VMWARE虚拟技术

VMWARE虚拟技术（共12篇）

VMWARE虚拟技术 篇1

1 概述

近年来, 随着虚拟化技术的进一步发展, 特别是VMware虚拟机在桌面应用的广泛流行, 使得人们越来越认识到虚拟化技术的优势, 如提高操作系统的安全性, 提高人们使用计算机的安全性, 降低硬件使用成本, 便于搭建和虚拟各种网络环境等等, 特别是在服务器整合和恶意软件分析方面虚拟机有着更加广泛的应用。

研究虚拟机检测技术的意义在于, 在信息化条件下, 病毒的研制者希望提高反病毒厂商分析研究病毒的难度, 甚至有的病毒的制造者会根据虚拟机的特性专门研制针对于虚拟机的病毒, 这就要求无论是病毒的制造者还是病毒的研究者都要对虚拟机的特性加以研究。理论上来说, 更高级别的恶意软件可以通过虚拟机来进行启动和运行, 如Bluepill就是这样的一个例子。

本文以VMware虚拟机为例, 提出了基于特权级的虚拟机的检测技术。

特权级压缩, 也就是说, 在窗口里运行的客操作系统的内核模式, 不是在ring0级别执行的, 而是被降级到ring1级别执行。这样就能保证它里面发出的一些特权指令可以被虚拟机监控器所捕获。

特权级压缩虚拟机是“硬件约束”虚拟机的一种。这种类型的虚拟机运行时要执行特权级压缩。虚拟机与主机共享硬件资源, 自己虚拟重要的数据结构和寄存器, 虚拟机里的客操作系统运行的特权级比主机的主操作系统低, 这种类型的虚拟机不能阻止CPU向主机通报敏感事件。

目前的对虚拟机常规的检测方法主要有对进程、注册表项检测、对虚拟硬件设备名称检测、对不可虚拟指令检测、对CPU计时检测和根据软件自身存在的缺陷进行检测。

2 特权级压缩虚拟机检测方法的原理

特权级压缩虚拟机虚拟仿真的实现有两种方法, 一种是通过hook中断1, 比如, hook中断1可以使指令自然地在CPU上执行, 但是这样每条指令都会被认为是敏感的;另一种方法是通过代码缓冲器实现, 它的工作过程是这样的, 如果一条指令不是敏感的或者特殊的, 那么, 会把它复制到一个主机控制的缓冲器中, 在那里执行这条指令。

虚拟机是安装在VMM (Virtual machine moniter) 下的, VMM要控制客操作系统, 所以虚拟机运行内核模式的ring级要比VMM的ring级低。特权级压缩虚拟机的VMM的ring级和主机内核模式的ring级是相同的, 都是在ring0下, 特权级压缩虚拟机必须执行特权级压缩, 所以实际上客操作系统内核模式是在ring1下执行的, 正因为如此, 对于一些特殊指令, 这种类型的虚拟机是不能截获的, 必须通过模拟改变才能达到虚拟机的想要执行的效果。因为虚拟机特权级比主机的要低, 有些中断和异常是无法处理的, 因此它要改变一些数据结构, 以完成这些处理, 但是模拟总是会有缺陷的, 也正因为这些缺陷才存在检测虚拟机的方法。

3 VMware的检测技术

当前比较主流的虚拟机软件VMware就属于特权级压缩虚拟机, 对这种虚拟机软件检测方法的研究非常具有实用价值。

VMware软件共有工作站版本、服务器版本等多个版本, 具有从迁移工具到管理工具的一系列产品, 形成了一整套的解决方案。作为虚拟机软件行业的领头羊, VMware具有较大的市场占有率。它可以在一台机器上同时运行二个或更多Windows、DOS、LINUX系统。与“多启动”系统相比, VMware采用了完全不同的概念。多启动系统在一个时刻只能运行一个系统, 在系统切换时需要重新启动机器。VMware是真正“同时”运行, 多个操作系统在主系统的平台上, 就像标准Windows应用程序那样切换。而且每个操作系统都可以进行虚拟的分区、配置而不影响真实硬盘的数据, 甚至可以通过网卡将几台虚拟机用网卡连接为一个局域网, 极其方便。安装在VMware上的操作系统性能上比直接安装在硬盘上的系统较低。通过我们的分析研究, 我们发现可以通过以下几个方面来检测VMware虚拟机。

3.1 利用特定标识信息、注册表检测

虚拟机中网卡MAC、磁盘驱动器、BIOS等一些硬件设备名有类似VMware的特殊标识, 比如, 虚拟机系统信息中的制造商标识是VMware Inc., 而真机系统信息的制造商标识为计算机制造商的标识, Acer、Dell等。

另外, 虚拟机系统注册表里的一些项或键值也与真实系统不同。利用VMware中客操作系统注册表与主操作系统不同之处可以实现对虚拟机的检测, 比如虚拟机客操作系统Windows XP的注册表项HKEY_CURRENT_USERSoftwareMicrosoftWindows NTCurrent VersionPrinter Ports里有名称为_#Vmware Virtual Printer的键, 而真机Windows XP的此注册表项没有这个键, 利用这个不同实现了下面的检测方法, 其主要代码段为:

对这方面检测研究时, 基于主机系统为Windows XP, VMware里系统也为Windows XP, 经过对两个系统注册表的查找和对比, 找出了关于这方面的不同之处, 实现了注册表的对比参考。

但是, 如果VMware中安装的系统不同, 其中的某些注册表项与真实系统的差异也不相同, 比如, 对于注册表项HKEY_CUR-RENT_USERSoftwareMicrosoftWindows NTCurrent VersionPrinter Ports, 真机Windows XP里有名为Microsoft Office Document Image Writer的键, 而虚拟机中Windows XP里有名为_#Vmware Virtual Printer的键, Windows 2000里这项却没有注册表键。因此, 关于这方面检测找出通用的方法比较困难。

3.2 利用VMware的后门端口检测

VMware里的客操作系统与主操作系统之间的交互通过一个特殊的I/O端口 (5658) , 客操作系统通过用IN指令读取这个端口, 而IN指令是特权指令, 工作在ring3上的主操作系统执行IN指令时, 系统会产生一个异常, 相反, 客操作系统不会产生, 所以根据这个差别, 可以检测虚拟机的存在, 实现方法是利用VMware开启5658端口, 对VMware 6.0.3及以前版本进行检测, 其主要代码段如下:

另外, 此方法在VMware禁止加速模式下仍然有效。

3.3 利用不可虚拟指令检测

有些指令像SIDT、GDT、SLDT、STR虚拟出来的效果和真实的效果是有差别的。VMware靠底层硬件来执行指令, 它会重新部署一些敏感的数据结构, 像IDT (interrupt descriptor table) 、GDT (global descriptor table) 等, 所以通过SIDT、SGDT指令存储的IDT、GDT的基地址相对于真实系统是不一样的, 另外, 关于LDT, Windows不用到它, 而VMware会用到, 所以在虚拟机中的Windows的LDT肯定是一个不同于真实系统中的特别的值, 比如在真机Windows XP下, IDT基地址为0x8003f400, GDT基地址为0x8003f000, LDTR里是以00 00开头的;而虚拟机Windows XP下, IDT基地址为0xffc18000, GDT基地址为0xffc07000, LDTR里是以60 40开头的, 具体实现方法是利用sidt sgdt sldt指令检测, 其主要代码段如下:

但是, 当VMware开启禁止加速模式后, 以上检测方法会失效, 原因是, 这种模式下虚拟机会对ring3进行二进制翻译, 可以干预指令的执行。

3.4 利用VMware软件的漏洞进行检测

VMware漏洞之一是VMware对于超过CS段界限的近程控制转移没有进行正确的模拟。应该是先产生一个#GP (通用保护错误) , 而EIP保持不变。而VMware模拟出来的却是先改变了EIP, 再产生#GP, 所以可以利用这个差异来检测虚拟机的存在。具体实现方法是利用VMware软件的漏洞, 设置LDT入口的函数Zw Set Ldt Entries是未公开函数, 通过查找ntdll.dll文件找到该函数的地址, 调用它。然后定义一个CS段, 通过嵌入式汇编执行超过CS段界限的近程控制转移, 产生通用保护错误, 最后, 和事先定义的End User Mode Address比较, 有所改变说明VMware存在。其主要代码段为:

这种方法有效的前提是VMware工作在禁止加速模式, 加速模式下此方法会失败。

3.5 通过计算CPU时间检测

对于一些指令, VMware要靠VMM (虚拟机监视器) 的模拟执行, 所以这些指令执行时占用CPU周期时间, 与真实系统中是有很大差异的, 可以通过利用rdtsc指令检测一些指令的执行时间, 如果时间很长, 就可以断定是被模拟了, 比如, mov ebx, eax这条指令在真机中执行的话, AMD炫龙CPU上为9或15, Intel双核CPU上为100左右, 而在VMware中, 禁止加速下, 有500以上, 而加速模式下, 都在1000以上, 具体实现是利用CPU时间检测, 其主要代码段:

4 展望

虚拟机检测技术研究刚刚起步, 还有许多问题等待我们进一步研究。目前, 基于虚拟机检测技术大部分是基于具体虚拟机细节的, 没有形成虚拟机检测的完整的理论体系, 从当前的研究表明, 基于性能的虚拟机检测技术是比较通用的, 但由于虚拟机的产品形式和版本不同, 都会存在着一定的差异, 这需要我们在今后的研究中进一步探索和改进。

参考文献

[1]Smith J E.Virtual Machines:Architectures, Implementations and Applications[D].University of Wisconsin-Madison, August, 2005.

[2]Keith Adams, Ole Agesen.A Comparison of Software and Hardware Techniques for x86Virtualization[OL].VMware.com.

[3]Hagen Fritsch.Analysis and detection of virtualization-based rootkits[D].Technische Universit at Munchen, August, 2008.

[4]Peter Ferrie.Attacks on More Virtual Machine Emulators[J].SYMANTEC ADVANCED THREAT RESEARCH, 2007 (4) .

[5]Dino A, Dai Zovi.Hardware Virtualization Rookits[J].Matasano, 2006 (7) .

[6]Sun Bing.Rambling on the Virtualization Technology Security[C].2008 China Software Security.Nov, 2008.

[7]薛海峰, 卿斯汉, 张焕国.XEN虚拟机分析[J].计算机仿真学报, 2007 (12) .

[8]卢勇.反病毒虚拟机的研究与实现[D].成都:电子科技大学硕士学位论文, 2007.

VMWARE虚拟技术 篇2

根据服务器的配置和性能，使用VMware GSX Server，可以在一台服务器上同时提供32～64台虚拟机（每个CPU最多支持4台虚拟机，最多支持32个CPU），VMware ESX Server（每个CPU最多支持8台虚拟机）和Microsoft Virtual Server可以最多同时提供64台虚拟机，

在企业应用方面，VMware走在了Microsoft的前面。使用VMware提供的VMware VirtualCenter和Vmotion，可以单点管理上千台Windows NT//、Linux、Netware服务器，并且可以将活动的虚拟机从一个物理系统移动到另一个物理系统，从而不间断服务。

VMWARE虚拟技术 篇3

【摘要】虚拟卷VVols技术是软件定义存储SDS重要组成部分之一，本文主要通过探究传统的虚拟化解决方案中缺陷和不足，以及对于虚拟卷VVols技术相关组件的研究，从而更加深入了解虚拟卷VVols技术如何解决传统解决方案的缺陷。

【关键词】VMware；VVol（Virtual Volume）；SDS（Software Define Storage）

一、引言

面对传统存储管理模式的缺陷和挑战，例如存储容量难以横向扩展、异构厂商设备的互不兼容等问题，VMware公司提供了虚拟卷VVols的解决方案。虚拟卷VVols（Virtual Volumes）是VMware公司的软件定义存储SDS框架的一部分。VVols通过将存储资源，I/O资源抽象化和池化以及基于存储策略的管理（SPBM）等技术，使得vSphere管理员在存储上创建虚拟机及其相关操作更方便灵活，更易于管理和实现。

