拟化技术），内存的直接访问得益于MMU（内存管理单元，属于CPU中的一项特征）硬件辅助虚拟化（Intel EPT和AMD RVI/NPT，第二代虚拟化技术）。n 虚拟机对于I/O设备的访问则是有多种方式，以网卡为例，有两种方式可供选择，一是利用I/O MMU硬件辅助虚拟化（Intel VT-d和AMD-Vi）的VMDirectPath I/O，使得虚拟机可以直接访问硬件设备，从而减少对CPU的开销；二是利用半虚拟化的设备VM

13、XNETx，网卡的物理驱动在VMkernel中，在虚拟机中装载网卡的虚拟驱动，通过这二者的配对来访问网卡，与仿真式网卡（Intel E1000）相比有着较高的效率。n ESX的物理驱动是内置在Hypervisor中，所有设备驱动均是由VMware预植入的，因此，ESX对硬件有严格的兼容性列表，不在列表中的硬件，ESX将拒绝在其上面安装。Page 26虚拟化选型：Hyper-Vn Hyper-V是微软新一代的服务器虚拟化技术，首个版本于2008年7月发布，目前最新版本是2011年4月发布R2 SP1版，Hyper-V有两种发布版本，一是独立版，如Hyper-V Server 2008，以命令行界

14、面实现操作控制，是一个免费的版本；二是内嵌版，如Windows Server 2008，Hyper-V作为一个可选开启的角色。Page 27Hyper-V虚拟化n Hyper-V的Hypervisor仅实现了CPU的调度和内存的分配，而父分区控制着I/O设备，它通过物理驱动直接访问网卡、存储等，子分区要访问I/O设备需要通过子分区操作系统内的VSC（虚拟化服务客户端），对VSC的请求由VMBUS（虚拟机总线）传递到父分区操作系统内的VSP（虚拟化服务提供者），再由VSP重定向到父分区内的物理驱动，每种I/O设备均有各自的VSC和VSP配对，如存储、网络、视频和输入设备等，整个I/O设备访问过程

15、对于子分区的操作系统是透明的。其实在子分区操作系统内，VSC和VMBUS就是作为I/O设备的虚拟驱动，它是子分区操作系统首次启动时由Hyper-V提供的集成服务包安装，这也算是一种半虚拟化的设备，使得虚拟机与物理I/O设备无关。如果子分区的操作系统没有安装Hyper-V集成服务包或者不支持Hyper-V集成服务包，则这个子分区只能运行在仿真状态。n Hyper-V的Hypervisor是一个非常精简的软件层，不包含任何物理驱动，物理服务器的设备驱动均是驻留在父分区的Windows Server 2008中，驱动程序的安装和加载方式与传统Windows系统没有任何区别，因此只要是Windows支

16、持的硬件，也都能被Hyper-V所兼容。Page 28虚拟化选型：XENn XEN最初是剑桥大学Xensource的一个开源研究项目，2003年9月发布了首个版本XEN 1.0，2007年Xensource被Citrix公司收购，开源XEN转由继续推进，该组织成员包括个人和公司（如Citrix、Oracle等），目前该组织在2011年3月发布了最新版本XEN 4.1。Page 29XENn XEN支持两种类型的虚拟机，一类是半虚拟化（PV，Paravirtualization），另一类是全虚拟化（XEN称其为HVM，Hardware Virtual Machine）。半虚

17、拟化需要特定内核的操作系统，如基于Linux paravirt_ops（Linux内核的一套编译选项）框架的Linux内核，而Windows操作系统由于其封闭性则不能被XEN的半虚拟化所支持，XENXEN的半虚拟化有个特别之处就是不要求的半虚拟化有个特别之处就是不要求CPUCPU具备硬件具备硬件辅助虚拟化，辅助虚拟化，这非常适用于2007年之前的旧服务器虚拟化改造。全虚拟化支持原生的操作系统，特别是针对Windows这类操作系统，XEN的全虚拟化要求CPU具备硬件辅助虚拟化，它以修改的Qemu仿真所有硬件，包括：BIOS、IDE控制器、VGA显示卡、USB控制器和网卡等，为了提升I/O性能，全

