Что такое virtualization technology в биосе. Как включить VT(Virtualization Technology) для повышения производительности

Сегодня все большее количество современных компьютерных систем обращают свое внимание на технологии виртуализации. Правда, не все достаточно четко себе представляют, что это такое, зачем это нужно и как решать вопросы ее включения или практического использования. Сейчас будет рассмотрено, как в БИОСе включить виртуализацию простейшим методом. Сразу отметим, что эта методика применима абсолютно ко всем существующим системам, в частности, к BIOS и сменившей его системе UEFI.

Что такое виртуализация и зачем она нужна?

Прежде чем приступить к непосредственному решению проблемы, как в БИОСе включить виртуализацию, посмотрим, что собой представляет эта технология и зачем она нужна.

Сама технология предназначена для использования в любой операционной системе так называемых виртуальных машин, которые могут эмулировать настоящие компьютеры со всеми их «железными» и программными компонентами. Иными словами, в основной системе можно создать некий виртуальный компьютер с подбором процессора, оперативной памяти, видео- и саундкартой, сетевым адаптером, жестким диском, оптическим носителем и еще бог знает с чем, включая установку гостевой (дочерней) «операционки», который ничем не будет отличаться от реального компьютерного терминала.

Разновидности технологий

Если кто не знает, технологии виртуализации были созданы ведущими производителями процессоров - корпорациями Intel и AMD, которые и сегодня не могут поделить пальму первенства в этой области. На заре эпохи созданный гипервизор (программное обеспечение для управления виртуальными машинами) от Intel не отвечал всем требованиям по уровню производительности, поэтому-то и начались разработки поддержки виртуальных систем, которые должны были быть «зашиты» в самих процессорных чипах.

У Intel данная технология получила название Intel-VT-x, а у AMD – AMD-V. Таким образом, поддержка оптимизировала работу центрального процессора, не влияя на основную систему.

Само собой разумеется, что включать данную опцию в предварительных настройках BIOS следует только в том случае, если на физической машине предполагается использование машины виртуальной, например, для тестирования программ или прогнозирования поведения компьютерной системы с различными «железными» компонентами после установки той или иной операционной системы. В противном случае такую поддержку можно и не задействовать. К тому же по умолчанию она вообще выключена и, как уже говорилось, на производительность работы основной системы не оказывает абсолютно никакого влияния.

Вход в БИОС

Что же касается систем BIOS или UEFI, в любом компьютере или ноутбуке они есть, причем независимо от сложности установленного оборудования. Сам БИОС на компьютере представляет собой небольшой чип на материнской плате, который отвечает за тестирование «железа» в момент включения терминала. В нем же, несмотря на память всего около 1 Мб, сохраняются основные настройки и характеристики оборудования.

В зависимости от версии BIOS или производителя, вход может осуществляться несколькими различными методами. Самым распространенным является использование клавиши Del сразу же после включения компьютера или ноутбука. Однако встречаются и другие методы, например, клавиши F2, F12 и т. д.

Как в БИОСе включить виртуализацию простейшим способом?

Теперь определимся с некоторыми основными параметрами и меню. Отталкиваемся от того, что вход в БИОС на компьютере уже произведен. Здесь имеется несколько основных разделов, но в данном случае нас интересует все, что относится к процессорному чипу.

Обычно такие опции содержатся в меню расширенных настроек (Advanced) или в разделе безопасности (Security). Называться они тоже могут по-разному, но, как правило, это что-то вроде Processor или BIOS Chipset (хотя могут встречаться и другие названия).

Итак, теперь вопрос, как в БИОСе включить виртуализацию, можно рассматривать вплотную. В вышеуказанных разделах имеется специальная строка Virtualization Technology (в случае Intel к основному названию добавляется название корпорации). При входе в соответствующее меню будут показаны два доступных параметра: Enabled и Disabled. Как уже понятно, первый – это включенный режим виртуализации, второй – полное отключение.

То же самое касается и системы UEFI, в которой влючение данной опции выполняется полностью аналогичным способом.

Теперь, когда применена установка БИОС на параметр включенного режима, остается только сохранить изменения (F10 или команда Save & Exit Setup), нажать клавишу подтверждения Y, соответствующую английскому слову Yes. Перезагрузка системы с вновь сохраненными параметрами стартует автоматически.

Что следует знать, кроме этого?

Как видим, процедура включения виртуализации в BIOS достаточно проста. Однако здесь следует учитывать некоторые тонкости, связанные с возможным отключением этой функции. Дело в том, что при использовании виртуальных машин вроде WMware Virtual Machine, Virtual PC, VirtualBox или даже «родного» модуля Microsoft под названием Hyper-V эта опция должна быть задействована в обязательном порядке даже при включенной поддержке компонентов Windows непосредственно в настройках системы.

Большей частью это касается более новых модификаций Windows, начиная с «семерки». В «экспишке» или «Висте» это обязательным условием не является. Хотя если такие «операционки» установлены на новейшем «железе», включение поддержки тоже может потребоваться. Впрочем, маловероятно, что пользователь на такую машину будет устанавливать морально устаревшую «операционку», которая не позволит «выжать» из компьютерного «железа» максимум того, на что оно способно. Так что лучше использовать новейшие «железные» компоненты в сочетании не только с самыми последними версиями операционных систем, но и даже с системами диагностики и управлениями UEFI, пришедшими на смену так долго служившему БИОСу.

fb.ru

Как включить аппаратную виртуализацию в BIOS? Virtualization Technology - технология аппаратной виртуализации гостевых ОС (с фото) - Настройка BIOS

Опция Virtualization Technology. Включение данной опции включает технологию аппаратной виртуализации, основанной на специальной процессорной архитектуре. В отличие от программной виртуализации, с помощью данной техники возможно использование изолированных гостевых систем (виртуальных машинах - VMware, Virtual PC и тд.), управляемых гипервизором напрямую. Гостевая система не зависит от архитектуры хостовой платформы и реализации платформы виртуализации.

На работу программ пользователя в стандартной операционной системе данная опция практически не влияет.

Значения опции:

Опция также может иметь другие названия:

• Virtualization Technology
• Vanderpool Technology
• VT Technology
• Virtualization

Примечание 1.Аппаратная виртуализация виртуализация с поддержкой специальной процессорной архитектуры. Аппаратная виртуализация обеспечивает производительность, сравнимую с производительностью невиртуализованной машины, что дает виртуализации возможность практического использования и влечет её широкое распространение. Наиболее распространены технологии виртуализации Intel-VT и AMD-V.

1. В Intel VT (Intel Virtualization Technology) реализована виртуализация режима реальной адресации (режим совместимости с 8086). Соответствующая аппаратная виртуализация ввода-вывода - VT-d. Часто обозначается аббревиатурой VMX (Virtual Machine eXtension). Кодовое название - Vanderpool.
2. AMD-V часто обозначается аббревиатурой SVM (Secure Virtual Machines). Кодовое название - Pacifica. Соответствующая технология виртуализации ввода-вывода - IOMMU. AMD-V проще и эффективнее, чем Intel VT. Поддержка AMD-V появилась в Xen 3.3.

Intel VT (Intel Virtualization Technology) - intel virtualization technology что это?

Intel VT - это аппаратная основа для программного создания виртуализации, через уменьшение ее размера, стоимости и сложности. Например, при использовании такими системами кэш-памяти, системе ввода-вывод. Применяется в основном пользователями в корпоративном, облачном, коммуникационном секторах.

VT-x 13 ноября 2005 года Intel выпустила две модели Pentium 4 (модели 662 и 672), которые стали первыми процессорами, поддерживающими VT-x ("Vanderpool"). VT-x представляет собой технологию виртуализации Intel режима реальной адресации на платформе x86 - VMX (Virtual Machine eXtension).

