Здраствуйте уважаемые компьютерные гении!

Первый пост на пикабу и сразу с просьбой о помощи, но пишу после того как долго курил форумы и обращался к официалам в поддержку, которая мне не помогла.(Пруфы есть)

Столкнулся с необходимостью работы с виртуальной машиной, после установки виртуальных машин VMWare/VirtualBox/Hyper-V и их установки и настройки, возникла проблема запуска машины - все проги ругаются на отключенную виртуализацию amd-v.

Путем теста железа выяснилось - процессор поддерживает виртуализацию amd-v, но она отключена! Лезем в Биос insyde2HO v 1.11 (последняя версия биоса для моего ноута - так говорит официал), в котором ограниченное меню, только выбор боота и пароли, и отсутствует пункт включения виртуализации (во всех вариациях)!!!!!

То есть виртуализация есть - а включить ее ни как!!! Похоже на защиту от дурака в биосе.

Ноутбук Acer Aspire E5-722G.

Поддержка отвечает никак:

Реагирование По Email (Техническая поддержка Acer) (04/17/2018 11:27)

Добрый день.

Благодарим вас за обращение в техническую поддержку Acer.

Серия Aspire предназначена для домашнего использования и настроек виртуализации в БИОСе, к сожалению, не предусмотрено.

С уважением техническая поддeржка Acer.

Это мы и так поняли, спасибо за аргументированный ответ!! Спрашивал прошивку Биоса у них подходящую на мое железо с расшаренной функцией включения виртуализации. Вот что ответили(выше).

Шлем лучи добра за супер возможность технологии виртуализации amd-v в процессорах AMD и чудесно реализовавших данную технологию в своих ноутбуках Acer !!!

Нашел инфу о возможности входа в расширенные настройки Биоса и их изменения, но сам видимо не потяну это реализовать - мои познания в ассемблере ни какие. Возможно кто-то знает способ попадания в эти настройки?

Также нашел тему и человечка на acerfans который вроде понимает, но не могу там зарегаться!

Схема вроде простая - скопировать прошивку биоса, разобрать, найти ключ на виртуализацию, активировать и вшить назад. Как я понял есть ньюансы прошивок и они индивидуальны, выяснить бы как делать со своей!

Если есть у кого возможность доступа на асерфанс - буду рад в помощи по размещению вопроса там.

Подскажите может мануалчик какой? Возможно кто-то по удаленке мне решит этот вопрос, за $ или печеньки. Нахожусь мск.

Решил написать еще один небольшой пост. Возможно, будет немного позначательно.

Думаю, многие неофиты мира GNU/Linux слышали модное нынче словцо - Docker.

Опять же, постараюсь кратко и доходчиво объяснить, что это, с чем его едят и для чего это может быть нужно неспециалисту вроде меня. И да, это не руководство для новичка, ибо их полно.

Вот такой синий голубой кит.

Для начала немного о контейнерной виртуализации. В ядре Linux есть технология разделения ресурсов под названием cgroups. Она может управлять доступом приложения к ресурсам - памяти, процессору, дискам. Несколько контор и просто неравнодушных ребят собрались и запилили LXC - систему управления контейнерами. Так же как в случае с chroot, это лишь виртуальное окружение - но без ядра. Сама по себе система LXC - мощная вещь, но и того оказалось мало.

Но это все присказка. На основе этого добра ребята из Docker Inc сделали сделали свой продукт.

Только вот сам по себе Docker - это не система виртуализации, как многие считают, а система объектно-ориентированной доставки софта. Т.е. изначально оно ориентированно на то, чтобы "поднять настроенный апач одной строкой в терминале".

А теперь простой пример. Скачаем образ Ubuntu Bionic (это бетка) и запустим его.

username$: sudo docker pull ubuntu:bionic

bionic: Pulling from library/ubuntu

c5cc0d8681c1: Pull complete

25992ae88689: Pull complete

92b293e28b63: Pull complete

5e97fb8c1b1b: Pull complete

e89d6de98e44: Pull complete

Digest: sha256:4decfd6e336e1cf246127151753d2a24a3185b5f667b91b925e8b38e7ea903a0

Status: Downloaded newer image for ubuntu:bionic

Образ выкачался. Проверим.

username$: sudo docker images

REPOSITORY TAG IMAGE ID CREATED SIZE

ubuntu  bionic 02f9d6707661 5 weeks ago 88.3 MB

Ну так как-то. Форматирование текста с консоли тут едет, так что немного не наглядно.