18、虚拟化特别针对磁盘和网卡采用半虚拟化设备来代替仿真设备，这些设备驱动称之为PV on HVM，为了使PV on HVM有最佳性能，CPU应具备MMU硬件辅助虚拟化。n XEN的Hypervisor层非常薄，少于15万行的代码量，不包含任何物理设备驱动，这一点与Hyper-V是非常类似的，物理设备的驱动均是驻留在Dom 0中，可以重用现有的Linux设备驱动程序，因此XEN对硬件兼容性也是非常广泛的，Linux支持的，它就支持。Page 30XENn A Xen system is structured with the Xen hypervisor as the lowest and most

19、 privileged layer. Above this layer are “one” or “more” guest operating systems, which the hypervisor schedules across the physical CPUs. n The first guest operating system called in Xen terminology a.k.a domain 0 (dom0), is booted automatically when the hypervisor boots and given special management

20、 privileges and direct access to the physical hardware. n System administrator can log into dom0 in order to manage any further guest operating systems, called domain U (domU) in Xen terminology.Page 31虚拟化选型：KVMPage 32KVMn Open source software, full virtualization solution for Linux on x86 hardware,

21、 which containing virtualization extensions (Intel VT or AMD-V). n It consists of a loadable kernel module:n “kvm.ko”, that provides the core virtualization infrastructure.n “kvm-intel.ko”, processor specific module for Intel CPU.n “kvm-amd.ko”, processor specific module for amd CPU.n KVM also requi

22、res a modified QEMU although work is underway to get the required changes upstream.n By using KVM, one can run multiple virtual machines running unmodified Linux or Windows images. Each virtual machine has private virtualized hardware: a network card, disk, graphics adapter, etc.Page 33虚拟化技术比较n 在稳定性

23、方面，由于Vmware成熟时间长，商用化规模较大，其稳定性都得到了验证。n 在通用性方面，Vmware支撑的虚机操作系统最多，但硬件兼容性不佳。n 在可扩展性方面，Vmware和Hyper-V均有大规模的部署能力和实例，其他待验证。n 在可管理性方面，Vmware Vcenter功能丰富，不仅是虚拟机管理，在网络、存储等方面均实现了统一管理，Hyper-V的SC系统可以从物理机到虚拟机统一管理。Page 34虚拟化管理软件n Eucalyptus, n OpenNebula,n OpenStack,n OpenQRM, n XenServer, n Oracle VM, n CloudStac

24、k, n ConVirthttp:/ Comparison and Critique of Eucalyptus, OpenNebula and Nimbushttp:/ 35Page 36Page 37Page 38Page 39Page 40Page 41Page 42Page 4336页页-42页的资料来页的资料来自自“天涯云计算平天涯云计算平台台”蒋清野演讲稿蒋清野演讲稿Eucalyptus, OpenStack, OpenNebula社区活跃度比较社区活跃度比较n http:/ 44oVirtn oVirt 是基于 KVM 项目的开源软件，该虚拟机软件支持主流的 x86 硬件，并允许

25、用户在其上运行 Linux 及 MS Windows 操作系统。 oVirt 提供基于 Web 的虚拟机管理控制平台，无论是一台主机上的几个虚拟机，还是管理数百台主机上的成千个虚拟机，它皆能胜任。该虚拟机软件适用于 i386 和 x86_64 架构的安装文件。值得注意的是，运行 oVirt 除了要求硬件具有虚拟化支持外，还应事先安装好 kvm、libvirt、virt-manager、virt-viewer 等软件。n 红帽在2011年12月与合作伙伴IBM、Intel、NetApp、SUSE宣布了oVirt 开源项目，Cisco也成为新的合作伙伴。这个项目结合了Red Hat Enterpr

