Xen este un hypervisor care asigură izolarea securizată, controlul resurselor, garanțiile de calitate a serviciilor și migrarea mașinilor virtuale.
După un an de dezvoltare, lansarea noua versiune a hypervisorului gratuit xen 4.17, versiune în care formarea actualizărilor pentru ramura Xen 4.17 va dura până pe 12 iunie 2024 și lansarea remedierilor de vulnerabilități până la 12 decembrie 2025.
Este de menționat că companii precum Amazon, Arm, Bitdefender, Citrix, EPAM Systems și Xilinx (AMD) au contribuit la dezvoltarea noii versiuni.
Xen 4.17 Principalele caracteristici noi
În această nouă versiune care este prezentată, se evidențiază faptul că capacitatea de a defini o configurație Xen statică pentru sistemele ARM care codifică în prealabil toate resursele necesare pornirii sistemelor invitate. toate resurselecum ar fi memoria partajată, canalele de notificare a evenimentelor și spațiul heap de hypervisor, sunt prealocate la pornirea hypervisorului în loc să fie alocate dinamic, ceea ce elimină posibilitatea eșecului din lipsă de resurse.
Pentru sisteme încorporate bazate pe arhitectura ARM, a fost implementat suport experimental (previzualizare tehnologie) Pentru virtualizarea I/O folosind protocoalele VirtIO, virtio-mmio este folosit pentru a comunica cu dispozitivul virtual I/O, ceea ce ne-a permis să asigurăm compatibilitatea cu o gamă largă de dispozitive VirtIO. Putem găsi și compatibilitatea implementată pentru frontend-ul Linux, cu libxl/xl, modul dom0less și backend-urile spațiului utilizator.
O altă dintre schimbările care se remarcă este suport îmbunătățit pentru modul dom0lessCă permite evitarea implementării unui mediu dom0 la pornirea mașinilor virtuale într-un stadiu incipient al pornirii serverului.
The capacitatea de a defini grupuri CPU (CPUPOOL) în stadiul de pornire (prin arborele dispozitivelor), care permite utilizarea grupurilor în configurații fără dom0, de exemplu, pentru a lega diferite tipuri de nuclee CPU în sistemele ARM bazate pe arhitectura big.LITTLE, care combină nuclee puternice, dar care consumă energie, și nuclee mai puțin productive, dar mai eficiente din punct de vedere energetic. În plus, dom0less oferă posibilitatea de a lega interfața/backend-ul de paravirtualizare de oaspeți, permițându-vă să porniți oaspeții cu dispozitivele paravirtualizate necesare.
În sistemele ARM, structuri de virtualizare a memoriei (P2M, fizic la mașină) acum sunt alocate din pool-ul de memorie creat atunci când este creat un domeniu, permițând o mai bună izolare între oaspeți atunci când apar erori legate de memorie.
În sisteme x86, paginile IOMMU sunt acceptate (superpagină) pentru toate tipurile de sisteme guest, permițând performanțe sporite la redirecționarea dispozitivelor, PCI, plus a adăugat suport pentru gazde cu până la 12 TB de memorie RAM. În faza de pornire, este implementată capacitatea de a seta parametrii cpuid pentru dom0. Parametrii VIRT_SSBD și MSR_SPEC_CTRL sunt propuși pentru a controla protecția la nivel de hypervisor împotriva atacurilor CPU asupra sistemelor invitate.
Dintre alte schimbări care ies în evidență:
- Protecție adăugată împotriva vulnerabilității Spectre-BHB în structurile microarhitecturii procesorului pentru sistemele ARM.
- Pe sistemele ARM, este oferită capacitatea de a rula sistemul de operare Zephyr în mediul rădăcină Dom0.
Este oferită posibilitatea unui ansamblu separat de hypervisor (în afara arborelui).
Separat, este în curs de dezvoltare transportul VirtIO-Grant, care diferă de VirtIO-MMIO printr-un nivel mai ridicat de securitate și prin capacitatea de a rula controlere într-un domeniu izolat separat pentru controlere.
În loc de maparea directă a memoriei, VirtIO-Grant utilizează traducerea adreselor fizice ale oaspetelui în legături de închiriere, permițând utilizarea zonelor de memorie partajată pre-acordate pentru schimbul de date între oaspete și backend-ul VirtIO. , fără a acorda backend-ului dreptul de a efectuați maparea memoriei. Suportul VirtIO-Grant este deja implementat în nucleul Linux, dar nu este încă inclus în backend-urile QEMU, virtio-vhost și toolkit (libxl/xl).
Inițiativa Hyperlaunch continuă să se dezvolte pentru a oferi instrumente flexibile pentru personalizarea lansării mașinilor virtuale la momentul pornirii sistemului. În prezent, primul set de patch-uri este gata, făcând posibilă definirea domeniilor PV și transferul imaginilor acestora în hypervisor la încărcare. tu
În cele din urmă Dacă sunteți interesat să aflați mai multe despre el, puteți consulta detaliile din următorul link.