vSphere 6.5加密vMotion是個什么鬼？
虛擬機實時遷移并不是個新技術，但是vMotio加密添加了一個獨特的安全層，因為用戶不會對網(wǎng)絡加密。
VMware vMotion允許托管系統(tǒng)之間對操作虛擬機的實時遷移。這一技術已經(jīng)出現(xiàn)一段時間，而且得到了很好的驗證。但是由于網(wǎng)絡遷移的數(shù)據(jù)未加密帶來了風險，促使VMware在vSphere 6.5中添加了加密的vMotion。
加密可以確保遷移中涉及的任何數(shù)據(jù)完整地到達目標主機——無法讀取或更改加密的內容。
雖然加密的vMotion易于啟用，但管理員了解相關規(guī)則也很重要。存儲vMotion支持加密，但只有在磁盤卷已經(jīng)加密時。 如果磁盤卷未加密(靜止)，Storage vMotion則不可用(正在運行)。
加密vMotion也是為虛擬機服務的。已經(jīng)通過虛擬機加密的加密虛擬機，將一直使用vSphere加密的vMotion。
然而，如果虛擬機還沒加密，管理員可以選擇放棄加密;如果目標主機與ESXi 6.5兼容可以使用加密，或如果目標主機不支持它，可以強制在遷移中加密。在使用不同版本vSphere/ESXi的環(huán)境中，這一行為可能會更復雜。為了更好使用 vMotion加密，所有目標系統(tǒng)都需要是Sphere/ESXi 6.5或以上版本。
加密vMotion的一個有趣的屬性是加密/解密過程發(fā)生在每個VM級別。這意味著虛擬機被加密而不是網(wǎng)絡。這樣可以消除任何可能使典型加密技術復雜化的加密敏感網(wǎng)絡配置更改或證書管理問題。
VCenter產生了隨機的256位密鑰，和隨機了64位一次性代碼。VCenter發(fā)送該密鑰和代碼到源和目標主機——guest操作系統(tǒng)沒有權限訪問加密密鑰。
源使用密鑰和代碼加密虛擬機，目標主機使用相同的密鑰和代碼來加密虛擬機。用戶不能進行退回操作，或攻擊虛擬機的遷移數(shù)據(jù)流，因為一次性代碼的使用。
計劃vMotion加密時，除了使用vSphere 6.5或以上版本外，還有幾個問題需要考慮。首先，你需要vSphere之外的一個加密密鑰管理系統(tǒng)。這可能會對備份流程產生影響，因為它只支持Ethernet備份流。這意味著跨SAN備份將不可用。另外，像掛起/重啟這樣的操作，帶快照的虛擬機加密、 vSphere備份，和內容庫功能現(xiàn)在都不能用了。
