1. 课程导入

在虚拟化与云原生基础设施中，让虚拟机或容器直接访问物理设备（如GPU、NVMe SSD、网卡、FPGA）已成为提升性能的关键手段。但“直通”并非简单地把设备分配给某个操作系统，它背后依赖一套精密的硬件与软件协作机制——IOMMU（Input/Output Memory Management Unit）正是这套机制的核心枢纽。本课程将带你从零构建多OS设备直通与IOMMU工程的完整知识体系，覆盖原理、配置、调试与性能优化。

学习目标

• 理解IOMMU的地址翻译、隔离与中断重映射三大核心能力。
• 掌握VFIO、vfio-pci、vfio-iommu等Linux内核框架的协作关系。
• 能够独立完成PCIe设备直通到KVM/QEMU虚拟机的配置与验证。
• 学会分析ACS、IOMMU分组、中断重映射等常见故障。
• 具备多OS场景下设备共享、SR-IOV与直通混合部署的工程能力。

核心概念与整体知识框架

设备直通的本质是“让设备DMA直接访问目标OS的物理内存”，而IOMMU负责将设备发出的I/O虚拟地址（IOVA）翻译为宿主物理地址（HPA），同时施加访问权限检查。没有IOMMU，设备DMA会直接冲击宿主内存，导致隔离失效甚至系统崩溃。下图展示了多OS设备直通中，CPU、IOMMU、设备与各OS内存空间之间的核心关系。

从图中可以看到，IOMMU位于CPU与PCIe设备之间，所有设备DMA请求都必须经过它。宿主OS通过VFIO框架将设备“安全地”交给客户OS，而客户OS内的驱动则通过vIOMMU感知地址翻译。IOMMU分组（IOMMU Group）是直通的最小单位——同一分组内的设备无法单独分配给不同OS，这是工程中最常见的约束。

实战路线图与关键参数

本课程按“原理→配置→调试→优化”四阶段推进。第一阶段理解IOMMU硬件能力与Linux内核子系统；第二阶段动手配置内核参数、绑定vfio-pci、启动QEMU；第三阶段使用dmesg、lspci、iommu组信息排查故障；第四阶段探索SR-IOV、多设备直通与性能调优。

intel_iommu=on iommu=pt vfio-pci.ids=10de:1eb8,10de:1eb9
pcie_acs_override=downstream,multifunction

案例场景：GPU直通到Windows虚拟机

假设一台服务器配备NVIDIA RTX GPU，需要直通给Windows客户机用于图形渲染。操作流程如下：

1. BIOS中开启VT-d/AMD-Vi，内核启动参数加入 intel_iommu=on。
2. 使用 lspci -nn 获取GPU及音频功能的PCI ID。
3. 将ID写入 vfio-pci.ids=，重启后确认驱动为vfio-pci。
4. QEMU命令行添加 -device vfio-pci,host=01:00.0。
5. 客户机安装官方驱动，验证3D性能与显示输出。

常见误区与复盘

• 误区一：认为开启IOMMU一定会降低性能。实际上 iommu=pt 模式下，非直通设备走恒等映射，性能损失极小。
• 误区二：忽略ACS能力。许多主板PCIe插槽共享ACS，导致设备无法独立分组，直通失败。
• 误区三：忘记中断重映射。未开启 intel_iommu=on 时，设备中断可能无法正确路由到客户机。
• 误区四：在客户机内直接使用宿主驱动。直通设备必须由客户机原生驱动接管，宿主不得加载竞争驱动。