virtualizacion con hipervisores

{El hypervisor incluido en Windows Server 2008}
David Cervigón Luna
IT Pro Evangelist
Microsoft Ibérica
http://blogs.technet.com/davidcervigon

Introducción y requerimientos
Arquitectura
Funcionalidades
Seguridad
Alta disponibilidad
Gestión del Datacenter virtualizado

¡¡En 1960!!
IBM M44/44X
IBM CP-40
IBM CP/CMS
…………

VMM Híbrido: Virtualización Nativa

Apps

Guest 1VMM Tipo 1 (Hypervisores):
Paravirtualización

Guest 2

Guest 1

Host OS

VMM

Hardware

• Virtual PC
• Virtual Server
• VMWARE Workstation
• VMWare Server (GSX)
• Virtual Iron, VirtualBox, Parallels, etc.

Guest 2

VMM

Hardware

• Hyper V
• Xen, XenServer
• VMWARE ESX
• Logical Domains

Guest 3

Guest

Anillo 0

Traducción
binaria

Anillo 3
VMM(Lenta)

Ejecución
Directa
(Rápida)

CPU

SO Guest
Ejecución
Directa

Aplicaciones
Ejecución Directa
Anillo 3 (Guest User Mode)

Traducción
Binaria

Anillo 1 (Guest Kernel Mode)
Anillo 0 (Guest Kernel Mode)
VM Additions
Anillo 0 (Guest Kernel Mode

VMM.sys

CPU

Traducción Binaria

Virtualización sólo por software

Máquina Virtual

Máquina Virtual

MáquinaVirtual

Virtualización asistida por hardware

Máquina Virtual

Virtual Server

Procesador x86

Máquina Virtual

Máquina Virtual

Virtual Server

Operaciones de la Máquina
Virtual

Operaciones de Virtual Server

Intel- VT
El procesador le ofrece a la Máquina Virtual el nivel de privilegios
esperado (Anillo -1)
Elimina la necesidad de hacerlo por software

Puede mejorar elrendimiento de la máquina Virtual considerablemente

Hardware
Arquitectura x64 (no IA64)
Virtualización asistida por hardware
Intel-VT

Data Execution Prevention (DEP) en el hardware
NOTA: La BIOS debe soportar y tener habilitadas estas opciones. Hay
que apagar/encender el equipo después de hacer algún cambio (no
basta reiniciar)

Software
Una edición x64 de Windows Server 2008Standard/Enterprise/Datacenter/Hyper-V Server

Monolíticos

Micro-Kernel

Mas simple que un kernel
moderno, pero con cierto nivel de
complejidad
Tiene su propio modelo de
drivers

VM 1
(Admin)

VM 2

VM 3

Funcionalidad simple de
particionado
Mayor fiabilidad, con menor
superficie de ataque
Sin código de terceros
Los drivers corren en cada una
de las particiones

VM 1(“Parent”)
Virtualization
Stack

Hypervisor
Drivers
Drivers
Drivers
Hardware

Drivers
Drivers
Drivers

VM 2
(“Child”)

VM 3
(“Child”)

Drivers
Drivers
Drivers

Drivers
Drivers
Drivers

Hypervisor
Hardware

Proporcionado por

Particion
Padre

OS
ISV / IHV / OEM
Microsoft Hyper-V
Microsoft / XenSource

Particiones Hijas

VM Worker
Processes

AplicacionesAplicaciones

Aplicaciones

Aplicaciones

Windows Server
2003, 2008

NonHypervisor
Aware OS

Xen-Enabled
Linux Kernel

WMI Provider
VM Service

Windows
Server 2008
Windows
Kernel

VSP

IHV
Drivers

VMBus

Windows
Kernel

Linux
VSC

VSC

Synthetic
Devices
Drivers

VMBus

User
Mode

Emulated
Devices
Drivers

VMBus

Emulacion

Hypercall AdapterWindows hypervisor
“Designed for Windows” Server Hardware

Kernel
Mode
Ring -1

En un Hypervisor monolítico no es posible la defensa en profundidad
¡Todo lo que corre en el hypervisor lo hace en el modo más
privilegiado del sistema!
Virtual
Machine

Virtual
Machine

Virtual
Machine

User
Mode

User
Mode

User
Mode

Kernel
Mode

Kernel
Mode

Kernel
Mode

•Scheduler•Memory Management
•Storage Stack
•Network Stack
•VM State Machine
•Virtualized Devices
•Binary Translators
•Drivers
•Management API

Hardware

Ring 3

Ring 0
Ring -1

Defensa en profundidad
Usa la virtualización asistida por hardware como protección
Hyper-V no utiliza traducción binaria
Superficie de ataque muy reducida
Parent Partition

Virtual
Machine

Virtual...