MODULE 3: KIẾN TRÚC ESXi VÀ CÁC LƯU Ý BAN ĐẦU
I. Kiến trúc cốt lõi của VMware ESXi
1. Bản chất Bare-Metal (Type-1 Hypervisor)
VMware ESXi là hệ quản trị ảo hóa dạng Bare-Metal (Type-1 Hypervisor), nghĩa là lớp phần mềm này được cài đặt và vận hành trực tiếp trên hạ tầng phần cứng máy chủ vật lý mà không cần bất kỳ hệ điều hành nền nào làm trung gian.
ESXi Type-1 chạy trực tiếp trên phần cứng.
● Tăng cường Bảo mật: Bề mặt tấn công được thu nhỏ tối đa, loại bỏ nguy cơ từ các lỗ hổng phần mềm thường gặp trên các hệ điều hành đa dụng.
● Độ tin cậy cao: Giảm thiểu tần suất phải vá lỗi (patching) và khởi động lại, từ đó tăng chỉ số uptime cho toàn bộ hệ thống.
2. Thành phần Nhân VMkernel
VMkernel là hệ điều hành POSIX-like chuyên dụng do VMware phát triển. VMkernel nắm quyền kiểm soát toàn bộ CPU, RAM, Card mạng (NIC) và Storage Controller, sau đó phân phối các tài nguyên này cho các máy ảo.
Các nhóm chức năng chính của VMkernel.
| Thành phần Kernel | Chức năng chính & Cơ chế hoạt động |
| CPU Scheduler | Phân phối thời gian thực thi (clock cycles) giữa các vCPU của máy ảo và các CPU core vật lý. Sử dụng thuật toán đếm chu kỳ thông minh để đảm bảo đồng bộ đa nhân (strict co-scheduling). |
| Memory Manager | Quản lý cấp phát RAM vật lý cho máy ảo. Tích hợp các kỹ thuật tối ưu cao cấp: • TPS (Transparent Page Sharing): Bỏ trùng lặp các trang RAM giống nhau trong bộ nhớ.• Ballooning: Thu hồi RAM nhàn rỗi từ OS máy ảo thông qua driver vmmemctl.• Compression: Nén các trang RAM trước khi ghi xuống đĩa.• Swapping: Ghi dữ liệu RAM thừa xuống ổ đĩa (.vswp) khi hệ thống cạn kiệt tài nguyên. |
| Virtual Switch Engine | Chuyển mạch gói tin mạng ở tầng ảo hóa, quản lý lưu lượng giữa các máy ảo nội bộ và điều hướng gói tin ra ngoài mạng vật lý thông qua các Uplink. |
| Storage Subsystem | Xử lý và dịch chuyển các lệnh I/O từ máy ảo sang các giao thức lưu trữ hạ tầng như VMFS, NFS, iSCSI, vSAN và NVMe-oF. |
3. Các tiến trình hỗ trợ quan trọng
Bên cạnh nhân VMkernel, các tiến trình dịch vụ chạy trong không gian người dùng đóng vai trò điều khiển và tương tác quản trị:
Quan hệ giữa vSphere Client, vCenter và các tiến trình ESXi.
● vpxa: Tiến trình đại diện (vCenter Agent). Khi ESXi được thêm vào quản lý bởi vCenter Server, vpxa đóng vai trò trung gian nhận lệnh từ tiến trình vpxd trên vCenter, sau đó chuyển giao cho hostd thực thi.
● FDM (Fault Domain Manager): Tác tử phụ trách tính năng sẵn sàng cao vSphere HA. Dịch vụ này được cài đặt tự động lên host khi đưa host vào một HA Cluster, chịu trách nhiệm theo dõi nhịp tim (heartbeat) và xử lý sự cố khởi động lại VM trên host khác khi có lỗi hardware.
