一种网卡硬件辅助虚拟化技术

经过多年的发展,CPU虚拟化和内存虚拟化技术已经成熟,但是I/O虚拟化技术一直是虚拟化技术发展的瓶颈,也制约着整个系统虚拟化性能的提升.目前,Intel的VT-d技术已经能够实现Passthrough I/O功能,而且还通过VT-d和网卡虚拟化实现了SR-IOV技术,有效地解决了I/O虚拟化中的诸多问题.     

SR-IOV技术在OpenStack中的应用

在OpenStack云平台中,一台物理服务器上可能同时运行着十几台虚拟机,这对于物理服务器的I/O性能要求是非常高的.因此,I/O虚拟化技术的效率对于整个OpenStack云平台的网络性能提升都有着至关重要的作用.为了提高系统整体的网络性能,在OpenStack云平台中引入SR-IOV技术成为了一种可选的方式.本文通过对比实验测试了SR-IOV技术对于OpenStack云平台上网络I/O性能的影响.最终对实验结果进行分析可知,在引入SR-IOV技术后,OpenStack云平台上的计算节点I/O虚拟化性能提升了大概50%.     

基于单根I/O虚拟化的多根I/O资源池化方法

虚拟化技术在为现代数据中心提供高效的服务器整合能力和灵活的应用部署能力的同时,也对数据中心服务器的I/O系统设计提出了新的需求,现有I/O资源与服务器紧密绑定的I/O体系架构将产生成本上升、资源冗余、I/O连线复杂化等一系列问题.针对上述问题,提出了一种基于单根I/O虚拟化协议(single root I/O virtualization,SR-IOV)的多根I/O资源池化方法:基于硬件的多根域间地址和ID映射机制,实现了多个物理服务器对同一 I/O设备的共享复用,有效减少单体服务器所需的设备数量和连线数量,并进一步提高服务器密度;同时提出虚拟I/O设备热插拔技术和多根共享管理机制,实现了虚拟I/O资源在服务器间的实时动态分配,提高资源的利用效率.提出的方法在可编程逻辑器件(fieid-programmable gate array,FPGA)原型系统中进行了验证,其评测表明,方法能够在实现多根I/O虚拟化共享的同时,保证各个根节点服务器获得近乎本地直连设备的I/O性能.     

众核处理器中硬件支持的I/O虚拟化优化技术研究

众核处理器中I/O资源被多个处理器核所共享。I/O虚拟化实现了I/O资源的高效共享和安全隔离,被越来越多的处理器设计所采用。硬件支持的I/O虚拟化从体系结构设计时就考虑对I/O虚拟化的支持,提供了一个全面、高效的I/O虚拟化的解决方案。深入研究了硬件支持I/O虚拟化的两大关键技术——DMA重映射技术和中断重定向技术,提出了基于Hint的IOTSB Cache管理方法和基于失效队列的失效方法来对DMA重映射进行优化,提出了多层可操控的中断模型和灵活可控的中断重定向实现方法来对I/O中断重定向进行优化。测试结果表明,提出的硬件支持的I/O虚拟化优化方法以很低的I/O性能开销实现了I/O资源的高效共享,提供了几乎接近无虚拟化环境下的I/O性能。     

SR-IOV密码设备中断传输过程建模

SR-IOV密码设备在虚拟化环境下执行运算时会产生大量I/O中断，导致CPU在Root模式与Non-Root模式之间频繁切换，带来巨大的系统性能开销，影响SR-IOV密码设备的运算性能。针对该问题，对SR-IOV密码设备I/O中断进行建模分析，根据密码任务先到先服务的规则构建了M/M/1排队模型，分析了影响系统性能的关键因素，并通过仿真和实验测试验证了模型的有效性，最后对系统性能进行了测试与分析。结果表明，该模型能够定量分析中断频率对中断响应时间和系统队长的影响。     

数据包聚合算法提高云计算环境下的网络I/O虚拟化

通过介绍云计算现有环境下网络I/O虚拟化的架构模式,提出一种新的聚合方式来提高云计算环境下网络I/O虚拟化的效率。首先通过分析云计算环境下现有网络I/O虚拟化的过程,进行云环境下的联网性能评估,并在软件和硬件两方面,得出其网络I/O虚拟化的瓶颈。然后,通过提出基于I/O虚拟化的数据包聚合算法,进而大幅度提升云计算环境下网络I/O虚拟化的资源利用率,CPU利用率和内存利用率。最后通过包聚合标注工具,以矩阵的形式,证明该方法的效率。     

一种独立式I/O虚拟化方法研究

当前虚拟化系统中的设备仿真过程与I/O指令串行执行,无法发挥真实体系结构中直接存储器访问、异步I/O等加速I/O访问技术的性能优势,致使虚拟平台I/O性能与真实I/O性能存在一定差距。针对该问题,提出一种独立式I/O虚拟化方法,通过将I/O仿真活动(如磁盘读写)分离成一个独立的进程,虚拟机监控器(VMM)只保留相应的接口,达到将VMM与I/O设备分离实现仿真与指令并行化执行的目的,并基于QEMU平台实现该方法。实验结果表明,采用该方法后的QEMU I/O读写性能优于原有I/O子系统。由于I/O指令不必再等待I/O仿真的结束,因此在提高CPU指令执行速度的同时,能够有效提高4.9%的磁盘读取速度及9.2%的VGA测试基准软件Viewpref得分。     

