Windows Server 2016 Hyper-V: Πιο ασφαλές, αλλά όχι πιο γρήγορο

Με τον Windows Server 2016, η Microsoft εισήγαγε μια μακρά λίστα βελτιώσεων στο Hyper-V. Μαζί με λειτουργικές προσθήκες όπως υποστήριξη κοντέινερ, ένθετη εικονικοποίηση και αυξημένα όρια μνήμης και vCPU, θα βρείτε μια σειρά από νέες δυνατότητες, συμπεριλαμβανομένων σημείων ελέγχου ποιότητας παραγωγής και της δυνατότητας προσθήκης μνήμης και προσαρμογέων δικτύου, που διευκολύνουν τη διαχείριση.

Ωστόσο, ο πρωταρχικός στόχος της Microsoft στην κυκλοφορία του Hyper-V 2016 φαίνεται να ήταν η βελτίωση της ασφάλειας. Στην πραγματικότητα, θα ήθελα να πω ότι η νέα λειτουργία killer της Hyper-V είναι θωρακισμένα VM, τα οποία λειτουργούν με κρυπτογράφηση BitLocker και υπηρεσία φύλακα για να διασφαλίσουν ότι οι εικονικές μηχανές λειτουργούν μόνο σε εξουσιοδοτημένους κεντρικούς υπολογιστές.

Εάν ένα χαρακτηριστικό Hyper-V 2016 με ώθησε να αναβαθμίσω, θα ήταν το προστατευμένο χαρακτηριστικό VM. Ωστόσο, η ικανότητα εκχώρησης περισσότερης μνήμης στα Generation 2 VMs, καθώς και η δυνατότητα προσθήκης μνήμης και προσαρμογέων δικτύου σε κεντρικούς υπολογιστές εικονικοποίησης, είναι επίσης σημαντικά πλεονεκτήματα.

Ένας τομέας που ενδέχεται να μην βελτιωθεί το Hyper-V 2016 είναι η απόδοση VM. Στην πραγματικότητα, οι δοκιμές αναφοράς μου Sandra για μια εικονική μηχανή Windows Server 2012 R2 σε Hyper-V 2012 R2 έναντι Hyper-V 2016 δείχνουν ένα βήμα προς τα πίσω. Δεν θα έλεγα αυτά τα αποτελέσματα οριστικά με κανένα τρόπο, αλλά να το θυμάστε καθώς αρχίζετε να αξιολογείτε το Windows Server 2016 Hyper-V για τους δικούς σας φόρτους εργασίας.

Η διαδικασία εγκατάστασης Hyper-V

Για τους σκοπούς αυτής της αναθεώρησης, αναβάθμισα έναν υπάρχοντα διακομιστή Windows Server 2012 R2 σε Windows Server 2016. Ως επί το πλείστον, η διαδικασία αναβάθμισης ήταν σχεδόν ίδια με αυτήν της εγκατάστασης του Windows Server 2012 R2. Η διαφορά ήταν ότι ο Οδηγός εγκατάστασης εμφανίζει ένα προειδοποιητικό μήνυμα που σας λέει ότι δεν συνιστώνται αναβαθμίσεις του Windows Server και θα πρέπει να εκτελέσετε μια καθαρή εγκατάσταση. Ο Οδηγός εγκατάστασης δεν θα σας εμποδίσει να πραγματοποιήσετε επιτόπια αναβάθμιση, αλλά πρέπει να κάνετε κλικ σε ένα κουμπί Επιβεβαίωση για να επιβεβαιώσετε το προειδοποιητικό μήνυμα.

