我們注意到在虛擬網(wǎng)絡(luò)中，啟用混合模式存在其優(yōu)劣勢(shì)。如果正確地使用則可以在降低風(fēng)險(xiǎn)的同時(shí)提高虛擬架構(gòu)中網(wǎng)絡(luò)的安全性和效率。

改善虛擬網(wǎng)絡(luò)安全的小提示

為確保虛擬網(wǎng)絡(luò)安全和防止虛擬機(jī)模仿其它虛擬機(jī)，您可以采取如下幾個(gè)防御措施：

1.關(guān)閉所有虛擬服務(wù)器的混合模式。這一步防止虛擬機(jī)看到發(fā)送到其它主機(jī)的流量

2.鎖定MAC地址更改，防止虛擬機(jī)變更其MAC地址。這一步可以防止虛擬機(jī)訪問(wèn)發(fā)送給網(wǎng)絡(luò)上其它虛擬機(jī)的流量

3.關(guān)閉欺騙傳輸，可以阻止虛擬機(jī)以網(wǎng)絡(luò)內(nèi)其它虛擬機(jī)的名義發(fā)送數(shù)據(jù)包

混合模式下，虛擬網(wǎng)卡設(shè)備(可以是網(wǎng)絡(luò)適配器或虛擬機(jī)網(wǎng)卡vNIC)可以攔截和訪問(wèn)虛擬網(wǎng)絡(luò)中的數(shù)據(jù)包，包括發(fā)送給其它vNIC的包。如果關(guān)閉混合模式，vNIC通常會(huì)自動(dòng)丟棄發(fā)送到其它MAC地址的包。并非所有的hypervisor支持混合模式(例如Microsoft Hyper-V)，而其它的如VMware vSphere則支持。

多年來(lái)，支持混合模式成為管理和監(jiān)控物理網(wǎng)卡和交換機(jī)的重要內(nèi)容。現(xiàn)在的虛擬網(wǎng)絡(luò)正在經(jīng)歷類(lèi)似的過(guò)程，出現(xiàn)了一些基本的管理和性能優(yōu)化工具，例如Catbird Networks Inc.’s vSecurity 和 CloudSwitch Enterprise。

通過(guò)啟用混合模式監(jiān)控虛擬網(wǎng)絡(luò)流量

不同于很多傳統(tǒng)的網(wǎng)絡(luò)安全工具，虛擬化專(zhuān)用工具可以監(jiān)控宿主機(jī)上hypervisor和虛擬機(jī)之間的流量。虛擬網(wǎng)絡(luò)主要由運(yùn)行于同一宿主機(jī)上的多臺(tái)虛擬機(jī)構(gòu)成，邏輯上都是相互連接的，所以它們可以互相發(fā)送和接受數(shù)據(jù)。可能一臺(tái)虛擬交換機(jī)會(huì)為整個(gè)虛擬網(wǎng)絡(luò)服務(wù)，而虛擬交換機(jī)通過(guò)基于hypervisor的配置信息可以把數(shù)據(jù)轉(zhuǎn)發(fā)到正確的虛擬機(jī)。

當(dāng)啟用混合模式時(shí)，安全工具可以通過(guò)包嗅探器監(jiān)控流量和虛擬網(wǎng)絡(luò)傳輸內(nèi)容。這些工具通過(guò)流量分析判斷是否有非法訪問(wèn)，例如未經(jīng)授權(quán)的侵入或錯(cuò)誤發(fā)送給虛擬機(jī)的信息。管理員通過(guò)包嗅探器分析虛擬網(wǎng)絡(luò)性能，找出瓶頸和管理高效的網(wǎng)絡(luò)數(shù)據(jù)傳輸。通過(guò)檢查網(wǎng)絡(luò)流量還可以確保即使某臺(tái)虛擬機(jī)被感染，也不會(huì)相互攻擊。

由于侵入者通過(guò)混合模式惡意監(jiān)測(cè)網(wǎng)絡(luò)流量，您還可以借助混合模式作為旁路包嗅探器以監(jiān)測(cè)哪個(gè)vNIC處于非正常狀態(tài)。

不加管束的混合模式

在某些hypervisor中啟用混合模式很容易，但是只建議有深入了解的IT人員去啟用該功能。在ESXi中，您可以通過(guò)簡(jiǎn)單幾步啟用虛擬交換機(jī)上的混合模式：登錄到vCenter Server > select an ESXi host >選擇希望啟用的交換機(jī)> 然后接受修改。

混合模式還常用于混合云環(huán)境。CloudSwitch應(yīng)用需要ESX虛擬交換機(jī)混合模式的支持，實(shí)現(xiàn)數(shù)據(jù)中心和位于外部云中的工作負(fù)載的路由。由于CloudSwitch只對(duì)云內(nèi)的服務(wù)器流量感興趣，您可以配置只屬于應(yīng)用的端口。這樣，CloudSwitch應(yīng)用永遠(yuǎn)不會(huì)接收到虛擬交換機(jī)上其它節(jié)點(diǎn)的數(shù)據(jù)，因?yàn)榛旌夏Ｊ街粚?duì)該獨(dú)立端口組啟用。

在公有云中混合模式也有應(yīng)用。用戶可以在亞馬遜EC2中創(chuàng)建啟用混合模式的虛擬機(jī)。但是，不同于物理機(jī)和虛擬機(jī)，EC2只會(huì)把數(shù)據(jù)傳輸?shù)秸_地址的vNIC。換句話說(shuō)，EC2虛擬服務(wù)器只會(huì)向目標(biāo)IP或MAC地址發(fā)數(shù)據(jù)，而對(duì)于EC2運(yùn)行于混合模式的虛擬機(jī)，是不能接受和嗅探發(fā)送到其它EC2虛擬服務(wù)器的數(shù)據(jù)的。

用戶可以在運(yùn)行混合模式的EC2環(huán)境中通過(guò)安全監(jiān)控獲知是否混合模式被正確關(guān)閉，這對(duì)于運(yùn)行關(guān)鍵應(yīng)用的EC2服務(wù)器尤其重要。如果安全監(jiān)控工具可以嗅探到發(fā)送給其它虛擬機(jī)的包，那么EC2的混合模式運(yùn)行不正常——需要引起關(guān)注。

最后，雖然混在模式可能會(huì)改善虛擬網(wǎng)絡(luò)安全和效率。但是，如果使用不當(dāng)，該網(wǎng)絡(luò)屬性會(huì)嚴(yán)重危害數(shù)據(jù)中心。所以，沒(méi)有經(jīng)驗(yàn)的IT管理員最好遠(yuǎn)離混合模式，以確保入侵者不會(huì)從虛擬網(wǎng)絡(luò)中竊取到敏感數(shù)據(jù)。