Nous profitons du recent article de The Information qui décrit la volonté d’Apple de construire ses propres serveurs en raison d’une crise de paranoïa, pour partager avec vous une video découverte récemment traitant de Virtual Machine Introspection, une fonctionnalité de l’API Memory Inspection de l’Hyperviseur Xen (utilisé par Amazon pour AWS par exemple…).

Cette vidéo est présentée par Tamas K Lengyel, chercheur en sécurité et développeur actif sur les projets Xen Project Hypervisor, LibVMI et DRAKVUF (Dynamic Malware Analysis system). La description faites sur la home du site de ce dernier est particulièrement flipante :

DRAKVUF is an agentless dynamic malware analysis system built on Xen, LibVMI, Volatility and Rekall. It allows for in-depth execution tracing of malware samples and extracting deleted files from memory, all without having to install any special software within the virtual machine used for analysis.

Un peu avant la 3eme minute de la présentation, vous aller voir Tamas lancer la calculatrice de Windows 7 dans une VM, depuis l’hyperviseur, en “hijackant” la mémoire du GuestOS à l’aide de l’API VMI de Xen. Si si.

Ce projet est loin d’être recent puisqu’il date de 2011 et a bien été amélioré depuis :

In Xen 4.6 a number of significant improvements to Xen’s Virtual Machine Introspection (VMI) subsystems make it the best hypervisor for security applications. Hardware support for VM Functions (VMFunc) available on Intel’s 4th generation Haswell CPUs and Atom Silvermont CPUs decreases overheads. Support for Virtualization Exceptions is now available on Intel’s 5th generation Broadwell CPUs and Atom Goldmont CPUs has significantly reduced latency. VMI support for ARM CPUs has also been added.

On vous laisse méditer sur les fonctions clefs du projets pendant que votre DSI se félicite d’avoir migré tout son système d’information sur Azure…

• Agentless start of malware execution.
• Agentless monitoring of Windows internal kernel functions.
• Guest multi-vCPU support.
• Tracing heap allocations.
• Tracing files being accessed.
• Extracting files from memory before they are deleted.
• Cloning of analysis VMs via copy-on-write memory and disk.

• Average virtual machine to physical host  consolidation ratio : 5,1
• Primary Hypervisor usage for Desktop virtualization : 54,2%
• Reasons given for changing primary hypervisor  for Server virtualization - Features offered by alternative hypervisors : 47,4%
• Main concerns preventing increased virtualization – Backup and restoration: 33%

On note l’absence totale de l’aspect “sécurité” pour les “Main concerns preventing increased virtualization” et le taux de consolidation moyen dramatiquement bas.

A Windows VM may fail to boot properly if streaming over Citrix Provisioning Services (PVS). This is an intermittent fault, and rebooting the VM should resolve the issue.

[...]

Intel Errata for Nehalem, Sandy Bridge, and Westmere CPU implementations of C-states may lead to system instability, apparently random freezes or reboots — including during installation. Users with Nehalem, Sandy Bridge and Westmere CPUs are advised to disable C-states in the system BIOS as detailed in the Knowledge Base article CTX127395

De plus nous crevons de jalousie à l’idée de ne pas pouvoir faire tourner Windows 8 sur ESX 5 alors que XenServer 6 le supporte nativement. Pour nous venger, et grâce au vHV d’ESX 5.0, nous avons virtualisé un XenServer 6.0 qui lui-même virtualise un Windows 8 (dont le futur hyperviseur va supporter le “live storage migration”, cette technologie futuriste qui permet de déplacer une vm d’un stockage vers une clef usb sans interruption de service !).

Que cela ne vous empêche pas de faire un petit tour de piste avec…

MAJ 29/07/2011 : Veeam nous a confirmé que le ratio est bien vm/hyperviseur et qu’ils sont aussi surpris que nous le sommes de ce chiffre d’autant plus que radio moquette est au taquet avec les rumeurs autour des modifications de licencing VMware…

MAJ 19/07/2011 : Ayant mal interprété les informations, nous avons contacté Veeam pour plus de précisions.

En plein délire autour du nouveau mode licensing de VMware, Veeam vient de lancer V-index, un genre de baromètre de la virtualization qui sera mis à jour tous les trimestres.

En plein milieu de la home page, le taux de consolidation moyen de 544 grands comptes : 6:1 vm/host, c’est à dire à peine plus que ce que VMware avance mais que personne ne semble croire au moins la moitié de ce que VMware annonce (on suppose que la moyenne est supérieure à 2 sockets par host) :

The average number of VMs per physical processor is 5.7. I know this may be counter-intuitive to some customers who are pushing the envelope, but the detailed distribution of consolidation ratios is on the graph below.

