作为一个常年和各种虚拟化技术打交道的老运维我手上管理着几台物理宿主机上面跑的虚拟机加起来有几十台。最早的时候我用过 VMware 那套后来切到开源方案就在 KVM 这条路上越走越深。说句实话KVM 本身只是一个内核模块真正让人用得顺手的是围绕它长出来的那一整套管理工具。这次这份指南的主题就是 KVM 虚拟化指南系列里关于管理工具的部分对应到实际场景就是教你怎么用一个 命令行工具、一个图形界面再加上几个辅助命令把虚拟机从创建到销毁的全生命周期管起来。如果你正准备自建一套虚拟化环境或者刚接触 Linux 平台的虚拟化这篇文章能帮你少走很多弯路。这套工具解决的核心问题说白了就一句话KVM 只是提供了虚拟化的底层能力但你怎么把一台宿主机切成多个隔离的虚拟机、怎么给虚拟机分配 CPU 内存、怎么创建虚拟磁盘、怎么管理虚拟网络这些都得靠工具层来完成。我见过不少新手直接拿 qemu 命令行去拼参数折腾半天还经常起不来其实真没必要。理解工具、用好工具才是 virt 运维的正道。1. KVM 管理工具的全景认知到底有哪些工具各自干什么用1.1 从内核模块到用户态工具的分层关系很多人刚看 KVM 的资料会觉得晕一会儿 qemu-kvm一会儿 libvirt一会儿 virsh一会儿 virt-manager不知道它们之间到底是什么关系。我先用大白话把这个分层讲清楚。最底层是 Linux 内核里的 KVM 模块它负责利用 CPU 的硬件虚拟化扩展Intel 的 VT-x 和 AMD 的 SVM把物理 CPU 变成多个虚拟 CPU。但 KVM 模块本身不提供设备模拟你不能直接用它来跑一个完整的虚拟机操作系统。往上走是 QEMU。QEMU 可以单独运行模拟出一整套硬件环境配合 KVM 模块以后就能做到接近原生的性能。但 qemu 的命令行极其复杂一个完整的命令行写下来能有好几十个参数手动管理几十台虚拟机基本不现实。再往上一层是 libvirt。libvirt 是一个虚拟化管理 API 和守护进程它把 QEMU/KVM 的管理能力统一封装起来。你可以把 libvirt 理解成一个“中间层管家”所有对虚拟机的操作通过它下发到 QEMU 去执行。它还负责管理存储池、虚拟网络、宿主机资源等。最上面一层才是我们日常接触的工具virsh、virt-manager、virt-install。它们都是 libvirt 的客户端一个走命令行一个走图形界面一个专门负责虚拟机安装。理解了这层结构后面用起来就不会乱。表KVM 管理分层示意层次组件作用内核层KVM 模块提供 CPU 虚拟化能力用户态模拟层QEMU设备模拟、进程级虚拟机执行管理中间层libvirt统一管理 API、资源池、网络定义客户端工具层virsh / virt-manager / virt-install管理员操作的入口我用一个生活化的类比来总结KVM 是发动机QEMU 是变速箱libvirt 是中控系统virsh 和 virt-manager 就是你的方向盘和仪表盘。你可能会直接操作发动机吗不太会。你要学的是怎么用方向盘把车开好。1.2 三个核心工具的定位差异与选型思路virsh 是 libvirt 自带的命令行工具没有图形界面也没有交互式菜单就是纯命令。它非常适合下面几种场景没有桌面环境的服务器上管理虚拟机、脚本化批量操作、远程通过 SSH 管理宿主机。它的缺点也很明显参数多命令层级深新手记不住。virt-manager 是一个图形化管理工具也是一个成熟的桌面应用。它提供虚拟机创建向导、图形化的资源分配界面、虚拟机的 VNC/SPICE 显示。如果你在个人电脑或工作站上做虚拟化实验用它最舒服。但你在纯服务器环境里没有显示器没有图形环境virt-manager 基本用不上。virt-install 是一个专门的命令用来创建虚拟机它能自动化完成“定义虚拟机 → 安装操作系统 → 清理临时安装资源”的流程。它的重要性很容易被忽略很多老手直接用 virt-manager 的向导或者手工编辑 XML其实用 virt-install 一行命令就能搞定一个系统安装时长能省一半。选型上我给一个参考思路如果你管理的是生产环境服务器重点学 virsh 和 virt-install这两样是保底技能如果是个人电脑上玩虚拟化优先装 virt-manager上手曲线最低如果你要写自动化脚本还必须理解 libvirt 的 XML 定义文件因为 virsh 再方便底层所有配置最终都落在 XML 里。