Προχώρησα με τη διαδικασία αναβάθμισης (παρόλο που έχω εκτελέσει πολλές καθαρές εγκαταστάσεις) επειδή ήθελα να δω τι θα συνέβαινε. Εκτός αυτού, ο διακομιστής που αναβάθμισα εκτελούσε μια καθαρή εγκατάσταση του Windows Server 2012 R2. Είχα εγκαταστήσει το ρόλο Hyper-V και δημιούργησα μερικές εικονικές μηχανές, αλλά δεν είχα εγκαταστήσει κανένα πρόσθετο λογισμικό (εκτός από τις ενημερώσεις κώδικα της Microsoft) ή δεν έχω ενεργοποιήσει τυχόν μη φυσιολογικές ρυθμίσεις διαμόρφωσης.

Η διαδικασία αναβάθμισης του Windows Server πήγε πολύ ομαλά. Όλες οι υπάρχουσες ρυθμίσεις του λειτουργικού μου συστήματος διατηρήθηκαν και οι εικονικές μου μηχανές παρέμειναν λειτουργικές μετά την αναβάθμιση. Επιπλέον, ο Hyper-V Manager εξακολουθούσε να είναι εντελώς εξοικειωμένος. Παρόλο που η Microsoft έχει εισαγάγει μια σειρά από νέες δυνατότητες Hyper-V στον Windows Server 2016, ο Hyper-V Manager έχει αλλάξει πολύ λίγο. Οι διαχειριστές με προηγούμενη εμπειρία Hyper-V είναι σίγουροι ότι θα νιώσουν σαν στο σπίτι τους όταν χρησιμοποιούν τη νέα έκδοση.

Rolling Hyper-V cluster αναβαθμίσεις

Παρόλο που αρχικά πραγματοποίησα μια επιτόπια αναβάθμιση ενός κεντρικού κεντρικού υπολογιστή Hyper-V, η Microsoft υποστηρίζει επίσης κυλιόμενες αναβαθμίσεις αναπτύξεων Hyper-V σε σύμπλεγμα. Αυτό σημαίνει ότι οι διακομιστές που εκτελούν Windows Server 2016 Hyper-V μπορούν να προστεθούν σε υπάρχοντα συμπλέγματα Windows Server 2012 R2 Hyper-V και ουσιαστικά μιμούνται κεντρικούς υπολογιστές Windows Server 2012 R2 Hyper-V, επιτρέποντάς τους έτσι να συμμετέχουν πλήρως στο σύμπλεγμα. Οι εικονικές μηχανές Windows Server 2012 R2 Hyper-V μπορούν να μεταφερθούν ζωντανά σε κόμβους Windows Server 2016 Hyper-V, επιτρέποντας έτσι μια αναβάθμιση λειτουργικού συστήματος συμπλέγματος χωρίς να πραγματοποιήσετε καμία από τις εικονικές μηχανές εκτός σύνδεσης.

Κατά τη διαδικασία σύνταξης αυτής της κριτικής, ανέπτυξα ένα σύμπλεγμα τριών κόμβων των διακομιστών Windows Server 2012 Hyper-V και, στη συνέχεια, πρόσθεσα έναν κόμβο Windows Server 2016 Hyper-V. Ήμουν σε θέση να εγγραφώ με επιτυχία στον κόμβο του συμπλέγματος και να μεταφέρω ζωντανά VM μεταξύ των δύο διαφορετικών εκδόσεων Hyper-V. Εν ολίγοις, η διαδικασία αναβάθμισης κυλίνδρων συμπλέγματος λειτούργησε άψογα.

Ολοκλήρωσα την αναβάθμιση συμπλέγματος κατά τη διάρκεια ενός απογεύματος, αλλά η Microsoft επιτρέπει μακροπρόθεσμη συνύπαρξη μεταξύ των εκδόσεων Hyper-V μέσα σε ένα σύμπλεγμα. Η μακροπρόθεσμη συνύπαρξη σίγουρα θα είναι ευκολότερη τώρα που η Microsoft έχει αναβαθμίσει τον Hyper-V Manager, οπότε μπορεί να χρησιμοποιηθεί ταυτόχρονα με πολλές εκδόσεις Hyper-V. Από το Hyper-V Manager στον Windows Server 2016, μπορείτε να διαχειριστείτε το Hyper-V στον Windows Server 2012 και στον Windows Server 2012 R2 επίσης.

