Virtualizzazione hardware annidata: requisiti, utilizzi e configurazione

Informatec Digital » Risorse » Virtualizzazione hardware annidata: requisiti, utilizzi e configurazione

La virtualizzazione nidificata su hardware moderno è diventata uno strumento pressoché indispensabile per team IT, sviluppatori e formatori che necessitano di configurare laboratori complessi, ambienti di test o scenari di sicurezza senza dover riempire il data center di server fisici. In parole semplici, consente di eseguire macchine virtuali all'interno di altre macchine virtuali, mantenendo prestazioni accettabili e ottimizzando la gestione delle risorse.

Oltre alla tipica "creazione di una macchina virtuale all'interno di un'altra", la virtualizzazione nidificata apre le porte a pipeline DevOps flessibili, ambienti di formazione realistici, test di sicurezza isolati e implementazioni IoT Edge su diverse piattaforme, da Hyper-V on-premise alle macchine virtuali su Azure o VMware ESXi. Tuttavia, affinché tutto funzioni come previsto, la configurazione hardware e dell'hypervisor deve soddisfare requisiti molto specifici.

Che cos'è esattamente la virtualizzazione nidificata e perché è importante?

La virtualizzazione nidificata si riferisce alla capacità di una macchina virtuale di fungere da host di virtualizzazione per altre macchine virtuali interne. In altre parole, sull'hardware fisico è presente un hypervisor di livello superiore (ad esempio, Hyper-V in Windows Server o Azure Local) e all'interno di una delle sue macchine virtuali installiamo Hyper-V o un altro hypervisor compatibile per creare ulteriori macchine virtuali.

Nel caso di Hyper-V, la virtualizzazione nidificata consente di installare il ruolo Hyper-V all'interno di una macchina virtuale guest che, a sua volta, viene eseguita su un host fisico con Hyper-V. Questa VM "intermedia" espone le estensioni di virtualizzazione del processore alle VM interne, che si comportano come se fossero più vicine all'hardware, anche se in realtà ci sono diversi livelli sottostanti.

Questa funzionalità è apparsa inizialmente in Windows Server 2016 e Windows 10 per processori Intel , e da allora il supporto si è esteso alle versioni più recenti di Windows Server, Windows 11 e ai processori AMD. Oggi è una funzionalità matura che Microsoft integra nella sua documentazione ufficiale e che viene utilizzata anche da soluzioni di terze parti.

Il vantaggio pratico è evidente: con la virtualizzazione nidificata, possiamo replicare ambienti di produzione, creare interi cluster, testare configurazioni rischiose o simulare reti multilivello senza investire in nuovi rack o riservare spazio in un data center. Per molte aziende, il risparmio sui costi e l'agilità che offre compensano ampiamente il lieve calo delle prestazioni.

Casi d'uso comuni per la virtualizzazione nidificata

Uno degli scenari più diffusi è la creazione di laboratori di test complessi . I team di sviluppo e di controllo qualità possono realizzare stack applicativi multilivello (database, servizi intermedi, frontend) interamente all'interno di un'unica macchina virtuale principale, che ospita al suo interno tutte le macchine virtuali necessarie per replicare un ambiente di produzione.

È inoltre molto utile negli ambienti di formazione e sviluppo tecnico . Gli istruttori possono configurare una macchina virtuale host in cui ogni studente crea le proprie macchine virtuali guest, configura le reti, testa i ruoli del server o distribuisce container, senza mai toccare l'infrastruttura "reale" dell'azienda. Tutto è contenuto all'interno di un ambiente sandbox facilmente eliminabile.

Un altro utilizzo tipico è la valutazione e il test di nuove versioni software . Invece di modificare configurazioni sensibili direttamente sull'host fisico, gli amministratori possono replicare lo scenario su una macchina virtuale nidificata e convalidare patch, nuove versioni o modifiche di sicurezza prima di implementarle in produzione.

La virtualizzazione nidificata svolge inoltre un ruolo chiave nell'abilitare funzionalità di sicurezza avanzate come la sicurezza basata sulla virtualizzazione (VBS) o isolamenti specifici che si basano sulle funzioni dell'hypervisor a diversi livelli. Ciò consente di rafforzare la sicurezza di determinati ambienti senza richiedere hardware aggiuntivo.