1.3 管理工具配置文件与日志的位置搞管理工具你得先知道东西都存在哪。libvirt 守护进程的配置在/etc/libvirt/目录下其中有几个重要文件/etc/libvirt/qemu.conf控制 QEMU 驱动的全局配置比如安全驱动、动态所有权、内存锁等/etc/libvirt/libvirtd.conf控制 libvirtd 守护进程本身的网络监听、认证方式、日志级别。每台虚拟机的定义文件默认路径是/etc/libvirt/qemu/目录下的 XML 文件文件名就是虚拟机的名字。宿主机上每台虚拟机的状态、内存配置、设备列表、启动参数都在对应的 XML 里。我见过有同事图省事直接改 XML 文件结果改了之后没有让 libvirt 重新加载虚拟机重启以后还是老样子这就是没搞懂管理工具的运行机制。正确姿势是用virsh edit命令去改它会在你修改完以后自动做校验并且让你确认是否重新定义。日志这块libvirtd 的日志默认输出到系统日志可以用journalctl -u libvirtd查看。而每台 QEMU 虚拟机进程的日志标准输出可以被引导到宿主机上的一个日志文件去具体路径可以在 XML 定义里配置。排查问题的时候这几份日志的位置一定要烂熟于心否则出了问题只能干瞪眼。2. virsh 命令行管理实操从入门到脚本化2.1 virsh 的通用用法与最常用的查询命令virsh 的通用调用格式是virsh [可选选项] 命令 [参数]默认情况下普通用户不带选项直接执行 virsh连的是当前用户的 libvirt 会话完整权限还需要看认证配置如果以 root 身份执行连的是系统级别的连接。生产环境最稳妥的做法是登录宿主机用普通账号需要执行管理操作时用sudo virsh -c qemu:///system指定系统连接。有人图省事直接开 root SSH 或者给 libvirt 开 TCP 远程访问能避免就避免。先记住一批最常用的查询命令。这些命令没有破坏性放心大胆地试命令作用virsh list --all列出所有虚拟机包含停止状态virsh dominfo 虚拟机名查看单台虚拟机详细信息virsh vcpuinfo 虚拟机名查看 vCPU 信息virsh domblklist 虚拟机名查看虚拟磁盘列表virsh domiflist 虚拟机名查看网卡列表virsh nodestats查看宿主机状态virsh list --all是最常用的没有之一。它的输出里有一个 State 列可能的值是 running、idle、paused、shutdown、crashed 等。idle表示虚拟机在运行但 CPU 空闲这是正常状态别看见 idle 就以为是卡住了。crashed则意味着虚拟机内部可能发生了严重问题需要重点排查。2.2 虚拟机生命周期管理命令的使用细节生命周期管理也就是虚拟机的创建、启动、重启、暂停、关机、销毁是管理工具最基础的功能。有几个细节特别值得说。启动虚拟机virsh start 虚拟机名如果虚拟机定义里的 autostart 被开启宿主机开机时它会自动启动。我自己管理的宿主机关键业务机都会开 autostart测试机全部关闭。检查 autostart 状态virsh autostart 虚拟机名# 查看virsh autostart 虚拟机名 --disable# 关闭优雅关闭虚拟机最好用 ACPI 方式virsh shutdown 虚拟机名这个命令走的是 ACPI 电源管理信号相当于在虚拟机里按了一下电源键系统会走正常关机流程。但有个前提虚拟机系统里要装好 ACPI 驱动。如果你的虚拟机没有 ACPI 服务或者驱动状态不对virsh shutdown发出去会石沉大海虚拟机纹丝不动。这种情况下你只能选择强制断电virsh destroy 虚拟机名注意destroy就是拔电源会丢失未写盘的数据。我的一般原则是先试 shutdown等到 30 秒以上确认无效再考虑 destroy。生产数据库虚拟机更是如此。暂停和恢复也是一对容易搞混的命令virsh suspend 虚拟机名# 暂停virsh resume 虚拟机名# 恢复暂停是把虚拟机的运行状态保存在内存里CPU 不再执行但虚拟机进程还在。这个功能做宿主机维护的时候特别好用可以把在跑的业务虚拟机全部暂停做宿主机内核升级然后再逐个恢复。