Представен е TinyKVM за виртуализация на ниво отделни процеси

Компания Varnish Software, която разработва системи за изграждане на мрежи за доставка и кеширане на съдържание, представи открит проект TinyKVM, който развива инструменти за изолация на изпълнението на отделни процеси чрез хипервизор KVM. Целта на проекта е създаването на най-бързата система за sandbox-изолация на отделни процеси, използваща хардуерна виртуализация. Кодът на проекта е написан на езиците C и C++ и се разпространява под лицензия GPLv3 (за тези, които не могат да изпълнят изискванията на GPLv3, се предлага търговска лицензия).

TinyKVM е предназначен за изолирано стартиране на всякакви консолни програми за Linux с производителност, близка до обичното изпълнение. Разходите за всеки системен повик възлизат на около 2 микросекунди. Като пример за приложение на проекта се споменава допълнителна изолация на процесите в системите за кеширане и обработка на web-запитвания. TinyKVM е разработен за замяна на емулацията на libriscv, използвана за изолация на обработката на всяко web-запитване в платформата Varnish. Допълнително е създаден вариант на библиотеката libvmod, позволяващ изпълнение на модули към Varnish с помощта на TinyKVM.

При стартиране чрез TinyKVM машинният код на програмите се изпълнява без емулиращи слоеве на CPU и се ограничава чрез API на хипервизора KVM, което позволява да се изключат разходите и да се постигне производителност, близка до тази на изпълнението без виртуализация. Основните възможности на TinyKVM са:

• Ограничение на максималното време за изпълнение. Програмата може да бъде принудително спряна след изтичането на времето, без да се задействат обработчици на сигнали и потоци.
• Ограничение на потреблението на памет.
• Възможност за разклоняване (fork) на неинициализирани екземпляри виртуални машини от един инициализиран екземпляр на изолирана програма. Копията на виртуалните машини се създават в режим copy-on-write, което позволява значителна икономия на памет, като се запазва само един екземпляр на общите данни.
• Разклонените процеси могат да се връщат в предходно състояние (например, разклонен обработчик на http-заявки може да се върне в първоначалното си състояние след обработка на всяка заявка, без да е необходимо рестартиране). Иновативният процес може също да бъде възстановен до състояние на друга виртуална машина, а не на тази, от която е бил разклонен, но в този случай разходите ще бъдат по-високи, тъй като ще е необходимо изменение на таблицата със страниците в паметта.
• Възможност за създаване на статични страници за памет по време на инициализация, подходящи дори за сложни runtime технологии, например, както е в езика Go. В този случай промените са разрешени само за страниците, които са в режим copy-on-write.
• Поддръжка на отдалечено отстраняване на грешки с помощта на GDB. Възможно е отстраняване на грешки в реално време с възобновяване на изпълнението.

Гостовото обкръжение TinyKVM образува намалено ядро, защитено от промени, събрано с вградена защита на страниците в паметта и използващо SMAP (Превенция на достъпа в режим на надзор) и SMEP (Превенция на изпълнението в режим на надзор) за допълнителна изолация между ядрото и потребителското пространство. TinyKVM използва големи страници в паметта (hugepage) за повишаване на производителността. Системните извиквания, извършвани от програмите, се прихващат от емулятора и се пренасочват към хост-обкръжението (забавянето за обработка и транслация на емулираното извикване е около 2 микросекунди). В самото виртуална машина не се използват никакви драйвери, вход/изход и виртуални устройства.

Източник: opennet.ru