26、ise Virtualization管理（RHEV-M）代码、基于内核的虚拟机（KVM）hypervisor，以及运行虚拟机和诸如libvirt与v2v这样的虚拟化工具的oVirt节点Page 45Page 46Page 47Page 48虚拟化技术内容n 1 虚拟化定义n 2 虚拟化分类n 3 全虚拟化与半虚拟化n 4虚拟化实现n 5虚拟化技术比较与选型n 6虚拟化带来的好处n 7虚拟化带来的问题n 8虚拟化适用范围n 9服务器虚拟化过程虚拟化带来的好处n Isolationn Consolidationn Migrationn ReplicationPage 49虚拟化优势：Isolati

27、onPage 50虚拟化优势：ConsolidationPage 51能源成本持续增加，正在占有更多的预算2006年美国数据中心消耗了45亿美金的电能*建造新的数据中心的成本：假定1000美金每平方尺碳消耗: 300美金每台服务器* EPA report to Congress on Data Center Energy Efficiency, July 2007“未来五年，多数数据中未来五年，多数数据中心都将为耗电付出昂贵代心都将为耗电付出昂贵代价，耗电和制冷的花费会价，耗电和制冷的花费会相当于硬件架构的采购成相当于硬件架构的采购成本本”来源于来源于: Gartner, 2007年年2月月从

28、数据中心成本来看.n 数据中心产生大量的CO2n 满满一个机架的刀片服务器 = 20-25 kW = 加州30个家庭顶峰用电量n 美国数据中心 = 450亿度电, 1.5%的总消耗量*n 数据中心电力消耗和2000年相比增加了一倍还多n 每台服务器移走或者关掉可以减少大约12.5吨的CO2排放n 大约相当于马路上减少1.5辆汽车(12,000哩 20 哩每加仑)或者每年植55颗树* EPA report to Congress on Data Center Energy Efficiency, July 2007从环境保护的角度来看使用 虚拟化 Converter在线无缝地将物理系统转换为虚拟

29、机。Microsoft Exchange 服务器服务器Microsoft IIS Web 服务器服务器Microsoft SQL ServerWindows XP、Vista桌面桌面虚拟化 Converter物理到虚拟迁移虚拟化优势：MigrationPage 55功能n 当服务器故障时，自动重新启动虚拟机优势n 经济有效的适用于所有应用的高可用n 不需要独占的stand-by 硬件n 没有集群软件的成本和复杂性经济有效的适用于所有应用的高可用解决方案经济有效的适用于所有应用的高可用解决方案X虚拟架构优势： 虚拟化 HA提高了系统的可用性虚拟化优势：ReplicationPage 57 333

30、服务器替换/年=节省10,000人/小时3 - 10 天硬件采购天硬件采购20-40 小时，为一台服务器安装操作小时，为一台服务器安装操作系统和应用程序系统和应用程序硬件上架及安装安装操作系统及补丁配置安全设置，域和用户权限配置网络(IP地址, DNS名字等)配置存储(and SAN settings if appropriate) 安装必要的系统管理代理、备份代理、和其他必要的系统软件安装和配置应用软件测试应用安排宕机时间/数据迁移15-30 分钟，分钟， 用模板和自部署向导或用模板和自部署向导或拷贝虚拟机，启动即可拷贝虚拟机，启动即可把虚拟机拷贝然后重新启动工具已经安装应用已经安装，配置完

31、成依赖硬件可用性易发生人为错误标准化困难审核困难需要数天，甚至数周部署挑战部署挑战虚拟架构优势：快速统一部署服务器Page 59虚拟化技术内容n 1 虚拟化定义n 2 虚拟化分类n 3 全虚拟化与半虚拟化n 4虚拟化实现n 5虚拟化技术比较与选型n 6虚拟化带来的好处n 7虚拟化带来的问题n 8虚拟化适用范围n 9服务器虚拟化过程虚拟化带来的问题n 虚拟化技术带来的性能问题虚拟化技术带来的性能问题n 虚拟化技术带来的安全问题虚拟化技术带来的安全问题n 虚拟化技术带来的故障定位问题虚拟化技术带来的故障定位问题n 虚拟机迁移问题虚拟机迁移问题Page 60性能问题n 实验对比了各种Xen虚拟机实例

