Ich habe noch kein System gefunden, dessen Standardkonfiguration MMU und gerichtete E / A-Virtualisierung aktiviert. Dies erfordert häufig einen Neustart und einen Zugriff auf das BIOS, um es zu aktivieren, z. B. 64-Bit-Unterstützung auf Ihren VMs.
Gibt es eine Art erheblichen Prozessor-Overhead, der auftritt, wenn dieser aktiviert ist und Sie keine Virtualisierung verwenden? Wenn nicht, warum ist es dann standardmäßig deaktiviert?
Antworten:
Vor einiger Zeit gab es einige Proof-of-Concept-Rootkits wie Blue Pill , die ein System mit eingeschaltetem VT besitzen könnten. Nach dieser Entdeckung begannen die meisten Anbieter, ihre Einheiten aus Sicherheitsgründen mit deaktiviertem VT zu versenden.
Bei allen von uns gekauften Server Blades ist die Virtualisierung standardmäßig aktiviert. Dies kann daran liegen, dass unser Anbieter eine kommerzielle Entscheidung getroffen hat, um so viele Supportanrufe einzusparen.
Es wird nicht aufgrund eines Prozessortreffers deaktiviert, sondern je nachdem, wofür es verwendet wird. Es ist möglicherweise standardmäßig deaktiviert, da das Aktivieren dieser Funktionen den Peripheriezugriff beeinträchtigen kann.
Beachten Sie, dass nach diesem anderen Thread, es scheint auch einen gewissen Einfluss auf Leistungen haben https://superuser.com/questions/545101/why-does-hp-recommend-that-i-keep-hardware-virtualization-off
Es scheint mir relevant zu sein, da der reduzierte Befehlssatz effizienter ist. Ich hätte einfach nicht gedacht, dass das Ändern einer BIOS-Option dies direkt beeinflussen könnte.
Ich habe keine Ahnung, ob die Auswirkungen erheblich sind oder nicht, aber angesichts dieser und der potenziellen Sicherheitslücke ist es für mich eine gute Wahl, ein so selten verwendetes Feature standardmäßig zu deaktivieren.
Ein weiterer Grund ist, dass die meisten Benutzer-Kernelfunktionen (wie gettimeofday) in VDSO verschoben werden.
Manchmal kann dieser schnelle Pfad unter Virtualisierung nicht aktiviert werden.
Das System kann also nicht:
Erzielen Sie die schnelle Ausführung dieser Funktionen
Vermeiden Sie teuren Wechsel vom Userland zum Kernel und kehren Sie zurück
Zusätzlich zu den in der Antwort von @MDMarra angesprochenen Sicherheitsbedenken sollten Sie zwei weitere Punkte berücksichtigen:
Für alle aktivierten, optionalen Funktionen ist die Wahrscheinlichkeit gering, dass sie unangenehme und unerwartete Wechselwirkungen mit anderen Funktionen aufweisen und eine zusätzliche Validierung erfordern. PC - Hersteller hassen Ressourcen auf selten genutzte Funktionen zu verbringen, und clientseitige Virtualisierung ist einer von ihnen.
Ich vermute sehr, dass Intel Basic Client Firmware / BIOS Blob aufgrund von # 1 VT deaktiviert hat. Jeder Anbieter, der einen VT-fähigen Client ausliefert, muss diese Option bei der Vorbereitung der Firmware anpassen.
Das heißt, wir sind jetzt im Jahr 2019; Ich sehe mehr Clients mit standardmäßig aktiviertem VT. Server sind eine ganz andere Sache: Ich fand VT nicht nur immer aktiviert, sondern VT-d ist auch oft aktiv.