Veröffentlichung der Hypervisoren Xen 4.16 und Intel Cloud Hypervisor 20.0

Nach acht Monaten der Entwicklung wurde die Freigabe des freien Hypervisors Xen 4.16 veröffentlicht. An der Entwicklung der neuen Version waren Unternehmen wie Amazon, Arm, Bitdefender, Citrix und EPAM Systems beteiligt. Die Veröffentlichung von Updates für den Xen 4.16-Zweig wird bis zum 2. Juni 2023 fortgesetzt, während die Veröffentlichung von Sicherheitskorrekturen bis zum 2. Dezember 2024 erfolgt.

Wesentliche Änderungen in Xen 4.16:

• Im TPM Manager, der den Betrieb virtueller Chips zum Speichern kryptographischer Schlüssel (vTPM) auf der Grundlage des physikalischen TPM (Trusted Platform Module) gewährleistet, wurden Korrekturen vorgenommen, um die Unterstützung der TPM 2.0-Spezifikation später zu implementieren.
• Die Abhängigkeit von der PV Shim-Schicht, die zum Starten unmodifizierter para-virtualisierter Gastsysteme (PV) in PVH- und HVM-Umgebungen verwendet wird, wurde erhöht. In Zukunft wird die Verwendung von 32-Bit para-virtualisierten Gastsystemen nur im PV Shim-Modus möglich sein, was die Anzahl der Stellen im Hypervisor verringert, an denen potenzielle Sicherheitsanfälligkeiten bestehen könnten.
• Die Möglichkeit des Ladens auf Intel-Geräten ohne programmierbaren Timer (PIT, Programmable Interval Timer) wurde hinzugefügt.
• Veraltete Komponenten wurden bereinigt, und der Standardaufbau des Codes "qemu-xen-traditional" und PV-Grub wurde eingestellt (die Notwendigkeit für Xen-spezifische Forks entfiel nach der Übertragung der Änderungen mit Xen-Unterstützung in den Hauptbestand von QEMU und Grub).
• Für Gastsysteme mit ARM-Architektur wurde eine erste Unterstützung für virtualisierte Zähler zur Leistungsüberwachung (Performance Monitor Counters) implementiert.
• Die Unterstützung des dom0less-Modus wurde verbessert, der eine Bereitstellung der dom0-Umgebung beim Serverstart überflüssig macht. virtuelle Maschinen In der frühen Phase des Serverstarts wurden Änderungen vorgenommen, die die Unterstützung von 64-Bit-ARM-Systemen mit EFI-Firmware ermöglichten.
• Die Unterstützung heterogener 64-Bit-ARM-Systeme basierend auf der big.LITTLE-Architektur wurde verbessert, die leistungsstarke, aber energiehungrige Kerne sowie weniger leistungsstarke, aber energieeffiziente Kerne in einem Chip kombiniert.

Gleichzeitig veröffentlichte das Unternehmen Intel die Version 20.0 des Cloud Hypervisor, der auf Komponenten des gemeinsamen Projekts Rust-VMM basiert, an dem neben Intel auch die Firmen Alibaba, Amazon, Google und Red Hat beteiligt sind. Rust-VMM ist in der Programmiersprache Rust geschrieben und ermöglicht die Erstellung von hypervisoren, die auf bestimmte Aufgaben zugeschnitten sind. Cloud Hypervisor ist einer dieser Hypervisoren, der einen hochgradigen Monitor für virtuelle Maschinen (VMM) bietet, der auf KVM basiert und für die spezifischen Anforderungen von Cloud-Systemen optimiert ist. Der Code des Projekts ist unter der Lizenz Apache 2.0 verfügbar.

Cloud Hypervisor konzentriert sich auf die Ausführung moderner Linux-Distributionen unter Verwendung von paravirtualisierten Geräten auf Basis von virtio. Zu den wichtigsten Aufgaben gehören: hohe Reaktionsfähigkeit, geringer Speicherverbrauch, hohe Leistung, vereinfachte Konfiguration und Reduzierung möglicher Angriffsvektoren. Die Unterstützung für Emulation wurde auf ein Minimum beschränkt, und es wird auf Paravirtualisierung gesetzt. Derzeit werden nur x86_64-Systeme unterstützt, aber es ist geplant, auch AArch64 zu unterstützen. Derzeit werden nur 64-Bit-Versionen von Linux als Gastsysteme unterstützt. Die Konfiguration von CPU, Speicher, PCI und NVDIMM erfolgt während des Aufbaus. Die Möglichkeit zur Migration von virtuellen Maschinen zwischen Servern.

In der neuen Version:

• Für die Architekturen x86_64 und aarch64 ist jetzt die Erstellung von bis zu 16 PCI-Segmenten erlaubt, was die Gesamtanzahl der zulässigen PCI-Geräte von 31 auf 496 erhöht.
• Die Unterstützung für das Binden virtueller CPUs an physische CPU-Kerne (CPU-Pinning) wurde implementiert. Für jede vCPU kann jetzt eine begrenzte Anzahl von Host-CPUs festgelegt werden, auf denen die Ausführung erlaubt ist, was nützlich sein kann, wenn Ressourcen des Hosts und des Gastsystems direkt 1:1 abgebildet werden oder wenn eine virtuelle Maschine auf einem bestimmten NUMA-Knoten gestartet wird.
• Die Unterstützung für die Virtualisierung von Ein- und Ausgabe wurde verbessert. Jeder VFIO-Bereich kann jetzt im Speicher abgebildet werden, was die Anzahl der Ausgaben aus der virtuellen Maschine verringert und die Leistung bei der Durchleitung von Geräten in die virtuelle Maschine erhöht.
• Im Rust-Code wurde daran gearbeitet, unsafe-Abschnitte durch alternative Implementierungen zu ersetzen, die im sicheren Modus ausgeführt werden. Für die verbleibenden unsafe-Abschnitte wurden detaillierte Kommentare hinzugefügt, die erklären, warum der verbleibende unsafe-Code als sicher angesehen werden kann.

Quelle: opennet.ru