Ugniježđena virtualizacija hardvera: zahtjevi, upotreba i konfiguracija

Informatec Digital » Sredstva » Ugniježđena virtualizacija hardvera: zahtjevi, upotreba i konfiguracija

Ugniježđena virtualizacija na modernom hardveru postala je gotovo nezamjenjiv alat za IT timove, razvojne programere i trenere koji trebaju postaviti složene laboratorije, testna okruženja ili sigurnosne scenarije bez popunjavanja podatkovnog centra fizičkim poslužiteljima. Jednostavno rečeno, omogućuje vam pokretanje virtualnih strojeva unutar drugih virtualnih strojeva, održavajući prihvatljive performanse i fino podešavanje upravljanja resursima.

Osim tipičnog "stavljanja jednog VM-a u drugi", ugniježđena virtualizacija otvara vrata fleksibilnim DevOps cjevovodima, realističnim okruženjima za obuku, izoliranom testiranju sigurnosti i IoT Edge implementacijama na raznim platformama, od lokalnog Hyper-V-a do virtualnih strojeva na Azureu ili VMware ESXi. Međutim, da bi sve funkcioniralo kako se očekuje, konfiguracija hardvera i hipervizora mora ispunjavati vrlo specifične zahtjeve.

Što je točno ugniježđena virtualizacija i zašto je važna?

Ugniježđena virtualizacija odnosi se na sposobnost virtualnog stroja da djeluje kao virtualizacijski host za druge interne virtualne strojeve. Drugim riječima, na fizičkom hardveru postoji hipervizor najviše razine (na primjer, Hyper-V u Windows Serveru ili Azure Local), a unutar jednog od njegovih virtualnih strojeva instaliramo Hyper-V ili drugi kompatibilni hipervizor za stvaranje više virtualnih strojeva.

U slučaju Hyper-V-a, ugniježđena virtualizacija omogućuje instalaciju Hyper-V uloge unutar gostujućeg virtualnog stroja koji se, pak, pokreće na fizičkom hostu s Hyper-V-om. Ovaj "posredni" VM izlaže proširenja virtualizacije procesora internim VM-ovima, koji se ponašaju kao da su bliže hardveru, iako zapravo postoji nekoliko slojeva ispod.

Ova se funkcionalnost izvorno pojavila u sustavima Windows Server 2016 i Windows 10 za Intel procesore , a podrška se od tada proširila na novije verzije sustava Windows Server, Windows 11 i AMD procesora. Danas je to zrela značajka koju Microsoft integrira u svoju službenu dokumentaciju i koju koriste i rješenja trećih strana.

Praktična vrijednost je jasna: s ugniježđenom virtualizacijom možemo replicirati produkcijska okruženja, stvarati cijele klastere, testirati rizične konfiguracije ili simulirati višeslojne mreže bez ulaganja u nove ormare ili rezerviranja prostora u podatkovnim centrima. Za mnoge tvrtke, uštede troškova i agilnost koje pruža više nego nadoknađuju blagi pad performansi.

Uobičajeni slučajevi upotrebe ugniježđene virtualizacije

Jedan od najpopularnijih scenarija je postavljanje složenih testnih laboratorija . Razvojni i QA timovi mogu izgraditi višeslojne aplikacijske pakete (baze podataka, srednje usluge, frontendove) u potpunosti unutar jednog glavnog virtualnog stroja, a unutar njega smjestiti sve interne virtualne strojeve potrebne za replikaciju produkcijskog okruženja.

Također je vrlo koristan u okruženjima za tehničku obuku i razvoj . Instruktori mogu postaviti virtualni stroj domaćina gdje svaki student stvara vlastite virtualne strojeve za goste, konfigurira mreže, testira uloge poslužitelja ili postavlja kontejnere, bez ikakvog dodirivanja "prave" infrastrukture tvrtke. Sve se nalazi unutar lako dostupnog sandboxa.

