PC虛擬化實驗室研究

段志成 韓 平 甘偉業(yè)

（中國電信集團系統(tǒng)集成有限責(zé)任公司廣西分公司，廣西 南寧 530001）

PC虛擬化實驗室研究

段志成 韓 平 甘偉業(yè)

（中國電信集團系統(tǒng)集成有限責(zé)任公司廣西分公司，廣西 南寧 530001）

文章開篇介紹PC虛擬化技術(shù)的基本原理，以虛擬化軟件模擬某政府單位網(wǎng)絡(luò)的部分核心為案例，分析“構(gòu)建PC級別的網(wǎng)絡(luò)系統(tǒng)集成虛擬實驗室”的可行性及大致實現(xiàn)方式，向IT行業(yè)入門者展現(xiàn)“PC虛擬化”在技能學(xué)習(xí)、知識培訓(xùn)、原理實驗、方案演練、IT系統(tǒng)環(huán)境模擬等方面的應(yīng)用前景。

虛擬化技術(shù)；虛擬化軟件；虛擬實驗室

1 引言

談及虛擬化技術(shù)（Virtualization），IT入門者可能會聯(lián)想到企業(yè)級虛擬化、高可用性、云計算等高端術(shù)語。事實上，無論虛擬化技術(shù)如何分門別類，例如全虛擬化/半虛擬化、平臺/應(yīng)用程序/資源虛擬化、裸機Hypervisor型/宿主型/混合型虛擬，無論VMware、Citrix、Oracle、IBM、Microsoft等不同廠家虛擬化產(chǎn)品如何百家爭鳴，無論虛擬化技術(shù)涉及原理知識如何種類繁多、高深莫測，IT領(lǐng)域的虛擬化廣義理解為：對真實計算資源進行“虛擬化”，得到邏輯上獨立的、共享真實的虛擬資源。在本文中，虛擬化存在于人們辦公娛樂用的普通PC中，運行在傳統(tǒng)windows操作系統(tǒng)上（宿主型虛擬），是由一些應(yīng)用軟件實現(xiàn)的功能，可以通過操作管理軟件，把1臺真實的機器模擬成為多臺功能接近真實的“虛擬機”（Virtual machine），甚至可以借助軟件的虛擬網(wǎng)絡(luò)技術(shù)特性，將多臺虛擬機互聯(lián)起來，在邏輯上構(gòu)建一個虛擬的、功能完備的網(wǎng)絡(luò)系統(tǒng)集成實驗室環(huán)境，在一定程度上滿足技能學(xué)習(xí)、知識培訓(xùn)等需求。

2 PC虛擬化技術(shù)簡介

2.1 宿主型PC虛擬機實現(xiàn)步驟

宿主型虛擬：在真機、真實PC（稱為Host Machine）的操作系統(tǒng)上安裝設(shè)置虛擬機軟件。

由軟件核心Hypervisor（Virtual Machine Moniter）模擬機器硬件環(huán)境并協(xié)調(diào)分配資源。當(dāng)創(chuàng)建虛擬通用PC時，PC的CPU、RAM、指令集、I/O設(shè)備、硬盤等各種元素均由軟件算法實現(xiàn)，最終用戶不關(guān)心這些。

在真實硬件資源允許的范圍內(nèi)，可以創(chuàng)建多臺虛擬機器（稱為Guest Machine）。

在虛擬硬件上可加電自檢、引導(dǎo)加載啟動筆者所需操作系統(tǒng)（稱為Guest OS），如傳統(tǒng)操作系統(tǒng)windows、linux、unix，網(wǎng)絡(luò)設(shè)備操作系統(tǒng)思科IOS、華為VRP、H3C Comware、Juniper JunOS。而甚至有些虛擬化軟件其本身可作為操作系統(tǒng)（如VMWARE vsphere、Citrix XenServer等）可直接安裝加載于真實硬件（Host Machine）上進行“裸機型虛擬”。

在Guest OS上如真機般可安裝應(yīng)用，架設(shè)MAIL、SQL server，像真實路由器CLI界面一樣調(diào)試OSPF、VPN、ACL等。

真機經(jīng)歷了虛擬化過程，生成了邏輯的、虛擬的服務(wù)器/網(wǎng)絡(luò)路由器/交換機等，并且這些虛擬機共享真實PC硬件資源，功能與真機幾乎無異。

