openEuler 上 Intel 虚拟化实战：KVM、VT-d 直通与性能调优

虚拟化这摊事儿说简单也简单说复杂能让人折腾一整天。openEuler 作为企业级服务器操作系统在 Intel 平台上跑虚拟化底子其实是现成的——Linux 内核自带 KVMIntel 又贡献了 VT-x、VT-d、SR-IOV 这一整套硬件辅助虚拟化能力。但能跑和跑得好之间差的是对内核参数、CPU 特性暴露、设备直通、NUMA 亲和性这些细节的理解。这篇内容就是把我自己在 openEuler Intel 平台上折腾虚拟化的经验整理出来从 CPU 虚拟化扩展的识别到 KVM 模块的加载再到 virt-manager 和 virsh 的实操最后聊几个实际踩过的坑。适合已经在用 openEuler 做服务器、想在上面跑 KVM 虚拟化或者正准备从别的发行版迁移过来的朋友。不管你是刚接触虚拟化的新手还是想深挖 Intel VT-d 直通细节的老手下面这些内容应该都能对上你的需求。1. 先搞清楚 openEuler 在 Intel 平台上的虚拟化家底1.1 Intel 虚拟化技术栈到底包含哪些东西很多人一提Intel 虚拟化脑子里只有一个 VT-x。实际上 Intel 在虚拟化这块铺了一整套技术矩阵openEuler 内核里对应的支持模块也各不相同。我按实际使用频率从高到低捋一遍。VT-xIntel Virtualization Technology for x86是最基础的 CPU 虚拟化扩展提供 VMX 指令集和根模式/非根模式切换。没有它KVM 只能走 QEMU 纯软件模拟性能差到没法用。判断 CPU 是否支持直接看/proc/cpuinfo里的vmx标志位就行。EPTExtended Page Tables是内存虚拟化的硬件加速对应 AMD 那边的 NPT。它让虚拟机物理地址到宿主机物理地址的转换由硬件完成省掉了影子页表的开销。openEuler 内核默认启用 EPT前提是 CPU 支持并且 BIOS 里没关。VT-dIntel Virtualization Technology for Directed I/O是 I/O 虚拟化的核心提供 DMA 重映射和中断重映射。做 PCI 设备直通比如把一块网卡或 GPU 直接给虚拟机用必须靠它。openEuler 里对应的内核模块是intel_iommu需要在启动参数里显式打开。SR-IOVSingle Root I/O Virtualization是网卡等 PCIe 设备的一种硬件虚拟化能力一个物理功能PF可以派生出多个虚拟功能VF每个 VF 能独立分配给虚拟机。Intel 的 X710、XXV710 这些网卡都支持。VT-c是网络虚拟化相关的技术集合包括 VMDq、VMDc 等主要用在数据中心场景。SGXSoftware Guard Extensions是安全隔离相关的跟传统虚拟化不是一回事但 openEuler 内核也有对应支持这里不展开。把这些技术搞清楚之后你就明白为什么有些操作需要改 BIOS、有些需要加内核参数、有些只需要装个包——它们依赖的底层能力不一样。1.2 openEuler 内核里 KVM 和 QEMU 的分工openEuler 用的是 Linux 内核虚拟化架构跟其他主流发行版一致KVM 负责 CPU 和内存的虚拟化QEMU 负责设备模拟。KVM 是内核模块加载后/dev/kvm设备节点出现用户态程序通过 ioctl 跟它交互。QEMU 是用户态进程模拟磁盘、网卡、USB 这些设备同时调用 KVM 的接口让虚拟机代码直接在物理 CPU 上跑。openEuler 的内核包kernel里已经编译了 KVM 相关模块但默认不一定全部加载。你可以用lsmod | grep kvm看一下通常能看到kvm和kvm_intel两个模块。如果没加载modprobe kvm_intel手动加载即可。这里有个容易忽略的点openEuler 不同版本的内核版本差异比较大。比如 openEuler 20.03 LTS 用的是 4.19 内核22.03 LTS 是 5.1024.03 LTS 是 6.6。内核版本直接影响 KVM 的功能特性和 QEMU 的兼容性。我在 22.03 上跑得好好的配置迁到 20.03 上可能就因为内核接口差异出问题。所以做虚拟化之前先uname -r确认内核版本再对照 openEuler 官方文档确认该版本的虚拟化支持矩阵。1.3 硬件和固件层面的前置检查在 openEuler 上装虚拟化之前有几项硬件和固件检查必须做否则后面会莫名其妙失败。第一确认 CPU 支持 VT-x 和 VT-d。VT-x 看/proc/cpuinfo的vmx标志VT-d 看dmesg | grep -i dmar有没有 DMAR 相关输出。如果 dmesg 里完全没有 DMAR 信息大概率是 BIOS 里 VT-d 没开或者主板根本不支持。第二进 BIOS 打开虚拟化相关选项。不同主板叫法不一样常见的有 Intel Virtualization Technology、VT-x、Vanderpool、Intel VT for Directed I/O、VT-d。有些服务器主板还有 SR-IOV Support 需要单独打开。这些选项默认往往是关闭的尤其是消费级主板。第三确认内核启动参数。做设备直通必须加intel_iommuon有些场景还需要iommuptpassthrough 模式减少 DMA 重映射开销。openEuler 用 GRUB2改/etc/default/grub里的GRUB_CMDLINE_LINUX然后grub2-mkconfig -o /boot/grub2/grub.cfg重新生成配置重启生效。第四检查 IOMMU 分组。ls /sys/kernel/iommu_groups/能看到分组情况每个组里的设备必须一起直通。如果一块网卡和别的设备分在同一个组直通就会失败。这时候要么换 PCIe 插槽要么用 ACS 补丁比较折腾要么放弃直通。提示openEuler 服务器版默认可能没装图形界面如果你习惯用 virt-manager 图形化管理需要额外装 UKUI 或 GNOME 桌面环境再装 virt-manager。纯命令行的话 virsh 就够了功能一点不少。2. 在 openEuler 上把 KVM 虚拟化环境搭起来2.1 安装虚拟化相关的软件包openEuler 的软件源里虚拟化相关的包挺全的核心是这几个# 安装虚拟化核心组件 dnf install -y qemu-kvm qemu-img libvirt libvirt-daemon libvirt-client # 安装管理工具 dnf install -y virt-install virt-manager virt-viewer # 安装网络和存储相关 dnf install -y bridge-utils libguestfs-tools这里解释一下每个包的作用。qemu-kvm是 QEMU 的 KVM 加速版本提供/usr/libexec/qemu-kvm这个可执行文件。qemu-img是磁盘镜像管理工具创建、转换、快照都靠它。libvirt是虚拟化管理 API 层libvirtd守护进程负责管理所有虚拟机。virt-install是命令行创建虚拟机的工具virt-manager是图形界面。bridge-utils用来配网桥虚拟机网络桥接模式需要它。装完之后启动 libvirtdsystemctl enable --now libvirtd systemctl status libvirtd确认服务正常后virsh list --all应该能正常输出哪怕列表是空的。2.2 验证 KVM 是否真正可用装完包不代表 KVM 就能用得实际验证一下。最直接的方法是看/dev/kvm是否存在ls -l /dev/kvm正常应该显示crw-rw-rw-权限属主是 root。如果这个设备节点不存在说明 KVM 模块没加载或者 CPU 不支持。再用kvm-ok工具检查openEuler 里可能需要装cpu-checker包或者直接用下面的方法# 检查 CPU 虚拟化标志 grep -E vmx|svm /proc/cpuinfo | head -1 # 检查 KVM 模块 lsmod | grep kvm # 检查内核是否支持 dmesg | grep -i kvm如果grep vmx有输出lsmod能看到kvm_inteldmesg里没有报错那基本就没问题了。还有一个容易被忽略的检查嵌套虚拟化。如果你要在 openEuler 虚拟机里再跑虚拟机比如做实验环境需要打开嵌套虚拟化# 临时开启 modprobe -r kvm_intel modprobe kvm_intel nested1 # 永久开启 echo options kvm_intel nested1 /etc/modprobe.d/kvm.conf验证是否开启cat /sys/module/kvm_intel/parameters/nested返回Y或1就对了。2.3 用 virt-install 创建第一台虚拟机环境验证通过后就可以创建虚拟机了。我习惯用virt-install命令行因为参数明确、可复现、方便写脚本。下面是一个创建 CentOS Stream 9 虚拟机的完整例子virt-install \ --name test-vm01 \ --memory 4096 \ --vcpus 4 \ --cpu host-passthrough \ --disk path/var/lib/libvirt/images/test-vm01.qcow2,size40,formatqcow2,busvirtio \ --network bridgebr0,modelvirtio \ --graphics vnc,listen0.0.0.0,port5901 \ --os-variant centos-stream9 \ --cdrom /var/lib/libvirt/images/CentOS-Stream-9-latest-x86_64-dvd1.iso \ --boot cdrom,hd逐条解释关键参数。--cpu host-passthrough让虚拟机看到跟宿主机完全一样的 CPU 特性性能最好也支持嵌套虚拟化。--disk里的busvirtio用 virtio 磁盘驱动比 IDE 或 SATA 快得多。--network bridgebr0走网桥虚拟机跟宿主机在同一网段modelvirtio同样是高性能网卡驱动。--graphics vnc开 VNC 方便安装时看画面。创建完成后用virsh list能看到虚拟机在运行virsh vncdisplay test-vm01能拿到 VNC 端口用 VNC 客户端连上去完成系统安装。2.4 网桥配置虚拟机网络连通的关键上面用了br0网桥这个需要提前配好。openEuler 的网络管理有几种方式NetworkManager、network-scripts、nmcli 都行。我习惯用 nmcli因为命令直观。假设物理网卡是ens33配一个网桥# 创建网桥 nmcli connection add type bridge ifname br0 con-name br0 # 把物理网卡加入网桥 nmcli connection add type ethernet ifname ens33 con-name br0-slave master br0 # 配置网桥 IP按你的实际网络改 nmcli connection modify br0 ipv4.addresses 192.168.1.100/24 nmcli connection modify br0 ipv4.gateway 192.168.1.1 nmcli connection modify br0 ipv4.dns 223.5.5.5 nmcli connection modify br0 ipv4.method manual # 启用 nmcli connection up br0 nmcli connection up br0-slave配好之后ip addr show br0应该能看到 IPbrctl show能看到 ens33 挂在 br0 下面。这时候虚拟机用 bridge 模式就能直接拿到同网段的 IP。注意如果你是通过 SSH 远程操作 openEuler 服务器改网桥的时候一定要小心网卡一断 SSH 就掉了。建议先在本地控制台或者带外管理IPMI/BMC里操作或者用nmcli的--temporary选项先测试。3. Intel VT-d 设备直通从 IOMMU 分组到实际分配3.1 打开 IOMMU 并确认分组情况设备直通是 Intel 虚拟化里最有价值也最容易踩坑的部分。核心前提是 IOMMU 必须打开而且设备要能独立分组。先确认内核启动参数里有intel_iommuoncat /proc/cmdline | grep iommu如果没有编辑/etc/default/grub在GRUB_CMDLINE_LINUX里加上intel_iommuon iommupt然后grub2-mkconfig -o /boot/grub2/grub.cfg reboot重启后检查 IOMMU 是否生效dmesg | grep -i iommu ls /sys/kernel/iommu_groups/ | wc -l如果 IOMMU 分组数量大于 0说明生效了。接下来看具体设备的分组#!/bin/bash for g in $(find /sys/kernel/iommu_groups/* -maxdepth 0 -type d | sort -V); do echo IOMMU Group ${g##*/}: for d in $g/devices/*; do echo -e \t$(lspci -nns ${d##*/}) done done这个脚本会把每个 IOMMU 组里的设备列出来。