Comment l'isolation IOMMU rend-elle le passage direct sur un serveur domestique plus sûr ?

L'isolation IOMMU rend le passage direct sur serveur domestique plus sûr en plaçant une limite matérielle de traduction et de permission entre un périphérique PCIe passé et la mémoire physique du système. La VM peut piloter le périphérique directement, mais le périphérique ne doit atteindre que les pages mémoire mappées dans le domaine de cette VM.

Cela réduit le risque qu'un pilote invité compromis ou un périphérique défectueux effectue un DMA dans la mémoire de l'hôte ou d'une autre VM. La protection dépend toujours de groupes IOMMU corrects, de la topologie PCIe, du remappage des interruptions, du comportement de réinitialisation des périphériques, du firmware et d'éviter les contournements qui ne font que donner l'apparence de groupes séparés.

En quoi le passage direct diffère-t-il de l'E/S virtuelle ?

VFIO donne un contrôle direct du périphérique à la VM au lieu d'envoyer chaque opération via un périphérique émulé ou paravirtualisé contrôlé par l'hyperviseur.

Ce chemin direct peut réduire la surcharge de virtualisation et exposer les fonctionnalités matérielles nécessaires aux GPU, disques NVMe, adaptateurs réseau et cartes accélératrices. Il déplace également plus de comportements du périphérique sous le contrôle de l'invité.

La limite de sécurité ne peut donc pas reposer uniquement sur l'incapacité de l'invité à exécuter des instructions CPU hôtes. Un périphérique maître de bus peut initier des transactions mémoire de manière indépendante, donc son espace d'adresses DMA doit être confiné aussi soigneusement que l'espace d'adresses CPU de l'invité.

Comment l'IOMMU restreint-il le DMA des périphériques ?

Les domaines IOMMU limitent l'accès mémoire des périphériques en traduisant les adresses E/S visibles par le périphérique via des tables de pages sélectionnées pour ce périphérique.

Lorsque VFIO assigne un périphérique à une VM, les correspondances valides doivent correspondre à la mémoire appartenant à cette VM. Une requête DMA en dehors de la plage mappée peut être bloquée plutôt que d'atteindre une RAM hôte arbitraire.

C'est l'amélioration centrale de sécurité par rapport au passage direct non médié. Le périphérique ne choisit pas directement les adresses physiques de l'hôte ; l'IOMMU vérifie l'identité du demandeur, la correspondance et les permissions d'accès avant d'autoriser la transaction.

Pourquoi un groupe IOMMU est-il la limite d'assignation ?

Les fonctions PCIe qui ne peuvent pas être isolées les unes des autres sont placées dans le même groupe, et tous les périphériques d'un groupe partagent l'isolation.

Une carte graphique peut exposer des fonctions d'affichage, audio, USB et bus série sous un même boîtier. Ces fonctions liées doivent souvent être déplacées ensemble car elles partagent un comportement de réinitialisation ou une topologie qui permet la communication entre pairs.

Si un pilote hôte continue d'utiliser un point de terminaison dans le même groupe non sécurisé tandis qu'un autre point de terminaison est assigné à un invité, la séparation logicielle peut ne pas correspondre à la véritable frontière de routage matériel. L'appartenance au groupe est donc plus importante que l'étiquette sur une fonction PCI.

Comment les ponts PCIe et ACS affectent-ils l'isolation ?

Les services de contrôle d'accès aident les ports en amont à rediriger le trafic peer-to-peer via le chemin d'isolation. La substitution ACS affaiblit les garanties d'isolation lorsque la topologie sous-jacente ne peut pas séparer de manière fiable les périphériques.

Une substitution logicielle peut rendre la configuration du passthrough possible en présentant des groupes plus petits, mais elle n'ajoute pas l'application manquante du routage à un pont ou un commutateur. Les périphériques peuvent toujours avoir un chemin que l'IOMMU ne peut pas observer ou bloquer.

Déplacer une carte vers un autre emplacement, choisir une carte mère avec une meilleure topologie PCIe, ou assigner chaque point de terminaison sous le pont non sécurisé est plus efficace que de traiter une division de groupe cosmétique comme équivalente à une isolation matérielle réelle.

Pourquoi les interruptions doivent-elles aussi être isolées ?

La traduction mémoire n'est qu'une partie de l'assignation directe. le remappage des interruptions contrôle les interruptions générées par le périphérique tandis que le remappage DMA contrôle les transactions mémoire.

Sans un chemin d'interruption sécurisé, un périphérique passé en direct pourrait signaler le mauvais processeur ou contexte invité, ou la plateforme pourrait nécessiter une option de compatibilité d'interruption non sécurisée qui affaiblit la frontière prévue.

Une configuration sécurisée vérifie à la fois le remappage DMA et le remappage des interruptions dans les journaux de l'hôte. Le passage du trafic de référence à l'intérieur de la machine invitée prouve que le périphérique fonctionne ; cela ne prouve pas à lui seul que chaque interruption et transaction mémoire est correctement isolée.

Quels risques subsistent après l'isolation IOMMU ?

Le mappage IOMMU ne peut garantir que le matériel revienne à un état propre entre les utilisateurs. certains périphériques en passthrough échouent à se réinitialiser proprement, ce qui peut rendre le périphérique inutilisable ou porter un état obsolète jusqu'au redémarrage de l'hôte.

Le firmware du périphérique, les ROM optionnelles, le firmware hôte, les bugs de l'hyperviseur, les ressources PCIe partagées, les canaux secondaires et l'accès physique restent hors de la garantie étroite du mappage DMA. Le passthrough limite aussi la migration et peut rendre la récupération dépendante d'un périphérique spécifique.

Proxmox peut exposer des GPU physiques aux machines virtuelles, mais une conception sûre réserve toujours le chemin de gestion propre à l'hôte, vérifie la topologie des groupes, évite les overrides non sécurisés et teste la réinitialisation des périphériques avant de considérer la VM comme un appareil isolé.

FAQ

Activer l'IOMMU rend-il toute configuration de passthrough sécurisée ?

Non. Le périphérique doit être dans un groupe sûr, le DMA et les interruptions doivent être remappés, et la topologie PCIe doit empêcher l'accès pair-à-pair non traduit.

Puis-je passer uniquement la fonction d'affichage d'un GPU multifonction ?

Parfois, mais les fonctions audio, USB ou contrôleur associées partagent souvent un même groupe IOMMU et une même frontière de réinitialisation. Elles doivent généralement être détachées et assignées ensemble.

L'override ACS est-il seulement une optimisation de performance ?

Non. Cela modifie la façon dont Linux présente les groupes sans nécessairement ajouter d'isolation du trafic matériel. Cela peut faciliter la configuration tout en affaiblissant la signification sécuritaire de la séparation des groupes.

Pourquoi un GPU en passthrough nécessite-t-il parfois un redémarrage de l'hôte ?

Certains périphériques ne supportent pas une réinitialisation propre au niveau fonctionnel ou du bus. Après l'arrêt de la machine virtuelle, la carte peut rester dans un état qui ne peut pas être initialisé en toute sécurité pour le prochain utilisateur.

Conclusion finale

L'isolation IOMMU rend le passthrough plus sûr en attribuant à un périphérique capable de DMA un espace d'adressage matériel restreint plutôt que de lui faire confiance avec toute la mémoire hôte. Une véritable sécurité nécessite également des groupes IOMMU intacts, un routage PCIe fiable, un remappage des interruptions, une réinitialisation propre des périphériques et une configuration hôte prudente. Un périphérique passé en passthrough peut atteindre des performances natives sans devenir l'équivalent d'un périphérique virtuel inoffensif.