Introduzione. Virtualizzazione. Fabio Proietti (c) 2014 Licenza:

Transcript

1 Introduzione I moderni elaboratori offrono prestazioni hardware elevate, come CPU multicore e svariati GB di RAM. Nelle aziende tali macchine hanno un elevato costo e devono essere utilizzate con un carico di lavoro bilanciato per evitare di sprecare inutilmente delle risorse. La cosa migliore sarebbe quella di eseguire più applicazioni di diversi utenti clienti sulla stessa macchina, suddividendo la quantità di RAM e di CPU disponibile per ogni applicazione, senza dimenticare l'attenzione per la sicurezza e la robustezza del sistema relativamente ai bug dei software. Questo tipo di soluzione può essere ottenuta con un software di livello "superiore" alle normali applicazioni che permette di controllare l'hardware e di eseguire diversi sistemi operativi contemporaneamente. Virtualizzazione In italiano la parola "virtuale" indica qualcosa di non reale, di immaginario. Quando si parla di virtualizzazione hardware (platform virtualization) si lavora usando due principali tipi di software: emulator e hypervisor [hai'pə: 'vaizə*]. Una definizione semplificata potrebbe essere la seguente: I software emulatori consentono di emulare un hardware che non è necessariamente presente sulla macchina fisica, ad esempio, possono emulare una CPU diversa da quella effettivamente presente per poter eseguire un file binario che era destinato ad un'altra architettura hardware. I software hypervisor offrono la possibilità di aggiunegere un ulteriore livello di controllo sull'hardware effettivamente presente, per gestire in modo più sicuro, flessibile ed efficiente il software. Si vedrà che i due tipi di software possono coesistere e lavorare contemporaneamente, nel senso che ci sono alcuni hypervisor che offrono anche la funzionalità di un emulator.

2 Hypervisor Questo tipo di virtualizzazione permette di creare macchine virtuali, cioè di simulare (tramite un software chiamato proprio hypervisor) il comportamento di un'intera macchina fisica. Questo consente all'utente di utilizzare più macchine virtuali su una singola macchina fisica. Definizioni host (letteralmente oste) è la macchina ospitante guest (ospite) è la macchina virtuale ospitata presso l'host (ne possono essere ospitate più di una) La seguente figura mostra la gerarchia della relazione tra host e guest. Sulla macchina fisica ospitante (host) è eseguito un sistema operativo principale (anche lui host). Su ogni macchina virtuale (guest) può essere eseguto un diverso sistema operativo (anche lui guest). Host e guest, quindi, sono dei termini che possono essere intesi, oltre che in senso hardware, anche in senso software, infatti, non avrebbe senso simulare una macchina virtuale se non ci fosse il bisogno di eseguirvi anche un software. L'esecuzione del software guest avviene nelle macchine virtuali, sempre sotto il controllo dell'hypervisor, chiamato anche Virtual Machine Monitor (VMM). La velocità con cui si eseguono i programmi all'interno delle macchine virtuali sono quasi sempre inferiori alla velocità che si avrebbe eseguendoli in modo "nativo" (su una macchina fisica senza virtualizzazione). Un po' di storia Negli anni '70 l'azienda IBM fu tra le prime ad installare nei propri computer mainframe dei software che potevano eseguire più sistemi operativi nello stesso momento. L'utilizzo di questi sistemi era limitato prevalentemente nell'ambito dello sviluppo dei sistemi operativi o a scopo di ricerca nelle università. Fino al 2000 circa, IBM, Sun e HP continuano a vendere alcuni sistemi Unix di classe server con virtualizzazione dell'hardware che supportano anche altri operativi guest, come FreeBSD e Linux. Nel 2005 lo sviluppo degli hypervisor è tale che Intel e AMD rilasciano i primi processori con supporto di un set di istruzioni specifico per la virtualizzazione. Se vuoi sapere se la tua CPU supporta questo set di istruzioni, in eseguire cat /proc/cpuinfo, in Mac OS X eseguire sysctl machdep.cpu.features.