Nel campo dell'IoT, la virtualizzazione nidificata è fondamentale per gli scenari di Azure IoT Edge per Linux su Windows , dove è necessario combinare Windows, container Linux e funzionalità di hypervisor su diversi livelli di virtualizzazione, sia in locale che su piattaforme di terze parti come VMware ESXi o macchine virtuali in Azure.

Requisiti hardware e software per la virtualizzazione nidificata

Affinché tutto funzioni correttamente, il primo filtro è rappresentato dall'hardware compatibile e dalle versioni minime del sistema operativo . Negli ambienti Azure On-premises, ad esempio, è richiesta la versione 2411.3 o successiva, insieme a macchine virtuali con una versione di configurazione pari o superiore a 10.0, garantendo così il supporto per le estensioni di virtualizzazione necessarie.

A livello di processore, se si utilizza Intel, è fondamentale abilitare la tecnologia di virtualizzazione Intel VT-x nel BIOS/UEFI. Per le architetture AMD, è richiesto il supporto AMD-V e, per scenari avanzati, è necessario abilitare la tecnologia Secure Encrypted Virtualization (SEV), che aggiunge la crittografia alle macchine virtuali e migliora l'isolamento e la sicurezza di basso livello.

Il sistema operativo host deve essere una versione moderna di Windows Server o Windows 10/11 , correttamente aggiornata con le patch più recenti. Hyper-V deve essere installato sulla macchina fisica prima di tentare di abilitare l'annidamento; non è una funzionalità standard disponibile semplicemente disponendo di una CPU compatibile.

Un altro punto fondamentale riguarda lo stato delle macchine virtuali. Per modificare i parametri del processore ed esporre le estensioni di virtualizzazione, la VM che funge da host nidificato deve essere completamente spenta , non in pausa o in uno stato di salvataggio. Solo in questo caso Hyper-V consente di modificare le opzioni avanzate del processore virtuale.

Infine, la connettività di rete deve essere pianificata con cura. Le macchine virtuali annidate potrebbero richiedere accesso esterno o accesso ad altri livelli, quindi è consigliabile definire fin dall'inizio se verranno utilizzati switch interni, NAT, spoofing dell'indirizzo MAC o altre tecniche di rete virtuale per evitare problemi di comunicazione e filtraggio.

Abilitare la virtualizzazione nidificata in Hyper-V tramite PowerShell

Il modo più diretto e granulare per abilitare la virtualizzazione nidificata in Hyper-V è utilizzare i cmdlet di PowerShell . Questo metodo funziona sia su Windows Server che sulle edizioni client compatibili e consente di automatizzare la configurazione in modo coerente su più host o macchine virtuali.

Il primo passo è assicurarsi che la macchina virtuale in cui vogliamo installare Hyper-V come guest sia disattivato da Hyper-V Manager (Opzione Arresta) oppure utilizzando il comando appropriato in PowerShell, ad esempio Stop-VM -Name 'NombreVM'Se il programma rimane sospeso o in stato di salvataggio, le modifiche apportate dal processore non verranno applicate correttamente.

Con la macchina virtuale arrestata, è necessario esporre le estensioni di virtualizzazione del processore al sistema operativo guest utilizzando il cmdlet Set-VMProcessor , impostando l'opzione ExposeVirtualizationExtensions su true. Questa impostazione consente al sistema, dall'interno della macchina virtuale, di visualizzare le funzioni necessarie per installare i ruoli dell'hypervisor.

Per verificare che l'operazione sia stata applicata correttamente, possiamo utilizzare Get-VMProcessor in combinazione con Select sul campo ExposeVirtualizationExtensions. Questo controlla se il valore è impostato su true nella configurazione del processore virtuale della VM di destinazione e impedisce l'avvio di un ambiente parzialmente configurato.

Se in qualsiasi momento si rendesse necessario ripristinare la configurazione, ad esempio durante un'attività diagnostica o perché le macchine virtuali nidificate non sono più necessarie, è sufficiente ripetere lo stesso cmdlet del processore , ma modificando il valore in false, disabilitando così l'esposizione delle estensioni di virtualizzazione alla macchina virtuale guest.

Una volta configurato il processore virtuale, la macchina viene accesa tramite Start-VM o da Hyper-V Manager . Dall'interno del sistema operativo guest, viene quindi installato il ruolo Hyper-V completo utilizzando i metodi usuali: Server Manager (Aggiungi ruoli e funzionalità), DISM, PowerShell, ecc. Da quel momento in poi, la macchina virtuale si comporta come un host Hyper-V aggiuntivo dal punto di vista dell'amministratore.

