5.3 KVM 虚拟化技术入门

预计阅读时间：14 分钟

学习目标

• 理解 KVM/QEMU/libvirt 三层架构及各自职责
• 掌握 virsh 命令行管理虚拟机的生命周期（启动、关机、销毁、开机自启）
• 会用 virt-install 从 ISO 或 cloud-init 创建虚拟机
• 能配置 Linux 网桥（bridge），让虚拟机接入物理网络
• 区分 KVM 虚拟机与 Docker 容器的适用场景

核心知识

关联理解：容器解决了"环境一致性和快速部署"，虚拟机解决了"完全隔离和异构 OS"。在生产中常组合使用——KVM 承载 Kubernetes 节点，节点内跑 Docker 容器。

知识关联

• 前置知识：5.5：防火墙实战 iptables/nftables 防火墙实战（Linux 网桥/iptables）、rhcsa01 磁盘分区与 LVM（磁盘分区与文件系统）、3.1：Docker 容器入门 Docker 容器入门（容器与虚拟机的对比参照）
• 后续影响：6.2：Kubernetes 入门 Kubernetes 入门（KVM 可作为 K8s 集群底层节点）、5.1：Linux 安全加固 Linux 安全加固（虚拟机隔离与安全合规）
• 配套技术：KVM + libvirt + QEMU 是 Linux 虚拟化标准栈，cloud-init 实现虚拟机初始化自动化，oVirt/Proxmox 提供 Web 管理面

原理讲解

KVM（Kernel-based Virtual Machine）是 Linux 内核模块，它将 Linux 转变为 Type-1 Hypervisor。KVM 模块直接利用 CPU 硬件虚拟化扩展（Intel VT-x / AMD-V），让虚拟机指令不经模拟直接执行，性能接近物理机。

完整的虚拟化栈分为三层：

1. KVM 内核模块（kvm.ko + kvm_intel/kvm_amd）：提供 CPU 虚拟化和内存虚拟化，负责 VM 的创建、vcpu 调度、内存管理。仅暴露 /dev/kvm 字符设备给用户空间。
2. QEMU（Quick Emulator）：用户空间的设备模拟器，模拟 BIOS、磁盘、网卡、USB 等外设，每个 VM 对应一个 qemu-system-x86_64 进程。QEMU 通过 /dev/kvm 将 VM 指令交给 KVM 加速，自身只模拟非 CPU 设备。
3. libvirt：虚拟化管理守护进程（libvirtd），提供统一 API 和命令行工具 virsh。libvirt 管理 QEMU 进程生命周期、网络、存储池，并支持安全认证（SELinux / AppArmor）。

网络方面，默认的 NAT 模式（virbr0）让 VM 通过宿主机 IP 访问外网，宿主机外无法直连 VM。Bridge 模式将 VM 网卡直接桥接到物理网卡，VM 获取局域网独立 IP，可被外网直接访问。

内存虚拟化与超分配

KVM 使用 EPT（Intel）或 NPT（AMD）硬件页表扩展完成客户机内存地址转换，虚拟机访问内存几乎无额外开销。宿主机默认按虚拟机配置的 <memory> 大小预留物理内存，但 KVM 支持内存超分配（overcommit）：配合 virtio-balloon 驱动，客户机空闲内存可以被 balloon 回收给宿主机，其他 VM 再按需使用。

超分配是把双刃剑：过度分配会导致宿主机 swap 抖动（thrashing），整机性能崩塌。经验规则：物理内存 64GB 的宿主机，分配总量控制在 70-80%（约 45-50GB），且优先保证数据库类 VM 不被超配。查看实际占用：virsh dommemstat vm1 --live 观察 unused 值，判断 balloon 回收了多少。

CPU 模型与迁移兼容性

虚拟机看到的 CPU 特性由 QEMU 的 CPU model 决定。host-passthrough 直接把宿主机 CPU 全部特性透传给 VM，性能最高，但两台不同型号 CPU 的宿主机之间无法做在线迁移。生产推荐 host-model：QEMU 自动选择与宿主机兼容且可迁移的型号集合。混用新旧 CPU 的集群，可指定 qemu64/Skylake-Client 等固定模型换取迁移兼容性。

# 查看当前 CPU model
virsh dumpxml vm1 | grep -i cpu
# 输出: <cpu mode='host-model' check='partial'/>

# 在线热插 vCPU（客户机内核需支持）
virsh setvcpus vm1 4 --live --config

磁盘格式深入对比

qcow2 的性能差异主要来自写时分配，可通过 qemu-img convert 在业务低峰把冷数据卷转成 raw 提升 IO，或为 qcow2 开启 preallocation=full 消除运行时分配开销。

