您可以在安装 openSUSE Leap 到虚拟机主机服务器的过程中安装所有必需的虚拟化工具。在安装过程中，您会看到系统角色屏幕。

图 6.1： 系统角色屏幕 #

在这里，您可以选择KVM 虚拟化主机或Xen 虚拟化主机角色。相应的软件选择和设置会在 openSUSE Leap 安装期间自动执行。

提示

两种虚拟化系统角色都会创建一个专用的 /var/lib/libvirt 分区，并启用 firewalld 和 Kdump 服务。

根据虚拟机主机服务器上 openSUSE Leap 的安装范围，您的系统上可能未安装任何虚拟化工具。当使用YaST 虚拟化模块配置虚拟机监控程序时，它们会自动安装。

提示

YaST 虚拟化模块包含在 yast2-vm 软件包中。在安装虚拟化组件之前，请验证它是否已在虚拟机主机服务器上安装。

来自 openSUSE Leap 软件存储库的相关软件包被组织成安装模式。您可以使用这些模式在已运行的 openSUSE Leap 上安装特定的虚拟化组件。使用 zypper 安装它们：

zypper install -t pattern PATTERN_NAME

要安装 KVM 环境，请考虑以下模式：

要安装 Xen 环境，请考虑以下模式：

如果您使用 VMware ESX 作为 KVM 裸金属虚拟机监控程序之上的客户机虚拟机监控程序，您可能会遇到不稳定的网络通信。此问题尤其发生在嵌套 KVM 客户机与 KVM 裸金属虚拟机监控程序或外部网络之间。嵌套 KVM 客户机的以下默认 CPU 配置导致了此问题：

<cpu mode='host-model' check='partial'/>

要修复它，请按照以下方式修改 CPU 配置：

[...]
<cpu mode='host-passthrough' check='none'>
 <cache mode='passthrough'/>
</cpu>
[...]

网络桥接配置为主机提供了一个二层交换机，用于虚拟机，该交换机根据与桥接端口关联的 MAC 地址在桥接端口之间切换二层以太网数据包。这使得虚拟机能够访问主机服务器的网络。此配置类似于将虚拟机虚拟以太网电缆连接到与主机和其他在主机上运行的虚拟机共享的集线器。此配置通常被称为共享物理设备。

网络桥接配置是openSUSE Leap在配置为 KVM 或 Xen hypervisor 时的默认配置。当您只想将虚拟机连接到主机服务器的 LAN 时，这是首选配置。

使用哪种工具创建网络桥接取决于您用于管理虚拟机主机服务器上网络连接的服务

libvirt 管理的虚拟网络类似于桥接网络，但通常与虚拟机主机服务器没有二层连接。通过三层转发实现与虚拟机主机服务器物理网络的连接，与二层桥接网络相比，这在虚拟机主机服务器上引入了额外的报文处理。虚拟网络还为虚拟机提供 DHCP 和 DNS 服务。有关 libvirt 虚拟网络的更多信息，请参阅 https://libvirt.org/formatnetwork.html 上的网络 XML 格式文档。

openSUSE Leap 上的标准 libvirt 安装已预定义了一个名为 default 的虚拟网络。它为网络提供 DHCP 和 DNS 服务，并使用网络地址转换 (NAT) 转发模式连接到虚拟机主机服务器的物理网络。尽管它是预定义的，但 default 虚拟网络需要由管理员显式启用。有关 libvirt 支持的转发模式的更多信息，请参阅 https://libvirt.org/formatnetwork.html#elementsConnect 上的 网络 XML 格式文档的连接部分。

libvirt 管理的虚拟网络可用于满足广泛的用例，但通常用于具有无线连接或动态/零星网络连接（如笔记本电脑）的虚拟机主机服务器。当虚拟机主机服务器的网络 IP 地址有限时，虚拟网络也很有用，它允许在虚拟网络和虚拟机主机服务器的网络之间转发数据包。然而，大多数服务器用例更适合网络桥接配置，其中虚拟机连接到虚拟机主机服务器的 LAN。

警告：启用转发模式

在 libvirt 虚拟网络中启用转发模式会通过将 /proc/sys/net/ipv4/ip_forward 和 /proc/sys/net/ipv6/conf/all/forwarding 设置为 1 来在虚拟机主机服务器中启用转发，这会将虚拟机主机服务器变成路由器。重新启动虚拟机主机服务器的网络可能会重置值并禁用转发。为避免此行为，请通过编辑 /etc/sysctl.conf 文件并添加以下内容来显式启用虚拟机主机服务器中的转发

net.ipv4.ip_forward = 1

net.ipv6.conf.all.forwarding = 1

> sudo virsh help network
Networking (help keyword 'network'):
 net-autostart                  autostart a network
        net-create                     create a network from an XML file
        net-define                     define (but don't start) a network from an XML file
        net-destroy                    destroy (stop) a network
        net-dumpxml                    network information in XML
        net-edit                       edit XML configuration for a network
        net-event                      Network Events
        net-info                       network information
        net-list                       list networks
        net-name                       convert a network UUID to network name
        net-start                      start a (previously defined) inactive network
        net-undefine                   undefine an inactive network
        net-update                     update parts of an existing network's configuration
 net-uuid                       convert a network name to network UUID

> sudo virsh help net-create
  NAME
    net-create - create a network from an XML file

  SYNOPSIS
    net-create <file>

  DESCRIPTION
    Create a network.