二、传统VMware存储技术的缺陷

在VMware公司的虚拟卷VVols技术使用之前，也就是目前常用的部署虚拟机的流程大致如下：

（1）虚拟机管理员预先向存储管理员讨论虚拟机的基础存储要求（比如容量，内存和性能，还有数据保护、冗余、快照之类的数据服务）。

（2）存储管理员在相应磁盘阵列上创建满足虚拟机需求的存储池。

（3）存储管理员将该存储池按照LUNs（块存储，VMFS）或NFS方式划分，并将其提供给ESXi主机。

（4）存储管理员使用诸如vCenter或vSphere Web Client等VMware管理工具，在提供的存储上部署并管理V虚拟机。

显然，当前在存储上部署虚拟机的流程复杂且耗时。部署一个虚拟机需要存储管理团队中不同角色之间紧密协同合作。

此外，以上过程还存在缺陷：

（1）无法预先知道需要配置多少。存储管理员往往出于未来使用量增加的考虑，会预先多配置容量，从而导致配置过剩和性能浪费。

（2）需要在LUN级别上进行操作。一个存储池中存放了很多虚拟机，vSphere管理员很难对某个特定虚拟机进行特定配置和操作。

（3）虚拟机相关信息的文件是直接与底层存储进行关联的，耦合度太高。

三、虚拟卷VVols技术

随着软件定义存储SDS技术的发展，人们对于存储使用要求有了进一步的提升。除了需要解决上述传统的VMware存储技术的缺陷以外，还要面对异构的存储设备、需要提供统一的存储资源池和跨设备提供数据服务等问题。

虚拟卷VVols是VMware公司软件定义存储SDS框架的重要组成部分之一。根据VMware官方介绍：“Virtual Volumes践行 VMware SDS愿景的核心原则，以求在虚拟化环境中实现能从根本上提高效率的存储运维模式，从而集中关注虚拟机而不是物理基础架构。”，虚拟卷VVols可以从根本上提高存储使用的效率。

虚拟卷VVols通过以下几个组件构成：（1）VVols；（2）存储容器Storage Containers （SC）；（3）协议端点Protocol Endpoints （PE）；（4）vSphere存储感知Sphere API for Storage Awareness（VASA）；（5）存储策略的管理Storage Policy Based Management （SPBM）。

以下对核心组件构成进行说明：

1.VVols

Virtual Volumes（VVols）是创建并存储在磁盘阵列上的新型虚拟机对象。传统的架构中，虚拟机在存储上的表现形式是VMFS文件系统（如vmdk）。VVols架构则去掉了原来的VMFS文件系统这一抽象层，取而代之是通过存储容器Storage Container技术向用户提供了一个一致统一的抽象层。这样，向上一层用户（即虚拟机）封装了底层存储的细节，用户不再需要知道数据到底存储在什么地方。从而实现存储的定义和使用相互分离的目的，达到软件定义存储SDS中的存储高度横向可扩展性的目的。

2.存储容器

虚拟卷VVols则存储在存储容器（SC）上。存储容器SC是由存储管理员定义和创建的，是纯逻辑存储结构。SC有点类似于储存池的概念，是底层存储容量的资源池，用来分配和约束存储容量。同时，由于SC是逻辑实体结构，这样理论上，SC支持实时、无中止的容量扩展和收缩。

通过SC可以有效整合异构磁盘组成的阵列，对外提供一个统一的存储资源池。

SC还可以提供更大程度的灵活性，除了可以按照传统的方式，即为某种类型或配置的存储池创建特定SC，我们还可以给包含不同配置和类型的整个磁盘阵列创建一个SC。事实上，传统的方式并不是最优化的方案，因为我们可以在更上层使用基于策略的方式给虚拟机指定磁盘策略（VM Storage Policy），从而达到硬件存储資源的创建和使用分离的目的。

3.协议端点

存储容器SC虚拟化了存储阵列，让虚拟机的相关数据文件通过虚拟卷VVols的方式存储在存储容器SC上，不过还需要解决vSphere（即ESXi Host主机）与存储阵列的I/O数据传输方式的问题。协议端点PE（Protocol Endpoints）组就是解决ESXi主机与存储阵列之间I/O数据传输交流的新机制。PE类似于I/O代理，是ESXi主机和虚拟卷之间的I/O连接通道，通过在存储阵列上添加并实现PE，ESXi主机不直接从存储上的虚拟卷VVols获取数据，而是通过PE组件与虚拟卷VVols进行通信。与传统方式进行类比，对于块设备阵列，那么上面的PE可以看成一个特殊的LUN；对应NFS阵列，那么PE就可以看成一个挂载点（Mount point）。

PE兼容目前的主流的SAN/NAS标准协议，比如iSCSI、NFSv3、Fiber Channel （FC）和Fiber Channel over Ethernet （FCoE）。

4.vSphere存储感知

存储设备上协议端点PE提供的协议方式由存储厂商决定并实现，然后，通过vSphere API for Storage Awareness（VASA）组件实现vSphere自动感知相应的PE，并选择相应的PE实现I/O数据的传输通信。

其中，存储感知（VASA）组件Sphere 5.0引入的一组API，是存储提供者和存储使用者之间新的一套标准交流方式。在没有VASA之前，想要确认物理LUN的特征属性，如ID、容量、精简配置、去重、分层、RAID等等存储端的信息，是无法直观的从vSphere获得的。使用VASA后，就可以让vSphere直接获取存储阵列的相关信息，这样方便存储管理员管理存储资源，以及根据存储资源准确做出决策。

5.存储策略管理

通过存储策略的管理（SPBM），可以实现软件定义的存储实现策略驱动（Policy -driven）的自动化。通过SPBM，可以定义不同存储的需求（容量、性能和可用性等）策略供存储使用者调用，实现存储服务的定义和使用分离的目的，支持大规模地自动执行调配存储，并能动态实时监控各个虚拟机的存储服务级别。

在实际VVols架构中，SPBM 流程大致如下：vSphere管理工具定义了虚拟机的存储策略（VM Storage Polices）后，会通过VASA与存储端检查指定的策略和用户的级别（如金、银、铜）是否符合规范。然后，在不同级别的用户在使用存储来创建虚拟机时，会自动根据各自的策略在底层存储阵列上分配相应的存储空间和性能指标。

由此可见，通过策略驱动的自動化功能实现的动态控制使您能够灵活地控制虚拟机的存储使用量，从而最终加快新应用调配速度并简化变更管理，虚拟机管理员不再需要依赖存储管理员来完成基础架构变更请求。虚拟机管理员可以灵活地更改策略，而所需的基础架构也可自动更改配置。快速根据业务的变化及时做出调整。

四、结论

通过VMware的新架构虚拟卷VVols技术的实现，可以达到避免传统部署虚拟机的缺陷，可以对虚拟机的资源消耗的控制可以更精确，同时通过SPBM等策略使得部署虚拟机更方便耗时更少，虚拟机管理员可以为特定虚拟机提供更加精准、灵活的存储数据服务级别。

作者简介

VMware虚拟组网探索与实践 篇4

VMware的虚拟组网采用虚拟网卡结合服务绑定的方案。在默认安装下VMware会在物理宿主机内添加两块虚拟网卡。打开宿主系统控制面板中的“网络连接”, 可看到VMware添加的虚拟网卡VMnet1和VMnet8, 它们在网络特性上与真实的物理网卡完全没有区别, 分别用于连接“Host only”网络模式和“NAT”网络模式的虚拟机。鼠标右击“网络连接”中的物理真实网卡, 在弹出菜单中选择“属性”, 在属性对话框中可看倒物理网卡被默认捆绑了“VMware Bridge Protocol”服务, 这项绑定的服务用于连接“Bridge”网络模式的虚拟机。

VMware的虚拟组网可配置Host only、NAT、Bridge三种网络工作模式, 而Virtual PC 2007的虚拟组网同样可配置Local、NAT、Network adapter on the physical computer三种网络工作模式, 两者的这些网络工作模式有两种是完全相同的, 可模拟出完全相同的网络环境, 不过存在一些差别。

(1) VMware的Bridge以及Virtual PC的Network adapter on the physical computer都是指桥接的模式 (图1) , 虚拟机内部的虚拟网卡直接连接物理网卡所在的物理网络, 虚拟机和物理宿主机在网络关系上是完全平等的, 它们就好像接在同一个Hub上的两台电脑, 因此要让它们互相进行通讯, 用户需要为双方配置同网段的IP地址和子网掩码。

由于在桥接模式下虚拟机所使用的仍然是物理宿主机的DHCP服务, 而物理宿主机的DHCP已经为物理网卡分配了IP地址, 因此如果用户不主动配置虚拟机中的虚拟网卡, 虚拟机没有办法得到物理客户机DHCP分配的IP地址, 所以只能使用169.254.X.X实际网卡地址段。因此假设物理宿主机的物理网卡的IP地址被配置成同网段不同的IP地址, 这样虚拟机才能和和真实主机进行连接通讯。桥接模式的前提是, 物理宿主机在原有物理网段中可以得到1个以上的静态IP地址, 由于通常公共局域网中都会有静态IP地址限制, 例如有线通、长城宽带等ISP服务, 因此桥接模式只适合不限IP的私有局域网。想在桥接模式下将虚拟机连入Internet, 取决于物理宿主机原有接入Internet的方式。如果物理宿主机是AD-SL、modem拨号连接, 那么直接在虚拟机上安装一个拨号端, 同样拨号连接上Internet即可。如果物理宿主机是有线通、长城宽带的局域网连接, 那么只能通过ICS或代理上网, 其做法和普通电脑上的操作没有区别。VMware和Virual PC桥接模式所模拟出的网络环境完全没有区别, 只是Virtual PC必须手动选择桥接的物理网卡, 而VMware即可手动选择桥接也可由程序自动选择。

(2) VMware的NAT以及Virtual PC的Shared Network (NAT) 也是同一种工作模式 (图2) , 虚拟机与虚拟机能相互通信, 但无法与物理宿主机原有物理网络上任何计算机连接。NAT模式的好处是虚拟机接入Internet非常简单, 用户不需要做任何配置, 只要物理宿主机已经连接倒Internet, 虚拟机就可通过自带的虚拟NAT服务直接接入。不过VMware和Virtual PC NAT模式所模拟出的网络环境在功能上有相当大的区别。

VMware的拟真度更高, 支持虚拟的硬盘更多, 在配置上也很接近真实, VMware模拟实现了所有必须的底层驱动, 并通过相应的管理工具将其提升到相当高度, 不管专业人士还是游戏玩家, 不管是网络测试还是DOS游戏, 虚拟机软件提供了宽广的舞台任由用户发挥而不用担心数据安全。

参考文献

[1]易倍思工作室.虚拟机全接触/菜鸟步步高丛书[M].上海:上海科学技术出版公司, 2004.

[2]王春海.虚拟机配置与应用完全手册 (附光盘) [M].北京:人民邮电出版社, 2003.