Encore plus fort, le taux de consolidation “percu” (si, si !) serait supérieur au taux de consolidation réel, 9,8 contre 6,3 (déja on gagne 0,3 en passant de la home au détail) :

Perceived consolidation ratio based on respondents’ own assessment. Actual ratio based on calculation of number of virtual machines divided by number of physical hosts for each individual respondent. Hence perceived consolidation differs from actual.

On y apprend aussi que XenServer serait mieux implanté de 2% qu’Hyper-V, fraîchement entré dans le carré VIP des Leaders selon la boule de cristal de Gartner…

C’est quand meme sympa de la part de Veeam vous ne trouvez pas ?

Et pour ceux qui ne serait pas fort  en calcul mental, un petit quote des commentaires enflammés de futur ex-client VMware :

Also, vSphere 5 supports 1 TB of RAM in a VM, but why would I virtualize that server if I have to pay VMware 22x Ent Plus licenses at $3,500 ($77,000) to run that much RAM in a VM? Why wouldn’t I just save the $77K and keep it a physical server…?

Ça aurait été mieux un pigeon comme logo plutôt qu’un mouton non ?

L’une d’entre elles, Heterogeneous Pools, permet de composer un cluster (Pool chez Citrix) avec des serveurs dont les cpu sont de différentes générations  en s’appuyant sur Intel Flex Migration et AMD Extended Migration (tout comme VMware EVC depuis Q3 2008…). On comprend très bien l’intérêt de pouvoir mixer des Xeon Core 2 avec des Xeon Core i7 mais lorsque qu’on tente de mixer 2 serveurs identiques avec une simple difference de stepping (codification des révisions chez Intel, induisant des corrections de bug et/ou évolution de process de fabrication), on a droit à un joli message d’erreur :

Là on se dit, Citrix a voulu assurer grave sur les pools hétérogènes pour éviter les problèmes de XenMotion. Oui mais non. Car si sur ces mêmes serveurs, vous installez XenServer 5.5, toujours avec des licences gratuites, que vous créez un pool avec et que vous upgradez ce pool en 5.6, ca marche :

Je vous laisse en tirer la conclusion qui adhérera le mieux à votre niveau de paranoïa…

Mieux, si vous voulez ajouter la ram à votre snapshot c’est aussi soumis à licence :

Rajoutez à cela :

• Pas d’update automatique des xentools 5.5 >5.6
• Pas d’update via XenCenter de XenServer 5.5 > 5.6
• Pas de snapshot quiesced et/ou w/memory sans les xentools 5.6
• Pas de thin provisioning natif
• Pas de XenMotion sans PV drivers

Mais on a quand meme droit au revert snapshot et au linked clone (surprise !) sur la version gratuite :

Lors des Synergy 2010, Citrix a annoncé (lors d’un show plein de démos ratées…) la disponibilité de la RC de XenClient, l’hyperviseur client de Citrix. C’est donc VMware qui perd sur son propre terrain et s’en est suivi, comme de coutume, une tirade de justifications douteuses sur l’intérêt réel d’un hyperviseur client, finalement trop limitatif selon VMware. Et pour être limité, XenClient est très limité : 9 modèles de laptop supportés et seulement 3 OS (XP, Vista et Win7). On regrette donc vraiment l’absence de support d’une version de linux, la faute au xenclient-tools indispensables au bon fonctionnement de la VM et de l’accès aux périphériques (usb, eth, wifi, etc…) grâce aux PV drivers.

Avec la collaboration de notre cher confrère CTXBLOG, nous avons pu nous procurer un HP Elite Book 2530p pour un petit test rapide. Nous n’avons pas eu le temps de tester l’appliance Citrix Synchronizer qui permet de mettre à dispo des VM aux XenClient qui s’y connectent et gérer les policy de sécurité. L’installation de l’hyperviseur est aussi simple que la GUI qui permet de créer/contrôler les VM et configurer les quelques paramètres de l’environnement (password, wifi, lan, power, etc…). Vous retrouverez la liste des features et limitations dans le pdf d’administration.

