{"id":37939,"date":"2019-10-31T22:20:41","date_gmt":"2019-10-31T19:20:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/obshhie-printsipy-raboty-qemu-kvm\/"},"modified":"2019-10-31T22:20:41","modified_gmt":"2019-10-31T19:20:41","slug":"obshhie-printsipy-raboty-qemu-kvm","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/obshhie-printsipy-raboty-qemu-kvm","title":{"rendered":"Og\u00f3lne zasady dzia\u0142ania QEMU-KVM","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Og\u00f3lne
\n
\nMoje obecne zrozumienie:<\/p>\n

1) KVM<\/h2>\n

\nKVM (Kernel-based Virtual Machine) \u2013 hipernadzorca (VMM \u2013 Virtual Machine Manager), dzia\u0142aj\u0105cy jako modu\u0142 w systemie operacyjnym Linux. Hipernadzorca potrzebny jest do uruchamiania oprogramowania w nieistniej\u0105cej (wirtualnej) przestrzeni, przy jednoczesnym ukrywaniu przed tym oprogramowaniem rzeczywistego fizycznego sprz\u0119tu, na kt\u00f3rym to oprogramowanie dzia\u0142a. Hipernadzorca dzia\u0142a jako 'po\u015brednik' pomi\u0119dzy fizycznym sprz\u0119tem (hostem) a wirtualnym systemem operacyjnym (go\u015bciem).<\/p>\n

Poniewa\u017c KVM jest standardowym modu\u0142em j\u0105dra Linux, otrzymuje od j\u0105dra wszystkie niezb\u0119dne zasoby (zarz\u0105dzanie pami\u0119ci\u0105, scheduler itp.). W konsekwencji, wszystkie te korzy\u015bci trafiaj\u0105 r\u00f3wnie\u017c do go\u015bci (poniewa\u017c go\u015bcie dzia\u0142aj\u0105 na hipernadzorze, kt\u00f3ry dzia\u0142a w\/na j\u0105drze systemu operacyjnego Linux).<\/p>\n

KVM jest bardzo szybki, ale sam w sobie nie wystarcza do uruchomienia wirtualnego systemu operacyjnego, poniewa\u017c do tego potrzebna jest emulacja I\/O. Do I\/O (procesor, dyski, sie\u0107, wideo, PCI, USB, porty szeregowe itd.) KVM korzysta z QEMU.
\n<\/a><\/noindex><\/p>\n

2) QEMU<\/h2>\n

\nQEMU (Quick Emulator) \u2013 emulator r\u00f3\u017cnych urz\u0105dze\u0144, kt\u00f3ry umo\u017cliwia uruchamianie system\u00f3w operacyjnych zaprojektowanych dla jednej architektury na innej (na przyk\u0142ad, ARM \u2013> x86). Opr\u00f3cz procesora, QEMU emuluje r\u00f3\u017cne urz\u0105dzenia peryferyjne: karty sieciowe, HDD, karty wideo, PCI, USB itd.<\/p>\n

Dzia\u0142a to w ten spos\u00f3b:<\/p>\n

Instrukcje\/binarne kody (na przyk\u0142ad, ARM) s\u0105 konwertowane do po\u015bredniego kodu niezale\u017cnego od platformy przy u\u017cyciu konwertera TCG (Tiny Code Generator), a nast\u0119pnie ten po\u015bredni kod binarny jest konwertowany ju\u017c na docelowe instrukcje\/kod (na przyk\u0142ad, x86).<\/p>\n

ARM \u2013> kod_pozytywny \u2013> x86<\/p>\n

W istocie, mo\u017cesz uruchamia\u0107 maszyny wirtualne na QEMU na ka\u017cdym ho\u015bcie, nawet na starych modelach procesor\u00f3w, kt\u00f3re nie wspieraj\u0105 Intel VT-x (Intel Virtualization Technology) \/ AMD SVM (AMD Secure Virtual Machine). Jednak w takim przypadku, b\u0119dzie to dzia\u0142a\u0107 do\u015b\u0107 wolno, ze wzgl\u0119du na to, \u017ce wykonywany kod binarny musi by\u0107 kompilowany w locie dwukrotnie przy pomocy TCG (TCG to kompilator Just-in-Time).<\/p>\n

