1、虚拟化技术虚拟化技术 agenda 虚拟化技术概述 基本虚拟化技术 硬件对虚拟化的支持 VMware虚拟化技术秘密认识虚拟化认识虚拟化指令仿真全虚拟化半虚拟化操作系统虚拟化LIB库仿真低高性能QEMUKVM/VmwareXenVServerWine计算机系统硬件操作系统程序库应用程序指令集合ISA系统调用SysCall应用编程接口API秘密虚拟化技术的历史虚拟化技术的历史资源池IBM推出虚拟化技术，提高了昂贵的大型机的利用率；VMware公司解决了X86虚拟化问题，推出了X86平台的虚拟机软件，使虚拟化技术开始走向普通用户。开源虚拟化技术Xen推出，使虚拟化技术的研究和应用更加普及；Intel
2、和AMD推出支持虚拟化技术的处理器和芯片组，实现了硬件辅助虚拟化技术；1960s199920032005Amazon采用虚拟化技术提供云计算平台，取得了商业上的成功，虚拟化技术成为云计算的基石；2006虚拟化技术将物理资源转化为便于切分的资源池，符合云计算的基本条件；虚拟化给资源以动态调配的能力，符合云计算按需分配的要求；秘密虚拟化前虚拟化后虚拟化将硬件、操作系统和应用程序一同封装封装一个可迁移的虚拟机档案文件中软件必须与硬件相结合每台机器只能 运行单一的操作系统每个操作系统有一个或多个应用程序负载（通常只有一个）增加虚拟化层裸金属架构每台机器上有多个操作系统和多个应用负载未更改过的应用未更改
3、过的应用未更改过的未更改过的OS虚拟硬件虚拟硬件服服务务器器虚拟虚拟化的化的基础基础概念概念秘密虚拟化计算系统体系结构虚拟化计算系统体系结构虚拟机管理器VMM单计算系统虚拟化多计算系统虚拟化操作系统应用程序VMMVMMVMM应用系统传统计算系统计算模式虚拟化计算系统计算模式应用系统应用系统应用系统操作系统操作系统操作系统操作系统8秘密虚拟技术虚拟技术: 四四大特性大特性相对于硬件独立相对于硬件独立无需修改即可在任何服务器上运行虚拟机分区分区在单一物理服务器上同时运行多个虚拟机隔离隔离在同一服务器上的虚拟机之间相互隔离封装封装整个虚拟机都保存在文件中，而且可以通过移动和复制这些文件的方式来移动和
4、复制该虚拟机秘密虚拟化益处：实现资源最优利用虚拟化益处：实现资源最优利用通过虚拟化进行服务器整合优势：n大大提高硬件利用率n增加系统的可管理性n简化服务器安装过程，节约时间50%70%n减少10倍或更多的硬件购买需求，节约一半的购买和维护成本HypervisorHypervisorHypervisorHypervisor虚拟机秘密虚拟化益处：动态负载均衡资源虚拟化益处：动态负载均衡资源n当VMM监测到某个计算节点的负载过高时，可以在不中断业务的情况下，将其迁移到其它负载较轻的节点或者在节点内通过重新分配计算资源n执行紧迫计算任务的虚拟机得到更多的计算资源，保证关键任务的响应能力Hypervis
5、orHypervisorHypervisor利用虚拟机与硬件无关的特性的虚拟机迁移技术，按需分配资源秘密虚拟化益处：系统自愈功能提升可靠性虚拟化益处：系统自愈功能提升可靠性n系统服务器硬件故障时，可自动重启虚拟机n消除在不同硬件上恢复操作系统和应用程序安装所带来的困难，其中任何物理服务器均可作为虚拟服务器的恢复目标n减少硬件成本和维护成本HypervisorHypervisorHypervisor实现经济高效、独立于硬件和操作系统的应用程序高可用性秘密虚拟化益处：提升系统节能减排能力虚拟化益处：提升系统节能减排能力 与服务器管理硬件配合实现智能电源管理 优化虚拟机资源的实际运行位置，达到耗电最
6、小化 可为运营商节省大量电力资源，减少供电成本，节能减排HypervisorHypervisorHypervisor休眠秘密虚拟化技术的驱动力虚拟化技术的驱动力IT成本的消减成本的消减n虚拟化技术能够显著提高硬件平台的利用率，节省50%以上的IT投资；n硬件服务器的减少同时能够节省机房电力、空间和制冷方面的投入；IDC统计的每用户年度花费秘密虚拟化技术的驱动力虚拟化技术的驱动力管理和可用性的提升管理和可用性的提升n虚拟机与物理服务器的隔离，使物理服务器的变化不波及虚拟机，简化了管理难度；n虚拟机间能够提供对上层透明灾难恢复机制，灾难恢复过程简单灵活，能显著提高系统可用性；物理设备虚拟机OSAp
7、p虚拟机OSApp故障升级维护秘密数据中心整合案例数据中心整合案例整合之前整合之后服务器1,000 台80 台存储270 TB DAS140 TB SAN 和 NAS网络3,000 个电缆/端口300 个电缆/端口设备200 个服务器机架400 个电源开关10 个服务器机架20 个电源开关客户示例：领先的北美公共设施公司客户示例：领先的北美公共设施公司VMware 对其产生的影响对其产生的影响硬件成本节省硬件成本节省数据中心空间、电力和制冷成本节省 70-80%2 年节省 800 万美元运营效率运营效率服务器重建和应用程序载入时间从 20-40 小时缩短到 15-30 分钟每年节省 10,00
