1. 为什么你需要吃透 domain XML搞 KVM 虚拟化的朋友十有八九都经历过这样的场景虚拟机起不来日志里一堆报错最后定位到某个 XML 字段写错了或者想给虚机加个网卡、挂块盘用virt-manager图形界面点半天结果发现底层改的还是那一坨 XML。说白了domain XML 就是 KVM 虚拟机的“身份证 配置清单”libvirt 靠它来定义一台虚机的全部硬件和行为。你把它读懂了等于拿到了虚机的“源码级控制权”。这篇文章面向的是已经上手过 KVM、用过virsh基本命令但对 XML 里那些密密麻麻的标签还停留在“能看懂一半、改起来心虚”阶段的运维和开发同学。我会从整体结构讲到每个核心段落的实战用法把 CPU、内存、磁盘、网络、设备直通这些高频配置逐个拆开配上可直接抄的参数和踩坑经验。读完你至少能做到拿到一份陌生 XML 能快速定位关键配置手写一份能跑起来的虚机定义遇到启动报错知道往哪个标签里找原因。需要先明确一个概念domain XML 不是 KVM 本身的格式而是 libvirt 的抽象层。KVM 只认 QEMU 的命令行参数libvirt 把那些参数翻译成 XML再在启动时还原成 QEMU 命令。所以你改 XML 的本质是在改 libvirt 生成 QEMU 命令的“配方”。理解这一层很多字段为什么这么设计就通了。2. domain XML 的整体骨架拆解2.1 一份最小可用 XML 长什么样先看结构别急着记标签。一份 domain XML 的顶层就是一个domain根元素里面按逻辑分成几大块元信息name、uuid、memory、vcpu、系统信息os、features、设备清单devices、以及可选的电源管理、CPU 调优等。下面这份是我平时手写测试用的最小骨架去掉注释基本能直接跑domain typekvm nametest-vm01/name memory unitMiB2048/memory vcpu placementstatic2/vcpu os type archx86_64 machineq35hvm/type boot devhd/ /os features acpi/ apic/ /features devices disk typefile devicedisk driver nameqemu typeqcow2/ source file/var/lib/libvirt/images/test-vm01.qcow2/ target devvda busvirtio/ /disk interface typenetwork source networkdefault/ model typevirtio/ /interface graphics typevnc port-1 autoportyes/ /devices /domain这份骨架里typekvm决定了用 KVM 加速而不是纯 QEMU 模拟machineq35是芯片组型号后面会细说为什么它比默认的 i440fx 更值得用。devices是重头戏磁盘、网卡、显卡、输入设备全在里面。2.2 元信息段的三个关键字段name是虚机的唯一标识virsh list里显示的就是它改名要慎重因为很多脚本和存储路径都依赖这个名字。uuid建议保留自动生成的手动指定的话务必保证全局唯一否则 libvirt 会拒绝加载。memory和vcpu看似简单但有个细节memory 的 unit 属性不写默认是 KiB很多人写2048以为是 2G实际只有 2M虚机直接起不来。我习惯显式写unitMiB省得自己坑自己。vcpu的placement属性值得单独提一句。static表示 vCPU 绑定到物理核的映射关系由你手动指定配合cputuneauto则交给 libvirt 调度。生产环境如果对延迟敏感比如跑实时业务建议用 static 加 cputune 做绑核普通业务用默认的 auto 就行别过度优化。2.3 os 段与固件选择os段里type的arch和machine两个属性决定了虚机的“主板”。arch一般就是宿主机的架构machine常见的有i440fx和q35。i440fx 是老爷车兼容性极好但只支持 PCI不支持 PCIeq35 是现代芯片组支持 PCIe、原生 SATA、更好的电源管理。新装虚机我一律推荐 q35除非你要迁移的老虚机是 i440fx 且不想折腾。boot标签控制启动顺序可以写多个按顺序尝试。还有个bootmenu enableyes/能在启动时按 F12 调出菜单调试装机时特别有用。如果是 UEFI 启动os里还要加loader readonlyyes typepflash/usr/share/OVMF/OVMF_CODE.fd/loader和对应的nvram这块后面固件章节会展开。3. CPU 与内存配置的深水区3.1 CPU 模型与透传的取舍cpu段是性能调优的核心。最简单的写法是cpu modehost-passthrough/意思是把宿主机的 CPU 特性原样透传给虚机虚机看到的 CPU 和物理机几乎一致性能最好适合同架构内网环境。但它的缺点是迁移受限——如果目标宿主机 CPU 型号不同热迁移可能失败。另一种是cpu modecustom matchexact配合model fallbackallowSkylake-Client/model指定一个具体的 CPU 模型兼容性更好适合集群里宿主机型号不统一的场景。选哪个取决于你的迁移需求单机跑业务用 host-passthrough集群里要漂移就用 custom 加一个较老的模型做基线。还有个feature子标签可以精细控制比如feature policydisable namehypervisor/能隐藏虚拟化标志某些软件检测到自己在虚机里会拒绝运行这个开关就派上用场了。3.2 内存的 backing 与 hugepages内存段除了大小还有两个进阶玩法。一是memoryBacking里配置 hugepagesmemoryBacking hugepages page size2048 unitKiB/ /hugepages /memoryBacking大页能显著降低 TLB miss对数据库、缓存类负载提升明显。