Le VT-d offre la possibilité de donner à une VM l’accès direct au GPU pour l’accélération 3D et la prise en charge de certains codec, la partie réseau offre le choix sharing/bridge des connections réseaux et le top du top c’est bien évidement la possibilité de publier une application d’une VM à l’autre grâce aux composants ICA, Receiver et Dazzle. Cette application publiée bénéficie d’une sécurité renforcé (on peut voir sur cette vidéo que même un keylogger n’en vient pas à bout).

Sur les photos ci-dessus, vous pouvez voir à un IE8 local sur une VM Win7 côte à côte avec un IE6 publié depuis une VM Win XP (on la distingue par un fin contour vert).

N’étant qu’une RC, cette version de XenClient souffre encore de nombreux bugs mais l’ensemble reste tout même très abouti et Citrix n’est qu’à seulement quelques réglages de la version finale. Par contre, il nous parait clair que si le support matériel et surtout d’OS n’évolue pas, le succès du produit sera sérieusement compromis.

On attend la riposte de VMware avec impatience…

In this scenario, VMware vSphere favors fairness over throughput and sometimes pauses one vCPU to dedicate a whole core to another vCPU, eliminating gains provided by Hyper-Threading

Après avoir fourni un patch ainsi que 2 paramètres d’optimisation, l’équipe de Project VRC à publié cette fameuse mise à jour qui “restaure l’équilibre” :

The vSphere 4.0 Update 1 P05 patch clearly has positive impact on TS 2008×64 workload with 4vCPU’s. The performance differences are now very small [...] In practice, performance will be equal for all hypervisors when 4vCPU’s are used with Hyper-threading.

Dans le même temps, Citrix publie un bench VDI maison (avec un schéma où l’on peut voir Hyper-V en NFS et du VHD avec ESX…) où Hyper-V fait le meilleur score pour Win7 (admirez l’échelle) mais le moins bon pour WinXP et pourtant Citrix conclu :

First, it is clear that the industry’s two leading hypervisors for these benchmarks for both TS and VDI, are Hyper-V R2 and XenServer 5.5.

Et concernant Virtual Reality Check – Phase II version 2.0, une petite touche d’humour :

The results clearly stung the VMware folk who rushed out a patch that they claim fixes their TS performance issues, but they have yet to disclose whether this affects their VDI performance, and we have yet to test it.

On peut constater clairement que la suite d’événements autour de ce fameux patch #5 légitiment les résultats des benchmark de Project VRC. Quant à VMware, tout laisse à penser que l’éditeur tient autant à son image qu’aux résultats de son hyperviseur. Et concernant le patch en lui même (dispo public depuis le 01/04/2010) nous partageons l’avis de Scott :

Of course production environments rarely (never?) have a one-to-one ratio of vCPUs to logical processors.

Bien que les auteurs rappellent que ces résultats ne peuvent être sortis du contexte TS/ICA, ils n’en restent pas moins surprenants :

En 32bit, vSphere domine.

En 64bit, le baremetal domine et vSphere se fait devancer de ~20% !

Le Gain nextgen hyperviseur/hardware est spectaculaire

Une lecture incontournable…

VMware, soucieux de conserver son avance en la matière, ajoutera un nouveau mécanisme de memory overcommit dans sa future version : la “memory compression”. Il s’agirait d’une compression dynamique de pages, ultime étape avant le swapping.

HyperviZor.com a d’ailleurs dédié un superbe diagrame à ce sujet :

Pour les vPowerusers que nous sommes, cela peut paraitre hallucinant mais sous XenServer 5.5, pour faire un revert de snapshot, il faut (dixit l’admin guide) :

• Run the vm-list command to find the UUID of the VM to be destroyed
• Shutdown the VM
• Destroy the VM
• Create a new VM from the snapshot
• Start the VM

Heureusement pour eux, le script dont il est question évite ce pèlerinage.

The Project Open Door promotion will be effective worldwide from October 1 – March 31, 2010. Customers who decommission five or more VMware vSphere 4 or VI3 servers and replace them with XenServer or Hyper-V plus the Citrix Essentials solution, receive the following:

• A free five incident support pack (5 by 8 hours) for every five servers converted
• A voucher for six hours of online training for every five servers converted
• Free migration tools for seamlessly transferring virtual machines from VMware to XenServer or Hyper-V

Et un malabar !

Login Consultants (les auteurs du benchmark) viennent de révéler que les résultats sur XenServer étaient faussés par un “time drift” trop important dans les VM :

On XenServer the AutoIT “timediff” function reported about 10% average quicker per timed event. Example: 100ms reported by AutoIT is in reality 110ms, and 500ms reported is in reality 550ms. When XenServer becomes satured, these differences increase considerably. Extreme drifts were visible beyond VSImax when the system is heavily saturated.

