VMware vShield在已經非常安全的vSphere產品之上又增加了一層防護。本文分享十個技巧可以幫助vShield用戶避免一些繁瑣而耗時的故障。
一、實踐造就完美
VMware的安全問題很復雜，而且發生配置錯誤後帶來的成本也很高昂。假設違反了vShield相關規則會直接切斷所有到虛擬機的網絡流量。所以最好的辦法是先在非關鍵業務主機上進行實踐。
二、自啟動
設置vShield Manager、Zones和App代理端為主機啟動的同時自啟動。在Zones和App代理端啟動之前，主機端虛擬網絡上不會發生任何信息交換。
三、鎖定vShield代理
Manager、Zones和App虛擬機對於虛擬機安全和可連接性都是至關重要的，所以最好通過vShield Manager Web界面或命令行工具修改它們的默認密碼。同樣，也要把Enabledmode的密碼修改掉。
不幸的是，vShield Manager和agent 虛擬機上的命令行界面默認管理員密碼也是不能修改的。我們必須刪除這個用戶，然後創建新的--這不會對系統有影響，因為vShield可以通過其它用戶（如，nobody 和vs_comm）執行常用操作。好在Enabledmode的密碼是可以修改的，可以參考vShield管理員手冊（vShield Administration Guide）獲取更多信息。
四、安全的vShield訪問
在vCenter中只有認證用戶才能和vShield Manager及其代理進行交互。如果發生了特殊情況，如突然斷電，會失去跟主機之間的聯系。
五、注意關鍵字
在vShield 4.1 Update 1版本中有個奇怪的現象，“any”必須以大寫字母形式出現在Zones和App 防火牆規則中。否則，這些規則就無法正常工作。這個明顯的漏洞將在下一版中獲得修正。
六、刪除磁盤操作要當心
vShield Manager虛擬機中有一個8GB大小的主虛擬磁盤，還有另一個1MB大小的副虛擬盤。千萬不要刪除副磁盤，它在配置新的App和Zones代理時要用到。而且包含了很多重要參數，如IP地址信息等。而且在安裝vShield App時要通過該磁盤來引導。
七、卸載後要重啟
安裝vShield不會對宿主機或虛擬機有影響，但是在卸載vShield後必須要重啟宿主機。為了從宿主機完全卸載，需要把虛擬機遷移到其它主機或關閉。然後把主機置於維護模式後重啟。
需要重啟來完全地刪除vShield加載到宿主機內存中的內核等信息。卸載過程會刪除vSwitch之外的所有其它信息，由於其它模塊也在使用，所以無法自動刪除，需要重啟。
八、不要動VMware Tools
vShield Manager和agent虛擬機中預裝了特殊的VMware Tools版本，不要試圖升級或刪除它。
虛擬應用根據內部運行的程序進行預裝和定制化。通常不應該違反正常的升級流程來操作。VMware Tools實際上一組驅動和終端工具，目前已經有和vShield應用協同工作的預裝軟件版本。我們無法在未經測試的情況下預測新版本可能引發的問題。
九、借助警報系統
vShield自動安裝了新的警報模式，可以檢測vShield相關的事件和情況。利用這些功能來改善VMware的安全監控現狀。
十、檢查資源的可用性
保證vShield Manager和agent虛擬機的可用資源，這點很重要。否則，vShield Manager會變得響應遲緩，而導致虛擬機丟失網絡連接。
vShield虛擬機預留一定的物理內存空間。不要修改這些參數或減少分配的內存數量。默認情況下是沒有預留CPU資源的，不過在資源緊張的主機上，您應該設置1個或1組CPU共享資源來保證它的可用性。
作者：Eric Siebert 譯者：李哲賢
