什么是网站抄袭,制作网站需要哪些工具,做网站需要会什么编程,免费申请商家收款码目录 什么是虚拟化广义虚拟化狭义虚拟化 虚拟化指令集敏感指令集虚拟化指令集的工作模式监视器对敏感指令的处理过程#xff1a; 虚拟化类型全虚拟化类虚拟化硬件辅助虚拟化 虚拟化架构裸金属架构宿主机模式架构 什么是虚拟化
虚拟化就是通过模仿下层原有的功能模块创造接口来… 目录 什么是虚拟化广义虚拟化狭义虚拟化 虚拟化指令集敏感指令集虚拟化指令集的工作模式监视器对敏感指令的处理过程 虚拟化类型全虚拟化类虚拟化硬件辅助虚拟化 虚拟化架构裸金属架构宿主机模式架构 什么是虚拟化
虚拟化就是通过模仿下层原有的功能模块创造接口来“欺骗”上层的机制。虚拟化可以通过资源管理技术将物理存在的实体资源以虚拟机Virtual MachineVM的形式抽象成一种逻辑表示。通常的做法是在整个系统架构中增加一个抽象层负责分割下层的物理资源然后组合成逻辑资源供上层使用。
广义虚拟化 狭义虚拟化
狭义虚拟化特指操作系统虚拟化它使用虚拟化技术在一台物理机上模拟出多台虚拟机每台虚拟机都拥有独立的资源计算资源、存储资源、网络资源。
虚拟化的具体实现是通过在操作系统与硬件之间加入一个虚拟化层并通过空间上的分割、时间上的分时及仿真模拟将服务器物理资源抽象成逻辑资源。虚拟化层可以将单个CPU模拟为多个CPU并且这些CPU之间相互独立、互不影响也就是虚拟化层实现了计算单元的模拟及隔离。它向上层操作系统提供与原先物理服务器一致的环境使得上层操作系统可以直接运行在虚拟环境中并允许具有不同操作系统的多台虚拟机相互隔离并发地运行在同一台物理服务器上这台物理服务器被称为“宿主机”。虚拟化层模拟出来的主要逻辑功能为虚拟机在虚拟机中运行的操作系统被称为“GuestOS”。
虚拟化场景包括三个部分硬件资源、虚拟机监视器VMM和虚拟机VM。系统虚拟化可以将一台物理机Host虚拟化为多台虚拟机并通过虚拟化层即虚拟机监视器使每台虚拟机都拥有自己的虚拟硬件并拥有一个独立的虚拟机运行环境进而拥有一个独立运行的操作系统。
虚拟化指令集
虚拟化指令集指的是将某个硬件平台的二进制代码转换为另一个平台的二进制代码从而实现不同硬件指令集之间的兼容。这种技术也被形象地称为“二进制翻译”。
敏感指令集
敏感指令Sensitive Instruction在虚拟化场景下在GuestOS的内核中有一部分非特权指令它们不一定会改变或者损害整个系统但是会影响基于虚拟化的整个系统的安全。
敏感指令是操作特权资源的指令包括修改虚拟机的运行模式改变宿主机的状态读/写时钟、中断等寄存器访问存储保护系统、地址重定位系统及所有的I/O指令。 例如GuestOS的内核指令可以读取宿主机CPU的寄存器内容从而看到整个系统的状态这样一台虚拟机就可以看到另一台虚拟机的内部信息了。在虚拟化场景下所有会危害到系统安全的指令集被称为“敏感指令集”。 虚拟化指令集的工作模式
PopekGoldberg 原理定义了如何设计一个有效的虚拟机监视器。
等价性任何一个程序在被管理程序控制时除时序和资源可用性之外应该与没有被管理程序控制时是一样的而且预置的特权指令可以自由执行。 管理程序通常指的是虚拟机监视器也称为hypervisor。虚拟机监视器是一种软件它允许多个操作系统在同一台物理计算机上运行并且对它们进行管理和监视。虚拟机监视器负责分配计算机的资源如处理器时间、内存和输入/输出设备以便多个操作系统之间可以共享这些资源。 时序指的是程序执行的时间顺序和时序关系包括程序的指令执行顺序、时钟周期、中断处理等。在虚拟机监视器中被管理程序受到虚拟机监视器的控制因此其时序可能会受到影响。 资源可用性指的是系统中各种资源的可用性包括CPU、内存、磁盘、网络等。在虚拟机监视器中被管理程序的资源使用受到虚拟机监视器的限制和调度因此其资源可用性也可能会受到影响。 资源控制一个程序发出的任何调用系统资源的动作在被执行时都应先调用控制程序(虚拟机监视器)。
