Erarbeiten Sie zuerst die Idee, und nutzen Sie dann die nächste Aktivität, um sie zu überprüfen.
Virtuelle Maschinen, Container und VRFs
Drei Arten von "mehrere Dinge teilen sich ein Ding", und was jede davon tatsächlich isoliert.
Was Sie können werden
- Eine virtuelle Maschine von einem Container danach unterscheiden, was jede jeweils enthält
- Erklären, was ein Hypervisor tut und wo ein virtueller Switch hineinpasst
- Beschreiben, was eine VRF trennt und wie sie sich von einem VLAN unterscheidet
- Sagen, auf welcher Schicht jede Isolationsform arbeitet
Zuvor: Sie benötigen VLANs und Broadcast-Domänen aus "Broadcast-Domänen und VLANs" sowie die Routingtabelle aus "Wie ein Router einen Pfad wählt".
Warum es wichtig ist: Fast jeder Server, dem Sie begegnen, ist virtuell, und fast jedes Netzwerkgerät trägt Verkehr für mehr als ein logisches Netzwerk. Beide Prüfungen testen das Vokabular, und die nützliche Leitfrage - was genau wird auseinandergehalten - ist auch diejenige, die zählt, wenn etwas durchsickert.
Virtualisierung ist eine Idee, die auf mehreren Schichten angewendet wird: ein physisches Ding sich als mehrere unabhängige verhalten lassen. Was sich zwischen den Formen ändert, ist, wo die Trennlinie gezogen wird - und damit, was wirklich getrennt und was still geteilt wird.
Servervirtualisierung
Ein Hypervisor stellt jedem Gast virtuelle Hardware bereit, sodass mehrere vollständige Betriebssysteme auf einer physischen Maschine laufen. Jeder Gast glaubt, einen eigenen Prozessor, Speicher, eine eigene Festplatte und Netzwerkkarte zu haben, und keiner von ihnen weiß von den anderen.
| Typ | Läuft auf | Typische Nutzung |
|---|---|---|
| Typ 1, Bare Metal | Direkt auf der Hardware | Server - nichts zwischen Hypervisor und Maschine |
| Typ 2, gehostet | Auf einem gewöhnlichen Betriebssystem | Desktops und Labs - praktisch statt effizient |
Weil jeder Gast eine virtuelle Netzwerkkarte hat, braucht der Host etwas, in das diese Karten sich einstecken können. Das ist ein virtueller Switch, und er verhält sich wie ein physischer: Er lernt MAC-Adressen, kann VLANs tragen und zum physischen Netzwerk trunken.
Container
Ein Container teilt sich den Kernel des Hosts, statt Hardware zu virtualisieren. Er verpackt eine Anwendung und ihre Abhängigkeiten, und die Isolation kommt von Kernel-Funktionen, die ihm eine eigene Sicht auf das Dateisystem, die Prozessliste und das Netzwerk geben - nicht von emulierter Hardware.
| Eigenschaft | Virtuelle Maschine | Container |
|---|---|---|
| Enthält einen eigenen Betriebssystem-Kernel | Ja, einen eigenen | Nein, teilt sich den des Hosts |
| Startzeit | Sekunden bis Minuten | Deutlich unter einer Sekunde |
| Größe | Gigabyte | Megabyte |
| Isolationsstärke | Stärker - ein separater Kernel | Schwächer - ein geteilter Kernel ist eine geteilte Angriffsfläche |
| Kann einen anderen Betriebssystem-Kernel ausführen | Ja | Nein |
Keines von beiden ist grundsätzlich besser. Ein Container startet schneller und kostet weniger, weil er das Betriebssystem weglässt; eine virtuelle Maschine isoliert gründlicher, aus genau demselben Grund. Welchen Kompromiss man will, hängt davon ab, ob die Dinge, die sich den Host teilen, einander vertrauen.
