Geneste hardwarevirtualisatie: vereisten, toepassingen en configuratie

Informatic Digital » Middelen » Geneste hardwarevirtualisatie: vereisten, toepassingen en configuratie

Geneste virtualisatie op moderne hardware is een bijna onmisbaar hulpmiddel geworden voor IT-teams, ontwikkelaars en trainers die complexe labs, testomgevingen of beveiligingsscenario's moeten opzetten zonder het datacenter vol te zetten met fysieke servers. Simpel gezegd, hiermee kun je virtuele machines binnen andere virtuele machines draaien, met behoud van acceptabele prestaties en een geoptimaliseerd resourcebeheer.

Naast het gebruikelijke "een VM in een andere plaatsen", biedt geneste virtualisatie mogelijkheden voor flexibele DevOps-pipelines, realistische trainingsomgevingen, geïsoleerde beveiligingstests en IoT Edge-implementaties op diverse platforms, van on-premises Hyper-V tot virtuele machines op Azure of VMware ESXi. Om alles naar behoren te laten werken, moeten de hardware en de hypervisorconfiguratie echter wel aan zeer specifieke eisen voldoen.

Wat is geneste virtualisatie precies en waarom is het belangrijk?

Geneste virtualisatie verwijst naar de mogelijkheid van een virtuele machine om als virtualisatiehost te fungeren voor andere interne virtuele machines. Met andere woorden, er is een hypervisor op het hoogste niveau op de fysieke hardware (bijvoorbeeld Hyper-V in Windows Server of Azure Local), en binnen een van de virtuele machines installeren we Hyper-V of een andere compatibele hypervisor om meer virtuele machines te creëren.

Bij Hyper-V maakt geneste virtualisatie het mogelijk om de Hyper-V-rol te installeren binnen een virtuele gastmachine die op zijn beurt draait op een fysieke host met Hyper-V. Deze "tussenliggende" VM stelt de virtualisatie-extensies van de processor beschikbaar aan de interne VM's, die zich gedragen alsof ze dichter bij de hardware staan, hoewel er in werkelijkheid meerdere lagen onder zitten.

Deze functionaliteit verscheen voor het eerst in Windows Server 2016 en Windows 10 voor Intel-processors en de ondersteuning is sindsdien uitgebreid naar nieuwere versies van Windows Server, Windows 11 en AMD-processors. Tegenwoordig is het een volwaardige functie die Microsoft in zijn officiële documentatie heeft opgenomen en die ook door oplossingen van derden wordt gebruikt.

De praktische waarde is duidelijk: met geneste virtualisatie kunnen we productieomgevingen repliceren, complete clusters creëren, risicovolle configuraties testen of meerlaagse netwerken simuleren zonder te hoeven investeren in nieuwe racks of datacenterruimte te reserveren. Voor veel bedrijven wegen de kostenbesparingen en de flexibiliteit die het biedt ruimschoots op tegen het lichte prestatieverlies.

Veelvoorkomende gebruiksscenario's voor geneste virtualisatie

Een van de meest voorkomende scenario's is het opzetten van complexe testomgevingen . Ontwikkel- en QA-teams kunnen applicatiestacks met meerdere lagen (databases, middleware, frontends) volledig binnen één virtuele machine bouwen en daarin alle interne virtuele machines hosten die nodig zijn om een ​​productieomgeving te repliceren.

Het is ook erg handig in technische trainings- en ontwikkelomgevingen . Docenten kunnen een host-VM opzetten waar elke student zijn eigen virtuele machine creëert, netwerken configureert, serverrollen test of containers implementeert, zonder ooit de "echte" infrastructuur van het bedrijf aan te raken. Alles bevindt zich in een gemakkelijk te verwijderen sandbox.

