當(dāng)前非常熱門的Virtualization虛擬化技術(shù)的出現(xiàn)和應(yīng)用其實(shí)已經(jīng)有數(shù)十年的歷史了，在早期，這個(gè)技術(shù)主要應(yīng)用在服務(wù)器以及大型主機(jī)上面，現(xiàn)在，隨著PC性能的不斷增長(zhǎng)，Virtualization也開始逐漸在x86架構(gòu)上流行起來(lái)。

虛擬化技術(shù)將各種資源虛擬出多臺(tái)主機(jī)，以提高這些資源的共享率和利用率

虛擬化可以將IT環(huán)境改造成為更加強(qiáng)大、更具彈性、更富有活力的架構(gòu)。通過(guò)把多個(gè)操作系統(tǒng)整合到一臺(tái)高性能服務(wù)器上，***化利用硬件平臺(tái)的所有 資源，用更少的投入實(shí)現(xiàn)更多的應(yīng)用，還可以簡(jiǎn)化IT架構(gòu)，降低管理資源的難度，避免IT架構(gòu)的非必要擴(kuò)張。客戶虛擬機(jī)的真正硬件無(wú)關(guān)性還可以實(shí)現(xiàn)虛擬機(jī)的 運(yùn)行時(shí)遷移，可以實(shí)現(xiàn)真正的不間斷運(yùn)行，從而***化保持業(yè)務(wù)的持續(xù)性，而不用為購(gòu)買超高可用性平臺(tái)而付出高昂的代價(jià)。

和Sun上的虛擬化技術(shù)（CPU分區(qū)）比起來(lái)，x86上的虛擬化要落后不少的，然而確實(shí)在不斷進(jìn)步著，在數(shù)年前，x86上還沒有什么硬件支持， 甚至連指令集都不是為虛擬化而設(shè)計(jì)，這時(shí)主要靠完全的軟件來(lái)實(shí)現(xiàn)虛擬化，當(dāng)時(shí)的代表是VMware的產(chǎn)品，以及尚未被Microsoft收購(gòu) Connectix開發(fā)的Virtual PC，在服務(wù)器市場(chǎng)上應(yīng)用的主要是VMware的產(chǎn)品，包括GSX Server和稍后的ESX Server，這些軟件虛擬化產(chǎn)品在關(guān)鍵指令上都采用了二進(jìn)制模擬/翻譯的方法，開銷顯得比較大，后期出現(xiàn)了Para-Virtualization部分 虛擬化技術(shù)，避免了一些二進(jìn)制轉(zhuǎn)換，性能得到了提升，不過(guò)仍然具有隔離性的問(wèn)題。
 

今天，虛擬化技術(shù)的各方面都有了進(jìn)步，虛擬化也從純軟件逐深入到處理器級(jí)虛擬化，再到平臺(tái)級(jí)虛擬化乃至輸入/輸出級(jí)虛擬化，代表性技術(shù)就是Intel Virtualization Technology for Directed I/O， 簡(jiǎn)寫為Intel VT-d，在介紹這個(gè)Intel VT-d之前，我們先來(lái)看看x86硬件虛擬化的***步：處理器輔助虛擬化技術(shù)，也就是Intel Virtualization Technology，分為對(duì)應(yīng)Itanium平臺(tái)的VT-i和對(duì)應(yīng)x86平臺(tái)的VT-x兩個(gè)版本。AMD公司也有對(duì)應(yīng)的技術(shù)AMD-V，用于x86平 臺(tái)。我們介紹的是x86平臺(tái)上的VT-x技術(shù)，VT-i技術(shù)原理上略為相近。

#p#

純軟件虛擬化主要的問(wèn)題是性能和隔離性。Full Virtualization完全虛擬化技術(shù)可以提供較好的客戶操作系統(tǒng)獨(dú)立性，不過(guò)其性能不高，在不同的應(yīng)用下，可以消耗掉主機(jī)10%~30%的資源。 而OS Virtualization可以提供良好的性能，然而各個(gè)客戶操作系統(tǒng)之間的獨(dú)立性并不強(qiáng)。無(wú)論是何種軟件方法，隔離性都是由Hypervisor軟件 提供的，過(guò)多的隔離必然會(huì)導(dǎo)致性能的下降。

