Allgemeine Funktionsprinzipien von QEMU-KVM

Mein derzeitiges Verständnis:

1) KVM

KVM (Kernel-basierte virtuelle Maschine) - ein Hypervisor (VMM - Virtual Machine Manager), der als Modul unter Linux arbeitet. Ein Hypervisor wird benötigt, um Software in einer nicht vorhandenen (virtuellen) Umgebung auszuführen und gleichzeitig die reale physische Hardware, auf der diese Software arbeitet, vor dieser Software zu verbergen. Der Hypervisor fungiert als „Streifen“ zwischen der physischen Hardware (Host) und dem virtuellen Betriebssystem (Gast).

Da KVM ein Standardmodul des Linux-Kernels ist, empfängt es vom Kernel alle erforderlichen Nishtyaki (Arbeiten mit Speicher, Scheduler usw.). Und dementsprechend gehen letztendlich alle diese Vorteile an die Gäste (da die Gäste an einem Hypervisor arbeiten, der auf / im Linux-Kernel ausgeführt wird).

KVM ist sehr schnell, aber es allein reicht nicht aus, um ein virtuelles Betriebssystem auszuführen, weil Dies erfordert eine E / A-Emulation. Für E / A (Prozessor, Laufwerke, Netzwerk, Video, PCI, USB, serielle Schnittstellen usw.) verwendet KVM QEMU.

2) QEMU

QEMU (Quick Emulator) - ein Emulator verschiedener Geräte, mit dem Sie Betriebssysteme ausführen können, die für eine Architektur auf einer anderen entwickelt wurden (z. B. ARM -> x86). Zusätzlich zum Prozessor emuliert QEMU verschiedene Peripheriegeräte: Netzwerkkarten, Festplatten, Grafikkarten, PCI, USB usw.

Es funktioniert so:

Anweisungen / Binärcode (z. B. ARM) werden mit dem TCG-Konverter (Tiny Code Generator) in einen plattformunabhängigen Zwischencode konvertiert, und dieser plattformunabhängige Binärcode wird dann bereits in die Zielanweisungen / den Zielcode (z. B. x86) konvertiert.

ARM -> Middleware -> x86

Tatsächlich können Sie virtuelle Maschinen auf QEMU auf jedem Host ausführen, auch mit älteren Prozessormodellen, die Intel VT-x (Intel Virtualization Technology) / AMD SVM (AMD Secure Virtual Machine) nicht unterstützen. In diesem Fall funktioniert es jedoch sehr langsam, da die Binärdatei im laufenden Betrieb zweimal mit TCG neu kompiliert werden muss (TCG ist Just-in-Time-Compiler).

Das heißt, QEMU selbst ist mega cool, arbeitet aber sehr langsam.

3) Schutzringe

Der binäre Programmcode auf den Prozessoren funktioniert nicht einfach so, sondern befindet sich auf verschiedenen Ebenen (Schutzringe) mit unterschiedlichen Zugriffsebenen auf Daten, von den privilegiertesten (Ring 0) bis zu den begrenztesten, überregulierten und festgezogenen Muttern (Ring 3) )

Das Betriebssystem (OS-Kernel) läuft auf Ring 0 (Kernel-Modus) und kann mit allen Daten und Geräten alles machen. Benutzeranwendungen arbeiten auf der Ebene von Ring 3 (Benutzermodus) und haben nicht das Recht, das zu tun, was sie wollen. Stattdessen müssen sie jedes Mal den Zugriff anfordern, um einen Vorgang auszuführen (daher haben Benutzeranwendungen nur Zugriff auf ihre eigenen Daten und können dies nicht "Geh in den Sandkasten eines anderen"). Ring 1 und 2 sind für Fahrer vorgesehen.

Vor der Erfindung von Intel VT-x / AMD SVM arbeiteten Hypervisoren an Ring 0 und Gäste an Ring 1. Da Ring 1 nicht über genügend Rechte verfügt, damit das Betriebssystem normal funktioniert, musste der Hypervisor diesen Anruf bei jedem privilegierten Anruf vom Gastsystem im laufenden Betrieb ändern und führen Sie es auf Ring 0 aus (so etwas wie QEMU). Das heißt, Der Gast-Binärcode wurde NICHT direkt auf dem Prozessor ausgeführt, und jedes Mal im laufenden Betrieb gab es mehrere Zwischenänderungen.

Der Overhead war erheblich und dies war ein großes Problem, und dann veröffentlichten die Prozessorhersteller unabhängig voneinander einen erweiterten Befehlssatz (Intel VT-x / AMD SVM), mit dem der Gastbetriebssystemcode DIREKT auf dem Host-Prozessor ausgeführt werden kann (unter Umgehung kostspieliger Zwischenschritte wie z es war vorher).

Mit dem Aufkommen von Intel VT-x / AMD SVM wurde eine spezielle neue Ring-1-Stufe (minus eins) erstellt. Und jetzt arbeitet der Hypervisor daran, und die Gäste arbeiten an Ring 0 und erhalten privilegierten Zugriff auf die CPU.

Das heißt, Zusammenfassend:

• Host läuft auf Ring 0
• Gäste arbeiten am Ring 0
• Hypervisor läuft auf Ring -1

4) QEMU-KVM

KVM bietet Gästen Zugriff auf Ring 0 und emuliert mithilfe von QEMU E / A (Prozessor, Festplatten, Netzwerk, Video, PCI, USB, serielle Schnittstellen usw., die die Gäste „sehen“ und mit denen sie arbeiten).

Daher die QEMU-KVM (oder KVM-QEMU) :)

KREDITE
Ein Bild, um Aufmerksamkeit zu erregen
Bildschutzringe

PS Der Text dieses Artikels wurde ursprünglich im Telegrammkanal @RU_Voip als Antwort auf die Frage eines der Kanalteilnehmer veröffentlicht.

Schreiben Sie in die Kommentare, an welchen Stellen ich das Thema nicht richtig verstehe oder ob es etwas zu ergänzen gibt.

Vielen Dank!