8、0 工时agenda 虚拟化技术概述 基本虚拟化技术 硬件对虚拟化的支持 VMware虚拟化技术秘密VMM作为一个应用程序运行在主机操作系统上，兼容性好但效率低。虚拟化技术的关键组件虚拟化技术的关键组件VMM组织架构组织架构Host OSVMMAPP Guest OS1AppGuest OS2Service OSVMMAPPGuest OS1APPGuest OS2HardwareHardwareOS-Hosted OS-Hosted 模式模式VMMAPPGuest OS1APPGuest OS2HardwareVMM又称为Hypervisor，负责为虚拟机统一分配CPU、内存和外设，调度虚拟
9、资源；VMM直接运行在物理硬件上，效率更高，但硬件兼容性差。Stand-alone HypervisorStand-alone Hypervisor 模式模式前两种方式的综合，VMM直接运行在物理硬件上，但驱动程序由Service OS提供。HybridHybrid模式模式秘密例如：ESX Server依赖虚拟层内核代理和帮助应用的服务控制台VMM组织架构举例组织架构举例VMwareVMware产品虚拟化架构产品虚拟化架构例如：GSX Server, VMware Server, Workstation安装和运行应用程序依赖于主机操作系统对设备的支持和物力资源的管理寄居架寄居架构构（Hoste
10、d Architecture）裸金属裸金属架架构构 (“Bare Metal” Architecture)秘密X86平台虚拟化的三种方式平台虚拟化的三种方式全虚拟化全虚拟化 客户操作系统运行在Ring 1级，VMM运行在Ring 0级，对于不能虚拟化的特权指令，通过二进制转换方式转换为同等效果的指令序列运行，而用户级指令可直接运行。 不需要修改操作系统，虚拟机具有较好的隔离性和安全性。半虚拟化半虚拟化 需要修改操作系统内核，将不能虚拟化的指令替换为hypercall，hypercall直接与虚拟层通信； 显著减少了虚拟化开销，性能较高，但是由于需要修改操作系统内核，对于非开放的操作系统，如wi
11、ndows 2000/xp，则无法支持。硬件辅助虚拟化硬件辅助虚拟化 CPU在Ring 0级之下还提供了一个Root Mode，VMM运行在Root Mode下。特权指令自动被VMM捕获，不需要进行二进制转换或调用Hypercall； 效率较高，无需修改操作系统。 ZTE最新的刀片支持硬件辅助虚拟化。秘密X86平台平台 Full virtualization虚拟化技术虚拟化技术n客户操作系统运行在Ring 1级，VMM运行在Ring 0级，VMM提供给操作系统各种虚拟资源（虚拟BIOS、虚拟设备和虚拟内存管理等）。对于不能虚拟化的特权指令，通过二进制转换方式转换为同等效果的指令序列运行，而用户
12、级指令可直接运行。n客户操作系统与底层硬件资源完全隔离，操作系统不感知运行在虚拟机上，也不需要修改操作系统，虚拟机具有较好的隔离性和安全性。AppRing 3Ring 2Guest OSRing 1VMMRing 0X86 硬件平台对特权指令进行二进制转换用户指令直接执行秘密X86平台平台 Paravirtualization虚拟化技术虚拟化技术n这种方式需要修改操作系统内核，将不能虚拟化的指令替换为hypercall，hypercall直接与虚拟层通信，虚拟层提供内核操作的关键接口，如内存管理、中断处理和时间管理等。n这样显著减少了虚拟化开销，性能较高，但是由于需要修改操作系统内核，对于非开
13、放的操作系统，如windows 2000/xp，则无法支持。VMMAppRing 3Ring 2Ring 1Guest OSRing 0X86 硬件平台通过Hypercall调用虚拟层操作用户指令直接执行秘密X86平台平台 硬件辅助虚拟化硬件辅助虚拟化n在Intel的VT-x技术中，CPU在Ring 0级之下还提供了一个Root Mode，VMM运行在Root Mode下。特权指令自动被VMM捕获，不需要进行二进制转换或调用Hypercall。nIntel还对外设提供了VT-d和VT-c等技术，提供对外设虚拟化的支持。VMMAppRing 3Ring 2Ring 1Guest OSRing 0