Een ander typisch gebruik is het evalueren en testen van nieuwe softwareversies . In plaats van gevoelige configuraties direct op de fysieke host te wijzigen, kunnen beheerders het scenario repliceren op een geneste gevirtualiseerde VM en patches, nieuwe releases of beveiligingswijzigingen valideren voordat ze in productie worden genomen.

Geneste virtualisatie speelt ook een belangrijke rol bij het mogelijk maken van geavanceerde beveiligingsfuncties, zoals virtualisatiegebaseerde beveiliging (VBS) of specifieke isolaties die gebruikmaken van hypervisorfuncties op verschillende niveaus. Hierdoor kunnen bepaalde omgevingen worden beveiligd zonder dat extra hardware nodig is.

In de IoT-sector is geneste virtualisatie cruciaal voor Azure IoT Edge voor Linux op Windows- scenario's . Hierbij is het nodig om Windows-, Linux-containers en hypervisorfunctionaliteiten te combineren op verschillende virtualisatielagen, zowel lokaal als op platforms van derden zoals VMware ESXi of virtuele machines in Azure.

Hardware- en softwarevereisten voor geneste virtualisatie

Om dit alles correct te laten werken, is de eerste filter de compatibele hardware en de minimale besturingssysteemversies . In Azure On-premises-omgevingen is bijvoorbeeld versie 2411.3 of hoger vereist, samen met virtuele machines waarvan de configuratieversie 10.0 of hoger is, waardoor ondersteuning voor de benodigde virtualisatie-extensies wordt gegarandeerd.

Op processorniveau is het bij Intel essentieel om de Intel VT-x virtualisatietechnologie in de BIOS/UEFI in te schakelen. Voor AMD-architecturen is AMD-V-ondersteuning vereist, en voor geavanceerde scenario's moet Secure Encrypted Virtualization (SEV)-technologie ingeschakeld zijn. Deze technologie voegt encryptie toe aan virtuele machines en verbetert de isolatie en beveiliging op laag niveau.

Het hostbesturingssysteem moet een moderne versie van Windows Server of Windows 10/11 zijn , correct bijgewerkt met de nieuwste patches. Hyper-V moet op de fysieke machine geïnstalleerd zijn voordat u geneste omgevingen kunt inschakelen; het is geen functie die standaard beschikbaar is als u een compatibele CPU hebt.

Een ander belangrijk punt is de status van de virtuele machines. Om processorparameters te wijzigen en virtualisatie-extensies beschikbaar te maken, moet de VM die als geneste host fungeert volledig zijn uitgeschakeld en niet gepauzeerd of in een opgeslagen status verkeren. Alleen dan kunt u in Hyper-V geavanceerde virtuele processoropties wijzigen.

Tot slot moet de netwerkverbinding zorgvuldig worden gepland. Geneste virtuele machines hebben mogelijk externe toegang of toegang tot andere lagen nodig. Het is daarom raadzaam om van meet af aan te bepalen of interne switches, NAT, MAC-adresvervalsing of andere virtuele netwerktechnieken zullen worden gebruikt om communicatie- en filterproblemen te voorkomen.

Schakel geneste virtualisatie in Hyper-V in met PowerShell.

De meest directe en gedetailleerde manier om geneste virtualisatie in Hyper-V in te schakelen, is met behulp van PowerShell-cmdlets . Deze methode werkt op zowel Windows Server als compatibele clientversies en stelt u in staat de configuratie consistent te automatiseren voor meerdere hosts of virtuele machines.

De eerste stap is ervoor te zorgen dat de virtuele machine waarop we Hyper-V als gast willen installeren, geschikt is. uitgeschakeld via Hyper-V Manager (Afsluitoptie) of door bijvoorbeeld de juiste opdracht in PowerShell te gebruiken. Stop-VM -Name 'NombreVM'Als het programma in de opgeschorte of opgeslagen staat blijft, worden de processorwijzigingen niet correct toegepast.