Ένα μειονέκτημα στο νέο Hyper-V Manager: Επειδή η Microsoft παρέχει τώρα ενημερώσεις στις Υπηρεσίες ενοποίησης Hyper-V μέσω της κανονικής διαδικασίας διαχείρισης ενημερωμένων εκδόσεων κώδικα, φαίνεται ότι έχει αφαιρεθεί η επιλογή ανάπτυξης των υπηρεσιών ενοποίησης. Η εγκατάσταση υπηρεσιών ενοποίησης μέσω του Windows Update μοιάζει με πρόοδο, αλλά δεν θα ήταν κακό να διαθέτουμε την παλιά μέθοδο ως εναλλακτική λύση.

Σημειώστε ότι όταν όλοι οι κόμβοι συμπλέγματος εκτελούν Windows Server 2016 Hyper-V και έχετε ενημερώσει το λειτουργικό επίπεδο του συμπλέγματος (μια σκόπιμη διαχειριστική ενέργεια που εκτελείτε μέσω του PowerShell), θα χάσετε τη δυνατότητα προσθήκης κόμβων Windows Server 2012 R2 στο σύμπλεγμα. Αφού ενημερώσετε το λειτουργικό επίπεδο του συμπλέγματος, δεν υπάρχει καμία επιστροφή.

Θωρακισμένες εικονικές μηχανές

Ενώ έχει γίνει πολλή δουλειά τα χρόνια για την προστασία των VM από εξωτερικές απειλές, οι εικονικές μηχανές (συμπεριλαμβανομένων εκείνων σε ανταγωνιστικές πλατφόρμες όπως τα VMware, Xen και KVM) παρέμειναν ευάλωτες σε συμβιβασμούς από έναν αδίστακτο διαχειριστή. Τίποτα δεν εμποδίζει έναν διαχειριστή να αντιγράψει ένα ολόκληρο VM σε μια μονάδα flash USB και να βγάλει την πόρτα μαζί του. Σίγουρα, στο παρελθόν ήταν δυνατή η κρυπτογράφηση εικονικών σκληρών δίσκων, αλλά ένας εξουσιοδοτημένος διαχειριστής μπορεί εύκολα να αναιρέσει οποιαδήποτε κρυπτογράφηση σε επίπεδο VM.

Στον Windows Server 2016 Hyper-V, η θωρακισμένη δυνατότητα VM κρυπτογραφεί τους δίσκους και την κατάσταση μιας εικονικής μηχανής με τρόπο που εμποδίζει οποιονδήποτε άλλο εκτός από τους διαχειριστές VM ή μισθωτές να εκκινήσουν το VM ή να αποκτήσουν πρόσβαση στα περιεχόμενά του. Η λειτουργία λειτουργεί εκμεταλλευόμενη μια νέα δυνατότητα Windows Server που ονομάζεται Host Guardian Service, η οποία κρατά τα κλειδιά για κρυπτογράφηση και αποκρυπτογράφηση προστατευμένων VM.

Η υπηρεσία Host Guardian ελέγχει αν ο κεντρικός υπολογιστής Hyper-V είναι εξουσιοδοτημένος ή "βεβαιωμένος" για την εκτέλεση της εικονικής μηχανής. Αυτό είναι σωστό — οι διαχειριστές έχουν τη δυνατότητα να περιορίσουν τα θωρακισμένα VM, επομένως θα εκτελούνται μόνο σε συγκεκριμένους κεντρικούς υπολογιστές που περνούν το τεστ βεβαίωσης. Αυτό σημαίνει ότι εάν ένας αδίστακτος διαχειριστής αντιγράψει ένα θωρακισμένο VM σε μια μονάδα flash, το αντίγραφο VM θα ήταν άχρηστο για τον διαχειριστή. Το VM δεν θα μπορούσε να εκτελεστεί εκτός του οργανισμού και το περιεχόμενό του δεν θα ήταν προσβάσιμο, επειδή τα κλειδιά που απαιτούνται για την αποκρυπτογράφηση του VM προστατεύονται από την υπηρεσία Host Guardian.