Druga tipična upotreba je evaluacija i testiranje novih verzija softvera . Umjesto promjene osjetljivih konfiguracija izravno na fizičkom hostu, administratori mogu replicirati scenarij na ugniježđenom virtualiziranom virtualnom stroju i provjeriti zakrpe, nova izdanja ili sigurnosne promjene prije implementacije u produkciju.

Ugniježđena virtualizacija također igra ključnu ulogu u omogućavanju naprednih sigurnosnih značajki kao što su sigurnost temeljena na virtualizaciji (VBS) ili specifične izolacije koje se oslanjaju na funkcije hipervizora na različitim razinama. To omogućuje jačanje određenih okruženja bez potrebe za dodatnim hardverom.

U području IoT-a, ugniježđena virtualizacija ključna je za Azure IoT Edge za Linux na Windows scenarijima , gdje je potrebno kombinirati Windows, Linux kontejnere i mogućnosti hipervizora na različitim slojevima virtualizacije, i lokalno i na platformama trećih strana kao što su VMware ESXi ili virtualni strojevi u Azureu.

Hardverski i softverski zahtjevi za ugniježđenu virtualizaciju

Da bi sve ovo ispravno funkcioniralo, prvi filter je kompatibilan hardver i minimalne verzije operativnog sustava . U Azure lokalnim okruženjima, na primjer, potrebna je verzija 2411.3 ili novija, zajedno s virtualnim strojevima čija je verzija konfiguracije 10.0 ili novija, čime se osigurava podrška za potrebna proširenja virtualizacije.

Na razini procesora, ako radite s Intelom, bitno je da u BIOS-u/UEFI-ju bude omogućena tehnologija virtualizacije Intel VT-x . Za AMD arhitekture potrebna je podrška za AMD-V, a za napredne scenarije mora biti omogućena tehnologija Secure Encrypted Virtualization (SEV), koja dodaje enkripciju virtualnim strojevima i poboljšava izolaciju te sigurnost niske razine.

Operativni sustav domaćina mora biti moderna verzija sustava Windows Server ili Windows 10/11 , ispravno ažurirana s najnovijim zakrpama. Hyper-V mora biti instaliran na fizičkom računalu prije pokušaja omogućavanja ugniježđivanja; to nije značajka koja dolazi standardno samo uz kompatibilni CPU.

Druga ključna točka je stanje virtualnih strojeva. Za izmjenu parametara procesora i izlaganje proširenja virtualizacije, virtualni stroj koji djeluje kao ugniježđeni host mora biti potpuno isključen , ne pauziran ili u spremljenom stanju. Tek tada Hyper-V omogućuje promjenu naprednih opcija virtualnog procesora.

Konačno, mrežna povezivost mora biti pažljivo planirana. Ugniježđeni virtualni strojevi mogu zahtijevati vanjski pristup ili pristup drugim slojevima, stoga je preporučljivo od samog početka definirati hoće li se koristiti interni prekidači, NAT, lažiranje MAC adresa ili druge tehnike virtualnog umrežavanja kako bi se izbjegli problemi s komunikacijom i filtriranjem.

Omogućite ugniježđenu virtualizaciju u Hyper-V-u pomoću PowerShella

Najizravniji i najprecizniji način omogućavanja ugniježđene virtualizacije u Hyper-V-u je korištenje PowerShell cmdleta . Ova metoda radi i na Windows Serveru i kompatibilnim klijentskim izdanjima te vam omogućuje dosljednu automatizaciju konfiguracije na više hostova ili virtualnih strojeva.

Prvi korak je provjeriti je li virtualni stroj na koji želimo instalirati Hyper-V kao gosta isključeno iz Hyper-V Managera (opcija Isključi) ili korištenjem odgovarajuće naredbe u PowerShellu, na primjer Stop-VM -Name 'NombreVM'Ako ostane suspendiran ili u spremljenom stanju, promjene procesora neće se ispravno primijeniti.