  OPTIONS
    [--file] <string>  file containing an XML network description

> sudo virsh net-create VNET_DEFINITION.xml

> sudo virsh net-define VNET_DEFINITION.xml

<network>
<name>vnet_nated</name>1
<bridge name="virbr1"/>2
 <forward mode="nat"/>3
 <ip address="192.168.122.1" netmask="255.255.255.0">4
  <dhcp>
   <range start="192.168.122.2" end="192.168.122.254"/>5
   <host mac="52:54:00:c7:92:da" name="host1.testing.com" \
    ip="192.168.1.101"/>6
   <host mac="52:54:00:c7:92:db" name="host2.testing.com" \
    ip="192.168.1.102"/>
   <host mac="52:54:00:c7:92:dc" name="host3.testing.com" \
    ip="192.168.1.103"/>
  </dhcp>
 </ip>
</network>

<network>
 <name>vnet_routed</name>
 <bridge name="virbr1"/>
 <forward mode="route" dev="eth1"/>1
 <ip address="192.168.122.1" netmask="255.255.255.0">
  <dhcp>
   <range start="192.168.122.2" end="192.168.122.254"/>
  </dhcp>
 </ip>
</network>

<network>
 <name>vnet_isolated</name>
 <bridge name="virbr3"/>
 <ip address="192.168.152.1" netmask="255.255.255.0">
  <dhcp>
   <range start="192.168.152.2" end="192.168.152.254"/>
  </dhcp>
 </ip>
 </network>

<network>
        <name>host-bridge</name>
        <forward mode="bridge"/>
        <bridge name="br0"/>
</network>

> sudo virsh net-list --all

 Name                 State      Autostart     Persistent
----------------------------------------------------------
 crowbar              active     yes           yes
 vnet_nated           active     yes           yes
 vnet_routed          active     yes           yes
 vnet_isolated        inactive   yes           yes

> sudo virsh list
 Id    Name                           State
----------------------------------------------------
 1     nated_sles12sp3                running
 ...

> sudo virsh domifaddr nated_sles12sp3 --interface vnet0 --source lease
 Name       MAC address          Protocol     Address
-------------------------------------------------------------------------------
 vnet0      52:54:00:9e:0d:2b    ipv6         fd00:dead:beef:55::140/64
 -          -                    ipv4         192.168.100.168/24

> sudo virsh domiflist nated_sles12sp3
Interface  Type       Source       Model       MAC
---------------------------------------------------------
vnet0      network    vnet_nated   virtio      52:54:00:9e:0d:2b

> sudo virsh net-info vnet_routed
Name:           vnet_routed
UUID:           756b48ff-d0c6-4c0a-804c-86c4c832a498
Active:         yes
Persistent:     yes
Autostart:      yes
Bridge:         virbr5

> sudo virsh net-list --inactive
 Name                 State      Autostart     Persistent
----------------------------------------------------------
 vnet_isolated        inactive   yes           yes

> sudo virsh net-start vnet_isolated
Network vnet_isolated started

> sudo virsh net-list --inactive
 Name                 State      Autostart     Persistent
----------------------------------------------------------
 vnet_isolated        active     yes           yes

> sudo virsh net-destroy vnet_isolated
Network vnet_isolated destroyed

> sudo virsh net-undefine vnet_isolated
Network vnet_isolated has been undefined

也可以通过使用 virsh 从命令行管理存储。但是，SUSE 目前不支持创建存储池。因此，本节仅限于记录启动、停止和删除池以及卷管理等功能。

通过运行 virsh help pool 和 virsh help volume 分别可以获得用于管理池和卷的所有 virsh 子命令的列表。

> virsh pool-list --details

> virsh pool-info POOL

> virsh vol-list --details POOL

> virsh vol-create-as POOL1NAME2 12G --format3raw|qcow24 --allocation 4G5

> virsh vol-clone NAME_EXISTING_VOLUME1NAME_NEW_VOLUME2 --pool POOL3

8.2.1.4 从存储池中删除卷 #编辑源文件

要将卷永久从池中删除，请使用子命令 vol-delete

> virsh vol-delete NAME --pool POOL

--pool 是可选的。libvirt 会尝试自动定位卷。如果失败，请指定此参数。

警告：删除卷时无检查

无论卷是否被活动或非活动虚拟机使用，都会删除卷。无法恢复已删除的卷。

是否使用虚拟机使用卷只能通过过程 8.2, “列出虚拟机主机服务器上当前使用的所有存储卷”中所述的方法来检测。

8.2.1.5 将卷附加到虚拟机 #编辑源文件

在创建卷（如第 8.2.1.3 节，“向存储池添加卷”中所述）后，您可以将其附加到虚拟机并用作硬盘

> virsh attach-disk DOMAIN SOURCE_IMAGE_FILE TARGET_DISK_DEVICE

例如

> virsh attach-disk sles12sp3 /virt/images/example_disk.qcow2 sda2

要检查新磁盘是否已附加，请检查 virsh dumpxml 命令的结果

# virsh dumpxml sles12sp3
[...]
<disk type='file' device='disk'>
 <driver name='qemu' type='raw'/>
 <source file='/virt/images/example_disk.qcow2'/>
 <backingStore/>
 <target dev='sda2' bus='scsi'/>
 <alias name='scsi0-0-0'/>
 <address type='drive' controller='0' bus='0' target='0' unit='0'/>
</disk>
[...]

8.2.1.5.1 热插拔或永久更改 #编辑源文件

您可以将磁盘附加到活动和非活动域。附件由 --live 和 --config 选项控制

--live

将磁盘热插拔到活动域。附件未保存在域配置中。在非活动域上使用 --live 是错误的。

--config

永久更改域配置。附加的磁盘将在域下次启动后可用。

--live--config

将磁盘热插拔并将其添加到持久域配置中。

提示：virsh attach-device

virsh attach-device 是 virsh attach-disk 的更通用形式。您可以使用它将其他类型的设备附加到域。

# virsh detach-disk DOMAIN TARGET_DISK_DEVICE

# virsh detach-disk sles12sp3 sda2

虚拟机管理器提供了一个图形界面—存储管理器—用于管理存储卷和池。要访问它，请右键单击连接并选择 详细信息，或者突出显示一个连接并选择 编辑 › 连接详细信息。选择 存储选项卡。

8.2.2.2 管理存储池 #编辑源文件

虚拟机管理器的存储管理器允许您在池中创建或删除卷。您还可以暂时停用或永久删除现有的存储池。SUSE 目前不支持更改池的基本配置。

8.2.2.2.1 启动、停止和删除池 #编辑源文件

存储池的目的是在虚拟机主机服务器上提供可以添加到虚拟机中的块设备，当从远程管理它时。要使池暂时无法从远程访问，请单击存储管理器左下角的 停止。停止的池会标记为状态：不活动，并在列表窗格中显示为灰色。默认情况下，新创建的池会在虚拟机主机服务器启动时自动启动。

