linux 虚拟化虚拟化董耀祖 - 2008年2月19日
Linux 虚拟化2008年2月19日董耀祖 (Eddie.dong@) 2008Linux开发者研讨会—中国Agenda什么是虚拟化 Linux虚拟化 虚拟电源管理 客户端虚拟化（Client Virtualization) 虚拟化性能2什么是虚拟机和Virtual Machine Monitor (VMM) 什么是虚拟机和VMM是一层薄的软件将单一的物理机器转换成多个影像。
每一个影像(或虚拟机)是原始计算机系统的有效复制，并具有完整的处理器指令。
(A virtual machine monitor is) software which transforms the single machine interface into the illusion of many. Each of these interfaces (virtual machines) is an efficient replica of the original computer system, complete with all of the processor instructions. • Gerald J. Popek and Robert P. Goldberg, SOSP 1973 虚拟机是通过在物理平台上添加的软件给出的一个或多个不同的平台。
一个虚拟机可以有一 个操作系统，指令集或两者兼有之，但可以不同于底下的真实的硬件。
A virtual machine is implemented by adding software to an execution platform to give it the appearance of a different platform, or for that matter, to give the appearance of multiple platforms. A virtual machine may have an operating system, instruction set, or both, that differ from those implemented on the underlying real hardware.•J. E. Smith and Ravi Nair, Usenix 20053感知虚拟机VM0App AppApplication Operating SystemApplication...NICApplicationVM1...AppAppApp...AppDevice Drivers IDE…Guest OS0 GFX...Guest OS1Physical Host HardwareProcessorsMemoryGraphicsVirtual Machine Monitor (VMM)Physical Host HardwareNetworkStorageKeyboard / MouseWithout VMs: Single OS owns all hardware resourcesWith VMs: Multiple OSes share hardware resources4Agenda什么是虚拟化 Linux虚拟化 虚拟电源管理 客户端虚拟化（Client Virtualization) 虚拟化性能5Linux VMM实现 实现KVM• • • • • •将宿主机Linux*作为hypervisor 客户机运行在主机进程中– 每一个虚拟CPUs运行在主机线程中采用硬件辅助完全虚拟化 Xen Hypervisor Domain 0 (dom0) 作为服务域 初使采用协同虚拟化(para-virtualization)– 从Xen3.0起支持硬件辅助完全虚拟化Xen*6Linux VMM的实现状况 续 的实现状况– 的实现状况Lguest• •是一个非常小的Linux hypervisor用于在Linux宿主机上运行Linux客户机, 主要用 来清晰地展示para-virtualization的机理和他的魅力 为体系结构协同虚拟化(paravirt_ops)提供一个测试平台– paravirt_ops 将所有敏感指令替换成一个paravirt操作，以便不同的hypervisor通过替 换paravirt操作提供不同的para-virtualization方法7KVM的体系结构 的体系结构采用宿主机调度管理器和内存交换机制 高速宿主机中断处理 高速设备仿真路径8Xen的体系结构 的体系结构Domain0: Para-Virtualization Domain DomainU: Para-Virtualization Domain HVM (Hardware Virtual Machine) Domain Virtual I/O Devices App App App App AppDomain 0 用作服务域并且提供设备仿真 Domain 0 拥有物理设备Control Panel Native Device DriversFE Virtual DriversUnmodified OSFront end Virtual DriversBackend Virtual driverGuest BIOS Virtual PlatformXenlinuxXenlinuxHypercall/Event Xen HypervisorVM Exit/EntryVirtual CPUVirtual I/O Devices Local IO APIC, PITVirtual MMUPlatform with Hardware-Based Virtualization (e.g. Intel® Virtualization Technology on IA-32, EM64T, IPF, aka IA-64)•物理中断首先被hypervisor截取轻量级hypervisor9Agenda什么是虚拟化 