VMWARE虚拟技术 篇5

虽然虚拟化能够带来许多卓越特性，VMware环境中的备份问题给许多备份和存储管理员带来了新的挑战，

VMware虚拟机备份选项

就备份VMware虚拟机而言，你可以使用以下机制来进行备份：

在客居操作系统中安装备份引擎。这和你在物理机的客居操作系统中安装备份引擎完全一样。

随后你可以进行文件级别的备份，以数据变更的次序或你环境要求的次序进行。 www.hanwangtx.com

备份虚拟机文件。因为每个虚拟机都有规则地封装在文件中，你可以备份或归档这些文件。

当使用这种方式时，你可以对每个虚拟机下电，然后备份文件。或者，如果你需要虚拟机持续在线，

你可以对其进行快照，然后对VMDK文件进行备份。

当考虑备份虚拟机文件时，请确保你的应用文件存储在不同的驱动器上。

这可以让备份数据的过程更为简单。这同样也使得备份过程更加集中在数据上而非操作系统文件上，

操作系统文件一般变更不大，不需要如此频繁地对其进行备份。

系统驱动器的备份一般只有在你想要恢复整个虚拟机到其上次备份时刻的状态时才需要。

这里需要记住的是你正在备份的系统驱动器是为登记目的以及和虚拟机一同安装的特殊应用的文件所用的。

主机备份选项

ESX/ESXi主机从根本上讲是服务控制台。由于该服务控制台是用于命令行方式的高级选项，

其文件一般不会变化，并且绝大多数你创建的VMware体系架构配置都存储于vCenter数据库中。

这就意味着，备份服务控制台的实际意义不大。你可以很简单地重装ESX并进行改变，

而不是对服务控制台执行备份和恢复操作。 www.hanwangtx.com

不过如果你想要备份你的服务控制台，你可以从下述两种方式中任选一种：

在服务控制台上安装备份引擎并相应地备份文件。这和传统在任何物理机运行的

任何客居操作系统上安装备份引擎的方式一样。

使用第三方软件来创建一个完整的ESX服务器镜像，然后使用同一第三方软件来恢复整个镜像，并

将ESX/ESXi主机恢复到你创建镜像的原始状态。

VMware统一备份

VMware统一备份（VCB）是在文件级别或镜像级别进行虚拟机备份恢复的可选方式。

VCB运行在一台Windows服务器上，对虚拟机进行快照；对于文件级别的备份，

其以磁盘方式在Windows备份服务器上装载VMDK，一旦装载成功，

你可以看到VMDK目录出现在VCB服务器的一个特定目录下。这样你的文件级备份引擎就可以访问这些文件，

将其写入磁带或其它备份目的媒介中。

当你想要创建完整的镜像备份，VCB同样创建一个快照，不过然后会将整个VMDK作为

文件形式拷贝到特殊的备份卷中，该备份卷的容量至少要超过VMDK的大小。

在将VMDK拷贝至该卷之后，虚拟机的快照会被释放，你的文件级备份引擎可以从备份卷中获取到VMDK，

要实现这种方式，VCB服务器需要和虚拟机驻留的卷进行直连。记住VCB本身并不是一个备份产品，

其只是一个工具来帮助传统的备份产品访问到你的虚拟机。

这样你就将所有的网络问题集中到备份服务器上。现在很显然地取决于你所使用的

备份系统类型以及备份服务器和备份机械臂的连接方式，网络方面的问题可以不予考虑

或者只考虑将文件从备份服务器迁移到备份磁带库中。

由于你处理的是快照级别的备份，这样就无需任何备份窗口，在备份虚拟机的过程中

不会有任何宕机时间。虚拟机可以在在线的情况下进行备份。备份操作的负载也不在ESX/ESXi主机上，

因为你已经进行了快照并将快照迁移到另一个位置，直接通过VCB代理服务器进行备份。

通过这种方式，你使用备份服务器替代ESX/ESXi主机进行的所有的备份流程操作。 www.hanwangtx.com

备份引擎也是可选的。在使用VCB时，你可以使用发生VCB操作的虚拟机内部安装的VMware工具，

这样你就可以只是在希望直接恢复该虚拟机的时候才使用备份引擎。除了直接恢复虚拟机，

你还可以选择将备份引擎安装在选中的一部分虚拟机上，然后恢复这些虚拟机的任何文件。

这样你可以将用于恢复的文件拷贝到其目标位置。这种方式在多虚拟机环境下可以节省备份

引擎的购买和管理成本。

运行VCB的过程可以支持微软Windows客居操作系统文件级别备份和任何客居操作系统镜像级别的备份。

数据恢复

数据恢复是vSphere 4中新引进的虚拟机备份和恢复特性，该特性适用于中小型企业。

数据恢复是一项基于Linux的应用，可以导入到vCenter中，并通过vSphere客户端插件进行控制。

数据恢复应用是一种无需代理的备份至磁盘的解决方案。你的目标备份位置是

本地磁盘、iSCSI、FC上的VMware VMFS Datastores，也可以在NFS Datastore上。

你可以甚至使用数据恢复应用备份到Windows的通用互联网文件系统（CIFS）共享上。

一个单独的数据恢复应用可以支持以下功能：

高达100个虚拟机

高达100个备份工作脚本

每个备份工作可以最多有一个备份目的地

每个在备份工作脚本虚拟机中配置的虚拟机在每24小时可以备份一次

如果配置数据恢复应用

你可以非常简便地建立数据恢复应用。在获得所有所需的文件后，按以下步骤进行：

1、部署数据恢复OVF模板到vCenter中，可以点击“文件”到部署OVF模板，然后根据帮助提示进行。

2、通过应用控制台配置网络堆栈打开网络连接。

3、通过应用控制台配置合适的时区设置。

4、在应用中增加目标存储。要做到这点，你可以进入编辑设置中增加一块虚拟磁盘到应用中，

同样方式你可以操作任何虚拟机。 www.hanwangtx.com

5、在vSphere客户端中安装数据恢复插件

VMWARE虚拟技术 篇6

关键词：VMware； 虚拟化； 服务器

中图分类号： TP399-C2 文献标识码：A 文章编号：1006-3315（2012）01-171-003

当今高度自动化、技术驱动的经济环境下,业务能力与IT能力正越发密不可分。IT能力已经成为企业推动自身业务向前发展的重要工具,IT基础设施从根本上决定了业务的成败。然而,由于IT基础架构日益复杂,不灵活、脆弱和昂贵正成为其代名词,企业IT服务的成本由此水涨船高,导致投资预算穷于应付IT维护,无法最大限度地支持业务。相关调查显示,企业70%以上的IT预算被运用于基础架构和应用程序维护以维持现状；仅有不到30%的IT预算被运用于基础架构和应用程序的投资。

对于数量庞大的各种企业而言。他们也面临着相同的IT挑战。一方面，必须努力适应新的IT功能和服务不断增长的需求；另一方面，又要少花钱多办事的原则。但是有限的IT人员和预算无法维持日常业务运营，又对那些能够提高长期效益以促进业务增长的战略性新项目进行投资。企业迫切需要以一种更为经济、高效和安全的方式取代当前的架构，以便从底层架构的复杂性中解脱出来。

不过,近几年来IT行业备受瞩目的热门技术之一的虚拟化，为用户解决上述问题带来了希望。虚拟化利用服务器虚拟化技术能够在单台物理服务器上运行一个或多个客户操作系统，这项技术对于x86平台的服务器来说尤其适用，能够改善硬件资源利用率，降低硬件采购和管理成本，改善灾难恢复和业务持续性。随着信息化的蓬勃发展，虚拟化这一热门话题越来越为人们所知，也成为企业未来发展的重点。那么，到底什么是服务器虚拟化呢?简单来说，服务器虚拟化软件允许你在单一主机上运行多重客户机。通过这种方式，你就能享受到虚拟化所带来的优势：比如增加子虚拟机的移动性、降低运行成本、减少管理费用、服务器整合、测试与培训、容灾恢复等等。

一、实践意义

近年来，在国家局打造“数字烟草”的号召下，随着合肥烟草商业信息化建设的不断推进、深入和细化，目前已形成小型机设备两套、PC服务器30余台，各种独立应用系统20余个的规模，为我公司的信息化发展发挥了重要作用。然而，在实际运行中，我们感到日益增多的设备和不断增长的业务需求，为机房环境、电力供给、安全可靠性及维护管理带来了巨大压力。在发布各个独立应用系统过程中，为了保障每个应用系统的稳定性和个性化要求，总要单独配置独立服务器及相关软件环境，设备使用率很低，资源未能充分利用，同时加大了企业信息化资产投入成本和维护成本。合肥市烟草信息技术中心技术人员积极探索信息技术的先进手段，抛开传统的思维模式，从IT平台的基础层面寻找解决方案。目前，新一代虚拟化平台在全世界发展迅猛，“采用虚拟技术，将原来10多个甚至上百个分散于多台PC服务器上的应用系统整合到数量较少的高性能服务器之中”，可以实现对系统的优化、应用系统的整合、维护管理的简化、资源消耗的合理控制，而当前计算机及相关技术的新发展也为进一步采用虚拟技术提供了极为有利的条件。也符合当今国际上“走向绿色”倡导绿色IT，提高能效，减少温室气体排放，并促进环境和经济的可持续发展。

二、关键技术

1.P2V Converter(物理机到虚拟机转换)

转换工具的出现，只要是虚拟主机支持的操作系统，该工具都可以从原物理主机转换到虚拟主机上来。这个工具的使用节约了从物理到虚拟转换所消耗的时间和人力，大大减少了停机时间，原有的物理主机释放出来以作它用。保证企业IT投资的保值和增值。

2.VMotion(动态迁移)

这是虚拟化环境中最重要的功能之一，在以后的很多应用中都是依靠动态转移来实现的，使得正在运行的整个虚拟机能够在瞬间从一台服务器迁移到另一台服务器上。虚拟机的全部状态由存储在共享存储器上的一组文件进行封装，然后，虚拟机的活动内存和精确的执行状态可通过高速网络迅速传输。由于网络也被虚拟化，因此，虚拟机保留其网络标识和连接。以零停机时间迁移虚拟机，将正在运行的虚拟机从一台物理服务器移动至另一台物理服务器，而不影响最终客户端的连续不间断的访问，服务器环境保持高度正常运行，提供很高的灵活性和可用性。

3.DRS(分布式资源调度)

跨聚合到逻辑资源池中的硬件资源集合来动态地分配和平衡计算容量。DRS跨资源池不间断地监控主机资源利用率，并根据业务反映需要，在多个虚拟机之间智能地分配可用硬件资源。当某个虚拟机遇到负载增大时，DRS将通过在资源池中的主机之间重新分配虚拟机数量来为其分配更多资源。其最主要的功能有两个：第一启动虚拟机时，指定由DRS资源池里根据设定的规则和资源量来决定哪一台主机来承载这个虚拟机；第二自动评估DRS资源池的规则和资源量, 对DRS资源池中的虚拟机在主机上分布提出建议，也可以自动将虚拟机迁移到最适合的主机上来运行，而这些操作将虚拟机实时迁移到不同的主机是以对最终客户端完全透明的方式完成的。

4.High Availability(高可用性)

为虚拟机提供快速自动化重启和故障的切换，不会产生物理基础架构解决方案的成本或复杂性。在众多的服务器中总会发生故障，不管是硬件故障、软件故障、网络故障都会造成对业务系统的影响。高可用性（High Availability）的部署可以很好地解决这些问题，在一个HA群集中，每一台主机配有一个HA代理，持续不断地检测评估其它主机的心跳信号。如在一定范围时间内检测不到主机心跳，那么该主机就被默认为发生了软硬件故障或者与网络的连接出现了问题。在这种情况下，原本在该主机上运行的虚拟机就会自动被迁移到其他主机上运行。以前主机出现硬件故障导或者定期维护主机导致相关系统必须停用情况，现在只要把在此主机上的虚拟机迁移到其他的服务器上运行，故障转移对于最终客户端来说可以算是完全透明的，完全察觉不到任何故障情况。保证了各个业务系统99.99%的无宕机时间。

5.Data Recovery(数据备份与恢复)

这是一种新型的磁盘备份和数据恢复解决方案，可让虚拟机实现快速、简单且完整的数据保护。可实现对备份作业的集中高效管理；包括重复数据擦除功能，节约磁盘存储空间。针对以前的数据备份/恢复系统归档难、恢复数据慢的问题，Data Recovery支持快速备份到磁盘，而且能支持快速和完全恢复，从而能预防虚拟环境中的数据丢失。

三、解决方法

本项目用两台HP BL460c G7刀片服务器分别安装ESXi 4.1,通过DELL服务器上的vCenter Server建立vMWare集群进行集中管理，并且启用了VMWare HA提高了业务的高可用性，后台存储采用两台HP P4300，通过iSCSI协议连接到刀片服务器上，两台存储互为镜像保证了数据的安全和有效，P4300存储采用的300GB、15,000 RPM、4GB RAM的SAS硬盘确保数据的读写。

网络结构图如下：

1.刀片服务器

我们选购两台HP BL460c G7刀片服务器来安装VMware ESXi 4.1，刀片服务器是一种高可用高密度的低成本服务器平台，是专门为特殊应用行业和高密度计算机环境设计的，其主要结构为一大型主体机箱，内部可插上许多“刀片”,其中每一块刀片实际上就是一块系统母板，类似于一个个独立的服务器，它们可以通过本地硬盘启动自己的操作系统。每一块刀片可以运行自己的系统，服务于指定的不同用戶群，相互之间没有关联。而且，也可以用系统软件将这些主板集合成一个服务器集群。在集群模式下，所有的刀片可以连接起来提供高速的网络环境，共享资源，为相同的用户群服务。相互之间没有关联：每一块“刀片”的供电、散热、网络连接、外部存储连接等需求均由刀片机箱统一提供。在实际使用中，可以通过系统软件将这些主板集合成一个服务器集群。在集群模式下，所有的刀片可以连接起来提供高速的网络环境，共享资源，为相同的用户群服务。在集群中插入新的刀片，就可以提高整体性能，而由于每块刀片都是热插拔的，所以，系统可以轻松地进行替换，并且将维护时间减少到最小。

根据所需要承担的服务器功能，刀片服务器被分成服务器刀片、网络刀片、存储刀片、管理刀片、光纤通道SAN刀片、扩展I/O刀片等等不同功能的刀片服务器。刀片服务器公认的特点有两个。一是克服了芯片服务器集群的缺点，被称为集群的终结者；另一个是实现了机柜优化。刀片式服务器可以最大限度地利用数据中心的空间，缩短部署的时间，减轻管理员管理负担。减少能源消耗；机架式服务器硬件配置灵活性强，性价比高。所以，在服务器硬件的选型过程中，各馆可根据机房空间、性价比、人员配置等实际情况结合应用平台的需求做出合理的选择。