要启动不活动的池并使其再次可从远程访问，请单击存储管理器左下角的 启动。

注意：池的状态不影响已附加的卷

池中的卷，即使已附加到虚拟机，也始终可用，无论池的状态如何（活动（已停止）或不活动（已启动））。池的状态仅影响通过远程管理将卷附加到虚拟机的能力。

要永久使池无法访问，请单击存储管理器左下角的 删除。您只能删除不活动的池。删除池不会物理擦除其在虚拟机主机服务器上的内容—它只删除池配置。但是，删除池时需要格外小心，尤其是在删除基于 LVM 卷组的工具时

警告：删除存储池

删除基于本地文件系统目录、本地分区或磁盘的存储池对当前附加到虚拟机的这些池中的卷的可用性没有影响。

位于 iSCSI、SCSI、LVM 组或网络导出目录类型的池中的卷，如果池被删除，将变得无法从虚拟机访问。尽管卷本身不会被删除，但虚拟机主机服务器将无法访问这些资源。

iSCSI/SCSI 目标或网络导出目录上的卷在创建新的相应池或直接从主机系统挂载/访问这些资源时将再次可用。

删除基于 LVM 组的存储池时，LVM 组定义将被擦除，并且 LVM 组将不再存在于主机系统中。该配置是不可恢复的，该池中的所有卷都将丢失。

8.2.2.2.2 向存储池添加卷 #编辑源文件

虚拟机管理器允许您在所有存储池中创建卷，除了多路径、iSCSI 或 SCSI 类型的池。这些池中的卷等同于 LUN，无法在 libvirt 中更改。

1. 可以通过存储管理器或在向虚拟机添加新存储设备时创建新卷。在这两种情况下，请从左侧面板选择一个存储池，然后单击 创建新卷。

2. 为映像指定名称并选择映像格式。

   SUSE 目前仅支持 raw 或 qcow2 映像。后一种选项在基于 LVM 组的池上不可用。

   在 最大容量旁边，指定磁盘映像允许达到的最大大小。除非您正在使用 qcow2 映像，否则您还可以设置分配量，该量应在初始时分配。如果两个值不同，则会创建一个稀疏映像文件，该文件按需增长。

   对于 qcow2 映像，您可以使用后备存储（也称为“后备文件”），它构成一个基本映像。新创建的 qcow2 映像随后仅记录对基本映像所做的更改。

3. 通过单击 完成开始卷创建。

8.2.2.2.3 从存储池中删除卷 #编辑源文件

只能从存储管理器中删除卷，方法是选择一个卷并单击 删除卷。通过 是进行确认。

警告：即使在使用中，卷也可以被删除

即使卷当前正在被活动或非活动的虚拟机使用，也可以删除它们。无法恢复已删除的卷。

卷是否被虚拟机使用在存储管理器中的使用中列中指示。

PXE 启动使您的虚拟机能够通过网络从安装介质启动，而不是从物理介质或安装磁盘映像启动。

要让您的虚拟机从 PXE 服务器启动，请按照以下步骤操作

某些操作系统，例如 openSUSE Leap，提供在安装过程中包含附加产品的选项。如果附加产品安装源通过 SUSE Customer Center 提供，则无需特殊的虚拟机配置。如果通过 CD/DVD 或 ISO 映像提供，则必须同时为虚拟机安装系统提供标准安装介质映像和附加产品映像。

如果您使用基于 GUI 的安装，请在向导的最后一步选择 在安装前自定义配置，并通过 添加硬件 › 存储 添加附加产品 ISO 映像。指定映像路径并将 设备类型 设置为 CD-ROM。

如果您从命令行安装，您需要使用 --disk 参数而不是 --cdrom 来设置虚拟 CD/DVD 驱动器。首先指定的设备用于引导。以下示例安装 SUSE Linux Enterprise Server 15 以及 SUSE Enterprise Storage 扩展

> virt-install \
 --name sles15+storage \
 --memory 2048 --disk size=10 \
 --disk /path/to/SLE-15-SP5-Full-ARCH-GM-media1.iso-x86_64-GM-DVD1.iso,device=cdrom \
 --disk /path/to/SUSE-Enterprise-Storage-VERSION-DVD-ARCH-Media1.iso,device=cdrom \
 --graphics vnc --os-variant sle15

Virtual Machine Manager 的主窗口列出了它连接到的每个虚拟机主机服务器的所有虚拟机。每个虚拟机条目包含机器名称、其状态（运行中、暂停 或 已关闭），显示为图标和文字，以及 CPU 使用率条。

使用命令 virsh list 获取虚拟机列表

有关更多信息和进一步的选项，请参阅 virsh help list 或 man 1 virsh。

打开虚拟机的图形控制台可让您通过 VNC 连接与物理主机进行交互。如果访问 VNC 服务器需要身份验证，您将被要求输入用户名（如果适用）和密码。

当您单击 VNC 控制台时，光标会被 “捕获”，并且无法在控制台外部使用。要释放它，请按 Alt–Ctrl。

提示：无缝（绝对）光标移动

要阻止控制台捕获光标并启用无缝光标移动，请向虚拟机添加一个平板输入设备。有关更多信息，请参阅 第 13.5 节，“输入设备”。

某些组合键，如 Ctrl–Alt–Del，会被主机系统解释，并且不会传递给虚拟机。要将此类组合键传递给虚拟机，请从 VNC 窗口打开 发送键 菜单并选择所需的组合键条目。 发送键 菜单仅在使用 Virtual Machine Manager 和 virt-viewer 时可用。使用 Virtual Machine Manager，您还可以选择 “粘滞键” 功能，如 提示：将组合键传递给虚拟机 中所述。

注意：支持的 VNC 查看器

原则上，所有 VNC 查看器都可以连接到虚拟机的控制台。但是，如果您使用 SASL 身份验证和/或 TLS/SSL 连接来访问虚拟机，则选项将受到限制。常见的 VNC 查看器，如 tightvnc 或 tigervnc，既不支持 SASL 身份验证，也不支持 TLS/SSL。 Virtual Machine Manager 和 virt-viewer 之外唯一支持的替代方案是 Remmina（请参阅 《参考》手册，第 4 章 “使用 VNC 进行远程图形会话”，第 4.2 节 “Remmina：远程桌面客户端”）。

