KVM 是适用于基于 x86 硬件的 Linux 且包含虚拟化扩展（例如英特尔 VT）的完全虚拟化解决方案。其中包含可加载的内核模块 kvm.ko（用于提供核心虚拟化基础设施）和一个处理器特定模块（例如 kvm-intel.ko）。

您可以使用 KVM 来运行多个运行未修改的操作系统映像的虚拟机。每个虚拟机都有专用的虚拟化硬件：网卡、磁盘、图形适配器等等。

Threat Defense Virtual 智能许可的性能层

threat defense virtual 支持性能层许可，该级别许可可基于部署要求提供不同的吞吐量级别和 VPN 连接限制。

请参阅 Cisco Secure Firewall Management Center中的“许可系统”一章，了解在许可 threat defense virtual 设备时的准则。

有关 threat defense virtual 支持的虚拟机管理程序的最新信息，请参阅《Cisco Secure Firewall Threat Defense 兼容性指南》。

根据所需部署的实例数量和使用要求， threat defense virtual 部署所使用的具体硬件可能会有所不同。每个 threat defense virtual 实例都需要服务器保证最小的资源配置，这包括内存数量、CPU 数和磁盘空间。

• 需要两个管理接口和两个数据接口来启动。

  注	threat defense virtual 默认配置将管理接口和内部接口置于同一子网上。

  • 支持 virtIO 驱动程序。

  • 支持 SR-IOV 的 ixgbe-vf 驱动程序。

  • 支持共计 11 个接口

• threat defense virtual 的默认配置假设您将管理接口和内部接口置于同一子网，并且管理地址使用内部地址作为访问互联网的网关（经过外部接口）。

• threat defense virtual 首次启动时，必须启用至少四个接口。如果没有四个接口，您的系统将无法部署

• threat defense virtual 支持共计 11 个接口 - 1 个管理接口、1 个保留供内部使用的接口，以及最多 9 个用于数据流量的网络接口。接口到网络分配必须遵循以下顺序：

  • 管理接口 (1)（必需）

    注	您可以选择为 管理中心 管理配置数据接口，而非管理接口。管理接口是数据接口管理的前提条件，因此您仍需要在初始设置中对其进行配置。请注意，在高可用性部署中，不支持从数据接口进行 管理中心 访问。有关为 管理中心 访问配置数据接口的详细信息，请参阅 FTD 命令参考中的 configure network management-data-interface 命令。

  • 保留供内部使用 (2)（必需）

  • 外部接口 (3)（必需）

  • 内部接口 (4)（必需）

  • 数据接口 (5-11)（可选）

请查看 threat defense virtual 接口的以下网络适配器、源网络和目标网络的对应关系：

• 不支持克隆虚拟机。

• 对于控制台访问，通过 telnet 支持终端服务器。

• 要在 KVM 上创建具有 IPv6 支持配置的 vNIC，您必须为每个包含 IPv6 配置参数的接口创建一个 XML 文件。您可以使用命令 virsh net-create <<interface configuration XML file name>> 来安装具有 IPV6 网络协议配置的 vNIC。

  对于每个接口，您可以创建以下 XML 文件：

  • 管理接口 - mgmt-vnic.xml

  • 内部接口 - inside-vnic.xml

  • 外部接口 - outside-vnic.xml

  示例：

  使用 IPv6 配置为管理接口创建 XML 文件。

  <network>
               <name>mgmt-vnic</name>
               <bridge name='mgmt-vnic' stp='on' delay='0' />
               <ip family='ipv6' address='2001:db8::a111:b220:0:abcd' prefix='96'/>
          </network>
  

  同样，您也必须为其他接口创建 XML 文件。
  您可以通过运行以下命令来验证 KVM 上安装的虚拟网络适配器。

  virsh net-list
           brctl show
  

CPU 模式

KVM 可以模拟许多不同的 CPU 类型。对于 VM，通常应选择与主机系统的 CPU 密切匹配的处理器类型，因为这意味着主机 CPU 功能（也称为 CPU 标志）将在 VM 中可用。您应将 CPU 类型设置为主机，在这种情况下，虚拟机将具有与主机系统完全相同的 CPU 标志。

集群

在 KVM 上部署的 Threat Defense Virtual 实例支持集群。有关详细信息，请参阅私有云中 Threat Defense Virtual 的集群。

性能优化

为实现 threat defense virtual的最佳性能，您可以对 VM 和主机进行调整。有关详细信息，请参阅 KVM 上的虚拟化调整和优化。

接收端扩展 - threat defense virtual 支持接收端扩展 (RSS)，网络适配器利用这项技术将网络接收流量分发给多个处理器内核。在 7.0 及更高版本上受支持。有关详细信息，请参阅用于接收端扩展 (RSS) 的多个 RX 队列。

对 SR-IOV 的支持

SR-IOV 虚拟功能需要特定的系统资源。除支持 SR-IOV 功能的 PCIe 适配器之外，还需要支持 SR-IOV 的服务器。

KVM 上使用 SR-IOV 接口的 Threat Defense Virtual 支持混合接口类型。您可以将 SR-IOV 或 VMXNET3 用于管理接口，并将 SR-IOV 用于数据接口。

您必须了解以下硬件注意事项：

• 不同供应商和设备的 SR-IOV NIC 功能有所不同，包括可用的 VF 数量。支持以下 NIC：

  • 英特尔以太网服务器适配器 X710

  • Intel 以太网服务器适配器 X520 - DA2

  • Intel 以太网服务器适配器 E810-CQDA2

    • 使用 NVM 实用程序工具在 Intel® 网络适配器 E810 上更新固件（NVM 映像）和网络驱动程序。非易失性内存 (NVM) 映像和网络驱动程序是一组兼容的组件，您可以在 Intel® 网络适配器 E810 上作为组合进行更新。有关 NVM 和软件兼容性矩阵的信息，请参阅 Intel® 以太网控制器 E810 数据表，以更新英特尔®网络适配器 E810 上的正确固件驱动程序。