Configurazione di rete e spoofing MAC in ambienti annidati

Completata la parte relativa al processore, il passo successivo è la connettività di rete per le macchine virtuali annidate . Se vogliamo che le VM interne comunichino con altre reti, Internet o computer di livello superiore, è essenziale regolare alcuni parametri nell'adattatore virtuale della VM intermedia.

In Hyper-V, una pratica comune è quella di abilitare lo spoofing dell'indirizzo MAC sulla scheda di rete della macchina virtuale che funge da host nidificato. Questa funzionalità consente alle macchine virtuali interne di inviare traffico utilizzando i propri indirizzi MAC attraverso la stessa scheda di rete, aggirando i blocchi o i filtri dello switch virtuale dell'host fisico.

Questa impostazione può essere effettuata da PowerShell utilizzando il cmdlet Set-VMNetworkAdapter con il parametro MacAddressSpoofing impostato su On, applicato alla scheda di rete corrispondente della macchina virtuale. Ciò garantisce che il traffico proveniente dalle macchine virtuali di livello inferiore non venga bloccato dall'hypervisor di livello superiore.

Per configurazioni più avanzate, è consigliabile predefinire la topologia degli switch virtuali e delle istanze NAT a ogni livello. Ad esempio, possiamo combinare switch interni per isolare i laboratori, regole di routing o firewall tra i livelli e NAT sull'host intermedio per fornire accesso a Internet a più macchine virtuali annidate senza esporle direttamente.

Quando si lavora con più livelli di virtualizzazione, i problemi di connettività sono spesso correlati alla disattivazione dello spoofing MAC, a regole NAT concatenate in modo errato o a firewall eccessivamente restrittivi . Esaminare questi punti e riavviare le schede di rete o i servizi a ogni livello di solito risolve la maggior parte dei problemi di connettività negli ambienti annidati.

Utilizzo dell'interfaccia grafica per attività correlate

Sebbene l'attivazione rigorosa della virtualizzazione nidificata sia completamente controllata da PowerShell, in pratica molte attività correlate risultano più comode tramite l' interfaccia grafica di Hyper-V Manager , soprattutto se si gestiscono diversi host o si desidera visualizzare la configurazione.

Un flusso di lavoro tipico prevede l'apertura di Hyper-V Manager, l'individuazione della macchina virtuale di destinazione e la verifica del suo spegnimento tramite l'opzione "Arresta il sistema". Questo metodo integra l'utilizzo di PowerShell e impedisce l'avvio accidentale di una macchina virtuale i cui parametri non sono ancora stati configurati correttamente.

Una volta eseguiti i cmdlet necessari per esporre le estensioni di virtualizzazione, possiamo tornare all'ambiente grafico e aprire la finestra di configurazione della macchina virtuale . Da lì, è facile rivedere e modificare le proprietà della scheda di rete, il numero di processori virtuali allocati o la memoria disponibile per la macchina virtuale host nidificata.

L'opzione per abilitare lo spoofing dell'indirizzo MAC si trova nelle impostazioni avanzate della scheda di rete . Abilitarla tramite l'interfaccia grafica è rapida e intuitiva per gli amministratori che preferiscono un approccio visivo o che non hanno memorizzato tutti i parametri del cmdlet.

Una volta completata questa configurazione, la gestione quotidiana dell'ambiente può essere effettuata indifferentemente dalla console Hyper-V sull'host fisico o all'interno della macchina virtuale nidificata , utilizzando strumenti standard per creare nuove macchine virtuali, configurare gli switch, aggiungere ruoli o acquisire snapshot in base alle esigenze di ciascun laboratorio.

Virtualizzazione nidificata negli scenari Azure On-Premise e IoT Edge.

Negli ambienti Azure On-Premise, la virtualizzazione nidificata si basa sugli stessi principi, ma aggiunge requisiti di versione specifici e il supporto per funzionalità avanzate come AMD SEV o estensioni di sicurezza . È richiesta una versione minima del sistema (2411.3 o superiore) e le macchine virtuali devono utilizzare una versione di configurazione compatibile (10.0 o successiva).

Quando si utilizza Azure IoT Edge per Linux su Windows, sono supportate tre opzioni di distribuzione di virtualizzazione nidificata . Ciascuna risponde a diverse esigenze infrastrutturali e al livello di controllo che l'organizzazione desidera mantenere sull'ambiente e sull'hypervisor sottostanti.