注意暂停状态下如果宿主机本身重启了虚拟机可能面临状态不一致的风险所以长时间暂停不可取。2.3 用 virsh 做批量操作的三个脚本思路virsh 真正发挥威力的时候是在批量操作的场景。我总结三个自己常用的脚本思路。批量启动所有未运行的虚拟机。思路是先拿到所有状态不是 running 的虚拟机名单再逐个启动for vm in $(virsh list --all --name --state-shutoff); do virsh start $vm done批量设置一组测试机的 autostart让它们在宿主机重启后自动拉起业务for vm in web-test-{01,02,03}; do virsh autostart $vm done批量修改虚拟机内存大小。这个要稍微小心一点因为修改内存配置属于调整虚拟机规格需要虚拟机处于关机状态才能无损生效。脚本可以先检查状态关闭再改for vm in $(virsh list --name --state-running); do virsh shutdown $vm | sleep 30 virsh setmaxmem $vm --config 8192 virsh setmem $vm --config 8192 virsh start $vm done脚本化操作有两点注意第一任何一个对虚拟机有状态变更的操作都要有幂等性判断也就是执行前先检查当前状态是不是你要的第二加日志输出别闷头执行否则中间哪一步出错了事后根本没法定位。2.4 virsh 控制台访问与安全注意事项命令行管理虚拟机经常需要进入虚拟机内部看状态。virsh 提供了控制台方式virsh console 虚拟机名要使用这个功能虚拟机里的系统需要开启串行控制台服务。以 Linux 虚拟机为例要确保 GRUB 启动参数里有consolettyS0并且在系统里启用 getty 的串口登录。我踩过一次坑虚拟机装完了串口服务也启动了但 GRUB 参数没加重启之后 virsh console 一片黑搞了半天才反应过来是内核根本没把输出导到串口。安全方面有几个硬性建议。第一不要把 libvirtd 的 TCP 端口直接监听在物理网卡上默认情况 16509 端口如果为了远程管理开了一定要配置 TLS 加密和认证否则你的虚拟机管理入口就裸奔在网络上。第二非 root 用户要管理 virsh建议通过 polkit 规则授权而不是简单粗暴改权限。第三所有远程操作尽量走 SSH 隧道在本地执行 virsh 连远端是常见做法ssh roothost virsh list --all这条命令看似简单实际做管理的同学都知道生产环境里出问题最多的往往不是虚拟化本身而是你用什么姿势连接到宿主机上。3. 创建虚拟机的三种典型方式与实操对比3.1 用 virt-install 一行命令完成系统安装创建虚拟机我首推 virt-install。图形向导当然也有它的好处但你一旦要批量创建还得靠命令行。下面是一个我实际用过的 UOS 系统安装命令你可以把它当成模板来看virt-install \ --name lab-server-01 \ --memory 4096 \ --vcpus 4 \ --disk path/data/kvm/images/lab-server-01.qcow2,size40,formatqcow2,busvirtio \ --network networkdefault,modelvirtio \ --os-variant ubuntu22.04 \ --graphics vnc,listen0.0.0.0 \ --location /data/iso/ubuntu-22.04.iso \ --osinfo boot.driveruefi关键参数逐个解释一下。--memory和--vcpus是分配 4GB 内存和 4 个虚拟 CPU具体数值按你的物理资源来。--disk里 path 指定虚拟磁盘路径size 是大小单位 GBformat 我建议统一用 qcow2后面会细讲为什么。--network连接默认虚拟网卡model 用 virtio这个比较重要virtio 在 Linux 客户机里性能最好。--location指定安装源可以是 ISO、网络安装源或者本地目录。--graphics vnc表示开放 VNC 远程图形显示listen 要特别小心生产环境不要写0.0.0.0否则等于把 VNC 端口暴露到所有网卡上。