Kada je VM zaustavljen, morate izložiti proširenja virtualizacije procesora gostujućem operativnom sustavu pomoću cmdleta Set-VMProcessor , postavljajući opciju ExposeVirtualizationExtensions na true. Ova postavka omogućuje sustavu, iz VM-a, da vidi funkcije potrebne za instaliranje uloga hipervizora.

Kako bismo provjerili je li operacija ispravno primijenjena, možemo koristiti Get-VMProcessor u kombinaciji s Select u polju ExposeVirtualizationExtensions. Ovo provjerava je li vrijednost postavljena na true u konfiguraciji virtualnog procesora ciljnog VM-a i sprječava pokretanje djelomično konfiguriranog okruženja.

Ako u bilo kojem trenutku postane potrebno vratiti konfiguraciju - na primjer, tijekom dijagnostičkog zadatka ili zato što ugniježđeni virtualni strojevi više nisu potrebni - jednostavno ponovite isti cmdlet procesora , ali promijenite vrijednost u false, što ponovno onemogućuje izloženost proširenja virtualizacije gostujućem virtualnom stroju.

Nakon što je virtualni procesor konfiguriran, stroj se uključuje pomoću Start-VM-a ili iz Hyper-V Managera . Iz gostujućeg operacijskog sustava, kompletna Hyper-V uloga se zatim instalira uobičajenim metodama: Server Manager (Dodavanje uloga i značajki), DISM, PowerShell itd. Od tog trenutka nadalje, VM se ponaša kao dodatni Hyper-V host iz perspektive administratora.

Konfiguracija mreže i lažiranje MAC adresa u ugniježđenim okruženjima

Nakon što je procesor dovršen, sljedeći korak je mrežna povezivost za ugniježđene virtualne strojeve . Ako želimo da interni virtualni strojevi komuniciraju s drugim mrežama, internetom ili računalima višeg sloja, bitno je prilagoditi određene parametre u virtualnom adapteru međuvirtualnog virtualnog stroja.

U Hyper-V-u, uobičajena praksa je omogućiti lažiranje MAC adrese na mrežnom adapteru virtualnog stroja koji djeluje kao ugniježđeni host. Ova značajka omogućuje internim virtualnim strojevima slanje prometa koristeći vlastite MAC adrese putem istog adaptera, zaobilazeći blokiranje ili filtriranje na virtualnom preklopniku fizičkog hosta.

Ova se prilagodba može izvršiti iz PowerShella pomoću cmdleta Set-VMNetworkAdapter s parametrom MacAddressSpoofing postavljenim na Uključeno, primijenjenim na odgovarajući mrežni adapter virtualnog stroja. To osigurava da hipervizor najviše razine ne ispušta promet iz dubljih virtualnih stroja.

Za naprednije konfiguracije, preporučljivo je unaprijed dizajnirati topologiju virtualnih preklopnika i NAT instanci na svakom sloju. Na primjer, možemo kombinirati interne preklopnike za izolaciju laboratorija, pravila usmjeravanja ili vatrozidove između slojeva i NAT na međuhostu kako bismo omogućili pristup internetu za više ugniježđenih virtualnih strojeva bez njihovog izravnog izlaganja.

Pri radu s više slojeva virtualizacije, problemi s povezivanjem često su povezani s onemogućenim lažiranjem MAC adresa, nepravilno povezanim NAT pravilima ili previše restriktivnim zaštitnim zidovima . Pregledavanje ovih točaka i ponovno pokretanje mrežnih adaptera ili usluga na svakom sloju obično rješava većinu problema s povezivanjem u ugniježđenim okruženjima.

Korištenje grafičkog sučelja za povezane zadatke

Iako je stroga aktivacija ugniježđene virtualizacije u potpunosti kontrolirana iz PowerShella, u praksi su mnogi povezani zadaci praktičniji putem grafičkog sučelja Hyper-V Managera , posebno ako upravljamo s više hostova ili želimo vizualno pregledati konfiguraciju.

