¿Cómo hace el aislamiento IOMMU que el paso directo en servidores domésticos sea más seguro?

El aislamiento IOMMU hace que el paso directo en servidores domésticos sea más seguro al colocar un límite de traducción y permisos de hardware entre un dispositivo PCIe asignado y la memoria física del sistema. La VM puede controlar el dispositivo directamente, pero el dispositivo solo debe acceder a las páginas de memoria mapeadas en el dominio de esa VM.

Esto reduce el riesgo de que un controlador invitado comprometido o un dispositivo defectuoso realice DMA en la memoria del host o de otra VM. La protección aún depende de grupos IOMMU correctos, topología PCIe, remapeo de interrupciones, comportamiento de reinicio del dispositivo, firmware y evitar soluciones que solo aparentan separar los grupos.

¿Por qué el paso directo es diferente de la E/S virtual?

VFIO da a una VM control directo del dispositivo en lugar de enviar cada operación a través de un dispositivo emulado o paravirtual controlado por el hipervisor.

Esa ruta directa puede reducir la sobrecarga de virtualización y exponer características de hardware necesarias para GPUs, unidades NVMe, adaptadores de red y tarjetas aceleradoras. También traslada más comportamiento del dispositivo al control del invitado.

Por lo tanto, el límite de seguridad no puede depender solo de que el invitado no pueda ejecutar instrucciones del CPU del host. Un dispositivo maestro de bus puede iniciar transacciones de memoria de forma independiente, por lo que su espacio de direcciones DMA debe estar confinado tan cuidadosamente como el espacio de direcciones del CPU del invitado.

¿Cómo restringe el IOMMU el DMA del dispositivo?

Los dominios IOMMU limitan el acceso a la memoria del dispositivo traduciendo las direcciones I/O visibles para el dispositivo a través de tablas de páginas seleccionadas para ese dispositivo.

Cuando VFIO asigna un dispositivo a una VM, los mapeos válidos deben corresponder a la memoria propiedad de esa VM. Una solicitud DMA fuera del rango mapeado puede ser bloqueada en lugar de alcanzar una RAM arbitraria del host.

Esta es la mejora central de seguridad sobre el paso directo sin mediación. El dispositivo no elige direcciones físicas del host directamente; el IOMMU verifica la identidad del solicitante, el mapeo y el permiso de acceso antes de permitir la transacción.

¿Por qué un grupo IOMMU es el límite de asignación?

Las funciones PCIe que no pueden aislarse entre sí se colocan en el mismo grupo, y todos los dispositivos en un grupo comparten aislamiento.

Una tarjeta gráfica puede exponer funciones de pantalla, audio, USB y bus serie bajo un mismo paquete de dispositivo. Esas funciones relacionadas a menudo necesitan moverse juntas porque comparten comportamiento de reinicio o una topología que permite la comunicación entre pares.

Si un controlador del host continúa usando un punto final dentro del mismo grupo inseguro mientras otro punto final está asignado a un invitado, la separación por software puede no coincidir con el límite real de enrutamiento del hardware. Por lo tanto, la pertenencia al grupo es más importante que la etiqueta en una función PCI.

¿Cómo afectan los puentes PCIe y ACS al aislamiento?

Los Servicios de Control de Acceso ayudan a los puertos ascendentes a redirigir el tráfico peer-to-peer a través de la ruta de aislamiento. La anulación ACS debilita las garantías de aislamiento cuando la topología subyacente no puede separar confiablemente los dispositivos.

Una anulación de software puede hacer posible la configuración de passthrough presentando grupos más pequeños, pero no añade la aplicación de enrutamiento faltante a un puente o conmutador. Los dispositivos aún pueden tener un camino que el IOMMU no puede observar o bloquear.

Mover una tarjeta a otra ranura, seleccionar una placa base con mejor topología PCIe o asignar cada punto final debajo del puente inseguro es más fuerte que tratar una división cosmética de grupos como equivalente al aislamiento respaldado por hardware.

¿Por qué también deben aislarse las interrupciones?

La traducción de memoria es solo una parte de la asignación directa. el remapeo de interrupciones controla las interrupciones generadas por el dispositivo mientras que el remapeo de DMA controla las transacciones de memoria.

Sin una ruta segura para las interrupciones, un dispositivo pasado podría señalar al procesador o contexto de invitado incorrecto, o la plataforma podría requerir una opción de compatibilidad de interrupciones inseguras que debilite el límite previsto.

Una configuración segura verifica tanto el mapeo de DMA como el remapeo de interrupciones en los registros del host. Pasar tráfico de referencia dentro del invitado demuestra que el dispositivo funciona; no prueba por sí solo que cada interrupción y transacción de memoria esté aislada correctamente.

¿Qué riesgos permanecen después del aislamiento IOMMU?

El mapeo IOMMU no puede garantizar que el hardware vuelva a un estado limpio entre usuarios. algunos dispositivos en passthrough fallan al reiniciarse limpiamente, lo que puede dejar el dispositivo inutilizable o con estado obsoleto hasta que se reinicie el host.

El firmware del dispositivo, ROMs de opción, firmware del host, errores del hipervisor, recursos PCIe compartidos, canales laterales y acceso físico permanecen fuera de la garantía estrecha del mapeo DMA. El passthrough también limita la migración y puede hacer que la recuperación dependa de un dispositivo específico.

Proxmox puede exponer GPUs físicas a máquinas virtuales, pero un diseño seguro aún reserva la ruta de gestión propia del host, verifica la topología del grupo, evita anulaciones inseguras y prueba el reinicio del dispositivo antes de tratar la VM como un dispositivo aislado.

Preguntas frecuentes

¿Habilitar IOMMU hace que toda configuración de passthrough sea segura?

No. El dispositivo debe estar en un grupo seguro, el DMA y las interrupciones deben ser remapeados, y la topología PCIe debe impedir el acceso peer-to-peer no traducido.

¿Puedo pasar solo la función de pantalla de una GPU multifunción?

A veces, pero funciones relacionadas de audio, USB o controladores a menudo comparten un grupo IOMMU y un límite de reinicio. Comúnmente necesitan ser desacopladas y asignadas juntas.

¿La anulación ACS es solo un ajuste de rendimiento?

No. Cambia cómo Linux presenta los grupos sin necesariamente añadir aislamiento de tráfico de hardware. Puede facilitar la configuración mientras debilita el significado de seguridad de la división en grupos.

¿Por qué a veces una GPU en passthrough requiere reiniciar el host?

Algunos dispositivos no soportan un reinicio limpio a nivel de función o bus. Después del apagado del invitado, la tarjeta puede permanecer en un estado que no puede inicializarse de forma segura para el siguiente usuario.

Conclusión final

El aislamiento IOMMU hace que el passthrough sea más seguro al otorgar a un dispositivo con capacidad DMA un espacio de direcciones de hardware restringido en lugar de confiarle toda la memoria del host. La seguridad real también requiere grupos IOMMU intactos, enrutamiento PCIe confiable, remapeo de interrupciones, reinicio limpio del dispositivo y una configuración conservadora del host. Un dispositivo pasado puede alcanzar un rendimiento nativo sin convertirse en un periférico virtual inofensivo.