通过刀片服务器的OA管理界面链接到刀片服务器的控制台，将VMware ESXi 4.1光盘放到光驱中，从光盘启动开始安装ESXi4.1。

选择“ESXi Installer”，倒计时结束后，系统自动进入“VMware ESXi 4.1.0 Installer”安装界面。

安装完成后，根据系统提示按【Enter】键进行重启。重启后按F2进入ESXi 4.1的配置界面，配置root密码和IP地址。

2.vCenter Server的安装配置

在一台CPU至少为双核、内存大于3GB的服务器上安装vCenter Server。vCenter Server安装包中有SQL Server 2005 Express （用于小规模部署），此数据库适用于最多5台主机和50个虚拟机的小型部署，所以不建议使用，最好另行安装企业级数据库，并配置好ODBC数据源（也可以在vCenter Server安装过程中设置）。本项目安装的是SQL Server 2005 企业版，在安装过程中创建一个实例vcdb即可。将光盘放入光驱，双击运行，根据提示进行安装。安装结束后，如入密钥进行注册。

配置vCenter Server集群，在配置过程中启用HA和容错功能。通过菜单中的添加主机功能将两台装有ESXi 4.1的虚拟主机加入到集群中，进行管理。

首先配置网络，将0、1号网卡绑在一起并设定为Vmotion操作时使用这两块网卡，2、3号网卡绑在一起作为虚拟机对外通讯的网口。每两块网卡绑定在一起的好处是可以避免单点故障。存储的配置需要在P4300安装成功后通过iSCSI进行。

3.HP P4300安装配置

HP P4300存储是专门针对虚拟化而设计的一款存储。它的每一个存储节点都有独立的供电、读写缓存，可以横向地扩展而不影响整理的性能。普通的存储就像火车，一个车头带动很多车厢；而P4300存储就像地铁，每节车厢都有独立的动力系统。

启动P4300后，输入用户名和密码修改每台P4300的主机名和IP地址。然后通过一台安装有P4300集中管理控制台的PC去搜索两台P4300。

通过管理控制台的集群配置向导，将两台P4300存储配置成集群模式，并且映射到前面装好的两台VMware主机上。

通過VMware的OVF文件导入功能将HPP4300的Failover节点导入到虚拟机中，Failover管理器的作用是用来做仲裁的一个虚拟管理节点，针对VMware虚拟化提供了两种安装方式：一种是安装在VMware Workstaion中；一种是安装在ESXi中，本项目中采用第二种方式，将OVF导入的方式其安装在vCenter Server主机上。Failover管理器部署成功后，可以避免由于一台存储宕机后影响前台业务的运行。

本项目利用备件PC服务器，采购虚拟化应用软件及集中存储设备，构建虚拟化平台，（下转第173页）

（上接第172页）合理规划迁移非生产系统应用系统，缩减了系统规模、节省了运营成本、拓展了发展空间和简化了对系统的管理，以及更加强化系统安全，达到预期技术经济指标。

同时，利用物流机房部分的PC服务器，搭建虚拟主机平台服务器和用作管理服务的客户端。通过P2V（实体服务器转换到虚拟机）迁移工具，将若干之前分散在各独立服务器上运行的非生产类系统无缝迁移至各虚拟主机。已为我公司目前所运行的业务系统如：公司网管系统、车辆管理系统、政务公开系统、固定资产管理系统、ISA代理、公司FTP、病毒网管中心等进行虚拟应用，并将核心数据通过虚拟机集中备份到数据中心，并在运行测试研究后，为部分生产类系统的虚拟化应用提供依据。

参考文献：

[1]Murphey，R.，Using VMware for Forensics，5th Annual Infragard HoustonMembers Alliance Fall Conference，2005

[2]Server Consolidation and Containment，http：//www.vmware.com，2007

[3] An Analysis of Disk Performance in VMware ESX Server Virtual Machines，Irfan Ahmad，Jennifer M. Anderson，Anne M. Holler，Rajit Kambo，Vikram Makhija，2003

VMWARE虚拟技术 篇7

历经半个世纪的发展, 虚拟机技术变得越发成熟、贴近实用。对虚拟机技术的研究一时间也是百花齐放, 异彩纷呈。尤其在服务器、网络和存储领域有着较为显著的优势。通过采用虚拟化技术极大的降低了管理的复杂度、提高了资源利用率, 提高了运营效率, 节约了成本。也符合当前节能减排、可持续发展的科学发展理念。

1 什么是虚拟机

虚拟机是一种高度隔离的软件容器, 它可以运行自己的操作系统和应用程序, 就好像是一台物理计算机一样运行。虚拟机的行为完全类似于一台物理计算机, 它包含有自己虚拟的CPU、RAM、硬盘和网卡等。

操作系统本身无法分辨是运行在物理机 (宿主机) 还是运行在虚拟机上, 应用程序和网络中的其他计算机也无法分辨。不过, 虚拟机完全由软件组成, 不含任何硬件组件。因此, 虚拟机具备物理硬件计算机所没有的很多独特优势。

通过在单台计算机上以虚拟机形式运行多个操作系统, 降低了硬件成本。通过缩短调配、部署和重新配置物理机所需的时间, 提高了生产效率。通过访问单台PC操作系统以外的应用程序和数据, 实现了资源的充分利用。通过单独测试修补程序和应用程序软件, 消除了风险, 并保持虚拟机状态以进行备份或重新分发。

虚拟机技术以软件技术为基础, 宿主物理机为载体。在一台真实的计算机上运行多个逻辑上完全独立的操作系统实例并对外提供服务是虚拟机工作的主要形式。

2 VMware虚拟机简介

在众多虚拟机软件企业中, VMware凭借技术实力成为行业的领头羊。其VMware Workstation软件是用于台式机和笔记本电脑的桌面虚拟化软件, 可以让用户在单台计算机上运行多个操作系统。有了VMware Workstation, 用户可以通过单击鼠标在不同的计算环境之间快速切换、设置多层配置和网络。

VMware虚拟化软件将物理硬件资源映射为虚拟机的资源, 因此每个虚拟机都具有它自己的CPU、内存、磁盘和网络接口卡。在虚拟机之间切换时不需要重新启动或进行硬盘分区。虚拟机完全等同于一台标准的x86计算机, 能够运行大多数Windows、Linux和Novell台式机及服务器操作系统。

3 VMware虚拟机三中网络工作模式

在虚拟机的实际应用中经常涉及到虚拟网络的构建。

在宿主物理机上安装了VMWare虚拟机软件后, 会在物理机的网上邻居的属性对话框中多出两块虚拟网卡, 分别是VMnet1和VMnet8。这两块虚拟网卡的使用和虚拟机的网络工作模式有关。VMWare提供了丰富的虚拟机的工作模式。为虚拟机在真实网络世界中的使用带来很大的便利性和灵活性。也是将虚拟机技术应用中的关键技术之一。其中最常用的模式有三种:

1) 桥接 (Bridged Networking) 模式

桥接网络是指物理主机的物理网卡和虚拟机的虚拟网卡通过VMnet0虚拟交换机进行桥接, 如图1所示, 物理网卡和虚拟网卡在拓扑图上处于同等地位 (虚拟网卡既不是Adepter VMnet1也不是Adepter VMnet8) 。当用户需要将虚拟机直接接入物理网络时, 桥接模式是最佳选择。

桥接模式下物理网卡和虚拟网卡处于同一个网段, 虚拟交换机VMnet0就相当于一台现实网络中的交换机。当虚拟机和物理机通信时, 需要配置虚拟机的网卡和物理的真实网卡的IP地址, 只要将两个网卡的IP地址设置为同一网段, 虚拟机和物理机就可以正常通信了。

将一台虚拟机的网络工作模式设置为“桥接模式”, 实际上就是将虚拟机直接接入物理网络。在网络拓扑中将虚拟机放到了和宿主物理机同等的位置。接入到物理机网卡上的网线可以理解为也是直接接到了VMnet0虚拟交换机上。从网络上的其他物理机的角度来看, 无法区分接在VMnet0虚拟交换接上的哪台是虚拟机, 哪台是虚拟机的宿主物理主机。

在虚拟机使用桥接模式接入物理网络时, 特别要注意其IP地址不应和真实网络上的其他计算机的IP地址冲突, 因为从应用的角度来看, 这时的虚拟机已经完全在网络上“真实”的存在了。

2) NAT模式

当网络管理员只给物理机分配一个IP地址, 不能给虚拟机分配用于外网IP地址的时候, 却又希望虚拟机可以方便的访问外部网络时, NAT模式将变得非常有用。

NAT模式下的虚拟机在与外部网络通信时, 共享物理主机的IP地址与MAC地址。外界网络不能感知到内部虚拟网络的存在。所有的数据通信流量会被认为来自物理主机。通过NAT模式, 虚拟DHCP服务器会给虚拟机分配IP地址和相关网络参数, 使虚拟机可以访问外部网络或者是互联网。

在NAT模式下虚拟机可以使用许多标准的TCP/IP协议访问外部网络上的计算机。比如, 可以使用HTTP协议访问网站;使用FTP协议传输文件;Telnet协议登录到其他计算机;甚至可以通过物理主机上的令牌环网网络适配器访问TCP/IP网络。

使用NAT模式有一个好处就是可以将内部网络彻底隐藏起来。外部网络不可以主动向内部的虚拟机发起访问。保障了内部虚拟网络的安全性。

图2是NAT模式的工作原理图。在NAT模式下, 所有虚拟机的网卡都连接到VMnet8虚拟交换机上。虚拟的DHCP服务器也连接到VMnet8虚拟交换机上, 为虚拟机分配IP地址。物理主机有两块网卡参与工作, 其中虚拟网卡VMware Network Adapter VMnet8连接到VMnet8虚拟交换机上, 物理网卡连接到真实网络。当虚拟交换机接收到来自内部网络发往外部网络的数据包后, 会将数据包转发给物理主机, 将来源地址转换成物理机物理网卡的地址后转发到真实网络上。

3) 主机模式 (Host-Only)

主机模式虚拟网络的宗旨就是建立一个与外界隔绝的内部网络, 来提高内网的安全性。在主机模式下, 虚拟网络处在一个完全封闭的网络环境中。采用主机模式的计算机只能访问其宿主物理机和同一宿主机下同模式的其他虚拟机。其实Host-Only网络和NAT网络很相似, 不同的地方就是Host-Only网络没有NAT服务, 所以采用主机模式的虚拟机不能连接到Internet和其他网络。如图3所示虚拟机的网卡和主机网卡 (实际上是VMware Network Adepter VMnet1) 连接到虚拟机交换机VMnet1上。在由虚拟DHCP服务器分配IP地址或手动指定IP地址后可以在虚拟网络内实现互相通信。但通信范围也仅此而已。

同NAT一样, VMware Network Adepter VMnet1虚拟网卡的IP地址也是VMware系统指定的, 和虚拟DHCP服务器为虚拟网卡分配的IP地址位于同一网段, 但和物理网卡的IP地址不在同一网段。

4 小结

使用VMware虚拟机中三种网络工作模式都可以构建虚拟网络, 但三种网络模式又各有特点。桥接模式用于构建完全开放的虚拟网络, 虚拟机直接接入真实网络, 虚拟机与物理主机完全平等;主机模式用于构建完全封闭的虚拟网络, 通信只能在虚拟网络以及物理主机之间进行;NAT模式介于上述两者之间用于构建部分开放的虚拟网络, 可以实现虚拟网络对真实网络的访问, 反之不行。

VMWARE虚拟技术 篇8

20世纪60年代,为了提高大型计算机硬盘的利用率,首次开发了虚拟化技术。IBM公司在这一技术上率先实现将大型计算机的硬盘进行逻辑分区,以若干独立虚拟机的形式进行多任务处理,并同时运行多个应用程序和进程。

20世纪80年代,建立在客户端-服务器应用程序,以及价格低廉的X86服务器和台式机的分布式计算技术,代替了资源昂贵的虚拟化技术。

20世纪90年代,Windows的广泛使用及linux作为服务器操作系统,在奠定X86的行业标准地位的同时,也出现了一些新的问题,即基础架构利用率低、物理基础架构成本日益高昂、IT管理成本不断攀升、故障切换和灾变防护不足,用户IT运维成本直线上扬[1]。

计算机虚拟化技术,是指对计算机系统的各组件利用软件方法和硬件技术进行模拟,以实现多个虚拟的硬件系统平台,这些系统平台彼此相互独立、互不干扰,可以在其之上安装任何操作系统。

为了实现虚拟化,一种控制程序被设计,并插入到硬件层和操作系统层之间,这个控制程序称之为超级管理程序或者虚拟机管理程序,其作用是将硬件层抽象出来,实现物理虚拟化,使操作系统不需要知道自己运行在何种硬件之上。