10.2.1.2 使用 virt-viewer 打开图形控制台 #编辑源

virt-viewer 是一个简单的 VNC 查看器，具有显示虚拟机控制台的附加功能。例如，它可以以 “等待” 模式启动，在该模式下，它会在虚拟机启动后再连接。它还支持自动重新连接到已重启的虚拟机。

virt-viewer 通过名称、ID 或 UUID 来寻址虚拟机。使用 virsh list --all 获取此数据。

要连接到正在运行或已暂停的虚拟机，请使用 ID、UUID 或名称。已关闭的虚拟机没有 ID—您只能通过 UUID 或名称连接到它们。

连接到 ID 为 8 的虚拟机

> virt-viewer 8

连接到名为 sles12 的非活动虚拟机；一旦虚拟机启动，连接窗口就会打开

> virt-viewer --wait sles12

使用 --wait 选项，即使虚拟机当前未运行，连接也会保持。当虚拟机启动时，会启动查看器。

有关更多信息，请参阅 virt-viewer --help 或 man 1 virt-viewer。

注意：通过 SSH 进行远程连接时的密码输入

当使用 virt-viewer 通过 SSH 打开到远程主机的连接时，SSH 密码需要输入两次。第一次用于向 libvirt 进行身份验证，第二次用于向 VNC 服务器进行身份验证。第二次密码需要在启动 virt-viewer 的命令行上提供。

访问虚拟机的图形控制台需要访问虚拟机的客户端上存在图形环境。作为替代方案，可以通过串行控制台和 virsh 从 shell 访问由 libvirt 管理的虚拟机。要打开名为 “sles12” 的虚拟机的串行控制台，请运行以下命令

> virsh console sles12

virsh console 接受两个可选标志：--safe 确保对控制台的独占访问，--force 在连接前断开任何现有会话。这两个功能都需要虚拟机操作系统支持。

能够通过串行控制台连接到虚拟机需要虚拟机操作系统支持串行控制台访问并得到正确支持。有关更多信息，请参阅虚拟机操作系统手册。

提示：为 SUSE Linux Enterprise 和 openSUSE 虚拟机启用串行控制台访问

SUSE Linux Enterprise 和 openSUSE 中的串行控制台访问默认是禁用的。要启用它，请按以下步骤操作

SLES 12、15 和 openSUSE

启动 YaST Boot Loader 模块并切换到 内核参数 选项卡。将 console=ttyS0 添加到 可选内核命令行参数 字段。

SLES 11

启动 YaST Boot Loader 模块并选择要激活串行控制台访问的引导项。选择 编辑 并将 console=ttyS0 添加到 可选内核命令行参数 字段。此外，编辑 /etc/inittab 并取消注释包含以下内容的行

#S0:12345:respawn:/sbin/agetty -L 9600 ttyS0 vt102

更改虚拟机状态可以从 Virtual Machine Manager 的主窗口或从 VNC 窗口完成。

在以下示例中，更改了名为 “sles12” 的虚拟机的状态。

使用命令 virsh save 保存正在运行的虚拟机，并指定保存到的文件。

要恢复虚拟机，请使用 virsh restore

> virsh restore /virtual/saves/opensuse13.vmsave

有几个特定的术语用于描述快照的类型

重要：仅内部快照

Virtual Machine Manager 仅支持内部快照，包括实时或离线快照。

要打开 Virtual Machine Manager 中的快照管理视图，请按照 第 10.2.1.1 节，“使用 Virtual Machine Manager 打开图形控制台” 中的说明打开 VNC 窗口。现在，选择 查看 › 快照 或单击工具栏中的 管理虚拟机快照。

窗口左侧显示所选虚拟机的现有快照列表。最后一个启动的快照用绿色勾号标记。窗口右侧显示当前列表中标记的快照的详细信息。这些详细信息包括快照的标题和时间戳、拍摄快照时虚拟机的状态以及描述。正在运行的虚拟机的快照还包括屏幕截图。 描述 可以直接从该视图更改。其他快照数据无法更改。

要列出域（以下为 admin_server）的所有现有快照，请运行 snapshot-list 命令

> virsh snapshot-list --domain sle-ha-node1
 Name                 Creation Time             State
------------------------------------------------------------
 sleha_12_sp2_b2_two_node_cluster 2016-06-06 15:04:31 +0200 shutoff
 sleha_12_sp2_b3_two_node_cluster 2016-07-04 14:01:41 +0200 shutoff
 sleha_12_sp2_b4_two_node_cluster 2016-07-14 10:44:51 +0200 shutoff
 sleha_12_sp2_rc3_two_node_cluster 2016-10-10 09:40:12 +0200 shutoff
 sleha_12_sp2_gmc_two_node_cluster 2016-10-24 17:00:14 +0200 shutoff
 sleha_12_sp3_gm_two_node_cluster 2017-08-02 12:19:37 +0200 shutoff
 sleha_12_sp3_rc1_two_node_cluster 2017-06-13 13:34:19 +0200 shutoff
 sleha_12_sp3_rc2_two_node_cluster 2017-06-30 11:51:24 +0200 shutoff
 sleha_15_b6_two_node_cluster 2018-02-07 15:08:09 +0100 shutoff
 sleha_15_rc1_one-node 2018-03-09 16:32:38 +0100 shutoff

最后启动的快照显示在 snapshot-current 命令：

> virsh snapshot-current --domain admin_server
Basic installation incl. SMT for CLOUD4

通过运行 snapshot-info 命令可以获取特定快照的详细信息

> virsh snapshot-info --domain admin_server \
   -name  "Basic installation incl. SMT for CLOUD4"
Name:           Basic installation incl. SMT for CLOUD4
Domain:         admin_server
Current:        yes
State:          shutoff
Location:       internal
Parent:         Basic installation incl. SMT for CLOUD3-HA
Children:       0
Descendants:    0
Metadata:       yes

