2. 虚拟化基础
各位好，我是老张。今天咱们聊聊硬件虚拟化的三大基石——CPU、内存和IO。说实话，这章内容有点硬核，但搞懂它，你才算真正入了虚拟化的门。
我记得刚入行那会儿，还在用纯软件模拟的虚拟化方案，性能那叫一个惨。后来Intel和AMD在芯片里加了硬件支持，整个行业才真正起飞。你想想看，没有硬件辅助，Hypervisor得自己模拟所有指令，那效率能高吗？
2.1 CPU虚拟化：Intel VT-x与AMD-V
CPU虚拟化要解决的核心问题是什么？说白了，就是让多个虚拟机觉得自己独占了一颗CPU。但物理CPU只有一套寄存器、一套控制逻辑，怎么分给多个Guest OS用？
传统方案是“陷入-模拟”（Trap-and-Emulate），但x86架构有些敏感指令在低特权级下执行时不会触发异常，直接静默失败。这就尴尬了——Guest OS以为自己执行成功了，实际上啥也没发生。
关键概念：Intel VT-x引入了两种操作模式——VMX root mode（Hypervisor运行）和VMX non-root mode（Guest运行）。两种模式下都有Ring 0-3，Guest OS在non-root mode的Ring 0里执行，感觉就像在物理机上一样。
AMD-V的方案类似，叫AMD Secure Virtual Machine（SVM），核心思想一致：用硬件来截获和模拟敏感指令，不再依赖软件模拟。
VM Entry / VM Exit 机制
这个机制是整个CPU虚拟化的心脏。我画个图帮你理解：
流程其实很简单：Hypervisor通过VMLAUNCH或VMRESUME指令发起VM Entry，CPU切换到non-root mode开始执行Guest代码。当Guest触发了敏感操作，CPU自动保存Guest状态，执行VM Exit回到Hypervisor处理。处理完再VM Entry回去。
我的经验：VM Exit的开销很大，一次VM Exit大概要消耗几千个CPU周期。所以优化虚拟化性能的核心思路就是——减少不必要的VM Exit。我曾经调优一个数据库虚拟机，把频繁的CPUID指令替换掉，性能直接提升了15%。
Intel VT-x vs AMD-V 对比
| 特性 | Intel VT-x | AMD-V (SVM) |
|---|---|---|
| 操作模式 | VMX Root / Non-Root | Host / Guest 模式 |
| VM Entry指令 | VMLAUNCH / VMRESUME | VMRUN |
| VM Exit指令 | 自动触发 | 自动触发 |
| 嵌套虚拟化 | VMCS shadowing | Nested Page Tables |
| 地址转换 | EPT (Extended Page Tables) | NPT (Nested Page Tables) |
避坑指南：我曾经遇到过一台服务器，BIOS里VT-x是开启的，但Hypervisor就是检测不到。查了半天，发现是Intel Trusted Execution Technology（TXT）把VT-x锁住了。所以，如果你遇到类似问题，记得检查BIOS里TXT、TPM相关的设置。
2.2 内存虚拟化：EPT与NPT
内存虚拟化要解决什么问题？每个Guest OS都认为自己拥有从0开始的完整物理地址空间，但实际物理内存是共享的。这就需要两层地址转换：
- GVA（Guest Virtual Address）→ GPA（Guest Physical Address）
- GPA → HPA（Host Physical Address）
传统方案是“影子页表”（Shadow Page Table），Hypervisor为每个Guest维护一份映射到HPA的页表，Guest修改页表时触发VM Exit，Hypervisor同步更新影子页表。这效率嘛……你懂的。
硬件辅助方案就优雅多了：
Intel EPT（Extended Page Tables）
EPT直接在硬件层面完成GPA到HPA的转换。Guest维护自己的页表（GVA→GPA），CPU再查EPT表（GPA→HPA），两步合在一起就是GVA→HPA。整个过程不需要VM Exit。
