虛擬機(jī)實(shí)時(shí)遷移并不是個(gè)新技術(shù)，但是vMotio加密添加了一個(gè)獨(dú)特的安全層，因?yàn)橛脩舨粫?huì)對(duì)網(wǎng)絡(luò)加密。

VMware vMotion允許托管系統(tǒng)之間對(duì)操作虛擬機(jī)的實(shí)時(shí)遷移。這一技術(shù)已經(jīng)出現(xiàn)一段時(shí)間，而且得到了很好的驗(yàn)證。但是由于網(wǎng)絡(luò)遷移的數(shù)據(jù)未加密帶來(lái)了風(fēng)險(xiǎn)，促使VMware在vSphere 6.5中添加了加密的vMotion。

[[193987]]

加密可以確保遷移中涉及的任何數(shù)據(jù)完整地到達(dá)目標(biāo)主機(jī)——無(wú)法讀取或更改加密的內(nèi)容。

雖然加密的vMotion易于啟用，但管理員了解相關(guān)規(guī)則也很重要。存儲(chǔ)vMotion支持加密，但只有在磁盤(pán)卷已經(jīng)加密時(shí)。 如果磁盤(pán)卷未加密(靜止)，Storage vMotion則不可用(正在運(yùn)行)。

加密vMotion也是為虛擬機(jī)服務(wù)的。已經(jīng)通過(guò)虛擬機(jī)加密的加密虛擬機(jī)，將一直使用vSphere加密的vMotion。

然而，如果虛擬機(jī)還沒(méi)加密，管理員可以選擇放棄加密;如果目標(biāo)主機(jī)與ESXi 6.5兼容可以使用加密，或如果目標(biāo)主機(jī)不支持它，可以強(qiáng)制在遷移中加密。在使用不同版本vSphere/ESXi的環(huán)境中，這一行為可能會(huì)更復(fù)雜。為了更好使用 vMotion加密，所有目標(biāo)系統(tǒng)都需要是Sphere/ESXi 6.5或以上版本。

加密vMotion的一個(gè)有趣的屬性是加密/解密過(guò)程發(fā)生在每個(gè)VM級(jí)別。這意味著虛擬機(jī)被加密而不是網(wǎng)絡(luò)。這樣可以消除任何可能使典型加密技術(shù)復(fù)雜化的加密敏感網(wǎng)絡(luò)配置更改或證書(shū)管理問(wèn)題。

VCenter產(chǎn)生了隨機(jī)的256位密鑰，和隨機(jī)了64位一次性代碼。VCenter發(fā)送該密鑰和代碼到源和目標(biāo)主機(jī)——guest操作系統(tǒng)沒(méi)有權(quán)限訪問(wèn)加密密鑰。

源使用密鑰和代碼加密虛擬機(jī)，目標(biāo)主機(jī)使用相同的密鑰和代碼來(lái)加密虛擬機(jī)。用戶不能進(jìn)行退回操作，或攻擊虛擬機(jī)的遷移數(shù)據(jù)流，因?yàn)橐淮涡源a的使用。

計(jì)劃vMotion加密時(shí)，除了使用vSphere 6.5或以上版本外，還有幾個(gè)問(wèn)題需要考慮。首先，你需要vSphere之外的一個(gè)加密密鑰管理系統(tǒng)。這可能會(huì)對(duì)備份流程產(chǎn)生影響，因?yàn)樗恢С諩thernet備份流。這意味著跨SAN備份將不可用。另外，像掛起/重啟這樣的操作，帶快照的虛擬機(jī)加密、 vSphere備份，和內(nèi)容庫(kù)功能現(xiàn)在都不能用了。