Siemens tõi turule hüperviisori Jailhouse 0.12

Siemens avalikustas vaba hüperviisori vabastamine Jailhouse 0.12. Hüperviisor toetab töötamist x86_64 süsteemides koos VMX+EPT või SVM+NPT (AMD-V) laiendustega, samuti ARMv7 ja ARMv8/ARM64 protsessorites, millel on virtualiseerimise laiendused. Eraldi areneb piltide genereerija hüperviisorile Jailhouse, mis on loodud Debian’i paketina toetatud seadmetele. Projekti kood levitatakse on GPLv2 litsentsi all.

Hüperviisor on teostatud Linuxi tuuma moodulina ja tagab virtualiseerimise tuuma tasemel. Kliendisüsteemide komponentid on juba kaasatud põhituuma Linuxi koosseisu. Isolatsiooni haldamiseks kasutatakse kaasaegsete protsessorite poolt pakutavaid riistvaralisi virtualiseerimise mehhanisme. Jailhouse'i eripäradeks on kerge teostus ja suunatus virtuaalmasinate sidumisele fikseeritud CPU, RAM-i ning riistvaraseadmetega. See lähenemine võimaldab ühel füüsilisel mitme protsessoriga serveril pakkuda mitme sõltumatute virtuaalkeskkonna tööd, millest igaüks on seotud oma protsessorituumaga.

Kuna CPU-le on jäigalt seotud, on hüperviisori töö koormus miinimumini viidud ja selle teostamine on oluliselt lihtsam, kuna keerulise ressursi jaotuse planeerija täitmise vajadust pole — eraldi CPU tuuma eraldamine garanteerib, et sellel CPU-l ei toimu muid ülesandeid. Selle lähenemise eeliseks on tagatud juurdepääs ressurssidele ja ettearvatav jõudlus, mis muudab Jailhouse'i sobivaks lahenduseks reaalajas toimingute teostamiseks. Puuduseks on piiratud skaleeritavus, mis sõltub tuumade arvust protsessoris.

Jailhouse'i terminoloogias kutsutakse virtuaalkeskkondi „tubadeks“ (cell, Jailhouse’i kontekstis). Kambris näeb süsteem välja nagu ühtse protsessori server, mis näitab jõudlust lähedal tuhande CPU tuuma jõudlusele. Kambris võib töötada mistahes operatsioonisüsteemi keskkond, samuti vähendatud keskkonnad, et käivitada ühte rakendust või spetsiaalselt ette valmistatud eraldi rakendusi, mis on mõeldud reaalajas ülesannete täitmiseks. Konfiguratsioon määratakse .cell-failides, määratledes keskkonna jaoks eraldatud CPU-d, mälu piirkonnad ja sisendi/väljundi portid.

Uues väljaandes

• Lisa to support for platforms Raspberry Pi 4 Model B ja Texas Instruments J721E-EVM;
• Ümber töötatud seade ivshmem, mida kasutatakse rakkude vahelise suhtluse korraldamiseks. Uue ivshmem'i peale saab rakendada transporti VIRTIO jaoks;
  
• Tehtud võimalus suurobade mälu (hugepage) loomise keeldumiseks Intel'i protsessorites leiduva haavatavuse blokeerimiseks, CVE-2018-12207 mis võimaldab mitteprivilegeeritud ründajal algatada teenuse keelamise rünnaku, mis viib süsteemi seisu "Machine Check Error";
• ARM64 protsessoritega süsteemides on rakendatud SMMUv3 (System Memory Management Unit) ja TI PVU (Peripheral Virtualization Unit) tugi. Isolatsiooniga keskkondade jaoks, mis käivituvad riistvara peal (bare-metal), on lisatud PCI tuge;
• x86 süsteemides on juurikamärkides võimalik aktiveerida Intel'i protsessorite poolt pakutud režiim CR4.UMIP (User-Mode Instruction Prevention), mis keelab teatud kasutaja ruumis käskude täitmise, nagu SGDT, SLDT, SIDT, SMSW ja STR, mis võivad olla kasutatud privileegide tõstmise rünnakutes.

Allikas: opennet.ru