II. Cấu hình mạng quản lý
1. Khái niệm và Vai trò
Trong kiến trúc vSphere, việc phân tách rõ ràng lưu lượng mạng là nguyên tắc bắt buộc để đảm bảo hiệu năng và an toàn thông tin.● Management Network: Mạng truyền thông chuyên dụng dùng cho công tác quản trị, giám sát và điều khiển host ESXi.
● Virtual Machine Network: Mạng lưu lượng dữ liệu thuần túy dành riêng cho các ứng dụng chạy bên trong các máy ảo kết nối với nhau và ra bên ngoài.
● VMkernel Port (vmk0): Giao diện mạng ảo đầu tiên được tạo ra trong quá trình cài đặt ESXi. vmk0 nhận địa chỉ IP quản trị logic, cho phép người dùng hoặc hệ thống quản lý kết nối vào ESXi thông qua vCenter, Host Client, SSH hoặc API.
2. Thiết lập địa chỉ IP và Phân giải tên miền (DNS)
Trong môi trường production, việc gán IP động (DHCP) cho Management Network là điều cực kỳ rủi ro. Cần tuân thủ Static Configuration như sau:● Static IP / Subnet Mask / Default Gateway: Đảm bảo địa chỉ IP quản trị cố định, không bị thay đổi sau mỗi lần khởi động lại hoặc khi hết ca hạn cấp IP (lease time).
● Hệ thống DNS (Primary & Secondary): Chai báo chính xác IP của các DNS Server nội bộ. Hệ thống ảo hóa vSphere phụ thuộc rất lớn vào phân giải tên miền thuận và ngược (Forward & Reverse DNS Lookups).
● Cấu hình FQDN (Fully Qualified Domain Name): Đặt tên host theo chuẩn FQDN (ví dụ: esxi01.corp.domain.local). Việc đặt FQDN chuẩn xác giúp tránh hoàn toàn các lỗi từ chối kết nối chứng chỉ SSL/TLS khi ghép nối (add host) ESXi vào vCenter Server.
3. Dự phòng Card mạng (NIC Teaming & Redundancy)
Sự cố gãy kết nối mạng quản trị có thể khiến vCenter mất quyền điều khiển ESXi và gây ra cảnh báo HA ảo.
Mạng quản lý vmk0 và dự phòng NIC.
● Số lượng tối thiểu: Luôn đấu nối ít nhất 2 card mạng vật lý (vmnic) cho nhóm Mạng Quản lý (Management vSwitch / vSphere Distributed Switch).
● Cơ chế: Đặt cấu hình Active/Active hoặc Active/Passive. Khi một card mạng vật lý hoặc cổng switch vật lý bị hỏng, lưu lượng quản trị tự động chuyển sang card còn lại mà không làm gián đoạn kết nối (Zero Downtime).
III. Đồng bộ hóa thời gian (Time Synchronization - NTP / PTP)
1. Tầm quan trọng của Đồng bộ Thời gian trong Ảo hóa
Sai lệch thời gian (Clock Drift) dù chỉ vài giây giữa các host ESXi và hệ thống quản trị vCenter có thể gây ra những hậu quả vô cùng nghiêm trọng:● Lỗi xác thực Kerberos và Single Sign-On (SSO) khiến quản trị viên không thể đăng nhập hệ thống.
● Chứng chỉ bảo mật SSL/TLS bị đánh giá là hết hạn hoặc chưa có hiệu lực.
● Các tác vụ dịch chuyển máy ảo động vMotion hoặc khôi phục sự cố vSphere HA bị thất bại.
● Khó khăn trong việc tra cứu, đối soát và phân tích dữ liệu nhật ký sự cố (log analysis) giữa nhiều thiết bị khác nhau khi xảy ra sự cố an ninh mạng.
2. Các Giao thức Hỗ trợ
NTP (Network Time Protocol)
Là tiêu chuẩn phổ biến và được khuyến nghị cho hầu hết các môi trường doanh nghiệp.● Cần cấu hình kết nối tới ít nhất 2 đến 3 nguồn NTP Server tin cậy (Stratum 1 hoặc Stratum 2) để đảm bảo tính sẵn sàng. Các nguồn này có thể là NTP Server nội bộ (Domain Controller / Router) hoặc NTP Server quốc gia/toàn cầu.