Linux虚拟化 虚拟电源管理 客户端虚拟化（Client Virtualization) 虚拟化性能10虚拟电源管理(vPM)虚拟机电源管理资源•虚拟ACPI 寄存器•虚拟CPU•客户机ACPI 表等虚拟机电源状态•虚拟Sx•虚拟Cx•虚拟Px对虚拟机电源管理资源的操作 虚拟机电源状态的变化 真实电源状态的变化•Dom0 拥有电源管理策略(OSPM)vPM: 全局S3 状态实现挂起(Suspend)•S3 策略管理者(Hypervisor or 特权虚拟机) 向所有虚拟机发送S3 suspend 请求, 各虚拟机分别处理虚拟S3 挂起请求并进入虚拟S3 状态•Hypervisor将除启动处理器以外的其他处理器编程进入离线状态•Hypervisor 将自己拥有的设备挂起•Hypervisor 设置唤醒矢量(wakeup vector)•Hypervisor 编程ACPI 寄存器以进入S3 睡眠状态唤醒(Wakeup)•BSP 跳到Hypervisor 的唤醒矢量处(wakeup vector)•Hypervisor唤醒其他CPU•Hypervisor唤醒设备•Hypervisor将唤醒的处理器编程进入在线状态•Hypervisor 向其他虚拟机发送虚拟S3唤醒信号, 各虚拟机分别处理各自的唤醒要求范例: Xen 全局S3挂起的流程Dom 0 Devices : Disk, NIC ...Dom 0OSPMDevice DriverAssigned DeviceDriver Domain ACPI RegisterDevice DriverXen Device :PIT/APIC /...Hypervisor PM HandlerDevice Driver123457: S3 cmd6Agenda什么是虚拟化Linux虚拟化虚拟电源管理客户端虚拟化（Client Virtualization)虚拟化性能虚拟器械(Virtual Appliance)基于Xen的嵌入式IT 解决方案用户操作系统(UOS)•主要操作系统用作与用户的交互服务操作系统(SOS)•提供虚拟器械服务, 如网络包过滤, IP电话等Xen客户端虚拟化-虚拟器械的体系结构虚拟器械的体系结构SOS UOSAgenda什么是虚拟化Linux虚拟化虚拟电源管理客户端虚拟化（Client Virtualization)虚拟化性能KVM优化开始之初(KVM-18)Linux内核编译的性能只有Xen的1/3•分析确定为过量的VM Exit 和对KVM内核对VM Exit过于冗长的处理–对轻量级VM Exit提供处理的快速通道–优化影子页表以降低VM Exit次数–Lazy fp处理等影子TPR (Task Priority Register)和对32位版Windows TPR访问的动态代码修补等提升Windows尤其是多处理器Windows的性能KVM: 内核编译性能0.00%10.00%20.00%30.00%40.00%50.00%60.00%70.00%80.00%18192021222324252627282930313335release #v s . n a t i v eGuest timeNet time目前KVM 尚处于开发阶段, 对它的性能优化也处于不断进行中目前KVM 尚处于开发阶段, 对它的性能优化也处于不断进行中Xen 性能20406080100120Kernel BuildCPU SpecINTCPU SpecFP CPU SoakSpecJBBByteSB CPUSB Thread SB Mutex SB Memory SB FileIOSB OLTPXen ChangeSet 12375P e r f o r m a n c e R e l a t i v e t o N a t i v e S y s t e m (P e r c e n t a g e )HVM domainHVM domain(PV)Native System相关链接Extending Xen* with Intel® Virtualization Technology• • • • •/technology/itj/2006/v10i3/3-xen/1-abstract.htmOLS文章./2008/archives.phpKVM项目/kvmwikiXen项目/Pages/default.aspx基于Xen的虚拟器械（Virtual Appliance）21Legal InformationINFORMATION IN THIS DOCUMENT IS PROVIDED IN CONNECTION WITH INTEL® PRODUCTS. EXCEPT AS PROVIDED IN INTEL'S TERMS AND CONDITIONS OF SALE FOR SUCH PRODUCTS, INTEL ASSUMES NO LIABILITY WHATSOEVER, AND INTEL DISCLAIMS ANY EXPRESS OR IMPLIED WARRANTY RELATING TO SALE AND/OR USE OF INTEL PRODUCTS, INCLUDING LIABILITY OR WARRANTIES RELATING TO FITNESS FOR A PARTICULAR PURPOSE, MERCHANTABILITY, OR INFRINGEMENT OF ANY PATENT, COPYRIGHT, OR OTHER INTELLECTUAL PROPERTY RIGHT. Intel may make changes to specifications, product descriptions, and plans at any time, without notice. All dates provided are subject to change without notice. Intel is a trademark of Intel Corporation in the U.S. and other countries. *Other names and brands may be claimed as the property of others. Copyright © 2008, Intel Corporation. All rights are protected.2223。
