27 votos

Se virtualizar un servidor de decir otra capa del sistema operativo de revisión y actualización, más trabajo y mayor riesgo?

He hecho una búsqueda y no he encontrado nada abordar las cuestiones relativas a la aplicación de parches y actualizaciones del sistema. Tengo directrices que se dicen servidores deben tener los parches necesarios. Si tengo un host de máquina virtual es una capa adicional a la revisión y actualización - incluso con metal desnudo hipervisores? En lugar de tener un metal server? (es decir, más trabajo y pruebas y la documentación, como por mi directrices).

¿Con qué frecuencia tipo 1/bare-metal de hyper-viseras en actualizarse? ¿Que importa? ¿El hecho de que es un extra de software de la capa de introducir más complejidad y riesgo (seguridad y fiabilidad)? (por ejemplo, 99% libre de errores de software x 99% libre de errores de software = 98% libre de bugs del sistema)?

(Mi experiencia práctica con VMWare Workstation y Server, y VirtualBox.)

20voto

Tina Puntos 21

Sí, los productos como VMware debe ser parcheado a veces (las actualizaciones son acumulativas), pero los parches vienen con menos frecuencia que la línea principal del sistema operativo y el potencial vector de ataque es menor - el hypervisor no debe ser públicamente accesible.

Voy a usar VMware ESXi versión 5.0 (no 5.1) como un ejemplo...

ESXi 5.0 ha tenido el siguiente calendario de actualización:

Entre 9/2011 y el presente, ha habido DIEZ actualizaciones para el ESXi 5.0 del producto. De ellos, SEIS fueron centrado en la seguridad de las actualizaciones de rodar en las actualizaciones de paquetes con descripciones como:

"ESXi de tráfico NFS análisis de vulnerabilidad" - CVE-2012-2448.

Estas vulnerabilidades de seguridad son reales, ya que a veces el espejo de Linux en general los fallos de seguridad, pero creo que la mayoría de las organizaciones no son muy susceptibles a los riesgos. El ingeniero para evaluar este riesgo, sin embargo. Tendría que sus usuarios quieren masiva tiempo de inactividad para solucionar el siguiente explotar?

"El encode_name macro en misc/mntent_r.c en la Biblioteca de C de GNU (aka glibc o libc6) 2.11.1 y anteriores, como el usado por ncpmount y el monte.cifs, no controlar correctamente los caracteres de salto de línea en el punto de montaje los nombres, que permite a los usuarios locales para provocar una denegación de servicio (mtab la corrupción), o, posiblemente, modificar las opciones de montaje y obtener privilegios, a través de un elaborado montaje de solicitud".

Tal vez? Tal vez no.

Puedo ejecutar VMware Update Manager, pero sólo tienden a actualizar si estoy impactado por un error o que requieren de una mejora de funcionalidad. Cuando se ejecuta en un clúster de configuración, la instalación de parches es fácil, sin tiempo de inactividad para la ejecución de VM. Si no hay otras razones acuciantes existen, sólo voy a luchar para actualizar trimestralmente. Los hosts individuales requerirá un reinicio completo, ya que los parches se entregan como monolítico imágenes.

Como una nota del lado, siempre me heredar un VMware ESXi instalación o trabajar en un sistema que normalmente no me gestionar, a menudo veo que los hosts que ejecutan que nunca había cualquier VMware parches aplicados. Que está mal!! Pero puedo ver cómo los administradores podrían hacer ese error una vez que los sistemas están funcionando.

4voto

NickW Puntos 8518

Un servidor virtual requieren el mismo mantenimiento y parches de un servidor físico hace, bare metal hipervisores se requieren de actualizaciones de seguridad, pero también para corregir errores y mejorar el rendimiento. El más servidores, más trabajo tendrá que hacer para mantenerlos al día, no importa si son físicos o virtuales.

2voto

Ilari Kajaste Puntos 989

Esta es una muy buena pregunta, si eres nuevo en virtualización con "bare metal' hosts. Haciendo las cosas de esta manera requiere una mentalidad diferente para el enfoque que usted puede tomar con hipervisores que se ejecute como un servicio/aplicación en la parte superior de un convencionales OS.

En mi experiencia, es probablemente justo decir que el ESX y HyperV necesita menos parches de sistemas operativos convencionales. Esto no significa que ellos no necesitan parches, ni que la aplicación de algunos de los parches no sería beneficioso independientemente de la "necesidad", pero esto significa que interuptions a sus servicios a la revisión de la acogida debe ser menos frecuentes y más bajo su control. Hay un riesgo de seguridad potencial para el hipervisor sistemas operativos como no lo es para cualquier otro, y mientras que usted puede reducir al mínimo la exposición a este riesgo (por ejemplo, sólo exponer hipervisor de gestión en una VLAN aislado que no puede lógicamente ser alcanzados por un servidor vulnerable) sería absurdo pretender que no existe ningún riesgo en absoluto.

Así que si usted tiene 4 servidores virtuales, por ejemplo, y que los mueva a todos a la misma persona virtualizada de host, entonces sí que está aumentando la cantidad de interrupciones que pudieran ser causados por una necesidad de revisión del sistema host (o tratar un problema de hardware, etc, para esa materia).

Mientras yo sugeriría la posibilidad de que este riesgo se produzca es relativamente baja (estoy hablando de la diferencia entre el remiendo de un host virtual y el tipo de revisión que requiere un reinicio que tendrías que hacer para un sistema independiente de todos modos), no hay duda de que el hecho de que el impacto es alto.

Entonces, ¿por qué hacemos entonces?

El verdadero beneficio de la virtualización viene de ser capaz de configurar más de un servidor y configurar los hosts a trabajar juntos, permitiendo a los huéspedes que se mueve de un host a otro en el caso de que un host falla o que desea programar parches en los sistemas host.

Con este enfoque me las he arreglado para la revisión 5 hosts ESX a su vez sin ningún tipo de interrupción en todo a los 40 servidores virtuales que se ejecutan en la parte superior de ellos. Esta es simplemente una cuestión de economías de escala - una vez que usted tiene suficiente potencial de invitados virtuales de máquinas para hacer que valga la pena para construir esta especie de complejo de configurar y gestionar con el tipo de herramientas @ewwhite menciona en su respuesta, la recuperación de la inversión en la reducción de los riesgos que usted está preocupado acerca de llega muy rápidamente.

0voto

user127379 Puntos 168

Basado en las respuestas de arriba parece: Virtualizar un servidor ha introducido una mayor complejidad y riesgo en la seguridad y fiabilidad, pero estas necesidades deben ser sopesados frente a los beneficios de ser capaz de reducir el tiempo de inactividad al virtualizar un servidor.

Si su entorno requiere de auditoría, las pruebas y la documentación, el costo-beneficio añadido de la carga de trabajo de un entorno virtualizado, tendrá que ser tomado en cuenta con el número de servidores y sistemas de personal. En nuestro medio no tenemos el personal/personal de tiempo para mantener la pista de auditoría para un entorno virtualizado. En nuestros procesos de negocio podemos tomar algún tiempo de inactividad, pero no podemos estar perdiendo una pista de auditoría y documentación.

EnMiMaquinaFunciona.com

EnMiMaquinaFunciona es una comunidad de administradores de sistemas en la que puedes resolver tus problemas y dudas.
Puedes consultar las preguntas de otros sysadmin, hacer tus propias preguntas o resolver las de los demás.

Powered by: