Xen és un hipervisor que proporciona aïllament segur, control de recursos, garanties de qualitat de servei i migració de màquines virtuals
Després d'un any de desenvolupament, es va donar a conèixer el llançament de la nova versió de l'hipervisor gratuït Xen 4.17, versió en la qual la formació d'actualitzacions per a la branca Xen 4.17 durarà fins al 12 de juny de 2024 i la publicació de correccions de vulnerabilitats fins al 12 de desembre de 2025.
Cal esmentar que empreses com Amazon, Arm, Bitdefender, Citrix, EPAM Systems i Xilinx (AMD) han contribuït al desenvolupament de la nova versió.
Principals novetats de Xen 4.17
En aquesta nova versió que es presenta es destaca que es va proporcionar la capacitat de definir una configuració estàtica de Xen per a sistemes ARM que codifica per endavant tots els recursos necessaris per iniciar els sistemes convidats. Tots els recursos, com la memòria compartida, els canals de notificació d'esdeveniments i l'espai d'emmagatzematge dinàmic de l'hipervisor, s'assignen prèviament a l'inici de l'hipervisor en lloc d'assignar-se dinàmicament, cosa que elimina la possibilitat de falles a causa de la manca de recursos.
Per als sistemes integrats basats en l'arquitectura ARM, s'ha implementat suport experimental (tech preview) per a la virtualització d'E/S usant els protocols VirtIO, virtio-mmio s'utilitza per comunicar-se amb el dispositiu d'E/S virtual, cosa que va permetre garantir la compatibilitat amb una àmplia gamma de dispositius VirtIO. També podrem trobar la compatibilitat implementada per al frontend de Linux, amb libxl/xl, mode dom0less i els backends d'espai d'usuari.
Un altre dels canvis que es destaca és la compatibilitat millorada amb el mode dom0less, que permet evitar la implementació d'un entorn dom0 en iniciar màquines virtuals en una etapa primerenca de l'arrencada del servidor.
Es proporciona la capacitat de definir grups de CPU (CPUPOOL) a l'etapa d'arrencada (a través de l'arbre de dispositius), cosa que permet utilitzar grups en configuracions sense dom0, per exemple, per vincular diferents tipus de nuclis de CPU en sistemes ARM basats en larquitectura big.LITTLE, que combina nuclis potents, però que consumeixen energia, i nuclis menys productius, però més eficients energèticament. A més, dom0less brinda la capacitat de vincular el frontend/backend de paravirtualització als convidats, cosa que us permet iniciar els convidats amb els dispositius paravirtualitzats necessaris.
Als sistemes ARM, les estructures de virtualització de memòria (P2M, físic a màquina) ara s'assignen des del grup de memòria creat quan es crea un domini, cosa que permet un millor aïllament entre convidats quan ocorren falles relacionades amb la memòria.
En els sistemes x86, s'admeten pàgines IOMMU (superpàgina) grans per a tots els tipus de sistemes convidats, cosa que permet augmentar el rendiment en reenviar dispositius, PCI, a més que es va afegir suport per a hosts amb fins a 12 TB de RAM. A l'etapa d'arrencada, s'implementa la capacitat d'establir paràmetres cpuid per a dom0. Els paràmetres VIRT_SSBD i MSR_SPEC_CTRL es proposen per controlar la protecció a nivell d'hipervisor contra atacs a la CPU en sistemes convidats.
Dels altres canvis que es destaquen:
- Es va afegir protecció contra la vulnerabilitat Spectre-BHB a les estructures de microarquitectura del processador per a sistemes ARM.
- Als sistemes ARM, es proporciona la capacitat d'executar el sistema operatiu Zephyr a l'entorn arrel Dom0.
Es proporciona la possibilitat d'un assemblatge separat d'hipervisor (fora de l'arbre).
Per separat, s'està desenvolupant el transport VirtIO-Grant, que difereix de VirtIO-MMIO en un nivell més alt de seguretat i la capacitat d'executar controladors en un domini aïllat separat per als controladors.
En lloc del mapatge de memòria directe, VirtIO-Grant utilitza la traducció de les adreces físiques de l'hoste en enllaços de concessió, cosa que permet l'ús d'àrees de memòria compartida prèviament acordades per a l'intercanvi de dades entre l'hoste i el backend de VirtIO , sense atorgar al backend el dret de realitzar mapeig de memòria. La compatibilitat amb VirtIO-Grant ja està implementada al kernel de Linux, però encara no està inclosa als backends de QEMU, virtio-vhost i toolkit (libxl/xl).
La iniciativa Hyperlaunch continua desenvolupant-se per proporcionar eines flexibles per personalitzar el llançament de màquines virtuals al moment de l'arrencada del sistema. Actualment, el primer conjunt de pegats ja està llest, cosa que permet definir dominis PV i transferir les seves imatges a l'hipervisor en carregar. T
Finalment si estàs interessat a poder conèixer més sobre això, Pots consultar els detalls en el següent enllaç.