1. 课程导入

在虚拟化平台中，设备直通与资源隔离是决定虚拟机性能上限与安全边界的两项关键能力。Xen 作为典型的 Type-1 裸金属虚拟化架构，通过 Hypervisor 直接管理硬件，并借助 Domain 0 与 Domain U 的分权模型，把物理设备以受控方式分配给特定客户机。本课程围绕“如何把一块真实设备安全、稳定、可验证地交给虚拟机使用”这一主线展开，覆盖从概念、架构、配置到排障与复盘的完整工程链路。

学习目标

完成本课程后，你应当能够独立完成以下任务：

• 理解 Xen 的 Domain 0、Domain U、Hypervisor 与 IOMMU 之间的职责划分；
• 掌握 PCI 设备直通（PCI Passthrough）与 SR-IOV 虚拟功能（VF）直通的基本原理与差异；
• 能够识别设备所属的 IOMMU 组，判断设备是否具备安全直通条件；
• 能够编写并调试 xl.cfg 配置，完成设备隐藏、绑定与客户机启动；
• 能够使用 dmesg、xl dmesg、lspci、xenstore 等工具定位直通失败原因；
• 能够从 DMA 隔离、中断隔离、内存隔离三个维度评估资源隔离强度。

核心概念与整体知识框架

Xen 设备直通工程可以拆解为四个层次：硬件层、Hypervisor 层、Domain 0 控制层、客户机使用层。硬件层关注 IOMMU（Intel VT-d 或 AMD-Vi）是否开启、设备拓扑与 ACS 能力；Hypervisor 层负责建立 DMA 重映射表与中断重映射表；Domain 0 控制层通过 pciback 驱动把设备从原生驱动上解绑并交给 Xen；客户机层则像使用物理设备一样加载驱动并访问 BAR 空间。

资源隔离则贯穿上述四层：DMA 隔离防止设备越权访问其他虚拟机内存；中断隔离确保 MSI/MSI-X 中断只投递到目标客户机；内存隔离依赖 EPT/NPT 与 IOMMU 页表共同约束。三者缺一不可，任何一层缺失都会导致“能跑但不安全”或“看似成功实则不稳定”的结果。

方法流程：从设备识别到客户机验证

工程实施建议遵循固定顺序，避免“先改配置再查硬件”的返工。典型流程如下：

1. 确认 BIOS/UEFI 已开启 VT-d 或 AMD-Vi，并在 Xen 启动参数中加入 iommu=on；
2. 使用 lspci 与 find /sys/kernel/iommu_groups 确认设备所属 IOMMU 组；
3. 在 Domain 0 中通过 xen-pciback.hide 或 xl pci-assignable-add 隐藏设备；
4. 编写 xl.cfg，使用 pci=['0000:03:00.0'] 形式把设备分配给客户机；
5. 启动客户机，检查 dmesg 中驱动绑定与中断分配情况；
6. 运行吞吐、延迟与稳定性测试，确认隔离策略生效。

# 查看设备与 IOMMU 组
lspci -nn | grep -i ethernet
find /sys/kernel/iommu_groups/ -type l | sort -V

# 隐藏设备并交给 Xen 管理
xl pci-assignable-add 0000:03:00.0
xl pci-assignable-list

# 客户机配置片段
pci = [ '0000:03:00.0' ]

案例场景：网卡直通给防火墙虚拟机

某边缘节点需要把一张双口万兆网卡直通给防火墙 Domain U，以降低转发延迟。工程师首先发现两个端口位于同一 IOMMU 组，且组内还包含一个板载 SATA 控制器。若直接直通，SATA 控制器也会被一并交给客户机，导致 Domain 0 失去系统盘。正确做法是：先确认主板是否支持 ACS 拆分，若不支持，则改用 SR-IOV 的 VF 直通，或把整组设备一起分配并调整 Domain 0 的存储路径。该案例说明，IOMMU 组是直通工程的第一道门槛。

常见误区与复盘要点