AMD NPT（Nested Page Tables）
AMD的方案叫NPT，也叫RVI（Rapid Virtualization Indexing）。思路和EPT一样，只是实现细节略有不同。
性能对比：使用EPT/NPT后，内存访问性能损失从原来的20-30%降低到3-5%。而且TLB（Translation Lookaside Buffer）可以缓存两层转换结果，进一步加速。
我画个两层地址转换的示意图：
我的建议：在配置虚拟机内存大页（Huge Pages）时，记得同时开启EPT/NPT的大页支持。我见过有人只配了Guest的大页，没配EPT的大页，结果性能提升微乎其微。两层都要配，效果才明显。
2.3 IO虚拟化：VT-d与SR-IOV
IO虚拟化是三大件里最复杂的。CPU和内存虚拟化已经比较成熟了，但IO这块还在不断演进。
传统IO虚拟化有三种方式：
- 全虚拟化：Hypervisor模拟所有IO设备，Guest通过IO指令触发VM Exit，Hypervisor模拟执行。性能最差。
- 半虚拟化：Guest安装前端驱动，Hypervisor提供后端驱动，通过共享内存通信。性能不错，但要改Guest内核。
- 硬件直通：直接把物理设备分配给某个Guest，性能最好，但灵活性差。
硬件辅助方案解决了性能和灵活性的矛盾：
Intel VT-d（Virtualization Technology for Directed I/O）
VT-d的核心是DMA重映射和中断重映射。它让Hypervisor可以安全地把物理设备直通给Guest，同时保证DMA操作不会访问到其他虚拟机的内存。
工作原理：VT-d在IO总线和内存之间加了一层IOMMU（Input-Output Memory Management Unit）。设备发起DMA时，IOMMU把设备地址转换成HPA，同时检查权限。这样，即使设备被直通给Guest，它也只能访问自己被分配的内存区域。
SR-IOV（Single Root I/O Virtualization）
SR-IOV是PCIe规范里的虚拟化标准。它让一个物理设备在硬件层面呈现为多个独立的虚拟设备（VF，Virtual Function）。
| 概念 | 说明 |
|---|---|
| PF（Physical Function） | 物理功能，Hypervisor管理用，负责配置和控制 |
| VF（Virtual Function） | 虚拟功能，直接分配给Guest使用，轻量级 |
| VF数量 | 取决于设备，通常每个PF支持几十到几百个VF |
| 性能 | 接近物理设备，因为数据路径不经过Hypervisor |
实战经验：我在做NFV（网络功能虚拟化）项目时，用SR-IOV给每个虚拟机分配独立的VF网卡。10Gbps线速转发，CPU占用率不到5%。要是用半虚拟化网卡，同样流量CPU得吃掉30%。
VT-d vs SR-IOV 怎么选？
这个问题我经常被问到。简单说：
- VT-d直通：适合需要独占整个设备的场景，比如GPU直通给虚拟机做渲染。但一台物理机只能直通有限个设备。
- SR-IOV：适合需要高密度、高性能IO的场景，比如云平台的虚拟网卡。一个物理网卡可以分出几十个VF，每个虚拟机拿一个。
避坑指南：我曾经踩过一个坑——SR-IOV的VF不支持虚拟机热迁移。因为VF直接暴露了硬件状态，迁移时没法保存和恢复。所以，如果你需要热迁移功能，别用SR-IOV，用半虚拟化或者OVS-DPDK方案。
2.4 本章小结
硬件虚拟化三大件，说白了就是：
- CPU虚拟化：VT-x/AMD-V让Guest直接跑在硬件上，VM Exit只处理敏感操作
- 内存虚拟化：EPT/NPT让地址转换在硬件流水线内完成，不用频繁VM Exit
- IO虚拟化：VT-d做DMA保护，SR-IOV做设备分拆，让IO性能接近物理机
嗯，这章内容确实有点多。但搞懂了这些，后面讲KVM、Xen、VMware的架构时，你就能理解它们为什么这么设计了。硬件支持是基础，软件优化是上层建筑，两者缺一不可。