3 Hardware-assisted virtualization Alcuni hypervisor prevedono l'assitenza hardware per migliorare l'efficienza della virtualizzazione, infatti, alcuni tipi di CPU prevedono istruzioni specifiche per questi compiti. Alcune CPU hanno un'estensione del set di istruzione per la virtualizzazione hardware: attualmente sono chiamate istruzioni AMD-V e Intel VT-x. Intel ha introdotto un nuovo livello di privilegio nella CPU: oltre ai quattro livelli (0,1,2,3, detti anche user mode e kernel mode) vi sono i livelli root mode e non-root mode (il primo riservato al sistema hypervisor, il secondo al guest). Inoltre nel 2012 AMD annuncia l'introduzione della gestione di interrupt per macchine virtuali: Advanced Virtual Interrupt Controller (AVIC). Intel fa lo stesso con APICV. Figura 1: ket_am3_and_amd_phenom_ii_x3 _720_Black_Edition_-_flickr_2.jpg Classificazioni per gli hypervisor (non richiesto) L'hypervisor è un software eseguito su macchina host, e gestisce questo tipo di virtualizzazione, ma ne esistono diversi tipi. Un tipo di classificazione distingue gli hypervisor in base al livello in cui vengono eseguiti questi software. Ipotizzando di assegnare all'hardware (macchina fisica) il livello zero, un hypervisor può essere di: tipo 1 (detto anche nativo o bare metal) quando l'hypervisor (VMM) si trova su un livello immediatamente sopra all'hardware e ne mantiene il controllo completo. Si contino i livelli nella figura a destra. Gli hypervisor di tipo 1 forniscono quindi anche le funzioni svolte dal sistema operativo host (che quindi viene sostituito dall'hypervisor). Esempi di hypervisor di tipo 1 sono Citrix XenServer, VMware ESX; tipo 2 (detto anche hypervisore hosted) quando al primo livello si trova un tradizionale sistema operativo (host), dentro il quale è installato l'hypervisor, come un'applicazione. L'hypervisor è all'interno del sistema operativo host e non comunica direttamente con la macchina fisica. Esempi di hypervisor di tipo 2 sono: VMware Workstation e VirtualBox. La precedente classificazione non è netta e ben definita perché esistono anche hypervisor che potrebbero sembrare di tipo 2, ma che invece sono dei moduli di un sistema operativo host, come, ad esempio, KVM (Kernel-based Virtual Machine). Quali vantaggi (e svantaggi) offrono hypervisor di tipo 1 rispetto a quelli di tipo 2?

4 Funzionamento di una virtualizzazione Cosa può fare (e cosa non può fare) un sistema guest all'interno di un sistema host? Il sistema guest è un software che viene eseguito all'interno del sistema host (apparentemente) come se avesse il completo controllo sull'hardware, mentre in realtà è il sistema host che controlla tutto. Il sistema host concede un po' l'utilizzo della CPU e riserva una certa parte della memoria perché possa essere utilizzata solo da uno dei suoi sistemi guest. Inoltre riceve anche le chiamate di sistema dai guest. Il sistema host concede ai propri sistemi guest solo delle CPU e delle memorie "virtuali". Nei moderni calcolatori, dotati di grandi risorse hardware, spesso queste sono "sprecate" perché non sono utilizzate al massimo carico a cui sarebbe possibile utilizzarle. La virtualizzazione consente di usare un computer in modo più efficiente. Il sistema guest potrebbe avere in "concessione" dall'host l'utilizzo delle porte USB o della scheda di rete (NIC) e potrebbe adottare per quest'ultima una configurazione di rete diversa da quella dell'host. L'utilizzo e l'accesso alla rete esterna (ad esempio, Internet) dipende sempre da cosa "offre" il sistema host al sistema guest. A proposito dell'accesso alla rete, la macchina potrebbe avere anche una sola scheda di rete utilizzata da diversi sistemi operativi. Questo pone il problema della separazione dei pacchetti indirizzati a diverse applicazioni su diversi sistemi operativi, che può essere risolta con la tecnica del MAC spoofing. Riassumendo Alcune tecniche utilizzate per implementare un VMM sono: binary traslation: gli eseguibili guest non sono modificati, ma sono interpretati da un software per adattarli al reale hardware presente, alla vera CPU (metodo abbastanza veloce, ma complesso) paravirtualizzazione: gli eseguibili guest sono modificati per adattarli all'hardware: il metodo è abbastanza veloce, ma il sistema guest è stato modificato. hardware-assisted virtualization: veloce, ma richiede hardware specifico

