Verificar o suporte a virtualização por hardware e o KVM aninhado antes de depender deles

Objetivo

Determinar se a CPU e a configuração do kernel de um host Linux conseguem executar guests KVM e se a virtualização aninhada (um guest que, por sua vez, executa KVM) está disponível, antes de depender de qualquer uma delas.

Pré-requisitos

Acesso ao shell do host, físico ou virtual. As verificações somente leitura abaixo funcionam sem root (o virt-host-validate dá o quadro mais completo quando executado como root); recarregar o módulo KVM e escrever em /etc/modprobe.d/ exigem root. O pacote que fornece o virt-host-validate (por exemplo, libvirt-clients no Debian/Ubuntu, libvirt-client em sistemas da família RHEL) precisa estar instalado.

Passos

1. Confirme que a CPU expõe as extensões de virtualização: grep -Ewo 'vmx|svm' /proc/cpuinfo | sort -u. O /proc/cpuinfo (descrito em proc(5)) lista itens dependentes da CPU, incluindo a linha flags; vmx indica Intel VT-x e svm indica AMD-V. Se não houver saída, a CPU, uma configuração de firmware ou o hipervisor externo não expõe a extensão a este sistema operacional.
2. Execute a verificação mais ampla: virt-host-validate qemu (ou virt-host-validate sem argumento, para todos os drivers). Ele informa PASS/WARN/FAIL para o suporte da CPU à virtualização, a usabilidade do /dev/kvm, os controladores de cgroup e outros pré-requisitos para executar guests QEMU/KVM neste host.
3. Para o aninhamento, verifique a configuração no host externo (aquele que executa a VM na qual você quer rodar KVM): cat /sys/module/kvm_intel/parameters/nested (Intel) ou cat /sys/module/kvm_amd/parameters/nested (AMD); 1/Y significa ativado. Os kernels upstream o ativam por padrão desde o Linux 4.20, mas kernels de distribuições e opções locais do modprobe podem divergir. Dentro da VM, o passo 1 mostra então se vmx/svm realmente chegaram.
4. Para ativar o aninhamento em um host Intel: desligue ou migre antes todos os guests em execução (o módulo não pode ser removido enquanto estiver em uso), depois execute sudo modprobe -r kvm_intel && sudo modprobe kvm_intel nested=1 e verifique com o mesmo cat do passo 3. Para que persista após reinicializações, coloque options kvm_intel nested=1 em um arquivo como /etc/modprobe.d/kvm.conf (AMD: kvm_amd). Para desfazer, apague essa linha e recarregue o módulo da mesma forma.
5. Para que o próprio guest aninhado use a aceleração KVM, o hipervisor externo precisa expor ao guest interno um modelo de CPU virtual com VMX/SVM (por exemplo, <cpu mode='host-passthrough'> no XML de domínio do libvirt), e não apenas ativar o parâmetro do módulo no host.

Resultado esperado

O virt-host-validate exibe PASS na verificação de CPU do driver QEMU, e o arquivo do parâmetro nested contém Y/1 quando o aninhamento está ativo.

Limites e base de verificação

A documentação do kernel sobre VMX aninhado descreve a virtualização aninhada especificamente no caminho Intel (VMX); o suporte a SVM aninhado da AMD é controlado da mesma forma, mas por meio do módulo kvm_amd, aqui mencionado sem uma fonte dedicada à AMD. O hipervisor de uma VM em nuvem ou hospedada pode ocultar essas flags por completo, independentemente da CPU física subjacente; nesse caso, nenhum comando dentro do guest consegue ativar o KVM aninhado.