Omówienie przełącznika wirtualnego funkcji Hyper-V

Dotyczy: Windows Server 2012 R2, Windows Server 2012, Windows 8

W tym temacie opisano przełącznik wirtualny funkcji Hyper-V w systemie Windows Server 2012, praktyczne zastosowania tego przełącznika oraz wymagania dotyczące sprzętu i oprogramowania. Podano również linki do dodatkowych informacji.

Przełącznik wirtualny funkcji Hyper-V

Przełącznik wirtualny funkcji Hyper-V to programowy przełącznik sieciowy działający w warstwie drugiej sieci Ethernet, dostępny w Menedżerze funkcji Hyper-V po zainstalowaniu roli serwera funkcji Hyper-V. Umożliwia podłączanie maszyn wirtualnych do sieci wirtualnych oraz fizycznych za pomocą zarządzanych programowo i rozszerzalnych funkcji. Ponadto przełącznik wirtualny funkcji Hyper-V udostępnia egzekwowanie zasad zabezpieczeń, izolacji i poziomu usług.

Przełącznik wirtualny funkcji Hyper-V w systemie Windows Server® 2012 zawiera uproszczone rozwiązywanie problemów oraz kilka nowych i ulepszonych funkcji izolacji dzierżawców, kształtowania ruchu i ochrony przed złośliwymi maszynami wirtualnymi.

Dzięki wbudowanej obsłudze sterowników filtrów NDIS (Network Device Interface Specification) i sterowników wywołania platformy filtrowania systemu Windows (Windows Filtering Platform) przełącznik wirtualny funkcji Hyper-V pozwala niezależnym dostawcom oprogramowania (ISV) tworzyć rozszerzalne wtyczki (nazywane rozszerzeniami przełącznika wirtualnego), które udostępniają udoskonalone funkcje sieciowe i funkcje zabezpieczeń. Rozszerzenia przełącznika wirtualnego dodane do przełącznika wirtualnego funkcji Hyper-V są wyświetlane w Menedżerze przełącznika wirtualnego, dostępnego w Menedżerze funkcji Hyper-V.

Poniższa ilustracja przedstawia maszynę wirtualną wyposażoną w wirtualną kartę sieciową, która jest podłączona do przełącznika wirtualnego funkcji Hyper-V za pomocą portu przełącznika.

Możliwości zapewniane przez przełącznik wirtualny funkcji Hyper-V udostępniają organizacjom dodatkowe opcje dotyczące wymuszania izolacji dzierżawców, kształtowania ruchu sieciowego i sterowania nim oraz stosowania środków ochronnych przed złośliwymi maszynami wirtualnymi.

Zastosowania praktyczne

Wyświetlanie statystyk: deweloper pracujący u hostowanego dostawcy chmury zaimplementował pakiet zarządzania, który pozwala wyświetlać bieżący stan przełącznika wirtualnego funkcji Hyper-V. Pakiet zarządzania korzysta z usług WMI i umożliwia wysyłanie zapytań dotyczących bieżących funkcji całego przełącznika, ustawień konfiguracji oraz statystyk sieciowych dla poszczególnych portów. Zebrane informacje umożliwiają administratorom szybki przegląd stanu przełącznika.

Śledzenie zasobów: firma świadczy usługi hostingowe, których ceny zależą od poziomu członkostwa. Poszczególnym poziomom członkostwa odpowiadają różne poziomy wydajności sieci. W ramach spełniania wymogów umów SLA administrator przydziela zasoby w taki sposób, który równoważy dostępność sieci. Administrator programowo śledzi informacje takie jak bieżące użycie przepustowości oraz liczbę kolejek maszyn wirtualnych (VMQ) lub kanałów IOV przypisanych do poszczególnych maszyn wirtualnych. Informacje o zasobach są śledzone podwójnie — oprócz zasobów przypisanych do maszyny wirtualnej ten sam program okresowo rejestruje również używane zasoby.

Zarządzanie kolejnością rozszerzeń przełącznika: w przedsiębiorstwie zainstalowano rozszerzenia na hoście funkcji Hyper-V w celu monitorowania ruchu oraz zgłaszania wykrytych włamań. Podczas konserwacji niektóre rozszerzenia są aktualizowane, co powoduje zmianę ich kolejności. Za pomocą prostego skryptu można zmienić kolejność rozszerzeń po wykonaniu aktualizacji.

Rozszerzenie przekazujące zarządza identyfikatorem sieci VLAN: w firmie będącej liderem produkcji przełączników utworzono rozszerzenie przekazujące, które umożliwia stosowanie wszystkich zasad sieciowych. Jednym z zarządzanych elementów są identyfikatory wirtualnej sieci lokalnej (VLAN). Przełącznik wirtualny przekazuje kontrolę nad siecią VLAN rozszerzeniu przekazującemu. Wdrożona w firmie instalacja programowo wywołuje funkcje interfejsu programowania aplikacji (API) instrumentacji zarządzania Windows (WMI), które włączają przezroczystość, co powoduje, że przełącznik wirtualny funkcji Hyper-V przepuszcza znaczniki sieci VLAN i nie podejmuje względem nich żadnej akcji.

Ważne funkcje

Poniżej wymieniono niektóre główne funkcje obsługiwane przez przełącznik wirtualny funkcji Hyper-V.

1. Ochrona przed zatruwaniem (fałszowaniem) protokołu ARP/ND: chroni przed złośliwymi maszynami wirtualnymi przeprowadzającymi ataki metodą fałszowania pakietów protokołu ARP (Address Resolution Protocol), które mają na celu wykradnięcie adresów IP z innych maszyn wirtualnych. Zapewnia również ochronę przed atakami na protokół IPv6 przy użyciu fałszowania żądań odnajdowania sąsiadów (ND).