Nadat de virtuele machine is gestopt, moet u de processorvirtualisatie-extensies beschikbaar maken voor het gastbesturingssysteem met behulp van de cmdlet Set-VMProcessor , waarbij u de optie ExposeVirtualizationExtensions op true instelt. Deze instelling zorgt ervoor dat het systeem, vanuit de virtuele machine, de functies kan zien die nodig zijn om hypervisorrollen te installeren.

Om te controleren of de bewerking correct is uitgevoerd, kunnen we Get-VMProcessor combineren met Select op het veld ExposeVirtualizationExtensions. Hiermee wordt gecontroleerd of de waarde is ingesteld op true in de virtuele processorconfiguratie van de doel-VM en wordt voorkomen dat een gedeeltelijk geconfigureerde omgeving wordt gestart.

Als het op enig moment nodig is om de configuratie terug te zetten – bijvoorbeeld tijdens een diagnostische taak of omdat geneste VM's niet langer nodig zijn – herhaalt u eenvoudigweg dezelfde processor-cmdlet , maar wijzigt u de waarde in 'false'. Hiermee wordt de beschikbaarheid van virtualisatie-extensies voor de gast-VM weer uitgeschakeld.

Nadat de virtuele processor is geconfigureerd, wordt de machine ingeschakeld met Start-VM of vanuit Hyper-V Manager . Vanuit het gastbesturingssysteem wordt vervolgens de volledige Hyper-V-rol geïnstalleerd met behulp van de gebruikelijke methoden: Server Manager (Rollen en functies toevoegen), DISM, PowerShell, enz. Vanaf dat moment gedraagt ​​de VM zich vanuit het perspectief van de beheerder als een extra Hyper-V-host.

Netwerkconfiguratie en MAC-spoofing in geneste omgevingen

Nu het processorgedeelte voltooid is, is de volgende stap de netwerkverbinding voor de geneste virtuele machines . Als we willen dat de interne VM's communiceren met andere netwerken, het internet of computers op een hoger niveau, is het essentieel om bepaalde parameters in de virtuele adapter van de tussenliggende VM aan te passen.

In Hyper-V is het gebruikelijk om MAC-adresvervalsing in te schakelen op de netwerkadapter van de virtuele machine die als geneste host fungeert. Deze functie stelt interne virtuele machines in staat om verkeer te verzenden met hun eigen MAC-adressen via dezelfde adapter, waardoor blokkering of filtering op de virtuele switch van de fysieke host wordt omzeild.

Deze aanpassing kan worden gedaan vanuit PowerShell met behulp van de cmdlet Set-VMNetworkAdapter, waarbij de parameter MacAddressSpoofing is ingesteld op On en toegepast op de betreffende netwerkadapter van de VM. Dit zorgt ervoor dat verkeer van diepere VM's niet wordt geblokkeerd door de hypervisor op het hoogste niveau.

Voor meer geavanceerde configuraties is het raadzaam om de topologie van virtuele switches en NAT-instanties op elke laag vooraf te ontwerpen . We kunnen bijvoorbeeld interne switches combineren om labs te isoleren, routeringsregels of firewalls tussen lagen plaatsen en NAT op de tussenliggende host implementeren om internettoegang te bieden aan meerdere geneste VM's zonder deze direct bloot te stellen.

Bij het werken met meerdere virtualisatielagen zijn verbindingsproblemen vaak gerelateerd aan uitgeschakelde MAC-spoofing, onjuist gekoppelde NAT-regels of te restrictieve firewalls . Het controleren van deze punten en het herstarten van netwerkadapters of -services op elke laag lost de meeste verbindingsproblemen in geneste omgevingen meestal op.

Het grafische interface gebruiken voor gerelateerde taken

Hoewel de strikte activering van geneste virtualisatie volledig vanuit PowerShell wordt beheerd, zijn veel gerelateerde taken in de praktijk handiger via de grafische interface van Hyper-V Manager , vooral als we meerdere hosts beheren of de configuratie visueel willen controleren.