Linux内核虚拟化
Linux内核虚拟化作者：裴大容来源：《中小企业管理与科技·下旬刊》2011年第11期摘要：随着内核虚拟机（KVM）的出现，Linux 虚拟化的前景发生了变化，KVM是内核的一部分，可以利用内核本身的优化和改进。
与其他独立系统管理程序解决方案相比，这种方法是一种不会过时的技术，这对于现有解决方案来说是一个巨大的飞跃。
关键词：虚拟化KVM内核虚拟机1 概述Linux自诞生以来，经过全球数千开发者的工作，性能不断得到改善，具有良好的灵活性，在虚拟化方面同样出色，特别是随着内核虚拟机（KVM）的出现，Linux虚拟化的前景发生了变化。
虚拟化不是新概念，进行虚拟化目的是为了将某种形式的东西以另外一种形式呈现出来。
对计算机进行虚拟化就是要将计算机以多台计算机形式或一台与以前完全不同的计算机形式呈现出来。
虚拟化也可以将多台计算机组合成一台计算机的形式呈现出来，这通常称为服务器聚合或网格计算。
从商业角度来分析，使用虚拟化技术有许多原因，大部分原因归根到底都是为了服务器的巩固。
简而言之，若能通过虚拟化对一个服务器上未经充分利用的系统加以充分利用，显然可以减少服务器数量，节省大量电力、空间、制冷和管理成本。
虚拟化技术对于从事开发的人员来说也非常重要。
Linux 内核占据一个单一的地址空间，这意味着内核或者任何驱动程序的故障都会导致整个操作系统崩溃。
虚拟化技术意味着您可以运行多个操作系统，如果其中一个系统由于某个bug而崩溃，那么系统管理程序和其他操作系统仍可正常运行。
这使得内核的调试非常类似于用户空间应用程序的调试。
KVM[1]是一个相对较新、较简单，但也非常强大的虚拟化引擎，它已经集成到Linux内核中去了，让内核天生有虚拟化的能力，因为KVM使用的是基于硬件的虚拟化技术，它不需要修改客户操作系统，因此，部署在一个受支持的处理器上，它可以从Linux支持任何平台。
2 虚拟化的工作原理虚拟化解决方案的底层是要进行虚拟化的机器。
linux虚拟化常用命令
linux虚拟化常用命令当谈到Linux虚拟化，我们可以提到许多常用命令。
虚拟化技术允许在一台物理主机上运行多个虚拟机实例，这使得服务器资源能够更有效地使用。
在本文中，我们将介绍一些常用的Linux虚拟化命令，并逐步回答以下主题：如何创建和管理虚拟机、如何配置网络、如何迁移虚拟机以及如何监视和管理虚拟化环境。
1. 创建和管理虚拟机在Linux虚拟化中，最常用的工具之一是KVM（Kernel-based Virtual Machine）。
使用KVM，我们可以通过以下步骤创建和管理虚拟机：- 安装和配置KVM：首先，我们需要在Linux主机上安装KVM软件包。
在大多数基于Debian的发行版上，可以使用apt-get包管理器来安装KVM。
然后，我们需要确保主机的处理器具有硬件虚拟化扩展（如Intel VT或AMD-V）。
最后，我们需要加载KVM内核模块，这可以通过使用modprobe命令来实现。
- 创建虚拟机：一旦安装和配置了KVM，我们就可以使用virt-install 命令创建虚拟机。
该命令允许我们指定虚拟机的名称、磁盘映像、内存和处理器的数量等参数。
- 启动和停止虚拟机：使用virsh命令行工具可以启动和停止虚拟机。
例如，要启动一个名为"vm1"的虚拟机，我们可以使用以下命令：virsh start vm1。
同样，使用virsh destroy vm1命令可以停止该虚拟机。
- 管理虚拟机：KVM还提供了一些其他命令，可以用于管理虚拟机。
例如，使用virsh list命令可以列出当前运行的虚拟机。
使用virsh edit 命令可以编辑虚拟机的配置文件。
使用virsh migrate命令可以迁移虚拟机到其他物理主机。
2. 配置网络网络配置是在虚拟化环境中的另一个重要方面。
下面是一些常用的命令，可以用来配置Linux虚拟机的网络：- ifconfig命令：它用于配置和管理网络接口。
基于 X e n 的可信虚拟机系统 T V X e n 的研究设计
收稿日期:2010-06-22作者简介:女,1967年生,高级实验师,张家口市,075000基金项目:河北省科技支撑计划项目(72135227)基于Xen 的可信虚拟机系统T V /Xen 的研究设计屈建萍1 刘雪峰2 王伟丽31 河北建筑工程学院;2 解放军信息工程大学电子技术学院;3 河北外国语职业学院摘 要 可信计算的出现为维护信息系统的安全带来了新的思路和方法,可信计算存在的应用问题的解决对于更好的利用可信计算技术维护信息系统的安全性将具有十分重要的意义.本文研究设计一套基于Xen 的可信虚拟机系统T V/Xen,对系统的构建方法进行了研究和探讨,并利用该系统解决了针对T CG 完整性度量的T OCTOU 攻击问题.关键词 可信计算;虚拟机监视器;vT PM ;TCP/VMM ;T V/Xen中图分类号 TP3090 引 言目前PC 平台存在的不安全问题,绝大多数都是因为PC 和操作系统在体系结构上存在着设计弱点和安全漏洞.可信计算技术为各种安全问题的解决提供了新的思路和方法.可信计算技术是一种新的信息安全手段,它通过信任链传递等机制确保终端平台的 可信 .目前可信计算技术已经有了很大的发展,但还存在着以下应用问题,一是可信计算对终端平台的安全控制与用户对本机操作的灵活性之间存在矛盾,二是可信计算与操作系统相结合的研究和应用还比较少.