Az XCP-NG projekt fejlesztői, akik egy nyílt platformot dolgoznak ki a felhőinfrastruktúra telepítésére és kezelésére, bemutatták a PV-IOMMU projektet, amely lehetővé teszi a vendégrendszerek számára, hogy hozzáférjenek az IOMMU korlátozott funkcionalitásához, amelyet a Xen paravirtualizációs infrastruktúrája használ. A gyakorlatban a PV-IOMMU alkalmazható a DMA védelem megvalósítására a Dom0-ban, vagy a Linux kernel VFIO alrendszer támogatására. Korábban a Xen hipervizor használta az IOMMU-t a PCI-eszközök elérhetőségének átirányítására és az eszközök hozzáférésének korlátozására a memóriához, de a stabilitás és a biztonság érdekében a vendégrendszerek nem férhettek hozzá közvetlenül a hardver által biztosított IOMMU egységhez.
Az IOMMU egy speciális memóriairányító egység, amely a hardvereszköz által látható virtuális címek és a fizikai címek közötti átírást végzi, lehetővé téve a DMA műveletek végrehajtását és szűrését virtuális címeken, valamint az input/output műveletek korlátozását és izolálását. A virtualizációs kontextusban az IOMMU lehetővé teszi a vendégrendszerek számára, hogy közvetlenül hozzáférjenek perifériás eszközökhöz, mint például Ethernet-adapterek, grafikus kártyák és tárolóeszköz-vezérlők. Az Intel IOMMU megvalósítása VT-d néven ismert (Virtualization Technology for Directed I/O), az AMD esetében AMD-Vi (I/O Virtualization), míg az ARM esetében SMMU (System Memory Management Unit).
A javasolt paravirtualizált megoldás (PV-IOMMU) lehetővé teszi a vendégrendszerek számára, hogy kihasználják az IOMMU alapvető képességeit, ugyanakkor elvonatkoztat minden alacsony szintű hardver részlettől. Az XEN operációs rendszerhez egy új hipervizort is javasoltak (a hipervizorok rendszerhívásának megfelelően), HYPERVISOR_iommu_op néven, amelyet a vendégrendszerek használhatnak IOMMU műveletek végrehajtására. A vendégrendszerek most már képesek létrehozni és módosítani az IOMMU doméneket (IOMMU domain), amelyeket a Xen IOMMU kontextusoknak (IOMMU context) nevez, hogy elkerüljék a „doma” kifejezés zavart okozását a Xenben. Az IOMMU kontextusok lehetővé teszik a vendégrendszerek számára az eszközmemória elérését, és meghatározzák a memóriaátírási műveleteket, amelyeket egy vagy több eszközre alkalmaznak. domainok A jelenlegi fejlesztési szakaszban a PV-IOMMU csak az Intel VT-d technológiát támogatja, de hamarosan várhatóan hozzáadják az AMD-Vi és SMMUv3 támogatását.
A jelenlegi fejlesztési szakaszban a PV-IOMMU csak az Intel VT-d technológiát támogatja, de a közeljövőben várhatóan hozzáadják az AMD-Vi és SMMUv3 támogatását.
Forrás: opennet.ru
