Экспертная статья: защищенная среда виртуализации zVirt 5.0

Вигель Антонов

Построение современного ИТ-ландшафта невозможно представить без виртуализации аппаратной инфраструктуры, которая началась с базовой виртуализации, консолидации и совместного использования вычислительных ресурсов и создания современных гиперконвергентных и программно-определяемых технологических платформ для информационных инфраструктур.

Сегодня ведущими российскими разработчиками предлагаются платформы виртуализации, а также экосистемы программных продуктов, которые соответствуют потребностям корпоративного сегмента, и отвечают требованиям регуляторов Российской Федерации. Защищенная среда виртуализации zVirt, разработка которой осуществляется компанией Orion soft с 2018 года, отличается наиболее полной функциональностью, ориентацией на реальные задачи и практические потребности у широкого круга заказчиков.

zVirt является полноценной альтернативой для импортозамещения платформ виртуализации корпоративного уровня ведущих западных разработчиков, поддерживает весь необходимый функционал в сочетании с обеспечением информационной безопасности на уровне среды виртуализации. Предпосылками успешных результатов по созданию собственной платформы виртуализации послужили ориентация на ведущие референсные решения, а также взвешенное использование экспертизы, ресурсов и наработок открытых сообществ.

Оптимальная стратегия, использованная компанией Orion soft при создании продукта корпоративного уровня zVirt, опиралась на следующие оправдавшие себя принципы:

1. приближение к эталонному уровню мирового корпоративного стандарта «де факто», представленного референсным решением для сред виртуализации VMware vSphere (Broadcom);
2. обеспечение отвязки от кодовой базы, поддерживаемой открытыми сообществами, технологий и программных продуктов с открытой (свободной) лицензией с поэтапным переходом на собственный цикл разработки, независимость от внешних репозиториев, локализацией поставки и технической поддержки;
3. приоритет информационной безопасности, использование архитектуры, ориентированной на безопасность, контролируемость кода, организация процесса разработки в соответствии с практиками DevSecOps и сертификация продукта.

Защищенная среда виртуализации zVirt включена в Единый реестр российских программ для электронных вычислительных машин и баз данных — реестровая запись № 4984 от 03.12.2018.

Программное обеспечение zVirt создавалось с учетом наработок проекта oVirt, одного из наиболее зрелого и функционального решения корпоративного уровня, сообщество которого опиралось на поддержку и ресурсы компании Red Hat. В ходе разработки компоненты проекта oVirt дополнялись новой функциональностью и расширенными возможностями, что позволило сохранить стабильность системы и подтвердить надежность используемых технических решений.

При этом также учитывалась экспертиза других аналогичных проектов с открытым кодом.

Среда виртуализации zVirt использует подтвердившие свою эффективность технологии:

• Kernel-based Virtual Machine (KVM), модуль гипервизора уровня ядра, обеспечивающий полную виртуализацию с помощью расширений аппаратных средств Intel VT или AMD-V;
• QEMU, эмулятор аппаратных архитектур, устройств и компонент платформ различных типов для обеспечения функционирования операционных систем;
• Libvirt, комплект инструментов для управления платформой виртуализации, ресурсами гипервизоров и жизненным циклом виртуальных серверов, предоставляющий единый интерфейс управления;
• Virtual Desktop Server Manager (VDSM), управляющий агент оркестратора инфраструктуры виртуальных серверов.

Особенность программного обеспечения zVirt, как защищенной среды виртуализации, заключается в замене стандартного ядра операционной системы Linux и использовании для гипервизора KVM актуального доверенного ядра ИСП РАН. Это защищенное ядро ОС Linux с долгосрочной поддержкой, внесением специализированных патчей безопасности, прошедшее верификацию и тестирование.

Защищенная среда виртуализации zVirt характеризуется следующим рядом особенностей и возможностей:

• наличие и использование гипервизора первого типа;
• обеспечение высокой доступности за счет перезапуска виртуальных машин на другом хосте гипервизора в кластере постоянной доступности;
• автоматическая балансировка нагрузки хостов гипервизоров, позволяющая использовать вычислительные ресурсы в соответствии с требованиями прикладных приложений и сервисов;
• кластер доменов хранения и балансировка загруженности доменов хранения Storage DRS;
• политики Quality of Service (QoS), ограничение и профилирование вычислительных ресурсов процессора, контроль ввода/вывода и пропускной способности хранилища, а также ограничение трафика сетевых интерфейсов виртуальных серверов;
• оптимизация использования оперативной памяти хоста гипервизора виртуальными серверами;
• миграция виртуальных машин с минимальным простоем, которая позволяет перемещать виртуальные машины между хостами гипервизора, дата-центрами, кластерами и хранилищами;
• репликация виртуальных машин между технологическими площадками (центрами обработки данных) и автоматизация аварийного восстановления Disaster Recovery;
• поддержка протоколов iSCSI и Fiber Channel для подключения систем хранения данных к платформе виртуализации, возможность использования дисковых устройств NVMe-oF TCP/RDMA(RoCE);
• поддержка использования графических процессоров GPU для виртуальных серверов и виртуализация vGPU;
• программно-определяемая сеть Software-Defined Networking (SDN) с функцией распределенного межсетевого экрана (микросегментация) и зеркалирования трафика;
• инструменты автоматизации миграции и конвертации виртуальных серверов (для большинства платформ виртуализации);
• гиперконвергентная инфраструктура и поддержка интеграции с Software-Defined Storage (SDS);
• наличие нативного провайдера инфраструктуры, соответствующего стандарту Terraform;
• поддержка автоматизации и встроенные механизмы zVirt Ansible;
• резервное копирование и восстановление менеджера управления, резервное копирование и восстановление виртуальных серверов, мгновенные снимки виртуальных серверов, поддержка внешних систем резервного копирования;
• централизованное управление и графический интерфейс администрирования;
• поддержка папок виртуальных машин с древовидным представлением структуры и пятнадцатью уровнями вложенности, операции с папками и виртуальными машинами в графическом интерфейсе;
• открытый интерфейс интеграции REST API;
• бесшовная интеграция со смежными продуктами экосистемы Orion soft;
• профили и политики информационной безопасности, шифрование связи и паролей, харденинг платформы для усиления ее защищенности;
• мультифакторная аутентификация и поддержка системы единого входа Keycloack;
• совместимость и поддержка операционных систем Astra Linux, ALT Linux и РЕД ОС.

Программное обеспечение защищенной среды виртуализации zVirt имеет также сертифицированную ФСТЭК редакцию.

Рис. 1. Защищенная среда виртуализации zVirt. Портал администрирования

Важным этапом развития zVirt является выход анонсированного 22 апреля 2026 года релиза zVirt 5.0. Новая версия вышла за предыдущим межрелизным обновлением zVirt 4.5 с расширенными и дополненными функциональными возможностями, внеся в продукт принципиальные архитектурные изменения. Изменения в среде виртуализации коснулись уровня гипервизора и связаны с переходом на гипервизор нового поколения.

Среда виртуализации zVirt в качестве гипервизора, обеспечивающего функционирование физического сервера как хоста виртуализации, использует специально подготовленную среду исполнения (минимальную операционную систему), включающую в себя ядро, ограниченный необходимый набор программных пакетов и интерфейс Cockpit (базовое развертывание, подготовка и управление на уровне хоста гипервизора) — zVirt Node 2.0.

В виртуализации zVirt 5.0 осуществлен переход на новую среду исполнения гипервизора первого типа, ставшую базовой для дальнейшего развития продукта, zVirt Node 2.0. Переход на новую среду исполнения zVirt Node 2.0, которая находится под контролем и сопровождением компании Orion soft, позволяет снять ряд ограничений, связанных с зависимостью от сторонних поставщиков операционной системы. При этом ограничиваются и исключаются:

• зависимость от технологического стека поставщика ОС;
• увеличенные сроки выхода обновлений;
• проверки совместимости компонентов после изменения ОС;
• сложности сертификации ФСЭК и ограничения внедрения процесса безопасной разработки.

Среда исполнения гипервизора виртуализации zVirt Node 2.0 характеризуется самостоятельной сборкой и комплектацией ядра необходимой пакетной базой. Пакетная база включает в себя необходимый набор компонентов, прошедший проверку, с минимизацией и ограничением состава (информационная безопасность и харденинг), а также рациональным выбором версий всех компонентов, единых для всех редакций продукта zVirt.

Переход на среду исполнения гипервизора виртуализации zVirt Node 2.0 создает основу для ускоренного ввода нового функционала и позволяет своевременно выявлять и устранять уязвимости. Это стало возможным благодаря автономной сборке среды исполнения и полного контроля за ее специализированной операционной системой с минимизированным программным кодом.

Среда исполнения гипервизора виртуализации zVirt Node 2.0 отличается:

• переходом на QEMU 9.1.0;
• обновлением на Libvirt 11.0;
• поддержкой OpenSSL 3.5;
• заменой файловой системы на ext4;
• использованием оптимизации образа и загрузки операционной системы initramfs.