Tipičan tijek rada uključuje otvaranje Hyper-V Managera, lociranje ciljnog virtualnog stroja i osiguravanje da je isključen pomoću opcije Isključi. To nadopunjuje korištenje PowerShella i sprječava slučajno pokretanje VM-a kojem još nisu ispravno konfigurirani svi parametri.

Nakon što se izvrše potrebni cmdleti za izlaganje proširenja virtualizacije, možemo se vratiti u grafičko okruženje i otvoriti prozor za konfiguraciju VM-a . Odatle je lako pregledati i izmijeniti svojstva mrežnog adaptera, broj dodijeljenih virtualnih procesora ili memoriju dostupnu ugniježđenom virtualnom računalu hosta.

Opcija za omogućavanje lažiranja MAC adrese nalazi se u naprednim postavkama mrežnog adaptera . Omogućavanje putem grafičkog sučelja brzo je i transparentno za administratore koji preferiraju vizualni pristup ili koji nisu zapamtili sve parametre cmdleta.

Nakon što je ova konfiguracija dovršena, svakodnevno upravljanje okruženjem može se obavljati naizmjenično s Hyper-V konzole na fizičkom hostu ili unutar ugniježđenog virtualnog stroja , korištenjem standardnih alata za stvaranje novih virtualnih stroja, konfiguriranje prekidača, dodavanje uloga ili snimanje stanja prema potrebama svakog laboratorija.

Ugniježđena virtualizacija u scenarijima Azure On-Premise i IoT Edge

U Azure On-Premise okruženjima, ugniježđena virtualizacija oslanja se na iste principe, ali dodaje specifične zahtjeve za verziju i podršku za napredne značajke kao što su AMD SEV ili sigurnosna proširenja . Potrebna je minimalna verzija sustava (2411.3 ili novija), a virtualni strojevi moraju koristiti kompatibilnu verziju konfiguracije (10.0 ili noviju).

Prilikom rada s Azure IoT Edgeom za Linux na Windowsima, postoje tri podržane opcije implementacije ugniježđene virtualizacije . Svaka se odnosi na različite potrebe infrastrukture i razinu kontrole koju organizacija želi održati nad temeljnim okruženjem i hipervizorom.

Prva opcija uključuje implementaciju IoT Edgea na Windows virtualnom računalu na lokalnom hostu s Hyper-V-om . Ovo je najjednostavniji pristup: ugniježđena virtualizacija se omogućava na tom Windows virtualnom računalu, a zatim se Azure IoT Edge za Linux instalira i konfigurira na Windowsima prema Microsoftovoj specifičnoj dokumentaciji.

U ovom slučaju, ključno je osigurati da je Hyper-V uloga ispravno instalirana na lokalnom hostu (Windows Server ili Azure Local) . Bez aktivnog Hyper-V-a na hostu, gostujući VM neće moći djelovati kao ugniježđeni hipervizor ili izložiti funkcije potrebne za IoT Edge u dodatnom sloju.

Ove vrste implementacija vrlo su korisne kada trebate integrirati IoT uređaje, Linux kontejnere i Azure usluge unutar postojećih Windows infrastruktura, održavajući razumnu ravnotežu između fleksibilnosti, performansi i jednostavnosti upravljanja.

Ugniježđena virtualizacija s VMware ESXi i Azure IoT Edge

Još jedan zanimljiv scenarij nastaje kada želimo pokrenuti Azure IoT Edge za Linux na Windowsima unutar Windows virtualnog stroja hostiranog na VMware ESXi . U tom kontekstu, ugniježđena virtualizacija oslanja se na mogućnosti VMware hipervizora, a ne na Hyper-V izravno na hardveru.