Реализована виртуализация режима реальной адресации (режим совместимости с 8086).

VT-d (Virtualization technology for directed I/O) - технология аппаратной виртуализации ввода-вывода, созданная корпорацией Intel в дополнение к её технологии виртуализации вычислений VT-x. Виртуализация ввода-вывода позволяет пробрасывать (pass-through) устройства на шине PCI (и более современных подобных шинах) в гостевую ОС, таким образом, что она может работать с ним с помощью своих штатных средств. Чтобы такое было возможно, в логических схемах системной платы используется специальное устройство управления памятью ввода-вывода (IOMMU), работающее аналогично MMU центрального процессора, используя таблицы страниц и специальную таблицу отображения DMA (DMA remapping table - DMAR), которую гипервизор получает от BIOS через ACPI. Отображение DMA необходимо, поскольку гипервизор ничего не знает о специфике работы устройства с памятью по физическим адресам, которые известны лишь драйверу. С помощью DMAR он создает таблицы отображения таким образом, что драйвер гостевой ОС видит виртуальные адреса IOMMU аналогично тому, как бы он видел физические без него и гипервизора.

Intel Virtualization Technology for Directed I/O (VT-d) - это следующий важный шаг на пути к всеобъемлющей аппаратной поддержке виртуализации платформ на базе Intel. VT-d расширяет возможности технологии Virtualization Technology (VT), существующей в IA-32 (VT-x) и Itanium (VT-i), и добавляет поддержку виртуализации новых устройств ввода-вывода. Ознакомиться подробнее с технической стороной вопроса можно здесь https://ru.wikipedia.org/wiki/

Программа Setup BIOS фирмы AWARD Software International Inc на системных платах GIGABYTE TECHNOLOGY

Virtualization значение по умолчанию

Возможное значение:

Программа Aptio Setup Utility - BIOS фирмы American Megatrends Inc на системных платах Dell Inc.

Название данной опции у данного производителя в данной версии BIOS (ноутбук):

Virtualization значение по умолчанию

Возможное значение:

Программа BIOS Insydeh30 Setup Utility компании Insyde Software на на системных платах Hewlett-Packard Company (HP)

Название данной опции у данного производителя в данной версии BIOS:

Virtualization Technology значение по умолчанию

Данная опция находится на вкладке: «System Configuration»

www.NastrojkaBios.ru

Как проверить поддерживает ли ваш процессор аппаратную виртуализацию Intel VT-x/VT-d и AMD-V

На сегодняшний день известно, что поддержка аппаратной виртуализации Intel VT-x/VT-d и AMD-V необходима для работы виртуальных машин, таких как VirtualBox и VMware Workstation, а также для работы так называемых программ эмуляторов мобильных операционных систем, например для ОС Android.

В наше время почти все современные компьютеры имеют поддержку данной технологии, но есть конечно и такие которые не поддерживают. И для того чтобы узнать, имеет ли наш процессор поддержку данной технологии, мы для начало зайдем в BIOS нашего компьютера и посмотрим есть ли там интересующая нас настройка. Я добавил в статью несколько примеров того как выглядит пункт включения виртуализации в разных версиях BIOS. В основном включение этого параметра находится на вкладке advanced, далее как видно на картинке ниже, под названием intel virtualization technology и скрывается доказательство того, что данный компьютер поддерживает эту технологию.

В данной версии BIOS переходим во вкладку advanced BIOS features, где так же видим в пункте virtualization поддержку данной технологии.

И здесь в пункте advanced BIOS features видно, что аппаратная виртуализация поддерживается процессором.

Ну и последний вариант, где во вкладке advanced в пункте secure virtual machine mode, мы также может включить данную технологию.

Но бывают и такие случаи, что в BIOS-е нашего компьютера нет пункта включения аппаратной виртуализации secure virtual machine mode или intel virtualization technology, хотя как говорят, что тот процессор который стоит в вашем компьютере поддерживает данную технологию. Для того чтобы убедится в этом, нам поможет маленькая утилита под названием SecurAble, которая точно покажет поддерживает ли наш процессор аппаратную виртуализацию. Переходим на официальный сайт производителя по ссылке https://www.grc.com/securable.htm, где внизу нажимаем на пункт Download Now. Начнется загрузка, после запускаем программу, устанавливать её не надо, так как эта портативная версия.

После запуска, программа сразу покажет информацию о том поддерживает или не поддерживает технологию виртуализации ваш процессор. Увидеть это можно в третьем по счету блоке. Как вы уже догадались, если стоит надпись yes значит поддержка есть.

Если написано Locked OFF, это значит что, поддержка данной технологии есть, но её надо включить. А включается она, как мы уже знаем, в BIOS-е нашего компьютера.

Ну и если блок имеет надпись NO, значит технология аппаратной виртуализации не поддерживается вашим процессором.

Оставляйте своё мнение о данной статье, ну и конечно же задавайте свои вопросы если у вас что то вдруг пошло не так.

Спасибо за внимание!

ITremont.info

Аппаратная виртуализация. Теория, реальность и поддержка в архитектурах процессоров

• Хозяин (англ. host) - аппаратная система, на которой запущен монитор виртуальных машин или симулятор.
• Гость (англ.guest) - виртуальная или моделируемая система, запущенная под управлением монитора или симулятора. Также иногда именуется как целевая система (англ. target system).

1. Изоляция - каждая виртуальная машина должна иметь доступ только к тем ресурсам, которые были ей назначены. Она не должна иметь возможности повлиять на работы как монитора, так и других ВМ.
2. Эквивалентность - любая программа, исполняемая под управлением ВМ, должна демонстрировать поведение, полностью идентичное её исполнению на реальной системе, за исключением эффектов, вызванных двумя обстоятельствами: различием в количестве доступных ресурсов (например, ВМ может иметь меньший объём памяти) и длительностями операций (из-за возможности разделения времени исполнения с другими ВМ).
3. Эффективность - в оригинальной работе условие сформулировано следующим образом: «статистически преобладающее подмножество инструкций виртуального процессора должно исполняться напрямую хозяйским процессором, без вмешательства монитора ВМ». Другими словами, значительная часть инструкций должна симулироваться в режиме прямого исполнения. Требование эффективности является самым неоднозначным из трёх перечисленных требований, и мы ещё вернёмся к нему. В случае симуляторов, основанных на интерпретации инструкций, условие эффективности не выполняется, т.к. каждая инструкция гостя требует обработки симулятором.

При исполнении каждая инструкция i в общем случае может изменить как (M,P,R), так и память E, т.е. она является функцией преобразования: (M1,P1,R1,E1) -> (M2,P2,R2,E2).

Считается, что для некоторых входных условий инструкция вызывает исключение ловушки (англ. trap), если в результате её исполнения содержимое памяти не изменяется, кроме единственной ячейки E, в которую помещается предыдущее состояние процессора (M1,P1,R1). Новое состояние процессора (M2,P2,R2) при этом копируется из E. Другими словами, ловушка позволяет сохранить полное состояние программы на момент до начала исполнения её последней инструкции и передать управление обработчику, в случае обычных систем обычно работающему в режиме супервизора и призванного обеспечить дополнительные действия над состоянием системы, а затем вернуть управление в программу, восстановив состояние из E. Далее, ловушки могут иметь два признака.

1. Вызванные попыткой изменить состояние процессора (ловушка потока управления).
2. Обращения к содержимому памяти, выходящему за пределы диапазона, определённого в (ловушка защиты памяти).

• Привилегированные (англ. privileged). Инструкции, исполнение которых с M = u всегда вызывает ловушку потока управления. Другими словами, такая инструкция может исполняться только в режиме супервизора, иначе она обязательно вызывает исключение.
• Служебные (англ. sensitive. Установившего русского термина для этого понятия я не знаю. Иногда в литературе встречается перевод «чувствительные» инструкции). Класс состоит из двух подклассов. 1. Инструкции, исполнение которых закончилось без ловушки защиты памяти и вызвало изменение M и/или R. Они могут менять режим процессора из супервизора в пользовательский или обратно или изменять положение и размер доступного сегмента памяти. 2. Инструкции, поведение которых в случаях, когда они не вызывают ловушку защиты памяти, зависят или от режима M, или от значения R.
• Безвредные (англ. innocuous). Не являющиеся служебными. Самый широкий класс инструкций, не манипулирующие ничем, кроме указателя инструкций P и памяти E, поведение которых не зависит от того, в каком режиме или с каким адресом в памяти они расположены.

• Изоляция обеспечивается размещением монитора в режиме супервизора, а ВМ - только в пользовательском. При этом последние не могут самовольно изменить системные ресурсы - попытка вызовет ловушку потока управления на служебной инструкции и переход в монитор, а также память из-за того, что конфигурация не допускает этого, и процессор выполнит ловушку защиты памяти.
• Эквивалентность доказывается тем, что безвредные инструкции выполняются одинаково вне зависимости от того, присутствует ли в системе монитор или нет, а служебные всегда вызывают исключение и интерпретируются. Отметим, что даже в описанной выше простой схеме проявляется первое ослабляющее условие: даже без учёта памяти, необходимой для хранения кода и данных гипервизора, объём доступной для ВМ памяти будет как минимум на две ячейки меньше, чем имеется у хозяйской системы.
• Эффективность гарантируется тем, что все безвредные инструкции внутри ВМ исполняются напрямую, без замедления. При этом подразумевается, что их множество включает в себя «статистически преобладающее подмножество инструкций виртуального процессора».

Рис. 1: Выполнение условия виртуализуемости. Множество служебных инструкций является подмножеством привилегированных Несмотря на простоту использованной модели и полученных из неё выводов, работа Голдберга и Попека является актуальной до сих пор. Следует отметить, что несоблюдение описанных в ней условий вовсе не делает создание или использование виртуальных машин на некоторой архитектуре принципиально невозможным, и есть практические примеры реализаций, подтверждающие это. Однако соблюсти оптимальный баланс между тремя свойствами: изоляцией, эквивалентностью и эффективностью, - становится невозможным. Чаще всего расплачиваться приходится скоростью работы виртуальных машин из-за необходимости тщательного поиска и программного контроля за исполнением ими служебных, но не привилегированных инструкций, так как сама аппаратура не обеспечивает этого (рис. 2). Даже единственная такая инструкция, исполненная напрямую ВМ, угрожает стабильной работе монитора, и поэтому он вынужден сканировать весь поток гостевых инструкций.

Рис. 2: Невыполнение условия виртуализуемости. Служебные, но не привилегированные инструкции требуют реализации сложной логики в мониторе В самой работе присутствуют как явно указанные упрощения исследуемой структуры реальных систем (отсутствие периферии и системы ввода-вывода), так и неявные предположения о структуре исполняемых гостевых программ (почти полностью состоящих из безвредных инструкций) и хозяйских систем (однопроцессорность). Рассмотрим теперь данные ограничения более детально, а также предложим, каким образом можно расширить степень применимости критерия к дополнительным ресурсам, требующим виртуализации, и таким образом повысить его практическую ценность для архитекторов новых вычислительных систем. Для эффективной работы программ внутри ВМ необходимо, чтобы большая часть их инструкций являлись безвредными. Как правило, это верно для прикладных приложений. Операционные системы, в свою очередь, предназначены для управления ресурсами системы, что подразумевает использование ими привилегированных и служебных инструкций, и монитору приходится их перехватывать и интерпретировать с соответствующим падением производительности. Поэтому в идеале в наборе инструкций должно быть как можно меньше привилегированных для того, чтобы частота возникновения ловушек была минимальной. Поскольку периферийные устройства являются служебным ресурсом ЭВМ, очевидно, что для обеспечения условий изоляции и эквивалентности необходимо, чтобы все попытки доступа к ним были контролируемы монитором ВМ так же, как они контролируются в многозадачной операционной системе её ядром. В настоящее время доступ к устройствам чаще всего производится через механизм отражения их в физической памяти системы (англ. memory mapped I/O), что означает, что внутри монитора это чтение/запись некоторых регионов должно или вызывать ловушку защиты памяти, или быть не служебным, т.е. не вызывать ловушку и не влиять на состояние неконтролируемым образом. Интенсивность взаимодействия приложений с периферией может быть различна и определяется их функциональностью, что сказывается на их замедлении при виртуализации. Кроме того, монитор ВМ может делать различные классы периферии, присутствующей на хозяине, доступными внутри нескольких ВМ различными способами.

• Выделенное устройство - устройство, доступное исключительно внутри одной гостевой системы. Примеры: клавиатура, монитор.
• Разделяемое - общее для нескольких гостей. Такое устройство или имеет несколько частей, каждая из которых выделена для нужд одного из них (англ. partitioned mode), например, жёсткий диск с несколькими разделами, или подключается к каждому из них поочерёдно (англ. shared mode). Пример: сетевая карта.
• Полностью виртуальное - устройство, отсутствующее в реальной системе (или присутствующее, но в ограниченном количестве) и моделируемое программно внутри монитора. Примеры: таймеры прерываний - каждый гость имеет собственный таймер, несмотря на то, что в хозяйской системе есть только один, и он используется для собственных нужд монитора.

Примером такого неэффективного поведения гостевых систем является синхронизация с задействованием циклических блокировок (англ. spin lock) внутри ВМ . Будучи неэффективной и поэтому неиспользуемой для однопроцессорных систем, в случае нескольких процессоров она является легковесной альтернативой другим, более тяжеловесным замкам (англ. lock), используемым для входа в критические секции параллельных алгоритмов. Чаще всего они используются внутри операционной системы, но не пользовательских программ, так как только ОС может точно определить, какие из системных ресурсов могут быть эффективно защищены с помощью циклических блокировок. Однако в случае виртуальной машины планированием ресурсов на самом деле занимается не ОС, а монитор ВМ, который в общем случае не осведомлён о них и может вытеснить поток, способный освободить ресурс, тогда как второй поток будет выполнять циклическую блокировку, бесполезно тратя процессорное время. Оптимальным решением при этом является деактивация заблокированного потока до тех пор, пока нужный ему ресурс не освободится.

Существующие решения для данной проблемы описаны ниже.

1. Монитор ВМ может пытаться детектировать использование циклических блокировок гостевой ОС. Это требует анализа кода перед исполнением, установки точек останова по адресам замка. Способ не отличается универсальностью и надёжностью детектирования.
2. Гостевая система может сигнализировать монитору о намерении использовать циклическую блокировку с помощью специальной инструкции. Способ более надёжный, однако требующий модификации кода гостевой ОС.

Рис. 3: Двухуровневая трансляция адресов. Первый уровень контролируется гостевыми ОС, второй - монитором виртуальных машин Другой ресурс ЭВМ, отвечающий за преобразование адресов, - это буфер ассоциативной трансляции (англ. translation lookaside buffer, TLB), состоящий из нескольких записей. Каждая гостевая система имеет своё содержимое TLB, поэтому при смене активной ВМ или переходе в монитор он должен быть сброшен. Это негативно сказывается на производительности систем, так как восстановление его содержимого требует времени, в течение которого приходится использовать менее эффективное обращение к таблице трансляций адресов, расположенной в памяти. Решение состоит в разделении ресурсов TLB между всеми системами . Каждая строка буфера ассоциируется с идентификатором - тэгом, уникальным для каждой ВМ. При поиске в нём аппаратурой учитываются только строки, тэг которых соответствует текущей ВМ. Кроме процессоров к оперативной памяти напрямую могут обращаться и периферийные устройства - с помощью технологии DMA (англ. direct memory access). При этом обращения в классических системах без виртуализации идёт по физическим адресам. Очевидно, что внутри виртуальной машины необходимо транслировать такие адреса, что превращается в накладные расходы и понижение эффективности монитора. Решение состоит в использовании устройства IOMMU (англ. Input output memory management unit), позволяющего контролировать обращения хозяйских устройств к физической памяти. Расширим условие виртуализуемости, заменив в нём слово «инструкция» на «операция»: множество служебных операций является подмножеством привилегированных. При этом под операцией будем подразумевать любую архитектурно определённую активность по чтению или изменению состояния системы, в том числе инструкции, прерывания, доступы к устройствам, преобразования адресов и т.п. При этом условие повышения эффективности виртуализации будет звучать следующим образом: в архитектуре системы должно присутствовать минимальное число служебных операций. Достигать его можно двумя способами: переводя служебные инструкции в разряд безвредных или уменьшая число привилегированных. Для этого большинство архитектур пошло по пути добавления в регистр состояния M нового режима r - режима монитора ВМ (англ. root mode). Он соотносится с режимом s так, как s - с u; другими словами, обновлёный класс привилегированных инструкций теперь вызывает ловушку потока управления, переводящую процессор из s в r. Рассмотрим основные современные архитектуры вычислительных систем, используемых на серверах, рабочих станциях, а также во встраиваемых системах, с точки зрения практической реализации описанных выше теоретических принципов. См. также серию статей . Компания IBM была одной из первых, выведших архитектуру с аппаратной поддержкой виртуализации на рынок серверных микропроцессоров в серии POWER4 в 2001 году. Она предназначалась для создания изолированных логических разделов (англ. logical partitions, LPAR), с каждым из которых ассоциированы один или несколько процессоров и ресурсы ввода-вывода. Для этого в процессор был добавлен новый режим гипервизора к уже присутсвовавшим режимам супервизора и пользователя. Для защиты памяти каждый LPAR ограничен в режиме с отключенной трансляцией адресов и имеет доступ лишь к небольшому приватному региону памяти; для использования остальной памяти гостевая ОС обязана включить трансляцию, контролируемую монитором ВМ. В 2004 году развитие этой архитектуры, названное POWER5, принесло серьёзные усовершенствования механизмов виртуализации. Так, было добавлено новое устройство таймера, доступное только для монитора ВМ, что позволило ему контролировать гостевые системы более точно и выделять им процессорные ресурсы с точностью до сотой доли от процессора. Также монитор ВМ получил возможность контролировать адрес доставки прерываний - в LPAR или в гипервизор. Самым важным же нововведением являлся тот факт, что присутствие гипервизора являлось обязательным - он загружался и управлял системными ресурсами, даже если в системе присутствовал единственный LPAR-раздел. Поддерживаемые ОС (AIX, Linux, IBM i) были модифицированы с учётом этого, чтобы поддерживать своеобразную паравиртуализационную схему. Для управления устройствами ввода-вывода один (или два, для балансировки нагрузки) из LPAR загружает специальную операционную систему - virtual I/O server (VIOS), предоставляющую эти ресурсы для остальных разделов. Компания Sun, развивавшая системы UltraSPARC и ОС Solaris, предлагала виртуализацию уровня ОС (т.н. контейнеры или зоны) начиная с 2004 г. В 2005 году в многопоточных процессорах Niagara 1 была представлена аппаратная виртуализация. При этом гранулярность виртуализации была равна одному потоку (всего чип имел восемь ядер, четыре потока на каждом). Для взаимодействия ОС и гипервизора был представлен публичный и стабильный интерфейс для привилегированных приложений , скрывающий от ОС большинство архитектурных регистров. Для трансляции адресов используется описанная ранее двухуровневая схема с виртуальными, реальными и физическими адресами. При этом TLB не хранит промежуточный адрес трансляции. В отличие от POWER и SPARC, архитектура IA-32 (и её расширение AMD64) никогда не была подконтрольна одной компании, которая могла бы добавлять функциональность (пара)виртуализации между аппаратурой и ОС, нарушающую обратную совместимость с существующими операционными системами. Кроме того, в ней явно нарушены условия эффективной виртуализации - около 17 служебных инструкций не являются привилегированными, что мешало создать аппаратно поддерживаемые мониторы ВМ. Однако программные мониторы существовали и до 2006 года, когда Intel представила технологию VT-x, а AMD - похожую, но несовместимую с ней AMD-V. Были представлены новые режимы процессора - VMX root и non root, и уже существовавшие режимы привилегий 0-3 могут быть использованы в обоих из них. Переход между режимами может быть осуществлён с помощью новых инструкций vmxon и vmxoff.

Для хранения состояния гостевых систем и монитора используется новая структура VMCS (англ. virtual machine control structure), копии которой размещены в физической памяти и доступны для монитора ВМ.

Интересным решением является конфигурируемость того, какие события в госте будут вызывать событие ловушки и переход в гипервизор, а какие оставлены на обработку ОС. Например, для каждого гостя можно выбрать, будут ли внешние прерывания обрабатываться им или монитором; запись в какие биты контрольных регистров CR0 и CR4 будет перехватываться; какие исключения должны обрабатываться гостём, а какие - монитором и т.п. Данное решение позволяет добиваться компромисса между степенью контроля над каждой ВМ и эффективностью виртуализации. Таким образом, для доверенных гостей контроль монитора может быть ослаблен, тогда как одновременно исполняющиеся с ними сторонние ОС будут всё так же под его строгим наблюдением. Для оптимизации работы TLB используется описанная выше техника тэгирования его записей с помощью ASID (англ. address space identifier). Для ускорения процесса трансляции адресов двухуровневая схема трансляции получила имя Intel EPT (англ. extended page walk). Intel добавила аппаратную виртуализацию в Itanium (технология VT-i ) одновременно с IA-32 - в 2006 году. Специальный режим включался с помощью нового бита в статусном регистре PRS.vm. С включенным битом ранее служебные, но не привилегированные инструкции начинают вызывать ловушку и выход в монитор. Для возвращения в режим гостевой ОС используется инструкция vmsw. Часть инструкций, являющаяся служебными, при включенном режиме виртуализации генерируют новый вид синхронного исключения, для которого выделен собственный обработчик.

Поскольку операционная система обращается к аппаратуре посредством специального интерфейса PAL (англ. processor abstraction level), последний был расширен, чтобы поддерживать такие операции, как создание и уничтожение окружений для гостевых систем, сохранение и загрузка их состояния, конфигурирование виртуальных ресурсов и т.д. Можно отметить, что добавление аппаратной виртуализации в IA-64 потребовало меньшего количества усилий по сравнению с IA-32.

Архитектура ARM изначально была предназначена для встраиваемых и мобильных систем, эффективная виртуализация которых, по сравнению с серверными системами, долгое время не являлась ключевым фактором коммерческого и технологического успеха. Однако в последние годы наметилась тенденция к использованию ВМ на мобильных устройствах для обеспечения защиты критически важных частей системного кода, например, криптографических ключей, используемых при обработке коммерческих транзакций. Кроме того, процессоры ARM стали продвигаться на рынок серверных систем, и это потребовало расширить архитектуру и добавить в неё такие возможности, как поддержка адресации больших объёмов памяти и виртуализация. Оба аспекта были отражены в избранном компанией ARM подходе к развитию своей архитектуры. На рис. 4 представлена схема, подразумевающая вложенность двух уровней виртуализации, представленная в 2010 году в обновлении архитектуры Cortex A15 . Рис. 4: Виртуализация ARM. Монитор TrustZone обеспечивает изоляцию и криптографическую аутентификацию доверенного «мира». В обычном «мире» используется собственный монитор ВМ Для обеспечения изоляции критических компонент используется первый слой виртуализации, называемый TrustZone. С его помощью все запущенные программные компоненты делятся на два «мира» - доверенный и обычный. В первой среде исполняются те части системы, работа которых не должна быть подвластна внешним влияниям обычного кода. Во второй среде исполняются пользовательские приложения и операционная система, которые теоретически могут быть скомпрометированы. Однако обычный «мир» не имеет доступа к доверенному. Монитор TrustZone обеспечивает доступ в обратном направлении, что позволяет доверенному коду контролировать состояние аппаратуры. Второй слой виртуализации исполняется под управлением недоверенного монитора и предоставляет возможности мультиплексирования работы нескольких пользовательских ОС. В нём добавлены новые инструкции HVC и ERET для входа и выхода в/из режим(а) гипервизора. Для событий ловушки использован ранее зарезервированный вектор прерываний 0x14, добавлены новые регистры: указатель стэка SPSR, состояние виртуальных ресурсов HCR и регистр «синдрома» HSR, в котором хранится причина выхода из гостя в монитор, что позволяет последнему быстро проанализировать ситуацию и проэмулировать необходимую функциональность без избыточного чтения состояния гостя. Так же, как это сделано в рассмотренных ранее архитектурах, для ускорения механизмов трансляции адресов используется двухуровневая схема, в которой физические адреса гостевых ОС являются промежуточными. Внешние прерывания могут быть настроены как на доставку монитору, который потом перенаправляет их в гость с помощью механизма виртуальных прерываний, так и на прямую отправку в гостевую систему. Процессоры MIPS развивались в направлении, обратном наблюдаемому для ARM: от высокопроизводительных систем к встраиваемым и мобильным. Тем не менее, аппаратная виртуализация для неё появилась относительно недавно, в 2012 г. Архитектура MIPS R5 принесла режим виртуализации MIPS VZ . Он доступен как для 32-битного, так и для 64-битного варианта архитектуры. Добавленное архитектурное состояние позволяет хранить контекст ВМ и монитора отдельно. Например, для нужд гипервизора введена копия системного регистра COP0, независимая от копии гостя. Это позволяет оптимизировать время переключения между ними, в то время как переключение между несколькими гостевыми ОС требует обновления COP0 содержимым из памяти и является менее эффективным. Кроме того, часть бит гостевого регистра, описывающие набор возможностей текущего варианта архитектуры и потому ранее используемые только для чтения, из режима монитора доступны для записи, что позволяет ему декларировать возможности, отличные от действительно присутствующих на хозяине.

Привилегии гипервизора, операционной системы и пользователя образуют т.н. луковую (англ. onion) модель. В ней обработка прерываний идёт снаружи внутрь, т.е. сначала каждое из них проверяется на соответствие правилам монитора, затем ОС. Синхронные исключения (ловушки), наоборот, обрабатываются сперва ОС, а затем монитором.

Так же, как это сделано в рассмотренных ранее архитектурах, для ускорения механизмов трансляции адресов используют тэги в TLB и двухуровневую трансляцию в MMU. Для поддержки разработки паравиртуализационных гостей добавлена новая инструкция hypercall, вызывающая ловушку и выход в режим монитора. В заключение рассмотрим дополнительные вопросы обеспечения эффективной виртуализации, связанные с переключением между режимами монитора и ВМ. Частые прерывания работы виртуальной машины из-за необходимости выхода в монитор негативно влияют на скорость симуляции. Несмотря на то, что производители процессоров работают над уменьшением связанных с этими переходами задержек (для примера см. таблицу 1), они всё же достаточно существенны, чтобы пытаться минимизировать их частоту возникновения.

Если прямое исполнение с использованием виртуализации оказывается неэффективным, имеет смысл переключиться на другую схему работы, например, на интерпретацию или двоичную трансляцию (см. мою серию постов на IDZ: 1, 2, 3).

На практике исполнения ОС характерна ситуация, что инструкции, вызывающие ловушки потока управления, образуют кластера, в которых две или более из них находятся недалеко друг от друга, тогда как расстояние между кластерами значительно. В следующем блоке кода для IA-32 приведён пример такого кластера. Звёздочкой обозначены все инструкции, вызывающие выход в монитор. * in %al,%dx * out $0x80,%al mov %al,%cl mov %dl,$0xc0 * out %al,%dx * out $0x80,%al * out %al,%dx * out $0x80,%al Для того, чтобы избежать повторения сценария: выход из ВМ в монитор, интерпретация инструкции, обратный вход в ВМ только для того, чтобы на следующей инструкции вновь выйти в монитор, - используется предпросмотр инструкций . После обработки ловушки, прежде чем монитор передаст управление обратно в ВМ, поток инструкций просматривается на несколько инструкций вперёд в поисках привилегированных инструкций. Если они обнаружены, симуляция на некоторое время переключается в режим двоичной трансляции. Тем самым избегается негативное влияние эффекта кластеризации привилегированных инструкций. Ситуация, когда монитор виртуальных машин запускается под управлением другого монитора, непосредственно исполняющегося на аппаратуре, называется рекурсивной виртуализацией. Теоретически она может быть не ограничена только двумя уровнями - внутри каждого монитора ВМ может исполняться следующий, тем самым образуя иерархию гипервизоров. Возможность запуска одного гипервизора под управлением монитора ВМ (или, что тоже самое, симулятора) имеет практическую ценность. Любой монитор ВМ - достаточно сложная программа, к которой обычные методы отладки приложений и даже ОС неприменимы, т.к. он загружается очень рано в процессе работы системы, когда отладчик подключить затруднительно. Исполнение под управлением симулятора позволяет инспектировать и контролировать его работу с самой первой инструкции. Голдберг и Попек в своей упомянутой ранее работе рассмотрели вопросы эффективной поддержки в том числе и рекурсивной виртуализации. Однако их выводы, к сожалению, не учитывают многие из упомянутых выше особенностей современных систем. Рассмотрим одно из затруднений, связанных со спецификой вложенного запуска мониторов ВМ - обработку ловушек и прерываний. В простейшем случае за обработку всех типов исключительных ситуаций всегда отвечает самый внешний монитор, задача которого - или обработать событие самостоятельно, тем самым «спрятав» его от остальных уровней, или передать его следующему. Как для прерываний, так и для ловушек это часто оказывается неоптимальным - событие должно пройти несколько уровней иерархии, каждый из которых внесёт задержку на его обработку. На рис. 5 показана обработка двух типов сообщений - прерывания, возникшего во внешней аппаратуре, и ловушки потока управления, случившейся внутри приложения.

Рис. 5: Рекурсивная виртуализация. Все события должны обрабатываться внешним монитором, который спускает их вниз по иерархии, при этом формируется задержка Для оптимальной обработки различных типов ловушек и прерываний для каждого из них должен быть выбран уровень иерархии мониторов ВМ, и при возникновении события управление должно передаваться напрямую этому уровню, минуя дополнительную обработку вышележащими уровнями и без связанных с этим накладных расходов. Задаче аппаратной поддержки второго и более уровней вложенности виртуализации производители процессоров уделяют значительно меньше внимания, чем первому её уровню. Тем не менее такие работы существуют. Так, ещё в восьмидесятых годах двадцатого века для систем IBM/370 была реализована возможность запуска копий системного ПО внутри уже работающей на аппаратуре операционной системы. Для этой задачи была введена инструкция SIE (англ. start interpreted execution) . Существуют предложения об интерфейсе между вложенными уровнями виртуализации , который позволил бы эффективно поддерживать вложенность нескольких мониторов ВМ, и реализация рекурсивной виртуализации для IA-32 . Однако современные архитектуры процессоров всё же ограничиваются аппаратной поддержкой максимум одного уровня виртуализации.

1. Goodacre John. Hardware accelerated Virtualization in the ARM Cortex Processors. 2011. xen.org/files/xensummit_oul11/nov2/2_XSAsia11_JGoodacre_HW_accelerated_virtualization_in_the_ARM_Cortex_processors.pdf
2. Hardware-assisted Virtualization with the MIPS Virtualization Module. 2012. www.mips.com/application/login/login.dot?product_name=/auth/MD00994-2B-VZMIPS-WHT-01.00.pdf
3. Hypervisor/Sun4v Reference Materials. 2012. kenai.com/projects/hypervisor/pages/ReferenceMaterials
4. Intel Virtualization Technology / F. Leung, G. Neiger, D. Rodgers et al. // Intel Technology Journal. 2006. Vol. 10. www.intel.com/technology/itj/2006/v10i3
5. McGhan Harlan. The gHost in the Machine: Part 1 // Microprocessor Report. 2007. mpronline.com
6. McGhan Harlan. The gHost in the Machine: Part 2 // Microprocessor Report. 2007. mpronline.com
7. McGhan Harlan. The gHost in the Machine: Part 3 // Microprocessor Report. 2007. mpronline.com
8. Popek Gerald J., Goldberg Robert P. Formal requirements for virtualizable third generation architectures // Communications of the ACM. Vol. 17. 1974.
9. Southern Gabriel. Analysis of SMP VM CPU Scheduling. 2008. cs.gmu.edu/~hfoxwell/cs671projects/southern_v12n.pdf
10. Yang Rongzhen. Virtual Translation Lookaside Buffer. 2008. www.patentlens.net/patentlens/patent/US_2008_0282055_A1/en.
11. Software techniques for avoiding hardware virtualization exits / Ole Agesen, Jim Mattson, Radu Rugina, Jeffrey Sheldon // Proceedings of the 2012 USENIX conference on Annual Technical Conference. USENIX ATC"12. Berkeley, CA, USA: USENIX Association, 2012. P. 35-35. www.usenix.org/system/files/conference/atc12/atc12-final158.pdf
12. Poon Wing-Chi, Mok A.K. Improving the Latency of VMExit Forwarding in Recursive Virtualization for the x86 Architecture // System Science (HICSS), 2012 45th Hawaii International Conference on. 2012. P. 5604-5612.
13. Osisek D. L., Jackson K. M., Gum P. H. ESA/390 interpretive execution architecture, foundation for VM/ESA // IBM Syst. J. - 1991- V. 30, No 1. - Pp. 34–51. - ISSN: 0018-8670. -DOI: 10.1147/sj.301.0034.
14. Andy Glew. SIE. - semipublic.comp-arch.net/wiki/SIE
15. The Turtles Project: Design and Implementation of Nested Virtualization / Muli Ben-Yehuda //. - 2010. - P. 423–436. www.usenix.org/event/osdi10/tech/full_papers/Ben-Yehuda.pdf

habrahabr.ru

Virtualization Technology

Другие идентичные названия опции: Vanderpool Technology, VT Technology.

Опция Virtualization Technology (технология виртуализации) предназначена для включения режима поддержки процессором технологии аппаратной виртуализации. Данная опция может принимать всего два значения – Enabled (Включено) и Disabled (Выключено).

• Принцип работы
• Стоит ли включать?

Принцип работы

Что же вообще означает термин «виртуализация»? Технология виртуализации позволяет пользователю иметь множество виртуальных компьютеров на одном-единственном физическом компьютере. Естественно, что такой подход зачастую имеет немало преимуществ по сравнению с наличием нескольких физических компьютеров, прежде всего в плане сокращения расходов на оборудование и уменьшения энергопотребления.

Для создания виртуальных компьютеров требуется специальное программное обеспечение. Наиболее известно такое ПО для виртуализации, как VMWare и Microsoft Virtual PC.

Сердцем любой системы виртуализации является технология, носящая название диспетчера виртуальных машин (Virtual Machine Monitor, VMM). Эта технология создает прочную основу для управления виртуализацией. В функции диспетчера виртуальных машин (который также иногда называют гипервизором) входит управление в реальном времени ресурсами компьютера и распределение их между виртуальными системами. Гипервизор может осуществлять перенос данных между системами и создавать виртуальные диски.

Диспетчер виртуальных машин позволяет запускать на одном компьютере либо несколько операционных систем (такие виртуальные операционные системы обычно называются гостевыми), либо несколько копий одной операционной системы. Также в его задачи входит управление ресурсами памяти, процессора и устройств ввода-вывода в целях распределения их между различными виртуальными компьютерами. Таким образом, гипервизор может позволить нескольким операционным системам использовать один и тот же процессор, что повысит эффективность его работы.

Однако долгое время технология виртуализации была основана лишь на программных методах, а на аппаратном уровне ее поддержка почти отсутствовала, в частности, из-за отсутствия четких стандартов. Хотя одной из первых реализаций аппаратной виртуализации стала поддержка виртуального режима работы процессора Intel 8086, встроенная еще в процессор 80386 и в последующие процессоры фирмы Intel(подробнее с процессорами можно познакомиться тут), тем не менее, возможности данной технологии были ограничены. Сегодня ведущие производители процессоров, Intel и AMD предлагают собственные технологии виртуализации, рассчитанные уже на защищенный режим работы процессора.

Вариант технологии виртуализации от Intel носит название VT-x. Он появился в 2005 г. Эта технология внедрила в серверные и клиентские платформы ряд улучшений, обеспечивающих поддержку программных средств виртуализации. Технология VT-x позволяет различным операционным системам и приложениям работать в независимых разделах и способна превратить компьютер в набор виртуальных операционных систем.

Технология виртуализации AMD носит название AMD-V. Впервые она появилась в процессорах Athlon 64 в 2006 г. Эта технология позволяет взять на себя некоторые задачи, выполняемые гипервизором программным способом и упростить их благодаря встроенному в процессоры AMD улучшенному набору инструкций.

По сравнению с программным методом виртуализации аппаратная виртуализация имеет ряд преимуществ. Дело в том, что операционные системы, предназначенные для платформы Intel, разрабатывались таким образом, что операционная система должна была иметь прямой доступ к аппаратным ресурсам компьютера. Программная виртуализация эмулировала необходимое оборудование, а технологии аппаратной виртуализации позволили операционной системе осуществлять прямой доступ к аппаратным ресурсам, избегая какой-либо эмуляции.

Процессорные расширения виртуализации предлагают новые подходы к управлению виртуализацией. Кратко суть улучшений можно описать следующим образом. Операционные системы обеспечивают различные уровни доступа к ресурсам, которые носят название колец защиты. Эти кольца представляет собой иерархию привилегий внутри архитектуры компьютерной системы. Наиболее привилегированным уровнем обычно является нулевой. Этот уровень также может осуществлять доступ к ресурсам напрямую.

В традиционной архитектуре Intel x86 ядро операционной системы может осуществлять прямой доступ к процессору на уровне 0. Однако в среде программной виртуализации гостевая операционная система не может осуществлять работу на нулевом уровне, поскольку он занят гипервизором. Таким образом, гостевая операционная система может выполняться лишь на уровне 1.