14、X86 硬件平台特权指令被VMM捕获，不需要二进制转换用户指令直接执行非Root modeRoot mode秘密内存虚拟化内存虚拟化nVMM 通常采用分块共享的思想来虚拟计算机的物理内存。即将机器内存分配给虚拟机，并维护机器内存和虚拟机所见的“物理内存”的映射关系，使这些内存在虚拟机看来是从地址0开始、连续的物理地址空间秘密I/O设备虚拟化模式设备虚拟化模式n较高性能nIO设备共享n支持虚拟机迁移n虚拟层过于复杂VMMSharedDevicesI/O ServicesDevice DriversVM0Guest OSand AppsVMnGuest OSand Appsn最高性能n虚拟层更简洁
15、n需要设备支持共享n迁移能力受影响AssignedDevicesVMMVM0Guest OSand AppsDeviceDriversVMnGuest OSand AppsDeviceDriversn高安全性nIO设备共享n支持虚拟机迁移n性能受影响SharedDevicesI/O ServicesVMMDevice DriversService VMsVMnVM0Guest OSand AppsGuest VMs秘密I/O设备虚拟化设备虚拟化n目前一些常见的VMM系统针对I/O设备虚拟化分别采用了不同的设计思路，比较典型的有：1）全虚拟化，2）半虚拟化，3）软件模拟全虚拟化半虚拟化软件模拟秘
16、密虚实结合的虚实结合的I/O设备访问技术设备访问技术n直接设备访问lVMM-Bypass I/Ol2006年IBM基于Xen实现了InfiniBand设备的直接I/O访问l2006年佐治亚理工提出I/O设备自虚拟化(Self-Virtualization)概念lIntel VT-d，AMD IOMMU，PCI-SIG的IOV规范从硬件层次上试图解决直接设备访问带来的隔离性问题，并支持设备的共享秘密开源虚拟机开源虚拟机XennXen是由剑桥大学计算机实验室发起的开源虚拟机项目；n支持半虚拟化和全虚拟化（需要硬件支持）；nXen Hypervisor 是虚拟机管理器，负责CPU调度和内存分区，不负
17、责网络和设备IO；nDomain 0 ，负责管理其他虚拟机，提供管理接口； nDomain UlDomain U PV Guest ：半虚拟化虚拟机；lDomain U HVM Guest ：全虚拟化虚拟机；nXen Hypervisor的管理接口可通过Libxenctrl库调用，来实施管理功能；秘密基于基于Linux内核的虚拟机内核的虚拟机KVMnKVM嵌入到Linux内核中，利用Linux内核的调度和资源管理能力管理虚拟资源；n在KVM下，每个虚拟机都是一个Linux进程，它按正常进程方式调度，内存也由Linux分配，也可以按普通进程进行管理。n正常进程有核心和用户两种模式，KVM增加了g
18、uest模式，用于执行非IO的客户操作系统代码 ；nKVM主要有两个组件：一个用来管理虚拟硬件的驱动程序，它体现为设备/dev/kvm；一个修改了的qemu进程，运行在用户空间，用来模拟PC硬件。秘密操作系统适配操作系统适配n减少陷入，提高虚拟化性能lVMware：idle被调度时，可以不切换页表lVMware：通过修改Guest OS安装的网卡驱动，减少I/O指令和中断请求，提高虚拟网卡性能lXen：通过Hypercall陷入VMM，完成一组特权操作n支持虚拟机管理：Virtual Awarel提供负载信息（The University of Michigan）l提供资源使用信息l虚拟机自管
19、理（University of Copenhagen）nSelf-migration、Self-ClonenVirtual Appliance (VMware)lJeOS：Just enough OS秘密虚拟机系统基本安全隔离虚拟机系统基本安全隔离n因外界入侵、系统故障等，虚拟机出现安全问题n通过安全隔离机制将“问题”虚拟机限定在特定范围n终止“问题”虚拟机，对其所使用的磁盘、内存等进行安全清理，隔离系统故障29VMMVM物理内存虚拟磁盘虚拟物理内存VCPUcore虚拟磁盘虚拟物理内存VCPU物理磁盘VM秘密VMVMVMVMvTPMmanagervTPM instancevTPM instan
20、cevTPM instancevTPM instanceTrusted VMM platformOSOSOSattack可信VMM隔离来自VM攻击n TPM提供可信的VMM,并通过虚拟化技术为每个VM提供可信功能n 可信的VMM可以实现VM与VMM之间的攻击隔离,把VM内攻击的的边界限制在VM之内.实现了VM与VMM以及VM之间的安全隔离n 利用虚拟化技术可有效实现硬件的故障隔离技术failure硬件的故障对VMs和OS透明虚拟机安全隔离实现机制agenda 虚拟化技术概述 基本虚拟化技术 硬件对虚拟化的支持 VMware虚拟化技术秘密VMMSoftwareSoftware-only VMMs
