平衡负载提高安全性与性能

　　为了提高系统安全性与性能，平衡虚拟化主机之间的工作负载十分重要。虚拟化的目标是越来越多地挖掘主机的潜在性能。很多虚拟化用户的服务器利用率低于40%，而总体来说，达到80%的利用率才算合理，包括磁盘、网络、CPU及内存。有很多方法可以使系统利用率接近这一数字，其中之一就是让开发、测试及生产等任务的虚拟机运行在相同的虚拟主机群之中。

　　但是当你平衡工作负载时，特别有一点需要引起注意：你在主机总线适配器(HBA)或一个基于IP的网络上，到底可以有多大数量的数据混合。在两个或两个以上的安全区域中，数据混合可以在你使用VLAN、NPIV或使用相同的HBA访问数据时发生。

　　一些政府机构及企业不需要数据混合，因此这些组织不使用VLAN或NPIV。他们是在单一虚拟主机内部通过分离的物理网络接口卡(PNIC)、pSwitch及HBA为每个使用中的网络和数据存储平衡负载，有些甚至实现了100%分离虚拟主机。这并非是一个通用的方法，因为它增加了成本，但的确是一个可行的方法。

　　有时不用VLAN是有原因的。例如，如果一个pSwitch失效了，一个VLAN中的数据流可以出现在另外一个VLAN中，允许数据跨越安全区。每当pSwitch出现问题时，这种情况都会发生。

　　可以通过VLAN或私有pNIC的普及来解决不同安全区域产生的问题。例如上面提到的pSwitch问题，使一个ESX主机为来自不同安全区域的VM服务是可能的，虽然它将服务器总体利用率提高到80%，但是它需要额外的硬件投资，比如pSwitch、pNIC和HBA。

　　除了硬件，平衡虚拟机工作负载还需要管理员加倍警惕，防止数据从失效的pSwitch中泄露，并且防止管理员在一个不适当的安全区域内操作虚拟机。然而，不幸的是，在当前市场上，几乎没有什么工具可以控制这些问题，Catbird's V-Security和Reflex Systems' Virtual Security Appliance可以通过拒绝可疑的虚拟机访问来协助保护网络安全，这些工具是VMware特有的。为其他虚拟主机使用的工具还正在开发过程中。

　　最后需要提醒的是，要确保在同一虚拟化主机集合中，通过组合共有安全区域以平衡负载。同时，除非你已经确定可以提高管理员的警惕性，否则不要混合安全区域。