扫码获取 VIP 码
添加管理员微信获取 VIP 码
虚拟化（Virtualization）在软考教材中的标准表述，是"将计算机的各种物理资源（处理器、内存、存储、网络等）予以抽象、转换后呈现出来，打破物理结构间不可切割的障碍，使用户可以比原本的组态更好的方式来应用这些资源"的一种资源管理技术。理解这一定义抓住三个关键词："抽象"指对外暴露的不再是硬件本身，而是经过软件包装的逻辑视图；"转换"指资源被重新组织与分配，例如把一颗八核处理器切成八个虚拟处理器；"呈现"指交付给使用者的是一套完整、独立、可自管理的计算环境，使用者安装操作系统、运行应用软件，与独占一台物理机无异。
从资源聚合的方向看，虚拟化在广义上分为两个相反方向。分割式虚拟化把一台物理设备切割成多个逻辑设备，让多个逻辑实体共享同一份物理资源，即"一台变多台"；聚合式虚拟化把多台物理设备整合成一个逻辑整体对外服务，即"多台变一台"，典型代表是集群技术。软考所考的服务器虚拟化严格指分割式虚拟化，即在单台物理服务器内部通过软件把处理器、内存、磁盘、网卡等硬件切割成多个逻辑单元，每个单元上运行一套独立操作系统。而"多台变一台"属于集群技术，正是历年真题反复设置的辨析点，常见误区部分会专门展开。
服务器虚拟化的实现核心是一层特殊系统软件，称为虚拟机监控器（Virtual Machine Monitor，简称VMM），也称Hypervisor。它运行在物理硬件之上、虚拟机操作系统之下，负责资源抽象、调度与隔离保护：把物理硬件包装成标准虚拟设备接口，把处理器时间片、内存页、磁盘块、网络带宽按策略分配给各虚拟机，保证单台虚拟机内部的崩溃与故障不扩散。在Hypervisor之上运行的操作系统称为客户操作系统（Guest OS），安装Guest OS的逻辑计算机称为虚拟机（VM），运行Hypervisor的物理服务器称为宿主机（Host）；寄居架构下宿主机上还有直接管理硬件、Hypervisor依托其运行的操作系统，称为宿主操作系统（Host OS）。虚拟机内部看到的处理器称为虚拟处理器（VCPU），实质是物理处理器时间片的轮转分配。概念选择题常要求区分Host OS与Guest OS、宿主机与虚拟机，是答题基础。
还需在定义层面澄清服务器虚拟化与云计算的关系。"云计算的基础是虚拟化"这一表述出自历年真题题干。服务器虚拟化是云计算IaaS层最核心的使能技术，云服务商借助虚拟化把数据中心的物理服务器池化，再按需切分成不同规格的云主机租售给用户。但两者不能画等号：虚拟化解决"如何把一台物理机分成多台逻辑机"的技术问题，云计算解决"如何按需、弹性、计量地交付IT资源"的服务模式问题。
服务器虚拟化的本质，是让多个Guest OS同时运行在同一套物理硬件上，而它们各自都以为自己是硬件的唯一管理者。矛盾在于：操作系统内核必须运行在最高特权级才能执行开关中断、修改页表等特权操作，而多套操作系统并存时最高特权级只有一个。以x86体系结构为例，处理器定义四级特权环，从Ring 0到Ring 3，数字越小特权越高。传统环境中，操作系统内核运行在Ring 0，用户程序运行在Ring 3。引入Hypervisor之后，它必须占据Ring 0以拦截并仲裁各Guest OS对硬件的访问，Guest OS内核就不得不降级到Ring 1，或被剥夺部分特权。
问题在于，x86体系结构在设计之初并没有考虑虚拟化需求。体系结构理论中的Popek-Goldberg定理给出指令集架构可虚拟化的充要条件：所有敏感指令必须都是特权指令。敏感指令指试图读写系统状态、改变处理器模式、访问时钟与中断、执行输入输出的指令；特权指令指在非特权级执行时会触发异常的指令。若条件满足，Hypervisor只需让Guest OS运行在低特权级，任何敏感指令都会自动陷入Hypervisor并由其代为执行、模拟结果。遗憾的是早期x86不满足该条件，存在若干条敏感但非特权的指令，在低特权级执行时静默成功、不触发陷入，Guest OS得以直接触碰硬件状态而Hypervisor毫不知情。这一先天缺陷直接催生了三条虚拟化技术路线。
路线一是全虚拟化结合二进制翻译，以早期VMware产品为代表。VMM运行在Ring 0，Guest OS内核被安置在Ring 1，用户程序仍运行在Ring 3。普通指令由物理CPU直接执行；当Guest OS执行到"敏感但非特权"的危险指令时，会在Ring 1静默成功而不触发陷入。解决方案是动态二进制翻译：VMM扫描Guest OS即将执行的代码块，把敏感指令替换为等价的、会主动陷入VMM的安全指令序列，翻译结果缓存复用，摊薄翻译开销。全虚拟化的最大优势是Guest OS无需任何修改，闭源的Windows、商用Unix都能原样运行；代价是二进制翻译带来性能损耗，尤其在敏感指令密集的负载场景。