Η υπηρεσία Host Guardian υποστηρίζει δύο διαφορετικούς τρόπους βεβαίωσης, που ονομάζονται πιστοποίηση αξιόπιστου διαχειριστή και πιστοποίηση αξιόπιστου TPM. Η βεβαίωση που εμπιστεύεται ο διαχειριστής είναι η ευκολότερη από τους δύο τρόπους ανάπτυξης, αλλά όχι τόσο ασφαλής όσο η πιστοποίηση που είναι αξιόπιστη από το TPM. Οι κεντρικοί υπολογιστές που εμπιστεύονται τον διαχειριστή βασίζονται στην ιδιότητα μέλους της ομάδας ασφαλείας της υπηρεσίας καταλόγου Active Directory, ενώ οι κεντρικοί υπολογιστές που εμπιστεύονται το TPM βασίζονται στην ταυτότητα του TPM και ακόμη και στους ελέγχους ακεραιότητας εκκίνησης και κώδικα.

Εκτός από την πιο περίπλοκη διαδικασία διαμόρφωσής της, η πιστοποίηση με αξιόπιστο TPM έχει ορισμένες απαιτήσεις υλικού. Οι φυλασσόμενοι κεντρικοί υπολογιστές πρέπει να υποστηρίζουν TPM 2.0 και UEFI 2.3.1 ή νεότερη έκδοση. Αντίθετα, η πιστοποίηση από τον διαχειριστή δεν έχει σημαντικές απαιτήσεις υλικού πέραν εκείνων που απαιτούνται για την εκτέλεση του Hyper-V.

Αν και το μεγαλύτερο μέρος της κάλυψης πολυμέσων που αφορά την ασφάλεια του Hyper-V 2016 έχει επικεντρωθεί σε θωρακισμένα VM, η Microsoft έχει εισαγάγει άλλες βελτιώσεις ασφαλείας. Για παράδειγμα, το Hyper-V υποστηρίζει τώρα την ασφαλή εκκίνηση για ορισμένα VM Linux. Σύμφωνα με τη Microsoft, οι υποστηριζόμενες εκδόσεις Linux περιλαμβάνουν το Ubuntu 14.04 και μεταγενέστερες εκδόσεις, το Suse Linux Enterprise Server 12 και μεταγενέστερο, το Red Hat Enterprise Linux 7.0 και μεταγενέστερο και το CentOS 7.0 και μεταγενέστερες εκδόσεις.

Μια άλλη σημαντική βελτίωση της ασφάλειας είναι η υποστήριξη κρυπτογράφησης δίσκου OS που βασίζεται σε BitLocker σε εικονικές μηχανές Generation 1. Αυτή η συγκεκριμένη βελτίωση της ασφάλειας δεν έχει κερδίσει μεγάλη προσοχή από τον τύπο, αλλά είναι σημαντική λόγω του αριθμού των VM Generation 1 που εκτελούνται σε περιβάλλοντα παραγωγής. Μετά από όλα, τα Generation 2 VM υποστηρίζονται μόνο για χρήση με συγκεκριμένα λειτουργικά συστήματα επισκεπτών. Παρόλο που η λίστα των υποστηριζόμενων λειτουργικών συστημάτων επισκεπτών έχει αυξηθεί με την πάροδο των ετών, ορισμένες αναπτύξεις Linux που θα μπορούσαν να εκτελεστούν πιθανώς στο Generation 2 VMs συνεχίζουν να λειτουργούν σε Generation 1 VMs, απλώς και μόνο λόγω της αδυναμίας αλλαγής της έκδοσης του VM.