Но тут есть одна загвоздка – некоторые инструкции процессора могут выполняться лишь на уровне 0. Эту проблему можно решить несколькими способами, но ни один из них не является удовлетворительным. Например, операционная система может быть перекомпилирована, чтобы избежать подобных ситуаций, но это можно осуществить лишь в том случае, если доступны исходные коды данной операционной системы. Такой подход иногда применяется и носит название паравиртуализации.

Но в тех случаях, когда паравиртуализация невозможна, обычно используется другое решение. Диспетчер виртуальных машин просто перехватывает нужные инструкции гостевой операционной системы и заменяет их на безопасные. Само собой, что такой подход приводит к значительному падению производительности. Соответственно, программные виртуальные машины часто получаются намного медленнее их реальных аналогов.

Поэтому технологии аппаратной виртуализации от Intel и AMD содержат не только новые процессорные инструкции, но и, что имеет решающее значение, позволяют использовать новый уровень привилегий. Теперь гипервизор может работать на уровне более низком, чем нулевой (его можно обозначить, как –1), в то время, как гостевой операционной системе предоставляется в полное распоряжение нулевой уровень. Таким образом, гипервизор был избавлен от ненужной кропотливой работы, а производительность виртуальных машин значительно увеличилась.

Технологии Intel и AMD не во всем идентичны, однако они предлагают схожие преимущества и функциональность. Помимо увеличения производительности виртуальных машин, они позволяют увеличить количество виртуальных машин на одной физической системе, а также увеличить количество пользователей виртуальных машин.

Стоит ли включать?

Опция Virtualization Technology (иногда называемая просто Virtualization) позволяет пользователю компьютера включить поддержку аппаратной виртуализации на уровне центрального процессора. Выбор значения Enabled включает эту поддержку, а значения Disabled – выключает.

Опцию Virtualization Technology следует включать лишь в том случае, если вы используете свой компьютер для запуска виртуальных машин. Включение аппаратной поддержки виртуальных машин способно значительно повысить производительность их работы. Однако в том случае, если виртуальные машины не используются, включение опции никак не повлияет на производительность компьютера.

Виртуализация может понадобиться тем пользователям, которые работают с различными эмуляторами и/или виртуальными машинами. И те и те вполне могут работать без включения данного параметра, однако если вам требуется высокая производительность во время использования эмулятора, то его придётся включить.

Важное предупреждение

Изначально желательно убедиться, есть ли у вашего компьютера поддержка виртуализации. Если её нет, то вы рискуете просто зря потратить время, пытаясь произвести активацию через BIOS. Многие популярные эмуляторы и виртуальные машины предупреждают пользователя о том, что его компьютер поддерживает виртуализацию и если подключить этот параметр, то система будет работать значительно быстрее.

Если у вас не появилось такого сообщения при первом запуске какого-нибудь эмулятора/виртуальной машины, то это может значить следующее:

• Виртуализация уже подключена по умолчанию (такое бывает редко);
• Компьютер не поддерживает этот параметр;
• Эмулятор не способен произвести анализ и оповестить пользователя о возможности подключения виртуализации.

Включение виртуализации на процессоре Intel

Воспользовавшись этой пошаговой инструкцией, вы сможете активировать виртуализацию (актуальна только для компьютеров, работающих на процессоре Intel):

Включение виртуализации на процессоре AMD

Пошаговая инструкция выглядит в этом случае похожим образом:

Включить виртуализацию на компьютере несложно, для этого нужно лишь следовать пошаговой инструкции. Однако если в BIOS нет возможности включить эту функцию, то не стоит пытаться это сделать при помощи сторонних программ, так как это не даст никакого результата, но при этом может ухудшить работу компьютера.

Мы рады, что смогли помочь Вам в решении проблемы.

Опрос: помогла ли вам эта статья?

lumpics.ru

Virtual Secure Mode (VSM) в Windows 10 Enterprise

В Windows 10 Enterprise (и только в этой редакции) появился новый компонент Hyper-V под названием Virtual Secure Mode (VSM). VSM – это защищённый контейнер (виртуальная машина), запущенный на гипервизоре и отделенный от хостовой Windows 10 и ее ядра. Критичные с точки зрения безопасности компоненты системы запускаются внутри этого защищенного виртуального контейнера. Никакой сторонний код внутри VSM выполняться не может, а целостность кода постоянно проверяется на предмет модификации. Такая архитектура позволяет защитить данные в VSM, даже если ядро хостовой Windows 10 скомпрометировано, ведь даже ядро не имеет прямого доступа к VSM.

Контейнер VSM не может быть подключен к сети, и никто не может получить административные привилегии в нем. Внутри контейнера Virtual Secure Mode могут храниться ключи шифрования, авторизационные данные пользователей и другая критичная с точки зрения компрометация информация. Таким образом, атакующий теперь не сможет с помощью локально закэшированных данных учетной записи доменных пользователей проникнуть внутрь корпоративной инфраструктуры.

Внутри VSM могут работать следующие системные компоненты:

• LSASS (Local Security Subsystem Service) – компонент, отвечающий за авторизацию и изоляцию локальных пользователей (таким образом система защищена от атак типа “pass the hash” и утилит типа mimikatz). Это означает, что пароли (и/или хэши) пользователей, зарегистрированных в системе, не сможет получить даже пользователь с правами локального администратора.
• Виртуальный TPM (vTPM) – синтетическое TPM устройство для гостевых машин, необходимое для шифрования содержимого дисков
• Система контроля целостности кода ОС – защита кода системы от модификации

Для возможности использования режима VSM, к среде предъявляются следующие аппаратные требования:

• Поддержка UEFI, Secure Boot и Trusted Platform Module (TPM) для безопасного хранения ключей
• Поддержка аппаратной виртуализации (как минимум VT-x или AMD-V)

Как включить Virtual Secure Mode (VSM) в Windows 10

Рассмотрим, как включить режим Virtual Secure Mode Windows 10 (в нашем примере это Build 10130).

Проверка работы VSM

Убедится, что режим VSM активен можно по наличию процесса Secure System в диспетчере задач.

Или по событию “Credential Guard (Lsalso.exe) was started and will protect LSA credential” в журнале системы.

Тестирование защиты VSM

Итак, на машины с включенным режимом VSM регистрируемся под доменной учетной записью и из-под локального администратора запускаем такую команду mimikatz:

mimikatz.exe privilege::debug sekurlsa::logonpasswords exit

Мы видим, что LSA запущен в изолированной среде и хэши паролей пользователя получить не удается.

Если ту же операцию выполнить на машине с отключенным VSM, мы получаем NTLM хэш пароля пользователя, который можно использовать для атак “pass-the-hash”.

Всем привет У себя в биосе материнки вы можете найти такое как Intel Virtualization Technology и тут у вас сразу возникнут вопросы, включать это или нет? За что это вообще отвечает, что за дичь, а если включить, то может комп заработает лучше? Да, мыслей может быть много, когда я колупал комп, изучал все, то тоже было много мыслей, типа, а что будет если…

Короче скажу сразу, я знаю что такое Intel Virtualization Technology, но вот также скажу, что в большинстве случаев вам ее включать не нужно. Ни вам, ни вашим знакомым, ну что-то мне подсказывает, что данная технология вам тупо не нужна. А почему это подумаете вы? Окей, скажу. Значит Intel Virtualization Technology это технология виртуализации, чтобы некоторое ПО могло так бы сказать напрямую работать с процессором.