> virsh snapshot-create-as --domain admin_server1 --name "Snapshot 1"2 \
--description "First snapshot"3

> virsh snapshot-create-as --domain admin_server --name \
 "Offline external snapshot" --disk-only

> virsh snapshot-create-as --domain admin_server --name \
 "Offline external snapshot" \
 --disk-only --diskspec vda,snapshot=external,file=/path/to/snapshot_file

> virsh snapshot-create-as --domain admin_server --name \
 "Offline external snapshot" --live \
 --memspec snapshot=external,file=/path/to/snapshot_file

> virsh snapshot-create-as --domain admin_server --name \
 "Offline external snapshot" --live \
 --memspec snapshot=external,file=/path/to/snapshot_file
 --diskspec vda,snapshot=external,file=/path/to/snapshot_file

> virsh snapshot-delete --domain admin_server --snapshotname "Snapshot 2"

> virsh snapshot-revert --domain admin_server --snapshotname "Snapshot 1"

> virsh snapshot-revert --domain admin_server --current

要删除虚拟机，需要先将其关闭。无法删除正在运行的虚拟机。有关关机的信息，请参阅 第 10.3 节，“更改虚拟机状态：启动、停止、暂停”。

要使用 virsh 删除虚拟机，请运行 virsh undefine VM_NAME。

> virsh undefine sles12

没有自动删除附加存储文件的选项。如果它们由 libvirt 管理，请按 第 8.2.1.4 节，“从存储池删除卷” 中的说明删除它们。

要成功将虚拟机迁移到另一台虚拟机主机服务器，需要满足以下要求

重要提示

要使用 post-copy 实时迁移选项，内核版本 5.11 或更高版本的 KVM 主机需要将 unprivileged_userfaultfd 系统值设置为 1

> sudo sysctl -w vm.unprivileged_userfaultfd=1

由于 5.11 之前的内核版本不需要设置 unprivileged_userfaultfd 来使用 post-copy 选项，libvirt 在 /usr/lib/sysctl.d/60-qemu-postcopy-migration.conf 文件中提供了该设置以保留旧行为。

使用 Virtual Machine Manager 迁移虚拟机时，在哪台机器上启动它并不重要。您可以在源主机、目标主机或甚至第三方主机上启动 Virtual Machine Manager。在后一种情况下，您需要能够打开到目标主机和源主机的远程连接。

要使用 virsh migrate 迁移虚拟机，您需要直接或远程 shell 访问虚拟机主机服务器，因为该命令需要在主机上运行。迁移命令如下所示

> virsh migrate [OPTIONS] VM_ID_or_NAME CONNECTION_URI [--migrateuri tcp://REMOTE_HOST:PORT]

最重要的选项列在下面。请参阅 virsh help migrate 获取完整列表。

以下示例使用 mercury.example.com 作为源系统，jupiter.example.com 作为目标系统；虚拟机的名称为 opensuse131，ID 为 37。

注意：瞬时与持久迁移

默认情况下，virsh migrate 在目标主机上创建虚拟机的临时（瞬时）副本。原始虚拟机描述的已关闭版本保留在源主机上。瞬时副本在关闭后将从服务器中删除。

要创建虚拟机在目标主机上的永久副本，请使用开关 --persistent。原始虚拟机描述的已关闭版本也会保留在源主机上。将 --undefinesource 与 --persistent 选项一起使用，以实现 “真实” 移动，即在目标主机上创建永久副本，并删除源主机上的副本。

不建议在不使用 --persistent 选项的情况下使用 --undefinesource，因为这会导致虚拟机在目标主机上关闭时丢失两个虚拟机定义。

启动 Virtual Machine Manager 并连接到虚拟机主机服务器后，将显示所有正在运行的虚拟机的 CPU 使用率图。

使用此工具还可以获取磁盘和网络使用情况的信息，但您必须首先在 首选项 中激活它

之后，磁盘和网络统计信息也将显示在 Virtual Machine Manager 的主窗口中。

VNC 窗口提供了更精确的数据。按照 第 10.2.1 节，“打开图形控制台” 中的说明打开 VNC 窗口。从工具栏或 查看 菜单中选择 详细信息。统计信息显示在左侧树状菜单的 性能 条目中。

virt-top 是一个命令行工具，类似于广为人知的进程监控工具 top。virt-top 使用 libvirt，因此能够显示不同虚拟机管理器上运行的虚拟机的统计信息。建议使用 virt-top 而不是特定于虚拟机管理器的工具，如 xentop。

默认情况下，virt-top 显示所有正在运行的虚拟机的统计信息。显示的其中一项数据是内存使用百分比（%MEM）和 CPU 使用百分比（%CPU）以及虚拟机运行时间（TIME）。数据会定期更新（默认每三秒）。以下显示了在具有七个虚拟机的虚拟机主机服务器上的输出，其中四个不活动

virt-top 13:40:19 - x86_64 8/8CPU 1283MHz 16067MB 7.6% 0.5%
7 domains, 3 active, 3 running, 0 sleeping, 0 paused, 4 inactive D:0 O:0 X:0
CPU: 6.1%  Mem: 3072 MB (3072 MB by guests)

   ID S RDRQ WRRQ RXBY TXBY %CPU %MEM    TIME   NAME
    7 R  123    1  18K  196  5.8  6.0   0:24.35 sled12_sp1
    6 R    1    0  18K    0  0.2  6.0   0:42.51 sles12_sp1
    5 R    0    0  18K    0  0.1  6.0  85:45.67 opensuse_leap
    -                                           (Ubuntu_1410)
    -                                           (debian_780)
    -                                           (fedora_21)
    -                                           (sles11sp3)

默认情况下，输出按 ID 排序。使用以下组合键更改排序字段

要使用任何其他字段进行排序，请按 Shift–F 并从列表中选择一个字段。要切换排序顺序，请使用 Shift–R。

virt-top 还支持虚拟机数据的不同视图，这些视图可以即时更改，方法是按以下键

virt-top 支持更多热键来更改数据视图，以及许多影响程序行为的命令行开关。有关更多信息，请参阅 man 1 virt-top。

kvm_stat 可用于跟踪 KVM 性能事件。它监控 /sys/kernel/debug/kvm，因此需要挂载 debugfs。在 openSUSE Leap 上，它应该默认挂载。如果未挂载，请使用以下命令