virt-install 会在系统安装完成后自动清理临时的安装介质定义下次开机不再从安装介质引导。这一点比纯手工 XML 定义方便太多。如果你的虚拟机不用图形安装可以加上--extra-args consolettyS0配合--graphics none走串口安装模式。3.2 virt-manager 图形化创建流程的关键点virt-manager 的图形界面可以说是对新手最友好的入口了。安装以后用virt-manager命令打开连接本机的 QEMU/KVM 系统连接点“新建虚拟机”后面就是一步步的向导式流程。多数人卡住的地方往往不是向导本身而是里面的几个选项不知道该选什么。创建磁盘那一页选项里问你是否要分配整块磁盘空间。这个选项的底层逻辑是如果你选了分配全部磁盘创建时就会把 qcow2 文件全部初始化好如果不选qcow2 文件会随着虚拟机实际写入数据而增长。我的建议是默认不选这样能节省初始磁盘空间而且 qcow2 支持这个特性。但要注意如果你后续要做快照或者迁移磁盘文件过大过小都有影响最好提前规划。定义 CPU 和内存那页virt-manager 默认会给你一套数值这套数值通常偏保守。我在自己机器上调过一次实验虚拟机的磁盘 IO 类型默认给的 IDE性能比 virtio 差不少后来专门改成 virtio 才改善。所以在向导最后一步选中“自定义配置”再打开把磁盘总线改成 virtio网卡型号改成 virtio不要因为它默认就懒得多点一下。virt-manager 的会话管理也要注意它默认连接到 qemu:///system 或者 qemu:///session如果你是以普通用户启动连接的可能只是你自己的用户会话看不到系统里的虚拟机。这时候要么用 root 执行 virt-manager要么在连接管理器里手动指定系统连接。很多“图形界面里看不到虚拟机”的问题根因就是连接层级搞错了。3.3 手工编辑 XML 定义文件进阶绕不开的功课不管用哪种方式创建虚拟机最终都会落到 XML 定义文件。直接看和改 XML是排查问题和自定义高级配置的必经之路。XML 里几个关键片段你必须能读懂。virsh dumpxml lab-server-01 会输出完整 XML。看 CPU 模型部分cpu modehost-passthrough checknone topology sockets1 cores4 threads1/ /cpumodehost-passthrough表示直接把宿主机的 CPU 型号透传给虚拟机性能最好但缺点是虚拟机迁移到不同 CPU 的宿主机时可能起不来。如果要做在线迁移建议改成host-model或者指定一个公认的 CPU 型号。看磁盘设备部分disk typefile devicedisk driver nameqemu typeqcow2 cachenone ionative/ source file/data/kvm/images/lab-server-01.qcow2/ target devvda busvirtio/ /disk这里的driver typeqcow2与源文件的实际格式对应cache和io会影响 IO 性能生产环境需要按实际存储后端调整不是越大越好。很多人以为 cachenone 就一定对但如果你用的是带电池的 RAID 卡可能cachewriteback配合做好保护才是更好选择。手工编辑 XML 的规范流程是先用virsh dumpxml vm backup.xml做备份再用virsh edit vm修改改完检查没问题就保存然后virsh define重新定义一次这样修改才真正生效。直接动/etc/libvirt/qemu下的文件而不经过 libvirt是典型的新手错误。4. 存储池与虚拟网络管理决定虚拟机性能和网络互通的关键4.1 存储池的概念与磁盘格式取舍存储池是 libvirt 的一个重要抽象它把宿主机上的一块区域目录、文件系统、LVM 卷组、逻辑卷等统一管理起来里面划分出来的单位是卷Volume可以理解成虚拟磁盘。创建存储池的意义在于你不需要为每台虚拟机手工指定文件路径而是给 libvirt 一个“仓库”它负责在里面分配空间。