加强数据中心虚拟化安全的10个步骤(1)(4)

六 留意存储资源

有些企业在SAN上提供过多的存储资源，这就可能错误地让虚拟机的共享区域成为SAN的一部分。

如果使用VMware移动虚拟机的工具VMotion，会在SAN上分配一些分区存储资源。但还要细化存储资源的分配，就像在物理环境下那样。展望未来，N-portID虚拟化技术是一个选择，这项技术可以只为一个虚拟机分配存储资源。

七 隔离网段

企业走上虚拟化道路，不该忽视与安全有关的网络流量风险。但其中一些风险很容易被忽视，如果在进行虚拟化规划时没有网络和安全人员参与，更是如此。Wolf说：“许多企业只是把性能作为合并服务器的度量标准。”

举例说，有些CIO绝对不允许任何虚拟服务器出现在“非军事区(DMZ)”。(DMZ是存放外部服务到互联网的子网络，就像电子商务服务器一样，它在互联网和局域网之间增加了缓冲区)。

Wolf说，要是DMZ里面果真有几个虚拟机，就要放在与一部分旧系统(如关键的Oracle数据库服务器)分开在的独立网段上。

Abbene说，在ArchCoal公司，IT团队一开始就考虑到了DMZ。他们把虚拟服务器部署在内部局域网上，不面向公众。Abbene说：“这是一个关键的决定。”举例说，公司在DMZ里面有几台安全的FTP服务器以及几台从事简单电子商务的服务器，公司不打算把虚拟机部署到里面。

八 注意交换机

什么时候交换机不是交换机?Wolf说：“有些虚拟交换机的工作方式类似集线器：每个端口镜像到虚拟交换机上的所有其他端口。”特别是如今的微软 VirtualServer带来了这个问题。VMware的ESXSserver不会，思杰的XenServer也不会。他说：“人们一听到"交换机"，就认为有隔离机制。这其实视厂商而定。”

微软声称，交换机问题会在即将发布的Viridian服务器虚拟化软件产品中得到解决。