Was diese Plattform ist
Die Labs, die Sie bisher ausgeführt haben, sind Container. Jeder Knoten ist ein Prozess mit eigenem Netzwerk-Namespace, verbunden mit den anderen über virtuelle Interface-Paare. Deshalb startet ein Lab in Sekunden - und deshalb gibt es keine physische Schicht, die ausfallen könnte, kein Duplex, das nicht passt, und kein WLAN zu konfigurieren, weil nichts davon emuliert wird.
VRFs
Ein VLAN teilt einen Switch in mehrere Broadcast-Domänen. Ein VRF - eine Virtual Routing and Forwarding-Instanz - macht das Äquivalent eine Schicht höher: Es teilt einen Router in mehrere unabhängige Routing-Tabellen.
Jedes VRF hat seine eigene Tabelle, seine eigenen Interfaces und seine eigenen Routen. Datenverkehr bewegt sich nicht zwischen ihnen, sofern nicht ausdrücklich konfiguriert wird, Routen durchsickern zu lassen, sodass zwei VRFs überlappende Adressbereiche auf einem Gerät ohne Konflikt tragen können.
| Mechanismus | Teilt | Schicht | Können zwei davon sich einen Adressbereich teilen |
|---|---|---|---|
| VLAN | Einen Switch in mehrere Broadcast-Domänen | 2 | Nein - es sind separate Domänen, keine separaten Tabellen |
| VRF | Einen Router in mehrere Routing-Tabellen | 3 | Ja |
| Virtuelle Maschine | Einen physischen Server in mehrere vollständige Maschinen | Unterhalb von allem | Ja |
Was noch geteilt wird
Jede Form der Virtualisierung teilt sich etwas, und zu wissen, was das ist, ist hier die praktische Fähigkeit.
- Virtuelle Maschinen teilen sich den physischen Host - dessen Speicherbandbreite, dessen Netzwerkkarten und dessen Ausfälle.
- Container teilen sich zusätzlich den Kernel, sodass eine Kompromittierung auf Kernel-Ebene durch sie nicht eingedämmt wird.
- VRFs teilen sich den Router - dessen Prozessor, und jeden Fehler im Code, der die Tabellen getrennt hält.
- Alle teilen sich den physischen Link nach außen, wie getrennt sie in der Konfiguration auch aussehen.
Deshalb braucht "das ist getrennt" eine Folgefrage danach, woraus die Trennung besteht. Logische Isolation ist real und nützlich, und sie ist nicht dasselbe wie zwei Geräte ohne Kabel dazwischen.
Fachbegriffe
- Hypervisor
- Software, die Gast-Betriebssystemen virtuelle Hardware bereitstellt. Typ 1 läuft auf der Hardware, Typ 2 auf einem Host-Betriebssystem.
- Virtueller Switch
- Ein Software-Switch innerhalb eines Hosts, der Gast-Netzwerkinterfaces miteinander und mit dem physischen Netzwerk verbindet.
- Container
- Eine isolierte Anwendungsumgebung, die sich den Host-Kernel teilt, statt Hardware zu virtualisieren.
- VRF
- Virtual Routing and Forwarding - eine unabhängige Routing-Tabelle auf einem geteilten Router, die überlappende Adressbereiche erlaubt.
Wichtigste Erkenntnisse
- Eine virtuelle Maschine bringt ihren eigenen Kernel mit; ein Container teilt sich den des Hosts.
- Container starten schneller und isolieren weniger, aus demselben zugrunde liegenden Grund.
- Datenverkehr zwischen Gästen an einem virtuellen Switch erreicht möglicherweise nie das physische Netzwerk.
- Ein VRF teilt einen Router in unabhängige Routing-Tabellen, wie ein VLAN einen Switch in Broadcast-Domänen teilt.
- Zwei VRFs können überlappende Adressbereiche tragen; zwei VLANs an einem Switch nicht.
- Jede Form der Virtualisierung teilt sich etwas - fragen Sie was, bevor Sie sie isoliert nennen.
Bereit weiterzumachen?
Erstellen Sie ein kostenloses Konto, um Ihren Fortschritt zu speichern und den Wissenscheck zu absolvieren.