通过探索和研究可信计算与操作系统有机结合的问题,在基于虚拟机系统构建的可信计算平台架构中,对可信计算与虚拟机系统的相互结合问题进行深入研究.提出了一种基于虚拟机系统构建的可信计算平台架构 T CP/VM M 架构.在此基础上,对T CP/VM M 架构中可信计算与虚拟机监视器的相互结合问题进行了深入研究,并设计和初步实现了一个符合这种架构的系统 基于Xen 的可信虚拟机系统,简称TV/Xen 系统.本文将对TV/Xen 系统的实现方法进行探索和研究,并给出该系统的一个应用实例.1 T V /Xen 系统的构建1 1 系统关键部件1 1 1 T XenTV/Xen 系统是基于开源虚拟机监控软件Xen 实现的.应用到TCP/VMM 架构下的Xen 虚拟机监视器被称为 TXen(T rusted Xen) ,它主要具有以下特性:(1)隔离性.TXen 对上层的各虚拟机提供严格的隔离机制.这是T CP/VM M 架构能够解决可信计算技术所产生的各种应用问题的关键所在.通过对上层应用的隔离,某一应用的脆弱性不会影响到其他系统,不会产生传统系统所存在的 木桶效应 问题,确保了特定虚拟机的机密性和完整性.(2)可信性.能够向上层提供可信计算功能,保护用户的重要数据,也可以通过远程证明机制向远程方证明特定虚拟机配置状态的可信.在Intel 的LaGrand Technolog y 技术的支持下,它还可以提供给用户安全接口、可信通路等功能.(3)可扩展性.第28卷第4期2010年12月 河北建筑工程学院学报J OUR NAL O F HEBEI INSTITUTE OF AR C HITEC TU RE A ND C IVIL EN GINEERING Vol 28No 4Dec.2010在TV/Xen 系统中,用户可以根据自己的安全需求定制虚拟机中的软件栈.客户操作系统可以是一般的通用操作系统如Window s 、Linux 等,也可以是像引导载入程序GRU B 那样简单的小型操作系统.(4)高效性.传统系统架构对硬件的利用率并不是很高,造成硬件资源的浪费.据统计,多数用户的系统资源利用率只有10%~30%.TV/Xen 系统可以更有效的利用硬件资源.各虚拟机中的应用程序的运行效率与一般系统架构下并无显著差异.1 12 v TPMTPM 是一种硬件安全芯片,在TV/Xen 系统中,为了向各虚拟机提供可信计算功能,必须要考虑TPM 的虚拟化.由于硬件TPM 中存放了密钥等重要数据,而可信计算又是通过它来证明平台配置的可信,因此以软件形式存在的v TPM 不仅要提供与硬件T PM 相同的功能,还要考虑对自身的安全性保护、如何与所在平台的可信计算基(TCB)保持紧密联系等问题.1 12 1 vT PM 的结构在TV/Xen 系统中,TPM 的虚拟功能是由Domain-0提供的.整个vT PM 由一个vT PM 后台管理程序(v TPM M anag er)和一组vT PM 实例(vTPM Instance)构成,如图1所示.每一个v TPM 实例分别与一个Domain-U 对应,向其提供TPM 功能.在Do main -U 看来,它所对应的vT PM 实例就相当于一个硬件T PM.虚拟机与vT PM 实例的对应关系是通过一个 VM vT PM Instance 表进行维护的.vTPM 后台管理程序负责vTPM 实例的创建、删除、状态保存、移植以及将Dom ain -U 的T PM 请求发给对应的vT PM 实例等.在TV/Xen 系统中,T PM 设备驱动由TPM 前端驱动 /dev /tpm0 和T PM 后端驱动 /dev/v tpm 组成.前端驱动 /dev /tpm0 负责将本虚拟机中应用层的TPM 请求发送给后端驱动 /dev/v tpm .同一时刻,可能会有多个Domain -U 向vT PM 发送请求.因此必须要确保各虚拟机的T PM 请求只能发送到它所对应的vT PM 实例,防止虚拟机伪造T PM 请求数据包访问其它虚拟机的vT PM 实例.解决方法是在每个vT PM 实例创建时分配给它一个4字节的标识符.当T PM 后端驱动接收到一个TPM 请求后,根据中断号识别出是哪个虚拟机发送过来的,再由 VM vT PM Instance 关系表,知道该请求应发往哪个vT PM 实例.后端驱动在请求数据包头中加入相应的标识符,然后发送给vT PM 后台管理程序,由其发给相应的vTPM 实例.由于此操作是在后端驱动进行的,Domain -U 就不能伪造数据包来访问不属于它的vT PM 实例.1 12 2 vT PM 与所在平台T CB 之间关系的建立可信计算的远程证明机制是通过向远程方发送存放在PCRs 中的完整性度量值来证明本平台配置的可信的.在T CP/VM M 架构中,vTPM 能够向虚拟机提供完整性度量功能,在vT PM 实例的PCRs 中记录应用程序的度量值.但在远程证明机制中,TCP/VMM 架构不仅要向远程方证明虚拟机环境的可信,还要证明虚拟机所在的VM M 和硬件层的可信,即vTPM 中的PCRs 值能够反映虚拟机和所在底层环境的配置信息.解决方法是将v TPM 实例中的PCR 寄存器划分为两组.PCR[0]~PCR[8]存放平台T CB 的配置信息,v TPM 实例对其只具有读权限,具体的扩展操作是由Do main -0进行的;PCR[9~PCR[15]存放对应虚拟机的配置信息,其中PCR[9]存放客户操作系统的完整性度量值.vT PM 实例可以对这一组PCRs 进行扩展操作.1 2 信任链的重新构建根据以上分析可知,TCG 规范中的信任链已经不适用于T V/Xen 系统,因此需要重新构建信任链.TV/Xen 系统的信任链传递机制如图1所示.系统所采用的操作系统引导载入程序(OS Loader)是目前流行的GRUB,它具有强大的功能,可以引导各种操作系统.目前GRUB 还不具有可信引导功能,需要对其进行改造,使其能够对T Xen 进行完整性度量.