В целом это дает улучшение производительности и обеспечивает поддержку процессоров новых поколений с учетом их архитектуры. Появляется возможность шифрования памяти гостевой операционной системы с помощью ключей шифрования на процессоре (Secure Encrypted Virtualization). Также обеспечивается переход на новые современные алгоритмы шифрования с гибким управлением криптографией.

Новая файловая система и отказ от применения Logical Volume Manage (LVM) устраняет ряд проблем, связанных с наращениями работоспособности, более стабильна и проще в использовании. Снижен размер базового образа среды исполнения гипервизора виртуализации zVirt Node 2.0 и ускорена его загрузка.

Среда исполнения zVirt Node 2.0 предусматривает плановый переход и внедрение ее в различные редакции продукта с предварительным тестированием, проверкой нового функционала перед его выводом в промышленную эксплуатацию.

В ближайшее время планируется передача в промышленную эксплуатацию и обеспечение доступности:

• функционала обновления компонентов без перезагрузки SysCare;
• функционала шифрования оперативной памяти виртуального сервера (например, для защиты паролей);
• функционала обновления ядра с минимальным простоем.

Дополнительно предполагается реализация и внедрение механизма А-Tune для среды исполнения гипервизора виртуализации zVirt Node 2.0. Он обеспечивает возможность автоматической оптимизации под профили нагрузки на основе использования алгоритмов искусственного интеллекта. Это дает возможность адаптировать базовые параметры среды исполнения zVirt Node 2.0 под реальные профили вычислительной, сетевой и дисковой нагрузки. Механизм обеспечивает эффективную утилизацию аппаратных ресурсов физических серверных платформ и повышает общую производительность платформы виртуализации.

Переход на новую среду исполнения zVirt Node 2.0 очень важен, так как гипервизор хоста виртуализации является ключевым компонентом платформы (среды) виртуализации в целом. Именно он определяет уровень ее характеристик в части надежности функционирования виртуальных серверов, эффективности их консолидации, пределов масштабирования, а также задает возможный уровень производительности и устойчивости к перегрузке. Перспективная среда исполнения zVirt Node 2.0 становится основой преимуществ и развития zVirt 5.0, обеспечивая для нее высокий уровень эффективности и полную корпоративную функциональность.

Дополненные возможности миграции виртуальных серверов в zVirt 5.0 включают в себя теперь поддержку миграции между центрами обработки данных без общего хранилища (диска), также как между хостами и кластерами. Все операции и сценарии миграции могут выполняться в графическом интерфейсе.

Рис. 2. Защищенная среда виртуализации zVirt. Интерфейс управления виртуальными машинами.

В среде виртуализации zVirt 5.0 появился функционал управления виртуальными серверами по расписанию с использованием графического интерфейса. Различные сценарии управления виртуальными серверами применимы для проведения массовых операций с группами виртуальных серверов. Их автоматизация упрощает предоставление виртуальных серверов по запросу, позволяет перераспределять нагрузку, дает возможность изменения конфигурации при вертикальном масштабировании или оптимизации ресурсов, а также позволяет выполнять операции защиты резервирования виртуальных серверов.

Среда виртуализации zVirt 5.0 позволяет выполнять сценарии задач по расписанию:

• включение, выключение, перезапуск виртуального сервера;
• создание и удаление снимков виртуального сервера.

Планируется реализация следующих сценариев:

• миграция виртуального сервера на определенный хост гипервизора и домен хранения;
• изменение конфигурации vCPU и vRAM для виртуального сервера;
• перевод хоста гипервизора в режим обслуживания;
• перевод домена хранения в режим обслуживания;
• создание виртуального сервера из шаблона.

Данные операции теперь возможно выполнять с использованием простых и удобных инструментов графического интерфейса без применения zVirt Ansible.

В zVirt 5.0 возможности репликации виртуальных серверов между площадками и автоматизация аварийного восстановления (Disaster Recovery) были расширены за счет поддержки аппаратной репликации на базе совместимых дисковых массивов.

Программная репликация виртуальных серверов на уровне гипервизора становится нерациональной при их больших количествах. В виртуальных инфраструктурах больших масштабов применяется аппаратная синхронная и асинхронная репликация на стороне дисковых массивов.