查看当前存储池列表virsh pool-list --all创建一个基于目录的存储池mkdir -p /data/kvm/images virsh pool-define-as vm-images dir - - - - /data/kvm/images virsh pool-build vm-images virsh pool-start vm-images virsh pool-autostart vm-images这套命令会定义、构建、启动存储池并让它在宿主机启动时自动激活。用virsh vol-list vm-images可以查看池里的卷列表用virsh vol-info --pool vm-images 卷名查看卷详细信息。磁盘格式怎么选我一直推荐 qcow2除非你有特殊需要。qcow2 是 QEMU 的写时复制格式特点包括文件大小按需增长、支持快照、支持压缩和加密。raw 格式是裸设备镜像读写性能理论上更高但快照和按需扩展都做不了而且文件创建时如果指定了大小会立刻占用那么多空间。生产环境追求性能和简洁用 raw 配合逻辑卷也行但日常测试和管理的小环境qcow2 的综合收益最高。4.2 创建虚拟磁盘与扩容的实操记录给已有虚拟机加一块新数据盘是我经常被问到的操作。先是在存储池里创建一个新卷virsh vol-create-as vm-images web-data.qcow2 100G --format qcow2然后把这块卷挂到虚拟机上virsh attach-disk lab-server-01 /data/kvm/images/web-data.qcow2 vdb --cache none --persistentvdb是虚拟机里新磁盘的设备名--persistent表示写入虚拟机定义重启后依然生效。如果不加这个参数重启以后磁盘就丢了这是非常常见的坑。接下来还要进虚拟机系统里分区、格式化、挂载。这块操作属于 Linux 基础就不展开了但有一点提醒虚拟机内部没有真正重启之前新加的磁盘可能不会被识别如果你不想重启机器可以用echo 1 /sys/class/scsi_host/host0/scan这类方式重新扫描 SCSI 总线。扩容现有磁盘流程要更小心。qcow2 文件的大小不是你想改就能随便改得先停止虚拟机然后qemu-img resize /data/kvm/images/lab-server-01.qcow2 60G这只会把虚拟磁盘尺寸调大虚拟机内部的文件系统还要做相对应的分区扩展和文件系统扩容用分区工具删除重建分区然后resize2fs。这种操作在数据盘上做备份是一定要做的。我自己就有一次扩容完分区把表弄坏的惨痛经历后来学乖了先快照再操作。4.3 虚拟网络类型NAT、桥接与隔离网络的选型和配置虚拟机要联网就要理解宿主机上的虚拟网络架构。默认安装 libvirt 时会有一个名为default的 NAT 网络它通过在宿主机上做地址转换让虚拟机可以访问外网但外部设备不能主动访问虚拟机。这个网络适合虚拟机不需要被外部直接访问的场景比如做实验、内部服务测试。查看当前网络列表virsh net-list --all查看网络详情virsh net-info default真正的生产环境我推荐桥接模式。桥接把宿主机的物理网卡和虚拟机的虚拟网卡直接接到一个二层交换机这个交换机是内核虚拟出来的虚拟机拿到的是宿主机同一网段的 IP外部设备可以直接访问虚拟机就跟它们在同一个局域网里一样。创建桥接网络的步骤一般是在宿主机上创建br0桥接接口把物理网卡 ens160 加入桥里然后定义 libvirt 网络使用这个桥。这一步在多数发行版上要改网络管理器的配置。以通过 nmcli 调整为例nmcli con add ifname br0 type bridge con-name br0 ipv4.method manual ipv4.addresses 192.168.10.10/24 ipv4.gateway 192.168.10.1 ipv4.dns 114.114.114.114 nmcli con add type bridge-slave ifname ens160 master br0 nmcli con up br0配置完成后虚拟机的网卡直接选桥接就好。桥接模式的坑主要在网卡绑定和无线网卡环境宿主机如果有无线网卡很多无线网卡不支持桥接这时候老老实实用 NAT。隔离网络则适合虚拟机要互通、但不需要访问外网的场景比如内部测试集群、分布式存储测试环境。