Nous vous recommandons fortement de consulter le pdf pour comprendre l’ensemble des modifications et corrections apportées à la méthodologie du benchmark pour le rendre valable.

La nouvelle version du benchmark (XenServer 5.5 vs Hyper-V R2 vs ESX 4.0) n’est pas encore disponible mais nous avons droit à un avant gout du résultat. En faveur de VMware cette fois :

VMware jubile, la suite dans le prochain épisode de la saga…

• 91% ont recourt à de la virtualisation
  • 60% utilisent ESX (exclusivement ou pas)
  • 31% utilisent ESXi (exclusivement ou pas)
  • 25% utilisent Microsoft Hypervisor (exclusivement ou pas)
  • 18% utilisent XenServer (exclusivement ou pas)
• 23% de ceux qui utilisent ESX(i) utilisent aussi Microsoft Hypervisor
• 26% ont virtualisé au moins 50% de leurs serveurs
• 33% utilisent au moins 3 types d’hyperviseurs
• 32% n’utilisent que des solutions VMware
• 25% n’utilisent aucune solution VMware
• 5% réduisent leurs solutions VMware
• 55% augmentent leurs solutions VMware
• 27% n’utilisent pas les solutions VMware pour leurs serveurs critiques
• 43% voient la sécurité comme un obstacle à la virtualisation
• 4% ne virtualisent pas pour des raisons de sécurité
• 48% voient le coût comme un obstacle à la virtualisation
• Microsoft Hypervisor ???

]]> http://www.hypervisor.fr/?feed=rss2&p=1110 4 http://www.hypervisor.fr/?p=867 http://www.hypervisor.fr/?p=867#comments Tue, 23 Jun 2009 00:14:18 +0000 NiTRo http://www.hypervisor.fr/?p=867 les Virtualization Industry Roadmaps disponibles chez Virtualization.info donnent un bon aperçu du paysage de la virtualisation “moderne” (2005-2009) :

Nous avons voulu aller plus loin pour notre hyperviseur préféré et c’est gràce à la DeLorean du net (web.archive.org) que nous avons pu obtenir ces informations ainsi qu’une vraie pépite : le pdf manual d’ESX 1.0 !

janv-98	depot de vmware.com
mai-99	VMware 1.0 for Linux
sept-99	VMware 1.0 for Windows
mars-00	VMware 2.0 for Linux/Windows
dec-00	VMware Express / VMware Workstation
janv-01	VMware GSX Server 1.0 (for Linux)
mars-01	VMware ESX Server / VMFS
juil-01	VMware GSX Server 1.0 (for Windows)
nov-01	VMware Workstation 3.0
mai-02	VMware ESX Server 1.5
juil-02	VMware GSX Server 2.0
janv-03	VMware GSX Server 2.5
avr-03	VMware Workstation 4.0
juil-03	VMware ESX Server 2.0 / vSMP, VMFS-2 & NUMA / Connectix Virtual PC 5.2
oct-03	VMware P2V Assistant 1.0.1 / Virtual PC 2004 / first stable Xen release
nov-03	VMware VirtualCenter 1.0 (aka Control Center) / Vmotion
janv-04	EMC Completes Acquisition of VMware
mars-04	VMware GSX Server 3.0
avr-04	VMware Workstation 4.5 / VMware Announces Support for 64-Bit
juin-04	VMware P2V Assistant 2.0
sept-04	VMware Community (VMUG, forum, kb) / Virtual Server 2005
oct-04	VMware User Conference (aka VMworld) / Virtual PC 2004 SP1

]]> http://www.hypervisor.fr/?feed=rss2&p=867 2 http://www.hypervisor.fr/?p=860 http://www.hypervisor.fr/?p=860#comments Thu, 18 Jun 2009 10:46:09 +0000 NiTRo http://www.hypervisor.fr/?p=860 Citrix nous annonce aujourd’hui la dispo officielle de XenServer 5.5 (codename project George).

Cette nouvelle version apporte des nouveautés exceptionnelles comme l’intégration AD et aussi la possibilité de faire des snapshots via XenCenter. Renversant.