在TV/Xen 系统中,Domain -0是系统T CB 的一部分,由它执行系统的访问控制策略和资源管理策略.GRUB 会对Domain -0的操作系统内核进行度量,将控制权传递给它后,Do main -0会对系统的各种策略文件进行完整性度量.以上度量过程所产生的度96 河北建筑工程学院学报 第28卷量值将作为系统T CB 的配置信息扩展到硬件TPM 中,以后由Domain -0扩展到各Dom ian -U 的vT PM 实例中.图1 T V/Xen系统结构图1 TV/Xen 系统中的信任链传递1 3 TSS 的运行流程在TV/Xen 系统中,运行在Do mian -U 中的可信支持软件(TSS)的运行流程如图2所示.在Do -m ain -U 中,通过 m odprobe tpm _xenu 命令动态载入TPM 前端设备驱动,会产生字符设备 /dev/tpm0 .在Do main -0中,通过 m odprobe tpm bk 命令动态载入TPM 后端设备驱动,会产生字符设备 /dev/v tpm .TDDL 先与自己虚拟机中的TPM 前端驱动 /dev/tpm0 交互,再由前端驱动通过后端驱动 /dev/vtpm 访问v TPM.2 T V /Xen 系统的应用实例2 1 问题的提出TCG 完整性度量是在要执行的代码被载入内存之前进行的.代码被载入内存后一直到它执行,97第4期 屈建萍 刘雪峰 王伟丽 基于Xen 的可信虚拟机系统T V/Xen 的研究设计TCG 都认为它是可信的.但实际上,对于代码来说,它在通过度量被载入内存一直到执行之前的这段时间内是极有可能遭受攻击的.这类攻击一般被称为 T OCT OU(time -o f -check/time -of -use) 攻击.图2 T V/Xen 系统中T SS 的运行流程图在x86页式内存管理机制[5]中,每一个页表项的高20位存放的是一个物理页面的地址,其余12位是控制位,表示该页是否已被访问、对其的读写权限等.在针对T CG 完整性度量机制的T OCT OU 攻击中,攻击者可以通过以下三种方式对存放可信代码的物理页面实施攻击:(1)修改自己进程的PTE,使其指向一个可信物理页面.该PTE 的控制位可被攻击者设置为具有对所指页面的读写权限,这样攻击者就可以对可信代码进行篡改.(2)修改一个指向可信物理页面的PT E 的高20位,使其指向其它物理页面,这样攻击者就可以使系统将恶意代码当作可信代码执行.(3)攻击者修改一个指向可信物理页面的PT E 的控制位,使其具有对该页面的读写权限.2 2 解决方法Xen 通过内存管理等机制对各虚拟机进行严格隔离.每个虚拟机在创建时都分配有一块属于自己的物理内存.客户操作系统负责管理和分配各自的页表(Page T able,PT),但它对页表只能进行读操作,不能修改页表中的页表项(Page Table Entry ,PTE),具体的修改是由Xen 执行的.Xen 提供了三种PT 修改方式:(1)H ypercall M ode,客户操作系统通过H ypercall(mm u_update)向Xen 发出页表修改请求.(2)Writable Pag e Table Mo de,客户操作系统认为自己的页表项PT Es 是可以进行写操作的.当客户操作系统向各自的PTEs 进行写操作时就会产生一个页错误(page fault,因为页表PTs 只能被读),被Xen 捕获.(3)Shadow Page T able Mo de,在这种模式中,客户操作系统和VMM 层分别存在两组不同的页表PT s,Xen 负责将客户操作系统中PTs 的变化映射到VMM 层中真实的PTs 中.在TV/Xen 系统中,TXen 采用Xen 的内存管理机制.针对TOU TOC 攻击,可以利用T Xen 对可信物理页面实施监控,任何试图对可信页面进行篡改的操作都可以由T Xen 检测出来.具体方法如下:(1)修改客户操作系统内核,使其向T Xen 报告需要被监控的PT Es,以及这些PT Es 所映射到的可信物理页面.为了实现这一功能,我们在Xen 3 0 3源代码中增加了以下几条新的H y percall 调用:H YPERVISOR_pte_m onitor ed,向T Xen 报告一组需要被监控的PTEs.H YPERVISOR_m onitor_ex it,当一个被监控的可信代码退出时,将相应的PT Es 和物理内存页面从监控列表中删除.由do_ex it()函数对其调用.(2)T Xen 对客户操作系统报告给它的PTEs 和物理页面实施监控,检测出任何试图对所监控的PT Es 和物理页面进行修改的操作.我们在实验时所采取的页表升级默认方式是H yper call M ode.在这种方式中,对页表的修改操作都会通过do_mm u_update()函数被Xen 捕获.该函数接收到的参数有需要被修改的PT E 旧值以及替换该旧值的PT E 新值.它会调用update_l1e()函数执行具体的PT E 修改操作,调用时会将PT E 旧值和PT E 新值作为参数传递下去.我们在update_l1e()函数中增加了以下篡改检测功能:对于接收到的PTE 旧值,update_l1e()函数会检查它是否位于监控列表中.如果该PT E 旧值位于监控列表中,说明可能有恶意程序试图修改该PT E 中的地址指针或控制位,即4 1节中的攻击情况2和攻击情况3.对于接收到的PTE 新值,update_l1e()函数会检查它的控制位,看它是否对所指物理页面具有写权限.如果具有,那么就计算它所指向的物理页面的地址,判断该物理页面是否位于监控列表中.如果是,那么就可能会发生攻击情况1.(3)我们增加了一个新的虚拟中断 V IRQ_TAM PER .一旦TXen 检测出对所监控的PTEs 和物98 河北建筑工程学院学报 第28卷理页面进行的修改操作,就通过该中断向Do main -0报告在某一虚拟机中发生了对可信代码的篡改操作.然后Do main -0就会用一个随机数对相应v TPM 实例中的PCR 进行扩展,表示篡改的发生,并通过远程证明机制向远程方报告.3 结束语利用可信计算技术为高安全等级操作系统提供安全服务和支撑,缓解高安全等级操作系统在安全性和可用性之间的矛盾,并进一步保护操作系统内核的安全.