它没有 NAT不提供外网连接所有虚拟机在同一个隔离子网内。创建隔离网络用virsh net-define指定一个 XML 文件即可XML 里forward modeisolated/是核心标志。4.4 迁移到其他宿主机时的网络注意点做虚拟机跨宿主机迁移的时候网络配置是最容易踩坑的地方。如果你的源虚拟机的网卡连的桥接网络迁移到目标宿主机以后目标宿主机上必须存在同名且有相同配置的桥接接口否则迁移虽然能完成但虚拟机网络不通。NAT 网络的迁移相对简单只要目标宿主机的 libvirt 里也有这个网络定义但 IP 段如果不同虚拟机内部获得的 IP 可能变化。隔离网络同样如此。所以生产环境做跨主机迁移我的习惯是提前在目标宿主机上把网络、存储池键都准备好再开始迁移不要指望迁移线程解决所有配置差异。5. 快照、克隆与迁移三个高频管理操作的关键细节5.1 qcow2 快照的创建、回滚与删除规则快照是虚拟化里非常实用的功能它的底层原理基于 qcow2 的写时复制能力。创建快照时libvirt 让虚拟机的当前磁盘状态变成一个只读的基础文件所有新的写入都到一个新的增量文件中这样你随时可以通过合并增量文件的方式退回快照点。创建快照virsh snapshot-create-as lab-server-01 base-before-upgrade 升级前基础快照查看该虚拟机的所有快照virsh snapshot-list lab-server-01回滚到快照virsh snapshot-revert lab-server-01 base-before-upgrade删除快照virsh snapshot-delete lab-server-01 base-before-upgrade这里有一个极其重要的原则虚拟机处于运行状态时创建的快照默认包含内存状态这是可以回滚到“创建那一刻”的内存和磁盘状态的但如果虚拟机在跑数据库快照回滚会导致数据库文件和数据的实际状态不一致。我在生产环境里几乎从不做运行状态下的快照回滚最多是在变更前停机打一个干净的快照然后变更失败时用这个快照恢复。快照成链式结构以后删除中间快照可能会触发块文件的合并耗时很长我在一个大数据量的虚拟机上删除中间快照等了大约四十分钟属于正常现象。如果时间太长先检查任务状态virsh blockjob lab-server-01 vda --info5.2 克隆虚拟机的完整流程与关键参数调整克隆是批量交付虚拟机的利器。克隆分为两种virt-clone 工具克隆的是整个虚拟机定义和磁盘即完整克隆或者用 libvirt 的快照加--reuse-external方式做链接克隆节省空间但强依赖原磁盘文件不能被删除。完整克隆命令virt-clone \ --original lab-server-01 \ --name lab-server-copy-01 \ --file /data/kvm/images/lab-server-copy-01.qcow2这个命令会自动复制原虚拟机的定义文件替换虚拟机的名字、UUID、MAC 地址避免克隆出来的机器和原机器在网络上冲突。克隆完成后需要进到虚拟机系统里重新配置主机名和 IP 地址否则同一套系统和网卡配置是无法直接在同一个场景里使用的。链接克隆的思路是创建一个仅保存差异数据的 qcow2 文件把原虚拟机的磁盘当作 backing file。优点是创建速度快、空间占用小缺点是原虚拟机的磁盘被锁定不能删除或修改而且如果原磁盘损坏所有链接克隆全部不可用。用它来做开发测试环境非常合适但生产环境我一般不用。5.3 离线迁移 vs 在线迁移操作和风险差异迁移虚拟机跨物理宿主机是虚拟化环境里一个绕不开的话题。先说离线迁移也就是把虚拟机关掉把磁盘文件拷到目标宿主机再在目标机器上定义并启动。这种方式操作简单风险低但停机时间取决于磁盘大小和网络速度。操作要点很简单先virsh shutdown关机然后 rsync 拷贝磁盘文件到目标宿主机最后在目标宿主机上define虚拟机的 XML 并调整存储和网络路径。在线迁移live migration则可以在虚拟机运行状态下把整个系统搬过去。在线迁移的前提条件较多宿主机 CPU 型号要兼容最好同型号虚拟磁盘要放在共享存储上或者用了支持复制迁移的存储后端虚拟机网络要能保持连通期间不能有时间戳中断类的问题。