Hypervisor怎样隔离虚拟机

Hypervisor（虚拟机监控器）对虚拟机的隔离，本质上是通过资源抽象、权限控制和硬件辅助机制，让每个虚拟机（VM）以为自己独占一套物理资源，同时彼此之间不能越界访问。可以从几个层面理解：

1. CPU 与执行隔离

• 特权级划分
  • 在 x86 中，CPU 有 Ring 0–3。
  • Hypervisor 运行在 Ring 0（或 Root Mode），Guest OS 运行在“降级”的特权级。
  • Guest 执行敏感指令会被截获（ trap ），由 Hypervisor 模拟或拒绝。
• 硬件辅助虚拟化
  • Intel VT-x / AMD-V：引入 VMX root / non-root 模式。
  • 每个 VM 有独立的 VMCS / VMCB，保存寄存器、中断、状态。
  • VM 切换（VM Exit / Entry）由硬件保证上下文隔离。

2. 内存隔离

• 影子页表（早期）
  • Hypervisor 维护 Guest 页表到物理页表的映射。
• EPT / NPT（现代）
  • Intel EPT、AMD NPT 提供两级地址转换：
    • Guest 虚拟地址 → Guest 物理地址 → 主机物理地址
  • 每个 VM 有独立 EPT，不能访问其他 VM 的物理页。
• 内存配额与限制
  • Hypervisor 可限制每个 VM 的内存上限，防止“内存耗尽攻击”。

3. I/O 与设备隔离

• 设备分配
  • 一个设备通常只能分配给一个 VM（除非 SR-IOV）。
• 设备模拟
  • 不分配真实设备的 VM，通过 Hypervisor 模拟网卡、磁盘等。
• IOMMU（VT-d / AMD-Vi）
  • 限制 DMA 只能访问本 VM 的内存区域。
  • 防止恶意设备读取其他 VM 数据。

4. 中断与时钟隔离

• 中断虚拟化
  • 中断由 Hypervisor 接收，再注入对应 VM。
  • 每个 VM 有“虚拟中断控制器（APIC）”。
• 时钟隔离
  • 每个 VM 有独立虚拟时钟，不互相影响。

5. 网络与存储隔离

• 虚拟交换机（vSwitch）
  • 不同 VM 的流量在软件层隔离。
• 存储隔离
  • 每个 VM 使用独立虚拟磁盘文件或逻辑卷。

6. 安全边界与故障隔离

• 一个 VM 崩溃：
  • 不应影响 Hypervisor 或其他 VM。
• 逃逸防护：
  • 减少 Guest 与 Hypervisor 的共享面。
  • 使用微内核、形式化验证（如 seL4）。

一句话总结

Hypervisor 通过 CPU 虚拟化 + 内存转换 + I/O 限制 + 硬件隔离机制，在软硬件协同下，把“共享的物理机”变成“多个互不干扰的虚拟机”。

如果你愿意，我也可以画一张 VM 隔离架构示意图，或者对比 Type-1 / Type-2 Hypervisor 的隔离差异。