X86服务器虚拟化的三种技术--（1）

【说明】此文转载自毛文波博士的博客，简明扼要地介绍了在x86服务器虚拟化方法上的三个主要技术流派：Para-Virtualization, Full-Virtualization和Hardware-Assisted-Virtualization。此文说理透彻，语言流畅。 

云计算、SaaS等基于服务的计算模式最近异常灼热。服务器虚拟化技术尤其是对低端廉价x86服务器的虚拟化已被公认为是实现这些计算模式的关键技术，对于能否廉价提供云计算、SaaS等服务至关重要。在x86服务器虚拟化方法上有三个知名的技术流派：Para-Virtualization, Full-Virtualization和Hardware-Assisted-Virtualization。本文谨对这三种技术作简要介绍。

Para-Virtualization（Citrix的Xen和Microsoft的Hyper-V为典型代表），直译成中文是“在旁边的虚拟化”。形象地说就是：在虚拟化软件hypervisor上面跑着的诸多客户虚拟机（下称guest VMs或guest OSes，客户操作系统），在它们“旁边”还跑着一个特别OS，叫做“管理OS”或“管理VM”（the Administrative OS/VM，用Citrix Xen的术语叫做Dom0，用MicrosoftHyper-V的术语：the Parent Partition）。这个“管理VM”是让系统管理员用来管理hypervisor的。

客户所使用的是那些在它旁边跑的guestVMs（Citrix Xen叫做DomU，Microsoft Hyper-V叫做Child Partitions）。另外这个“管理OS”还采用native OS的方法管理整个硬件平台上的所有输入输出设备驱动器（IO device drivers），它里面包含了平台上所有输入输出设备驱动器。也就是说Para-Virtualization方法在hypervisor里不对设备驱动器做虚拟（emulation），而仅对CPU和内存做虚拟，所以Para-Virtualization又被翻译作“半虚拟化”。Para-Virtualization还有一个叫法：OS-Assisted-Virtualization，就是因为guest VMs需要“管理OS”协助。这可以形象地看作是guestOS自身不带有设备驱动器而“向旁寻找”帮助。

另外guest OS还会发出一小部分由于硬件不支持而无法被虚拟化的OS指令。在虚拟化理论中，这种不能被虚拟化的guest OS指令属于“低特权态部件发出的敏感指令”：处于低特权态（用户态）的guest OS如果对硬件发出这样的指令，则处于高特权态（内核态）的hypervisor必须先对这些指令进行检查作“无害化”处理后方能交给硬件机器做计算或处理服务。由于以前x86硬件设计上存在缺陷，这一类指令不能自动被hypervisor截获（trap）。对于这些不能自动被hypervisor截获的指令，Para-Virtualization技术采用了在guest OS中人为植入hypercalls的方法使程序流程主动进入hypervisor以获得“无害化”处理。由于需要在guest OS中植入这些hypercalls, 所以Para-Virtualization技术需要对guest OS内核作修改后方能使用于VM内。这一点被认为是Para-Virtualization技术的一个缺点：比如对于非开放源代码OS（如Windows 2000/XP）那就只有OS厂商才能制做guest OS。

Full-Virtualization（VMware的ESX）全虚拟化：对于前面提到的guestOS作为“低特权态部件发出的敏感指令”，VMware找到了一个“可执行代码翻译”（binary translation）方法将这些指令的可执行代码转变为一系列新的指令顺序，翻译得到的新指令顺序不仅与原指令具有等价的语义，而且可以得到硬件虚拟化支持。这样一来就无需再人为在guest OS中植入hypercalls了，所以未经修改的guest OS内核可以直接跑在VM里面，而且guest OS更本无法分辨出自己到底是直接跑在机器硬件上还是在一个虚拟硬件的hypervisor上。

作为一个全虚拟化的hypervisor，ESX将硬件平台上的所有的输入输出设备也都虚拟化了，所以ESX里面含有所有这些设备驱动器，guest OS无须从一个“管理OS”来获得设备驱动器服务。ESX仍然有“管理OS”，叫做the Management Console，其作用是让系统管理员管理ESX hypervisor，仅此而已。

Hardware-Assisted-Virtualization硬件协助的虚拟化：IntelVT-x与AMD-V。这两家x86处理器厂商最近对处理器硬件作了修改，使前面提到的guest OS“低特权态部件发出的敏感指令”能够自动被hypervisor截获。所以在这种新机器上，Para-Virtualization就没有必要再对guest OS内核作修改，Full-Virtualization也无必要对guest OS做可执行代码翻译。所以我们也可以说，如果不考虑Para-Virtualization与Full-Virtualization在IO设备处理上还有不同之处，那么硬件协助的虚拟化技术已经取消了前两种虚拟化技术之间的差别：两者都可以被看作是全虚拟化技术。

Intel和AMD在对X86服务器硬件协助的虚拟化技术上还做了如下重要工作：统一管理了平台上输入输出设备对内存的直接访问（Direct Memory Access, DMA）。这改变了以前机器上输入输出设备可以自由任意对内存进行直接访问，这种“无政府主义”的危险状态（非常危险！）。用硬件协助的虚拟化技术对DMA作统一管理，这对于x86平台服务器虚拟化技术运用到云计算加强云计算安全方面有很重要的意义。前面我们提到硬件协助的虚拟化技术取消了Para-Virtualization与Full-Virtualization之间的差别，这样的说法没有考虑到两者在IO设备管理上的不同之处。其实正是在对IO设备DMA的统一管理方面，Citrix Xen或MS Hyper-V与VMware ESX有很不同的性质，在云服务安全上有明显的差异。