21、 Binary translation Paravirtualization IO-Device EmulationSimpler and moreSecure VMMsthrough foundationof virtualizable ISABetter I/O andCPU Performanceand Robustness vi hardware supportVector 3:I/O Device FocusAssists for endpoint I/O device sharing: Support for PCISIG Standards Network Virtualizat
22、ion (VMDq)Richer IO-deviceFunctionalityand Sharing forlegacy andparavirtualized OSesVector 1:Processor FocusVector 2:Platform FocusBaseline Infrastructure: DMA RemappingPerformance Assists: EPT APIC TPR VPIDs -Arch Opt.Close basicprocessor“virtualization holes”in IA-32 CPUsEnhanced support for: APIC
23、 Virtualization VM Switching Misc OtherEnhanced Platform Support: Interrupt Remapping Performance Enhancements PCISIG IOV SupportIntel VTx: Intel Virtualization Technology (Intel VT) for IA32, Intel 64 and Intel ArchitectureIntel VTd: Intel Virtualization Technology (Intel VT) for Directed I/O Intel
24、 VTc: Intel Virtualization Technology (Intel VT) for Connectivity Intel VT Development RoadmapVMM software evolution over time with Intel Virtualization Technology hardware supportVT-cVT-dVT-x秘密Intel Virtualization TechnologyIntel VT refers to all the hardware assists for virtualization that Intel o
25、ffers across its platform (CPU, Chipset, I/O)Intel VT-xIntel VT refers to all the hardware assists for virtualization in Intel 64 and IA32 processorsIntel VT-iIntel VT refers to all the hardware assists for virtualization in Itanium processorsIntel VT for Directed I/O (Intel VT-d)Intel VT refers to
26、all the hardware assists for virtualization in Intel chipsetIntel VT for Connectivity (Intel VT-c)Intel VT refers to all the hardware assists for virtualization in Intel networking and I/O devicesProcessorChipsetNetwork秘密Pre and Post Intel VT-x/VT-in VMM has its own privileged level where it execute
27、sn No need to de-privilege the guest OSn OSes run directly on the hardwaren VMM de-privileges the guest OS into Ring 1, and takes up Ring 0n OS un-aware it is not running in traditional ring 0 privilegen Requires compute intensive SW translation to mitigateRing 1Ring 3Ring 0VM1VMnShared Physical Har