> sudo mount -t debugfs none /sys/kernel/debug

kvm_stat 可用于三种不同模式

kvm_stat                    # update in 1 second intervals
kvm_stat -1                 # 1 second snapshot
kvm_stat -l > kvmstats.log  # update in 1 second intervals in log format
                            # can be imported to a spreadsheet

kvm statistics

 efer_reload                  0       0
 exits                 11378946  218130
 fpu_reload               62144     152
 halt_exits              414866     100
 halt_wakeup             260358      50
 host_state_reload       539650     249
 hypercalls                   0       0
 insn_emulation         6227331  173067
 insn_emulation_fail          0       0
 invlpg                  227281      47
 io_exits                113148      18
 irq_exits               168474     127
 irq_injections          482804     123
 irq_window               51270      18
 largepages                   0       0
 mmio_exits                6925       0
 mmu_cache_miss           71820      19
 mmu_flooded              35420       9
 mmu_pde_zapped           64763      20
 mmu_pte_updated              0       0
 mmu_pte_write           213782      29
 mmu_recycled                 0       0
 mmu_shadow_zapped       128690      17
 mmu_unsync                  46      -1
 nmi_injections               0       0
 nmi_window                   0       0
 pf_fixed               1553821     857
 pf_guest               1018832     562
 remote_tlb_flush        174007      37
 request_irq                  0       0
 signal_exits                 0       0
 tlb_flush               394182     148

有关如何解释这些值的更多信息，请参阅 http://clalance.blogspot.com/2009/01/kvm-performance-tools.html。

libvirtd 身份验证在 /etc/libvirt/libvirtd.conf 中配置。在此处进行的配置适用于所有 libvirt 工具，例如 Virtual Machine Manager 或 virsh。

libvirt 提供两个套接字：一个用于监视目的的只读套接字，以及一个用于管理操作的读写套接字。两个套接字的访问都可以独立配置。默认情况下，两个套接字都属于 root.root。读写套接字的默认访问权限仅限于用户 root（0700），而只读套接字的权限完全开放（0777）。

以下说明描述了如何配置读写套接字的访问权限。相同的说明也适用于只读套接字。所有配置步骤都必须在虚拟机主机服务器上执行。

注意：openSUSE Leap 上的默认身份验证设置

openSUSE Leap 上的默认身份验证方法是 Unix 套接字的访问控制。只有用户 root 可以进行身份验证。当直接在虚拟机主机服务器上以非 root 用户身份访问 libvirt 工具时，您需要通过 Polkit 提供一次 root 密码。然后，您将获得当前会话和未来会话的访问权限。

或者，您可以配置 libvirt 以允许非特权用户访问““system””。有关详细信息，请参阅第 11.2.1 节，“非特权用户的““system””访问”。

11.1.1.2 使用 Polkit 进行 Unix 套接字的本地访问控制 #编辑源文件

使用 Polkit 的 Unix 套接字访问控制是 openSUSE Leap 上非远程连接的默认身份验证方法。因此，无需进行任何 libvirt 配置更改。启用 Polkit 授权后，两个套接字的权限默认为 0777，每个尝试访问套接字的应用程序都需要通过 Polkit 进行身份验证。

重要：仅限本地连接的 Polkit 身份验证

Polkit 身份验证只能用于虚拟机主机服务器本身的本地连接，因为 Polkit 不处理远程身份验证。

存在两个用于访问 libvirt 套接字的策略

• org.libvirt.unix.monitor：访问只读套接字

• org.libvirt.unix.manage：访问读写套接字

默认情况下，访问读写套接字的策略是使用 root 密码进行一次身份验证，并授予当前和未来会话的权限。

要授予用户访问套接字的权限而不必提供 root 密码，您需要创建一个位于 /etc/polkit-1/rules.d 中的规则。创建 /etc/polkit-1/rules.d/10-grant-libvirt 文件，其中包含以下内容，以授予 libvirt 组所有成员对读写套接字的访问权限。

polkit.addRule(function(action, subject) {
  if (action.id == "org.libvirt.unix.manage" && subject.isInGroup("libvirt")) {
    return polkit.Result.YES;
  }
});

11.1.1.3 使用 SASL 进行用户名和密码身份验证 #编辑源文件

SASL 提供用户名和密码身份验证以及数据加密 (默认使用 digest-md5)。由于 SASL 维护自己的用户数据库，因此用户不需要存在于虚拟机主机服务器上。TCP 连接以及 TLS/SSL 连接之上都需要 SASL。

重要：纯 TCP 和带 digest-md5 加密的 SASL

在未加密的 TCP 连接上使用 digest-md5 加密，对于生产环境来说安全性不足。建议仅在测试环境中使用。

提示：TLS/SSL 之上的 SASL 身份验证

可以在客户端侧通过限制对证书密钥文件的访问来间接控制来自远程 TLS/SSL 连接的访问。但是，在处理许多客户端时，这可能会容易出错。将 SASL 与 TLS 结合使用，可以通过在服务器侧额外控制访问来增加安全性。

要配置 SASL 身份验证，请执行以下操作

1. 按如下方式修改 /etc/libvirt/libvirtd.conf 中的配置

   1. 为 TCP 连接启用 SASL

      auth_tcp = "sasl"

   2. 为 TLS/SSL 连接启用 SASL

      auth_tls = "sasl"

2. 重启 libvirtd

   > sudo systemctl restart libvirtd

3. libvirt SASL 配置文件位于 /etc/sasl2/libvirtd.conf。通常无需更改默认设置。但是，如果在 TLS 之上使用 SASL，则可以通过注释掉设置 mech_list 参数的行来关闭会话加密，以避免额外的开销 (TLS 连接已加密)。仅对 TLS/SASL 执行此操作。对于 TCP 连接，此参数必须设置为 digest-md5。