2.2 PC虛擬機軟件簡介

本文案例使用軟件VMWARE （workstation）及Dynamips（GUI），前者主要用來虛擬主機，后者用來虛擬思科網(wǎng)絡(luò)設(shè)備。類似的軟件有很多，虛擬主機的有Oracle Virtual Box、Microsoft Virtual PC、Hyper-V、Linux開源KVM、Xen、Qemu；虛擬網(wǎng)絡(luò)設(shè)備的有Dynagen/GNS3（同DynamipsGUI，為Dynamips圖形前端程序，虛擬化主體程序為Dynamips）、華為eNSP、H3C LITO、Juniper Olive等。

而對Cisco Packet Tracer、BOSON NETSIM等思科網(wǎng)絡(luò)設(shè)備模擬軟件，并不能稱之為虛擬機軟件，因為它們只模仿了CLI命令行輸入輸出、一問一答，未模擬硬件環(huán)境、未加載真實OS、也未進行上述“虛擬化”過程。

VMWARE和Dynamips虛擬機系統(tǒng)使用界面和真機非常相似，如圖1、圖2。

圖1 VMWARE界面

圖2 Dynamips界面

3 構(gòu)建PC虛擬化網(wǎng)絡(luò)系統(tǒng)集成實驗室

既然在PC上能夠通過軟件生成主機、網(wǎng)絡(luò)設(shè)備虛擬機，那么構(gòu)建一整套網(wǎng)絡(luò)系統(tǒng)集成核心虛擬實驗室環(huán)境，便存在可能性。以下案例將模擬仿真某政府部門二三級網(wǎng)的網(wǎng)絡(luò)系統(tǒng)集成部分核心內(nèi)容。

3.1 某政府部門真實網(wǎng)絡(luò)集成方案

真實拓撲圖如圖3。

圖3 某政府部門網(wǎng)絡(luò)拓撲

方案部分精髓如下：

采用OSPF+靜態(tài)路由相結(jié)合方式。（右側(cè)）新建電信線路區(qū)、市、縣三級路由器使用OSPF動態(tài)路由協(xié)議。（左側(cè)）原VPN設(shè)備完全使用靜態(tài)路由。

通過OSPF+默認路由相結(jié)合方式，達到正常情況下市、縣流量上行到新增路由器后直接從電信線路走，僅當(dāng)右側(cè)線路故障才會走默認路由到原VPN設(shè)備走政務(wù)外網(wǎng)（左側(cè)）線路。左側(cè)作為備份線路使用。

在各地市新增路由器上加一條默認路由指向原VPN設(shè)備，該默認路由不引入OSPF；在各縣新增路由器上加一條默認路由指向原VPN設(shè)備，該默認路由不引入OSPF。

3.2 網(wǎng)絡(luò)虛擬仿真思路

簡化模擬的設(shè)備數(shù)量，只模擬廳/地市/縣份原VPN設(shè)備及電信新增路由器，各級網(wǎng)絡(luò)PC網(wǎng)關(guān)指向新增路由器。

模仿方案部分精髓，設(shè)置網(wǎng)絡(luò)設(shè)備參數(shù)。

在廳級虛擬部署1臺Apache web 服務(wù)器，在縣份虛擬1臺普通PC。在正常情況下，在縣份PC端查看web業(yè)務(wù)是否正常、tracert跟蹤路由是否如同方案設(shè)計精髓，從右側(cè)線路走。

模擬右側(cè)線路故障，web業(yè)務(wù)是否仍然正常？tracert跟蹤路由是否如同方案設(shè)計精髓，從左側(cè)線路走？先看虛擬網(wǎng)絡(luò)拓撲，如圖4。

圖4 虛擬網(wǎng)絡(luò)拓撲

3.3 Dynamips與VMWARE虛擬網(wǎng)絡(luò)系統(tǒng)集成原理

3.3.1 Dynamips虛擬網(wǎng)絡(luò)

圖4所示D區(qū)域網(wǎng)絡(luò)，由Dynamips(GUI)虛擬生成，為用來虛擬網(wǎng)絡(luò)設(shè)備的網(wǎng)絡(luò)。各設(shè)備間的虛擬的“OSI物理層”連接實則由Dynamips(GUI)軟件定義，在真實PC上開啟了一些udp端口，每一個udp端口對應(yīng)虛擬網(wǎng)絡(luò)設(shè)備（路由器、交換機）的一個“物理”接口，如圖5。