示例代码

1. 环境准备与安装

# 检查 CPU 是否支持虚拟化
grep -Ec '(vmx|svm)' /proc/cpuinfo  # 输出: 4（注意：egrep 已废弃，推荐用 grep -E）

# Ubuntu / Debian
sudo apt update
sudo apt install -y qemu-kvm libvirt-daemon-system libvirt-clients \
                    virtinst virt-manager bridge-utils

# CentOS / RHEL
# sudo dnf install -y qemu-kvm libvirt virt-install virt-manager bridge-utils

# 将当前用户加入 libvirt 组（免 sudo 运行 virsh）
sudo usermod -aG libvirt $USER
newgrp libvirt   # 或重新登录

# 验证安装
virsh list --all  # 输出:  Id   Name   State
ls /dev/kvm
systemctl status libvirtd  # 输出: ● libvirtd.service - Virtualization daemon

2. virsh 生命周期管理

# 列出所有虚拟机（含未启动）
virsh list --all  # 输出:  Id   Name   State

# 启动 / 正常关机 / 强制断电
virsh start ubuntu-vm  # 输出: Domain ubuntu-vm started
virsh shutdown ubuntu-vm  # 输出: Domain ubuntu-vm is being shutdown
virsh destroy ubuntu-vm  # 输出: Domain ubuntu-vm destroyed

# 设置开机自启
virsh autostart ubuntu-vm  # 输出: Domain ubuntu-vm marked as autostarted
virsh autostart --disable ubuntu-vm  # 输出: Domain ubuntu-vm unmarked as autostarted

# 定义虚拟机（从 XML 定义文件）
virsh define /path/to/vm.xml  # 输出: Domain ubuntu-vm defined from /path/to/vm.xml

# 导出/导入配置
virsh dumpxml ubuntu-vm > ubuntu-vm.xml
virsh create ubuntu-vm.xml  # 输出: Domain ubuntu-vm created from ubuntu-vm.xml

# 暂停/恢复
virsh suspend ubuntu-vm  # 输出: Domain ubuntu-vm suspended
virsh resume ubuntu-vm  # 输出: Domain ubuntu-vm resumed

3. virt-install 创建虚拟机

# 从 ISO 交互安装
sudo virt-install \
    --name ubuntu-vm \
    --ram 2048 \
    --vcpus 2 \
    --disk size=20,path=/var/lib/libvirt/images/ubuntu-vm.qcow2 \
    --cdrom /tmp/ubuntu-24.04-server.iso \
    --network network=default \
    --graphics vnc,listen=0.0.0.0 \
    --os-variant ubuntu24.04

# 从 cloud-init 无人值守创建（先准备 seed.img）
# 创建 cloud-init ISO:
# cat > meta-data <<EOF
# instance-id: ubuntu-vm; local-hostname: ubuntu-vm
# EOF
# cat > user-data <<EOF
# #cloud-config
# password: passw0rd
# chpasswd: { expire: False }
# ssh_pwauth: True
# EOF
# sudo mkisofs -o /var/lib/libvirt/images/seed.iso -V cidata -J -r meta-data user-data

sudo virt-install \
    --name ubuntu-vm \
    --ram 2048 \
    --vcpus 2 \
    --disk path=/var/lib/libvirt/images/ubuntu-vm.qcow2,size=20 \
    --disk path=/var/lib/libvirt/images/seed.iso,device=cdrom \
    --network network=default \
    --os-variant ubuntu24.04 \
    --graphics none \
    --console pty,target_type=serial

4. 桥接网络配置

# 创建网桥 br0（Ubuntu netplan 示例）
# /etc/netplan/01-bridge.yaml:
network:
  version: 2
  ethernets:
    enp3s0:
      dhcp4: no
  bridges:
    br0:
      interfaces: [enp3s0]
      dhcp4: yes

# 应用 netplan
sudo netplan apply

# 或使用 nmcli（NetworkManager 环境）
# sudo nmcli connection add type bridge ifname br0
# sudo nmcli connection add type ethernet slave-type bridge \
#     con-name bridge-port-enp3s0 ifname enp3s0 master br0
# sudo nmcli connection up br0

# 创建使用桥接的虚拟机
sudo virt-install \
    --name br-vm \
    --ram 2048 \
    --vcpus 2 \
    --disk size=20 \
    --network bridge=br0 \
    --cdrom ubuntu.iso \
    --os-variant ubuntu24.04

