VIR403_Hyper-V虚拟化技术深度剖析及监控、排错最佳实践.pptxVIP

VIR403Hyper-V虚拟化技术深度剖析及监控、排错最佳实践日程安排 Hyper-V内部原理 Hyper-V性能优化 Hyper-V高级排错日程安排 Hyper-V内部原理Hyper-V性能优化 Hyper-V高级排错驱动程序驱动程序驱动程序DriversDriversDriversDriversDriversDriversHyper-V是裸金属架构吗？问题先有WIN2K8，才安装的Hyper-V，怎么可能是裸金属？答案要看整体架构，Hyper-V位于WIN2K8的下方，WIN2K8是一台特殊的虚机VM 2子分区VM 3子分区VM 1父分区虚拟栈Hypervisor硬件Hyper-V是怎么启动的？系统检查BCDEDIT，查看是否允许Hypervisor启动启动Hvboot.sys驱动，这是Hypervisor的引导设备驱动负责加载Hypervisor：AMD-V: %Systemroot%\System32\Hvax64.exeIntel VT: %Systemroot%\System32\Hvix64.exeHypervisor在Ring -1运行，Host OS隔离到父分区图例WindowsIISVirtual ServerVirtual Server网站Virtual Server服务ISVRing 1: 虚机内核模式虚机添加件Windows (NT4, 2000, 2003)内核VMM过去: 寄居架构宿主机虚机Ring 3: 用户模式应用程序Windows Server 2003/Windows XPRing 0: 内核模式驱动硬件层图例WindowsVirtual ServerISVWindows内核操作系统内核设备驱动Hyper-VVSCEnlightenmentsVMBus现在: 裸金属架构父分区 子分区应用程序VMWP进程WMI ProviderVMMS服务Ring 3: 用户模式Server CoreVSPRing 0: 内核模式Ring -1硬件层虚拟化层Ring3：用户模式iSCSIprt分区卷磁盘StorPort文件系统磁盘StorPortMiniportHyper-VVMBusVMWP进程VSCFast Path Filter (VSC)VSPVSP/VSC设计范例父分区子分区图例WindowsHyper-VISVOEMRing0：内核模式Ring-1硬件应用程序何谓Para-Virtualization通常译为部分虚拟化/半虚拟化性能好于完全虚拟化需要内核做必要的修改Hyper-V属于特殊的半虚拟化技术，也叫做EnlightenmentVMware的单一架构无法实现深度防御第三方驱动可能导致严重安全隐患Hypervisor运行在最高特权层虚机虚机虚机用户模式用户模式用户模式Ring 3内核模式内核模式内核模式Ring 1CPU调度程序内存管理存储堆栈网络堆栈VM状态机虚拟设备二进制特权指令转化（BT技术）驱动程序管理APIRing 0硬件层Hyper-V微内核架构可以实现深度防御使用CPU虚拟化来实现保护Hyper-V无需实现BT技术进一步减少受攻击面父分区虚机虚机VM State Machine虚拟设备管理API用户模式用户模式Ring 3存储堆栈网络堆栈驱动程序内核模式内核模式Ring 0CPU调度程序内存管理Ring -1硬件层虚拟化层(Virtualization Stack)VMMS服务(用户模式总司令)VMMS提供虚机远程管理的WMI接口、管理VMWP进程、管理快照、提供RDP监听功能(2179端口，转发给指定VMWP)、在AD中注册和管理SCP，并提供VSS Writer功能VMWP进程 (虚机的代理进程)给虚机提供虚拟硬件，包括“主板”、 “设备”（集成或模拟）、虚机的状态、内存管理、创建和枚举RDP连接(把显示、鼠标键盘打包成RDP数据流)等演 示查看VMWP进程对应的虚机虚拟内存操作系统内核负责管理虚拟地址到物理地址的映射虚拟地址远大于物理内存容量虚拟地址(继续)Hyper-V实现系统物理地址SPA虚机物理地址GPA虚机虚拟地址GVAHyper-V不支持内存共享Hyper-V不支持内存过载快照的内部原理在Snapshot目录新建一个子目录，名为虚机的原始GUID(假设GUID1)。Hyper-V R2，不再创建同名子目录有以新GUID(假设GUID2)为名的XML虚机配置文件、还有一个同名(GUID2)子目录名为GUID2子目录下，有一个状态保存文件.vsv，还有一个.bin，都以GUID2为名给原虚拟磁盘分别创建自动差异磁盘.avhd，为原来的名称加上GUID2。日程安排 Hyper-V内部原理 Hyper-V性能优化 Hyper-V高级排错Windows Server B