PTP (Precision Time Protocol - IEEE 1588)
Được hỗ trợ từ các phiên bản vSphere nâng cao.● Phù hợp với các hệ thống đòi hỏi độ chính xác mốc thời gian ở mức cực cao (đơn vị micro-giây) như: hệ thống giao dịch tài chính chứng khoán tần suất cao (High-Frequency Trading), ứng dụng viễn thông 5G, hoặc xử lý tín hiệu thời gian thực.
3. Thiết lập Chế độ Chạy Dịch vụ (Service Startup Policy)
Sau khi khai báo danh sách Server Time, phải chuyển trạng thái dịch vụ sang:
Luồng đồng bộ thời gian trong hạ tầng ảo hóa.
● Policy: Start and stop with host (Tự động chạy khi host khởi động và dừng khi host shutdown).
● Action: Bắt đầu khởi chạy ngay dịch vụ (Start service).
IV. Quản lý Tài khoản & Chính sách An toàn Bảo mật (Security & Access Control)
1. Quản lý Tài khoản Mặc định (root)
Tài khoản root sở hữu đặc quyền cao nhất trên ESXi. Việc lạm dụng tài khoản này tiềm ẩn nhiều rủi ro an ninh.● Chính sách Mật khẩu: Áp dụng quy tắc độ phức tạp cao (tối thiểu 12-16 ký tự, bao gồm chữ hoa, chữ thường, số và ký tự đặc biệt). Đổi mật khẩu định kỳ.
● Phân quyền RBAC (Role-Based Access Control): Hạn chế việc chia sẻ tài khoản root chung cho nhiều quản trị viên. Khuyên dùng việc tích hợp ESXi/vCenter với Active Directory (AD), tạo tài khoản cá nhân riêng biệt và phân quyền hạn tối thiểu (Principle of Least Privilege) dựa trên các Vai trò (Roles).
2. Chế độ Khóa An toàn (Lockdown Mode)
Lockdown Mode hạn chế đường truy cập trực tiếp.
● Normal Lockdown Mode: Host ESXi chỉ có thể được quản lý thông qua vCenter Server. Truy cập trực tiếp qua ESXi Shell/SSH bị khóa hoàn toàn. Dịch vụ DCUI (Direct Console User Interface) vẫn mở nhưng chỉ khả dụng cho các tài khoản nằm trong danh sách Exception Users.
● Strict Lockdown Mode: DCUI bị tắt hoàn toàn. Mọi kênh truy cập trực tiếp vào phần cứng bị chặn tuyệt đối. Ngoại trừ vCenter Server, không một tài khoản nào có thể đăng nhập trực tiếp vào ESXi.
3. Kiểm soát Dịch vụ Dòng lệnh (ESXi Shell & SSH)
Giao diện dòng lệnh cung cấp khả năng can thiệp sâu vào hệ thống nhưng cũng là mục tiêu hàng đầu của các cuộc tấn công khai thác.● Trạng thái Mặc định: Luôn để ở trạng thái Stopped.
● Nguyên tắc Kích hoạt: Chỉ Start tạm thời khi cần xử lý sự cố kỹ thuật phức tạp (troubleshooting) mà giao diện đồ họa không thao tác được.
● Thời gian Chờ (Timeout): Cấu hình tự động khóa dịch vụ khi không sử dụng:
○ UserVars.ESXiShellTimeOut: Thời gian tự động tắt ESXi Shell/SSH service sau một khoảng thời gian kích hoạt (tính bằng giây).
○ UserVars.ESXiShellInteractiveTimeOut: Thời gian tự động đăng xuất (logout) phiên làm việc CLI nếu không có thao tác từ người dùng.