28、dwareVirtual Machine MonitorShared Physical HardwareIntel Virtualization TechnologyRing 0Ring 3VMX RootVM1VMnVirtual Machine Monitor秘密Intel VT-d in hardware: OverviewnVT-d provides infrastructure for I/O virtualizationlDefines architecture for DMA remappinglWill be supported broadly across Intel chi
29、psetsDRAMSouth BridgeBus to CPUPCI ExpressPCI, LPC, Legacy devices, IntegratedDevicesNorth BridgeVT-dPCIe* Root Ports*Other names and brands may be claimed as the property of others秘密Intel Virtualization Technology for Directed I/O (VT-d)DMA-Remapping Benefits Enhance security and reliability throug
30、h device isolation (Native OS and VMM)Enable controlled DMA to and from device to the specified physical memory locations only End to end isolation (VM to the device)Allows I/O devices to be directly assigned to specific virtual machines (VMMs) Eliminate Bounce buffer conditions with 32-bit devices
31、(Native OS and VMM)秘密Layer 2 Classified SorterRxnRx1Rx2Rx1RxnRx1IdleTx2TxnTxnIdleTx2TxnTx1MAC/PHYNIC w/VMDqVirtual Machine Device Queues (VMDq)More effective NIC sharing by sorting and grouping packetsVM1(vNIC)VM2(vNIC)VMn(vNIC)Layer 2 Software SwitchVMMLANTransmit Path: Roundrobin servicing Ensures
32、 transmit fairness across VMs Prevents headofline blockingReceive Path Data packets for different VMs get sorted at the Ethernet silicon based on MAC address/VLAN tags Sorted data packets get parsed to the respective VMs Data packets being received by respective VMsRx1Rx2Rx1RxnRx1RxnTx1TxnTx2Tx2TxnT
33、xn*Other names and brands may be claimed as the property of others.agenda 虚拟化技术概述 基本虚拟化技术 硬件对虚拟化的支持 VMware虚拟化技术秘密VMware HAVMware HA：提高系统的可用性：提高系统的可用性功能功能l当服务器故障时，自动重新启动虚拟机优势优势l经济有效的适用于所有应用的高可用l不需要独占的stand-by 硬件l没有集群软件的成本和复杂性经济有效的适用于所有应用的高可用解决方案经济有效的适用于所有应用的高可用解决方案X秘密VMotionVMotion：减少计划内宕机时间：减少计划内宕机时
34、间VMotionVMotionVMotion是什么？通过VMware VMotion可以实现虚拟机的动态迁移，而服务不中断。客户优势：客户优势：零宕机时间: 进行有计划的服务器维护和升级迁移工作负载，资源利用率最大化服务器的持续可用性, 完整的交易集成支持Fibre Channel和iSCSI SAN环境以及NAS秘密Storage VMotionStorage VMotion：减少计划内宕机时间：减少计划内宕机时间l虚拟机磁盘存储独立迁移虚拟机磁盘存储独立迁移n无需虚拟机停机无需虚拟机停机nLUN 独立独立n支持光纤通道支持光纤通道 SAN应用程序应用程序操作操作系统系统应用程序应用程序操作