Een typische workflow omvat het openen van Hyper-V Manager, het lokaliseren van de gewenste virtuele machine en ervoor zorgen dat deze is uitgeschakeld met de optie 'Afsluiten'. Dit vormt een aanvulling op het gebruik van PowerShell en voorkomt dat per ongeluk een VM wordt gestart waarvan de parameters nog niet correct zijn geconfigureerd.

Nadat de benodigde cmdlets voor het beschikbaar maken van de virtualisatie-extensies zijn uitgevoerd, kunnen we terugkeren naar de grafische omgeving en het configuratievenster van de virtuele machine openen . Van daaruit kunnen we eenvoudig de eigenschappen van de netwerkadapter, het aantal toegewezen virtuele processors of het beschikbare geheugen voor de geneste host-VM bekijken en wijzigen.

De optie om MAC-adresvervalsing in te schakelen bevindt zich in de geavanceerde instellingen van de netwerkadapter . Het inschakelen via de grafische interface is snel en overzichtelijk voor beheerders die de voorkeur geven aan een visuele aanpak of die niet alle cmdlet-parameters uit hun hoofd kennen.

Zodra deze configuratie is voltooid, kan het dagelijkse omgevingsbeheer afwisselend worden uitgevoerd vanuit de Hyper-V-console op de fysieke host of binnen de geneste VM , met behulp van standaardtools om nieuwe VM's te maken, switches te configureren, rollen toe te voegen of snapshots te maken, afhankelijk van de behoeften van elk lab.

Geneste virtualisatie in Azure On-Premise- en IoT Edge-scenario's

In Azure On-Premise-omgevingen is geneste virtualisatie gebaseerd op dezelfde principes, maar voegt specifieke versievereisten en ondersteuning voor geavanceerde functies zoals AMD SEV of beveiligingsuitbreidingen toe . Een minimale systeemversie (2411.3 of hoger) is vereist en VM's moeten een compatibele configuratieversie (10.0 of later) gebruiken.

Bij het werken met Azure IoT Edge voor Linux op Windows zijn er drie ondersteunde opties voor geneste virtualisatie-implementatie . Elke optie is afgestemd op verschillende infrastructuurbehoeften en de mate van controle die de organisatie wil behouden over de onderliggende omgeving en hypervisor.

De eerste optie houdt in dat IoT Edge wordt geïmplementeerd op een virtuele Windows-machine op een lokale host met Hyper-V . Dit is de meest eenvoudige aanpak: geneste virtualisatie wordt ingeschakeld op die Windows-VM en vervolgens wordt Azure IoT Edge voor Linux geïnstalleerd en geconfigureerd op Windows volgens de specifieke documentatie van Microsoft.

In dit geval is het cruciaal om ervoor te zorgen dat de Hyper-V-rol correct is geïnstalleerd op de lokale host (Windows Server of Azure Local) . Zonder een actieve Hyper-V-rol op de host kan de virtuele machine niet functioneren als een geneste hypervisor en de functies die nodig zijn voor IoT Edge niet in een extra laag beschikbaar stellen.

Dit soort implementaties is erg handig wanneer u IoT-apparaten, Linux-containers en Azure-services wilt integreren in bestaande Windows-infrastructuren, waarbij een goede balans wordt gevonden tussen flexibiliteit, prestaties en beheersbaarheid.

Geneste virtualisatie met VMware ESXi en Azure IoT Edge

Een ander interessant scenario doet zich voor wanneer we Azure IoT Edge voor Linux op Windows willen draaien binnen een virtuele Windows-machine die wordt gehost op VMware ESXi . In deze context is geneste virtualisatie afhankelijk van de mogelijkheden van de VMware-hypervisor in plaats van Hyper-V direct op de hardware.