Κοντέινερ των Windows

Μία από τις κύριες δυνατότητες που παρουσιάζονται στον Windows Server 2016 είναι κοντέινερ, εκ των οποίων υπάρχουν δύο τύποι. Τα κοντέινερ Windows Server μοιράζονται έναν πυρήνα λειτουργικού συστήματος με τον κεντρικό υπολογιστή (και τυχόν άλλα κοντέινερ που ενδέχεται να εκτελούνται στον κεντρικό υπολογιστή), ενώ τα κοντέινερ Hyper-V χρησιμοποιούν τον επόπτη και ένα ελαφρύ λειτουργικό σύστημα επισκεπτών (Windows Server Core ή Nano Server) για να παρέχουν μεγαλύτερο επίπεδο της απομόνωσης. Σκεφτείτε τα δοχεία Hyper-V ως ελαφριά εικονικά μηχανήματα.

Μέχρι σήμερα, έχω περάσει λίγο χρόνο πειραματίζοντας και τους δύο τύπους εμπορευματοκιβωτίων. Η εκτίμησή μου: Παρόλο που τα κοντέινερ φαίνεται να λειτουργούν όπως διαφημίζονται, υπάρχει μια απότομη καμπύλη μάθησης που σχετίζεται με τη χρήση τους. Τα κοντέινερ πρέπει να δημιουργούνται και να διαχειρίζονται στη γραμμή εντολών (σε αντίθεση με τη χρήση του Hyper-V Manager) μέσω της σύνταξης εντολών Docker, η οποία είναι πολύ διαφορετική από άλλα περιβάλλοντα γραμμής εντολών όπως το PowerShell.

Νομίζω ότι τα κοντέινερ θα αποδειχθούν σχετικά με τους διαχειριστές των Windows, αλλά συνιστώ ανεπιφύλακτα να αφιερώσετε χρόνο σε ένα εργαστηριακό περιβάλλον να συνηθίσετε το Docker και τις πολλές αποχρώσεις του πριν από την ανάπτυξη κοντέινερ στην παραγωγή.

Ερωτήσεις απόδοσης

Σε μια προσπάθεια να δοκιμάσω την απόδοση του Windows Server 2016, έφερα έναν νέο διακομιστή online, εκτελώντας μια καθαρή εγκατάσταση του Windows Server 2012 R2 Hyper-V. Αυτός ο διακομιστής ήταν εξοπλισμένος με υλικό χαμηλού επιπέδου, γηράσκοντος, αλλά δεδομένου ότι στόχος ήταν ο έλεγχος της σχετικής απόδοσης, το υπερσύγχρονο υλικό δεν ήταν πραγματικά απαραίτητο.

Με το νέο διακομιστή Windows Server 2012 R2 Hyper-V online, δημιούργησα μια εικονική μηχανή Generation 2 με Windows Server 2012 R2. Τόσο ο κεντρικός υπολογιστής όσο και τα λειτουργικά συστήματα επισκεπτών ήταν πλήρως διορθωμένα, και η δοκιμή μου VM ήταν η μόνη εικονική μηχανή που υπήρχε στον κεντρικό υπολογιστή.

Μόλις το νέο λειτουργικό σύστημα επισκεπτών τέθηκε σε λειτουργία, εγκατέστησα το Sandra 2016 στην εικονική μηχανή για να συγκρίνω την απόδοση της εικονικής μηχανής. Ενδιαφέρομαι κυρίως για CPU, αποθήκευση, μνήμη και απόδοση δικτύου.

Με ένα βασικό σύνολο μετρήσεων στο χέρι, αναβάθμισα τον κεντρικό υπολογιστή Hyper-V σε Windows Server 2016. Η Microsoft αποθαρρύνει τις επιτόπιες αναβαθμίσεις, αλλά επέλεξα να εκτελέσω μία παρά μια καθαρή εγκατάσταση για να διατηρήσω το περιβάλλον δοκιμής μου τόσο συνεπές όσο δυνατή σε όλες τις δοκιμές.

