Für Xen wird ein Paravirtualisierungsmechanismus für IOMMU entwickelt.

Die Entwickler des Projekts XCP-NG, das eine freie Plattform für die Bereitstellung und Verwaltung von Cloud-Infrastruktur entwickelt, haben das Projekt PV-IOMMU vorgestellt, das es Gast-Systemen ermöglicht, auf eingeschränkte IOMMU-Funktionalität zuzugreifen, die mit Hilfe der Para-Virtualisierungs-Infrastruktur von Xen implementiert ist. In der Praxis kann PV-IOMMU zur Implementierung von DMA-Schutz in Dom0 verwendet werden oder zur Unterstützung des Linux-Kernel-VFIO-Subsystems. Zuvor nutzte der Hypervisor Xen IOMMU, um den Zugriff auf PCI-Geräte durchzuleiten und den Zugriff von Geräten auf den Speicher zu beschränken, jedoch konnten Gast-Systeme aus Gründen der Stabilität und Sicherheit nicht direkt auf die vom Hardware-IOMMU bereitgestellten Funktionen zugreifen.

IOMMU ist eine spezielle Speicherverwaltungseinheit, die die Übersetzung von virtuellen, für Hardware sichtbaren Adressen in physische Adressen durchführt, wodurch DMA-Operationen über virtuelle Adressen ausgeführt und gefiltert sowie Ein-/Ausgabe-Operationen eingeschränkt und isoliert werden können. Im Kontext der Virtualisierung ermöglicht IOMMU Gast-Systemen, direkt auf Peripheriegeräte wie Ethernet-Adapter, Grafikkarten und Speichercontroller zuzugreifen. Die IOMMU-Implementierung von Intel wird unter dem Namen VT-d ("Virtualization Technology for Directed I/O"), von AMD als AMD-Vi (I/O Virtualization) und von ARM als SMMU (System Memory Management Unit) bereitgestellt.

Die vorgeschlagene para-virtualisierte Implementierung (PV-IOMMU) ermöglicht es Gast-Systemen, die grundlegenden Möglichkeiten der IOMMU zu nutzen, abstrahiert jedoch alle Low-Level-Hardwaredetails. Für die Einbindung in Xen wurde ein neuer Hypercall (als Systemaufruf für Hypervisoren) namens HYPERVISOR_iommu_op eingeführt, den Gast-Systeme zur Ausführung von IOMMU-Operationen verwenden können. Unter anderem können Gast-Systeme jetzt erstellen und ändern Domains IOMMU (IOMMU-Domäne), in Xen als IOMMU-Kontexte bezeichnet, um Verwirrung mit dem Begriff „Domäne“ in Xen zu vermeiden. IOMMU-Kontexte ermöglichen den Zugang des Gast-Systems zum Speicher der Geräte und die Festlegung der Speichervirtualisierungsoperationen, die auf eins oder mehrere Geräte angewendet werden.

In der aktuellen Entwicklungsphase unterstützt PV-IOMMU nur die Intel VT-d-Technologie, aber in naher Zukunft ist geplant, die Unterstützung für AMD-Vi und SMMUv3 hinzuzufügen.

Quelle: opennet.ru