3.4.2 超管理器模式与 IOMMU

文档摘要

3.4.2 超管理器模式与 IOMMU 在虚拟化世界的底层疆域，有一道看不见的防火墙——它不拦截网络流量，不扫描恶意代码，却能决定一块PCIe设备能否向某台虚拟机写入一个字节的DMA数据；它不运行在用户空间，甚至不驻留在内核态常规路径中，而是蛰伏于芯片组深处，在CPU发出指令的同一纳秒，悄然完成地址翻译与权限裁决。这道墙，就是IOMMU（Input-Output Memory Management Unit）；而它的守门人，则是运行在最高特权级的超管理器（Hypervisor）——不是作为“操作系统之上的操作系统”，而是作为物理内存与I/O地址空间的终极仲裁者，以毫微秒级的确定性，将虚拟机对设备的狂野访问，驯服为受控、隔离、可审计的确定性行为。