Für Xen wird ein Mechanismus zur Para-Virtualisierung von IOMMU entwickelt.

Die Entwickler des XCP-NG-Projekts, das eine freie Plattform zur Bereitstellung und Verwaltung von Cloud-Infrastrukturen entwickelt, haben das Projekt PV-IOMMU vorgestellt, das es Gastbetriebssystemen ermöglicht, auf eine eingeschränkte Funktionalität der IOMMU zuzugreifen, die mit Hilfe der Paravirtualisierungsinfrastruktur von Xen implementiert wurde. In der Praxis kann PV-IOMMU verwendet werden, um DMA-Schutz in Dom0 zu implementieren oder Unterstützung für die VFIO-Kernelsubsysteme zu bieten. Zuvor verwendete der Hypervisor Xen die IOMMU, um den Zugriff auf PCI-Geräte durchzureichen und den Gerätezugriff auf den Speicher zu begrenzen, jedoch konnten Gastbetriebssysteme aus Stabilitäts- und Sicherheitsgründen nicht direkt auf den bereitgestellten IOMMU-Block zugreifen.

IOMMU ist ein spezialisiertes Speichermanagementmodul, das die Übersetzung virtueller Adressen, die durch Hardwaregeräte sichtbar sind, in physische Adressen durchführt, sowie die Durchführung und Filterung von DMA-Operationen über virtuelle Adressen ermöglicht und Ein- und Ausgabebetrieb beschränkt und isoliert. Im Kontext der Virtualisierung ermöglicht die IOMMU Gastbetriebssystemen den direkten Zugriff auf Peripheriegeräte wie Ethernet-Adapter, Grafikkarten und Speichercontroller. Die Implementierung der IOMMU von Intel wird als VT-d ("Virtualization Technology for Directed I/O"), von AMD als AMD-Vi (I/O Virtualization) und von ARM als SMMU (System Memory Management Unit) bereitgestellt.

Die vorgeschlagene paravirtualisierte Implementierung (PV-IOMMU) ermöglicht es Gastbetriebssystemen, die grundlegenden Funktionen der IOMMU zu nutzen, abstrahiert jedoch alle niederleveligen Hardwaredetails. Für die Integration in Xen wird ein neuer Hypercall (ähnlich einem Systemaufruf für Hypervisoren) namens HYPERVISOR_iommu_op angeboten, den Gastbetriebssysteme zur Durchführung von IOMMU-Operationen verwenden können. Unter anderem können Gastbetriebssysteme jetzt IOMMU-Domänen erstellen und ändern. Domains IOMMU (IOMMU-Domäne), die in Xen als IOMMU-Kontexte (IOMMU context) bezeichnet werden, um Verwirrung mit dem Begriff "Domäne" in Xen zu vermeiden. IOMMU-Kontexte ermöglichen es, den Zugriff des Gastbetriebssystems auf den Gerätespeicher zu organisieren und Speicherübersetzungsoperationen an eine oder mehrere Geräte anzuwenden.

In der aktuellen Entwicklungsphase unterstützt PV-IOMMU nur die Intel VT-d-Technologie, aber in naher Zukunft wird die Unterstützung von AMD-Vi und SMMUv3 hinzugefügt.

Quelle: opennet.ru