Сказать сразу - образов в репозитории море, но об этом позже.

А теперь самое интересное - стартанем его:

username$: sudo docker run -it --rm --name temp_ubuntu -v /home/user/test1:/home/ ubuntu:bionic /bin/bash

И нас выплюнет в консольку контейнера с этой убунтой.

Отсюда поподробнее: -it - это интерактивный(i) терминал(t), --rm - удалить контейнер после останова, -v - проброс "внутрь" папки с хоста.

Можно что-то протестировать, собрать, а потом тормознуть контейнер через Control-D - и все чисто как в аптеке.

Но вообще, откровенно говоря, Docker нужен не для этого.

Как я уже говорил выше, это скорее система доставки софта, чем виртуализации. Вообще, на изоляцию силами cgroups я бы не полагался, но как "еще одна запертая дверь" она сойдет.

Так вот, о чем я - Docker позволяет "упаковать" какой либо сервак со всеми потрахами внутрь готового образа, и переносимость от хоста к хосту будет почти стопроцентная. Можно push-нуть уже готовый образ в репозиторий, и потом его так-же играючи обратно залить.

В результате в репозиториях уже можно найти огромное количество универсальных рецептов.

Но есть и более специализированный вариант - сборка образа с помощью Dockerfile.

Если просто - это такой сценарий, что нужно сделать и что запустить. Есть у меня один, которым я иногда пользуюсь - это Jupyter (сервер с IPython, блекджеком и шлюхами для научных расчетов). Так выглядит Dockerfile:

FROM debian:sid

ENV DEBIAN_FRONTEND noninteractive

RUN apt-get update && apt-get install -y python3 python3-pip python3-fann2

RUN pip3 install --upgrade pip && pip3 install jupyter sympy numpy scipy matplotlib pandas networkx

EXPOSE 8888

CMD jupyter notebook --allow-root --ip 0.0.0.0 --no-browser --notebook-dir=/home

Что он, чьорт побьери, делает?

Ну Debian Sid - это понятно, надеюсь.

ENV DEBIAN_FRONTEND noninteractive - переменная, чтобы apt не спрашивал да/нет у бездушной машины.

Далее идут команды установки всего и вся через RUN. Да, их следует делать поменьше раз, поэтому команды длинные.

EXPOSE "выпячивает" порт наружу.

Ну и CMD - конечная команда запуска.

Также стоит отметить, что обычно лучше юзать ENTRYPOINT, но это вам гуглить самим.

Теперь собираем образок:

username$: sudo docker build -f /path/to/dockerfile -t name_of_image

И все. Почти что серебряная пуля для ленивых админов.

Этот образ можно переносить с машины на машину, а можно просто отправить dockerfile через вконтактик))

Еще какие бонусы?

Так как Docker использует OverlayFS (ранее был aufs) - а это про copy-on-write - он не создает контейнеры с нуля, а только послойно записывает разницу между контейнером и изначальным образом. Так что таких контейнеров можно поднять с десяток при сравнительно небольших накладных затратах.

В общем, писать про это можно очень много и долго, но надобности за обилием написанных мануалов нет. Если интересно - просто попробуйте.

Хеллоу! Апдейты по vSphere инкаминг!

VMware выпустила whitepaper "What's new in VMware vSphere 6.5"

Содержание:

VMware vCenter Server

Migration

Improved Appliance Management

VMware vCenter High Availability

Backup and Restore

vSphere Web Client

vSphere Client

vSphere Host Lifecycle Management Enhancements

vSphere Update Manager

VMware Tools and Virtual Hardware Upgrades

Previous Windows-Based Architecture Still Offered

Host Profiles

Profile Management Improvements

Operational Enhancements

Auto Deploy

Manageability Improvements

Performance and Resiliency Enhancements

VMware Tools 10.1 and 10.0.12

Signed ISO Images

Bifurcation of VMware Tools for Legacy and Current Guests

Bundling of Tools for Most Popular Guests Only

Guest OS Granularity Increase

Detailed Display of VMware Tools Type and Version in vSphere Web Client

Improved Detection of Availability of Updated VMware Tools Installers

vSphere Operations

Operations Management

Log Monitoring

Developer and Automation Interfaces

Program Interfaces

vCenter Server Appliance API

Virtual Machine API

Discover the APIs with the New API Explorer

Process Improvements

Command-Line Interfaces

What’s New in VMware vSphere

VMware PowerCLI

Core vSphere Module

Storage Module

VMware Horizon Module

Security

Virtual Machine Encryption

Encrypted vMotion

Secure Boot Support

Virtual Machine Secure Boot

ESXi Host Secure Boot

Enhanced Logging

VM Sandboxing

Automation

vSphere 6.5 Availability Enhancements

Proactive HA

VMware vSphere High Availability Orchestrated Restart

vSphere HA Admission Control Improvements

VMware vSphere Fault Tolerance

Resource Management Enhancements

Improved vSphere DRS Load Balancing Algorithm

vSphere DRS Additional Options

Network-Aware vSphere DRS

VMware vSphere Storage I/O Control Using with Storage Policy Based Management

Content Library

vSphere Integrated Containers

vSphere 65 Storage Enhancements

Advanced Format Drives and 512e Mode

Automated UNMAP

LUN Scalability

NFS 4.1 Support

Software iSCSI Static Routing Support

vSphere 6.5 Networking Enhancements

Enhancements for Nested ESXi

Dedicated Gateways for VMkernel Network Adapter

SR-IOV Provisioning

Support for ERSPAN

Improvements in DATAPATH

Сам документ можно скачать по ссылке ниже:

http://www.vmware.com/content/dam/digitalmarketing/vmware/en...

Также вместе с новой версией vSphere VMware выпустила и обновления VMware vCLI:

Интерфейс ESXCLI

С точки зрения интерфейса ESXCLI появились возможности управления FCOE-адаптерами, настройками NIC queuing и coalescence, параметрами проброса USB pass-through, обработка управления устройствами NVMe, а также управления конфигурациями vSAN iSCSI.

Интерфейс Datacenter CLI

Также появились и улучшения интерфейса Datacenter CLI (DCLI), который позволяет управлять глобальными сущностями виртуального датацентра. Теперь доступны команды для мониторинга и управления виртуальным модулем vCSA в различных аспектах, таких как сетевое взаимодействие, статус модуля, доступ, выполнение операций резервного копирования и восстановления, а также просмотр параметров аптайма и версии. Кроме того, есть функции для сбора информации об окружении vCenter - датацентрах, сетях, папках, хостах, кластерах и прочем. Ну и появились функции для управления жизненным циклом ВМ.

Улучшения поддержки ОС:

Теперь была добавлена поддержка следующих операционных систем:

Ubuntu 15.10 (LTS) – 64-bit

Ubuntu 16.04 (LTS) – 64-bit

Windows 10 (64-bit)

Для Windows-систем вам потребуется наличие ActivePerl или Strawberry Perl версии 5.14.

Release notes: http://pubs.vmware.com/Release_Notes/en/vcli/65/vsphere-65-v...

vSphere CLI Reference: http://pubs.vmware.com/vsphere-65/topic/com.vmware.vcli.ref....

И это еще не всё!

Последняя новость по списку, но не по значению -  VMware vSphere HTML5 Web Client вышел в релиз (теперь называется vSphere Client) и он поставляется в составе vSphere 6.5 и выше!

Что в нем теперь можно делать:

Настройка параметров CHAP для iSCSI-адаптеров

Детали сети для привязки портов Software iSCSI и полное редактирование настроек

Включение/выключение логгирования для ВМ в настройках

Изменение свойств и политик стандартных порт-групп коммутаторов

Хосты могут быть передвинуты в инвентори драг энд дропом

Удаление нескольких ВМ с диска

Удаление шаблонов ВМ с диска

Действие Upload Folder в File Browser (доступно только для Chrome, Edge и Firefox 50 и выше)

Возможность задать тип сети в настройках ВМ

Портлеты на странице Summary можно перемещать драг энд дропом

Действие Upgrade to VMFS5

Диаграмма Partition Layout в разделе создания датастора и при увеличении датастора

Монтирование/размонтирования хранилищ NFS

Просмотр, редактирование свойств и политик Distributed Port Groups

Добавление/удаление физических адаптеров и порт групп для Standard или Distributed Switch

Редактирование и просмотр свойств и политик стандартного коммутатора

Графики производительности можно открыть в новом окне

Можно создавать и удалять кластеры хранилищ

Возможность включить проброс (passthrough) для устройств ESXi PCI

Можно смотреть использование GPU серверов ESXi

Настройки Storage I/O Control

Возможность привязки/отвязки устройств на странице Host Storage Devices

Конвертирование и клонирование ВМ в шаблон

Создание датасторов NFS3 / NFS4.1 (в том числе, в режиме Read-only)