• 并非所有 PCIe 插槽都支持 SR-IOV。

• 支持 SR-IOV 的 PCIe 插槽可能具有不同的功能。

• x86_64 多核 CPU - Intel 沙桥或更高版本（推荐）。

  注	我们在 Intel 的 Broadwell CPU (E5-2699-v4) 上以 2.3Ghz 的频率对 threat defense virtual 进行了测试。

• 核心

  • 每个 CPU 插槽至少 8 个物理核心

  • 8 个核心必须位于一个插槽中。

    注	建议通过 CPU 固定来实现完整的吞吐量。

• 请查阅制造商的文档，以了解系统对 SR-IOV 的支持情况。对于 KVM，您可以验证 SR-IOV 支持方面的 CPU 兼容性。请注意，对于 KVM 上的 threat defense virtual，我们仅支持 x86 硬件。

使用 ixgbe-vf 接口的限制

使用 ixgbe-vf 接口时，请注意以下限制：

• 禁止访客 VM 将 VF 设置为混合模式。因此，使用 ixgbe-vf 时不支持透明模式。

• 禁止访客 VM 在 VF 上设置 MAC 地址。因此，在 HA 期间不会像在其他 threat defense virtual 平台上和使用其他接口类型那样传输 MAC 地址。HA 故障转移通过从主用设备向备用设备传送 IP 地址的方式运行。

  注	此限制也适用于 i40e-vf 接口。

• 思科 UCS-B 服务器不支持 ixgbe-vf vNIC。

• 在故障转移设置中，当配对的 threat defense virtual（主设备）发生故障时，备用 threat defense virtual 设备将接管主设备的角色，并使用备用 threat defense virtual 设备的新 MAC 地址更新其接口 IP 地址。此后，threat defense virtual 会向同一网络上的其他设备发送免费地址解析协议 (ARP) 更新，以通告接口 IP 地址的 MAC 地址更改。但是，由于与这些类型的接口不兼容，因此不会将免费 ARP 更新发送到用于将接口 IP 地址转换为全局 IP 地址的 NAT 或 PAT 语句中所定义的全局 IP 地址。

Snort

• 如果您观察到异常行为，例如 Snort 需要很长时间才能关闭，或者 VM 通常缓慢，或者在执行某个进程时，请从 threat defense virtual 和 VM 主机收集日志。收集总体 CPU 使用情况、内存、I/O 使用情况和读/写速度日志将有助于对问题进行故障排除。

• 当 Snort 关闭时，观察到高 CPU 和 I/O 使用率。如果在内存不足且没有专用 CPU 的单个主机上创建了大量 threat defense virtual 实例，则 Snort 将需要很长时间才能关闭，这将导致创建 Snort 核心。

您有两个选择来管理您的 Cisco Secure Firewall Threat Defense Virtual。

• 从 Cisco.com 下载 threat defense virtual qcow2 文件并将其放在 Linux 主机上：

  https://software.cisco.com/download/navigator.html

  注	需要 Cisco.com 登录信息和思科服务合同。

• 本文档出于示例部署目的，假设您使用 Ubuntu 14.0418.04 LTS。在 Ubuntu 18.04 LTS 主机之上安装以下软件包：

  • qemu-kvm

  • libvirt-bin

  • bridge-utils

  • virt-manager

  • virtinst

  • virsh tools

  • genisoimage

• 性能受主机及其配置的影响。通过调整主机，您可以最大化 KVM 上的 threat defense virtual吞吐量。有关通用的主机调整概念，请参阅网络功能虚拟化：具备 Linux 和 Intel 架构的宽带远程访问服务器的服务质量。

• Ubuntu 18.04 LTS 的有用优化包括以下各项：

  • macvtap - 高性能 Linux 网桥；您可以使用 macvtap，而不是 Linux 网桥。您必须配置特定设置才能使用 macvtap，而不是 Linux 网桥。

  • 透明大页 - 增加内存页面大小，在 Ubuntu 18.04 中默认开启。

  • 禁用超线程 - 用于将两个 vCPU 减少到一个单核。

  • txqueuelength - 用于将默认 txqueuelength 增加到 4000 个数据包并减少丢包率。

  • 固定 - 用于将 qemu 和 vhost 进程固定到特定 CPU 内核；在某些情况下，固定可显著提高性能。

• 有关优化基于 RHEL 的分布的信息，请参阅《Red Hat Enterprise Linux6 虚拟化调整和优化指南》。

• 有关 KVM 和系统兼容性，请参阅《Cisco Secure Firewall Threat Defense 兼容性指南》。

• 您可以使用以下方法来验证虚拟机是否正在运行 KVM：

  • 运行 lsmod 以列出 Linux 内核中的模块。如果 KVM 正在运行，则会显示以下输出来指示 KVM：

    root@kvm-host:~$ lsmod | grep kvm


    kvm_intel 123675 0


    kvm 257361 1 kvm_intel

• 如果目标 VM 上不存在 ls -l /dev/kvm ，则您可能正在运行 qemu，而没有利用 KVM 硬件辅助功能。

  root@kvm-host:~$ ls -l /dev/kvm

  crw------- 1 root root 10, 232 Mar 23 13:53 /dev/kvm

• 运行以下命令，检查主机是否支持 KVM：

  root@kvm-host:~$ sudo kvm-ok

• 您也可以使用 KVM 加速。