43、虚拟化与网络地址转换技术详解

虚拟化与网络地址转换技术详解

1. 虚拟化技术概述

虚拟化技术可在单台主机的内存中托管一个或多个操作系统，使几乎任何操作系统都能在任何硬件上运行，这些额外的操作系统被称为来宾操作系统。常见的虚拟化软件有 VMware/vSphere、Microsoft 的 Hyper - V、VirtualBox、XenServer 和 Apple 的 Parallels 等。

从用户角度看，虚拟服务器和服务与传统服务器和服务并无区别。虚拟化具有诸多优点：
- 可按需启动服务器或服务的单个实例。
- 具备实时可扩展性。
- 能运行应用程序所需的确切操作系统版本。
- 虚拟系统受损、崩溃或损坏后恢复通常较快，只需用干净的备份版本替换虚拟系统的主硬盘文件，然后重新启动即可。

在安全方面，虚拟化也有优势：
- 对整个虚拟系统进行备份通常比等效的本地硬件安装系统更容易、更快。
- 出现错误或问题时，几分钟内就可用备份替换虚拟系统。
- 恶意代码对虚拟系统的破坏或感染很少影响主机操作系统，便于进行安全测试和实验。

不过，虚拟化也存在一些风险，如 VM 逃逸。当来宾操作系统中的软件能够突破管理程序提供的隔离保护，侵犯其他来宾操作系统的容器或渗透到主机操作系统时，就会发生 VM 逃逸。近年来已发现了一些逃逸漏洞，但供应商会迅速发布补丁。例如，“Virtualized Environment Neglected Operations Manipulations (VENOM)” 利用受损的开源虚拟软盘驱动程序，使恶意代码能在虚拟机之间跳转甚至访问主机。

为降低 VM 逃逸的风险，可以采取以下措施：