在线迁移的命令virsh migrate lab-server-01 qemussh://target-host/system --live --persistent --undefinesource--live指定在线迁移--persistent在目标机器上保留虚拟机定义--undefinesource迁移完成后删除源机器上的虚拟机定义。在线迁移期间如果虚拟机内存变化速率过高比如虚拟机在做大数据排序可能迁移一直不收敛最终失败或被强制变成离线迁移。这是常态不代表你的环境有问题而是要在业务低峰期做迁移。有一点必须提醒在线迁移的虚拟机一旦发生内存/磁盘状态不一致回滚非常麻烦所以重要系统在线迁移前我会要求业务方确认迁移窗口并在迁移完成后做健康检查比如验证服务端口和日志。6. 常见问题排查与避坑心得实录6.1 高频问题速查表管理工具用得熟了你会发现大多数问题的原因都出在那几个点上。直接给一份排查参考表问题现象可能原因处理思路virsh list 看不到虚拟机连接了错误的 libvirt 会话确认用-c qemu:///system虚拟机启动报错 cannot access storage虚拟磁盘路径权限不对检查 qemu 用户对文件的权限virsh shutdown 无效虚拟机未启用 ACPI 或驱动丢失进虚拟机检查 acpid 服务状态virt-manager 显示无权限当前用户未授权使用 root 或用 polkit 授权迁移后网络不通桥接接口在目标宿主机上不存在提前在目标宿主机配置同名桥接virsh console 黑屏串口未启用或 GRUB 参数缺失加 consolettyS0 并重启虚拟机 IO 慢总线模式为 IDE改用 virtio 模式快照删除极慢链式快照合并 IO 密集查询 blockjob 状态并等待6.2 防止创建虚拟机时权限坑的三层检查创建虚拟机的时候权限问题在管理工具里尤其常见。排查顺序可以固定为三层。第一层确认磁盘文件的属主和权限。虚拟机磁盘文件的属主通常应该是 root 用户加 qemu 组权限建议为 0640。如果你手工在普通用户目录下创建了磁盘文件libvirt 可能无法访问。chown root:qemu /data/kvm/images/lab-server-01.qcow2 chmod 640 /data/kvm/images/lab-server-01.qcow2第二层确认 SELinux 状态。如果你的宿主机关闭了 SELinux这一步可以跳过但如果开着就要检查虚拟机镜像文件的 SELinux 上下文是否为 svirt_image_tls -Z /data/kvm/images/如果不是执行restorecon -v /data/kvm/images/第三层确认 AppArmor 对 libvirt 的保护设置。Debian/Ubuntu 系列默认会启用 AppArmor有时候它会拦截 QEMU 进程读取某目录下文件。排查时看 QEMU 进程日志有没有权限拒绝的线索必要时在/etc/apparmor.d/里的相应配置里加入路径规则并 reload。6.3 关于宿主机关机与虚拟机自动启停的配合宿主机的关机会影响所有虚拟机这个影响是双向的宿主机关机时libvirtd 会向运行中的虚拟机发送 ACPI 关机信号吗答案是不会默认情况下 libvirt 不会自动优雅关闭所有虚拟机而是让 QEMU 进程被内核强制结束。这就意味着运行中的虚拟机相当于被直接断电。我吃过一次亏之后现在的习惯是宿主机计划维护前手动逐台virsh shutdown确保所有业务虚拟机能优雅关闭然后再关机。如果你希望自动化这个过程可以写一个 systemd 服务的 ExecStop 脚本在 libvirtd 停止前遍历所有运行中的虚拟机并依次发送 shutdown 信号并等待它们结束。脚本思路如下for vm in $(virsh list --name --state-running); do virsh shutdown $vm done sleep 60注意脚本里的 sleep 时间要根据虚拟机关机实际耗时调整比如有数据库同步任务的虚拟机关机时间会长一些等待不足可能导致强制断电。6.4 排查 libvirtd 服务异常的方法libvirtd 服务是管理工具的中枢一旦它异常virsh 和 virt-manager 全部失效。比较常见的场景是虚拟机还跑着但 virsh 命令报错或者宿主机重启后虚拟机不会自动启动。