为了使T PM 更好地为系统提供服务,结合实际需求,在不影响系统整体性能的条件下,对T PM 功能接口的扩展进行深入研究.将可信计算与虚拟机技术相结合的TCP/VMM 架构既可以利用可信计算技术来保证终端平台和网络的安全,又可以解决可信计算应用过程中所产生的一些问题,利用可信计算技术更好地为高安全等级操作系统提供服务.参 考 文 献[1]董耀祖.解析Xen 虚拟机架构.http://w w w.ossw.co ,2006(10)[2]胡希明,毛德操.L inux 内核源代码情景分析.杭州:浙江大学出版社,2001[3]T al Ga rfinkel,P faff B,Chow J.T err :a Virtual M achine -based Plat form fo r T r usted Co mputing.P roceeding s of the Symposium on Operating Systems Pr inciples.2003[4]R.P.Goldberg.Surv ey o f vir tual machine resea rch.IEEE Co mputer M agazine,7:34-45,1974[5]P.A.K ar ger ,M.E.Zurko.A r etro spective on the V A X V M M secur ity kernel.In IEEE T ransact ions o n softw are Eng -i neering ,1991Design and Application of A Trusted Virtual MachineSystem Based on XenQu J ian ping ,Liu Xu ef en g ,Wan g Weili1 H ebei Iust itute of A rchifecture and Civ il Eng ineer ing;2 Colleg e of Electr onic T echno log y,PL A Informat ion Eng ineering U niversity3 H ebei Fo reig n L anguag es V ocational InstituteAbstract T he Virtual M achine Mo nitor -based T rusted Computing Platfor m(T CP/VM M)ar chitecturecan be used to solve the problems resulted fro m the application of Trusted Co mputing.According to the TCP/VMM architecture,w e realized a system named TV/Xen.This paper resear ches on the key technolo gy upon w hich the im plementation of TV/Xen system depends,and it also introduces how to detect the T OCT OU attack o n TCG integ rity m esurement in TV /Xen sy stem.Key words Tr usted Computing;V ir tual M achine M onitor;vT PM ;T CP/VM M;TV/Xen 99第4期 屈建萍 刘雪峰 王伟丽 基于Xen 的可信虚拟机系统T V/Xen 的研究设计。
虚拟化基础知识介绍
随着虚拟机数量的增加，管理复杂性也会相应提 高，需要专业的虚拟化管理工具和人员来维护和 管理虚拟化环境。
安全风险
虚拟化技术可能会增加安全风险，例如虚拟机逃 逸攻击和侧信道攻击等。因此，需要加强虚拟化 环境的安全防护和管理。
03 存储虚拟化
存储虚拟化原理及作用
原理
存储虚拟化通过抽象、聚合和自动化 等技术，将物理存储资源转化为逻辑 视图，并提供统一的管理和访问接口 。
• 降低应用部署难度：无需考虑用户设备的操作系统和硬件配置，简化应 用部署流程。
• 提高应用兼容性：使得同一应用程序可以在不同操作系统和硬件平台上 运行，提高了应用的兼容性。
• 实现应用快速响应：可以快速响应用户的应用需求，提高用户体验。
桌面与应用虚拟化实施建议
选择合适的技术方案
根据需求评估结果，选择适合 的桌面和应用虚拟化技术方案。
培训和支持
为用户提供必要的培训和技术 支持，确保用户能够熟练使用 虚拟桌面和应用。
评估需求
在实施前，应对企业或组织的 需求进行充分评估，明确虚拟 化的目标和范围。
制定实施计划
制定详细的实施计划，包括虚 拟化环境的搭建、用户迁移、 数据备份等。
监控和维护
建立监控机制，及时发现并解 决虚拟化环境中出现的问题， 确保系统的稳定性和可用性。
提升数据安全性
数据存储在服务器端，减少了数据泄露的风险。
提高资源利用率
通过集中化管理，降低硬件成本，提高资源利用 率。
实现桌面环境快速部署
可以快速为用户配置和部署桌面环境，提高工作 效率。
应用虚拟化原理及作用
• 原理：应用虚拟化是将应用程序与操作系统分离，使得应用程序可以在 不同的操作系统和硬件平台上运行。通过流技术或容器技术等，将应用 程序的运行环境与用户的设备解耦，实现应用程序的快速部署和灵活使 用。
《深度探索Linux系统虚拟化：原理与实现》记录