Управление политиками доступа по нескольким путям (Multipathing)

Монтирование/размонтирование томов VMFS

Горячие клавиши для операций с питанием ВМ

Rescan storage (новых томов VMFS и устройств)

Детали разделов в Host > Configure > Storage Devices

Детали устройств в Datastore > Configure > Device Backing

Управление Lockdown mode для ESXi

Хосты ESXi можно присоединить к домену

Полное управление тэгами

[частично попячено с vmgu.ru и с vmware.com]

На проходившей с 1 по 4 ноября в Лондоне конференции Black Hat Europe австрийские исследователи представили новую атаку, использующую особенности реализации взаимодействия CPU с DRAM. Метод позволяет злоумышленникам с помощью JavaScript красть чувствительную информацию прямо из виртуальных машин. Атака получила название DRAMA.

Как это работает

Исследователи Андерс Фог (Anders Fogh) и Михаэль Шварц (Michael Schwarz) в ходе своего выступления продемонстрировали несколько кросс-процессорных атак. Первая часть их исследования была представлена на мероприятии USENIX Security Symposium в августе этого года.

На Black Hat авторы показали, как злоумышленники с помощью JavaScript могут перехватывать небольшие «порции» чувствительных данных, вроде паролей или приватных ключей, из виртуальных машин, которые даже не подключены к сети.

Существует два сценарии развития атаки:

В первом случае два процесса — в виртуальной машине и в основной системе — могут общаться друг с другом.

Во втором — один процесс может следить за адресами памяти, который использует другой.

Рассмотрим первый сценарий. Цель атаки в данном случае заключается в передаче данных из виртуальной машины (ВМ), не имеющей доступ к сети, в основную систему (ОС), откуда злоумышленник уже скачивает ее по сети.

Это возможно благодаря особенности устройства памяти DRAM — в частности тому, что процесс-отправитель (находящийся в ВМ) и процесс-получатель данных (в ОС) используют адреса памяти, находящиеся в одном банке памяти (DRAM bank). Механизм работает таким образом, что в том случае, если процесс недавно работал с памятью из определенного банка, то повторные обращения будут проходить быстро.

Если отправитель работал с памятью между двумя обращениями получателя, то второе обращение займет больше времени — это будет интерпретировано как бит 1. В том случае, если отправитель не работал с памятью в промежуток между двумя обращениями, этот факт будет обозначен как 0.

Главная задача здесь — получить адреса в общем банке памяти (или нескольких банках для ускорения процесса) и верно определить временные точки для взаимодействия двух процессов. Для ее решения авторы использовали особенности работы многих современных систем — например, в них часто используются большие страницы памяти (>2 МБ) и определенная частота опроса адреса (на стороне получателя), которая превышает частоту записи (на стороне отправителя) в несколько раз. Зная это исследователи смогли построить предположения о поведении целевой системы.

Во втором сценарии для атаки используется способ, похожий на атаки с использованием особенностей работы кэш-памяти процессора. Суть метода заключается в том, что зная, какие адреса использовал процесс, можно наблюдать за введёнными в него данными — например, адресом сайта, который пользователь ввёл в адресную строку браузера.

Нет простых способов защиты

Исследователям удалось разработать атаку, для проведения которой не требуется эксплуатация каки-либо уязвимостей или запуск вредоносного софта на хост-системе. Они просто открывают скрытый канал между виртуальной машиной и основной системой.

При этом, Фог и Шварц признают, что атака может не всегда осуществляться корректно — в некоторых случаях используемая для фильтрации данных память может быть занята другими приложениями, что не позволит передать информацию из виртуальной машины, однако вероятность такого исхода не очень велика.

Исследователи фокусировались на тестировании своего метода атаки на платформе Intel x86-64, однако им удалось выяснить, что другие архитектуры — например, ARM-процессоры в смартфонах — также уязвимы

Поскольку разработанная атака использует особенности механизма DRAM, простых способов противодействия ей не существует, уверены исследователи. Тем не менее, они не прогнозируют большого числа подобных атак в реальных системах в ближайшие годы. Но сама вероятность таких атак показывает, что разработчикам нужно повышать защищенность не только софта, но и само «железо».

Источники:

https://habrahabr.ru/company/pt/blog/314856/

https://www.blackhat.com/docs/eu-16/materials/eu-16-Schwarz-...

https://www.usenix.org/system/files/conference/usenixsecurit...