VMware ESXi-versies 6.7 en 7.0 bieden expliciete ondersteuning voor hardware-ondersteunde virtualisatie in virtuele machines , waardoor de benodigde nesting mogelijk wordt om een ​​Windows-VM een Hyper-V-host te laten worden. VMware documenteert deze functie in zijn kennisbank, met een gedetailleerde beschrijving van de vereisten en mogelijke prestatieoverwegingen.

De algemene procedure begint met het aanmaken van een Windows VM op de ESXi-host , waarbij de standaardaanbevelingen van VMware voor processors, geheugen, opslag en netwerkadapters worden gevolgd. Nadat de VM is aangemaakt, wordt deze afgesloten zodat de geavanceerde CPU-instellingen kunnen worden aangepast.

Selecteer in de ESXi- of vSphere Client-interface de Windows-VM, ga naar ' Instellingen bewerken ' en zoek in het gedeelte 'CPU-instellingen' het gedeelte 'Hardwarevirtualisatie'. Schakel daar de optie 'Hardware-ondersteunde virtualisatie beschikbaar maken voor het gastbesturingssysteem' in. Hierdoor kan Windows de VT-x/AMD-V-extensies zien, zelfs als het binnen ESXi draait.

Nadat u de wijzigingen hebt opgeslagen en de virtuele machine opnieuw hebt opgestart, installeert u de Hyper-V-hypervisor op Windows , ofwel op een clientversie (Windows 10/11) of op Windows Server. Zorg ervoor dat u de beheertools en alle extra componenten meelevert die nodig zijn voor de containers of services die met IoT Edge zullen worden gebruikt.

Geneste virtualisatie in Azure virtuele machines

Als we het scenario naar een hoger niveau tillen en rechtstreeks met virtuele machines in Azure werken als een geneste virtualisatiehost , komen platformspecifieke kenmerken in beeld, met name met betrekking tot de virtuele switches en het standaardnetwerk dat door Azure VM's wordt gebruikt.

Azure IoT Edge voor Linux op Windows wordt niet standaard ondersteund op Azure VM's met een server-SKU, tenzij een specifiek script wordt uitgevoerd om een ​​geschikte virtuele switch in te schakelen. Dit script opent een standaardswitch waarmee de IoT Edge-omgeving correct kan samenwerken met de extra virtualisatielaag.

De officiële documentatie van Microsoft beschrijft de stappen voor het maken en configureren van een virtuele switch voor Linux op Windows in de Azure-context, waardoor de netwerkvereisten van containers en Edge-services worden afgestemd op de kenmerken van de cloudnetwerkinfrastructuur.

Bij dit soort implementaties is het met name belangrijk om de VM-SKU, het opslagtype en de CPU- en RAM-quota te controleren , aangezien geneste virtualisatie extra overhead met zich meebrengt en interne VM's veel resources kunnen verbruiken als de gehele set niet correct is gedimensioneerd.

Ondanks deze complexiteit is het voordeel aanzienlijk: een Azure VM kan worden gebruikt als test-, ontwikkelings- of pre-productieplatform voor IoT Edge-oplossingen onder dezelfde omstandigheden die later zullen worden gerepliceerd op fysieke edge-apparaten of industriële gateways die in het veld worden ingezet.

Het maken van back-ups van geneste Hyper-V VM's met behulp van gespecialiseerde oplossingen.

Een aspect dat vaak over het hoofd wordt gezien bij het ontwerpen van geneste virtualisatieomgevingen, is de back-up- en rampenherstelstrategie . Dit is waar back-upoplossingen op bedrijfsniveau van pas komen, die in staat zijn om Hyper-V-omgevingen met meerdere virtualisatielagen en meerdere parallel draaiende platforms adequaat te beheren.

Tot deze oplossingen behoren tools zoals Vinchin Backup & Recovery , dat meer dan vijftien verschillende virtualisatieplatformen ondersteunt, waaronder VMware, Proxmox, oVirt, OLVM, RHV, XCP-ng, XenServer, OpenStack, ZStack en natuurlijk Hyper-V. Dit type software is ontworpen voor heterogene infrastructuren waar hypervisors van verschillende fabrikanten naast elkaar bestaan.

