Windows Server 2016 Hyper-V: varnejši, vendar ne hitrejši

Z operacijskim sistemom Windows Server 2016 je Microsoft predstavil obsežen seznam izboljšav Hyper-V. Skupaj s funkcionalnimi dodatki, kot so podpora za vsebnike, ugnezdena virtualizacija ter povečane omejitve pomnilnika in vCPU, boste našli številne nove funkcije, vključno s kontrolnimi točkami proizvodnega razreda in možnostjo vročega dodajanja pomnilnika in omrežnih vmesnikov, ki olajšajo upravljanje.

Toda Microsoftov glavni cilj v izdaji Hyper-V 2016 je bil videti izboljšanje varnosti. Pravzaprav bi šel tako daleč, da bi rekel, da je nova funkcija morilca Hyper-V zaščitena VM, ki delujejo s šifriranjem BitLocker in skrbniško storitvijo, da zagotovijo, da navidezni stroji delujejo samo na pooblaščenih gostiteljih.

Če bi me ena funkcija Hyper-V 2016 spodbudila k nadgradnji, bi bila to zaščitena funkcija VM. Toda velika zmožnost je tudi dodelitev več pomnilnika generacijam VM ter zmožnost vročega dodajanja pomnilnika in omrežnih vmesnikov gostiteljem za virtualizacijo.

Eno področje Hyper-V 2016 se morda ne bo izboljšalo, je delovanje VM. Dejansko moji Sandra primerjalni testi navideznega računalnika Windows Server 2012 R2 na Hyper-V 2012 R2 v primerjavi s Hyper-V 2016 kažejo na korak nazaj. Teh rezultatov nikakor ne bi označil za dokončne, vendar imejte v mislih, ko začnete ocenjevati sistem Windows Server 2016 Hyper-V glede lastnih delovnih obremenitev.

Postopek nastavitve Hyper-V

Za namene tega pregleda sem obstoječi strežnik Windows Server 2012 R2 nadgradil na Windows Server 2016. Večinoma je bil postopek nadgradnje skoraj enak postopku namestitve sistema Windows Server 2012 R2. Razlika je bila v tem, da čarovnik za nastavitev prikaže opozorilno sporočilo, da nadgradnje sistema Windows Server niso priporočljive, zato morate izvesti čisto namestitev. Čarovnik za namestitev vam ne bo preprečil nadgradnje na mestu, vendar morate potrditi opozorilno sporočilo s klikom na gumb Potrdi.

S postopkom nadgradnje sem nadaljeval (čeprav sem od takrat izvedel več čistih namestitev), ker sem hotel videti, kaj se bo zgodilo. Poleg tega je strežnik, ki sem ga nadgradil, poganjal čisto namestitev sistema Windows Server 2012 R2. Nameščal sem vlogo Hyper-V in ustvaril nekaj navideznih računalnikov, vendar nisem namestil nobene dodatne programske opreme (razen Microsoftovih popravkov) ali omogočil neobičajnih konfiguracijskih nastavitev.

Postopek nadgradnje sistema Windows Server je potekal zelo gladko. Vse moje obstoječe nastavitve operacijskega sistema so bile ohranjene, moji navidezni stroji pa so po nadgradnji ostali funkcionalni. Poleg tega se je Hyper-V Manager še vedno počutil popolnoma znano. Čeprav je Microsoft v sistem Windows Server 2016 uvedel številne nove funkcije Hyper-V, se je Hyper-V Manager zelo malo spremenil. Skrbniki s predhodno izkušnjo Hyper-V se bodo zagotovo počutili kot doma, ko bodo uporabljali novo različico.