圖5 Dynamips虛擬網(wǎng)絡(luò)設(shè)備互聯(lián)示意

Router1接口 GigabitEthernet1/0與Router3接口GigabitEthernet1/0互連，實則為由真實PC開放udp 11110端口與11310端口通信而模擬互聯(lián)。多臺虛擬設(shè)備按照這種方式互聯(lián)，便形成了網(wǎng)絡(luò)設(shè)備虛擬網(wǎng)絡(luò)。

3.3.2 VMWARE虛擬網(wǎng)絡(luò)

圖4中V區(qū)域網(wǎng)絡(luò)由VMWARE虛擬生成，如圖6。

圖6 VMWARE虛擬網(wǎng)絡(luò)模式

VMWARE定義了3種虛擬網(wǎng)絡(luò)，在真實PC上創(chuàng)建了一些虛擬的數(shù)據(jù)鏈路層網(wǎng)橋（或Virtual Switch）：

VMnet1-僅主機模式：該模式下，虛擬網(wǎng)絡(luò)是一個專用二層網(wǎng)絡(luò)，虛擬機無法直接與外界通信。

VMnet8-NAT模式：該模式由軟件虛擬提供三層默認網(wǎng)關(guān)，并具有NAT功能，或稱虛擬機共享主機IP，可訪問真實網(wǎng)絡(luò)甚至INTERNET，通信時虛擬機將由軟件把IP地址轉(zhuǎn)換成真實PC的IP地址。三層默認網(wǎng)關(guān)如圖7。

圖7 VMWARE NAT設(shè)置

VMnet0-橋接模式：該模式在邏輯上直接將虛擬機網(wǎng)絡(luò)橋接至真實PC的局域網(wǎng)，相當(dāng)于軟件虛擬創(chuàng)建了一個二層交換機，而虛擬機與真實PC以平等身份連入真實局域網(wǎng)，而只要主機可以訪問INTERNET，虛擬機也可以。

真實PC在“網(wǎng)絡(luò)連接”創(chuàng)建了2種VMWARE虛擬網(wǎng)卡，可以與上述VMnet1、VMnet8網(wǎng)絡(luò)通信，如圖8。

圖8 VMWARE 虛擬網(wǎng)卡

3.3.3 VMWARE與Dynamips虛擬網(wǎng)絡(luò)橋接

Dynamips軟件在底層定義了虛擬網(wǎng)絡(luò)設(shè)備的“接口”“橋接到PC”的功能，如圖9。

圖9 虛擬網(wǎng)絡(luò)橋接

無論是VMWARE軟件定義的虛擬網(wǎng)卡，或是真實PC物理網(wǎng)卡，都會在windows系統(tǒng)注冊表生成“DeviceNPF……”的底層識別參數(shù)，對Dynamips(GUI)而言，都可在虛擬的數(shù)據(jù)鏈路層進行橋接。由VMWARE、Dynamips(GUI)分別定義的虛擬網(wǎng)絡(luò)可組成一個大的虛擬二層交換網(wǎng)絡(luò)，于是構(gòu)建虛擬網(wǎng)絡(luò)系統(tǒng)集成實驗室便有了實現(xiàn)的基礎(chǔ)：依據(jù)現(xiàn)實情況需求使用Dynamips(GUI)虛擬多個網(wǎng)絡(luò)設(shè)備進行互聯(lián)、參數(shù)調(diào)試，在VMWARE虛擬機安裝測試應(yīng)用，把虛擬的主機、網(wǎng)絡(luò)基礎(chǔ)設(shè)施設(shè)備軟硬件仿照現(xiàn)實進行整合組織。以上便是VMWARE及Dynamips(GUI)進行虛擬網(wǎng)絡(luò)系統(tǒng)集成的大致原理。因文章篇幅關(guān)系，且涉及參數(shù)配置過多，不進行詳盡的參數(shù)配置描述。

3.4 虛擬網(wǎng)絡(luò)集成效果

3.4.1 虛擬網(wǎng)絡(luò)部分設(shè)定

本文實驗時在軟件上及虛擬機內(nèi)進行了一些參數(shù)配置設(shè)定（例如左側(cè)網(wǎng)絡(luò)設(shè)備全做靜態(tài)路由，右側(cè)設(shè)備只做ospf等），然后設(shè)定虛擬服務(wù)器與PC的網(wǎng)關(guān)：將VMWARE虛擬得到的WEB服務(wù)器192.168.5.129默認網(wǎng)關(guān)指向R7-三層交換SW VLAN網(wǎng)關(guān)192.168.5.250，將VMWARE虛擬得到的PC客戶端192.168.7.129默認網(wǎng)關(guān)指向R5 192.168.7.250。