2. Ochrona DHCP: chroni przed złośliwymi maszynami wirtualnymi, które anonsują się jako serwery DHCP i mogą być źródłem ataków typu man-in-the-middle.

3. Listy kontroli dostępu do portów: zapewniają filtrowanie ruchu na podstawie adresów/zakresów IP lub MAC (Media Access Control), co umożliwia skonfigurowanie odizolowanej sieci wirtualnej.

4. Tryb magistrali prowadzących do maszyn wirtualnych: umożliwia administratorom skonfigurowanie określonej maszyny wirtualnej jako urządzenia wirtualnego, a następnie przekierowanie do niej ruchu z różnych sieci VLAN.

5. Monitorowanie ruchu sieciowego: umożliwia administratorom przeglądanie ruchu, który przechodzi przez przełącznik sieciowy.

6. Odizolowana (prywatna) sieć VLAN: umożliwia administratorom rozdzielenie ruchu na kilka sieci VLAN, co ułatwia utworzenie odizolowanych wspólnot dzierżawców.

Poniżej znajduje się lista funkcji, które zwiększają użyteczność przełącznika wirtualnego funkcji Hyper-V:

1. Limit przepustowości i obsługa serii: umożliwia zarezerwowanie minimalnej przepustowości. Maksymalna przepustowość pozwala ograniczyć ilość przepustowości używanej przez maszynę wirtualną.

2. Obsługa oznaczeń ECN: oznaczanie jawnego powiadamiania o przeciążeniach (ECN) — nazywanego również rozszerzeniem Data Center TCP (DCTCP) — umożliwia sterowanie przepływem ruchu przez przełącznik fizyczny i system operacyjny w sposób, który pozwala zapobiegać zalaniu zasobów buforu przełącznika, dzięki czemu można zwiększyć przepływność ruchu sieciowego.

3. Diagnostyka: umożliwia łatwe śledzenie i monitorowanie zdarzeń oraz pakietów przechodzących przez przełącznik wirtualny.

Przełącznik wirtualny funkcji Hyper-V

Funkcje przełącznika wirtualnego funkcji Hyper-V opisane w poprzedniej sekcji — Ważne funkcje — udostępniają administratorom nowe, niespotykane wcześniej metody konfigurowania opcji zabezpieczeń i izolacji oraz monitorowania ruchu. Możliwość poszerzania zakresu funkcji przełącznika pozwala niezależnym dostawcom oprogramowania na udostępnienie dodatkowej warstwy dostosowywania.

Jakie korzyści zapewnia ta zmiana?

Wzrost popularności korzystania z wirtualizacji sprawia, że duża część firm świadczących usługi hostingu umieszcza maszyny wirtualne wielu klientów na tym samym komputerze, co zwiększa zapotrzebowanie na zapewnienie izolacji i ochrony. System Windows Server 2008 R2 domyślnie zapewnia ochronę przed fałszowaniem adresów MAC, jednak kolejne wersje serwera, łącznie z wersją Windows Server 2008 R2, udostępniają jedynie minimalne zabezpieczenia zwirtualizowanego ruchu sieciowego. Dzięki wprowadzonym ulepszeniom, które zapewniają ochronę przed złośliwymi maszynami wirtualnymi, system Windows Server® 2012 gwarantuje większe bezpieczeństwo ruchu przepływającego między maszynami wirtualnymi znajdującymi się na tym samym fizycznym komputerze hosta.

Nowy przełącznik wirtualny funkcji Hyper-V w systemie Windows Server® 2012 zapewnia wyższy poziom bezpieczeństwa i udostępnia funkcje, które umożliwiają klientom łatwe monitorowanie ruchu sieciowego przechodzącego przez przełącznik i zarządzanie nim. Dodatkowo przełącznik wirtualny funkcji Hyper-V udostępnia interfejs, który pozwala niezależnym dostawcom oprogramowania na poszerzanie funkcjonalności przełącznika.

Wymagania sprzętowe

Przełącznik wirtualny funkcji Hyper-V wymaga 64-bitowego procesora z obsługą następujących funkcji:

• Dysk produktu lub pliki systemu Windows Server® 2012

• Komputer fizyczny służący jako host systemu Windows Server® 2012

• Wirtualizacja sprzętowa. Dostępna w procesorach z opcją wirtualizacji — w szczególności procesorach z technologią Intel Virtualization Technology (Intel VT) lub AMD Virtualization AMD (AMD-V).

• Wymuszana sprzętowo funkcja Zapobieganie wykonywaniu danych (DEP) musi być dostępna i włączona. W szczególności należy włączyć bit Intel XD lub AMD NX.

Zobacz też

Poniżej znajduje się lista zasobów dotyczących przełącznika wirtualnego funkcji Hyper-V.

Dokumentacja pokrewna

• Funkcja Hyper-V — omówienie w systemie Windows Server 2012

• Funkcja Hyper-V w bibliotece technicznej systemów Windows Server 2008 i Windows Server 2008 R2 w witrynie TechNet

• Zasoby dla deweloperów dotyczące rozszerzonego przełącznika funkcji Hyper-V w bibliotece Microsoft Developer Network (MSDN)

• Zabezpieczone połączenia 802.3 z siecią Ethernet realizowane za pomocą opartego na przełącznikach dostępu przewodowego uwierzytelnianego metodą 802.1X