Nadgradnje grozda Hyper-V

Čeprav sem sprva izvedel nadgradnjo enega samega gostitelja Hyper-V, Microsoft podpira tudi tekoče nadgradnje gručastih postavitev Hyper-V. To pomeni, da je mogoče strežnike z operacijskim sistemom Windows Server 2016 Hyper-V dodati obstoječim grozdom Windows Server 2012 R2 Hyper-V in v bistvu posnemati gostitelje Windows Server 2012 R2 Hyper-V, s čimer jim omogočijo polno sodelovanje v gruči. Navidezne stroje Windows Server 2012 R2 Hyper-V je mogoče v živo preseliti na vozlišča Windows Server 2016 Hyper-V, s čimer omogočite nadgradnjo operacijskega sistema grozda, ne da bi kateri koli navidezni stroj vzpostavil povezavo.

Med pisanjem tega pregleda sem uvedel gručo s tremi vozlišči strežnikov Windows Server 2012 Hyper-V, nato pa dodal vozlišče Windows Server 2016 Hyper-V. Vozlišče sem lahko uspešno pridružil grozdu in v živo preselil VM-je med dvema različnima različicama Hyper-V. Skratka, postopek nadgradnje grozda je deloval brezhibno.

Nadgradnjo gruče sem zaključil popoldne, vendar Microsoft omogoča dolgoročno sožitje med različicami Hyper-V znotraj grozda. Dolgoročno sožitje bo zagotovo lažje zdaj, ko je Microsoft prenovil Hyper-V Manager, tako da ga je mogoče uporabljati hkrati z več različicami Hyper-V. V programu Hyper-V Manager v operacijskem sistemu Windows Server 2016 lahko upravljate Hyper-V tudi v sistemih Windows Server 2012 in Windows Server 2012 R2.

Ena slaba stran novega upravitelja Hyper-V: Ker Microsoft zdaj po običajnem postopku upravljanja popravkov ponuja posodobitve za integracijske storitve Hyper-V, je videti, da je bila možnost uvajanja integracijskih storitev odstranjena. Namestitev integracijskih storitev prek storitve Windows Update zveni kot napredek, vendar ne bi škodilo, če bi bila stara metoda na voljo kot nadomestna.

Ko na vseh vozliščih gruče zaženete Windows Server 2016 Hyper-V in posodobite funkcionalno raven gruče (namerno skrbniško dejanje, ki ga izvedete prek PowerShell-a), izgubite možnost dodajanja vozlišč Windows Server 2012 R2 v grozd. Po posodobitvi funkcionalne ravni grozda ni več povratka.

Zaščiteni navidezni stroji

Medtem ko je bilo v preteklih letih opravljeno veliko dela za zaščito VM-jev pred zunanjimi grožnjami, pa navidezni stroji (vključno s tistimi na konkurenčnih platformah, kot so VMware, Xen in KVM) ostajajo ranljivi za kompromise s strani prevarantskega skrbnika. Nič ne preprečuje skrbniku, da bi kopiral celoten VM na pogon USB in z njim šel ven. Seveda je bilo prej mogoče šifrirati navidezne trde diske, vendar lahko pooblaščeni skrbnik enostavno razveljavi katero koli šifriranje na ravni VM.

V operacijskem sistemu Windows Server 2016 Hyper-V zaščitena funkcija VM šifrira diske in stanje navideznega računalnika na način, ki nikomur, razen skrbnikom VM ali najemnikom, onemogoča zagon VM ali dostop do njegove vsebine. Funkcija deluje tako, da izkoristi novo funkcijo Windows Server, imenovano Host Guardian Service, ki vsebuje ključe za šifriranje in dešifriranje zaščitenih VM-jev.

Storitev skrbnika gostitelja preveri, ali je gostitelj Hyper-V pooblaščen ali "potrjen" za zagon navideznega računalnika. Tako je - skrbniki lahko omejijo zaščitene VM-je, zato se bodo izvajali samo na določenih gostiteljih, ki opravijo preizkus potrjevanja. To pomeni, da če bi prevarantski skrbnik kopiral zaščiteno VM na bliskovni pogon, bi bila kopija VM skrbniku neuporabna. VM ne bi mogel delovati zunaj organizacije in njegova vsebina bi bila nedostopna, ker ključe, potrebne za dešifriranje VM, varuje storitev skrbnika gostitelja.