《深度探索Linux系统虚拟化：原理与实现》阅读随笔目录一、内容描述 (2)1.1 虚拟化的概念 (3)1.2 Linux系统虚拟化的背景 (4)二、Linux系统虚拟化原理 (6)2.1 虚拟化技术的基本原理 (7)2.2 Linux系统虚拟化的关键实现技术 (9)三、Linux系统虚拟化实现方法 (10)3.1 KVM虚拟化技术 (12)3.2 Xen虚拟化技术 (13)3.3 VMware虚拟化技术 (15)3.4 QEMU/KVM混合虚拟化技术 (16)四、Linux系统虚拟化实例分析 (17)4.1 CentOS系统虚拟化实践 (18)4.2 Ubuntu系统虚拟化实践 (19)五、Linux系统虚拟化性能优化 (21)5.1 硬件资源优化 (23)5.2 软件资源优化 (24)5.3 系统配置优化 (25)六、Linux系统虚拟化安全问题及防范措施 (27)6.1 虚拟化环境下的安全隐患 (28)6.2 安全防护策略与工具 (29)七、总结与展望 (31)7.1 本书总结 (32)7.2 未来发展趋势 (33)一、内容描述在科技飞速发展的时代，虚拟化技术已成为信息技术领域的重要组成部分。
《深度探索Linux系统虚拟化：原理与实现》为我们系统、全面地揭示了Linux系统虚拟化的奥秘。
本书的内容描述涵盖了虚拟化技术的理论基础、实现方法和实践应用，是学习和掌握Linux系统虚拟化技术的理想读物。
本书介绍了虚拟化的基本概念和原理，包括虚拟化的定义、分类、发展历程以及其在云计算、大数据等领域的应用。
通过对虚拟化技术的原理进行深入剖析，帮助读者理解虚拟化技术的基本思想和工作机制。
本书详细阐述了Linux系统虚拟化的实现方法。
包括系统虚拟化的关键组件、技术细节以及实现流程。
通过对KVM、Xen等主流虚拟化技术的讲解，使读者了解Linux系统虚拟化的技术实现和实际应用。
还介绍了虚拟化管理的相关工具和技术，如Docker容器技术等。
【计算机工程与设计】_程序模块_期刊发文热词逐年推荐_20140727
53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106
科研热词 嵌入式系统 linux 通信模块 通信协议 微处理器 嵌入式 单片机 加密 龙芯 高性能科学计算 驱动 重定位 遮挡判断 通信板卡 通信控制程序 远程监控系统 进程 软件攻击 软plc 资源访问冲突 语义分析 设备驱动程序 设备驱动 订阅 计算机辅助设计 计算机病毒模型 计算机应用 触发器 解释算法 解码 视频采集 视频 蠕虫程序模型 虚拟机监控程序 虚拟化 网络蜘蛛 网络编程 网络处理器 编译 算法优化 程序外驱动 硬件处理 知识工程 监控系统 电控单元 电子标签 电力系统 用户权限 状态控制位寄存器 模数转换 模块化 模块
2008年 序号 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52
科研热词 设计模式 模型 模块 接口 嵌入式系统 驱动程序 非对称加密 软件体系结构 身份认证 超长指令字(vliw) 设备驱动 计算机图形元 计算 视图 虚拟技术 自动判卷 网络通信 绩效考核 组件 类模块 符号识别 移植 疲劳分析 电梯 现场可编程门阵列 滚动条控件 液晶显示 模糊匹配 模型.视图.控制器 框架 构件程序集运行时 智能化 文档对象模型 文档对象 数据采集 数据源 数据模块 数据库系统 数据库 数字化设计 数字信号处理器 插件 控制器 指针 指令集模拟器 指令集体系结构 指令级并行 异步消息 开放数据库连接 应用程序接口 帧缓冲 嵌入式
云计算中的虚拟化技术发展历程
云计算中的虚拟化技术发展历程虚拟化技术指的是通过软件将物理设备抽象为逻辑上的实体，从而达到资源共享和优化利用的目的。
在云计算的背景下，虚拟化技术成为了构建云计算基础设施的重要手段之一。
虚拟化技术的发展历程可以大致分为以下几个阶段。
1. 虚拟化技术的起步期（前20世纪90年代）早期的虚拟化技术主要是面向大型机系统的，例如IBM公司的VMware和DEC公司的VAX系统等。
这些系统都是基于硬件虚拟化技术实现的，通过模拟主机硬件的方式在同一个物理机上运行多个虚拟机。
2. 虚拟化技术的扩展期（2000年至2005年）在这一时期，虚拟化技术开始向服务器和桌面领域拓展。
VMware公司推出了其首个x86架构的虚拟化产品，这标志着虚拟化技术的扩展期开始了。
同时，Intel和AMD公司也对硬件虚拟化技术进行了改进，使得虚拟化技术在x86平台上得到了更好的支持。
3. 虚拟化技术的成熟期（2006年至2010年）在这一时期，虚拟化技术得到了广泛应用和推广。
VMware、Microsoft和Citrix等公司都推出了自己的虚拟化产品，形成了三足鼎立的态势。
同时，开源虚拟化技术KVM也逐渐流行起来，在Linux系统领域得到广泛应用。
4. 虚拟化技术的进一步发展（2011年至今）随着云计算的兴起，虚拟化技术成为了云计算基础设施的重要组成部分。
在这一时期，虚拟化技术发生了一些变化。
如容器化技术的出现，这种技术相对于传统虚拟化技术来说更加轻量级，可以更好地支持云计算的微服务架构和快速部署需求。
总体来说，虚拟化技术的发展历程经历了从起步期到扩展期，再到成熟期和今天的进一步发展。
虚拟化技术的不断升级和创新促进了云计算的发展，而云计算的发展进一步推动了虚拟化技术的应用和完善。
随着未来技术的不断发展，虚拟化技术也将会朝着更加高效、安全和便捷的方向不断发展。
剖析硬件虚拟化五大关键词
剖析硬件虚拟化五大关键词作者：张伟来源：《中国计算机报》2008年第25期x86平台的虚拟化如今可谓炙手可热。
VMware、Citrix、Parallels等企业虚拟化软件受到了众多服务器厂商的热烈追捧，应用日渐广泛。
但虚拟化技术除了软件之外，更需要底层的硬件的支持，硬件在虚拟化中发挥着尤为根本的作用。
而以AMD等为代表的芯片厂商，在其四核芯片中都加强了对虚拟化的支持。
6月26日，记者独家专访了中国科学院计算技术研究所国家智能计算机研究开发中心研究员、博士生导师孙毓忠，他在计算机体系结构、高速计算机网络与虚拟机等领域都有深入的研究，目前正在开发虚拟化计算平台及其系统管理软件Rainbow项目。