這些問(wèn)題主要跟x86設(shè)計(jì)時(shí)就沒有考慮虛擬化有關(guān)。我們先來(lái)看看x86處理器的Privilege特權(quán)等級(jí)設(shè)計(jì)。

x86架構(gòu)為了保護(hù)指令的運(yùn)行，提供了指令的4個(gè)不同Privilege特權(quán)級(jí)別，術(shù)語(yǔ)稱為Ring，從Ring 0～Ring 3。Ring 0的優(yōu)先級(jí)***，Ring 3***。各個(gè)級(jí)別對(duì)可以運(yùn)行的指令有所限制，例如，GDT，IDT，LDT，TSS等這些指令就只能運(yùn)行于Privilege 0，也就是Ring 0。要注意Ring/Privilege級(jí)別和我們通常認(rèn)知的進(jìn)程在操作系統(tǒng)中的優(yōu)先級(jí)并不同。

操作系統(tǒng)必須要運(yùn)行一些Privilege 0的特權(quán)指令，因此Ring 0是被用于運(yùn)行操作系統(tǒng)內(nèi)核，Ring 1和Ring 2是用于操作系統(tǒng)服務(wù)，Ring 3則是用于應(yīng)用程序。然而實(shí)際上并沒有必要用完4個(gè)不同的等級(jí)，一般的操作系統(tǒng)實(shí)現(xiàn)都僅僅使用了兩個(gè)等級(jí)，即Ring 0和Ring 3，如圖所示：

也就是說(shuō)，在一個(gè)常規(guī)的x86操作系統(tǒng)中，系統(tǒng)內(nèi)核必須運(yùn)行于Ring 0，而VMM軟件以及其管理下的Guest OS卻不能運(yùn)行于Ring 0——因?yàn)槟菢泳蜔o(wú)法對(duì)所有虛擬機(jī)進(jìn)行有效的管理，就像以往的協(xié)同式多任務(wù)操作系統(tǒng)（如，Windows 3.1）無(wú)法保證系統(tǒng)的穩(wěn)健運(yùn)行一樣。在沒有處理器輔助的虛擬化情況下，挑戰(zhàn)就是采用Ring 0之外的等級(jí)來(lái)運(yùn)行VMM (Virtual Machine Monitor，虛擬機(jī)監(jiān)視器)或Hypervisor，以及Guest OS。

現(xiàn)在流行的解決方法是Ring Deprivileging（暫時(shí)譯為特權(quán)等級(jí)下降），并具有兩種選擇：客戶OS運(yùn)行于Privilege 1（0/1/3模型），或者Privilege 3（0/3/3模型）。

無(wú)論是哪一種模型，客戶OS都無(wú)法運(yùn)行于Privilege 0，這樣，如GDT，IDT，LDT，TSS這些特權(quán)指令就必須通過(guò)模擬的方式來(lái)運(yùn)行，這會(huì)帶來(lái)很明顯的性能問(wèn)題。特別是在負(fù)荷沉重、這些指令被大量執(zhí)行的時(shí)候。

同時(shí)，這些特權(quán)指令是真正的“特權(quán)”，隔離不當(dāng)可以嚴(yán)重威脅到其他客戶OS，甚至主機(jī)OS。Ring Deprivileging技術(shù)使用IA32架構(gòu)的Segment Limit（限制分段）和Paging（分頁(yè)）來(lái)隔離VMM和Guest OS，不幸的是EM64T的64bit模式并不支持Segment Limit模式，要想運(yùn)行64bit操作系統(tǒng)，就必須使用Paging模式。

對(duì)于虛擬化而言，使用Paging模式的一個(gè)致命之處是它不區(qū)分Privileg 0/1/2模式，因此客戶機(jī)運(yùn)行于Privileg 3就成為了必然（0/3/3模型），這樣Paging模式才可以將主機(jī)OS和客戶OS隔離開來(lái)，然而在同一個(gè)Privileg模式下的不同應(yīng)用程序（如， 不同的虛擬機(jī)）是無(wú)法受到Privileg機(jī)構(gòu)保護(hù)的，這就是目前IA32帶來(lái)的隔離性問(wèn)題，這個(gè)問(wèn)題被稱為Ring Compression。

IA32不支持VT，就無(wú)法虛擬64-bit客戶操作系統(tǒng)

這個(gè)問(wèn)題的實(shí)際表現(xiàn)是：VMware在不支持Intel VT的IA32架構(gòu)CPU上無(wú)法虛擬64-bit客戶操作系統(tǒng)，因?yàn)闊o(wú)法在客戶OS之間安全地隔離。

#p#

作為一個(gè)芯片輔助（Chip-Assisted）的虛擬化技術(shù)，VT可以同時(shí)提升虛擬化效率和虛擬機(jī)的安全性，下面我們就來(lái)看看Intel VT帶來(lái)了什么架構(gòu)上的變遷。我們談?wù)摰闹饕荌A32上的VT技術(shù)，一般稱之為VT-x，而在Itanium平臺(tái)上的VT技術(shù)，被稱之為VT-i。