5 Immagini del disco Prerequisito: per comprendere questa parte è necessario conoscere il concetto di file system nell'ambito dei sistemi operativi. Il sistema operativo host mantiene i propri dati e programmi sul proprio hard disk. Se un secondo sistema operativo fosse installato in modo nativo nella macchina, sarebbe necessario installarlo in una nuova partizione. I dati e i programmi dei sistemi guest, invece, non hanno bisogno di una "vera" partizione, ma in una partizione virtuale, cioè sono contenuti in semplici cartelle e/o file, salvati secondo un formato oppure aperto. Per simulare la presenza di una partizione dedicata ad ogni sistema operativo guest, l'intero contenuto dei suoi file può essere "racchiuso" in un unico file, un unico archivio, chiamato "immagine" del disco. Uno dei formati più diffusi per le immagini dei dischi è il formato ISO, che è legato al file system presente in un CD e hanno estensione.iso. Un file con estensione.iso può contenere tutto quello che contiene un CD e può essere usato da un sistema operativo come se fosse un vero CD "fisico". Il vantaggio è che l'accesso al file su hard disk è più veloce rispetto a quello su lettore CD. La sostituzione di un vero CD con un file.iso è possibile perché l'immagine di un disco non contiene solo i file, ma anche i metadati che descrivono la struttura del file system (di una partizione virtuale o di un CD o di un altro dispositivo fisico). Osservazione: la parola "immagine" viene tradizionalmente usata per indicare qualcosa che può essere visualizzabile sullo schermo, ad esempio come una fotografia. Per evitare confusione, si può usare per i file system il termine "immagine del disco" oppure "disco immagine". Limitazioni Ci sono ovviamente dei limiti sulle funzioni svolte dall'host che possono essere dovute: alla sua licenza d'uso (proprietaria) a ragioni fisiche, ad esempio: massima dimensione della memoria host; massima dimensione della memoria guest; massimo numero di guest che un host può gestire; massima dimensione dell'immagine del disco di un guest. Quali di questi limiti è un limite fisico?

6 Alcuni esempi di hypervisor a confronto Le funzioni svolte sono indicate (tra parentesi) sotto il nome del software. nome bhyve (hw assist., tipo tipo 2 host CPU host os guest CPU guest os licenza FreeBSD FreeBSD, OpenBSD, Linux Microsoft Hyper-V tipo 1-2? server Xp,7,8, Server, Oracle Linux Integrity Virtual Machines tipo 1-2 IA64 HP-UX IA64 Hp-Ux, Linux Kernel-basedVM (KVM) tipo 1-2, FreeBSD IA64, PowerPC, hw assist., IA64, PowerPC Freebsd, GPLv2 LynxSecure tipo 1 x86 x86 Lynxos, PikeOS tipo 1-2 PowerPC, Mac ARM, MIPS, Sparc PowerPC, ARM, MIPS, Sparc Android, QEMU (full v., emulator, tipo 2 x8664, IA-64, PowerPC, SPARC 32/64, ARM, MIPS Mac, FreeBSD, altri x8664, Alpha, PowerPC, SPARC 32/64, ARM, MIPS Mac, Freebsd, Altri GPL/LGPL VirtualBox tipo 2 Mac, Bsd, GPL VMware ESX tipo 1 NO Freebsd, Altri NO BSD

7 nome tipo host CPU host os guest CPU guest os licenza VMware Workstation tipo 2 Linux Freebsd, Altri VMware Player tipo 2 x86 Linux Freebsd, Altri freeware Xen (parav., tipo 1 IA-32, e NetBSD, ARM, Solaris hw assist. IA-32, e ARM NetBSD, GPL Tratto da: Note: Oracle VM Manager: usa Xen e vi aggiunge una gestione tramite interfaccia web proprietaria. KVM: nel 2007 è stato integrato nel kernel.org (Linux) Xen: il sistema operativo host viene avviato come una macchina virtuale nel 2009 Microsoft ha collegato librerie GPL con software di Hyper-V, questo ha costretto Microsoft a dover fornire agli sviluppatori del kernel Linux i moduli software per far funzionare Linux su Hyper-V (in paravirtualizzazione). Cooperative Linux: non virtualizza l'hardware... Virtual machine Il termine "virtualizzazione" può essere usato in ambito informatico con un significato diverso da quello appenda descritto, nel senso di un software di virtualizzazione delle applicazioni (non dell'hardware e dei sistemi operativi). Esistono dei software usati per eseguire applicazioni scritte in bytecode e sono comunemente chiamati Virtual Machine (esempio: Java Virtual Machine). Queste virtual machine sono ambienti di esecuzione dei programmi che permettono la portabilità dei programmi (scritte in bytecode) su diversi sistemi operativi e architetture hardware, per mezzo di un interprete del bytecode. Ogni virtual machine può avere più implementazioni. Ad esempio, esistono diverse implementazioni open source della Java Virtual Machine. Approfondimento Alcuni tipi di virtual machine possono gestire la memoria in modo tradizionale, lasciando libero il controllo al sistema sulla memoria fisica, senza occuparsi dell'allocazione della memoria dei puntatori. Altre, come la Java Virtual Machine, invece offrono un'alto livello di astrazione e controllano (automaticamente) anche l'allocazione e la liberazione della memoria.