基于I/O前后端模型的密码卡软件虚拟化

密码技术是云计算安全的基础,支持SR-IOV虚拟化的高性能密码卡适用于云密码机,可以为云计算环境提供虚拟化数据加密保护服务,满足安全需求.针对该类密码卡在云密码机使用过程中存在的兼容性不好、扩充性受限、迁移性差以及性价比低等问题,本文提出了基于I/O前后端模型的密码卡软件虚拟化方法,利用共享内存或者VIRTIO作为通信...     

云数据中心 I/O 资源池化

近年来,云计算的发展为数据中心带来了新的应用场景和需求.其中,虚拟化作为云服务的重要使能技术,对数据中心服务器I/O系统的性能、扩展性和设备种类多样性提出了更高的要求,沿用传统设备与服务器紧耦合的I/O架构将会导致资源冗余,数据中心服务器密度降低,布线复杂度增加等诸多问题.因此,文章围绕I/O资源池化架构的实现机制和方法展开研究,目标是解除设备与服务器之间的绑定关系,实现接入服务器对I/O资源的按需弹性化使用,从根本上解决云计算数据中心的I/O系统问题.同时,还提出了一种基于单根I/O虚拟化协议实现多根I/O资源池化的架构,该架构通过硬件的外设部件高速互连接口多根域间地址和标识符映射机制,实现了多个物理服务器对同一I/O设备的共享复用;通过虚拟I/O设备热插拔技术和多根共享管理机制,实现了虚拟I/O资源在服务器间的实时动态分配;采用现场可编程门阵列(Field-Programmable Gate Array)构建了该架构的原型系统.结果表明,该架构能够为各个共享服务器提供良好的I/O操作性能.     

一种动态优先级排序的虚拟机I/O调度算法

I/O任务调度是影响I/O密集型虚拟机性能的重要因素。现有调度方法主要是针对虚拟机整机I/O带宽的优化,较少兼顾各虚拟域与全局性能,也无法满足域间差异化服务的要求。针对现有方法的不足,提出了一种动态优先级排序的虚拟机I/O调度算法DPS。该算法基于多属性决策理论,以离差最大化方法计算I/O任务的优先级评估属性权重,对I/O任务优先级进行综合评估;通过引入任务所在虚拟域价值,体现云计算环境下虚拟域重要性差异。在Xen系统中通过实验评测DPS调度虚拟化网卡的性能,结果表明,DPS能够有效提高指定域与全局的I/O任务截止期保证率、整机I/O带宽,并能为不同虚拟域的I/O应用提供差异化服务。     

基于网卡虚拟化的高性能容器网络设计

单根I/O虚拟化技术为传统数据中心提供高效的服务器整合能力和灵活的应用部署能力,通过将多个网卡直通到虚拟机,减少额外包复制带来的性能损失,使得网络I/O具有接近主机的性能。然而,在网络功能虚拟化场景下单独使用单根I/O虚拟化技术会降低传统数据中心的网络I/O虚拟化性能。针对网络功能虚拟化长链场景,结合单根I/O虚拟化技术和软件虚拟化技术,设计基于网卡虚拟化的高性能容器网络。通过转发模块判断网络流量的目的地址,寻找最优的流量转发路径,实现流量的灵活转发。利用基于脚本程序的自动化部署模块,对每个节点业务进行支持动态增删服务的配置,便于用户对网络进行管理和修改。实验结果表明,在网络功能虚拟化长链场景下,相比单根I/O虚拟化技术,该网络延迟降低约20%,同时能够有效提高网络吞吐量,解决数据中心的网络I/O虚拟化问题。     

High performance network virtualization with SR-IOV

Virtualization poses new challenges to I/O performance. The single-root I/O virtualization (SR-IOV) standard allows an I/O device to be shared by multiple Virtual Machines (VMs), without losing performance. We propose a generic virtualization architecture for SR-IOV-capable devices, which can be implemented on multiple Virtual Machine Monitors (VMMs). With the support of our architecture, the SR-IOV-capable device driver is highly portable and agnostic of the underlying VMM. Because the Virtual Function (VF) driver with SR-IOV architecture sticks to hardware and poses a challenge to VM migration, we also propose a dynamic network interface switching (DNIS) scheme to address the migration challenge. Based on our first implementation of the network device driver, we deployed several optimizations to reduce virtualization overhead. Then, we conducted comprehensive experiments to evaluate SR-IOV performance. The results show that SR-IOV can achieve a line rate throughput (9.48 Gbps) and scale network up to 60 VMs, at the cost of only 1.76% additional CPU overhead per VM, without sacrificing throughput and migration.     