To znaczy, sam QEMU jest super, ale dzia\u0142a bardzo wolno.<\/p>\n

3) Pier\u015bcienie ochrony<\/h2>\n

\n\"Og\u00f3lne
\n
\nBinarne kody program\u00f3w na procesorach nie dzia\u0142aj\u0105 bez celu, lecz znajduj\u0105 si\u0119 na r\u00f3\u017cnych poziomach (pier\u015bcieniach \/ Protection rings) z r\u00f3\u017cnymi poziomami dost\u0119pu do danych, od najbardziej uprzywilejowanego (Ring 0) do najbardziej ograniczonego, wyregulowanego i 'zabezpieczonego' (Ring 3).<\/p>\n

System operacyjny (j\u0105dro OS) dzia\u0142a w trybie Ring 0 (tryb j\u0105dra) i mo\u017ce wykonywa\u0107 dowolne operacje na wszelkich danych i urz\u0105dzeniach. Aplikacje u\u017cytkownika dzia\u0142aj\u0105 w trybie Ring 3 (tryb u\u017cytkownika) i nie maj\u0105 prawa robi\u0107, co chc\u0105, a zamiast tego musz\u0105 za ka\u017cdym razem prosi\u0107 o dost\u0119p do wykonania danej operacji (w ten spos\u00f3b aplikacje u\u017cytkownika maj\u0105 dost\u0119p tylko do w\u0142asnych danych i nie mog\u0105 \"wtr\u0105ca\u0107 si\u0119\" w \"cudz\u0105 piaskownic\u0119\"). Ring 1 i 2 s\u0105 przeznaczone do u\u017cytku przez sterowniki.<\/p>\n

Przed wynalezieniem Intel VT-x \/ AMD SVM, hipernadzorcy dzia\u0142ali w Ring 0, a go\u015bcie w Ring 1. Poniewa\u017c Ring 1 nie ma wystarczaj\u0105cych uprawnie\u0144 do normalnego dzia\u0142ania systemu operacyjnego, przy ka\u017cdym wywo\u0142aniu uprawnionym od systemu go\u015bcia, hipernadzorca musia\u0142 w locie modyfikowa\u0107 to wywo\u0142anie i wykonywa\u0107 je w Ring 0 (w spos\u00f3b przypominaj\u0105cy dzia\u0142anie QEMU). Tzn. binarny kod go\u015bcia NIE<\/i><\/b> by\u0142 wykonywany bezpo\u015brednio na procesorze, a za ka\u017cdym razem przechodzi\u0142 kilka po\u015brednich modyfikacji.<\/p>\n

Koszty operacyjne by\u0142y znaczne i stanowi\u0142o to du\u017cy problem, dlatego producenci procesor\u00f3w, niezale\u017cnie od siebie, wprowadzili rozszerzony zestaw instrukcji (Intel VT-x \/ AMD SVM), kt\u00f3re umo\u017cliwiaj\u0105 wykonywanie kodu system\u00f3w operacyjnych go\u015bci BEZPO\u015aREDNIO<\/i><\/b> na procesorze hosta (ominaj\u0105c wszelkie kosztowne po\u015brednie etapy, jak to mia\u0142o miejsce wcze\u015bniej).<\/p>\n

Wraz z wprowadzeniem Intel VT-x \/ AMD SVM, stworzono nowy specjalny poziom Ring -1 (minus jeden). I teraz na nim dzia\u0142a hipernadzorca, a go\u015bcie dzia\u0142aj\u0105 w Ring 0 i uzyskuj\u0105 przywilej dost\u0119pu do CPU.<\/p>\n

Tzn. w ko\u0144cu:<\/p>\n