Comprobar la compatibilidad con virtualización por hardware y KVM anidado antes de depender de ellos

Objetivo

Determinar si la CPU y la configuración del kernel de un host Linux pueden ejecutar invitados KVM, y si la virtualización anidada (un invitado que a su vez ejecuta KVM) está disponible, antes de depender de cualquiera de las dos.

Requisitos previos

Acceso de shell al host, ya sea físico o virtual. Las comprobaciones de solo lectura que se describen a continuación funcionan sin privilegios de root (virt-host-validate ofrece el panorama más completo cuando se ejecuta como root); recargar el módulo KVM y escribir en /etc/modprobe.d/ sí requiere root. Debe estar instalado el paquete que incluye virt-host-validate (por ejemplo, libvirt-clients en Debian/Ubuntu o libvirt-client en la familia RHEL).

Pasos

1. Confirma que la CPU expone las extensiones de virtualización: grep -Ewo 'vmx|svm' /proc/cpuinfo | sort -u. /proc/cpuinfo (descrito en proc(5)) lista elementos dependientes de la CPU, incluida la línea flags; vmx indica Intel VT-x y svm indica AMD-V. Si no hay salida, significa que la CPU, un ajuste del firmware o el hipervisor exterior no expone la extensión a este sistema operativo.
2. Ejecuta la comprobación más amplia: virt-host-validate qemu (o virt-host-validate sin argumentos para todos los controladores). Informa con PASS/WARN/FAIL sobre la compatibilidad de la CPU con la virtualización, si /dev/kvm es utilizable, los controladores de cgroups y otros requisitos para ejecutar invitados QEMU/KVM en este host.
3. Para el anidamiento, revisa el ajuste en el host exterior (el que ejecuta la VM en la que quieres usar KVM): cat /sys/module/kvm_intel/parameters/nested (Intel) o cat /sys/module/kvm_amd/parameters/nested (AMD); 1/Y significa que está activado. Los kernels upstream lo activan por defecto desde Linux 4.20, pero los kernels de las distribuciones y las opciones locales de modprobe pueden diferir. Dentro de la VM, el paso 1 muestra entonces si vmx/svm han llegado realmente.
4. Para activar el anidamiento en un host Intel: apaga o migra primero todos los invitados en ejecución (el módulo no se puede descargar mientras está en uso), luego ejecuta sudo modprobe -r kvm_intel && sudo modprobe kvm_intel nested=1 y verifica con el mismo cat del paso 3. Para que persista tras los reinicios, añade options kvm_intel nested=1 en un archivo como /etc/modprobe.d/kvm.conf (en AMD: kvm_amd). Para revertirlo, elimina esa línea y recarga el módulo de la misma manera.
5. Para que el propio invitado anidado use la aceleración KVM, el hipervisor exterior debe exponer al invitado interno un modelo de CPU virtual con VMX/SVM (por ejemplo, <cpu mode='host-passthrough'> en el XML del dominio de libvirt); no basta con activar el parámetro del módulo en el host.

Resultado esperado

virt-host-validate muestra PASS en la comprobación de CPU del controlador QEMU, y el archivo del parámetro nested contiene Y/1 cuando el anidamiento está activo.

Límites y base de verificación

La documentación del kernel sobre VMX anidado describe la virtualización anidada específicamente para la vía de Intel (VMX); el soporte de SVM anidado de AMD se controla de la misma forma, pero a través del módulo kvm_amd, y aquí se menciona sin una fuente específica de AMD. El hipervisor de una VM en la nube o alojada puede ocultar por completo estos flags, con independencia de la CPU física subyacente; en ese caso, ningún comando ejecutado dentro del invitado puede activar KVM anidado.