Denial-of-Service attacks on PCI passthrough devices: Demonstrating the impact on network- and storage-I/O performance

PCI Passthrough is an established x86 server technology for directly assigning PCIe devices to Virtual Machines (VMs). In combination with Single Root I/O Virtualization, which enables concurrent sharing of single physical PCIe I/O devices, PCI Passthrough enables low overhead and high performance I/O virtualization. Besides server environments, the combination is also a promising approach for sharing I/O in future multi-core embedded systems. In this paper, we demonstrate that PCI Passthrough has yet-to-be-solved problems regarding performance isolation, because it is prone to Denial-of-Service (DoS) attacks. VMs executing DoS attacks on Passthrough devices can degrade the I/O performance of devices that share PCIe links with the DoS victim, which may affect concurrent VMs and the host. We evaluate how attacks on an SR-IOV capable Gigabit Ethernet NIC cause a degradation of the system’s network- and storage-I/O performance. The attacked NIC’s TCP throughput drops by 35%; other NICs that share PCIe links with the victim see degradations of 46% and 65%; performance of a host-assigned SSD degrades by 77%. We investigate what influences the severity of such attacks and introduce three protection approaches.     

密码卡虚拟化技术研究与实现

密码卡是一种密码设备,位于网络安全平台的物理层,通过各种密码算法为上层应用系统提供加解密、数字签名等密码运算服务。从云计算安全方面考虑,密码卡需要具备高速运算的特点,并且 需要通过虚拟化技术实现高并发性。密码卡作为输入/输出(Input/Output,I/O)设备面临的挑战是,如何在虚拟化的情况下获得良好的 I/O 性能并有效地共享 I/O 设备。目前 I/O 虚拟化技术的发展相对滞后,影响了虚拟机的整体性能。基于此,该文提出了 3 种密码卡虚拟化设计方案,实现了基于现场可编程门阵列(FPGA)的软件虚拟化密码卡和基于单根 I/O 虚拟化技术的硬件虚拟化密码卡。在实际应用中,虚拟化密码卡通过高速外设部件互连标准(PCI-E)总线内置于服务器中,具备高性能并且通过软件调度 可以被多用户共享。结果表明,该技术可应用于金融、电信等信息安全领域,具备广阔的应用前景。     

一种灵活高效的虚拟CPU调度算法

目前,虚拟化已经广泛应用于数据中心,但主流的虚拟CPU调度策略并没有实现对I/O性能的保障,尤其当延时敏感型负载的虚拟机和计算敏感型负载的虚拟机竞争CPU资源时,其性能显著下降.针对上述问题,本文提出了一种灵活、高效的虚拟CPU调度算法（FLMS）.FLMS通过采用虚拟机分类、虚拟CPU绑定、多类时间片等技术降低了虚拟机的响应延时,同时基于多处理器架构重新设计了负载均衡策略,优化了虚拟CPU迁移.FLMS通用于目前主流的虚拟化方案,在软件虚拟化方式下相比于最新的优化方案延时降低了30%,带宽有10%的提升;在使用硬件辅助虚拟化的系统中,通过FLMS能够获得接近原生系统的I/O性能,并且保证了整个系统的公平性.     

基于容器的安全接入虚拟化

面对电力系统中信息网络、互联网边界海量电力物联网终端的访问需求,针对传统安全接入边界各类装置实现方法资源分配不均、兼容性差、扩展性差以及性能瓶颈等问题,提出一种基于容器的安全接入虚拟化模型。该模型采用DPDK高性能数据包处理框架、成熟容器集群管理框架、服务计算节点编排等关键技术,将数据平面与控制平面完全分离,构建独立的数据虚拟化转发平面,并采用SR-IOV技术实现硬件资源的虚拟化和统一调度管理,将安全接入能力服务化。基于该模型的安全接入装置集群具有高性能、高可用、灵活编排、可扩展性强等优势。实验结果表明,该模型方法能够高效合理利用硬件资源,大幅提升电力系统边界安全接入的效率。     

VBMq: pursuit baremetal performance by embracing block I/O parallelism in virtualization

Barely acceptable block I/O performance prevents virtualization from being widely used in the High-Performance Computing field. Although the virtio paravirtual framework brings great I/O performance improvement, there is a sharp performance degradation when accessing high-performance NAND-flash-based devices in the virtual machine due to their data parallel design. The primary cause of this fact is the deficiency of block I/O parallelism in hypervisor, such as KVM and Xen. In this paper, we propose a novel design of block I/O layer for virtualization, named VBMq. VBMq is based on virtio paravirtual I/O model, aiming to solve the block I/O parallelism issue in virtualization. It uses multiple dedicated I/O threads to handle I/O requests in parallel. In the meanwhile, we use polling mechanism to alleviate overheads caused by the frequent context switches of the VM’s notification to and from its hypervisor. Each dedicated I/O thread is assigned to a non-overlapping core to improve performance by avoiding unnecessary scheduling. In addition, we configure CPU affinity to optimize I/O completion for each request. The CPU affinity setting is very helpful to reduce CPU cache miss rate and increase CPU efficiency. The prototype system is based on Linux 4.1 kernel and QEMU 2.3.1. Our measurements show that the proposed method scales graciously in the multi-core environment, and provides performance which is 39.6x better than the baseline at most, and approaches bare-metal performance.