云计算平台中的虚拟化技术与安全机制

开篇：润墨网以专业的文秘视角，为您筛选了一篇云计算平台中的虚拟化技术与安全机制范文，如需获取更多写作素材，在线客服老师一对一协助。欢迎您的阅读与分享！

【 摘 要 】 随着云计算的普及，其安全问题变得越来越重要。本文通过研究存储虚拟化和网络虚拟化技术，设计并部署了一个弹性和安全的虚拟化集群。该集群利用虚拟化技术把云计算用户空间在逻辑上相互隔离，有效地解决了共享性和安全性之间的矛盾。该集群也具有良好的可扩展性、高可用性和较低的成本。

【 关键词 】 存储虚拟化；网络虚拟化；安全性

Virtualization and Security Mechanisms in Cloud Computing

Du Jin-xiu Zhuang Zhu Zou Ming

（Beijing Computing Center Beijing 100094）

【 Abstract 】 As cloud computing is rapidly spreading， cloud security is becoming more and more concerned. We have designed and built a secure and elastic virtual cluster of VMs， through researching on the technology of storage virtualization and network virtualization. The cloud users’ space is logically isolated in this virtual cluster. As a result， security is achieved with data sharing， as well as scalability， high availability and lower cost.

【 Keywords 】 storage virtualization； network virtualization； security

1 引言

作为云计算的关键技术，虚拟化技术已经越来越多的引起人们的关注，甚至成为了云计算不可或缺的一部分。不管是Linux还是Windows平台，XEN、KVM和VMware ESXi等虚拟化技术已经成为主流，而Intel和AMD这些CPU厂商也提出了相应的虚拟化方案Intel-VT/AMD-V，从指令集层面实现了对虚拟化的支持。

完全虚拟化是在虚拟机和硬件层之间加入一个抽象层――Hypervisor。它可以屏蔽底层的硬件细节，为虚拟机访问硬件层充当翻译。因此，它们需要CPU技术的支持。KVM和ESXi都是支持完全虚拟化的Hypervisor。

完全虚拟化模式下的Hypervisor需要管理多个相互独立的虚拟机，需要非常密集的CPU指令操作。这会影响到虚拟化的性能。而准虚拟化技术则是通过改动虚拟机上的操作系统，使它们在虚拟环境中与Hypervisor更好的协同工作，从而减少CPU的负担，提高虚拟化的性能。但是这种方式的适用性没有完全虚拟化技术广泛。

虚拟化技术可以使我们设计出更具弹性和扩展性、更加灵活、也更加安全的架构。利用虚拟化技术不仅可以简化IT体系结构，降低运维管理的难度，同时也把资源细化并重新整合，能最大化地利用系统资源，以更少的投入带来更多的效用，避免IT资源的盲目扩张。

2 设计目标

云计算平台往往需要有一个庞大的数据中心作为计算和存储资源池，这个数据中心具有多台主机的强大功能，而管理起来如同对一台主机进行操作一样。由于它是高内聚的并且对外透明的，能大大降低运维工作的复杂性。

虚拟化集群较传统的机群增加了虚拟机的动态迁移等调控手段，能更好地为各种应用合理分配和调度计算存储资源以及负载均衡，更具动态性和灵活性。为部署云计算平台，我们的首要目标是搭建一个稳定、弹性、安全的虚拟化集群。这个集群需要满足下列目标。

2.1 高可用

集群管理服务器应能定时探测物理主机和虚拟机的可用性。一旦虚拟机发生故障，相同镜像的另一个虚拟机将启动并取代原虚拟机提供服务。如果是物理主机宕机，系统则会选择可用的物理主机重启故障主机上的虚拟机。用多台服务器作为一组服务集群，每台服务器都处于工作模式。一旦某台服务器发生异常，在它上面运行的任务应能即时地切换到其他服务器上。所有的服务器需要使用共享的存储空间，以保持数据一致性。

2.2 安全性

需要通过冗余和校验等技术，充分确保数据在存储过程中不会发生错误。即使设备发生故障，数据也应能自动恢复。不同的服务之间应该是相互隔离的，这样可避免非法入侵者利用内部服务进行攻击。不同用户的逻辑空间也是不允许相互访问的，以防止合法用户之间非法访问。

2.3 扩展性

如果需要，可以在短时间内利用模板生成多个相同的虚拟机实例，从而快速提高系统的负载能力。因此，应将虚拟机镜像预先做成模板存放。由于用户的数据是不断扩大的，用户的存储空间应能动态的扩展。这些操作对最终用户来说是透明的，数据规模可以支持到PB级别。

3 虚拟化解决方案

我们采用一个基于VMware的虚拟化集群管理系统和一个基于光纤的SAN以及一个基于LeoFS的分布式文件系统搭建一个高可用、低能耗、安全、高效的弹性云平台。整个平台主要分为五个区域：接入区、系统存储区、数据存储区、计算集群区和云应用区。其架构如图1所示。