La prima opzione prevede la distribuzione di IoT Edge su una macchina virtuale Windows su un host locale con Hyper-V . Questo è l'approccio più semplice: la virtualizzazione nidificata viene abilitata sulla macchina virtuale Windows, quindi Azure IoT Edge per Linux viene installato e configurato su Windows seguendo la documentazione specifica di Microsoft.

In questo caso, è fondamentale assicurarsi che il ruolo Hyper-V sia installato correttamente sull'host locale (Windows Server o Azure Local) . Senza Hyper-V attivo sull'host, la macchina virtuale guest non sarà in grado di fungere da hypervisor nidificato o di esporre le funzioni necessarie per IoT Edge in un livello aggiuntivo.

Queste tipologie di implementazione sono molto utili quando è necessario integrare dispositivi IoT, container Linux e servizi Azure all'interno di infrastrutture Windows esistenti, mantenendo un ragionevole equilibrio tra flessibilità, prestazioni e facilità di gestione.

Virtualizzazione nidificata con VMware ESXi e Azure IoT Edge

Un altro scenario interessante si presenta quando si desidera eseguire Azure IoT Edge per Linux su Windows all'interno di una macchina virtuale Windows ospitata su VMware ESXi . In questo contesto, la virtualizzazione nidificata si basa sulle funzionalità dell'hypervisor VMware anziché su Hyper-V direttamente sull'hardware.

Le versioni 6.7 e 7.0 di VMware ESXi includono il supporto esplicito per la virtualizzazione assistita da hardware nelle macchine virtuali guest , consentendo l'annidamento necessario affinché una macchina virtuale Windows diventi un host Hyper-V. VMware documenta questa funzionalità nella sua knowledge base, specificando i requisiti e le potenziali considerazioni sulle prestazioni.

La procedura generale prevede innanzitutto la creazione di una macchina virtuale Windows sull'host ESXi , seguendo le raccomandazioni standard di VMware per processori, memoria, storage e schede di rete. Una volta creata, la macchina virtuale viene arrestata per consentire la modifica delle impostazioni avanzate della CPU.

Dall'interfaccia di ESXi o vSphere Client, selezionare la macchina virtuale Windows, accedere a Modifica impostazioni e, nella sezione Impostazioni CPU, individuare la sezione Virtualizzazione hardware. Qui, abilitare l' opzione "Esporre la virtualizzazione assistita da hardware al sistema operativo guest" , che consente a Windows di riconoscere le estensioni VT-x/AMD-V anche se è in esecuzione all'interno di ESXi.

Dopo aver salvato le modifiche e riavviato la macchina virtuale, procedere all'installazione dell'hypervisor Hyper-V su Windows , sia su un'edizione client (Windows 10/11) che su Windows Server, assicurandosi di includere gli strumenti di gestione e tutti i componenti aggiuntivi necessari per i container o i servizi che verranno utilizzati con IoT Edge.

Virtualizzazione nidificata nelle macchine virtuali di Azure

Quando si passa a un livello superiore e si lavora direttamente con le macchine virtuali in Azure come host di virtualizzazione nidificato , entrano in gioco le peculiarità della piattaforma, soprattutto per quanto riguarda gli switch virtuali e la rete predefinita utilizzata dalle macchine virtuali di Azure.

Azure IoT Edge per Linux su Windows non è considerato nativamente supportato su alcuna macchina virtuale di Azure che esegue una SKU server, a meno che non venga eseguito uno script specifico per abilitare uno switch virtuale appropriato. Questo script apre uno switch predefinito che consente all'ambiente IoT Edge di funzionare correttamente con il livello di virtualizzazione aggiuntivo.

La documentazione ufficiale di Microsoft descrive i passaggi per creare e configurare uno switch virtuale per Linux su Windows nel contesto di Azure, allineando così i requisiti di rete dei container e dei servizi Edge con le caratteristiche dell'infrastruttura di rete cloud.

In questo tipo di implementazioni, è particolarmente importante esaminare lo SKU della VM, il tipo di storage e le quote di CPU e RAM , poiché la virtualizzazione nidificata aggiunge un proprio overhead e le VM interne possono consumare risorse in modo intensivo se l'intero set non è dimensionato correttamente.

