1. 课程导入

在云计算、边缘计算与高性能计算场景中，虚拟机对物理设备的高性能访问需求越来越强烈。传统全虚拟化设备模型虽然兼容性好，但每次 I/O 都要经过虚拟化层的软件模拟，带来显著的 CPU 开销与延迟抖动。设备直通虚拟化通过把物理 PCIe 设备直接分配给虚拟机，让客户机驱动直接操作硬件，从而获得接近裸机的吞吐与延迟表现。而支撑这一能力的关键硬件基础，正是 IOMMU（Input/Output Memory Management Unit）。

本课程的目标不是孤立地讲解 IOMMU 寄存器或某一条内核命令，而是建立一条从硬件地址翻译、内核子系统、虚拟化框架到工程部署与故障排查的完整能力链。学完本课程，你应当能够理解 DMA 重映射与中断重映射的协作机制，能够配置 VFIO 与 vfio-pci 绑定设备，能够分析直通场景下的性能与安全边界，并能在设备无法启动、DMA 报错、中断异常时定位问题根因。

一、核心价值：为什么需要 IOMMU 与设备直通

在没有 IOMMU 的系统中，设备发起 DMA 时使用的是物理地址，设备可以访问任意物理内存。这在虚拟化环境中是致命的：客户机若直接控制设备，就可能读写宿主机或其他虚拟机的内存，形成严重的安全与稳定性风险。IOMMU 的核心作用，是在设备与内存之间建立一层地址翻译与权限检查，把设备看到的 I/O 虚拟地址（IOVA）转换为真实物理地址，并对访问范围进行隔离。

设备直通虚拟化的价值可以归纳为三个维度：

• 性能：绕过虚拟化层的软件模拟路径，DMA 与中断直接由硬件处理，适合网卡、GPU、NVMe、FPGA 等高吞吐设备。
• 隔离：借助 IOMMU 的地址空间隔离与中断重映射，限制设备只能访问被授权的内存区域，降低恶意或缺陷设备的影响范围。
• 兼容与灵活：通过 VFIO 用户态框架，把设备访问抽象为安全的文件描述符与 IOMMU 映射，便于 QEMU/KVM 等 VMM 集成。

二、整体知识框架：从硬件到工程的五层结构

本课程的知识体系可以按“硬件能力—内核子系统—虚拟化框架—工程部署—运维排障”五层展开。下图给出整体知识框架与工程实践路线，后续章节将沿着这条主线逐层深入。

三、方法流程：一次设备直通的典型工程路径

从工程视角看，把一个 PCIe 设备直通给虚拟机，通常遵循以下流程。每一步都对应后续章节的具体知识点，也是排障时回溯的检查点。

1. 确认硬件与固件支持：在 BIOS/UEFI 中开启 Intel VT-d 或 AMD-Vi，并确认 IOMMU 在启动日志中已启用。
2. 确认设备隔离能力：查看设备所属 IOMMU Group，判断是否与关键设备共享组，必要时检查 PCIe ACS 能力。
3. 绑定到 vfio-pci：将目标设备从原驱动解绑，绑定到 vfio-pci，使其可被用户态安全访问。
4. 配置虚拟机：在 QEMU/KVM 或 libvirt XML 中声明 hostdev，指定 PCI 地址与所需特性。
5. 启动与验证：启动虚拟机，确认设备识别、驱动加载、DMA 与中断工作正常。
6. 性能与安全复盘：对比直通前后吞吐、延迟与 CPU 占用，检查隔离边界是否符合预期。

# 查看 IOMMU 是否启用
dmesg | grep -i -e DMAR -e IOMMU

# 查看设备与 IOMMU Group
for d in /sys/kernel/iommu_groups/*/devices/*; do
  echo "Group $(basename $(dirname $(dirname $d))): $(lspci -nns ${d##*/})"
done

# 将设备绑定到 vfio-pci（示例）
echo 0000:01:00.0 > /sys/bus/pci/devices/0000:01:00.0/driver/unbind
echo vfio-pci > /sys/bus/pci/devices/0000:01:00.0/driver_override
echo 0000:01:00.0 > /sys/bus/pci/drivers/vfio-pci/bind

四、典型场景与常见误区

设备直通最常见的落地场景包括：虚拟化网卡直通以降低网络转发延迟、GPU 直通用于 AI 推理与图形工作站、NVMe 直通用于高性能存储、FPGA 直通用于加速卡场景。这些场景的共同点是设备 DMA 频繁、对延迟敏感，且需要较强的隔离保证。