理想情况是一块网卡独占一个组直接就能直通。如果一块网卡跟别的设备比如另一个 PCIe 设备或者板载设备分在同一个组那就没法单独直通。3.2 用 vfio-pci 绑定设备确认设备能独立分组后需要把设备从原驱动解绑绑定到vfio-pci驱动这样宿主机就不会占用它虚拟机才能接管。以一块 Intel X710 网卡假设 PCI 地址是0000:03:00.0和0000:03:00.1两个口为例# 查看设备当前驱动 lspci -k -s 03:00.0 # 解绑原驱动假设是 i40e echo 0000:03:00.0 /sys/bus/pci/devices/0000:03:00.0/driver/unbind # 绑定 vfio-pci echo 8086 1572 /sys/bus/pci/drivers/vfio-pci/new_id8086是 Intel 的厂商 ID1572是 X710 的设备 ID用lspci -nns 03:00.0能查到。这种方法重启后会失效要永久生效得写进配置# /etc/modprobe.d/vfio.conf options vfio-pci ids8086:1572 # 确保 vfio-pci 在 i40e 之前加载 # /etc/modprobe.d/blacklist.conf blacklist i40e或者用更优雅的方式通过driverctl工具dnf install -y driverctl driverctl set-override 0000:03:00.0 vfio-pci driverctl set-override 0000:03:00.1 vfio-pcidriverctl的好处是配置持久化重启后自动生效而且不用手动算 vendor/device ID。3.3 把直通设备挂给虚拟机设备绑定到 vfio-pci 后就可以在虚拟机 XML 里加上 hostdev 配置了。用virsh edit test-vm01编辑在devices段里加hostdev modesubsystem typepci managedyes source address domain0x0000 bus0x03 slot0x00 function0x0/ /source /hostdevmanagedyes让 libvirt 自动处理设备解绑和重新绑定省心。改完保存virsh shutdown再virsh start虚拟机直通设备不能热插必须重启虚拟机。进虚拟机后用lspci应该能看到这块网卡装好驱动就能用了。性能上直通网卡基本能跑到物理网卡线速的 90% 以上比 virtio 网桥模式高不少延迟也低。3.4 SR-IOV一块网卡虚拟出多个 VF如果不想把整块网卡给一台虚拟机可以用 SR-IOV。以 Intel X710 为例先确认网卡支持 SR-IOVlspci -vvv -s 03:00.0 | grep -i Single Root I/O有输出就支持。然后创建 VF# 创建 4 个 VF echo 4 /sys/class/net/ens1f0/device/sriov_numvfs # 确认 VF 出现 lspci | grep -i virtual function ip link show ens1f0每个 VF 会作为一个独立的 PCI 设备出现可以单独分配给虚拟机。VF 的 PCI 地址用lspci能看到然后按上面 hostdev 的方式挂给虚拟机。永久生效需要写进配置不同网卡驱动方式不一样。i40e 驱动可以在/etc/modprobe.d/i40e.conf里加options i40e max_vfs4但更推荐用 systemd service 在启动后执行sriov_numvfs写入。提示SR-IOV 的 VF 数量受网卡硬件限制X710 最多 128 个 VF但实际能创建多少还受 PCIe 资源、IOMMU 分组等影响。创建太多 VF 可能导致宿主机资源紧张按实际需求来。4. CPU 和内存的精细调优让虚拟机跑得更接近物理机4.1 CPU 模型选择host-passthrough 还是 host-modelvirt-install的--cpu参数有几个选项实际用下来差异很大。host-passthrough把宿主机的 CPU 特性原样暴露给虚拟机性能最好支持嵌套虚拟化但虚拟机迁移到不同 CPU 的宿主机时会失败。适合单机跑、不迁移的场景。host-model是 libvirt 根据宿主机 CPU 生成一个接近的模型兼容性比 passthrough 好迁移时更安全但会屏蔽一些新特性。适合集群环境。custom模式可以手动指定 CPU 特性比如--cpu custom,featuresvmx,aes精细控制。适合有特殊需求的场景。我自己的经验是单机测试和性能敏感场景用 host-passthrough生产集群用 host-model。如果集群里 CPU 型号不一致host-model 也可能出问题那就得用 custom 手动对齐特性集。查看虚拟机实际看到的 CPUvirsh dumpxml test-vm01 | grep -A5 cpu # 或者在虚拟机里 lscpu4.2 NUMA 亲和性多路服务器上的性能关键在双路或四路服务器上NUMA 亲和性对虚拟机性能影响巨大。如果虚拟机的 vCPU 跨 NUMA 节点调度内存访问延迟会翻倍。先看宿主机的 NUMA 拓扑numactl --hardware lscpu | grep NUMA假设是双路node 0 和 node 1 各有一些 CPU 核心和内存。创建虚拟机时把 vCPU 和内存绑定到同一个 NUMA 节点vcpu placementstatic4/vcpu cputune vcpupin vcpu0 cpuset0/ vcpupin vcpu1 cpuset1/ vcpupin vcpu2 cpuset2/ vcpupin vcpu3 cpuset3/ /cputune numatune memory modestrict nodeset0/ /numatunevcpupin把 vCPU 绑定到物理核心numatune把内存绑定到 NUMA 节点。modestrict表示严格绑定内存只在指定节点分配。virt-install也支持这些参数virt-install \ --cpuset0-3 \ --numatune 0 \ ...实测下来NUMA 绑定后虚拟机的内存带宽能提升 20%-40%数据库类负载尤其明显。4.3 大页内存减少 TLB miss 的利器虚拟机内存用大页HugePages能显著减少 TLB miss提升内存密集型应用性能。openEuler 支持 2MB 和 1GB 两种大页。配置 2MB 大页# 查看当前大页 cat /proc/meminfo | grep Huge # 分配 4096 个 2MB 大页共 8GB echo 4096 /proc/sys/vm/nr_hugepages # 永久生效 echo vm.nr_hugepages 4096 /etc/sysctl.conf虚拟机 XML 里启用memoryBacking hugepages/ /memoryBacking1GB 大页需要在启动参数里预留default_hugepagesz1G hugepagesz1G hugepages41GB 大页的好处是 TLB 覆盖范围更大但分配需要连续内存启动时预留更可靠。注意大页内存是预分配的分配了就不会被其他进程使用。如果分配过多导致宿主机内存不足可能影响系统稳定性。建议按虚拟机实际需求分配留足宿主机自身用的内存。4.4 vCPU 超配的边界在哪里vCPU 超配overcommit是虚拟化的常见做法但超配比例有讲究。经验值是vCPU 总数不超过物理核心数的 2-3 倍具体看负载类型。CPU 密集型负载如编译、科学计算超配比例要低1:1 到 1:1.5 比较安全。I/O 密集型负载如 Web 服务可以超配到 1:3 甚至更高因为 vCPU 大部分时间在等 I/O。监控超配是否过度# 看宿主机 CPU 使用率 top # 看虚拟机的 CPU steal time被宿主机抢走的时间 virsh domstats test-vm01 --cpu-total如果虚拟机的 steal time 持续超过 5%说明宿主机 CPU 资源紧张该减少超配了。5. 实际踩过的坑和排查思路5.1 虚拟机启动报 KVM: not found 或权限错误这个错误通常有两个原因。一是/dev/kvm不存在说明 KVM 模块没加载或 CPU 不支持按前面 2.2 节的方法检查。二是权限问题/dev/kvm的属组不对libvirt 进程没权限访问。检查ls -l /dev/kvm # 正常应该是 crw-rw-rw- 1 root kvm如果属组不是 kvm或者权限不对chown root:kvm /dev/kvm chmod 666 /dev/kvm但更根本的是确认kvm模块加载时有没有报错dmesg | grep -i kvm看具体信息。有些 CPU 虽然支持 VT-x但 BIOS 里关了模块加载会失败。5.2 设备直通后虚拟机启动失败IOMMU 分组问题这个坑我踩过好几次。现象是虚拟机启动时报 Failed to assign device 或者直接卡住。原因通常是设备所在的 IOMMU 组里有其他设备被宿主机占用。排查步骤# 找到设备的 IOMMU 组 readlink /sys/bus/pci/devices/0000:03:00.0/iommu_group # 列出组里所有设备 ls /sys/kernel/iommu_groups/XX/devices/如果组里有多个设备而且其中某个被宿主机驱动占用直通就会失败。解决办法换 PCIe 插槽让设备独占一个 IOMMU 组把组里所有设备都绑定到 vfio-pci如果它们都不需要宿主机用如果主板支持 ACSAccess Control Services在 BIOS 里打开能改善分组实在不行放弃直通用 virtio 或 SR-IOV 替代5.3 网桥配好后虚拟机不通网网桥配好、虚拟机也起来了但 ping 不通外网。常见原因有几个。STP 问题网桥默认可能开了 STP生成树协议导致转发延迟。关掉nmcli connection modify br0 bridge.stp no nmcli connection up br0防火墙问题openEuler 默认的 firewalld 可能拦截了网桥流量。检查firewall-cmd --zonetrusted --add-interfacebr0 --permanent firewall-cmd --reloadIP 转发没开sysctl net.ipv4.ip_forward # 如果是 0打开 echo net.ipv4.ip_forward 1 /etc/sysctl.conf sysctl -p网桥和物理网卡 IP 冲突物理网卡加入网桥后它的 IP 应该清掉IP 配在网桥上。如果两个都有 IP路由会乱。5.4 虚拟机磁盘性能差缓存模式选错了virt-install创建磁盘时cache参数默认是none但很多人不知道这个参数对性能影响很大。缓存模式安全性性能适用场景none高中生产环境数据安全优先writethrough高低对数据一致性要求极高writeback中高测试环境性能优先unsafe低最高临时测试可丢数据directsync最高最低极端安全场景我一般生产环境用none配合 virtio 驱动和 qcow2 格式性能已经不错。测试环境用writeback提升性能。unsafe只在临时实验时用宿主机一崩数据就没了。改缓存模式virsh edit test-vm01 # 在 disk 里改 cachenone 或 cachewriteback5.5 虚拟机时间不准时钟源配置虚拟机跑久了时间漂移尤其是负载高的时候。这跟时钟源配置有关。宿主机确认时钟源cat /sys/devices/system/clocksource/clocksource0/current_clocksource # 推荐 kvm-clock 或 tsc虚拟机 XML 里配置clock offsetutc timer namekvmclock presentyes/ timer namehpet presentno/ timer namepit tickpolicydelay/ timer namertc tickpolicycatchup/ /clockkvmclock是 KVM 提供的半虚拟化时钟精度高、开销低。hpet和pit这些传统时钟源在虚拟机里容易出问题建议关掉或设成合适的 tickpolicy。虚拟机里装chrony或systemd-timesyncd做时间同步双保险。6. 性能验证与日常运维的几个实用命令6.1 用 perf 和 virt-top 看虚拟化开销虚拟化不是零成本的CPU 指令要经过 VM exit/entry内存要经过 EPT 转换I/O 要经过 QEMU 模拟。这些开销用工具能看出来。virt-top是专门看虚拟机资源占用的工具dnf install -y virt-top virt-top它显示每台虚拟机的 CPU、内存、磁盘、网络使用率比top直观。perf kvm能看 KVM 层面的性能事件perf kvm stat live # 或者针对特定虚拟机 perf kvm --guest stat record -a sleep 10 perf kvm --guest stat report能看到 VM exit 的原因分布比如 EPT violation、I/O instruction、MSR access 等。如果 VM exit 次数异常高说明有性能瓶颈可能是设备模拟开销大或者 CPU 特性没暴露好。