Nonostante queste complessità, il vantaggio è significativo: una macchina virtuale Azure può essere utilizzata come piattaforma di test, sviluppo o pre-produzione per soluzioni IoT Edge nelle stesse condizioni che verranno poi replicate su dispositivi edge fisici o gateway industriali distribuiti sul campo.

Backup di macchine virtuali Hyper-V annidate con soluzioni specializzate

Un aspetto che viene spesso trascurato nella progettazione di ambienti di virtualizzazione nidificati è la strategia di backup e ripristino di emergenza . È qui che entrano in gioco le soluzioni di backup di livello enterprise, in grado di gestire correttamente ambienti Hyper-V con più livelli di virtualizzazione e più piattaforme in esecuzione in parallelo.

Tra queste soluzioni figurano strumenti come Vinchin Backup & Recovery , che supporta oltre quindici piattaforme di virtualizzazione diverse, tra cui VMware, Proxmox, oVirt, OLVM, RHV, XCP-ng, XenServer, OpenStack, ZStack e, naturalmente, Hyper-V. Questo tipo di software è progettato per infrastrutture eterogenee in cui coesistono hypervisor di diversi produttori.

Funzionalità come il backup incrementale permanente, la deduplicazione e la compressione dei dati e i ripristini granulari riducono significativamente il consumo di spazio di archiviazione e il tempo necessario per ripristinare singole macchine, file specifici o persino oggetti specifici da applicazioni critiche.

Inoltre, le politiche di backup programmate e le opzioni di archiviazione su nastro o cloud consentono di adattare la strategia di backup ai requisiti normativi o interni di ciascuna organizzazione, mantenendo lunghi periodi di conservazione senza far lievitare i costi di archiviazione negli array ad alte prestazioni.

La console di gestione basata sul web semplifica notevolmente la protezione degli ambienti Hyper-V con macchine virtuali annidate: è sufficiente selezionare le macchine virtuali da proteggere, scegliere il repository di backup, definire la strategia di esecuzione (finestre temporali, tipo di backup, conservazione) e avviare il processo. Molte di queste soluzioni offrono periodi di prova completi di diverse settimane per valutarne le prestazioni e l'integrazione con l'infrastruttura esistente.

Limitazioni e migliori pratiche negli ambienti annidati

Sebbene le possibilità offerte dalla virtualizzazione nidificata siano ampie, esistono anche limitazioni tecniche imposte dalla progettazione stessa degli hypervisor, che è fondamentale comprendere fin dall'inizio per evitare sorprese in scenari di produzione o di alta disponibilità.

Un chiaro esempio è la migrazione live di macchine virtuali tramite virtualizzazione nidificata . Attualmente, non è possibile eseguire una migrazione live di un host primario se le sue macchine virtuali contengono guest che dipendono dalla virtualizzazione nidificata attiva. Microsoft documenta questa limitazione e la raccomandazione generale è di pianificare gli aggiornamenti o gli spostamenti degli host con arresti controllati in questi ambienti.

Il monitoraggio del consumo di risorse su più livelli richiede una strategia combinata. È consigliabile utilizzare Hyper-V Manager, contatori delle prestazioni e cmdlet come Get-VM sull'host di livello superiore e, contemporaneamente, strumenti simili all'interno degli host annidati per ottenere una visione chiara di come il carico viene distribuito tra CPU, memoria, rete e storage.

Quando una macchina virtuale interna perde improvvisamente la connettività di rete, di solito è sintomo di modifiche alle regole del firewall, problemi di NAT o disattivazione delle impostazioni di MAC spoofing su una delle schede di rete coinvolte. Controllare tutti i livelli, verificare la configurazione e riavviare i servizi di rete interessati di solito risolve la maggior parte di queste interruzioni.

Come buona prassi generale, prima di implementare la virtualizzazione nidificata, è consigliabile definire chiaramente l'obiettivo dell'ambiente, il numero di livelli, i tipi di carichi di lavoro da eseguire e la politica di backup. Questa progettazione iniziale determinerà se l'ambiente di laboratorio o di test sarà sostenibile a lungo termine e non si trasformerà in un groviglio difficile da gestire.

In breve, la virtualizzazione nidificata di Hyper-V e di altre piattaforme consente di sfruttare al massimo l'hardware esistente e di configurare scenari di laboratorio, test, sicurezza o IoT Edge con enorme flessibilità, a condizione che vengano rispettati i requisiti della CPU, la versione del sistema e la configurazione di rete, e che il tutto sia accompagnato da una valida strategia di monitoraggio e backup.