我們要如何應(yīng)對(duì)虛擬化安全

并列防火墻自動(dòng)保護(hù)虛擬機(jī)的概念似乎是完美的，但是由于DVFilterAPI的構(gòu)架原因，它只能運(yùn)行在虛擬機(jī)管理程序中，所以它也有一些潛在的缺點(diǎn)。

虛擬機(jī)防火墻的缺點(diǎn)：

每一個(gè)物理服務(wù)器都必須運(yùn)行一個(gè)防火墻VM.防火墻設(shè)備只能保護(hù)運(yùn)行在同一臺(tái)物理服務(wù)器上的虛擬機(jī)。如果希望保護(hù)所有物理位置的虛擬機(jī)，那么你必須在每一臺(tái)物理服務(wù)器上部署防火墻VM.

所有流量都會(huì)被檢測(cè)。你可能將DVFilterAPI只應(yīng)用到特定的vNIC上，只保護(hù)其中一些虛擬機(jī)，但是vShield產(chǎn)品并不支持這個(gè)功能。部署這些產(chǎn)品之后，所有通過(guò)虛擬機(jī)管理程序的流量都會(huì)被檢測(cè)到，這增加了CPU使用率，降低了網(wǎng)絡(luò)性能。

防火墻崩潰會(huì)影響到VM.防火墻VM的另一個(gè)問(wèn)題是它會(huì)影響DVFilterAPI.受到影響的物理服務(wù)器上所有虛擬機(jī)網(wǎng)絡(luò)都會(huì)中斷。然而，物理服務(wù)器仍然可以運(yùn)行，并且連到網(wǎng)絡(luò)；因此，高可用特性無(wú)法將受影響的VM遷移到其他物理服務(wù)器上。

相同流量流會(huì)執(zhí)行多次檢測(cè)。DVFilterAPI在vNIC上檢測(cè)流量。因此，即使虛擬機(jī)之間傳輸?shù)牧髁繉儆谕�一個(gè)安全域，它們也會(huì)被檢測(cè)兩次，而傳統(tǒng)防火墻則不會(huì)出現(xiàn)這種情況。

虛擬交換機(jī)在虛擬化安全中的作用

虛擬化安全設(shè)備制造商也可以選擇vPathAPI，它可用于實(shí)現(xiàn)自定義虛擬交換機(jī)。思科系統(tǒng)最近發(fā)布了虛擬安全網(wǎng)關(guān)（VirtualSecurityGateway，VSG）產(chǎn)品，該產(chǎn)品可能整合傳統(tǒng)（非DVFilter）虛擬防火墻方法和流量流優(yōu)化技術(shù)。思科宣布VSG只進(jìn)行初始流量檢測(cè)，并將卸載流量轉(zhuǎn)發(fā)到虛擬以太網(wǎng)模塊（VirtualEthernetModules，VEM：虛擬機(jī)管理程序中改良的虛擬交換機(jī)），從而防止出現(xiàn)流量長(zhǎng)號(hào)和性能問(wèn)題。如果這一切是真的，那么VSG可能是工程師部署安全云服務(wù)的最理想工具。

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]