32、与非虚拟化环境下的Linux操作系统的网络吞吐量。n Xen-domain0是Xen产品中一个特殊的虚拟机，能直接访问各种硬件资源；Xen-guest0是指同时运行一个Xen-domain0和一个普通的虚拟机（VM）实例，两者拥有各自的网卡设备，共享CPU资源；Xen-guest1与Xen-guest0大致一样，二者不同是Xen-guest1中的Xen-domain0和普通虚拟机各自拥有一个CPU，不存在CPU资源竞争。Page 61性能问题n 文献研究对比了无虚拟化状态下的机器与Amazon EC2数据中心的两种虚拟机实例small instance和medium instance的响应时延

33、；small instance与medium instance的区别在于small instance这一种虚拟机相互间竞争CPU资源，而每个medium instance虚拟机都拥有两个CPU，彼此之间不存在CPU资源的竞争。n Guohui Wang, T. S. Eugene Ng,The Impact of Virtualization on Network Performance of Amazon EC2 Data CenterJ. IEEE INFOCOM 2010 proceedingsPage 62安全问题n 现有的安全工具和策略在物理设备中得到实践，并有较好的效果，但这些工具

34、和策略都是基于物理设备是由固定的自然属性识别这一特点的；而一个虚拟化结构是隐藏和动态变化的，一台服务器上的虚拟机很容易被迁移或复制到另一台服务器上，因此，适用于现有物理设备上的安全工具和策略在虚拟化环境中显得有点力不从心，制定什么样的安全策略来应对这种变化的环境，也是需要解决的问题。Page 63访问控制方法n 用于保护虚拟机和其他信息的相关技术n 采用机制与策略分离n 参照监视器(reference monitor)Page 64VMWare中的访问控制VMsafe 如何工作?n 虚拟机企图执行受限代码n VMsafe以事件方式通知 VBE security agentn 经检测验证是合法请

35、求n 虚拟机执行该操作，得到结果VMSafe enable的的Virtual appliances ：VBE安全服务代理安全服务代理Security APIESX Server状态度量方法n 在设定Hypervisor和Dom0为可信的情况下，监控虚拟机运行状态n 例如在采用虚拟化技术的云平台中，需对运行一段时间后的虚拟机时行状态度量，判断系统及应用有无篡改、攻击Page 66状态度量n 度量模块(MM) 对度量对象中的可执行文件、内核加载模块、动态链接库在加载前进行记录和度量n 度量列表 度量模块对度量对象进行度量运算，得到一系列的度量值n 参照列表 度量对象的初始度量值Page 67隐蔽通

36、道n 信息泄漏是计算机系统中一直存在的一个安全隐患，这是由于很多安全系统的设计者或者一些安全手段和策略，都没有将信息泄漏考虑在内。n 隐蔽通道是信息泄漏的重要渠道，对于隐蔽通道，并没有统一的定义，下面这种定义比较具有代表性的：n 隐蔽通道是那些隐蔽通道是那些“看起来并不像数据客体的实体，它们被用来从一看起来并不像数据客体的实体，它们被用来从一个主体传递信息到另一个主体个主体传递信息到另一个主体”。Page 68隐蔽通道举例n 服务器进程可用下列方式传送二进制位流。为了传送1，在一段时间内，它不停地进行运算。传送0时，服务器进程睡眠同样的时间段。n 合作者进程仔细地监视它自己的响应时间，从而检测

37、出服务器进程传送的位流。一般说来，服务器进程在传送0时，协调进程的合作者进程速度要比传送1好得多。这种通信通道称为隐蔽通道(covert channel)。n 除了上述调节CPU使用强度实现秘密通道之外，还可以采用调节页面率、文件锁等方法。n 如果系统提供锁文件的方法，服务器进程可以给某些文件加锁以表示1，而释放锁表示0。合作者进程通过检测文件的锁状态，接收服务器进程发送的二进制流11010100。Page 69故障定位问题n 虚拟化技术把底层物理设备抽象表示成虚拟资源，虚拟机运行在这些虚拟资源上提供各种服务。问题：n 某个设备或部件发生故障时会影响到哪些虚拟机以及这些虚拟机上的哪些服务。n 这些故障定位的工作是虚