Storitev skrbnika gostitelja podpira dva različna načina potrjevanja, ki se imenujeta skrbniško in TPM. Potrdilo, ki ga zaupa skrbnik, je enostavnejše od obeh načinov za uvedbo, vendar niti približno tako varno kot potrdilo TPM. Gostitelji, ki jim zaupa skrbnik, temeljijo na članstvu v varnostni skupini Active Directory, medtem ko gostitelji, ki jim zaupate TPM, temeljijo na identiteti TPM in celo preverjanju celovitosti zagona in kode.

Poleg bolj zapletenega konfiguracijskega postopka ima potrdilo TPM zaupanja tudi nekatere zahteve glede strojne opreme. Zaščiteni gostitelji morajo podpirati TPM 2.0 in UEFI 2.3.1 ali novejšo. Nasprotno pa potrdilo, ki ga zaupa skrbnik, nima nobenih pomembnih zahtev glede strojne opreme, razen tistih, ki so potrebne za zagon Hyper-V.

Čeprav se večina poročanja o varnosti Hyper-V 2016 osredotoča na zaščitene VM-je, je Microsoft uvedel druge varnostne izboljšave. Na primer, Hyper-V zdaj podpira varen zagon za nekatere Linux VM-je. Po navedbah Microsofta med podprte različice Linuxa spadajo Ubuntu 14.04 in novejši, Suse Linux Enterprise Server 12 in novejši, Red Hat Enterprise Linux 7.0 in novejši ter CentOS 7.0 in novejši.

Druga pomembna varnostna izboljšava je podpora šifriranja diska OS na osnovi BitLocker v navideznih strojih 1. generacije. Ta posebna varnostna izboljšava ni bila deležna velike pozornosti tiska, je pa pomembna zaradi števila VM generacije 1, ki se izvajajo v proizvodnih okoljih. Navsezadnje so VM generacije 2 podprti samo za uporabo z določenimi gostujočimi operacijskimi sistemi. Čeprav se je seznam podprtih gostujočih operacijskih sistemov v preteklih letih povečal, nekatere postavitve Linuxa, ki bi jih bilo mogoče izvajati na VM generacije 2, še naprej delujejo na VM generacije 1 zgolj zaradi nezmožnosti spreminjanja različice VM.

Posode za Windows

Ena glavnih funkcij, uvedenih v sistemu Windows Server 2016, so vsebniki, ki jih obstajata dve vrsti. Vsebniki Windows Server si z gostiteljem delijo jedro OS (in vse druge vsebnike, ki se morda izvajajo na gostitelju), medtem ko zabojniki Hyper-V uporabljajo hipervizor in lahek gostujoči OS (Windows Server Core ali Nano Server) za zagotavljanje večje ravni. izolacije. Zabojnike Hyper-V predstavljajte kot lahke navidezne stroje.

Do danes sem nekaj časa eksperimentiral z obema vrstama posod. Moja ocena: Čeprav se zdi, da zabojniki delujejo tako, kot so oglaševani, obstaja strma učna krivulja, povezana z njihovo uporabo. Vsebnike je treba ustvariti in upravljati v ukazni vrstici (v nasprotju z uporabo upravitelja Hyper-V) prek sintakse ukazov Docker, ki se zelo razlikuje od drugih okolij ukazne vrstice, kot je PowerShell.

Menim, da se bodo vsebniki izkazali za pomembne za skrbnike sistema Windows, vendar toplo priporočam, da pred uvajanjem vsebnikov v proizvodnjo preživite čas v laboratorijskem okolju, da se navadite na Docker in njegove številne odtenke.