8 Emulazione hardware Abbiamo visto che nella virtualizzazione dell'hardware, il software hypervisor simula il controllo completo sulle risorse hardware, per poter fare in modo che siano condividese tra le richieste di diversi sistemi operativi. La virtualizzazione dell'hardware non va confusa con l'emulazione dell'hardware, dove il software simula il comportamente un hardware che non esiste, ad esempio, può emulare una CPU diversa da quella effettivamente presente per poter eseguire un file binario creato per un'altra architettura hardware. I due contetti sono distinti, ma nella pratica, può capitare che nell'host ci sia un sistema hypervisor che supporta solo sistemi guest appartenenti alla stessa architettura ( 64 IA64, sparc, arm, powerpc, ecc.). Altre volte può anche emulare un hardware che non esiste e può quindi eseguire sistemi operativi progettati per architetture diverse. L'emulazione è interessante per chi desidera sviluppare software che poi deve essere fatto funzionare su diverse piattaforme hardware. Esempi di emulatori hardware (in generale inefficienti) Bochs: emulatore che può eseguire diversi sistemi operativi a scopo di debug GXemul: emulatore di architetture ARM, MIPS, PowerPC, può essere usato per debug di sistemi op. DOSbox: emulatore che permetta esecuz. vecchi giochi DOS, ha licenza GPL DOSemu: è limitato all'architettura solo su sistema operativo Linux JavaPC: applicazione che emula (in una JVM) un in cui poter eseguire DOS o Linux. OVPsim: applicazione che emula qualsiasi processore e qualsiasi periferica, caricabile come modello hardware, traduce e interpreta le istruzioni di un eseguibile binario (binary translation). PearPC: applicazione che permette di eseguire codice per CPU powerpc su x86 o ; QEMU può emulare molte CPU e altri dispositivi hardware

9 WINE è un emulatore? WINE è un software (Wine Is Not an Emulator) che come dice il nome non rientra nella categoria degli emulatori di hardware. Esso offre la possibilità di eseguire programmi nati per essere eseguiti su su sistemi operativi POSIX come MAC, BSD. Non richiede di posedere una copia di windows. Non offre una virtualizzazione, e nemmeno un interprete o una virtual machine. Non permette nemmeno di installare driver per windows perché non implementa il sistema operativo windows. Offre un ambiente compatibile all'esecuzione del programma, ad esempio, offre anche un'implementazione delle librerie necessarie al programma. È efficiente perché non effettua una traduzione del codice eseguibile. Traduce solo le chiamate di sistema che sono nello standard WinAPI, per poterle eseguire su kernel MAC, BSD, nello standard POSIX. Openstack cos'è? Vedere Cloud Computing... Doker cos'è? Vedere qui sotto. Virtualizzazione a livello di sistema operativo Alcuni software non possiedono la virtualizzazione dell'hardware (sono privi di macchine virtuali) quindi non si dovrebbe parlare nemmeno di virtualizzazione, in senso stretto. Per lo stesso motivo questi software non dovrebbero essere chiamati nemmeno hypervisor (VMM), e non si può installare nessun sistema operativo guest. Tuttavia è bene sapere che esistono e che vengono fatti rientrare nella loro stessa grande famiglia, chiamando questa esecuzione virtualizzazione a livello di sistema operativo, oppure virtualizzazione tramite container, oppure anche virtualizzazione tramite "workload isolation". Per comprendere la virtualizzazione tramite container bisogna ricordare che di solito un sistema operativo esegue le istruzioni in quattro livelli di privilegio (ring level): dal kernel space allo user space. I processi eseguiti dalla CPU e associati a quest'ultimo livello non hanno accesso a tutte le risorse. In questo tipo di virtualizzazione, un'applicazione del sistema operativo permette di avere più istanze user space isolate tra di loro, dove i processi hanno le loro risorse e quindi non possono interferire con altri processi (si tratta di un'ulteriore protezione, ad esempio, rispetto alla segmentazione della memoria). I processi sono isolati perché possono avere accesso a zone isolate del file system o lavorare in socket isolati della rete. Il vantaggio di questo sistema è il basso overhead, non essendoci macchine virtuali da gestire, nè hypervisor da eseguire. Lo svantaggio è che si possono eseguire solo processi scritti per essere eseguiti nello stesso sistema operativo host. Esempi di applicazioni di questo tipo sono: chroot, Docker, FreeBSD Jail, LCX, Linux-VServer, OpenVZ, Solaris Container e Sandboxie. Bibliografia

10 Bochs emulatore qualsiasi Solaris Containers paravirtua (+Zones) lizzazione Note Live migration? quick migration? (hyper-v) windows, linux, mac, unix e altri win,linux, unix e altri LGPL sparc, solaris sparc, solaris, CDDL linux