VT-x將IA32的CU操作擴(kuò)展為兩個(gè)forms（窗體）：VMX root operation（根虛擬化操作）和VMX non-root operation（非根虛擬化操作），VMX root operation設(shè)計(jì)來(lái)供給VMM/Hypervisor使用，其行為跟傳統(tǒng)的IA32并無(wú)特別不同，而VMX non-root operation則是另一個(gè)處在VMM控制之下的IA32環(huán)境。所有的forms都能支持所有的四個(gè)Privileges levels，這樣在VMX non-root operation環(huán)境下運(yùn)行的虛擬機(jī)就能完全地利用Privilege 0等級(jí)。

兩個(gè)世界：VMX non-root和VMX root

和一些文章認(rèn)為的很不相同，VT同時(shí)為VMM和Guest OS提供了所有的Privilege運(yùn)行等級(jí)，而不是只讓它們分別占據(jù)一個(gè)等級(jí)：因?yàn)閂MM和Guest OS運(yùn)行于不同的兩個(gè)forms。

由此，GDT、IDT、LDT、TSS等這些指令就能正常地運(yùn)行于虛擬機(jī)內(nèi)部了，而在以往，這些 特權(quán)指令需要模擬運(yùn)行。而VMM也能從模擬運(yùn)行特權(quán)指令當(dāng)中解放出來(lái)，這樣既能解決Ring Aliasing問(wèn)題（軟件運(yùn)行的實(shí)際Ring與設(shè)計(jì)運(yùn)行的Ring不相同帶來(lái)的問(wèn)題），又能解決Ring Compression問(wèn)題，從而大大地提升運(yùn)行效率。Ring Compression問(wèn)題的解決，也就解決了64bit客戶操作系統(tǒng)的運(yùn)行問(wèn)題。

為了建立這種兩個(gè)虛擬化窗體的架構(gòu)，VT-x設(shè)計(jì)了一個(gè)Virtual-Machine Control Structure（VMCS，虛擬機(jī)控制結(jié)構(gòu)）的數(shù)據(jù)結(jié)構(gòu)，包括了Guest-State Area（客戶狀態(tài)區(qū)）和Host-State Area（主機(jī)狀態(tài)區(qū)），用來(lái)保存虛擬機(jī)以及主機(jī)的各種狀態(tài)參數(shù)，并提供了VM entry和VM exit兩種操作在虛擬機(jī)與VMM之間切換，用戶可以通過(guò)在VMCS的VM-execution control fields里面指定在執(zhí)行何種指令/發(fā)生何種事件的時(shí)候，VMX non-root operation環(huán)境下的虛擬機(jī)就執(zhí)行VM exit，從而讓VMM獲得控制權(quán)，因此VT-x解決了虛擬機(jī)的隔離問(wèn)題，又解決了性能問(wèn)題。

#p#

我們可以看到，Inter VT的出現(xiàn)，可以解決了重要的虛擬處理器架構(gòu)問(wèn)題，讓純軟件虛擬化解決方案的性能問(wèn)題得以大大緩解。然而要做的事情還有很多。

我們知道對(duì)于服務(wù)器而言，很重要的一個(gè)組成部分就I/O，CPU的計(jì)算能力提升雖然可以更快地處理數(shù)據(jù)，但是前提是數(shù)據(jù)能夠順暢的到達(dá)CPU， 因此，無(wú)論是存儲(chǔ)，還是網(wǎng)絡(luò)，以及圖形卡、內(nèi)存等，I/O能力都是企業(yè)級(jí)架構(gòu)的一個(gè)重要部分。為此，人們不但在傳輸帶寬上投資（比如從百兆以太網(wǎng)到千兆以 太網(wǎng)再到萬(wàn)兆以太網(wǎng)），還在各種系統(tǒng)和架構(gòu)上進(jìn)行了大量的投入（比如吞吐量更高的RAID系列、多層數(shù)據(jù)中心）。

在虛擬化技術(shù)中，隨著整體處理器資源的利用效率的提升，對(duì)數(shù)據(jù)I/O也提出了更高的要求。

VMM虛擬機(jī)管理器必須提供I/O虛擬化來(lái)支持處理來(lái)自多個(gè)客戶機(jī)的I/O請(qǐng)求，當(dāng)前的虛擬化技術(shù)采用下列的方式來(lái)處理I/O虛擬化。
 