Vprašanja glede uspešnosti

Da bi preizkusil delovanje sistema Windows Server 2016, sem v splet pripeljal nov strežnik s čisto namestitvijo sistema Windows Server 2012 R2 Hyper-V. Ta strežnik je bil opremljen z nizko zmogljivo starajočo se strojno opremo, toda glede na cilj, ki je bil preveriti relativno zmogljivost, najsodobnejša strojna oprema v resnici ni bila potrebna.

Z novim spletnim strežnikom Windows Server 2012 R2 Hyper-V sem ustvaril navidezni stroj druge generacije z operacijskim sistemom Windows Server 2012 R2. Tako gostiteljski kot gostujoči operacijski sistem sta bila popolnoma popravljena in moj testni VM je bil edini navidezni stroj, ki je prisoten na gostitelju.

Ko je bil nov gostujoči operacijski sistem zagnan, sem v virtualni stroj namestil Sandro 2016, da sem primerjal uspešnost navideznega računalnika. Zanimali so me predvsem procesor, pomnilnik in zmogljivost omrežja.

Z osnovnim naborom metrik v roki sem nadgradil gostitelja Hyper-V na Windows Server 2016. Microsoft odsvetuje nadgradnje na mestu, vendar sem se odločil za eno namesto za čisto namestitev, da bi ohranil svoje testno okolje tako dosledno kot možno v vseh preskusih.

Po končani nadgradnji sem zagnal VM, ki je še vedno uporabljal Windows Server 2012 R2. Nato sem poskusil nadgraditi storitve integracije Hyper-V na VM, vendar je Microsoft odstranil možnost, da to storite ročno. Integracijske storitve so zdaj na voljo prek storitve Windows Update.

Po popolnem popravku gostitelja Windows Server 2016 Hyper-V sem ponovil primerjalne teste, da bi ugotovil, ali bo nova različica Hyper-V prinesla kakršno koli povečanje učinkovitosti. Pravzaprav se je izkazalo ravno nasprotno. Moja VM se je znatno zmanjšala.

Za svoj zadnji test sem izvedel nadgradnjo gostujočega operacijskega sistema na Windows Server 2016. V celoti sem popravil novi gostujoči operacijski sistem in še enkrat ponovil svoje preizkuse. Tokrat se je moja zmogljivost VM v veliki meri izboljšala, vendar ne povsem na ravni prvotne VM Windows Server 2012 R2, ki se je izvajala na gostitelju Windows Server 2012 R2, in nekaj preizkusov je še izboljšalo delovanje.

Spodaj sem navedel meritve, ki sem jih primerjal, in rezultate.

Kot lahko vidite, se po mojih testih Sandra Windows Server 2012 R2 VM v Windows Server 2016 Hyper-V ni izkazal tako dobro kot v prejšnji različici Hyper-V. Vsako referenčno vrednost sem zagnal večkrat (medtem ko je bil gostitelj v prostem teku), da bi se prepričal, ali so moje meritve točne. Z nadgradnjo gostujočega operacijskega sistema na Windows Server 2016 se je zmogljivost navideznega računalnika izboljšala, ne pa tudi na ravni gosta Windows Server 2012 R2, ki se izvaja v operacijskem sistemu Windows Server 2012 R2 Hyper-V.

Seveda bi morali te (in vse druge) referenčne rezultate jemati z rezervo. Merila uspešnosti ne odražajo vedno resničnosti in te ugotovitve predstavljajo le en niz testov ene konfiguracije strojne opreme. Poleg tega sem pripravljen dvomiti Microsoftu, ker so bile meritve zajete na gostitelju, ki je bil nadgrajen s prejšnje različice Windows Server, namesto na gostitelju s čisto namestitvijo.

Vaš edini smiseln preizkus zmogljivosti Windows Server 2016 Hyper-V bodo vaše dejanske obremenitve na vaši dejanski strojni opremi. Glede na rezultate testov Sandra boste želeli natančno spremljati delovanje Hyper-V 2016.