VMware ESXi verzije 6.7 i 7.0 uključuju eksplicitnu podršku za hardverski potpomognutu virtualizaciju u gostima , omogućujući ugniježđivanje potrebno da Windows VM postane Hyper-V host. VMware dokumentira ovu značajku u svojoj bazi znanja, detaljno opisujući zahtjeve i potencijalna razmatranja performansi.

Opći postupak uključuje prvo stvaranje Windows VM-a na ESXi hostu , slijedeći VMwareove standardne preporuke za procesore, memoriju, pohranu i mrežne adaptere. Nakon stvaranja, VM se isključuje kako bi se omogućila izmjena naprednih postavki CPU-a.

Iz ESXi ili vSphere klijentskog sučelja odaberite Windows VM, idite na Uredi postavke i unutar odjeljka Postavke CPU-a pronađite odjeljak Virtualizacija hardvera. Tamo omogućite opciju "Izloži virtualizaciju uz pomoć hardvera gostujućem operacijskom sustavu" , koja omogućuje Windowsima da vide VT-x/AMD-V proširenja čak i ako se izvršavaju unutar ESXi.

Nakon spremanja promjena i ponovnog pokretanja virtualnog stroja, nastavite s instalacijom Hyper-V hipervizora na Windowsima , bilo na klijentskom izdanju (Windows 10/11) ili na Windows Serveru, pazeći da uključite alate za upravljanje i sve dodatne komponente potrebne za spremnike ili usluge koje će se koristiti s IoT Edgeom.

Ugniježđena virtualizacija u Azure virtualnim strojevima

Kada scenarij podignemo na višu razinu i radimo izravno s virtualnim strojevima u Azureu kao ugniježđenom virtualizacijskom hostu , do izražaja dolaze osobitosti platforme, posebno u pogledu virtualnih preklopnika i zadane mreže koju koriste Azure VM-ovi.

Azure IoT Edge za Linux na Windowsima ne smatra se izvorno podržanim ni na jednom Azure VM-u koji pokreće SKU poslužitelja, osim ako se ne pokrene određeni skript za omogućavanje odgovarajućeg virtualnog prekidača. Ovaj skript otvara zadani prekidač koji omogućuje ispravno funkcioniranje IoT Edge okruženja s dodatnim slojem virtualizacije.

Službena dokumentacija tvrtke Microsoft opisuje korake za stvaranje i konfiguriranje virtualnog preklopnika za Linux na Windowsima u kontekstu Azurea, čime se mrežni zahtjevi kontejnera i Edge usluga usklađuju s karakteristikama mrežne infrastrukture u oblaku.

U ovakvim vrstama implementacija posebno je važno pregledati VM SKU, vrstu pohrane te kvote CPU-a i RAM-a , jer ugniježđena virtualizacija dodaje vlastito opterećenje, a interni VM-ovi mogu intenzivno trošiti resurse ako cijeli skup nije pravilno dimenzioniran.

Unatoč tim složenostima, korist je značajna: Azure VM može se koristiti kao platforma za testiranje, razvoj ili predprodukciju za IoT Edge rješenja pod istim uvjetima koji će se kasnije replicirati na fizičke rubne uređaje ili industrijske pristupnike raspoređene na terenu.

Izrada sigurnosnih kopija ugniježđenih Hyper-V virtualnih strojeva pomoću specijaliziranih rješenja

Jedan aspekt koji se često zanemaruje pri dizajniranju ugniježđenih virtualizacijskih okruženja je strategija sigurnosnog kopiranja i oporavka od katastrofe . Tu dolaze do izražaja rješenja za sigurnosno kopiranje na razini poduzeća, sposobna za pravilno upravljanje Hyper-V okruženjima s više slojeva virtualizacije i više platformi koje rade paralelno.

Među tim rješenjima su alati poput Vinchin Backup & Recovery , koji podržava više od petnaest različitih platformi za virtualizaciju, uključujući VMware, Proxmox, oVirt, OLVM, RHV, XCP-ng, XenServer, OpenStack, ZStack i, naravno, Hyper-V. Ova vrsta softvera dizajnirana je za heterogene infrastrukture u kojima koegzistiraju hipervizori različitih proizvođača.