模擬I/O設(shè)備：VMM對(duì)客戶機(jī)摸擬一個(gè)I/O設(shè) 備，通過(guò)完全模擬設(shè)備的功能，客戶機(jī)可以使用對(duì)應(yīng)真實(shí)的驅(qū)動(dòng)程序，這個(gè)方式可以提供***的兼容性（而不管這個(gè)設(shè)備事實(shí)上存不存在），但是顯然這種模擬會(huì)影 響到性能。作為例子，各種虛擬機(jī)在使用軟盤映像提供虛擬軟驅(qū)的時(shí)候，就運(yùn)行在這樣的方式，以及Virtual PC的模擬的真實(shí)的S3 Virge 3D顯卡，VMware系列模擬的Sound Blaster 16聲卡，都屬于這種方式。

額外軟件界面：這個(gè)模型比較像I/O模擬模 型，VMM軟件將提供一系列直通的設(shè)備接口給虛擬機(jī)，從而提升了虛擬化效率，這有點(diǎn)像Windows操作系統(tǒng)的DirectX技術(shù)，從而提供比I/O模擬 模型更好的性能，當(dāng)然兼容性有所降低，例如VMware模擬的VMware顯卡就能提供不錯(cuò)的顯示速度，不過(guò)不能完全支持DirectDraw技 術(shù)，Direct3D技術(shù)就更不用想了。相似的還有VMware模擬的千兆網(wǎng)卡，等等，這些品牌完全虛擬的設(shè)備（例如，VMware牌顯卡，VMware 牌網(wǎng)卡）需要使用特制的驅(qū)動(dòng)程序部分直接地和主機(jī)、硬件通信，比起以前完全模擬的通過(guò)虛擬機(jī)內(nèi)的驅(qū)動(dòng)程序訪問(wèn)虛擬機(jī)的十兆百兆網(wǎng)卡，可以提供更高的吞吐 量。

現(xiàn)在的I/O設(shè)備虛擬化主要是采用模擬方式或者軟件接口方式，因此性能上很容易成為瓶頸——畢竟傳統(tǒng)的機(jī)器上，I/O設(shè)備都很容易成為瓶頸，因 此Intel就適時(shí)提出了Intel Virtualization Technology for Directed I/O，簡(jiǎn)稱為Intel VT-d。

#p#

I/O虛擬化的關(guān)鍵在于解決I/O設(shè)備與虛擬機(jī)數(shù)據(jù)交換的問(wèn)題，而這部分主要相關(guān)的是DMA直接內(nèi)存存取，以及IRQ中斷請(qǐng)求，只要解決好這兩個(gè)方面的隔離、保護(hù)以及性能問(wèn)題，就是成功的I/O虛擬化。

和處理器上的Intel VT-i和VT-x一樣，Intel VT-d技術(shù)是一種基于North Bridge北橋芯片（或者按照較新的說(shuō)法：MCH）的硬件輔助虛擬化技術(shù)，通過(guò)在北橋中內(nèi)置提供DMA虛擬化和IRQ虛擬化硬件，實(shí)現(xiàn)了新型的I/O虛 擬化方式，Intel VT-d能夠在虛擬環(huán)境中大大地提升 I/O 的可靠性、靈活性與性能。

傳統(tǒng)的IOMMUs（I/O memory management units，I/O內(nèi)存管理單元）提供了一種集中的方式管理所有的DMA——除了傳統(tǒng)的內(nèi)部DMA，還包括如AGP GART、TPT、RDMA over TCP/IP等這些特別的DMA，它通過(guò)在內(nèi)存地址范圍來(lái)區(qū)別設(shè)備，因此容易實(shí)現(xiàn)，卻不容易實(shí)現(xiàn)DMA隔離，因此VT-d通過(guò)更新設(shè)計(jì)的IOMMU架構(gòu)， 實(shí)現(xiàn)了多個(gè)DMA保護(hù)區(qū)域的存在，最終實(shí)現(xiàn)了DMA虛擬化。這個(gè)技術(shù)也叫做DMA Remapping。

I/O設(shè)備會(huì)產(chǎn)生非常多的中斷請(qǐng)求，I/O虛擬化必須正確地分離這些請(qǐng)求，并路由到不同的虛擬機(jī)上。傳統(tǒng)設(shè)備的中斷請(qǐng)求可以具有兩種方式：一種 將通過(guò)I/O中斷控制器路由，一種是通過(guò)DMA寫請(qǐng)求直接發(fā)送出去的MSI（message signaled interrupts，消息中斷），由于需要在DMA請(qǐng)求內(nèi)嵌入目標(biāo)內(nèi)存地址，因此這個(gè)架構(gòu)須要完全訪問(wèn)所有的內(nèi)存地址，并不能實(shí)現(xiàn)中斷隔離。