   #mech_list: digest-md5

4. 默认情况下，未配置 SASL 用户，因此无法登录。使用以下命令管理用户

   添加用户 tux

   saslpasswd2 -a libvirt tux

   删除用户 tux

   saslpasswd2 -a libvirt -d tux

   列出现有用户

   sasldblistusers2 -f /etc/libvirt/passwd.db

提示：virsh 和 SASL 身份验证

使用 SASL 身份验证时，每次发出 virsh 命令时都会提示您输入用户名和密码。通过在 shell 模式下使用 virsh 来避免此情况。

由于对虚拟机客户机的图形控制台的访问不由 libvirt 控制，而是由特定虚拟机监控程序控制，因此始终需要另外配置 VNC 身份验证。主配置文件是 /etc/libvirt/<hypervisor>.conf。本节介绍 QEMU/KVM 虚拟机监控程序，因此目标配置文件是 /etc/libvirt/qemu.conf。

注意：Xen 的 VNC 身份验证

与 KVM 不同，Xen 尚未提供比按虚拟机设置密码更复杂的 VNC 身份验证。请参阅下面的 <graphics type='vnc'... libvirt 配置选项。

有两种身份验证类型可用：SASL 和单密码身份验证。如果您正在将 SASL 用于 libvirt 身份验证，强烈建议您也将其用于 VNC 身份验证 — 可以共享同一数据库。

限制对虚拟机客户机的访问的第三种方法是启用 VNC 服务器上的 TLS 加密。这要求 VNC 客户端拥有 x509 客户端证书的访问权限。通过限制对这些证书的访问，可以间接控制客户端侧的访问。有关详细信息，请参阅第 11.3.2.4.2 节，“VNC over TLS/SSL：客户端配置”。

11.1.2.1 使用 SASL 进行用户名和密码身份验证 #编辑源文件

SASL 提供用户名和密码身份验证以及数据加密。由于 SASL 维护自己的用户数据库，因此用户不需要存在于虚拟机主机服务器上。与 libvirt 的 SASL 身份验证一样，您可以在 TLS/SSL 连接之上使用 SASL。有关配置这些连接的详细信息，请参阅第 11.3.2.4.2 节，“VNC over TLS/SSL：客户端配置”。

要为 VNC 配置 SASL 身份验证，请执行以下操作

1. 创建 SASL 配置文件。建议使用现有的 libvirt 文件。如果您已经为 libvirt 配置了 SASL，并且计划使用相同的设置，包括相同的用户名和密码数据库，则一个简单的链接就足够了。

   > sudo ln -s /etc/sasl2/libvirt.conf /etc/sasl2/qemu.conf

   如果您只设置 VNC 的 SASL，或者您计划使用与 libvirt 不同的配置，请复制现有文件作为模板

   > sudo cp /etc/sasl2/libvirt.conf /etc/sasl2/qemu.conf

   然后根据您的需求进行编辑。

2. 按如下方式修改 /etc/libvirt/qemu.conf 中的配置

   vnc_listen = "0.0.0.0"
   vnc_sasl = 1
   sasldb_path: /etc/libvirt/qemu_passwd.db

   第一个参数使 VNC 能够监听所有公共接口 (而不是仅监听本地主机)，第二个参数启用 SASL 身份验证。

3. 默认情况下，未配置 SASL 用户，因此无法登录。使用以下命令管理用户

   添加用户 tux

   > saslpasswd2 -f /etc/libvirt/qemu_passwd.db -a qemu tux

   删除用户 tux

   > saslpasswd2 -f /etc/libvirt/qemu_passwd.db -a qemu -d tux

   列出现有用户

   > sasldblistusers2 -f /etc/libvirt/qemu_passwd.db

4. 重启 libvirtd

   > sudo systemctl restart libvirtd

5. 重启在更改配置前运行的所有虚拟机。尚未重启的虚拟机无法使用 VNC 连接的 SASL 身份验证。

注意：支持的 VNC 查看器

SASL 身份验证当前受虚拟机管理器和 virt-viewer 支持。这两个查看器也支持 TLS/SSL 连接。

11.1.2.2 单密码身份验证 #编辑源文件

对 VNC 服务器的访问也可以通过设置 VNC 密码来控制。您可以为所有虚拟机设置全局密码，也可以为每个虚拟机设置单独的密码。后者需要编辑虚拟机配置。文件。

注意：始终设置全局密码

如果您使用单密码身份验证，即使设置了每个虚拟机的密码，最好也设置一个全局密码。如果您忘记设置每个机器的密码，这将用““fallback””密码保护您的虚拟机。全局密码仅在未为该计算机设置其他密码时使用。

过程 11.1: 设置全局 VNC 密码 #

1. 按如下方式修改 /etc/libvirt/qemu.conf 中的配置

   vnc_listen = "0.0.0.0"
   vnc_password = "PASSWORD"

   第一个参数使 VNC 能够监听所有公共接口 (而不是仅监听本地主机)，第二个参数设置密码。密码的最大长度为八个字符。

2. 重启 libvirtd

   > sudo systemctl restart libvirtd

3. 重启在更改配置前运行的所有虚拟机。尚未重启的虚拟机无法使用 VNC 连接的密码身份验证。

过程 11.2: 设置虚拟机特定的 VNC 密码 #

1. 按如下方式修改 /etc/libvirt/qemu.conf 中的配置，以使 VNC 能够监听所有公共接口 (而不是仅监听本地主机)。

   vnc_listen = "0.0.0.0"

2. 在编辑器中打开虚拟机客户机的 XML 配置文件。在以下示例中，将 VM_NAME 替换为虚拟机客户机的名称。使用的编辑器默认为 $EDITOR。如果未设置该变量，则使用 vi。

   > virsh edit VM_NAME

3. 搜索属性为 type='vnc' 的 <graphics> 元素，例如

   <graphics type='vnc' port='-1' autoport='yes'/>

4. 添加 passwd=PASSWORD 属性，保存文件并退出编辑器。密码的最大长度为八个字符。

   <graphics type='vnc' port='-1' autoport='yes' passwd='PASSWORD'/>

5. 重启 libvirtd

   > sudo systemctl restart libvirtd

6. 重启在更改配置前运行的所有虚拟机。尚未重启的虚拟机无法使用 VNC 连接的密码身份验证。

警告：VNC 协议的安全性

VNC 协议不被认为是安全的。虽然密码以加密方式发送，但在攻击者可以嗅探加密密码和加密密钥的情况下，它可能存在漏洞。因此，建议将 VNC 与 TLS/SSL 或通过 SSH 隧道一起使用。virt-viewer、虚拟机管理器和 Remmina (请参阅《参考》一书，第 4 章“使用 VNC 进行远程图形会话”，第 4.2 节“Remmina：远程桌面客户端”) 支持这两种方法。