其中，接入区是该云平台接入互联网的区域，也是用户访问云服务的入口。云应用区是一个弹性的虚拟化集群，各种SaaS应用部署并运行其中。计算集群区是一个高性能计算机和网络组成的集群，为云平台提供计算资源池和系统软件支撑。镜像存储区和数据存储区分别是VM系统镜像和用户数据的存储空间。

3.1 主机虚拟化

我们采用基于vSphere的虚拟化解决方案将高性能计算集群聚合成一个计算资源池。在此基础上，把资源池划分成更小的分配和调度粒度――虚拟机。也就是说，我们在物理集群之上加了一个虚拟化层。使得虚拟服务器的配置和管理不再直接依赖于各种复杂设备，实现了标准化，也更加的灵活与敏捷。

利用基于Web的虚拟机监控和管理工具，管理员可以实时监控虚拟机的运行状况，定义管理和控制策略。为实现高可用，我们部署了两套网络，使管理网络独立于数据传输网络。管理网络上实现了虚拟机的动态迁移、故障恢复等功能。

3.2 存储虚拟化

虚拟机的镜像文件存放在光纤 SAN存储上，以RAID5磁盘阵列和光纤交换网络为基础，光纤 SAN是一种高可靠和高性能的存储形式。使用VMFS虚拟化并发文件系统实现共享，使虚拟机可以迁移。其网络结构如图2所示。

虚拟机内的数据存放在LdFS和LeoFS分布式文件系统上，可动态扩容。虚拟机内通过安装客户端共享访问LoongDisk服务器。我们部署了两台LoongDisk服务器开启双工互为备用的模式。这两台LoongDisk服务器挂载同一台LoongStore服务器作为共享存储，以实现高可用、容灾和负载均衡。其网络结构如图3所示。

3.3 网络虚拟化

通过划分不同的VLAN，我们将整个物理网络分割成了多个小规模的虚拟网络。不同虚拟网络之间设置成相互隔离的网段。物理主机上的不同虚拟机可以通过虚拟交换机选择加入不同的虚拟网络。虚拟化技术提高了整个平台的网络安全性和管理的灵活性。其虚拟网络划分如图4所示。

物理交换机划分成3个VLAN区域：区域1连接共享存储系统，即LdFS VLAN；区域2连接VM主机、虚拟集群调度服务器和管理虚拟机组，即管理网络VLAN0；区域3连接虚拟集群组，即VLAN1～VLAN16。交换机端口设置为trunk模式，并设置隔离策略。区域1和区域3之间通过路由模块实现网络层的互联。

虚拟交换机VLAN划分：每个VM主机起用两个vSwitch，一个作为虚拟集群的数据通讯出口，设置为VST模式。其中，VLAN编号需要与物理交换机的区域3内编号相对应。另一个作为管理网络，设置为EST模式。

4 结束语

为保证虚拟机的安全性，所有虚拟机镜像文件所使用的存储是光纤SAN。但是其成本非常高，所以只适合存放容量较小的虚拟机镜像文件。此外，我们借助LeoFS分布式文件系统实现了廉价和弹性可扩展的存储。LeoFS使用普通硬盘作为存储介质，而且不需要做RAID。LeoFS分布式文件系统实现了数据冗余和备份，从而在保证数据安全的同时，也实现了低成本和高性能。

为保证网络安全性，我们通过ACL访问策略使虚拟集群的16个VLAN相互不能访问，从而实现了逻辑上的网络隔离。同时，虚拟集群的所有虚拟机都可以访问LdFS VLAN，即LoongDisk服务器，从而把这个弹性存储池有效地集成到整个虚拟化平台中。

不过，上述异构设计也存在一个问题：数据交换效率比较低。LoongDisk服务器和虚拟集群的16个VLAN之间的传输数据需要经过路由。我们知道，数据包路由会涉及到查找路由表和数据解包等过程。尤其是在trunk模式下，还多了一层打Tag标签的操作。所以，我们引入了一种多层交换技术以加速VLAN间路由，从一定程度上解决了这个效率问题。

参考文献

[1] 董耀祖，周正伟. 基于X86架构的系统虚拟机技术与应用[J].计算机工程，2006，13： 71-73.

[2] 余明辉. 虚拟化技术应用的风险分析及对策研究[J].信息安全与技术，2010，10： 77-80.

[3] 项国富，金海等. 基于虚拟化的安全监控[J].软件学报，2012，23（8）： 2173-2187.

[4] 陈丹伟，黄秀丽，任勋益. 云计算及安全分析[J].计算机技术与发展，2010，20（2）： 99-102.

[5] 罗军舟，金嘉晖等. 云计算：体系架构与关键技术[J].通信学报，2011，7： 3-19.

作者简介：

杜金秀（1982-），男，硕士，助理研究员，CCF会员；主要研究领域：云计算。