💻 Virtualisation — hyperviseurs et cycle de vie des VMs

Introduction (10 min)

En février 2023, l'attaque ESXiArgs a compromis plus de 3 000 hyperviseurs VMware ESXi en 48 heures via la vulnérabilité CVE-2021-21974 (OpenSLP). Les attaquants ont chiffré des machines virtuelles et, dans de nombreux cas, les sauvegardes elles-mêmes, montrant qu'une mauvaise architecture ou une mauvaise isolation des sauvegardes expose l'ensemble d'une PME.

Pour InnovatTech, un hyperviseur vulnérable ou mal configuré peut signifier une interruption majeure de service et une perte de données irréversible. Cette séance vous donnera les connaissances pour choisir, administrer et protéger des hyperviseurs et des machines virtuelles.

🎯 Objectifs de la séance

• Expliquer la différence entre hyperviseur Type 1 (bare-metal) et Type 2 (hosted) et choisir une solution adaptée à une PME.
• Créer, démarrer, arrêter, snapshotter et cloner des VM avec Proxmox (commande qm) en comprenant les effets sur le stockage.
• Reconnaître les risques liés aux snapshots et au provisionnement de ressources (thin/thick, balloon, CPU pinning).

1. Hyperviseurs : Type 1 vs Type 2 (50 min)

Un hyperviseur Type 1 (bare-metal) s'installe directement sur le matériel : il fournit l'environnement d'exécution des machines virtuelles sans couche OS hôte intermédiaire. Exemples : VMware ESXi, Proxmox VE (KVM/QEMU + gestion), Microsoft Hyper-V (rôle bare-metal). Les hyperviseurs Type 1 sont conçus pour la production et offrent une surface d'administration réduite (moins de composants à patcher), de meilleures performances et une meilleure isolation matérielle.

Un hyperviseur Type 2 (hosted) s'installe comme une application sur un système d'exploitation hôte : VirtualBox, VMware Workstation. Ils sont pratiques pour le poste de travail et le développement, mais ne conviennent pas à la production en entreprise en raison de la dépendance à l'OS hôte et des performances moindres.

Exemples d'usage

Architecture comparée

     +--------------------------------+         +-----------------------------+
     | Serveur physique               |         | Poste de travail            |
     | +--------------------------+   |         | +-------------------------+ |
     | | Hyperviseur Type 1       |   |         | | Host OS (Linux/Windows) | |
     | | (ESXi / Proxmox / HV)    |   |         | |  + VirtualBox / Workst. | |
     | |  - VM A (Linux)          |   |         | |  - VM X                 | |
     | |  - VM B (Windows)        |   |         | +-------------------------+ |
     | +--------------------------+   |         +-----------------------------+
     +--------------------------------+
         TYPE 1 : bare-metal                       TYPE 2 : hosted

2. Cycle de vie d'une VM et commandes Proxmox (qm) (60 min)

La gestion journalière d'une VM passe par : création, configuration, démarrage, arrêt (gracieux ou forcé), snapshot, clone, import/export et suppression. Proxmox expose l'outil en ligne de commande qm pour les VM QEMU/KVM.

Création

# Exemple de création (disque 32 GiB, thin provisioning LVM) :
qm create 100 --name debian-dev --cores 2 --memory 2048 --scsi0 local-lvm:32

Cette commande crée le fichier de configuration /etc/pve/qemu-server/100.conf et alloue (sur LVM-Thin) un volume logique thin de 32 GiB. Sur un stockage thin, l'espace utilisé initialement est faible et augmente au besoin.

Démarrer / Arrêter / État

qm start 100
qm status 100    # affiche l'état : running / stopped
qm shutdown 100  # arrêt gracieux (ACPI / QEMU guest agent)
qm stop 100      # arrêt forcé (kill du processus QEMU)

Snapshots

qm snapshot 100 snap-avant-maj --description "avant upgrade"
qm listsnapshot 100           # liste les snapshots existants
qm rollback 100 snap-avant-maj
qm delsnapshot 100 snap-ancien

Un snapshot capture l'état disque (et mémoire selon le mode) de la VM. Sur LVM-Thin, il s'agit d'un snapshot de volume. Attention : les snapshots s'empilent et croissent avec les écritures — ils peuvent remplir rapidement le datastore si on les laisse accumuler (disque plein → VM freeze).

Clonage

qm clone 100 200 --name debian-prod --full 1

Import / Export OVA

# Importer un disque depuis une archive OVA
qm importdisk 100 debian.ova local-lvm

# Puis attacher le disque importé à la VM 100
qm set 100 --scsihw virtio-scsi-pci --scsi0 local-lvm:vm-100-disk-0

qm importdisk extrait l'image et la place sur le stockage choisi ; il reste ensuite à l'attacher dans la configuration VM via qm set.