Όταν ολοκληρώθηκε η αναβάθμιση, εκκίνησα το VM, το οποίο εξακολουθούσε να εκτελεί τον Windows Server 2012 R2. Στη συνέχεια, προσπάθησα να αναβαθμίσω τις υπηρεσίες Hyper-V Integration στο VM, αλλά η Microsoft έχει καταργήσει την επιλογή να το κάνει χειροκίνητα. Οι υπηρεσίες ενοποίησης παρέχονται τώρα μέσω του Windows Update.

Μετά την πλήρη ενημέρωση του Windows Server 2016 Hyper-V Host, επανέλαβα τις δοκιμές αναφοράς σε μια προσπάθεια να δω αν η νέα έκδοση του Hyper-V θα απέφερε οφέλη απόδοσης. Στην πραγματικότητα, το αντίθετο αποδείχθηκε αλήθεια. Το VM μου σημείωσε σημαντική μείωση της απόδοσης.

Για την τελική μου δοκιμή, πραγματοποίησα μια επιτόπια αναβάθμιση του λειτουργικού συστήματος επισκεπτών σε Windows Server 2016. Επέστρεψα πλήρως το νέο λειτουργικό σύστημα επισκεπτών και επανέλαβα τις δοκιμές αναφοράς μου για τελευταία φορά. Αυτή τη φορά, η απόδοσή μου VM βελτιώθηκε σε μεγάλο βαθμό, αλλά όχι αρκετά στο επίπεδο του αρχικού Windows Server 2012 R2 VM που εκτελείται σε κεντρικό υπολογιστή Windows Server 2012 R2 και μερικές δοκιμές είδαν την απόδοση να μειώθηκε περαιτέρω.

Έχω αναφέρει τις μετρήσεις που συγκρίνω και τα παρακάτω αποτελέσματα.

Όπως μπορείτε να δείτε, σύμφωνα με τις δοκιμές μου στο Sandra, ο Windows Server 2012 R2 VM δεν είχε καλή απόδοση στον Windows Server 2016 Hyper-V, όπως έκανε στην προηγούμενη έκδοση Hyper-V. Έτρεξα κάθε σημείο αναφοράς αρκετές φορές (ενώ ο κεντρικός υπολογιστής ήταν αδρανής) σε μια προσπάθεια να διασφαλίσω ότι οι μετρήσεις μου ήταν ακριβείς. Η απόδοση της εικονικής μηχανής βελτιώθηκε όταν το λειτουργικό σύστημα επισκέπτη αναβαθμίστηκε σε Windows Server 2016, αλλά όχι στο επίπεδο του επισκέπτη των Windows Server 2012 R2 που εκτελείται σε Windows Server 2012 R2 Hyper-V.

Φυσικά, θα πρέπει να λάβετε αυτά (και οποιαδήποτε άλλα) αποτελέσματα αναφοράς με έναν κόκκο αλατιού. Οι δείκτες αναφοράς δεν αντικατοπτρίζουν πάντα την πραγματικότητα και αυτά τα ευρήματα αντιπροσωπεύουν μόνο ένα σύνολο δοκιμών σε μία διαμόρφωση υλικού. Επιπλέον, είμαι πρόθυμος να δώσω στη Microsoft το πλεονέκτημα μιας αμφιβολίας, επειδή οι μετρήσεις καταγράφηκαν σε έναν κεντρικό υπολογιστή που είχε αναβαθμιστεί από μια προηγούμενη έκδοση του Windows Server, αντί για έναν κεντρικό υπολογιστή που εκτελούσε καθαρή εγκατάσταση.

Η μόνη ουσιαστική δοκιμή της απόδοσης του Windows Server 2016 Hyper-V θα είναι ο πραγματικός φόρτος εργασίας σας στο πραγματικό υλικό σας. Δεδομένων των αποτελεσμάτων των δοκιμών Sandra, θα θελήσετε να παρακολουθήσετε προσεκτικά την απόδοση του Hyper-V 2016.