从2008年起,虚拟化技术已经进入很多应用领域,且已被大众所接受。虚拟化的目的就是要对IT基础设施进行简化,通过处理器虚拟化、内存虚拟化、I/O虚拟化和网虚拟化等技术,提高IT资源的利用率和灵活性,降低IT运维成本和管理成本[2,4]。

2 虚拟化技术全面介绍

2.1 虚拟化技术概览

IT行业虚拟化的含义非常广泛,一种比较通俗的定义就是淡化用户对于物理计算资源如处理器、内存、I/O设备的直接访问,取而代之的是用户访问逻辑的资源,而后台的物理连接则由虚拟化技术来实现和管理[11,12]。

虚拟化技术(Virtualization)并不是一个新的名词,早在20世纪60年代,IBM就在其大型计算机上运用了虚拟化技术,实现了多个用户同时使用同一台计算机设备进行数据处理。

而现在普遍使用的虚拟内存技术,则是对某一特定部件,利用虚拟化技术以实现功能和规模的扩展。近年来兴起的虚拟化技术,不仅仅是对某一部件实现虚拟化,而是对整个计算机硬件系统进行模拟,通过软硬件技术,真正实现由一台计算机到多台计算机的转变。

虚拟技术需要解决服务器和操作系统的虚拟化、存储虚拟化以及系统管理虚拟化等一系列问题。如今,虚拟化开始从早期的存储虚拟化,向服务器和操作系统虚拟化以及整体虚拟化发展。

虚拟化解决方案的底部需要进行虚拟化的计算机硬件,这台机器可能直接支持虚拟化,也可能不会直接支持虚拟化,需要系统管理程序层的支持,系统管理程序可看作是平台硬件和操作系统的抽象化。在某些情况下,这个系统管理程序就是一个操作系统,系统管理程序之上是客户机操作系统,也称为虚拟机,这些虚拟机都是一些相互隔离的操作系统,将底层硬件平台视为自己所有,但实际上是系统管理程序为它们模拟出来的一种假象(图1)。

2.2 虚拟化技术分类

目前,虚拟化技术主要流行的技术分类可以分为平台虚拟化、桌面虚拟化和应用虚拟化等类别。

2.2.1 平台虚拟化(Platform Virtualization)

平台虚拟化又称硬件虚拟化,主要包括CPU、内存、磁盘和I/O等部件的虚拟化。它是在硬件和传统的操作系统之间插入一个超级管理程序,操作系统不再直接运行在计算机硬件上,而是在Hypervisor之上。操作系统称为客户机,Hypervisor系统称为主机。客户机可以完全实现用户在传统物理机上的各种应用需求,实现对各种资源的访问和操作。

2.2.2 桌面虚拟化(Desktop Virtualization)

桌面虚拟化是相对传统的计算机桌面而言的,用户通过网络访问一台可集中控制的服务器,也可以由服务器将所需要的信息推送给用户所在设备。

桌面虚拟化技术可以分为四种模式:主机模式(Hosted)、集中管理模式(Centralized)、同步模式(Remote Synchronization)和客户机模式(Client-hosted)。

主机模式和集中管理模式较为相似,都需要可靠的网络作为基本支持。这两种模式一般都是由服务器构成桌面虚拟化数据中心,用户可以通过网络访问虚拟化服务,这些服务各自都包括了桌面操作系统配置文件。

集中管理模式有两种子模式,一对一模式:即一个用户使用一个桌面虚拟化镜像;一对多模式:是有一个共有的主镜像,每当一个用户申请使用虚拟化桌面时,都从该镜像复制一个副本,然后使用自己的数据和配置信息一并保存。

在同步模式中,一个镜像文件被复制到本地计算机中,由服务器的管理软件做定期更新,这种模式可以有效地避免因网络中断而引起的业务中断。

在客户机模式中,使桌面虚拟化彻底摆脱了对网络的依赖,集中式服务器提供对主镜像的存储和管理,而每个客户则保留自己的独立桌面虚拟机。

以上四种模式,在实际部署中一般会较多地考虑集中管理模式和客户机模式。在实际应用部属中,还需要根据服务器性能、网络带宽及实际需求等因素来决定采用哪种模式或几种模式一起使用。

2.2.3 应用虚拟化(Application Virtualizati-on)

从技术实现角度来说,应用虚拟化与硬件虚拟化有着非常明显的差异,应用虚拟化不是将底层的硬件通过各种虚拟化技术模拟出一台或多台虚拟机,而是将应用程序进行重新封装,在运行时,将所有的文件和注册表操作重定向到一个特定的文件,从而满足应用程序对底层硬件的访问需要,使应用程序直接对硬件进行操作。

应用虚拟化的具体实现方式有两种:一是应用程序流(Application Streaming),这是一种基于软件分发形式的实现方法,根据应用程序顺序执行的特点,将应用程序封装和存储在一台应用程序流服务器上,执行时由服务器推送到客户端,从而实现程序的各种操作。第二种方式就是桌面虚拟化方式,应用程序安装在虚拟机里,通过连接虚拟机来实现应用程序的虚拟化[6,7]。

2.3 虚拟化技术特点

①分区:大型的、扩展能力强的硬件能够被用来作为多台独立的服务器使用;在一个单独的物理系统上,可以运行多个操作系统和应用;计算资源可以被放置在资源池中,并能够被有效地控制。

②隔离:虚拟化能够提供理想化的物理机,每个虚拟机互相隔离;数据不会在虚拟机之间泄露;应用只能在配置好的网络连接上进行通讯。

③封装:虚拟单元的所有环境被存放在一个单独文件中;为应用展现的是标准化的虚拟硬件,确保兼容性;整个磁盘分区被存储为一个文件,易于备份、转移和拷贝。

④硬件独立:可以在其他服务器上不加修改的运行虚拟机(图2)。

虚拟技术支持高可用性、动态资源调整,极大地提高系统的可持续运行能力。

2.4 虚拟化技术优势

①提高运维自动化能力。日常工作中对旧服务器上应用系统的维护,往往因年久资料缺失而花费大量人力,而服务器更换产生的系统迁移工作更困难;通过虚拟技术可将原有独立服务器上的操作系统整体迁移至虚拟环境,极大地提高系统的可维护性。随着物理设备的减少,有效地减少单点故障的发生率,管理人员可以有更多的时间管理有限的几台服务器。

②提高单台服务器的资源利用率,降低总体能耗。多台服务器通过整合归并至少量服务器后,将原有旧服务器淘汰,可节约机房空间、UPS资源、空调资源等辅助设备费用。

③低成本备份和恢复方案。虚拟操作系统的备份是以文件形式存放的,备份和恢复非常方便。

④对于一些临时用的测试环境、开发环境等,可进行快速部署,提高系统部署效率,节省人工成本和IT运维成本。

3 VMware虚拟化技术

VMware (Virtual Machine ware)是一个“虚拟PC”软件公司,提供虚拟化解决方案。VMware虚拟化是直接在计算机硬件或主机操作系统上面导入一个精简的软件层,它包含一个以动态和透明方式分配硬件资源的虚拟机监视器,从而实现多个操作系统同时运行在同一台物理机上,彼此之间共享硬件资源。

VMware于1999年首次将虚拟化技术引入到x86计算平台上,VMware虚拟化将操作系统从运行它的底层硬件中抽离出来,并为操作系统及其应用程序提供标准化的虚拟硬件,从而使多台虚拟机能够在一台或多台共享处理器上同时独立运行。

在所有通过虚拟化技术对IT环境进行优化和管理的软件中,VMware虚拟化技术得到了最为广泛应用,从桌面环境到数据中心均有涉及。

3.1 VMware服务模式

①桥接模式(Bridge)。桥接模式是将虚拟机连接到网络的最简单方法。当真实主机在一个以太网中时,可以手工为虚拟系统配置IP地址、子网掩码,将其和宿主机处在同一个网段建立通讯。

虚拟机就像一个新增加的、与真实主机有着同等物理地位的一台电脑,可以访问网内任何一台电脑以及所有可用服务,并能以最简易的方法从真实主机获取资源。

②主机模式(Host-only)。遇到特殊网络调试环境时,需将真实环境和虚拟环境隔离开,可采用Host-only模式建立隔离的虚拟机环境,在此种模式下,虚拟机与真实主机通过虚拟私有网络进行连接。只有同为Host-only模式下的、且在一个虚拟交换机的连接才可互相访问。

③网络地址转换模式(NAT);使用NAT (Network Address Translation)模式可以让虚拟系统借助NAT(网络地址转换)功能,经由宿主机所在网络访问公网,实现虚拟系统中网络互联。

3.2 VMware性能分析

主要从CPU、RAM、存贮、网络以及VMware与同类技术的对比来分析其性能:

①CPU:中央处理器虚拟化添加不同数量开销,这取决于不同因素。用于密集型应用时,任何处理器虚拟化的开销,都可能转化为减少整体性能。然而,虚拟机解决方案有能力平衡处理器加载一个高效率的方式,虚拟机器可以充分利用多核和多处理器配置,使它能够承担运行密集的工作量。

②RAM:虚拟化不减少内存数量,还需要运行一个应用程序和主机操作系统,像任何软件一样,虚拟层需要自己的内存。虚拟机技术增加了很少的内存开销,提供先进的内存管理机制。

③存贮:虚拟机运行完整的、未经修改的操作系统,因此,需要几个千兆字节的存储空间来保存所有应用程序、文件、设备驱动程序和其他数据。当多个虚拟机在同一台物理服务器上,他们可以影响要与他们联合的文件,同时需要快速访问存储数据。

④网络:虚拟基础设施、网络规模和性能,与物理环境非常类似。在大多数情况下,网络吞吐虚拟化的工作量相当于网络吞吐量的体力负荷。VMware提供了理想的安全平台,一台物理服务器上的高速网络虚拟机支持网络拓扑,通过使用额外硬件提供安全隔离[1]。

4 VMware虚拟化技术应用

4.1 VMware虚拟服务器

服务器虚拟化是IaaS的核心技术,是将一个物理服务器虚拟成若干个独立的虚拟服务器使用,充分发挥服务器的硬件性能。服务器虚拟化技术将CPU、内存、I/O设备等传统的物理资源,转化为可以统一管理的逻辑资源,为每一个虚拟服务器提供能够支持其运行的抽象资源(图3)。

服务器虚拟化技术是一个抽象层,它将物理硬件与操作系统分开,从而提供更高的IT资源利用率和灵活性。它通过虚拟化层的实现,在单一的物理服务器上独立运行多个虚拟服务器,虚拟服务器上可以安装不同的操作系统和应用程序,以此来满足不同IT硬件需求[2,4]。

VMware虚拟服务器的创建方式,就是创建一个扩展名为“vmx”的虚拟机配置文件。一般通过选择“自定义”选项,系统会自行调整虚拟服务器的物理内存大小和硬盘空间,也可手工再分配物理内存和磁盘空间。

VMware Workstation所建立的硬盘是虚拟硬盘,是在主机硬盘上建立一个特殊文件,因此,在VMware中对硬盘进行分区甚至低级格式化,都不会影响主机的硬盘分区。

为了保证系统的兼容性和稳定性,VMware把大部分硬件设备都虚拟成最标准、兼容性最好的虚拟设备,且不需要安装驱动程序[3,9]。

VMware软件服务器上可同时启动多台虚拟服务器,实现多台虚拟机操作系统之间相互切换。利用某台服务器的部分内存、硬盘资源,可构建成“独立”的虚拟服务器平台,而这些“独立”的虚拟机拥有各自的CMOS、硬盘、软驱、光驱、网卡、显卡等硬件,不仅可在每一台虚拟机中安装当前各种流行的操作系统和应用软件,而且还可以像对待新服务器那样,对其进行分区、格式化等操作,对原有硬件不会产生任何不良影响。

利用VMware的vSphere进行部署或创建虚拟服务器时,每个虚拟服务器都会依附于一个实体机,随着虚拟服务器的增多,当Virtual Center监控到某个虚拟机在某实体机上运行时其可用资源不够时,或需要对虚拟机进行统一规划或调整时,利用VMware的DRS (Distributed Resource Scheduling)技术可对存储池进行动态资源管理,实现虚拟机在不同主机之间的动态迁移。

当在同一主机上有多个虚拟机时,有的实体机存储空间可能不满足虚拟机的运行情况,或存储空间所属物理磁盘性能受限,在这种情况下,可以将虚拟机迁移到同一物理主机的其它存储上,利用VMware的VMotion技术,实现运行中虚拟服务器的动态迁移,其优势在于能最大程度避免高峰期及软硬件升级带来的宕机事件,并按虚拟机的需求来分配和配置共享资源池中的硬件资源(图4)[2,4]。

