Allgemeine Prinzipien der QEMU-KVM-Nutzung

Mein aktuelles Verständnis:

1) KVM

KVM (Kernel-based Virtual Machine) ist ein Hypervisor (VMM – Virtual Machine Manager), der als Modul im Linux-Betriebssystem läuft. Der Hypervisor ermöglicht es, Software in einer nicht existierenden (virtuellen) Umgebung auszuführen und gleichzeitig die tatsächliche physische Hardware, auf der diese Software läuft, zu verbergen. Der Hypervisor fungiert als „Verbindung“ zwischen der physischen Hardware (Host) und dem virtuellen Betriebssystem (Gast).

Da KVM ein Standardmodul des Linux-Kernels ist, erhält es alle erforderlichen Funktionen vom Kernel (Speicherzugriff, Scheduler usw.). Folglich profitieren auch die Gäste von all diesen Vorteilen, da sie auf einem Hypervisor betrieben werden, der im Kernel des Linux-Betriebssystems läuft.

KVM ist sehr schnell, aber alleine reicht es nicht aus, um ein virtuelles Betriebssystem zu starten, da für die I/O-Simulation erforderlich ist. Für die I/O-Verarbeitung (Prozessor, Festplatten, Netzwerk, Video, PCI, USB, serielle Ports usw.) verwendet KVM QEMU.

2) QEMU

QEMU (Quick Emulator) – ein Emulator für verschiedene Geräte, der es ermöglicht, Betriebssysteme, die für eine Architektur bestimmt sind, auf einer anderen zu starten (zum Beispiel ARM → x86). Neben der CPU emuliert QEMU verschiedene Peripheriegeräte: Netzwerkkarten, HDDs, Grafikkarten, PCI, USB usw.

So funktioniert das:

Anweisungen/Binärcode (z.B. ARM) werden mit Hilfe des TCG (Tiny Code Generator) in plattformunabhängigen Zwischencode umgewandelt und dieser plattformunabhängige Binärcode wird dann in Zielanweisungen/-code (z.B. x86) konvertiert.

ARM → Zwischencode → x86

Im Grunde können Sie virtuelle Maschinen auf QEMU auf jedem Host ausführen, selbst auf älteren Prozessoren, die Intel VT-x (Intel Virtualization Technology) / AMD SVM (AMD Secure Virtual Machine) nicht unterstützen. In diesem Fall funktioniert es jedoch sehr langsam, da der ausführbare Binärcode zur Laufzeit zweimal mithilfe von TCG (TCG ist ein Just-in-Time-Compiler) neu kompiliert werden muss.

Das heißt, QEMU selbst ist mega beeindruckend, aber es läuft sehr langsam.

3) Schutzringe

Der Binärcode auf Prozessoren funktioniert nicht einfach so; er befindet sich auf verschiedenen Ebenen (Ringen / Schutzringe) mit unterschiedlichen Zugriffsebenen auf Daten, von den privilegiertesten (Ring 0) bis hin zu den am stärksten eingeschränkten und regulierten (Ring 3).

Das Betriebssystem (Kern des OS) arbeitet auf Ring 0 (Kernelmodus) und kann alles mit beliebigen Daten und Geräten tun. Anwendungsprogramme für Benutzer laufen im Ring 3 (Benutzermodus) und dürfen nicht alles nach Belieben machen, sondern müssen jedes Mal um Erlaubnis bitten, bevor sie eine bestimmte Operation durchführen (somit haben Benutzeranwendungen nur Zugriff auf ihre eigenen Daten und können nicht in das „Sandkasten“ anderer eindringen). Ring 1 und 2 sind für Treiber vorgesehen.

Vor der Erfindung von Intel VT-x / AMD SVM arbeiteten Hypervisoren im Ring 0, während die Gäste im Ring 1 liefen. Da Ring 1 nicht über genügend Rechte für das ordnungsgemäße Funktionieren des Betriebssystems verfügte, musste der Hypervisor bei jedem privilegierten Aufruf von der Gastsystemseite diesen Aufruf während der Ausführung modifizieren und im Ring 0 ausführen (ähnlich wie es QEMU macht). Das bedeutet, dass der Gast-Binärcode sind direkt auf der CPU ausgeführt wurde, während er jedes Mal mehrere zwischenzeitliche Modifikationen durchlief.

Die Overheadkosten waren erheblich und stellten ein großes Problem dar. Daher führten die Prozessorhersteller unabhängig voneinander einen erweiterten Befehlssatz (Intel VT-x / AMD SVM) ein, der es ermöglichte, den Code der Gastbetriebssysteme DIREKT auf der Host-CPU auszuführen (ohne die damals aufwendigen Zwischenstufen).

Mit der Einführung von Intel VT-x / AMD SVM wurde eine spezielle neue Ebene Ring -1 (minus eins) geschaffen. Nun läuft der Hypervisor darauf, während die Gäste im Ring 0 arbeiten und privilegierten Zugriff auf die CPU erhalten.

Das heißt, zusammenfassend:

• Der Host arbeitet im Ring 0
• Die Gäste arbeiten im Ring 0
• Der Hypervisor arbeitet im Ring -1

4) QEMU-KVM

KVM ermöglicht es Gästen, auf Ring 0 zuzugreifen und verwendet QEMU zur Emulation von I/O (Prozessor, Festplatten, Netzwerk, Video, PCI, USB, serielle Ports usw.), die von den Gästen „gesehen“ und mit denen sie arbeiten.

Daher QEMU-KVM (oder KVM-QEMU) 🙂

DANKSAGUNGEN
Aufmerksamkeitsbild
Bild der Schutzringe

P.S. Der Text dieses Artikels wurde ursprünglich auf dem Telegram-Kanal veröffentlicht @RU_Voip als Antwort auf eine Frage eines Mitglieds des Kanals.

Bitte schreiben Sie in die Kommentare, wo ich das Thema missverstehe oder ob es etwas gibt, das ich ergänzen sollte.

Danke!

Quelle: habr.com