6.2 虚拟机快照和备份的正确姿势qcow2 格式支持内部快照但生产环境我更推荐外部快照或者直接备份镜像文件。内部快照virsh snapshot-create-as test-vm01 snap1 before upgrade virsh snapshot-list test-vm01 virsh snapshot-revert test-vm01 snap1内部快照方便但有个坑快照链太长会影响性能而且快照文件跟原镜像耦合迁移麻烦。外部快照推荐virsh snapshot-create-as test-vm01 snap1 --disk-only --atomic外部快照会创建一个新的 qcow2 文件作为当前写入层原镜像变成只读。备份时把原镜像和快照文件一起拷走。最稳妥的备份方式是冷备份关掉虚拟机直接cp或rsync镜像文件。配合qemu-img convert压缩qemu-img convert -O qcow2 -c /var/lib/libvirt/images/test-vm01.qcow2 /backup/test-vm01-compressed.qcow2-c开启压缩能省不少空间但转换时间会长一些。6.3 虚拟机迁移同平台和跨平台openEuler 上虚拟机迁移分冷迁移和热迁移。冷迁移简单关掉虚拟机把镜像和 XML 拷到目标机virsh define再启动就行。热迁移在线迁移要求源和目标共享存储或者用块迁移。基本命令virsh migrate --live --verbose test-vm01 qemussh://target-host/system热迁移成功的关键是 CPU 兼容性。源和目标的 CPU 特性必须一致否则迁移会失败。用host-model或者手动对齐 CPU 特性集能提高成功率。跨版本迁移比如从 openEuler 20.03 迁到 22.03要特别注意 QEMU 和 libvirt 版本差异机器类型machine type可能不兼容。建议先在测试环境验证。6.4 日常巡检该看哪些指标跑虚拟化的服务器日常巡检我固定看这几个# 虚拟机列表和状态 virsh list --all # 宿主机资源 free -h top -bn1 | head -20 # IOMMU 分组确认直通设备正常 ls /sys/kernel/iommu_groups/ | wc -l # 大页使用 cat /proc/meminfo | grep Huge # 网桥状态 brctl show # libvirt 日志 journalctl -u libvirtd --since 1 hour ago这些命令组合起来基本能覆盖虚拟化环境的健康状态。如果发现虚拟机无故重启、直通设备丢失、大页分配失败日志里通常有线索。提示openEuler 的日志用 journalctl 看libvirt 的日志在/var/log/libvirt/下qemu 的日志在/var/log/libvirt/qemu/下。排查虚拟机启动问题时这两个目录的日志比 dmesg 更有针对性。7. 关于 openEuler 虚拟化的一些个人体会折腾 openEuler 上的 Intel 虚拟化也有段时间了有几个感受挺深。openEuler 作为企业级发行版内核和虚拟化组件的稳定性确实不错长期跑下来没遇到过内核 panic 或者 KVM 模块崩溃的情况。但它的文档和社区资料相比主流发行版还是少一些很多问题得自己看源码或者翻邮件列表。Intel 平台的优势在于硬件辅助虚拟化成熟VT-x、VT-d、SR-IOV 这套组合拳打下来虚拟机的性能能跑到物理机的 90% 以上某些场景比如网络直通甚至接近 100%。代价是配置复杂度高IOMMU 分组、vfio 绑定、NUMA 亲和性这些细节一个没弄对性能就打折扣。我的建议是先把基础环境跑通再逐步加高级特性。别一上来就搞设备直通和 NUMA 绑定先用 virtio 把虚拟机跑起来确认网络、存储、CPU 都正常再一个一个加直通设备、调 NUMA、配大页。每加一个特性就测一次性能这样出问题容易定位。还有一点测试环境跟生产环境尽量保持一致。openEuler 版本、内核版本、QEMU 版本、CPU 型号这些差异都可能导致配置不通用。我在测试环境调好的直通配置到生产环境因为主板不同、IOMMU 分组不一样又得重新调。所以有条件的话生产环境变更前先在同等配置的测试机上验证一遍。最后虚拟化这东西性能调优没有银弹。host-passthrough 不一定比 host-model 快writeback 不一定比 none 好关键看你的负载类型和优先级。多测、多看监控、多对比才能找到适合自己场景的配置。