效率性一个程序产生的所有无害指令都应该由硬件直接执行控制程序不应该在任何地方产生中断。 Popek和Goldberg虚拟化原理是一种计算机虚拟化技术的基本原理。该原理由Gerald J. Popek和Robert P. Goldberg于1974年提出。该原理规定了一个处理器架构必须满足的条件以便能够支持虚拟化。这些条件包括特权指令的识别、特权指令的陷阱和仿真、设备I/O的虚拟化等。根据这些条件Popek和Goldberg提出了一个虚拟机监视器VMM的概念该监视器可以在硬件层面上管理和支持虚拟化环境。这个原理对虚拟化技术的发展产生了深远的影响也为后来的虚拟化技术提供了理论基础。 1、虚拟机GuestOS中的所有非敏感指令都会“穿透”虚拟机监视器直接运行在CPU上。
2、虚拟机GuestOS中的敏感指令理想的状态是通过陷阱机制被虚拟机监视器所捕获然后虚拟机监视器通过不同的模拟或虚拟化技术实现在虚拟机上的模拟。
监视器对敏感指令的处理过程
如果敏感指令都是特权指令当在虚拟机中执行内核态的特权指令时则会通过陷阱机制被下层的虚拟机监视器捕获。虚拟机监视器可以对捕获的特权指令进行替换操作从而完整地模拟出某个虚拟机监视器下的特权操作。“陷阱模拟”机制从本质上保证了可影响虚拟机监视器正常运行的指令由虚拟机监视器模拟执行而大部分非敏感指令还是照常运行在物理CPU上。 虚拟机监视器用到了优先级压缩技术使得虚拟机中的应用运行在Ring 3层GuestOS运行在Ring 1层有时也可运行在Ring 3层虚拟机监视器运行在Ring 0层。
虚拟化将原本的GuestOS内核的特权级别从Ring 0改为Ring 1即可“消除”GuestOS内核的特权。但这会给GuestOS的内核指令带来一定的麻烦原本GuestOS的内核指令是被设计在Ring 0层下执行的通过优先级压缩后会造成部分指令在虚拟机中的Ring 1层或Ring 3层下无法执行。
当GuestOS的特权指令无法直接下达到CPU执行时可以通过虚拟机监视器的“陷阱模拟”机制执行。具体来说当虚拟机中的应用需要操作重要资源时会触发特权指令通过陷阱机制被虚拟机监视器捕获然后交由对应的GuestOS执行。因为虚拟化之后GuestOS运行在Ring 1层它没有权限执行一些特权指令需要通过其他方式保证这些特权指令的执行。
当虚拟机中的应用使用系统调用时其跳转到的GustOS内核中断处理程序routine运行于Ring1层。但是在内核中断处理程序中有部分指令是必须在Ring 0层才能执行的此时会再通过陷阱机制将这些指令自动转入虚拟机监视器后执行。用户程序运行特权指令时会有两次特权下降其中一次是进入Ring 1层的GuestOS另一次是通过特权指令的陷阱机制进入Ring 0层的虚拟机监视器。 控制权指的是程序执行的控制权即程序在执行过程中所处的特权级别。假设在虚拟化环境中运行一个操作系统其中运行了一个虚拟机虚拟机中运行了一个应用程序。当应用程序需要进行系统调用时控制权会转移到虚拟机内的操作系统内核中断处理程序中此时操作系统内核的特权级别为Ring 1。如果系统调用需要执行一些特权指令例如修改页表或访问I/O端口那么操作系统内核就无法直接执行这些指令因为它的特权级别不够高。这时操作系统内核会通过陷阱机制将控制权转移到虚拟机监视器中虚拟机监视器的特权级别为Ring 0可以执行特权指令并与物理硬件交互。执行完特权指令后虚拟机监视器会将控制权返回给操作系统内核操作系统内核再将控制权返回给应用程序应用程序继续执行。这种特权级别的转换是虚拟化环境中实现安全隔离和资源管理的重要机制。 PopekColdberg原理的前提是敏感指令必须都是特权指令即敏感指令集是特权指令集的子集如图所示。只有这样虚拟机监视器才能通过选用特权指令集的陷阱捕获方式进行虚拟化。 但是在x86处理器中只能保证绝大多数的敏感指令是特权指令还有约17个敏感指令不是特权指令也就是说敏感指令的范围更大。然而当特权指令集是敏感指令集的真子集时一部分敏感指令无法被虚拟机监视器捕获也就是说虚拟机监视器无法完全控制这些指令的执行。这种情况被称为“虚拟化漏洞”因为虚拟机监视器无法完全替代或者控制这些敏感指令的执行可能会导致安全性问题。 虚拟化类型