Functies zoals permanente incrementele back-ups, datadeduplicatie en -compressie , en herstel op detailniveau verminderen het opslagverbruik aanzienlijk en verkorten de tijd die nodig is om individuele machines, specifieke bestanden of zelfs specifieke objecten van kritieke applicaties te herstellen.

Daarnaast helpen geplande back-upbeleidsregels en archiveringsopties naar tape of de cloud de back-upstrategie af te stemmen op de wettelijke of interne vereisten van elke organisatie, waardoor lange bewaartermijnen worden gehandhaafd zonder de opslagkosten in krachtige arrays op te drijven.

De webgebaseerde beheerconsole vereenvoudigt de beveiliging van Hyper-V-omgevingen met geneste VM's aanzienlijk: u selecteert de te beveiligen VM's, kiest de back-uprepository, definieert de uitvoeringsstrategie (tijdvensters, back-uptype, bewaartermijn) en start de taak. Veel van deze oplossingen bieden uitgebreide proefperiodes van enkele weken om de prestaties en integratie met de bestaande infrastructuur te evalueren.

Beperkingen en beste werkwijzen in geneste omgevingen

Hoewel de mogelijkheden van geneste virtualisatie uitgebreid zijn, zijn er ook technische beperkingen die inherent zijn aan het ontwerp van de hypervisors zelf. Deze beperkingen moeten vanaf het begin begrepen worden om verrassingen in productie- of high-availability-scenario's te voorkomen.

Een duidelijk voorbeeld is de live migratie van VM's met behulp van geneste virtualisatie . Momenteel is het niet mogelijk om een ​​primaire host live te migreren terwijl de VM's ervan gasten bevatten die afhankelijk zijn van actieve nesting. Microsoft documenteert deze beperking en de algemene aanbeveling is om updates of hostverplaatsingen in dergelijke omgevingen te plannen met gecontroleerde afsluitingen.

Het monitoren van het resourceverbruik over meerdere lagen vereist een gecombineerde strategie. Het is raadzaam om Hyper-V Manager, prestatiemeters en cmdlets zoals Get-VM op de host op het hoogste niveau te gebruiken, en tegelijkertijd vergelijkbare tools binnen de geneste host in te zetten om een ​​duidelijk beeld te krijgen van hoe de belasting verdeeld is over CPU, geheugen, netwerk en opslag.

Wanneer een interne virtuele machine plotseling de netwerkverbinding verliest, is dit meestal een symptoom van gewijzigde firewallregels, NAT-problemen of uitgeschakelde MAC-spoofing-instellingen op een van de betrokken netwerkadapters. Door alle niveaus te controleren, de configuratie te verifiëren en de betreffende netwerkservices opnieuw op te starten, worden de meeste van deze storingen doorgaans verholpen.

Als algemene best practice is het raadzaam om, voordat geneste virtualisatie wordt geïmplementeerd, de doelstellingen van de omgeving, het aantal lagen, de soorten workloads die moeten worden uitgevoerd en het back-upbeleid duidelijk te definiëren. Dit initiële ontwerp bepaalt of de lab- of testomgeving op de lange termijn duurzaam is en geen onoverzichtelijke chaos wordt die moeilijk te onderhouden is.

Kortom, geneste virtualisatie van Hyper-V en andere platforms stelt u in staat om veel meer uit bestaande hardware te halen en laboratorium-, test-, beveiligings- of IoT Edge-scenario's met enorme flexibiliteit op te zetten, zolang de CPU-vereisten, systeemversie en netwerkconfiguratie maar in acht worden genomen en dit alles gepaard gaat met een goede monitoring- en back-upstrategie.

Gerelateerd artikel:

Complete gids voor Windows Server: wat het is, waarvoor het wordt gebruikt en de versies ervan