4.2 VMware虚拟桌面

桌面虚拟化(Desktop Virtualization)是指将计算机的桌面进行虚拟化,用户可以通过任何终端设备,不受地点和时间限制,访问在网络上的属于个人的桌面系统。

桌面虚拟化相对传统的PC系统具有明显优势:

①集中管理、统一配置,降低办公系统总体拥有成本;

②数据集中存储,提高数据安全性;

③随时随地、任意设备接入,更灵活方便的访问方式;

④按需动态调配硬件资源,提高硬件资源使用率,发挥硬件资源最大效能;

⑤瘦客户端能耗很低,占用空间小,应用更加环保节能。

VMware View桌面虚拟技术打破了软件、硬件和操作系统之间相互依赖的关系,将桌面操作系统、应用程序和用户数据封闭到想隔离的层次,使IT管理员从终端设备安装及桌面环境管理的工作中解放出来(图5)。

VMware作为服务器虚拟化的领跑者,开发了桌面虚拟化产品View。其后台架构在成熟且强大的服务器虚拟化平台vSphere上,远程访问使用了自有的PCOIP协议,提供了与真实PC机相媲美的用户体验。

VMware View桌面虚拟化架构主要由四部分组件构成:VMware vSphere、View Connection Server、View Composer和View Client。

VMware View后台构建于vSphere之上,vSphere平台由多台安装ESXi操作系统的物理主机组成,每台ESXi主机上可以承载几十到上百台虚拟机。

View Connection Server是虚拟桌面访问管理器,管理客户端与虚拟桌面的连接,同时提供View Administrator服务,允许管理员进行配置设置、管理虚拟桌面和设置桌面的权限以及分配应用程序。

View Composer是创建链接克隆(Linked Clone)虚拟桌面的组件,可以安装在vCenter Server实例上或单独服务器上。Composer可以从指定的父虚拟机创建链接克隆池,链接克隆与父虚拟机共享一个基础映像,因此,存储需求明显减少,而且还可极大降低桌面维护成本。

View Client是View客户端程序,将该程序安装在瘦客户机上,使View Client与View Connection Server进行通讯,实现用户与虚拟桌面的连接[5]。

View的客户端可以是PC、笔记本电脑、上网本、瘦客户机、平板电脑或手机等智能设备,这些终端设备需要安装客户端软件View Client。

VMware View桌面虚拟化的特点:

①强大而稳定的后端服务器虚拟化平台vSphere是View的最大优势。vSphere是服务器虚拟化事实上的标准,其HA功能可为虚拟机提供高可用性;FT功能确保零停机时间和零数据丢失;DRS功能可以动态分配和平衡计算容量。

②VMware桌面虚拟化平台在存储方面做了大量的优化,其Thin Provisioning技术实现存储按需分配,链接克隆技术极大地减少重复的存储空间和虚拟桌面的安装部署时间。

③VMware在内存共享方面也做了大量优化,其内存过量使用(Memory Over Commitment)技术可以提高单位服务器硬件上可承载的虚拟机密度。

④View中采用了高性能显示协议PC over IP(PCoIP),PCoIP是一种动态自适应协议,它自我调整后,可通过LAN和WAN提供最佳用户体验[8,10]。

5 结束语

据统计,一般企业的IT预算费用的70%-80%,用于对现有IT设备和系统的维护和管理,而只有20%-30%的费用用于开发新系统。虚拟化技术的应用,能够有效降低IT管理和运维成本,减少IT日常维护工作的复杂度[6,8]。

虚拟化技术不仅是一种IT潮流,更是一种发展趋势。虚拟化技术将重新界定终端用户、应用程序和数据三者之间的关系,并将推动企业IT工作环境的改变,从而改变用户的工作方式[6]。

VMware是当今世界虚拟技术的领航者,与其同类虚拟技术相比,不难发现VMware技术在灵活性、安全性、高性能等方面都有不俗表现,在实际应用过程中,能给我们的工作带来更多实惠[1]。

VMWare虚拟技术可以在不额外增加硬件设备条件下,充分挖掘现有硬件潜力,提高硬件资源的利用率;在不增加甚至减少现有IT资源的情况下,可以获得更多的经济回报[9]。

参考文献

[1]陈力勇.基于VMware的虚拟机性能分析[J].信息安全与技术,2013,1:53~55.

[2]丁佐杉,满喜东,许新房.服务器虚拟化部署研究与分析[J].计算机光盘软件与应用,2012,5:43~44.

[3]张超.VMware虚拟化服务器的构建方法与展望[J].通信技术,2010,43(9):88~91.

[4]韩寓.服务器虚拟化技术研究与分析[J].电脑知识与技术,2011,7(7):1654~1655.

[5]周骅.VMware技术实现机房设备虚拟化管理[J].现代机械,2012,5:88~91.

[6]尹勤.基于桌面虚拟化技术的新型IT办公环境[J].微型电脑应用,2012,28(12):25~28.

[7]吴福疆.利用虚拟化技术提高移动办公安全[J].计算机安全,2009,9:84~85.

[8]张旭.企业桌面虚拟化系统的设计与实现[J].数字技术与应用,2012,9:140~141.

[9]蔡文检.浅谈VMware虚拟化服务器的构建与应用[J].信息与电脑,2011,6:46~46.

[10]赵建华,韩智慧.浅谈存储虚拟化与服务器虚拟化[J].电脑知识与技术,2009,5(21):5606~5609

[11]张开谋.三大主流虚拟化技术对比分析报告[J].金融科技时代,2012,11:64~66.

VMWARE虚拟技术 篇9

虚拟化技术是指通过分割计算机硬件资源(如CPU、内存、辅存等),使得一台物理机上可以运行多个操作系统环境,从而提供更灵活高效的硬件资源分配技术。该技术最早由IBM在20世纪60年代初实现。虚拟化技术发展到今天,出现了多种虚拟化平台,如XEN、KVM、VMware等。其中,VMware由于良好的性能及便捷的功能支持得到了广泛应用。

由于带有快照还原功能以及物理隔离功能,虚拟化技术对恶意代码分析人员是非常有用的工具,可以在保护本机不受侵害的情况下,对恶意代码的实际行为进行有效的监控,并且可以通过快照功能讯速恢复系统,因此,此技术的博弈也随之展开[1]。一些恶意代码编写人员在其恶意程序中加入虚拟环境检测功能,一旦程序发现自身处于虚拟环境中,则可能休眠或者改变行为策略,甚至破坏虚拟机环境[2]。因此,在利用虚拟机进行恶意代码分析的同时,了解恶意代码的虚拟环境检测技术并对其检测功能进行防范,是信息安全工作人员重要工作之一。

本文针对常用的虚拟化平台VMware,分析并总结了VMware平台下常用的虚拟环境检测技术原理及相应工具,在此基础上,提出了一套VMware环境下的反虚拟机环境检测策略,用以提高虚拟机环境下恶意代码分析的准确性,探讨了该领域未来的发展趋势。

1 基于VMware的虚拟机环境检测技术

本节基于VMware平台,归纳并总结了VMware虚拟机环境下常用的虚拟环境检测技术原理[2,3,4,5,6],并介绍了相应工具。

1.1 基于字符特征的VMware环境检测方法

由于VMware环境只是实现了对硬件的虚拟,并没有真正实现对硬件与操作系统的完整仿真。因此,VM-ware虚拟机的进程、文件系统、注册表中包含很多VM-ware的特殊标识,比如VMware虚拟机系统信息的制造商显示为VMware Inc.,而非真实的计算机制造商。在VMware虚拟机操作系统的注册表内,也有一些带有VMware特殊表示的键值,比如在虚拟操作系统WindowsXP中的注册表项HKEY_CURRENT_USERSoftwareMicrosoftWindowsNTCurrentVersionPrinterPorts中,包含有名称为_#VmwareVirtualPrinter的键,而真实的操作系统中并不存在此键。此外,据统计,VM-ware环境下有超过50个包含“VMware”和“vmx”的引用存在于文件系统中,有超过300个包括“VMware”的引用存在于系统的注册表中。

针对这些差异,可以收集这一类出现在特别位置的“特征字符串”,形成针对VMware环境的指纹库,并通过字符串搜索与匹配的方式,实现对VMware虚拟机环境的检测。

但该方法存在以下缺陷:①这些特征字符串的分布不具有通用性,较难形成通用的、系统的检测理论;②暴力搜索方法不仅性能较低,还会造成较高的误报;③这种方法也可以通过Rootkit等技术[7]进行欺骗。

1.2 基于虚拟硬件的VMware环境检测方法

VMware环境下虚拟出的硬件也往往包含有特殊特征,使其成为检测VMware环境的检测因素之一。VM-ware环境下,其网卡的Mac地址的前24位往往是00-0C-29、00-05-69或00-50-56,此外,VMware VGA适配器、USB控制器的类型、SCSI设备的类型往往都包含有VMware特定的标记。概括来说,此方法一定程度上也属于基于特征字符串的检测方法。

Tobias Klein实现的工具DOO就是利用搜索虚拟环境下特殊的虚拟硬件标识来检测虚拟机环境。DOO工具在Linux环境下主要搜寻I0、port以及SCSI等相关目录下的“VMware”特征串,而在Windows下则重点搜索注册表中SCSI适配器和VMware硬件类号的键值。

1.3 通过特殊指令特征检测VMware环境的方法

使用特殊指令SIDT、SLDT与SGDT等与返回值差异性的检测方法对比,其依据的原理为此类指令的返回值,在虚拟机环境与真实操作系统环境中有着较大差别。通过获取寄存器基值,观测它是否超过某一传统阈值,即可判断是否处于虚拟机环境。

以SIDT指令为例,此指令用来获取中断描述表(Interrupt Descriptor Table)的位置,IDT在VMware环境的寄宿系统中一般位于在0xffXXXXXX附近,而在实际操作系统中,一般位于0X80FFFFFFFF附近,对比这种差异性,即可判断程序是否运行在VMware虚拟机中。

表1展示了此类指令返回值(寄存器基址)在虚拟机环境与真实操作系统中的区别。

应用该原理的虚拟化环境检测工具包括Redpill和ScoobyDoo。

该方法的缺陷:①SIDT在多处理器环境下容易误报,相比较之下,SLDT在多处理器环境下的效果要好些;②VMware环境下开启禁止加速模式后,VMware虚拟机会对ring3层指令进行二进制翻译,因此在此模式下对此类指令进行干预会使检测方法失效。

1.4 通过VMware穿透信道检测VMware环境的方法

为了保证虚拟机系统的性能与易用性,往往会牺牲一些虚拟机环境对Guest OS的透明性,比如VMware提供的communication channel功能,此功能用来实现主机与客操作系统之间的穿透与通信,以提供VMware对GUI性能的优化,主操作系统与客操作系统之间的剪切板、文件拖动等功能,为VMware虚拟机环境识别提供了可能。

VMware通过拦截I/O的IN指令来实现虚拟机穿透功能。由于IN指令属于特权指令,因此当运行在ring3上的操作系统执行IN指令时,系统会产生一个异常,而运行在虚拟机中的客操作系统则不会产生。如果程序运行在VMware之外,则会抛出一个处理器错误,利用此原理,即可检测程序是否运行在VMware虚拟机环境中。

文献[3]给出了根据这一特性的检测代码:

该方法缺陷为:使用的通信信道是VMware的高级功能,并不是必需功能,因此关闭此功能后,这种检测方法将失效,而此功能关闭本身却不会对VMware虚拟机的使用产生过大影响。

2 基于VMware环境的反虚拟机检测

根据前文对VMware虚拟机环境检测技术的分析,总结了一组VMware环境下的反虚拟机环境检测方法[2,3,4,5,6],以防止恶意代码对虚拟机环境的有效检测。

2.1 反特征字符串检测VMware环境方法

反特征字符串检测VMware环境方法主要是获取操作系统特定位置的参数值,再通过对这些参数值进行特征串匹配来完成虚拟机环境的检测。通过以下手段根据具体应用情况进行反虚拟环境检测:①利用Rootkit技术隐藏这些特征字符串痕迹,使其不被发现;②通过Hook技术钩挂系统文件、进程、注册表、服务等的查询函数也可以有效躲避此种检测方法。

2.2 反虚拟硬件检测VMware环境

VMware环境下,虚拟硬件的各类参数可以便捷地通过配置文件重新设定修改,因此对基于虚拟硬件特征的虚拟环境检测可通过以下方式进行反检测:①通过修改VMware配置文件,修改虚拟硬件配置参数,如MAC地址;②修改敏感部位的注册表键值,将带有VMware标识的键值抹去或者修改。