Вы тут наверно спросите, какое еще ПО? Здесь я имею ввиду программы виртуализации компьютера, по простому это виртуальные машины, пока что самые популярные это платная VMware Workstation (кстати есть бесплатный вариант это VMware Player) и абсолютно бесплатная VirtualBox. Говорят что первая это именно виртуальная машина, а вторая это эмулятор. Но не особо понимаю разницу

А вот как выглядит эта опция в самом биосе, смотрите:

Так вот, а простым юзерам технология Intel Virtualization Technology даром не нужна, она ничего не делает, никакой мощи не прибавляет. Вам наверно может стать интересно, что же такое виртуальная машина, что это вообще такое? Это программа, которая имитирует компьютер, но он виртуальный. Вот в него можно установить виндовс, добавить жесткий диск или удалить, задать количество ядер процессора, указать обьем оперативной памяти. Понимаете? Но вот чтобы такой виртуальный комп работал шустро, то нужно некий виртуальный доступ к процессору, вот для обеспечения этого доступа технология Intel Virtualization Technology и нужна

Как вы уже поняли, данная технология встречается у процов Intel, но у AMD также есть своя, называется она AMD-V и это примерно тоже самое что и у Intel. Виртуальные машины без этой технологии будут работать жутко медленно. Вообще Intel Virtualization Technology подразделяется на две части, это VT-x и VT-d, то есть если вы увидите такие обозначения, то теперь знаете что это. О том что такое VT-x и VT-d я уже писал вот здесь, так что велкам читать.

Технология виртуализации может улучшить производительность вашего компьютера и позволит Nox App Player работать более плавно и быстро.

1. Поддерживает ли ваш компьютер технологию виртуализации (Virtualization Technology,VT)?

Для того, чтобы проверить, может ли ваш компьютер поддерживать VT, просто скачайте LeoMoon CPU-V . Это не только обнаружит, может ли ваш процессор поддерживать виртуализацию аппаратных средств, но и обнаружит, Hardware Virtualization включен в BIOS или нет.

Если результат проверки показывает зеленую галочку под VT-х Поддерживаемый, это означает, что ваш компьютер поддерживает виртуализацию. Если это красный крестик, то ваш компьютер не поддерживает VT, но вы все еще может установить Nox при требованиях по установке.

1.Если результат проверки показывает зеленую галочку под VT-х включен, то это означает, что VT уже включена в вашем BIOS. Если это красный крестик, то выполните следующие действия, чтобы включить.

2.Определите свой тип BIOS: Нажмите Win + R, чтобы открыть «Run» окно, напечатайте «DXDiag» и кликните кнопку «OK». После этого вы увидите информацию BIOS, как показано на рисунке ниже.

3.Тогда найдите в Google что именно нужно сделать, чтобы включить VT для этого конкретного BIOS. Обычно чтобы ввести BIOS надо нажинать определенную клавишу несколько раз, когда ваш компьютер загружается. Назначенная клавиша может быть любой функциональной клавишей или клавишей ESC в связи с маркой вашего компьютера. После входа в режим BIOS, обратите внимание на VT-х, Intel Virtual Technology или что-нибудь подобное, которое говорит «Виртуальный», и включите его. После этого, выключите компьютер, затем снова включите его. Теперь виртуализация включена и производительность Nox App Player стала еще лучше.

Внимание!!!

1. Если вы работаете в Windows 8 или Windows 10, может быть конфликт между VT и технологией Microsoft Hyper-V. Пожалуйста, отключите Hyper-V, выполнив следующие действия: перейдите к панели управления-> Программы и Компоненты-> Включение или выключение функций Windows > уберите галочку перед Hyper-V.

• 2.Если VT включена в BIOS, но результат проверки LeMoon все еще показывает красный крестик под VT-х Enabled, то большая возможность, что ваш антивирус блокирует эту функцию. Для примера возьмем антивирус Avast! Что нужно сделать, чтобы решить эту проблему:

1)Откройте антивирус Avast >> Настройки >> Исправление проблем(troubleshooting)

2)Снимите отметку с Включить виртуализацию с аппаратным обеспечением, затем перезагрузите компьютер.

Post Views: 147 286

Напрямую. Гостевая система не зависит от архитектуры хостовой платформы и реализации платформы виртуализации.

Аппаратная виртуализация обеспечивает производительность, сравнимую с производительностью невиртуализованной машины, что дает виртуализации возможность практического использования и влечет её широкое распространение. Наиболее распространены технологии виртуализации Intel -VT и AMD -V.

Intel VT (Intel Virtualization Technology)

VT-x

Ранее известная под кодовым названием «Vanderpool», VT-x представляет собой технологию виртуализации Intel на платформе x86. 13 ноября 2005 года Intel выпустила две модели Pentium 4 (модели 662 и 672), которые стали первыми процессорами, поддерживающими VT-x. Флаг поддержки VT-x - «vmx»; в Linux проверяется командой cat /proc/cpuinfo , в Mac OS X - sysctl machdep.cpu.features .

Intel начала включать технологию виртуализации Extended Page Table (EPT) для страничных таблиц , начиная с процессоров архитектуры Nehalem , выпущенных в 2008 году .

Начиная с архитектуры Haswell , объявленной в 2013 году, Intel начала включать затенение VMCS - технологию, ускоряющую вложенную виртуализацию гипервизоров . VMCS - структура управления виртуальной машины (virtual machine control structure) - структура данных в памяти, существующая в точности в одном экземпляре на одну виртуальную машину и управляемая гипервизором. С каждым изменением контекста выполнения между разными ВМ структура данных VMCS восстанавливается для текущей виртуальной машины, определяя состояние виртуального процессора ВМ. Если используется больше гипервизора или используются вложенные гипервизоры, необходимо многократное затенение VMCS. Аппаратная поддержка затенения делает управление VMSC более эффективным.

VT-d

VT-d (Virtualization technology for directed I/O) - технология виртуализации ввода-вывода, созданная корпорацией Intel в дополнение к её технологии виртуализации вычислений (), известной под кодовым названием Vanderpool. Виртуализация ввода-вывода позволяет пробрасывать (pass-through) устройства на шине PCI (и более современных подобных шинах) в гостевую ОС , таким образом, что она может работать с ним с помощью своих штатных средств . Чтобы такое было возможно, в логических схемах системной платы используется специальное устройство управления памятью ввода-вывода (IOMMU), работающее аналогично MMU центрального процессора, используя таблицы страниц и специальную таблицу отображения DMA (DMA remapping table - DMAR), которую гипервизор получает от BIOS через ACPI . Отображение DMA необходимо, поскольку гипервизор ничего не знает о специфике работы устройства с памятью по физическим адресам, которые известны лишь драйверу. С помощью DMAR он создает таблицы отображения таким образом, что драйвер гостевой ОС видит виртуальные адреса IOMMU аналогично тому, как бы он видел физические без него и гипервизора.

Intel Virtualization Technology for Directed I/O (VT-d) - это следующий важный шаг на пути к всеобъемлющей аппаратной поддержке виртуализации платформ на базе Intel. VT-d расширяет возможности технологии Virtualization Technology (VT), существующей в IA-32 (VT-x) и Itanium (VT-i), и добавляет поддержку виртуализации новых устройств ввода-вывода.

Поддержка аппаратным обеспечением

Поддержка программным обеспечением

• Гипервизор Xen поддерживает DMAR начиная с версии 3.3 для аппаратно-виртуализуемых доменов. Для паравиртуальных доменов отображение DMA не требуется.
• В ближайшем будущем заявлена поддержка технологии ПО Oracle VirtualBox .
• Ядро Linux экспериментально поддерживает DMAR начиная с версии 2.6.28, что позволяет встроенному гипервизору (kvm) давать доступ виртуальным машинам к PCI-устройствам.
• Поддержка Intel VT-d есть в Parallels Workstation 4.0 Extreme и в Parallels Server 4 Bare Metal