Ressources et provisionnement

Thin provisioning vs Thick provisioning

CPU Pinning

Le pinning permet d'affecter des cœurs physiques dédiés à une VM pour réduire la latence et la contention. Dans Proxmox, le pinning se réalise au niveau hôte (cgroups/cpuset) ou via configuration avancée de QEMU. L'opération doit être documentée et mesurée en production.

Balloon driver (gestion dynamique de la RAM)

Le guest-agent/virtio_balloon permet au noyau hôte de récupérer de la mémoire inutilisée côté invité, permettant l'overcommit mémoire. Vérification côté invité :

lsmod | grep virtio_balloon || dmesg | grep -i balloon

🔬 Travaux Pratiques (70–80 min)

Contexte

Vous êtes technicien chez InnovatTech SARL. Le responsable infrastructure vous demande de préparer une VM Debian 12 pour développement, de prendre un snapshot propre, puis de simuler une modification et de restaurer l'état antérieur. Vous travaillez sur l'hyperviseur proxmox01 (192.168.10.20) avec accès root SSH ou via l'interface web Proxmox.

Objectif

Créer la VM debian-dev (2 vCPU, 2 GiB RAM, 20 GiB LVM-Thin), installer Debian 12, réaliser un snapshot nommé clean-install, appliquer une modification (paquet ou fichier), puis rollback et vérifier la restauration.

Prérequis techniques

• Accès SSH root sur proxmox01 (ou accès Web UI)
• ISO Debian 12 uploadée sur le stockage local:iso/debian-12.iso
• Stockage local-lvm configuré en LVM-Thin

Étape 1 — Création de la VM (ID 100)

# Création avec disque 20 GiB thin
qm create 100 --name debian-dev --cores 2 --memory 2048 \
  --net0 virtio,bridge=vmbr0 --scsi0 local-lvm:20

# Attacher l'ISO d'installation
qm set 100 --ide2 local:iso/debian-12.iso,media=cdrom

# Démarrer la VM pour installation
qm start 100

Vérification attendue :

cat /etc/pve/qemu-server/100.conf
# name: debian-dev
# memory: 2048
# cores: 2
# scsi0: local-lvm:vm-100-disk-0,size=20G

Étape 2 — Installation Debian 12

Via la console Proxmox (Web UI) : suivre les étapes classiques d'installation (partitionnement, réseau DHCP sur VLAN Users si présent, création utilisateur admin).

Étape 3 — Snapshot propre après installation

qm shutdown 100            # arrêt propre du système invité
qm snapshot 100 clean-install --description "clean install"
qm listsnapshot 100
# Vérifiez la présence de 'clean-install'

Étape 4 — Simuler une modification

qm start 100
# Depuis la VM ou via SSH :
ssh root@<IP_debian-dev> 'apt update && apt install -y nginx'
# ou créer un fichier de test :
ssh root@<IP_debian-dev> 'touch /root/rollback-test'

Étape 5 — Rollback sur le snapshot

qm shutdown 100
qm rollback 100 clean-install
qm start 100

Vérification : le paquet nginx ne doit plus être installé, ou le fichier /root/rollback-test doit avoir disparu.

Livrable attendu

Copie du fichier /etc/pve/qemu-server/100.conf (ou capture écran) et rapport d'une page décrivant les commandes lancées, le résultat attendu et le résultat observé après le rollback.

Critères de réussite

• ✅ La VM 100 existe et est configurée avec 2 vCPU / 2048 MiB RAM / disque 20 GiB thin.
• ✅ Le snapshot clean-install est présent (qm listsnapshot 100).
• ✅ Après le rollback, la modification simulée a disparu et la VM retrouve l'état initial.

📌 Synthèse de séance (10 min)

Cette séance a montré que le choix d'un hyperviseur influe sur la sécurité, la maintenance et les performances : les Type 1 sont recommandés en production tandis que les Type 2 restent des outils de poste. Vous savez maintenant utiliser qm pour créer, démarrer, arrêter, snapshotter et cloner des VM, et vous comprenez les risques opérationnels (snapshots croissants, thin provisioning).

Question de vérification : Expliquez en une phrase la différence essentielle entre qm shutdown et qm stop.

Séance suivante : Réseaux virtuels, stockage et sauvegardes dans Proxmox — configuration VLAN, datastores NFS/iSCSI, sauvegarde avec vzdump et restauration (qmrestore).

🎮 Quiz — Testez vos connaissances