📚 课程目录第4章设备直通技术概览

4. 设备直通技术概览

设备直通的目标很直接：让虚拟机绕过或部分绕过 Hypervisor 的模拟层，直接访问物理设备，从而获得接近原生的性能、更低的 CPU 开销和更完整的设备功能。但在 Xen 环境中，“直通”并不是单一技术，而是一组在隔离粒度、硬件依赖、性能收益和运维复杂度上差异很大的方案。理解它们的边界，比记住名词更重要。

核心判断链：设备是否支持 FLR/ACS → 是否需要共享给多台 VM → 是否要求热插拔 → 是否接受独占 → 选择 PCI 直通、USB 直通、GPU 直通、SR-IOV 或 VFIO 框架。

一、核心原理：从“模拟”到“直通”再到“虚拟功能”

传统 Xen HVM 通过 QEMU 模拟网卡、磁盘和显示设备，Guest 看到的是通用驱动，兼容性好但路径长、开销大。PCI 直通则把物理 PCIe 设备的配置空间、BAR 和中断直接暴露给 Guest，由 Domain 0 或驱动域负责初始化与权限控制。Xen 的 passthrough 机制依赖 IOMMU（Intel VT-d 或 AMD-Vi）做 DMA 重映射和中断重映射，确保设备只能访问被授权 Guest 的内存。

VFIO 是 Linux 内核提供的用户态设备访问框架，它把设备、IOMMU 组和中断统一抽象为可安全传递的对象。在 Xen 中，VFIO 常作为“后端”或“工具链”出现：由 Domain 0 通过 VFIO 绑定设备，再借助 Xen 的 pciback 或 QEMU 参数把设备交给 Guest。SR-IOV 则更进一步，物理设备（PF）创建多个虚拟功能（VF），每个 VF 可独立分配给不同 VM，实现“一卡多 VM”的近似直通。

二、方法流程：五类直通方案的落地路径

不同设备的直通流程差异明显，但可以归纳为“确认硬件能力 → 隔离设备 → 绑定后端 → 分配给 Guest → 验证复位与性能”五步。

PCI 直通：确认设备位于独立 IOMMU 组，使用 xl pci-assignable-add 将设备绑定到 pciback，再在 VM 配置中写入 pci = ['0000:03:00.0']。适合网卡、HBA、采集卡等独占型设备。
USB 直通：可通过 QEMU 的 usb-host 按 vendorid/productid 传递单个设备，也可整控制器直通。适合加密狗、串口设备、USB 摄像头等低速外设。
GPU 直通：除 PCI 直通步骤外，还需处理 VGA 仲裁、OpROM、音频功能同组、复位缺陷，常配合 xen-pciback.hide 或 vfio-pci 提前隔离。
SR-IOV：在 PF 上启用 VF，设置 sriov_numvfs，再把 VF 按 PCI 设备直通给不同 VM。适合网卡、NVMe 等需要多租户共享的场景。
VFIO 与 Xen passthrough：VFIO 提供更统一的用户态接口和 IOMMU 组管理；Xen passthrough 更贴近 Xen 原生工具链。两者可组合使用，选择取决于内核版本、设备类型和运维习惯。

# 查看 IOMMU 组与设备归属
for d in /sys/kernel/iommu_groups/*/devices/*; do
  echo "IOMMU Group $(basename $(dirname $(dirname $d))): $(lspci -nns ${d##*/})"
done

# 将设备绑定到 vfio-pci（Domain 0 侧）
echo 0000:03:00.0 > /sys/bus/pci/devices/0000:03:00.0/driver/unbind
echo vfio-pci > /sys/bus/pci/devices/0000:03:00.0/driver_override
echo 0000:03:00.0 > /sys/bus/pci/drivers/vfio-pci/bind

# Xen VM 配置片段
pci = ['0000:03:00.0']
usb = ['host:1234:5678']

三、案例与场景：如何按需求选型

技术	典型场景	性能收益	主要限制
PCI 直通	万兆网卡、HBA、FPGA	接近原生，CPU 占用低	设备独占，IOMMU 分组受限
USB 直通	加密狗、串口、摄像头	中等，满足外设兼容	热插拔与复位不稳定
GPU 直通	图形工作站、AI 推理	高，支持 CUDA/OpenGL	VGA 仲裁、复位、驱动绑定复杂
SR-IOV	多租户网卡、NVMe 共享	高，接近直通	依赖 PF 驱动与 VF 数量
VFIO	安全隔离、用户态驱动	取决于设备	需内核支持，组隔离要求高

例如，一台 Xen 服务器需要同时运行防火墙 VM 和存储 VM。若使用普通 PCI 直通，两张网卡必须分别独占；若网卡支持 SR-IOV，则可用一个 PF 创建多个 VF，把 VF 分别给两台 VM，既保留隔离又提升密度。再如，GPU 直通给 AI 推理 VM 时，若 GPU 与音频设备同属一个 IOMMU 组，通常需要把整组设备一起直通，否则无法通过 ACS 隔离。

四、误区与复盘：直通不是“万能加速键”

常见误区一：认为所有 PCI 设备都能直通。实际上，缺乏 FLR 复位支持或 IOMMU 分组过大的设备，可能导致 VM 重启后设备无法恢复。误区二：认为 SR-IOV 一定比 PCI 直通简单。PF 驱动、VF 数量、MAC 地址管理和交换机模式都会影响稳定性。误区三：忽略 Domain 0 的资源占用。直通设备的中断和 DMA 仍可能由 Domain 0 参与管理，配置不当会拖累整体。

复盘时建议按以下清单检查：

设备是否位于独立 IOMMU 组，ACS 是否满足隔离要求；
是否已用 lspci -vvv 确认 FLR、PM 和中断能力；
Domain 0 是否加载了正确的 pciback/vfio-pci 绑定；
Guest 内驱动是否与直通设备匹配，是否禁用了模拟设备；
是否验证了 VM 销毁、重建和热插拔后的设备复位；
是否记录了性能基线，避免“直通后反而更慢”的隐性回归。

总体而言，PCI 直通适合独占高性能设备，USB 直通适合低速外设，GPU 直通面向图形与计算，SR-IOV 解决多 VM 共享，VFIO 与 Xen passthrough 提供底层框架与工具链。选型时应优先看硬件能力与隔离边界，再考虑性能与运维成本，而不是盲目追求“全部直通”。