V. Các lưu ý & Tiêu chuẩn chuẩn bị trước khi cài đặt (Prerequisites & Best Practices)
1. Kiểm tra Tính Tương thích Phần cứng (Hardware Compatibility)
Thao tác quan trọng nhất trước khi mua sắm hoặc triển khai ESXi là tra cứu danh mục tương thích chính thức từ VMware: VMware Compatibility Guide (HCL).Cần kiểm tra kỹ lưỡng các thành phần:
● Server Model: Dòng máy chủ (Dell PowerEdge, HPE ProLiant, Cisco UCS, Lenovo ThinkSystem...) có được hỗ trợ phiên bản ESXi dự định cài đặt không.
● CPU Series: Thế hệ vi xử lý (Intel Xeon / AMD EPYC) thuộc danh mục hỗ trợ.
● Network Interface Card (NIC): Chipset card mạng có sẵn driver tích hợp trong ISO ESXi hay không.
● Storage Controller (RAID Controller / HBA): Đảm bảo card RAID tương thích để ESXi nhận diện được ổ đĩa.
2. Yêu cầu Phần cứng Tối thiểu & Khuyến nghị
| Tài nguyên Phần cứng | Yêu cầu Tối thiểu (Minimum) | Khuyến nghị Sản xuất (Production Best Practice) |
| CPU | 64-bit x86 Dual-Core CPU. Hỗ trợ LAHF/SAHF, Intel VT-x hoặc AMD-V. | Multicore Enterprise CPU (Intel Xeon Scalable / AMD EPYC 16-Cores+ per socket). |
| System RAM | 8 GB RAM. | 16 GB+ cho môi trường Lab testing.128 GB - 1 TB+ cho môi trường Enterprise Production. |
| Boot Storage | Ổ đĩa dung lượng tối thiểu 32 GB (SATA/SAS/NVMe/M.2 SSD). | NVMe / M.2 SSD Enterprise Class (High Endurance) hoặc RAID-1 Boot Devices (HPE NS204i, Dell Boss-S2). Hạn chế dùng USB/SD Card. |
| Datastore Storage | Ổ đĩa cục bộ khả dụng để tạo Datastore. | Hạ tầng SAN/NAS chuyên dụng (iSCSI, FC, NFS) hoặc giải pháp vSAN sử dụng ổ Enterprise NVMe/SAS SSD. |
| Network (NICs) | 1x Physical NIC 1 Gbps. | Tối thiểu 4x 10 Gbps / 25 Gbps NICs (Phân tách Uplink cho Management, vMotion, vSAN, VM Data). |
3. Thiết lập Cấu hình BIOS/UEFI chuẩn hãng
Trước khi đưa ISO ESXi vào boot cài đặt, quản trị viên bắt buộc phải truy cập vào BIOS/UEFI của Server vật lý để tinh chỉnh các thiết lập sau:
Các nhóm kiểm tra trước khi triển khai ESXi.
● Kích hoạt Công nghệ Ảo hóa (Virtualization Technology):
○ Bật Intel VT-x hoặc AMD-V (Virtualization Technology).
○ Bật Intel VT-d hoặc AMD IOMMU (Direct I/O Virtualization) để hỗ trợ tính năng Passthrough thiết bị phần cứng.
● Bật Chế độ Chạy Hiệu năng Cao (Power Management):
○ Chuyển cấu hình Power Management từ Balanced / Power Saving sang High Performance (hoặc Custom -> OS Control).
○ Việc này ngăn cản CPU vật lý tự động hạ xung nhịp (C-States / P-States), giúp giảm độ trễ (latency) tối đa cho các máy ảo nhạy cảm về hiệu năng.
● Khởi động an toàn (Secure Boot):
○ Khuyến nghị bật UEFI Mode thay cho Legacy BIOS.
○ Kích hoạt Secure Boot để đảm bảo kernel của ESXi không bị can thiệp bởi các mã độc bootkit/rootkit trong quá trình khởi động máy chủ.