如上所述，可以通过两种不同的协议建立与 QEMU 虚拟机监控程序的连接：session 和 system。““session””连接以与客户端程序相同的权限启动。此类连接适用于桌面虚拟化，因为它受到限制 (例如，无 USB/PCI 设备分配、无虚拟网络设置、对 libvirtd 的远程访问受限)。

用于服务器虚拟化的““system””连接没有功能限制，但默认情况下只能由 root 访问。但是，通过向 libvirt 添加 DAC (Discretionary Access Control) 驱动程序，现在可以授予非特权用户““system””访问权限。要授予用户 tux““system””访问权限，请执行以下操作

虚拟机管理器为它管理的每个虚拟机主机服务器使用一个 Connection。每个连接都包含各自主机上的所有虚拟机。默认情况下，已配置并连接到本地主机的连接。

所有已配置的连接都显示在虚拟机管理器主窗口中。活动连接用小三角形标记，您可以单击该三角形来折叠或展开该连接的虚拟机列表。

非活动连接显示为灰色，并标记为“Not Connected”。您可以双击或右键单击它，然后从上下文菜单中选择Connect。您也可以从此菜单中Delete现有连接。

注意：编辑现有连接

无法编辑现有连接。要更改连接，请创建一个具有所需参数的新连接，然后删除““old””连接。

要添加虚拟机管理器中的新连接，请执行以下操作

在虚拟机主机服务器上启用通过 SSH 隧道的远程连接，只需要能够接受 SSH 连接即可。请确保 SSH 守护进程已启动 (systemctl status sshd)，并且防火墙中已打开服务 SSH 的端口。

SSH 连接的用户身份验证可以使用传统的基于文件所有权和权限的方法，如第 11.1.1.1 节，“使用权限和组所有权进行 Unix 套接字访问控制”中所述。以用户 tux (qemu+ssh://tuxsIVname;/system 或 xen+ssh://tuxsIVname;/system) 的身份连接开箱即用，无需在 libvirt 端进行额外配置。

通过 SSH qemu+ssh://USER@SYSTEM 或 xen+ssh://USER@SYSTEM 连接时，您需要提供 USER 的密码。这可以通过将您的公钥复制到虚拟机主机服务器上的 ~USER/.ssh/authorized_keys 来避免，如《安全和加固指南》一书，第 22 章“使用 OpenSSH 保护网络操作”，第 22.6 节“公钥身份验证”中所述。在连接的机器上使用 gnome-keyring 可以提供更多便利。有关更多信息，请参阅《安全和加固指南》一书，第 22 章“使用 OpenSSH 保护网络操作”，第 22.9 节“使用 gnome-keyring 进行自动化公钥登录”。

使用带有 TLS/SSL 加密和 x509 证书身份验证的 TCP 连接比 SSH 设置要复杂得多，但可扩展性更好。如果您需要管理具有不同管理员数量的多个虚拟机主机服务器，请使用此方法。

11.3.2.1 基本概念 #编辑源文件

TLS (Transport Layer Security) 通过使用证书加密两个计算机之间的通信。发起连接的计算机始终被视为“client”，使用“client certificate”，而接收计算机始终被视为“server”，使用“server certificate”。例如，如果您从中央桌面管理虚拟机主机服务器，则适用此场景。

如果从两台计算机发起连接，则每台计算机都需要客户端 和 服务器证书。例如，如果您将虚拟机客户机从一个主机迁移到另一个主机，就是这种情况。

每个 x509 证书都有一个匹配的私钥文件。只有证书和私钥文件的组合才能正确标识自身。为了确保证书是由假定的所有者颁发的，它由一个称为证书颁发机构 (CA) 的中心证书签名并颁发。客户端和服务器证书都必须由同一 CA 颁发。

重要：用户身份验证

使用远程 TLS/SSL 连接仅确保两台计算机被允许在特定方向上进行通信。可以通过在客户端限制对证书的访问来间接实现对特定用户的访问限制。有关更多信息，请参阅第 11.3.2.5 节，“限制访问 (安全注意事项)”。

libvirt 还支持在服务器上使用 SASL 进行用户身份验证。有关更多信息，请参阅第 11.3.2.6 节，“使用 SASL 为 TLS 套接字进行集中用户身份验证”。

11.3.2.2 配置虚拟机主机服务器 #编辑源文件

虚拟机主机服务器是接收连接的机器。因此，需要安装服务器证书。CA 证书也需要安装。证书到位后，即可为 libvirt 启用 TLS 支持。

1. 创建服务器证书并将其与相应的 CA 证书一起导出。

2. 在虚拟机主机服务器上创建以下目录

   > sudo mkdir -p /etc/pki/CA/ /etc/pki/libvirt/private/

   如下安装证书

   > sudo /etc/pki/CA/cacert.pem
   > sudo /etc/pki/libvirt/servercert.pem
   > sudo /etc/pki/libvirt/private/serverkey.pem

   

   重要：限制对证书的访问

   确保限制对证书的访问，如第 11.3.2.5 节，“限制访问 (安全注意事项)”中所述。

3. 通过启用相关套接字并重启 libvirtd 来启用 TLS 支持

   > sudo systemctl stop libvirtd.service
   > sudo systemctl enable --now libvirtd-tls.socket
   > sudo systemctl start libvirtd.service

4. 默认情况下，libvirt 使用 TCP 端口 16514 来接受安全的 TLS 连接。在防火墙中打开此端口。

重要：启用 TLS 后重启 libvirtd

如果您为 libvirt 启用了 TLS，则必须已安装服务器证书，否则重启 libvirtd 将失败。如果您更改证书，还需要重启 libvirtd。