Функциональные возможности работы с папками виртуальных серверов и их иерархической структурой дополнены поддержкой папок в модуле конвертации v2v и публикацией API для работы с папками. Структура папок виртуальных серверов теперь поддерживается при программной репликации и полностью переносится на другой Центр обработки данных.

Дополнение функциональных возможностей в отношении сетевой виртуализации и применяемой в составе zVirt 5.0 программно-определяемой сети SDN включают в себя балансировщик нагрузки уровня L3/L4, динамическую маршрутизацию BGP и трансляцию портов маршрутизатора. Балансировщик нагрузки предусматривает маркировку пакетов и «липкие» сессии, позволяет применить политику балансировки по hash-функции и допускает каскадное подключение балансировщиков. Он может быть применен для простой и производительной балансировки сетевых подключений с минимальной дополнительной нагрузкой на хост гипервизора.

Релиз zVirt 5.0 сопровождается также рядом доработок и исправлений выявленных ранее недочетов. В частности, реализован мониторинг метрик GPU, обновлен инструмент папок виртуальных серверов (правила именования, контекстное меню, проверка уникальности имени на уровне иерархии), а также актуализирован перечень поддерживаемых гостевых операционных систем.

Продолжатся работы по развитию программно-определяемой системы хранения SDS, улучшению характеристик и расширению возможностей гиперконвергентной инфраструктуры. В частности, анонсировано обеспечение поддержки партнерского решения для программно-определяемых систем хранения SDS на базе MIND uStor версии 1.5. Гиперконвергентное решение zVirt 5.0 + MIND uStor 1.5 объединяет серверы и системы хранения в единый кластер с масштабированием до 64 хостов. Будет обеспечена необходимая совместная интеграция с единым управлением гиперконвергентной инфраструктурой в графическом интерфейсе, улучшенной синхронизацией для отслеживания параметров и изменений, а также обеспечением требуемой производительности.

Гиперконвергентная инфраструктура позволяет осуществлять хранение данных на тех же самых хостах виртуализации, используя дисковые ресурсы аппаратных серверных платформ. При этом формируется единое отказоустойчивое хранилище с возможностью гибкой настройки резервирования для разных типов данных и доступностью в пределах всей среды виртуализации.

Резервирование данных и обеспечение их сохранности реализовано на основе методов устойчивого восстанавливающего кодирования Erasure Coding и репликации данных, с фактором репликации до 64 (максимальное количество узлов в кластере SDS). Имеется механизм автоматической балансировки для оптимального перераспределения данных между узлами кластера при необходимости.

В среде виртуализации zVirt 5.0 сохраняется возможность использования в качестве программно-определяемой системы хранения SDS файловой системы GlusterFS для нетребовательных к производительности применений (включена в продукт zVirt и не требует дополнительных затрат).

В состав среды будет включен универсальный коннектор для подключения внешних программно-определяемых систем хранения данных SDS как блочных устройств для виртуальных серверов — Managed Block Storage (MBS). Коннектор MBS отличается широкой совместимостью и поддерживает большое количество различных бекэндов (например, Ceph). Данная функция может быть использована, например, для создания единого репозитория образов и шаблонов в развернутой среде виртуализации.

Отдельным важным направлением развития zVirt 5.0 является расширение возможностей резервного копирования и восстановления платформы виртуализации. Данный функционал является обязательным для всех областей применения, в ряде случаев и при работе с определенными категориями данных необходимо дополнительно обеспечивать выполнение регуляторных требований и гарантировать защиту резервных копий от утраты, повреждения и неправомерного доступа.

Среда виртуализации zVirt имеет возможность использования внешних совместимых СРК. Однако использование сторонних систем резервного копирования не всегда подойдет для широкого круга заказчиков, требует дополнительных затрат на их внедрение и интеграцию, а также не может полностью гарантировать информационную безопасность.

Для среды виртуализации zVirt 5.0 ведется реализация собственного инструмента резервного копирования и восстановления — zVirt Backup. Она строится на основе программного обеспечения «Береста РК».

Инструмент резервного копирования zVirt Backup имеет следующие основные возможности:

• полное и дисковое резервное копирование с поддержкой инкрементальных копий и Changed Block Tracking, сжатия и дедупликации;
• быстрое восстановление в исходное или новое расположение, включая восстановление отдельных дисков;
• хранение резервных копий на подключенных дисках, сетевых папках SMB и NFS, хранилищах S3 и ленточных библиотеках (накопителях);
• автоматизация и гибкие политики резервного копирования с настройкой расписания, окна запуска и длительности хранения резервных копий;
• мониторинг и контроль выполнения заданий резервного копирования и восстановления.