Apparemment, ils ont tellement bossé dur qu’ils ont zappé la sortie d’ESX 4 :

4VM – 2CPU – 4GB – 2003X86 – NO SP1- VMMU FORCED

Project VRC est un benchmark très pointu et très complet des 3 Hyperviseur les plus connus (XEN, ESX et Hyper-V) en environnement Citrix XenApp (Metaframe pour les vétérans) et Terminal Server. Les résultats des ces tests ne permettent pas de comparer globalement les 3 Hyperviseur mais offrent des informations très intéressantes pour le domaine RDP/ICA :

Les documents sont téléchargeables après register uniquement, mais ils en valent largement la peine. Nous vous recommandons vivement de prendre connaissance de la méthodologie en début de document afin de pouvoir interpréter au mieux les résultats. On y apprend, par exemple, que les profils des utilisateurs sont pré-chargés avant les tests ou que la majorité des produits utilisé est issue de la suite MS Office 2007 (avec et sans SP1).

Les résultats des tests sont exprimés sous forme d’un graphique illustrant les temps de réponse applicatif en fonction du nombre d’utilisateur et sont accompagnés d’une note globale.

Pour ceux qui auraient la flemme d’avaler les 300 pages de bench, voici quelques échantillons :

Le même test que celui affiché plus haut (ESX 3.5), sans vMMU :

4VM – 2CPU – 4GB – 2003X86 – NO SP1

Avec le Page Sharing (sans vMMU) :

4VM – 2CPU – 4GB – 2003X86 – NO SP1 – PAGE SHARE ON

On remarque dans un premier temps que le Page Sharing ne provoque presque pas d’overhead mais surtout que le vMMU offre un gain de performance non négligeable.

Passons à XEN Server 5.0 :

4VM – 2VCPU – 4GB – 2003X86 – NO SP1 – XA OPT ON

Même chose sans la fonction “Optimize for XenApp” :

4VM – 2VCPU – 4GB – 2003X86 – NO SP1 – XA OPT OFF

L’option “Optimize for XenApp” offre un gain de performance mais même désactivé les résultats sont supérieurs à ceux obtenu sous ESX.

Même test sous Hyper-V 1.0 :

4VM – 2VCPU – 4GB – 2003X86 – NO SP1

Ce graphique ne laisse aucun répit à Hyper-V : les temps de réponse moyen et maxi se dégradent très tôt.

Voici le résultat du test comparable sur une machine physique :

8CPU – 16GB-16GB – 2008X86 – NOSP1

Globalement, on observe un net intérêt à virtualiser de tels environnements (ICA/TS) car il possible non seulement d’héberger plus de sessions mais dans des conditions d’administration bien plus confortables. XenServer semble bien mieux se comporter dans ce domaine bien que “sur le terrain” le Page Sharing donne un net avantage à ESX, pour le VDI par exemple. Hyper-V (1.0) est quant à lui trop en retrait pour être digne d’intérêt face à un XenServer au même niveau de gratuité.

Au moment de la publication de ces résultats, VMware n’a pas apprécié que XenServer soit mieux classé qu’ESX et a immédiatement publié sa vision (très différente) des choses :

Comme d’hab, Citrix critique la mauvaise foie…

Espérons que les résultats du Project VRC sous ESX 4, XenServer 5.5 et Hyper-V 2.0 ne tarderont pas à arriver !

La démo de XenClient sur PC est faite à la 30ème minute de cette vidéo, et même si nous avions déjà vu tourner le produit fin janvier cela reste très impressionnant (surtout pour la partie gestion graphique). La démo sur MAC est tournée à la 42ème minute comme une surprise et pour cause…

VMware ayant annoncé son “hypersivor client” au VMworld 2009 (également en partenariat avec Intel), il ne manque plus que Microsoft pour boucler la trilogie !

Il faut installer un composant d’OpenVPN (TAP-Win32 Virtual Ethernet Adapter), configurer un bridge ou sharing réseau et créer le vDisk à la main. Le VMM “Type-2″ est très light, seulement 15Mo mais impossible d’installer XP, 2003 ou Ubuntu dans une VM. Plantages, erreurs, quand le VMM voulait bien démarrer…

Please note that there are known issues with this preview which can result in a host lockup or crash!

Tout s’explique…

… Qui sera certainement plus ergonomique que le vCenter Mobile Access, Citrix nous offre une alternative avec son client XenApp pour iphone (dont vous avez entendu parlé sur le blog de notre expert Citrix) :

Après avoir publié le VMware Infrastructure Client sur une ferme XenApp 4.5+ (Presentation Server pour les irréductibles) et configuré un site PNAgent, on obtient un iVMware client :

Bon ok, c’est pas encore ça…