不幸的是，事實上，許多虛擬機(jī)在一臺服務(wù)器上處理流量有一個很大的缺點：流量能見度。很多的概念使得虛擬化試圖跟蹤數(shù)據(jù)包或者分析數(shù)據(jù)流，以了解如何在任何給定的時間網(wǎng)絡(luò)的表現(xiàn)成為一個問題。

在許多部署了虛擬化的數(shù)據(jù)中心，缺乏安全和性能的可視性。例如，當(dāng)一個主要的性能問題在關(guān)鍵型任務(wù)網(wǎng)絡(luò)應(yīng)用程序發(fā)生時。通過做出正確的網(wǎng)絡(luò)架構(gòu)選擇，管理員可以實現(xiàn)虛擬化帶來的商業(yè)利益，滿足數(shù)據(jù)包級別的可視性需求。

虛擬的盲點剖析

在傳統(tǒng)的網(wǎng)絡(luò)，流量分析是使用TAP進(jìn)軍網(wǎng)絡(luò)段，或通過使用端口鏡像SPAN，并在同一子網(wǎng)中的服務(wù)器之間的數(shù)據(jù)流中捕獲數(shù)據(jù)包，以相當(dāng)簡單的方式進(jìn)行分析。

但是，在一個虛擬的世界，這種模式打破了。在虛擬化環(huán)境中，數(shù)據(jù)可能永遠(yuǎn)不會通過一個物理交換機(jī)或網(wǎng)絡(luò)，而是留在同一個物理主機(jī)，使得監(jiān)測變得困難。通過虛擬適配器到達(dá)虛擬交換機(jī)和備份的流量，無需再次提供一個地方來監(jiān)控流量。

許多企業(yè)往往在IT部門認(rèn)識到可視化的缺失所帶來的網(wǎng)絡(luò)危機(jī)前，經(jīng)歷過這方面的損失。安全團(tuán)隊可能沒有意識到惡意安全事件，直到他們無法在同一個物理主機(jī)上的監(jiān)控到從虛擬機(jī)到虛擬機(jī)的流量。如果沒有這種可視化，就無法對惡意攻擊進(jìn)行檢測和調(diào)查，以確定受到損害的資源，采取糾正措施并預(yù)防未來的惡意攻擊。由于無法在虛擬數(shù)據(jù)中心看到發(fā)生了什么事，這創(chuàng)造了虛擬盲點。

由于虛擬化是一種成熟的技術(shù)，而且?guī)淼耐顿Y回報率如此之快，在實現(xiàn)快速部署虛擬化的過程中可能沒有重視盲點問題，甚至是根本就沒有認(rèn)識到有虛擬盲點。具有諷刺意味的？？是，虛擬化的模式應(yīng)該比物理基礎(chǔ)設(shè)施監(jiān)控得更加緊密，因為其設(shè)計的前提便是盡可能的在底層硬件運行。

優(yōu)化網(wǎng)絡(luò)結(jié)構(gòu)

虛擬化供應(yīng)商及第三方提供可視化和主機(jī)內(nèi)的虛擬機(jī)流量迅速加強(qiáng)。市場上已經(jīng)有了引進(jìn)虛擬網(wǎng)絡(luò)之類的服務(wù)，使用現(xiàn)有的成熟的監(jiān)測技術(shù)是可行的，可以同時看到物理和虛擬基礎(chǔ)設(shè)施。這使得管理員能夠繼續(xù)使用他們當(dāng)前的監(jiān)控工具和相關(guān)專業(yè)知識，節(jié)省了大量的時間和金錢的投資。

使用的VMware vSphere 5.x中的vSphere分布式交換機(jī)（VDS），利用端口鏡像可以提供可視化和虛擬加密流量的能力，在本質(zhì)上，這個交換機(jī)出現(xiàn)的流量就如同它來自一個物理交換機(jī)。其他虛擬化供應(yīng)商，如思科還可以從虛擬環(huán)境中提供數(shù)據(jù)包級數(shù)據(jù)。

然而，獲得數(shù)據(jù)包級數(shù)據(jù)只是成功的一半。對于端到端的能見度包括物理和虛擬基礎(chǔ)設(shè)施，來著VDS的流量必須被過濾和分析。這樣企業(yè)才能對其安全性能進(jìn)行全面的監(jiān)控，獲得準(zhǔn)確的數(shù)據(jù)包流，進(jìn)而在正確的時間從事他們需要做好的工作。

世界上許多大型的數(shù)據(jù)中心均有投資在網(wǎng)絡(luò)監(jiān)控交換機(jī)：一種新興的技術(shù)，智能地連接數(shù)據(jù)中心網(wǎng)絡(luò)的監(jiān)視工具。就像在物理網(wǎng)絡(luò)，過濾和負(fù)載均衡的數(shù)據(jù)包發(fā)送到虛擬環(huán)境的分析工具是至關(guān)重要的，網(wǎng)絡(luò)監(jiān)控交換機(jī)的工作是為每個網(wǎng)絡(luò)工具提供準(zhǔn)確的需要分析的數(shù)據(jù)。

這反過來又提高了數(shù)據(jù)中心整體工作效率，通過運行監(jiān)測工具，運行更有效和更準(zhǔn)確。其他益處包括解決TAP和SPAN端口不足；直觀的管理界面，使管理員可以拖放流量工具，而不用命令行界面（CLI）腳本，并能適應(yīng)未來發(fā)展的投資工具和基礎(chǔ)設(shè)施升級到更高速度的網(wǎng)絡(luò)。

從物理機(jī)到虛擬端口鏡像轉(zhuǎn)移的過程中仍然存在的一個問題便是冗余數(shù)據(jù)包的生成。就像一個物理SPAN，端口鏡像虛擬流量很可能包含重復(fù)的數(shù)據(jù)包。為了解決這些問題，領(lǐng)先的網(wǎng)絡(luò)監(jiān)控交換機(jī)提供線速數(shù)據(jù)包重復(fù)數(shù)據(jù)刪除和數(shù)據(jù)包微調(diào)。包微調(diào)導(dǎo)致更有效的監(jiān)測和刪除敏感負(fù)載，如用戶信息，在將數(shù)據(jù)傳送到監(jiān)控工具之前，增強(qiáng)了安全性。

虛擬化提高了IT業(yè)務(wù)能力和靈活性。然而，它也帶來了新的挑戰(zhàn)：無法獲得關(guān)鍵的數(shù)據(jù)包級網(wǎng)絡(luò)流量的可視性。但是，通過使用正確的網(wǎng)絡(luò)架構(gòu)，包括網(wǎng)絡(luò)監(jiān)控交換機(jī)，管理員可以實現(xiàn)虛擬化的諸多益處，同時還實現(xiàn)端到端的可見性和保護(hù)他們現(xiàn)有的監(jiān)測工具投資。