虚拟化部署的安全思考虚拟化部署的安全思考
本文将围绕部署Microsoft ISA Server和硬件虚拟化的Microsoft forefront TMG提供具体的指导方案，同时，强烈
推荐你们认真阅读“相关参考资料”中提供的资料。
对
本文将围绕部署
支持虚拟环境
Microsoft ISA Server 和Forefront TMG只能在下列程序下得到硬件虚拟化的支持：
·Microsoft Support Lifecycle
·Microsoft ISA Server 系统要求
·Forefront TMG系统要求
·Microsoft Server Virtualization Validation Program (SVVP)
·Microsoft软件在非Microsoft硬件虚拟化软件上运行的支持政策
例如，如果硬件虚拟化平台被列为“通过SVVP验证”(不是“评估中”)，Microsoft ISA Server 和Forefront TMG将支持在该平
台上进行生产用途，Microsoft Product Support Lifecycle、非Microsoft硬件虚拟化政策和相应产品版本的系统要求中有使用限
制。
对于没有列为“通过SVVP验证”的硬件虚拟化平台，Microsoft ISA Server和Forefront TMG只能根据其他Microsoft支持政
策得到支持，限制情况如下：
·Desktop virtualization，如Microsoft Virtual PC或者类似第三方产品：仅支持示范和教育用途
·Server Virtualization，如Microsoft Virtual Server 或者类似的第三方产品，支持生产用途，但不推荐
重要提示：
正如MSKB 897615中所指出的，微软支持工程师在继续检查问题前，可能会要求客户在真正硬件或者SVVP列表硬件虚
拟化平台上重现报道的问题，如果问题不能在硬件上或者相同级别的SVVP列表服务器虚拟化产品上重现，那么问题可能会被
转移给第三方厂商产品支持。
部署规划 部署规划
任何外围保护部署的主要部署标准都是安全、稳定和性能，确定这三者的优先顺序都需要深入分析企业的LOB(业务
线，line-of-business)应用需求，一般需求和网络安全需求以及所有法律规章等才能得出结论。虽然很难解决所有可能出现的
问题，不过本文将概述最常见部署的关键问题。
这是个不变的事实，由于在虚拟机之间的资源共享，在专用硬件上运行的服务器应用程序将会比在类似虚拟环境(相同数
量相同等级的CPU，相同的内存等)运行的相同应用程序效果更好。例如，流量处理负载可能会将基于硬件的ISA占到80%的
CPU，可能会为同样配置的虚拟ISA服务器产生一个拒绝服务(DoS)，或者由于子分区工作量总量和其他子分区造成的资源停
滞而使虚拟母分区工作量过度。
这对于那些负责虚拟化服务器应用程序的工程师而言，在很多情况下，为特定应用程序的资源分配可能需要扩展为虚拟机
资源账户共享，而具体需要进行怎样的扩展只能通过对规划好的虚拟部署进行测试才能确定。
同样的，还应该对数据中心管理过程进行重新检测和重新定义，以解决因人为、软件或者硬件原因导致的母分区内多个子
分区的损失问题。这种情况不仅会对重要的业务运作带来影响，还是一个潜在的安全问题，如果ISA Server 或者Forefront
TMG代表某一个目前不可使用的子分区。
定义流量剖析定义流量剖析
虽然为虚拟部署和硬件配置定义流量剖析并没有什么不同，不过定义流量剖析(traffic profile)是很重要的过程，因为一个
子分区的资源需求可能会对在虚拟主机上运行的其他分区的资源需求造成影响，特别是母分区。
只有完全明确了流量剖析对部署计划的影响，才能确定、评估并满足ISA Server 和Forefront的性能需求和安全需求。
MSKB 832017 已经为大部分基于windows系统的应用程序以及微软公司创建的应用程序(包括ISA Server本身)定义了流量剖
析，但是它并没有为非微软产品定义流量剖析。 在很多情况下可以做某些假设，邮件服务器使用的是公共邮件协议，如
SMTP、POP3、 IMAP 或者甚至 HTTP(s)(如果能够提供网络邮件服务)。如果你想要使用 ISA Server 或者Forefront TMG来
控制自定义应用程序流量，你可能需要向产品供应商寻求帮助。 在某些情况下，你可能需要对应用程序进行测试，使用网络
分析工具来分析流量。
流量剖析确定后，下一步就是确定每种应用程序或者服务的流量负载。这个步骤也很关键，它能够精确预测其对ISA
资源评论
