如何保护虚拟机环境下的数据安全

简化备份和灾难恢复的过程

    某物流企业与客户之间的生意往来生成了大量的客户数据。数据量接近20TB，而且还有10TB的测试数据散布在运行着VMware Infrastructure 3虚拟化软件的数台EMC服务器平台上。而虚拟化则让这家公司可以有效的利用资源，并且简化备份和灾难恢复的过程。

    这家企业使用VCB和EMC的Legato备份软件来对虚拟机进行备份。虚拟服务器备份是在晚间进行的，同时按照需求还会做完全备份。完全备份的过程大概需要6至7个小时，大概有160台服务器要做备份，其中有一半是虚拟服务器，很难计算出一台虚拟服务器的备份时间到底要多久。

    为了保护现有的虚拟服务器，他们还使用虚拟快照来克隆新的服务器。使用VCB来保存一个虚拟服务器的拷贝，然后可以把这个拷贝恢复到另外一台虚拟机上，作为前一个的复制品。

    EMC的Clariion Disk Library (CDL)提供了对于虚拟磁带的支持。备份程序既把数据备份到了虚拟磁带上也备份到了真正的物理磁带上，所以这家企业拥有两种备份。此外，目前的LTO-3磁带机将很快升级为LTO-4的。虽然目前而言，这家企业还没有恢复过虚拟机，恢复的过程已经完全被证实可用，而且至少每月有一次测试，有时甚至会在更短时间内进行测试。

    这家企业的运维负责人Thompson表示：自从解决了早先出现的一些问题之后，虚拟化的表现很可靠。他说：“我们遇到过VCB运行的时候虚拟机死锁的情况，那是因为我们没有及时升级VMware驱动和工具。” 升级之后，虚拟机就再没有出过问题。这一点强调了在虚拟环境中软件维护和版本控制的重要性。

提升效率和灵活性

    说到效率和灵活性，这在服务器虚拟化的整合架构中可能是最大的优势了。一家信息服务公司在整合数据中心的过程中，使用Microsoft Virtual Server 2005 R2提供了灵活性。该公司信息安全主管表示：我们兼并了一家公司，并对整合上把他们的技术架构加入到我们的数据中心，虚拟环境是我们唯一的选择，这样才足够灵活应出现的问题。

    一旦存储虚拟化的优势显而易见，整体架构就向着虚拟服务器环境转变，生产环境上有超过600台虚拟服务器（占生产环境的80%-85%），而且还有大概400台虚拟服务器是为了灾备恢复的，另外400台处于开发环境中。该公司信息安全主管认为：这是一种硬件未知观点，任何运行Windows服务器的平台可以支持完全虚拟化并能真正利用硬件的全部潜在能力。如今，他们在一台IBM FAST存储服务器上大概存储着60TB的数据。

    同时，他们使用VMM来管理和备份Microsoft的虚拟机。VMM不仅能够帮助配置和优化虚拟环境，而且还能生成VHD文件的备份快照。还使用VMM来生成标准服务器“图像”，这样可以缩短部署新虚拟机的时间，并有助于在环境上统一软件和硬件的版本。这样，他们开始的时候从头开始配置一台新服务器可能需要2到4个小时，而现在可以仅仅通过已经生成的硬拷贝图像正确地配置到主机上就大功告成了——也就用10到15分钟时间。

    几乎所有的虚拟机备份都是通过VMM完成的，不过还有一些手动的备份方式可以提供给那些还没有虚拟化的重要程序。一台虚拟机真正需要的备份时间取决于VHD文件的大小和备份数据从源到目的的带宽情况。备份总是先到磁盘，然后离线作为一个独立的过程再备份到磁带。

    事实上任何地点都能配置灾难恢复，只要有电源，有互联网接入，这一点很重要。虚拟化让整个灾难恢复过程具有可操作性，没那么可怕了。而且VMM还能帮助进行配置管理，升级等等。VMM提供的负载均衡还可以帮助优化每一台服务器上虚拟机的数量。

虚拟服务器备份的未来

    存储的数据会越来越多，这就不可避免地导致对虚拟机备份的网络存储空间的需求也会越来越大。这也预示着人们对虚拟服务器备份软件方面和重复数据删除技术的关注度会越来越高。真正的挑战将是执行重复数据删除却不会影响到虚拟机的性能。

    如果你在一台虚拟机上执行重复数据删除，你会给虚拟机的CPU带来更大的负荷。也就是说，可能会需要一台外部的数据重复删除设备来达到必要的性能标准。使用优化的硬件芯片可能还会提升虚拟服务器的一些其他性能表现，可以选择使用Intel公司的vPro 处理器技术以及Q35 Express芯片。

    传统的备份还得依赖备份软件才能进行正确的恢复，本地安全性一般，虚拟机则是一个完全自我独立的系统快照，恢复起来要比一个备份卷简单得多。加密是虚拟备份环境中另外一个要素，但是目前几乎没有多少用户意识到了安全问题的重要性。

    基本上，还看不清虚拟服务器备份的未来。专家指出虚拟化厂商可能会将备份的负担甩给第三方开发厂商。Whitehouse这样表示：“我认为他们（虚拟厂商）的第一步骤将是为备份厂商提供应用程序接口。”备份厂商然后就能开发新的应用程序或者在现有备份产品上添加功能，可以利用那些应用程序接口，提供更好更细致的备份产品。