该项目旨在进行基于虚拟化技术的、面向Internet应用的Kernel研究。
孙毓忠为记者深入剖析了硬件虚拟化的五个关键方面。
关键词之一：异构在6月18日公布的最新全球超级计算机TOP500中，IBM代号为“走鹃”的超级计算机荣登榜首。
值得注意的是，该款计算机采用IBM Cell和AMD Opteron处理器混合式设计，并实现了性能空前的千万亿级运算。
另外，在收购图形芯片厂商ATI之后，AMD近期提出了加速处理单元（APU）的概念，APU是一种异构多核心芯片加速器，集成了若干个CPU和其他专用处理器内核，也可理解为CPU＋GPU。
走鹃的成功与APU的提出都表明了异构计算强劲的发展态势。
对此趋势，孙毓忠表示：“目前，计算机体系结构呈现出巨大的异构性，但在软件层面，操作系统并不希望看到过多的异构性。
因此，硬件结构便出现了以可重构计算为核心的虚拟化技术。
”孙毓忠认为，虚拟化出现的一个重要根源在于，虚拟机可屏蔽掉各种处理单元的异构性，不管这些单元是传统的多核架构，还是来自不同厂商，还是CPU＋GPU。
在混合架构方面，由于AMD采用超传输总线（HT）的开放式总线架构，因此更易于与异质处理单元的协作。
关键词之二：隔离性虚拟化除了能够屏蔽掉硬件的复杂性，还能起到隔离的作用。
Linux内核虚拟化KVM详解
４８ 软件世界 ２００７．６．５
Ｌｉｎｕｘ ＫＶＭ 的虚拟化性能
ＫＶＭ 是第一个整合到 Ｌｉｎｕｘ 主线内核的虚拟化技术，同时，增加 ＫＶＭ 到 Ｌｉｎｕｘ 内核也是 Ｌｉｎｕｘ 发展的一个重要里程碑。
□ 于波
仅仅作为一个发布版本的候选者来 说，Ｌｉｎｕｘ ２．６．２０ 已引起世人的广泛关 注。在增加异步 ＳＣＳＩ 扫描、多线程 ＵＳＢ 探测以及许多驱动程序更新的基础上， Ｌｉｎｕｘ ２．６．２０ 包含一个完整的虚拟化 （而不是准虚拟化—Ｐａｒａｖｉｒｔｕａｌｉｚａｔｉｏｎ） 解决方案。基于内核的虚拟机是一个 ＧＰＬ 的软件项目，此项目由 Ｑｕｍｒａｎｅｔ 发 起并负责开发。在本文中，我们将展示 Ｌｉｎｕｘ 的基于内核的虚拟机（ＫＶＭ）及 相关重要特性，我们还要对 ＫＶＭ 与其它 的虚拟化方案（如 ＱＥＭＵ Ａｃｃｅｌｅｒａｔｏｒ和 Ｘｅｎ）作简洁的比较。
融合到 Ｌｉｎｕｘ ２．６．２０ 内核的重要方
表１
硬件部件 处理器 ｒ： 主板： 内存储器： 显示卡： 硬盘驱动器： 光驱： 制冷： 机箱： 电源供应： Ｓｏｆｔｗａｒｅ Ｃｏｍｐｏｎｅｎｔｓ 操作系统：
２ ｘ Ｉｎｔｅｌ Ｘｅｏｎ ＬＶ Ｄｕａｌ－Ｃｏｒｅ ２．００ＧＨｚ Ｔｙａｎ Ｔｉｇｅｒ ｉ７５２０ＳＤ Ｓ５３６５ ２ ｘ ５１２ＭＢ Ｍｕｓｈｋｉｎ ＥＣＣ Ｒｅｇ ＤＤＲ２－５３３ ＮＶＩＤＩＡ ＧｅＦｏｒｃｅ ＦＸ５２００ １２８ＭＢ ＰＣＩ Ｗｅｓｔｅｒｎ Ｄｉｇｉｔａｌ １６０ＧＢ ＳＡＴＡ２ Ｌｉｔｅ－Ｏｎ １６ｘ ＤＶＤ－ＲＯＭ ２ ｘ Ｄｙｎａｔｒｏｎ Ｓｏｃｋｅｔ ４７９ ＨＳＦｓ ＳｉｌｖｅｒＳｔｏｎｅ Ｌａｓｃａｌａ ＬＣ２０ ＳｉｌｖｅｒＳｔｏｎｅ Ｓｔｒｉｄｅｒ ５６０Ｗ
目前kvm支持intel主机amd主机硬件部件处理器r2xintelxeonlvdualcore200ghz主板tyantigeri7520sds5365内存储器2x512mbmushkineccregddr2533显示卡nvidiageforcefx5200128mbpci硬盘驱动器westerndigital160gbsata2光驱liteon16xdvdrom制冷2xdynatronsocket479hsfs机箱silverstonelascalalc20电源供应silverstonestrider560wsoftwarecomponents操作系统fedoracore6运行superpi的结果是kvm速度最快相当于原始单机运行速度在实际硬件上运行无任何虚拟机软件的84
Linux
Linux的发展史王雷Linux是一类Unix计算机操作系统的统称。
Linux操作系统的内核的名字也是“Linux”。
Linux操作系统也是自由软件和开放源代码发展中最著名的例子。
严格来讲，Linux这个词本身只表示Linux内核，但在实际上人们已经习惯了用Linux来形容整个基于Linux内核，并且使用GNU 工程各种工具和数据库的操作系统。
Linux得名于计算机业余爱好者Linus Torvalds。
Linus Torvalds托瓦兹出生于芬兰赫尔辛基市。
父亲尼尔斯·托瓦兹（Nils Torvalds）是一名活跃的共产主义者及电台记者。
托瓦兹家族属于在芬兰占6%的少数民族芬兰瑞典人。
他毕业于赫尔辛基大学计算机科学系，1997年至2003年在美国加州硅谷任职于全美达公司（Transmeta Corporation）参与该公司芯片的code morph技术研发。
后受聘于开源码发展实验室全力开发Linux内核。
现任职于Linux基金会。
编辑G:\123.pptLinux 操作系统的发展史1981 年IBM 公司推出享誉全球的微型计算机IBM PC。
在1981-1991 年间，MS-DOS 操作系统一直是微型计算机上操作系统的主宰。
此时计算机硬件价格虽然逐年下降，但软件价格仍然是居高不下。
当时Apple 的MACs 操作系统可以说是性能最好的，但是其天价没人能够轻易靠近。
1991 年初，Linus 开始在一台386sx 兼容微机上学习minix 操作系统。
通过学习，他逐渐不能满足minix 系统的现有性能，并开始酝酿开发一个新的免费操作系统。
根据Linux 在comp.os.minix 新闻组上发布的消息，我们可以知道他逐步从学习minix 系统到开发自己的Linux 的过程。
到了1991 年的10 月5 日，Linus 在comp.os.minix 新闻组上发布消息，正式向外宣布Linux 内核系统的诞生（Free minix-like kernel sources for 386-AT）。