35、操作系统系统应用程序应用程序操作操作系统系统无中断：无中断：刷新到新阵列刷新到新阵列 迁移到不同类别的存储器迁移到不同类别的存储器升级到新文件系统格式升级到新文件系统格式虚拟机粒度，虚拟机粒度，LUN 独立独立秘密VMwareVMware分布式资源调度（分布式资源调度（DRSDRS）：按需自动资源调配）：按需自动资源调配功能功能l跨资源池动态调整计算资源l基于预定义的规则智能分配资源优势优势l使IT和业务优先级对应 l动态提高系统管理效率l自动化的硬件维护动态负载均衡和连续智能优化，保证所有应用需要的的资源动态负载均衡和连续智能优化，保证所有应用需要的的资源资源池资源池业务需求业务需求围绕业务
36、进行组织和规划围绕业务进行组织和规划而不是您的硬件而不是您的硬件! !秘密实现节能的绿色计算：实现节能的绿色计算：DPMDPM智能化的电源管理智能化的电源管理l是VMware DRS功能的进一步延伸l与服务器管理硬件配合实现智能化的电源管理l优化虚拟机的实际运行位置，达到耗电最小化的目的l可以为大中型计算中心节省大量的电力资源，显著降低用电成本资源池资源池业务需求业务需求下电These features are representative of feature areas under development. Feature commitments must not be included
37、in contracts, purchase orders, or sales agreements of any kind. Technical feasibility and market demand will affect final delivery.秘密始终在线，容量按需分布的数据中心X 自动资源保证 动态负载均衡 持续负载优化 增加可用性 自动化 支持所有应用 容量按需分配 不中断扩展 弹性，重新配置+秘密X即使出现硬件故障，也可以避免发生独立于应用程序和操作系统的停机。零停机、零数据丢失！VMware FT高级容错技术高级容错技术秘密操作系统操作系统应用程序应用程序版权所有 2
38、005 VMware, Inc. 保留所有权利。VMware Data Recovery版权所有 2005 VMware, Inc. 保留所有权利。虚拟机的无代理、基于磁盘的备份和恢复 虚拟机或文件级别的恢复增量备份和消除重复数据以节约磁盘空间为虚拟机提供快速、简单和完整的数据保护 通过 vCenter 实现集中式管理 经济高效的存储管理 消除重复数据消除重复数据存储设备存储设备ESX操作系统操作系统应用程序应用程序操作系统操作系统应用程序应用程序秘密生产站点灾备站点VirtualCenterSite Recovery ManagerVirtualCenterSite Recovery Man
39、agerDatastore GroupsArray ReplicationDatastore GroupsXSite Recovery Manager(SRM)Site Recovery Manager(SRM)演示演示秘密VMware云计算操作系统：云计算操作系统：vSphere架构架构光纤通道光纤通道存储阵列存储阵列iSCSI存储阵列存储阵列NAS存储阵列存储阵列vCenter Mgmt ServervSphereClient终端终端服务服务光纤通道光纤通道交换机交换机光纤光纤 IP 网络网络VMware ESX 4.0VMVMVMVMVM服务器组服务器组 1服务器组服务器组 2服务器组服
40、务器组 3Web浏览器浏览器秘密采用虚拟化技术的原则采用虚拟化技术的原则不适合采用虚拟化的应用l具有特殊硬件访问要求的应用n高性能图形显卡 - 不适用虚拟化 n特殊的串/并行加密设备 -不适用虚拟化nUSB设备连接需求 - 可能不适用，可采用外置USB设备代替，需经过测试n电路域接口，如七号信令接口不适用虚拟化l即使在高配置的服务器上仍然具有很高负载的应用 - 可能不适用，需分析当前服务器配置情况可以采用虚拟化的应用l除上述不适合采用虚拟化的应用之外的所有应用l可根据应用迁移的复杂程度决定虚拟化先后顺序n较易实现P2V的应用可先做迁移，如可用Converter工具直接迁移的应用n较难或不能做P2V迁移的应用可考虑采用重新安装方式后迁l根据管理的需要决定是否做虚拟化n虚拟化转变过程对现有业务的影响程度n转变为虚拟化后对现有管理的影响程度n部门之间协调的难易程度Thanks！
