IT領(lǐng)域中的生活充滿了艱巨的任務(wù)。在進(jìn)行備份或者維護(hù)修補(bǔ)方案時(shí)，你必須確保多層反惡意軟件被適當(dāng)部署。不幸的是，在高度虛擬化的環(huán)境中，管理殺毒軟件會(huì)是一件非常痛苦的事情，殺毒軟件自身實(shí)際上構(gòu)成了一種威脅。就像俗話說的那樣：治療有時(shí)比疾病本身更糟糕。

　　也許任何人都不會(huì)對殺毒軟件會(huì)使機(jī)器運(yùn)行速度變慢這一點(diǎn)感到驚訝。任何監(jiān)控每一個(gè)磁盤I/O并檢查其是否存在威脅的軟件都會(huì)給系統(tǒng)帶來額外的開銷。對于大多數(shù)情況，這體現(xiàn)在較高的磁盤延遲和CPU負(fù)載上面。盡管如此，殺毒軟件在進(jìn)行掃描排除時(shí)都會(huì)很小心，因此它們通常不會(huì)造成系統(tǒng)癱瘓。

　　最近，我提出了兩個(gè)很好的例子，這些例子為我們展示了殺毒軟件在失去控制時(shí)是怎樣對系統(tǒng)性能造成巨大的整體影響的，同時(shí)還顯示了檢測其中的原因是多么的困難---除非你知道去尋找原因并且擁有這樣做必需的監(jiān)測數(shù)據(jù)。

　　新的VDI環(huán)境

　　在第一個(gè)例子中，客戶處在將新的VDI環(huán)境帶進(jìn)生產(chǎn)的過程中?；A(chǔ)映像已經(jīng)被全面測試，用戶群為他們擺脫了傳統(tǒng)的桌面而使用VDI為他們帶來的可移植會(huì)話感到興奮。初始用戶測試進(jìn)展順利并且沒有發(fā)現(xiàn)問題。

　　盡管如此，由于大量自動(dòng)部署的桌面和不斷擴(kuò)大的用戶數(shù)量，一系列的性能問題產(chǎn)生了。首先，響應(yīng)時(shí)間變慢，而且隨著鋪設(shè)的進(jìn)行，這種問題會(huì)急劇惡化，甚至到用戶開始想念舊的桌面的程度。而在虛擬主機(jī)上的初步調(diào)查表明不存在任何重大的CPU或內(nèi)存競爭，因此，人們的注意力迅速轉(zhuǎn)向到SAN。

　　通過挖掘SAN的管理接口，問題立刻變得很清晰：這的確是與存儲相關(guān)的問題，而且響應(yīng)時(shí)間的延遲高峰遠(yuǎn)高于20ms。往往是在這種情況下，用戶開始害怕SAN不能提供VDI環(huán)境服務(wù)。幸運(yùn)的是，故障排除過程并沒有就此停止。對SAN負(fù)載的進(jìn)一步調(diào)查顯示每一個(gè)VDI桌面啟動(dòng)后大約一個(gè)小時(shí)會(huì)產(chǎn)生平均超過40IOPS(SAN存儲評價(jià)指標(biāo)之一)——遠(yuǎn)遠(yuǎn)超出標(biāo)準(zhǔn)的IOPS以及在初始映像開發(fā)和測試階段中檢測到的IPOS。

　　最終，問題來源被確定：當(dāng)非持久性桌面映像啟動(dòng)時(shí)，他們的殺毒agent從管理服務(wù)器獲取新的病毒定義并更新病毒定義庫，然后執(zhí)行一次完整的系統(tǒng)掃描，以確定不存在新的可檢測的風(fēng)險(xiǎn)。這是一個(gè)在物理桌面中常用的并且是完全合理的做法，但是在虛擬環(huán)境下，這種做法只會(huì)破壞底層的共享存儲硬件并且除此之外別無他用。

　　作為測試，新病毒定義部署功能被禁用，其結(jié)果是在早上的數(shù)小時(shí)內(nèi)減少了近10倍的磁盤I/O，即使此時(shí)很多新用戶登錄并啟用了新的桌面---即有效地解決了上面的問題，盡管這也帶來了需要手動(dòng)更新病毒定義庫的問題。