路线二是半虚拟化（Para-virtualization），以早期Xen为代表。思路是既然改不了硬件，就修改操作系统：直接修改Guest OS内核源码，把所有敏感指令替换为对Hypervisor的显式调用，称为超级调用（Hypercall），由VMM代为完成页表更新、中断开关、设备访问等操作，双方通过共享内存交换信息。由于省去陷入与翻译的开销，半虚拟化性能接近物理机，I/O吞吐尤其出色。代价也很直接：Guest OS必须提供源码并完成移植，Linux通过paravirt_ops接口实现半虚拟化支持，闭源的Windows无法深度半虚拟化，只能退回全虚拟化路线。
路线三是硬件辅助虚拟化，以Intel的VT-x与AMD的AMD-V为代表，是当前数据中心的主流技术。Intel在处理器中新增VMX运行模式，把CPU运行状态划分为根模式与非根模式：Hypervisor运行在根模式，Guest OS运行在非根模式，两者各自拥有完整的四级特权环，Guest OS内核可以继续运行在Ring 0。关键机制是VM Exit与VM Entry：当Guest OS执行敏感指令或发生中断、异常、I/O事件时，处理器自动触发VM Exit，把控制权交还根模式下的Hypervisor；Hypervisor完成模拟处理后执行VM Entry，把控制权重新注入Guest。整个过程由硬件完成，不需二进制翻译，也不要求修改Guest OS，兼顾性能与兼容性，KVM方案就构建在VT-x之上。Intel还配套推出扩展页表EPT（AMD对应NPT），由硬件完成两级地址转换，消除了内存虚拟化的主要性能瓶颈。
内存虚拟化的核心是地址映射。Guest OS管理的是客户虚拟地址（GVA），它认为的"物理地址"实际是客户物理地址（GPA），真正的物理内存地址则是宿主机物理地址（HPA），一条访存需要两次地址转换。硬件辅助虚拟化出现前的主流方案是影子页表：VMM为每台虚拟机维护GVA到HPA的直接映射页表，并截获Guest OS对自身页表的所有写操作以保持同步，维护开销很大。EPT出现后，处理器硬件直接完成两级页表走查，Guest更新页表不再触发陷入，性能大幅提升。Hypervisor还实现内存超分配：气球驱动在Guest OS内部膨胀占压内存再回收，透明页面共享合并不同虚拟机中内容相同的物理页，让各虚拟机配置内存之和大于物理机实际内存。
I/O虚拟化关注虚拟机如何访问网卡、磁盘等外部设备，技术层次由低到高分三类。第一类是设备模拟：Hypervisor用纯软件模拟标准设备型号，例如模拟Intel千兆网卡e1000，Guest OS使用自带标准驱动即可工作，兼容性最好，但每次设备访问都要陷入VMM，性能最差。第二类是半虚拟化前端驱动，代表方案是virtio：Guest OS中安装前端驱动，Hypervisor中维护后端队列，两端通过环形缓冲区批量传递I/O请求，大幅减少陷入与拷贝，成为虚拟化I/O的事实标准。第三类是设备直通：通过PCI直通把物理设备独占分配给某台虚拟机，性能接近物理机；SR-IOV单根I/O虚拟化让一块物理网卡在硬件层面虚拟出多个虚拟功能（VF）直通给多台虚拟机，兼顾性能与共享。网络层面，Hypervisor内部的虚拟交换机（vSwitch）承接虚拟机间的流量转发，VXLAN等Overlay技术把虚拟机网络叠加在物理网络之上，支撑云环境大二层组网，网络虚拟化由此成为SDN与云计算的重要基础。
按照Hypervisor在系统中的位置，服务器虚拟化分为一型（裸金属型）与二型（寄居型）两大类。一型Hypervisor直接运行在物理硬件之上，是硬件的第一管理者，路径最短、性能损耗最低、隔离性最强，不会因宿主操作系统的漏洞或崩溃殃及虚拟机，生产环境几乎全部采用一型架构，代表产品包括ESXi、Xen、Hyper-V与KVM。二型Hypervisor作为普通应用程序运行在宿主操作系统之上，例如VMware Workstation与VirtualBox，其创建出的虚拟机实际是宿主操作系统中的一个进程，Guest OS的每次设备访问都要经过两层转发，性能损耗明显。二型的优势是部署简单、与桌面环境共存良好，适合个人学习、软件测试、多系统并行使用。
KVM的归类是选择题中常见的易混点。KVM全称Kernel-based Virtual Machine，以Linux内核模块形式存在，加载后把Linux内核本身改造成Hypervisor，直接构建在硬件之上并管理Guest OS的执行，具备一型架构的性能与隔离特征，软考口径下通常归入一型；但它又依赖Linux提供进程管理、内存管理、设备驱动等基础能力，部分教材描
本篇完！