Перевод среды виртуализации zVirt начиная с версии 5.0 в единую унифицированную среду исполнения zVirt Node 2.0 позволил оптимизировать структуру и состав ее редакций.

Среда виртуализации zVirt 5.0 поставляется в виде полнофункциональной редакции для крупных корпоративных применений zVirt Advanced и редакции без избыточной функциональности для использования в инфраструктурах малого и среднего масштаба. Преимуществом zVirt является наличие специальной редакции, сертифицированной ФСТЭК — zVirt Special Edition (ранее zVirt Max).

Единая среда исполнения zVirt Node 2.0 и внедрение практик разработки безопасного программного обеспечения (сертификация процесса разработки ФСЭК) позволит сократить разрыв между общедоступной коммерческой и сертифицированной ФСТЭК версиями до 1 – 1,5 месяцев. При этом будет обеспечено минимальное различие по функциональности между редакциями zVirt Advanced и zVirt Special Edition защищенной среды виртуализации.

Рис. 3. Дорожная карта формирования процесса разработки и совместного развития редакций zVirt Advanced и zVirt Special Edition

Переход на использование единой среды исполнения zVirt Node 2.0 не дает возможности прямого апгрейда с предыдущих версий zVirt путем простого обновления компонент. Различная среда исполнения, разный состав критических системных библиотек (systemd, glibc и т.д.), а также более высокие версии базовых компонентов виртуализации QEMU и Libvirt ограничивают возможности прямого перехода.

Понимая важность и необходимость перехода на версию zVirt 5.0, компания Orion soft предлагает ряд оптимальных сценариев апгрейда, адаптированных для информационных инфраструктур различного уровня и учитывающих имеющуюся экспертизу.

Рис. 4. Сценарии перехода на релиз zVirt 5.0

Среда виртуализации zVirt 5.0 поддерживает интеграцию с другими продуктами экосистемы Orion soft, включая:

• zVirt Metrics, решение для мониторинга, сбора метрик и проведения аналитики для сложных распределенных развертываний zVirt;
• zVirt DC Manager, решение для централизованного управления информационной инфраструктурой, построенной на основе комплекса развертываний zVirt, с предоставлением пользовательского портала для заказа виртуализированной инфраструктуры;
• Nova Container Platform, в составе редакции zVirt Containers для обеспечения совместного функционирования и единого управления инфраструктурой виртуальных серверов и платформой оркестрации контейнеризированных приложений;
• Termit, в составе редакции zVirt Apps&Desktops для организации терминального доступа и VDI;
• Cloudlink, решение для управления виртуальной и облачной инфраструктурой, построения частного облака, внедрения механизмов самообслуживания и автоматизации выдачи ИТ-ресурсов;
• StarVault, решение для централизованного и автоматизированного управления инфраструктурными секретами;
• HyperDrive, решение для управления динамической инфраструктурой и GitOps-процессами;
• StarGuard AI, решение для обеспечения безопасности ИИ-моделей.

Типовыми применениями защищенной среды виртуализации zVirt могут выступать, например:

• создание высоконадежных и производительных платформ серверной виртуализации, масштабируемых от локальных кластерных конфигураций до распределенных катастрофоусточивых комплексов центров обработки данных;
• создание виртуализированной инфраструктуры предоставления платформенных сервисов по модели IaaS широкого назначения с использованием принципов Infrastructure as Code (IaC);
• предоставление технологической платформы для сред контейнеризации приложений или «облачных» сред, а также инфраструктуры удаленных виртуальных автоматизированных рабочих мест.

Защищенная среда виртуализации zVirt сертифицирована ФСТЭК. Сертификат № 4780 от 19 февраля 2024 года подтверждает соответствие zVirt требованиям российского законодательства по информационной безопасности, устанавливающим уровни доверия к средствам защиты информации и средствам обеспечения безопасности информационных технологий.

В соответствии с требованиями по безопасности информации, утверждёнными приказом ФСТЭК России от 27 октября 2022 г. № 187 в сертифицированной редакции zVirt реализованы модуль доверенной загрузки виртуальных машин, контроль целостности, регистрация событий безопасности и управление доступом. Также были усилены функции резервного копирования, управления потоками информации и защиты памяти, введена идентификация пользователей и установлены ограничения программной среды. Реализуются меры защиты централизованного управления образами виртуальных серверов.

Запросить демонстрацию среды виртуализации zVirt можно по ссылке.

Материал предоставлен директором технического центра Merlion Вигелем Антоновым.