由兩個軟件定義的二層“橋接”（圖2紅色虛擬交換機），對于整體網(wǎng)絡(luò)來說，其實是透明的，邏輯上可認為：由VMWARE虛擬的WEB服務(wù)器及PC客戶端，直連至由Dynamips虛擬的網(wǎng)絡(luò)設(shè)備。圖2拓撲圖簡化如圖10。

圖10 虛擬網(wǎng)絡(luò)簡化拓撲

在VMWARE上虛擬部署安裝了CentOS及Apache web應(yīng)用服務(wù)器。如圖11。

圖11 VMWARE Apache應(yīng)用

虛擬PC windows客戶端上訪問web服務(wù)器，正常打開Apache網(wǎng)頁；跟蹤路由，數(shù)據(jù)流向發(fā)生在右側(cè)縣份路由器R5-地市R3—廳級路由器R1—廳級R7(三層SW)，即我們虛擬的“新增電信線路”；查看OSPF鄰居狀態(tài)，為正常FULL。如圖12、圖13。

圖12 模擬（故障前）仿真網(wǎng)絡(luò)效果

圖13 模擬（故障前）R5 OSPF鄰居狀態(tài)

3.4.2 虛擬網(wǎng)絡(luò)仿真效果

對R5-R3線路故障，我們模擬時可將R5上行端口G1/0手工shutdown進行故障模擬，如圖14。

圖14 模擬故障

此時虛擬PC仍可訪問web服務(wù)器；跟蹤路由，過了縣份R5后，主要發(fā)生在左側(cè)舊線路設(shè)備，R6—R4—R2—R7。如圖15。

圖15 模擬（故障后）仿真網(wǎng)絡(luò)效果

以上實現(xiàn)了本案例模擬初衷：對廳—地市—縣份路由，ospf+靜態(tài)路由結(jié)合，左側(cè)為備份的線路設(shè)備，右側(cè)為正常情況下優(yōu)先進行數(shù)據(jù)流向的線路設(shè)備。

3.5 虛擬、真實網(wǎng)絡(luò)銜接

在上述案例基礎(chǔ)上繼續(xù)進行實驗，設(shè)想把虛擬網(wǎng)絡(luò)與真實網(wǎng)絡(luò)銜接起來。下面使縣級PC客戶端在能訪問虛擬網(wǎng)絡(luò)的同時，訪問真實網(wǎng)絡(luò)、INTERNET，另外令公網(wǎng)服務(wù)器可以對內(nèi)網(wǎng)路由器R5進行遠程連接。

為更具真實性，在案例虛擬網(wǎng)絡(luò)與真實網(wǎng)絡(luò)間添加1道虛擬思科ASA安全防火墻（VMWARE虛擬機版），新拓撲如圖16。

圖16 模擬（故障后）仿真網(wǎng)絡(luò)效果

虛擬ASA防火墻inside區(qū)域即是VMWARE Vmnet8，而outside區(qū)域即為實驗時所在真實LAN（使用了家用無線局域網(wǎng)，192.168.254.0/24網(wǎng)段）。

筆者在ASA上配置Secure-level、ACL、NAT、SSH、對R5級聯(lián)ASA的虛擬內(nèi)網(wǎng)IP進行端口重定向（端口映射），在PC客戶端及R5路由器上修改靜態(tài)路由，默認指向ASA inside IP、其它目標網(wǎng)絡(luò)下一跳仍指向前述案例中的默認網(wǎng)關(guān)。

在真實LAN網(wǎng)關(guān)上配置內(nèi)網(wǎng)網(wǎng)端口重定向（這里的內(nèi)網(wǎng)便是ASA的“outside外網(wǎng)”），如圖17。

圖17 真實網(wǎng)絡(luò)DNAT

因家庭訪問互聯(lián)網(wǎng)方式為ADSL撥號，筆者在家用路由器上使用了花生殼DDNS，使出口DHCP獲取到的動態(tài)公網(wǎng)IP有了固定的公網(wǎng)域名，可讓公網(wǎng)服務(wù)器通過域名訪問虛擬網(wǎng)絡(luò)的設(shè)備。