首先看服务状态systemctl status libvirtd如果服务正常但个别虚拟机没有自动启动逐个检查 autostartvirsh list --all和virsh dominfo vm还可以看 libvirtd 的详细日志日志级别默认不高想看更多调试信息可以在/etc/libvirt/libvirtd.conf里调整log_level和log_outputs改完重启服务。日志里会有明确的线索比如某个接口加载失败、某个文件权限拒绝等。遇到服务起不来的情况不要急着重装先用strace跟踪一下 libvirtd 启动时的系统调用也能辅助定位但一般检查配置和日志就足够了。我这里还有一个小习惯改动涉及 libvirtd 的配置之前先备份整个/etc/libvirt/目录这样就算改坏了也能快速回滚。7. 基于管理工具的日常运维模板7.1 新虚拟机交付的检查清单给业务方交付一台新虚拟机管理工具的层面应该有个固定流程。我自己的检查清单是这样分享出来供参考明确虚拟机用途、操作系统版本、CPU/内存/磁盘规格选择存储池与磁盘格式确认磁盘路径命名规范确定网络模式如 NAT、桥接或隔离分配 IP 并登记编写 virt-install 命令执行安装安装完成后更新系统、配置基础安全项设置合适的 autostart创建初始快照作为变更前恢复点将虚拟机信息登记到资产管理表流程看着繁琐但每一步都是在给后面减少麻烦。我见过很多人偷懒跳过初始快照后来虚拟机被误操作破坏没有恢复点只能重新装系统反而浪费了更多时间。7.2 虚拟机日常巡检一条命令能做的事日常巡检不用打开图形界面一行命令就能拿到关键状态virsh list --all这只能看状态想看资源消耗可以加--statsvirsh list --stats它会给每台运行中的虚拟机输出 CPU 和内存使用情况适合快速判断哪台虚拟机资源吃紧。再配合宿主机层面的top或vmstat基本就能掌握虚拟化环境的整体健康度。巡检的间隔和深度要按业务重要性来我的测试环境一天看两次生产环境配了监控告警频率更高。7.3 什么时候可以依赖管理工具什么时候要放弃管理工具管理工具能覆盖 90% 的需求但也有极少数场景需要绕过它。比如 QEMU 直接启动用于调试内核的场景、需要自定义 QEMU 参数而 libvirt 又未暴露配置接口时。这种情况下你可以手工执行 qemu 命令行但不要在 libvirt 管理的环境里乱来以免定义混乱。我个人的原则是能用 virsh 和 virt-manager 解决的绝不手工操作必须手工启动 QEMU 的单独建目录管理不混进 libvirt 的虚拟机列表。7.4 管理工具学习路径建议针对 KVM 管理工具的学习我给一个按部就班的路径。第一步装好 KVM 环境打开 virt-manager 创建一个虚拟机把创建、启动、暂停、快照、删除这些基础操作用图形界面过一遍。第二步切换到 virsh用命令行把同样的操作全部能做一遍并把 virt-install 安装过程里的每个参数搞清楚。第三步手写一份虚拟机 XML 定义通过 virsh define 加载并启动做到能不看模板完成网络和存储段配置。第四步搭两台宿主机练习克隆、迁移、快照回滚把故障状态下的恢复流程跑熟。这条路走完你已经可以处理生产环境里绝大多数虚拟化问题。不要一上来就研究内核参数和 QEMU 调试先把管理工具吃透收益最高。8. 我的一些使用体会文章写到这儿核心内容基本讲完了。管理工具这部分在 KVM 整个体系里看似不起眼但它确实是日常使用频率最高、直接决定效率的地方。我个人在实际操作中最大的体会是不要贪多求全把 virsh 的常用命令用熟比背一堆冷门参数有用得多。你真正需要频繁执行的操作来来回回就那么几十条。还有一个小技巧想多说一句在你熟练使用管理工具之后可以尝试用virsh dumpxml把一台配置合理的虚拟机的完整 XML 保存下来当作模板。之后创建相似虚拟机时只改名字、磁盘路径和网络配置再virsh define导入速度比走 virt-install 向导还快。我自己维护的几套典型模板就是这么来的实测下来非常稳。最后想说的是虚拟化管理工具不是孤立的它和存储、网络、系统配置都强耦合。你用得越久越会发现这些东西是融会贯通的一整套体系。如果这篇文章里某个命令在你的环境里表现不同多半是版本差异或者系统配置差异导致的先看文档再看日志问题总会有答案。