比如:DOO工具关注的VMware部分注册表键值通常为[6]:

HKEY_LOCAL_MACHINEHARDWAREDEVICEMAPScsiScsi Port0Scsi Bus0Target Id0Logical Unit Id 0Identifier

HKEY_LOCAL_MACHINEHARDWAREDEVICEMAPScsiScsi Port1Scsi Bus0Target Id0Logical Unit Id 0Identifier

HKEY_LOCAL_MACHINESYSTEMControlSet001ControlClass{4D36E968-E325-11CE-BFC1-08002BE10318}000DriverDesc

HKEY_LOCAL_MACHINESYSTEMControlSet001ControlClass{4D36E968-E325-11CE-BFC1-08002BE10318}000ProviderName

将这些敏感键值修改,可以有效抵抗基于此方法的虚拟机检测。

2.3 反特殊指令检测VMware环境

基于SIDT、SGDT、SLDT等特殊指令对VMware环境进行检测的防范措施有:

(1)在VMware环境下开启禁止加速模式,再通过代码对此类指令的返回值进行干预。

(2)通过Hook技术对SIDT、SGDT、SLDT等指令挂钩,一旦发现可疑程序调用这些指令,则自动将相应的寄存器和内存地址修改为真实操作系统的合理地址,以达到欺骗虚拟检测程序的目的。

(3)直接修改VMware配置文件[6],配置选项修改具体如下:

monitor_control.disable_directexec=“TRUE”

monitor_control.disable_chksimd=“TRUE”

monitor_control.disable_ntreloc=“TRUE”

monitor_control.disable_selfmod=“TRUE”

monitor_control.disable_reloc=“TRUE”

monitor_control.disable_btinout=“TRUE”

monitor_control.disable_btmemspace=“TRUE”

monitor_control.disable_btpriv=“TRUE”

monitor_control.disable_btseg=“TRUE”

2.4 反穿透信道检测VMware环境

通过修改VMware虚拟机相应的配置文件,可以禁止虚拟机与物理机之间的穿透指令,以预防针对VMware穿透指令的检测。

关闭VMware穿透信道的配置选项如下[3]:

Isolation.tools.getPtrLocation.disable=“TRUE”

Isolation.tools.setPtrLocation.disable=“TRUE”

Isolation.tools.setVersion.disable=“TRUE”

Isolation.tools.getVersion.disable=“TRUE”

设置了这些参数会关闭VMware相应的一些功能,但这些功能在进行恶意程序分析与仿真时并不是必须功能,一般不会对恶意代码的分析与研究工作造成影响。

3 结语

本文针对VMware虚拟机环境,分析了该环境下常见的虚拟机环境检测技术及对应的检测工具,并在分析各种检测技术原理与缺点的基础上,提出了一组VMware下反虚拟机环境检测方法,以提高利用VMware虚拟机进行恶意程序仿真时的准确率。由于虚拟机环境可检测的根本原因是虚拟化系统本身为提升性能与效率,造成虚拟化系统对客操作系统的不透明性。因此,该技术领域除了虚拟机环境检测与反检测的技术博弈外,如何加强虚拟机环境本身的安全架构,降低虚拟化系统本身的不透明,也是该领域的一个重要研究方向。

摘要：VMware虚拟机因其良好的用户体验及便捷的功能,被广泛应用于云计算平台搭建、恶意代码分析等技术领域。因此,部分恶意代码专门增加了VMware环境检测功能,以发现自身是否运行在VMware虚拟环境。针对恶意代码在VMware环境下的虚拟环境检测技术,分析了VMware虚拟机环境的检测原理及优缺点,提出了一套VMware环境下的反虚拟环境检测方法,以欺骗恶意软件的VMware环境检测功能,提升基于VMware仿真的恶意代码分析准确性。

关键词：VMware,虚拟机,虚拟机环境检测,虚拟机穿透

参考文献

[1]卢勇.反病毒虚拟机的研究与实现[D].成都:电子科技大学,2007.

[2]PETER FERRIE.Attacks on more virtual machine emulators[J].Symantec Advanced Threat Research,2007(4):126-129.

[3]杨峰,姜辉,诸葛建伟,等.虚拟机环境检测方法研究综述[J].小型微型计算机系统,2012,33(8):1830-1835.

[4]马晨,周城,赵丽华.VMware虚拟机检测技术研究[J].电脑知识与技术,2011,7(11):2700-2702.

[5]王宝林,杨明,张永辉.虚拟机检测技术研究[J].计算机安全,2009(12):1-3.

[6]程微微:虚拟机检测与反检测技术研究[J].网络安全技术与应用,2011(2):28-32.

VMWARE虚拟技术 篇10

一、虚拟机及虚拟机软件

虚拟机是指一台在物理计算机上虚拟出来的独立的逻辑计算机。虚拟机必须通过虚拟机软件进行创建。通常人们接触到的虚拟机软件有Vmware那样的硬件模拟软件,也有JVM那样的介于硬件和编译程序之间的软件。

1、虚拟机的优点

(1)一般不会损坏本PC的操作系统和软件,因虚拟机的硬盘通常是本PC上的一个文件,虚拟机在硬盘上的操作只在这个文件上进行;

(2)可同时在同一台PC上运行多个操作系统,每个OS都有自己独立的一个虚拟机,就如同网络上一个独立的PC;

(3)可在单机上组建网络,它提供了虚拟网络设备如交换机、网卡和虚拟建网的方式;

(4)容易安装和备份,可在虚拟机上容易地安装不同的操作系统然后备份,使用这些备份可更快速地安装其他虚拟机。

2、学校应用虚拟机的好处

(1)有助于教师进行网络教学。老师可通过用虚拟机构建的虚拟网络进行网络教学,使学生更感性、直观地掌握网络的组建、管理和维护;

(2)有利于提高学生学习兴趣和有助于学生自主学习。因为虚拟机的安装要求不高,安装的方法也较为简单。学生学会了虚拟机组建虚拟网络的原理和方法后,可以在学校实验室环境之外的其它环境自主地做网络实验;

(3)为学校节省资源。学校不用另外找场地和购买计算机、交换机、网卡、网线等网络设备。

3、虚拟机的基本术语

(1)主机——指物理存在的计算机。

(2)客户机——指由Vmware模拟出来的一台虚拟的计算机,也即逻辑上的一台计算机。

(3)主机操作系统——在主机上安装的操作系统。

(4)客户机操作系统——在客户机上安装的操作系统。

二、建立虚拟机及构建虚拟网络的基本方法

1、建立虚拟机

建立虚拟机的方法有几种,而最常用的方法是用Vmware向导建立虚拟机和用备份文件建立虚拟机两种。在网络教学中,老师用第一种方法建立一个虚拟机,然后备份相关文件并共享,学生就可以用第二种方法快速建立虚拟机了。下面简介两种方法的操作步骤。

(1)用Vmware向导建立虚拟机

(1)启动向导进行有关参数的设置;

(2)对硬盘进行分区和格式化;

(3)安装操作系统。安装操作系统有光盘安装、光盘镜像文件安装、GHOST文件安装、备份文件安装4种,其中用备份文件安装是最快的。

(2)用备份文件建立虚拟机

Vmware用两个文件记录虚拟机的信息,一个是配置文件(*.vmx),记录虚拟机的硬件资料如内存、硬盘、网卡、声卡的类型大小等信息;另一个是磁盘文件,记录在虚拟机上安装的操作系统、存储的文件等信息。如果使用已存在的配置文件和磁盘文件来建立虚拟机,就不用对硬盘进行分区、格式化和安装操作系统,这样可以在几秒钟之内就建立一个新的虚拟机了。虚拟机的备份文件指的就是配置文件和磁盘文件的备份。

(1)复制备份文件到硬盘指定目录;

(2)启动向导,在“选择一个磁盘”的三个选项中选“使用已存在的磁盘镜像文件来建虚拟磁盘”,然后选备份磁盘文件。

这种建立虚拟磁盘的方法能较快地建立新的虚拟机,但缺陷是用同一个备份磁盘镜像文件建立的虚拟机的计算机名和IP地址相同,导致不能联网,所以要注意提醒学生修改计算机名和IP地址。

2、构建虚拟网络

Vmware提供了一些虚拟设备和用这些设备联网的方法,只要理解了这些设备和联网的原理就可以组建不同的网络。

(1)虚拟网络设备

(1)虚拟交换机。Vmware提供了八个虚拟网络设备Vmnet0~9,这些设备可以充当交换机,通过这些设备主机和虚拟机就可以组建任意形式的局域网,如果主系统的配置够高,甚至可以虚拟多个服务器。

(2)网卡。网卡有三类:a,主机系统上虚的拟网卡Vmnet1~9;b,主机系统上的真实网卡;c,虚拟机系统上的网卡,默认安装的是AMD PCNET Family PCI Ethernet Adapter,它的网络设置有桥接、仅主机、网络地址翻译和自定义四种选择。一个虚拟机最多只能安装三个网卡。

(2)组网方式

Vmware虚拟网络的方法是把计算机连接到Vmnet 0~Vmnet 9中的一个虚拟交换机,而连接的方式有以下三种。

(1)仅主机(Host-only)模式。

a,特点。在主机上建立了一个独立的私有网络,外部网络和虚拟机不能通讯。

b,联网方法。第一步,将主机连接到虚拟交换机上。方法是给主机系统添加一块虚拟网卡,只能是虚拟网卡Vmnet1~9中的一块。Vmware给主机添加虚拟网卡同时会给主机添加一个“网络连接”,这时主机系统就和相应的虚拟交换机相连了。如选择虚拟网卡Vmnet 3,它就连到了虚拟交换机Vmnet 3。第二步,把虚拟机连接到虚拟交换机上,方法是在网卡的网络设置中选“仅主机”选项,它就默认连接到虚拟交换机Vmnet 1上。但如果主机不是连接到虚拟交换机Vmnet 1上时,就要选“自定义”选项,并指定连接到所需的虚拟交换机(如虚拟交换机Vmnet 3),否则无法通讯了。因为主机和虚拟机系统没有连到同一个虚拟交换机上。

(2)桥接(Bridged)模式

a,特点

在主机所处网络上虚拟机显示为和主机一样的一台额外的计算机,它与主机在主机所处网络上的地位是平等的。外部网络和虚拟机可以互相访问。

b,联网方法

第一步,把虚拟机连接到虚拟交换机上,方法是在网卡的网络设置中选“桥接”选项,它就默认连接到虚拟交换机VM net 0上;第二步,将主机连接到虚拟交换机上,当把虚拟机桥接到某一个虚拟交换机时主机就自动和该虚拟交换机相连了。

(3)网络地址翻译(NAT)模式

a,特点

虚拟机可通过主机连接Internet。

b,联网方法

第一步,把虚拟机连接到虚拟交换机上,方法是在网卡的网络设置中选“网络地址翻译”选项,它就默认连接到虚拟交换机Vmnet 8上,而且自动将NAT服务功能赋予给虚拟交换机Vmnet 8。如果要选用其它虚拟交换机,必须将NAT服务功能赋予这个虚拟交换机,然后才能选用此虚拟交换机;第二步,将主机连接到虚拟交换机上,方法与仅主机模式相似;第三步,在虚拟机上安装拨号连接。

三、使用Vmware搭建虚拟的网络实验室

运用Vmware搭建虚拟的网络实验室需要进行以下3个方面的准备。

1、软件的准备

Vmware分桌面系统(Workstation)和服务器版(Vmware GSX Server,Vmware ESX Server,Vmware virtual SMP),可在Vmware的官方网站http://www.vmware.com/下载一个30天的试用版,也可以到“华军软件园”下载,是一个共享的版本。

2、网络模板的准备

教学中常用的网络平台主要有“对等网网络平台”、“客户机/服务器网络平台”、“有路由器的网络平台”以及“有防火墙的网络平台”4种。老师事先用一台学生机建立实验所需要的虚拟机和虚拟网络,然后把记载这些虚拟机和虚拟网络参数的文件放到服务器上共享。这就相当于老师将实验所需的网络模板做好了并将它共享给学生。利用老师做好的网络模板,学生很快就能在自己的计算机上建立一个实验所需要的虚拟网络环境进行网络实验。以上4种网络平台的构建方法如下。