在公網(wǎng)1臺服務(wù)器上測試效果如下圖，可通過域名訪問筆者的ASA及R5。如圖18。

圖18 虛擬與真實網(wǎng)絡(luò)銜接效果

4 PC虛擬化存在問題與解決方法

4.1 存在問題

筆者展現(xiàn)了兩個虛擬機軟件構(gòu)建網(wǎng)絡(luò)系統(tǒng)集成虛擬化實驗室的效果、大致實現(xiàn)原理及方法方式。但“PC虛擬化”存在問題：

（1）通過PC虛擬化虛擬得到多臺邏輯意義上獨立的虛擬機，需要同時共享真實PC的硬件資源（CPU/內(nèi)存等）性能，因此真實PC（宿主機）的硬件性能會限制虛擬設(shè)備的數(shù)量及性能，反之真實PC性能也會受到虛擬機影響；

（2）Dynamips思科虛擬設(shè)備軟件存在問題：模擬硬件環(huán)境、可引導(dǎo)加載的IOS版本較舊（并涉及商業(yè)版權(quán)問題）、且軟件本身已停止升級，在功能方面與真實網(wǎng)絡(luò)設(shè)備有不小的差距，例如Dynamips虛擬三層交換機是通過虛擬3640型號路由器的交換模塊實現(xiàn)，很多三層交換機的新功能都無法實現(xiàn)。

份鑒別、訪問控制，數(shù)據(jù)加密處理，完整性控制等安全技術(shù)手段及數(shù)據(jù)備份與恢復(fù)、防病毒、安全審計、漏洞掃描、入侵防御、數(shù)據(jù)庫安全保護、安全監(jiān)控等一系列等基礎(chǔ)安全機制和規(guī)章制度。對數(shù)據(jù)備份子系統(tǒng)和安全防護管理子系統(tǒng)進行整合。

5 結(jié)語

隨著人類活動對地質(zhì)環(huán)境的影響逐步加大，環(huán)境管理和保護的工作壓力進一步增大，地質(zhì)環(huán)境信息化的發(fā)展受到進一步的重視。廣西地質(zhì)環(huán)境信息化建設(shè)需要有一個長遠的藍圖規(guī)劃路線圖，才能逐步建成系統(tǒng)一體化、數(shù)據(jù)集成化、信息綜合化和成果可視化的省級地質(zhì)環(huán)境信息系統(tǒng)平臺，實現(xiàn)全區(qū)地質(zhì)環(huán)境信息服務(wù)能力的全面提升。

[1] 國土資源部,中國地質(zhì)環(huán)境監(jiān)測院.全國地質(zhì)環(huán)境信息化建設(shè)總體方案設(shè)計[Z].北京:2012.

[2] 國土資源部.全國地質(zhì)環(huán)境信息化建設(shè)總體方案設(shè)計[Z].北京:2012.

[3] 全國地質(zhì)環(huán)境信息化建設(shè)方案[Z].北京:2013.

[4] 張鳴之,喻孟良,王勇,等.國家級地質(zhì)環(huán)境數(shù)據(jù)倉庫的設(shè)計與實現(xiàn)[J].武漢:中國地質(zhì)大學(xué)學(xué)報,2013,(11):1347-1354. [5] 張鳴之,諸云強,羅德利,等.地質(zhì)環(huán)境數(shù)據(jù)集成服務(wù)及其系統(tǒng)實現(xiàn)[J].中國地質(zhì)災(zāi)害與防治學(xué)報,2013,(3):84-88.

Research on PC Virtual Laboratory

This paper starts with an introduction about the basic principle of PC virtualization technology, using virtualization software to simulate some parts of the core in a government network as a case study, analyzing the feasibility of " the construction of PC level network system virtual laboratory" and its way of realization, showing people that the prospect of application about PC virtualization in skill learning, knowledge training, theory into practice, scheme drilling, IT environmental system simulation,etc.

Virtualization technology;virtualization software;virtual laboratory

TP3

A

1008-1151(2015)01-0029-05

2014-12-12

段志成（1987－），男（瑤族），中國電信集團系統(tǒng)集成有限責(zé)任公司廣西分公司技術(shù)工程師，從事系統(tǒng)集成項目售后技術(shù)服務(wù)工作。