Značajke poput trajne inkrementalne sigurnosne kopije, deduplikacije i kompresije podataka te granularnog vraćanja značajno smanjuju potrošnju prostora za pohranu i vrijeme potrebno za oporavak pojedinačnih računala, određenih datoteka ili čak određenih objekata iz kritičnih aplikacija.

Osim toga, planirane politike sigurnosnog kopiranja i opcije arhiviranja na traku ili u oblak pomažu u prilagođavanju strategije sigurnosnog kopiranja regulatornim ili internim zahtjevima svake organizacije, održavajući duga razdoblja zadržavanja bez povećanja troškova pohrane u visokoučinkovitim nizovima.

Web-bazirana konzola za upravljanje uvelike pojednostavljuje zaštitu Hyper-V okruženja s ugniježđenim virtualnim strojevima: odabirete virtualne strojeve koje želite zaštititi, odabirete repozitorij sigurnosnih kopija, definirate strategiju izvršavanja (vremenske prozore, vrstu sigurnosne kopije, zadržavanje) i pokrećete zadatak. Mnoga od ovih rješenja nude sveobuhvatna probna razdoblja u trajanju od nekoliko tjedana kako bi se procijenile njihove performanse i integracija s postojećom infrastrukturom.

Ograničenja i najbolje prakse u ugniježđenim okruženjima

Iako su mogućnosti ugniježđene virtualizacije opsežne, postoje i tehnička ograničenja nametnuta samim dizajnom hipervizora koja treba razumjeti od samog početka kako bi se izbjegla iznenađenja u produkciji ili scenarijima visoke dostupnosti.

Jasan primjer je migracija virtualnih strojeva uživo pomoću ugniježđene virtualizacije . Trenutno nije moguće izvršiti migraciju uživo primarnog hosta dok njegovi virtualni strojevi sadrže goste koji ovise o aktivnom ugniježđivanju. Microsoft dokumentira ovo ograničenje, a opća preporuka je planirati ažuriranja ili premještanja hosta s kontroliranim gašenjima u tim okruženjima.

Praćenje potrošnje resursa na više slojeva zahtijeva kombiniranu strategiju. Preporučljivo je koristiti Hyper-V Manager, brojače performansi i cmdlete poput Get-VM na hostu najviše razine, a istovremeno koristiti slične alate unutar ugniježđenog hosta kako bi se dobio jasan uvid u to kako je opterećenje raspoređeno između CPU-a, memorije, mreže i pohrane.

Kada interni virtualni stroj iznenada izgubi mrežnu vezu, to je obično simptom promjena pravila vatrozida, problema s NAT-om ili onemogućavanja postavki lažiranja MAC adrese na jednom od uključenih adaptera. Provjera svih razina, provjera konfiguracije i ponovno pokretanje pogođenih mrežnih usluga obično rješava većinu tih prekida.

Kao opća najbolja praksa, prije implementacije ugniježđene virtualizacije, preporučljivo je jasno definirati cilj okruženja, broj slojeva, vrste opterećenja koja će se izvršavati i politiku sigurnosnog kopiranja. Ovaj početni dizajn odredit će je li laboratorijsko ili testno okruženje dugoročno održivo i neće li postati zamršeni nered koji je teško održavati.

Ukratko, ugniježđena virtualizacija Hyper-V-a i drugih platformi omogućuje vam da izvučete puno više iz postojećeg hardvera i postavite laboratorijske, testne, sigurnosne ili IoT Edge scenarije s ogromnom fleksibilnošću, sve dok se poštuju zahtjevi CPU-a, verzija sustava i konfiguracija mreže, a sve to prati dobra strategija praćenja i sigurnosnog kopiranja.

Povezani članak:

Potpuni vodič za Windows Server: Što je to, za što se koristi i koje su njegove verzije