虚拟化分为全虚拟化、类虚拟化和硬件辅助虚拟化三类
全虚拟化
从GuestOS看来和在真实的物理机上运行完全一致GuestOS察觉不到是运行在一个虚拟化平台上。在这样的虚拟化平台上GuestOS 无须做任何修改即可运行所抽象的虚拟机具有完全的物理计算机特性我们称这种虚拟化平台为“全虚拟化平台”。全虚拟化平台需要正确处理所有的敏感指令进而正确完成对CPU、内存和I/O的各种操作。
在全虚拟化中对于特权指令还是采用先前的“陷阱模拟”的方式。当虚拟机的内核态需要运行虚拟化漏洞指令时Ring 0下的虚拟机监视器通过二进制代码扫描并替换Ring 1下的GuestOS的二进制代码将所有虚拟化漏洞指令替换为其他指令。二进制翻译是一种直接翻译可执行二进制程序的技术能够把一种处理器上的二进制程序翻译到另一种处理器上执行。在虚拟机监视器中会动态地把虚拟机中的虚拟化漏洞指令翻译为其他指令从而实现虚拟化。
类虚拟化
不同于全虚拟化类虚化的GuestOS知道自己运行在一个虚拟化环境中。类虚拟化可以通过修改GuestOS的内核代码来规避虚拟化漏洞的问题。
GuestOS会将与敏感指令相关的操作都转换为对虚拟机监视器的超级调用Hypercall交由虚拟机监视器进行处理使GuestOS内核完全避免处理那些难以虚拟化的虚拟化漏洞指令。
与全虚拟化不同的是它将问题的中心由虚拟机监视器移向GuestOS自身通过主动的方式由GuestOS去处理这些指令而不是移交给虚拟机监视器进行处理在这种设计理念下就必须得修改GuestOS内核。
但与全虚拟化相同的是类虚拟化修改过的GuestOS也会运行在Ring 1下。运行在Ring 1下的GuestOS没有权限执行的指令会交给运行在Ring 0下的虚拟机监视器来处理。虚拟机监视器向GuestOS提供了一套“系统调用”以方便GuestOS调用这套“系统调用”就是超级调用。只有Ring 1下的GuestOS才能向虚拟机监视器发送超级调用请求以防止Ring 3下的应用调用错误导致对系统可能的破坏。 例如当虚拟机内核需要操作物理资源来分配内存时虚拟机内核无法直接操作物理资源而是通过调用与虚拟机监视器内存分配相关的超级调用由超级调用来实现真正的物理资源操作。 全虚拟化通过Binary Translation在二进制代码级别上来避免虚拟化漏洞。类虚拟化采取的是另一种思路即修改操作系统内核的代码使得操作系统内核完全避免这些难以虚拟化的指令。 硬件辅助虚拟化
为了更好地解决x86架构下虚拟化漏洞的问题芯片厂商扩展了其指令集来支持虚拟化。其核心思想是通过引入新的指令和运行模式使虚拟机监视器和GuestOS分别运行在root模式和no-root模式下这样一来GuestOS还是可以运行在Ring 0下的GuestOS的内核也不需要修改。
将虚拟机监视器与GuestOS的执行环境完全隔离开通过指令集的变化实现虚拟机监视器和GuestOS运行环境之间的相互转换即上文所述的root模式和no-root模式。启动或退出root模式和no-root模式通过新添加的VMXON和VMXOFF指令实现。从root模式到no-root模式的转换通过VMEntry指令实现从no-root模式到root模式的转换通过VMExit指令实现。
虚拟化架构
虚拟化架构主要分为裸金属架构和宿主模式架构两种
裸金属架构
虚拟机监视器被直接安装和运行在物理机上依赖其自带的虚拟内核管理使用底层硬件资源。虚拟机监视器拥有硬件的驱动程序不依赖特定的操作系统其管理着宿主机及其他虚拟机。宿主机和虚拟机都安装有各自的操作系统即宿主机操作系统和GuestOS。裸金属架构的代表是Xen。 宿主机模式架构
虚拟机监视器被安装和运行在操作系统上依赖操作系统对硬件设备的支持和对物理资源的管理。在这种情况下虽然虚拟机监视器对硬件资源进行访问必须经过宿主机操作系统但虚拟机监视器依然可以充分利用操作系统对硬件设备的支持以及内存管理进程调度等服务。宿主模式架构的代表是KVM。