VT-d實(shí)現(xiàn)的中斷重映射（interrupt-remapping）架構(gòu)通過(guò)重新定義MSI的格式來(lái)解決這個(gè)問(wèn)題，新的MSI仍然是一個(gè) DMA寫請(qǐng)求的形式，不過(guò)并不嵌入目標(biāo)內(nèi)存地址，取而代之的是一個(gè)消息ID，通過(guò)維護(hù)一個(gè)表結(jié)構(gòu)，硬件可以通過(guò)不同的消息ID辨認(rèn)不同的虛擬機(jī)區(qū)域。 VT-d實(shí)現(xiàn)的中斷重映射可以支持所有的I/O源，包括IOAPICs，以及所有的中斷類型，如通常的MSI以及擴(kuò)展的MSI-X。

VT-d進(jìn)行的改動(dòng)還有很多，如硬件緩沖、地址翻譯等，通過(guò)這些種種措施，VT-d實(shí)現(xiàn)了北橋芯片級(jí)別的I/O設(shè)備虛擬化。VT-d最終體現(xiàn)到虛擬化模型上的就是新增加了兩種設(shè)備虛擬化方式：

左邊是傳統(tǒng)的I/O模擬虛擬化，右邊是直接I/O設(shè)備分配

直接I/O設(shè)備分配：虛擬機(jī)直接分配物理I/O設(shè) 備給虛擬機(jī)，這個(gè)模型下，虛擬機(jī)內(nèi)部的驅(qū)動(dòng)程序直接和硬件設(shè)備直接通信，只需要經(jīng)過(guò)少量，或者不經(jīng)過(guò)VMM的管理。為了系統(tǒng)的健壯性，需要硬件的虛擬化支 持，以隔離和保護(hù)硬件資源只給指定的虛擬機(jī)使用，硬件同時(shí)還需要具備多個(gè)I/O容器分區(qū)來(lái)同時(shí)為多個(gè)虛擬機(jī)服務(wù)，這個(gè)模型幾乎完全消除了在VMM中運(yùn)行驅(qū) 動(dòng)程序的需求。例如CPU，雖然CPU不算是通常意義的I/O設(shè)備——不過(guò)它確實(shí)就是通過(guò)這種方式分配給虛擬機(jī)，當(dāng)然CPU的資源還處在VMM的管理之 下。

I/O設(shè)備共享：這個(gè)模型是I/O分配模型的一個(gè)擴(kuò)展，對(duì)硬件具有很高的要求，需要設(shè)備支持多個(gè)功能接口，每個(gè)接口可以單獨(dú)分配給一個(gè)虛擬機(jī)，這個(gè)模型無(wú)疑可以提供非常高的虛擬化性能表現(xiàn)。

運(yùn)用VT-d技術(shù)，虛擬機(jī)得以使用直接I/O設(shè)備分配方式或者I/O設(shè)備共享方式來(lái)代替?zhèn)鹘y(tǒng)的設(shè)備模擬/額外設(shè)備接口方式，從而大大提升了虛擬化的I/O性能。

#p#

主流雙路Xeon Stoakley平臺(tái)將支持Intel VT-d技術(shù)

高端四路Caneland平臺(tái)也會(huì)支持VT-d功能

根據(jù)資料表明，不日發(fā)布的Stoakley平臺(tái)和Caneland平臺(tái)上將包含VT-d功能，Stoakley平臺(tái)是現(xiàn)在的Bensley的下 一代產(chǎn)品，用于雙路Xeon處理器，而Caneland則是Truland的繼任者，用于四路Xeon處理器，這些芯片組都能支持***的45nm Penryn處理器。

從Intel虛擬化技術(shù)發(fā)展路線圖來(lái)看，虛擬化無(wú)疑是從處理器逐漸擴(kuò)展到其他設(shè)備的，從VT-i/VT-x到VT-d就非常體現(xiàn)了這個(gè)過(guò)程，對(duì) 于關(guān)注I/O性能的企業(yè)級(jí)應(yīng)用而言，完成了處理器的虛擬化和I/O的虛擬化，整個(gè)平臺(tái)的虛擬化就接近完成了，因此在未來(lái)，Intel將會(huì)持續(xù)地開發(fā)VT- d技術(shù)，將各種I/O設(shè)備中加入虛擬化特性，從而提供一個(gè)強(qiáng)大的虛擬化基礎(chǔ)架構(gòu)