Hoe maakt IOMMU-isolatie home server passthrough veiliger?

IOMMU-isolatie maakt home server passthrough veiliger door een hardware-vertalings- en toestemmingsgrens te plaatsen tussen een doorgegeven PCIe-apparaat en het fysieke systeemgeheugen. De VM kan het apparaat direct aansturen, maar het apparaat mag alleen geheugenpagina's bereiken die in dat VM-domein zijn toegewezen.

Dit vermindert het risico dat een gecompromitteerde gastdriver of defect apparaat DMA uitvoert naar het geheugen van de host of een andere VM. De bescherming hangt nog steeds af van correcte IOMMU-groepen, PCIe-topologie, interrupt-remapping, apparaat-resetgedrag, firmware en het vermijden van omwegen die groepen alleen schijnbaar gescheiden maken.

Waarom is passthrough anders dan virtuele I/O?

VFIO geeft een VM directe apparaatcontrole in plaats van elke bewerking via een geëmuleerd of paravirtual apparaat te sturen dat door de hypervisor wordt beheerd.

Dat directe pad kan de virtualisatie-overhead verminderen en hardwarefuncties blootleggen die nodig zijn voor GPU's, NVMe-schijven, netwerkadapters en versnellingskaarten. Het verplaatst ook meer apparaatgedrag naar de controle van de gast.

De beveiligingsgrens kan daarom niet alleen vertrouwen op het feit dat de gast geen host-CPU-instructies kan uitvoeren. Een bus-masterend apparaat kan zelfstandig geheugentransacties starten, dus het DMA-adresbereik moet net zo zorgvuldig worden beperkt als het CPU-adresbereik van de gast.

Hoe beperkt de IOMMU de DMA van het apparaat?

IOMMU-domeinen beperken het geheugen van het apparaat door apparaat-zichtbare I/O-adressen te vertalen via paginatabellen die voor dat apparaat zijn geselecteerd.

Wanneer VFIO een apparaat aan een VM toewijst, moeten de geldige mappings overeenkomen met het geheugen dat eigendom is van die VM. Een DMA-verzoek buiten het toegewezen bereik kan worden geblokkeerd in plaats van willekeurig host-RAM te bereiken.

Dit is de belangrijkste veiligheidsverbetering ten opzichte van ongecontroleerde passthrough. Het apparaat kiest niet rechtstreeks fysieke hostadressen; de IOMMU controleert de identiteit van de aanvrager, de mapping en de toegangsrechten voordat de transactie wordt toegestaan.

Waarom is een IOMMU-groep de toewijzingsgrens?

PCIe-functies die niet van elkaar geïsoleerd kunnen worden, worden in dezelfde groep geplaatst, en alle apparaten in één groep delen isolatie.

Een grafische kaart kan display-, audio-, USB- en seriële-busfuncties onder één apparaatpakket blootstellen. Die gerelateerde functies moeten vaak samen verplaatst worden omdat ze resetgedrag delen of een topologie die peer-communicatie toestaat.

Als een hostdriver een eindpunt binnen dezelfde onveilige groep blijft gebruiken terwijl een ander eindpunt aan een gast is toegewezen, komt de softwarematige scheiding mogelijk niet overeen met de werkelijke routeringsgrens van de hardware. Groepslidmaatschap is daarom belangrijker dan het label op één PCI-functie.

Hoe beïnvloeden PCIe-bruggen en ACS de isolatie?

Access Control Services helpen upstream-poorten om peer-to-peer-verkeer via het isolatiepad om te leiden. ACS-override verzwakt isolatiegaranties wanneer de onderliggende topologie de apparaten niet betrouwbaar kan scheiden.

Een software-override kan passthrough-configuratie mogelijk maken door kleinere groepen te presenteren, maar voegt geen ontbrekende routeringshandhaving toe aan een brug of switch. Apparaten kunnen nog steeds een pad hebben dat de IOMMU niet kan waarnemen of blokkeren.

Het verplaatsen van een kaart naar een andere sleuf, het kiezen van een moederbord met een betere PCIe-topologie, of het toewijzen van elk eindpunt onder de onveilige brug is sterker dan het behandelen van een cosmetische groepssplitsing als gelijk aan hardware-ondersteunde isolatie.

Waarom moeten interrupts ook geïsoleerd worden?

Geheugentranslatie is slechts een deel van directe toewijzing. interrupt-herverdeling regelt apparaatgegenereerde interrupts, terwijl DMA-herverdeling geheugenoverdrachten beheert.

Zonder een veilige interrupt-route kan een doorgegeven apparaat het verkeerde processor- of gastcontext signaleren, of kan het platform een onveilige-interrupt-compatibiliteitsoptie vereisen die de bedoelde grens verzwakt.

Een veilige configuratie verifieert zowel DMA- als interrupt-herverdeling in de hostlogs. Het doorlaten van benchmarkverkeer binnen de gast bewijst dat het apparaat werkt; het bewijst op zichzelf niet dat elke interrupt en geheugenoverdracht correct geïsoleerd is.

Welke risico's blijven er over na IOMMU-isolatie?

IOMMU-mapping kan niet garanderen dat hardware tussen eigenaren in een schone staat terugkeert. sommige passthrough-apparaten falen in een schone reset, wat het apparaat onbruikbaar kan maken of verouderde status kan behouden totdat de host wordt herstart.

Apparaatfirmware, option ROM's, hostfirmware, hypervisorbugs, gedeelde PCIe-bronnen, zijkanalen en fysieke toegang blijven buiten de nauwe DMA-mappinggarantie. Passthrough beperkt ook migratie en kan herstel afhankelijk maken van één specifiek apparaat.

Proxmox kan fysieke GPU's blootstellen aan VM's, maar een veilig ontwerp reserveert nog steeds het eigen beheerpaden van de host, verifieert de groeps-topologie, vermijdt onveilige overrides en test apparaatreset voordat de VM als een geïsoleerde appliance wordt behandeld.

Veelgestelde vragen

Maakt het inschakelen van IOMMU elke passthrough-configuratie veilig?

Nee. Het apparaat moet in een veilige groep zitten, DMA en interrupts moeten worden heringedeeld, en de PCIe-topologie moet ongecodeerde peer-to-peer toegang voorkomen.

Kan ik alleen de displayfunctie van een multifunctionele GPU doorgeven?

Soms, maar gerelateerde audio-, USB- of controllerfuncties delen vaak één IOMMU-groep en resetgrens. Ze moeten meestal samen worden losgekoppeld en toegewezen.

Is de ACS-override alleen een prestatie-aanpassing?

Nee. Het verandert hoe Linux groepen presenteert zonder noodzakelijkerwijs hardwareverkeersisolatie toe te voegen. Het kan configuratie vergemakkelijken terwijl het de beveiligingsbetekenis van de groepsscheiding verzwakt.

Waarom vereist een passthrough GPU soms een herstart van de host?

Sommige apparaten ondersteunen geen schone functie- of busreset. Na het afsluiten van de gast kan de kaart in een staat blijven die niet veilig kan worden geïnitialiseerd voor de volgende gebruiker.

Laatste conclusie

IOMMU-isolatie maakt passthrough veiliger door een DMA-capabel apparaat een beperkt hardware-adresbereik te geven in plaats van het te vertrouwen met het volledige geheugen van de host. Echte beveiliging vereist ook intacte IOMMU-groepen, betrouwbare PCIe-routering, interrupt-hermapping, een schone apparaatreset en een conservatieve hostconfiguratie. Een doorgegeven apparaat kan bijna native prestaties bereiken zonder gelijk te worden aan een onschuldig virtueel apparaat.