# 查看网桥信息
brctl show  # 输出: bridge name     bridge id               STP enabled     interfaces
bridge link show

5. virt-manager 图形化使用

# 启动 virt-manager（需图形环境）
virt-manager

# 常用操作：创建 VM → 导入或新建存储卷 → 添加硬件（网卡/磁盘/USB 透传）
# 连接远程主机：File → Add Connection → QEMU/KVM + ssh 远程地址

6. qemu-img 磁盘管理

# 创建磁盘（精简配置）
qemu-img create -f qcow2 vm1.qcow2 50G

# 查看磁盘真实占用
qemu-img info vm1.qcow2
# 输出: virtual size: 50 GiB ... disk size: 8.2 GiB

# 格式转换（qcow2 → raw，性能优化）
qemu-img convert -O raw vm1.qcow2 vm1.raw

# 扩容磁盘（先扩磁盘，再进客户机扩分区）
qemu-img resize vm1.qcow2 80G

# 开启写时预分配，避免首次写入卡顿
qemu-img create -f qcow2 -o preallocation=full vm2.qcow2 20G

# 压缩镜像（回收空闲空间，注意需先停机）
qemu-img convert -O qcow2 -c vm1.qcow2 vm1-compact.qcow2

7. 快照与回滚

# 在线快照（qcow2 内建，不停机）
virsh snapshot-create-as vm1 pre-upgrade \
  --description "升级前快照" --atomic

# 列出快照
virsh snapshot-list vm1
# 输出:  Name            Creation Time        State
#       pre-upgrade     2026-07-28 10:00:00  running

# 查看快照磁盘占用
virsh snapshot-info vm1 pre-upgrade

# 回滚到快照（先关机，回滚后快照链保留）
virsh shutdown vm1
virsh snapshot-revert vm1 pre-upgrade --paused
virsh resume vm1

# 删除快照（合并数据到基础镜像）
virsh snapshot-delete vm1 pre-upgrade

# 磁盘级快照（不经 libvirt，需停机）
qemu-img snapshot -c pre_upgrade vm1.qcow2
qemu-img snapshot -l vm1.qcow2

8. 虚拟机迁移

# 冷迁移（停机迁移）：导出 XML + 拷贝磁盘
virsh dumpxml vm1 > vm1.xml
virsh shutdown vm1
scp vm1.qcow2 node2:/var/lib/libvirt/images/
scp vm1.xml node2:/tmp/
# 在目标节点定义并启动
virsh define /tmp/vm1.xml
virsh start vm1

# 在线迁移（需共享存储 NFS/iSCSI，磁盘免拷贝）
virsh migrate --live vm1 qemu+ssh://root@node2/system

# 迁移前检查目标节点可迁移性
virsh migrate --live vm1 qemu+ssh://root@node2/system --dry-run

# 迁移时带宽限制（MB/s），避免挤占业务流量
virsh migrate --live --bandwidth 200 vm1 qemu+ssh://root@node2/system

# 查看迁移状态
virsh domjobinfo vm1

常见错误

最佳实践

练习题

1. 运行 grep -Ec '(vmx|svm)' /proc/cpuinfo 检查本机是否支持硬件虚拟化。如果不支持，记录报错信息并说明为什么需要在 BIOS 中开启 VT-x/AMD-V。
2. 使用 virt-install 创建一个 1 vCPU / 1 GB 内存 / 10 GB 磁盘的 Ubuntu Server 虚拟机，网络使用默认 NAT。安装完成后用 virsh list --all 确认状态。
3. 为已存在的虚拟机配置开机自启，然后用 virsh shutdown 关机，再重启宿主机后验证虚拟机是否自动启动。
4. 在宿主机上创建一个 Linux 网桥 br0，将物理网卡 ens33 桥接到 br0。然后用 virt-install --network bridge=br0 创建一个新虚拟机，确认 VM 能从局域网 DHCP 获取独立 IP。
5. 对比 KVM 虚拟机与 Docker 容器的隔离层级和适用场景。给出一个"必须用虚拟机、不能用容器"的真实案例，并解释原因。

学习检查点

学完本章后，请检验自己是否掌握以下内容：

本章总结

速查表

学习路径

1. 掌握 virsh 基本操作（list/start/shutdown/destroy/autostart）
2. 用 virt-install 创建至少一台虚拟机（交互式 + cloud-init 两种方式）
3. 配置 bridge 网络，理解 NAT 与 bridge 的区别
4. 学习 qemu-img 磁盘管理（创建、转换、resize、快照）
5. 掌握 virsh dumpxml / define / edit 管理域 XML
6. 进阶：OVS 虚拟交换机、PCI/USB 透传、NVIDIA vGPU、在线迁移

延伸阅读