(1)对等网网络模板建立方法

建立两台虚拟机,安装操作系统Win 98/2000/XP,然后设它们的网卡联网模式为仅主机模式。两台虚拟机就与虚拟交换机(VMNET 1)连成了一个简单的网络。

(2)客户机/服务器网络模板建立方法

基本上与“对等网网络平台”相同,主要区别在于要在其中一台客户机上安装服务器软件。

(3)有路由器的网络模板建立方法

(1)客户机A的建立方法

第一步建立虚拟机;第二步安装操作系统,启动WIN 2000SERVER或LINUX自带的路由和远程访问软件;第三步:添加一个网卡,连同原有的网卡共有两个网卡,因为用一台计算机做路由器就必须安装两个网卡;第四步:设置网卡,其中一个网卡的IP地址为192.168.0.1,网络模式为连接到虚拟交换机VMNET 1的仅主机模式;另一个网卡IP地址为192.168.6.1,网络模式为连接到虚拟交换机VMNET 2的仅主机模式。

(2)客户机B的建立方法

第一步建立虚拟机;第二步安装操作系统WIN 98/2000/XP或LINUX;第三步:设置网卡IP地址为192.168.0.X(2-254),网卡的网络模式为连接到虚拟交换机VMNET 1的仅主机模式。

(3)客户机C的建立方法

第一步建立虚拟机;第二步安装操作系统,安装WIN98/2000/XP或LINUS;第三步:设置网卡IP地址为192.168.6.X(2-254),网络模式为连接到虚拟交换机VMNET 2的仅主机模式。

(4)有防火墙的网络模板建立方法

(1)客户机A的建立方法

第一步建立虚拟机;第二步安装操作系统和防火墙软件;第三步:安装两个网卡,因为用一台计算机做防火墙就需要安装两块网卡;第四步:设置网卡,其中一个网卡的桥接到虚拟交换机VMNET 0;另一个网卡连接到虚拟交换机VMNET 2。第四步:设置IP地址。

(2)客户机B的建立方法

第一步建立虚拟机;第二步安装操作系统;第三步:设置网卡,网卡的网络模式为网络模式为连接到虚拟交换机VM NET2的仅主机模式。

四、运用已搭建的网络实验室进行网络教学实例

1、实例一对等网的组建和设置实验

(1)实验目的

(1)通过本实验掌握简单的局域网组网技术;

(2)学会配置基于Windows 98/2000/XP的对等网。

(2)实验步骤

(1)学生用老师提供的对等网网络模板文件快速地搭建一个虚拟的对等网;

(2)启动客户机;

(3)设置两台客户机的IP地址(要在同一网段,如192.168.1.X);

(4)用IPCONFIG命令查看客户机的网络设备配置;

(5)用PING命令检查网络的连通性;

(6)设置工作组和计算机的名字;

(7)设置文件夹共享;

(8)设置访问权限;

(9)从一台计算机访问另一台计算机。

2、实例二路由器的设置实验

(1)实验目的

(1)熟悉路由器的基本命令;

(2)掌握路由器的配置方法。

(2)实验步骤

(1)学生用老师提供的有路由器的网络模板文件快速地搭建一个虚拟的网络;

(2)启动虚拟机;

(3)设置客户端的IP地址;

(4)为路由器配置一个名称,并设置其密码;

(5)为启用的各个端口指派IP地址;

(6)用静态路由方法把两个局域网互连在一起;

(7)查看路由表;

(8)在客户端使用ping命令测试两个局域网是否可以通信端。

五、结论

经过实践证明使用Vmware搭建的虚拟网络实验室,比较明显地提高了网络教学的质量。但因为Vmware对内存的消耗较大,建议最小使用512 MB的内存,如果运行比较流畅的话,内存越大越好。而很多学校电脑的配置并不高,所以只能构造简单的虚拟网络,限制了网络教学的深度。随着包括内存在内的硬件价格的下降,越来越多的学校有条件使用Vmware来搭建、配置虚拟网络实验室,发挥虚拟机软件的优势,便于学生学习实践。

参考文献

[1]汪诗林,吴泉源.开展虚拟实验系统的研究和应用[J].计算机工程与科学,2000,(2):33.

[2]单美贤,李艺.虚拟实验原理与教学应用[M].北京:教育科学出版社,2005.

VMWARE虚拟技术 篇11

高新医院是一所集医疗、教学、科研、保健、预防为一体的综合性三级甲等医院。经过多年的发展，高新医院积累了丰富的信息资产，拥有几十台物理服务器，运行着HIS、图片存档及通信系统（PACS）、电子病历（EMR）、实验室信息管理系统（LIS）、放射信息系统（RIS）、合理用药与办公自动化（OA）等关键业务系统。

随着医院业务不断扩展，高新医院的信息系统也面临系列新的挑战，包括业务系统增加导致机房空间不足，传统方式下业务系统资源利用率过低，并且无法实现针对关键业务系统的高可用与容灾备份。同时，烟囱式的系统架构形成“信息孤岛”，导致业务系统不能横向扩展。

高新医院计算机中心主任郭华伟表示“医疗机构必须7×24小时不间断运行，这要求信息系统保持全年无间断。提高资源利用率、确保高可用性与业务连续性，使用先进的云计算与虚拟化技术构建个弹性、灵活、高效与安全的IT信息架构成为高新医院信息系统升级的重要目标。”

在进行深入细致的市场调研与评估之后，高新医院最终决定采用VMware vSphere 5.5虚拟化解决方案，总计生成40多台虚拟机，用于运行医院的关键业务系统。高新医院计算机中心主任郭华伟表示“我们利用VMware vShpere构建了一个成熟稳定的IT基础架构平台，将关键生产业务系统部署在虚拟环境中，获得了更好的性能与体验，同时降低了管理与运维成本。未来将进一步扩展虚拟化范围，构建容灾数据中心，实现自动化运维，最终迈向私有云。”

VMware大中华区总裁宋家瑜表示“VMware直致力于为本土客户提供最先进的虚拟化和云计算技术，支持他们在IT和业务两方面提升效率、敏捷性和控制力。我们很高兴能与西安高新医院合作，帮助他们实现从传统IT架构到更为灵活高效的软件定义基础架构的演变。”

VMWARE虚拟技术 篇12

0 引言

随着高校信息化建设水平的不断提高, 各职业院校积极探索将信息化不断的融入到教学之中, 打破传统教学的模式, 运用信息化技术将教学内容变得生动有趣, 并且更加的贴近实际工作之中。对于网络技术专业的学生, 他们必须在学校中掌握基础知识的同时还要学会如何解决工作中出现的问题, 例如:如何安装Windows系统、Unix系统、Linux系统等, 如何配置网络操作系统, 如何运用交换机、路由器等网络设备来进行网络的组建等。这些内容都需要学生能在学校中掌握, 但由于学校的硬件设备的限制, 使每位学生不能都亲自去进行操作。所以如何运用现有设备来实现高效率和高质量的课堂教学, 是现在职业院校面临的问题。运用虚拟化技术就可以很好的解决这些问题, 让学生在课堂中就可以模拟出与现实工作一样的场景, 使学生在毕业后能更好的适应工作岗位。

1 网络实训的传统教学方法

网络实训传统的教学方法是将实训室中有限的硬件设备进行分组, 每一组有一台服务器和几台客户机, 在进行系统安装或不同操作系统间进行网络通信实训时, 由于服务器数量的限制和交换机等网络设备的不足使得不能让学生亲自动手来进行操作, 只能依靠教师运用多媒体视频等方法来给学生进行演示, 因此实训效果非常差, 学生掌握程度低。

2 利用虚拟技术的网络实训教学方法

现在虚拟技术是一项比较成熟的技术, 对应的软件也十分的多, 其中应用比较广泛的就是VMware虚拟机, 它主要是有以下功能: (1) 在同一台PC机上使用多种操作系统。 (2) 不同操作系统之间可以进行互动操作。 (3) 安装在VMware虚拟机中的操作系统是独立的。 (3) 能按照需要对虚拟出的计算机进行硬件环境的修改。因此运用VMware虚拟机可以构建出与真实计算机一样的环境, 运用它可以分区、格式化、装操作系统、模拟服务器配置等。学生可以在虚拟机中完成实训掌握教学内容。例如:在讲授服务器配置等网络技术专业课程时, 在一台pc机中虚拟机, 并在虚拟机中虚拟出多台Windows Server 2008操作系统。运用这些虚拟服务器来设置成域控制器、DNS服务器、文件服务器、终端机等设备, 将它们构建成域环境, 模拟出公司中的域环境。学生在创建域环境时, 学生不再受服务器不足的限制, 他们每人自己一台计算机, 在虚拟环境中来进行实训操作, 真正实现”工学结合”, 在课堂中无法理解或不熟练的地方, 学生可以在自己的计算机中安装VMware虚拟机进行操作, 最终掌握所学内容。使学生不局限于实训室, 扩大了学习空间。

3 运用VMware虚拟机建设网络实训室

网络实训室建设主要是对计算机机房中的教学PC机进行软件的安装和配置, 主要通过以下几个步骤。

(1) 安装VMware虚拟机软件。在网络实训室的每台计算机中安装VMware。

(2) 新建虚拟机。运行VMware软件, 新建2个虚拟机, 名称分别为Windows Server 2008和Linux。在硬件设置的过程中, 我们需要为每台虚拟机设置CPU数量、内存大小、外设等硬件设备, 其中需要我们注意的是虚拟网卡的设置。在网卡设置中包括3种网络连接类型, 它们分别是:Bridge (桥接模式) 、NAT (网络地址转换模式) 和Host-only (主机模式) 。Bridge模式是指虚拟网卡与物理网卡一样, 在网络中是独立存在的。也就是说, 在网络中, 虚拟机与真实的PC机是相同的, 通过交换机可以与其它计算机进行通信。NAT模式是指虚拟机私有IP地址通过NAT服务器与真实计算机合法IP地址进行转换最终实现与其它计算机的通信。Host-only模式是指虚拟机只能它所在真实计算机 (宿机) 进行通信, 而不能与其它计算机进行通信。在选择连接模式时, 我们需要根据实训内容进行设置。

(3) 在虚拟机中安装操作系统。我们分别在两台虚拟机中通过虚拟光驱CD-ROM来安装操作系统, 这里我们可以运用真实的物理设备CD-Rom或ISO镜像来进行安装。这里最好选择ISO镜像安装。在安装完操作系统后, 在进行实训时, 如果还需要多台同型号的操作系统, 我们可以采用VMware自带的克隆功能, 克隆出多台操作系统, 这可以大大节省我们安装操作系统的时间。

(4) 安装VMware Tools。VMware Tools是比较好的VMware的插件, 它可以实现真实计算机 (宿机) 与虚拟机之间数据的交换, 提高了虚拟机与宿机之间的操作效率。

4 利用虚拟机完成的实训项目

4..1硬盘分区、格式化、操作系统的安装和初始化配置实训项目。学生可以运用VMware虚拟机尝试安装多种类多型号的操作系统, 不必考虑安装失败后所带来的文件丢失等问题, 使学生能放手去安装和学习。

4.2服务器管理的实训内容。服务器管理是网络操作系统中的主要内容, 这里主要包括:用户管理、活动目录的管理、磁盘文件的管理、远程登录管理等内容。Windows Server 2008操作系统要求所有用户都要进行登录才能访问本地网络资源, 它通过本地用户和组, 可以为用户和组分配权利和权限, 从而限制用户和组执行某些操作的能力。磁盘管理主要对动态和创建和软RAID的实现。远程登录是通过远程桌面功能来实现用户通过网络进入到服务器中进行远程管理。

4.3 服务器配置的实训内容

服务器配置主要包括:DHCP服务器、DNS服务器、IIS服务器、FTP服务器、路由功能等实训内容。通过服务器的设置我们可以模拟出实际工作中的网络环境, 如图所示:

这是某公司的网络环境, 学生可以通过服务器的配置来完成这个网络环境。

5 总结

综上所述, 运用VMware软件可以创建稳定的网络实训环境, 并且可以通过它来完成多项实训内容, 不仅节省了硬件设备的投入, 还为学生掌握网络知识提供了实训操作平台。方便实训室计算机的管理, 提高了教学质量。它是网络实训室建设必不可少的软件。

摘要：网络实训室硬件设备的不足, 使得教学过程中学生不能亲自动手去操作, 降低了课堂教学效果, 而对于这一问题, 在建设网络实训时运用虚拟机技术可以很好解决, 通过传统教学与虚拟技术的教学进行比较, 得出虚拟技术教学的优点, 并为如何运用VMware软件在网络实训室建设和教学应用提出了意见。

关键词：VMware,网络实训室

参考文献

[1]韩立刚——Windows Server 2008系统管理之道, 清华大学出版社;

[2]王春海——虚拟机技术与动手实验, 机械工业出版社;