但前提是宿主机要预留大页用echo 1024 /proc/sys/vm/nr_hugepages之类的方式分配否则虚机启动会报“无法分配大页”。二是memtune里的hard_limit限制虚机最大可用内存。注意这个值要留足余量设得太紧会导致虚机被 OOM killer 干掉。我一般设成分配内存的 1.1 到 1.2 倍给 QEMU 进程本身的开销留空间。3.3 NUMA 亲和性配置多路服务器上NUMA 配置不当会让跨节点访存拖慢性能。numatune可以把虚机内存绑定到特定 NUMA 节点numatune memory modestrict nodeset0/ /numatune配合vcpu里的topology和 cputune 的vcpupin能做到 vCPU 和内存都在同一个 NUMA 节点内访存延迟最低。判断是否需要这套配置看你的业务是不是对内存带宽敏感——普通 Web 服务感知不强但跑内存数据库就很有必要。4. 磁盘与存储的实战配置4.1 disk 标签的五个必填项磁盘配置是改得最多的地方。一个disk至少要搞清楚五个属性typefile/block/network、devicedisk/cdrom/floppy、drivername 和 type、source、target。下面这份是 qcow2 文件盘的标准写法disk typefile devicedisk driver nameqemu typeqcow2 cachenone ionative/ source file/var/lib/libvirt/images/vm01.qcow2/ target devvda busvirtio/ address typepci domain0x0000 bus0x00 slot0x05 function0x0/ /diskcache和io两个参数是性能关键。cachenone让 I/O 绕过宿主机页缓存配合ionative使用 Linux 的 native AIO是生产环境最常用的组合。如果虚机里跑的是对数据安全要求极高的库可以考虑cachewritethrough但性能会打折。千万别用cacheunsafe那是拿数据完整性换性能宿主机一断电虚机文件系统就可能损坏。4.2 总线类型怎么选target的bus属性决定磁盘挂在哪条总线上常见的有 virtio、scsi、sata、ide。virtio 性能最好是 Linux 虚机的首选Windows 虚机如果没有装 virtio 驱动装机阶段得先用 ide 或 sata装完驱动再切 virtio。scsi 配合 virtio-scsi 控制器能支持更多设备和更好的队列适合挂多块盘的场景。这里有个实操技巧改 bus 类型时target dev 的命名也要跟着改。virtio 用 vda/vdbsata 用 sda/sdbide 用 hda/hdb。名字对不上libvirt 会报设备冲突。4.3 热插拔与磁盘扩容线上扩容磁盘不用关机。流程是先用qemu-img resize扩大镜像文件再在虚机里扩展分区和文件系统。XML 层面如果只是改大小其实不用动 XML因为source指向的文件变了虚机重启后自然识别新容量。但如果要新增一块盘就得编辑 XML 加一个disk段然后virsh attach-device热挂载。热插拔有个坑不是所有总线都支持热插拔。virtio 和 scsi 支持ide 基本不支持。所以规划虚机时如果预判到后期要动态加盘一开始就选 virtio 或 scsi 总线。5. 网络配置的三种模式与选型5.1 默认 NAT 网络的 XML 写法最常见的网络配置是走 libvirt 默认的 NAT 网络interface typenetwork source networkdefault/ model typevirtio/ mac address52:54:00:xx:xx:xx/ /interfacetypenetwork表示引用 libvirt 管理的网络source networkdefault就是那个开箱即用的 NAT 网络。虚机能上网但外部访问虚机需要配端口转发。model选 virtio 性能最好Windows 虚机同样需要驱动。5.2 桥接网络与 macvtap要让虚机像物理机一样直接暴露在局域网用桥接interface typebridge source bridgebr0/ model typevirtio/ /interface前提是宿主机上已经建好 br0 网桥并把物理网卡挂进去。桥接模式下虚机拿到的是局域网 IP外部可直接访问适合对外提供服务的虚机。macvtap 是另一种直通方案typedirect配合source deveth0 modebridge。它性能接近桥接但配置更简单缺点是宿主机和虚机之间默认不能直接通信需要额外处理。选型上需要宿主机-虚机互访就用 bridge纯对外服务可以用 macvtap。5.3 网卡多队列与 vhost高流量场景下单队列网卡会成为瓶颈。可以在driver里开启多队列interface typenetwork source networkdefault/ model typevirtio/ driver namevhost queues4/ /interfacequeues4表示开 4 个队列一般设成和 vCPU 数相当。namevhost启用内核态的 vhost-net 加速比用户态的 virtio 后端性能更好。这两个参数配合使用能把网络吞吐拉高一个档次。改完记得在虚机里也确认网卡队列数用ethtool -l查看。6. 设备直通与图形显示6.1 PCI 直通的关键步骤把一块物理网卡或 GPU 直通给虚机XML 里加的是hostdevhostdev modesubsystem typepci managedyes source address domain0x0000 bus0x01 slot0x00 function0x0/ /source /hostdevmanagedyes让 libvirt 自动处理设备从宿主机解绑和绑定到 vfio 驱动的过程。但前提是宿主机内核开启了 IOMMU并且设备所在 IOMMU 组是干净的组里没有其他关键设备。查 IOMMU 组用ls -l /sys/kernel/iommu_groups/如果一块网卡和一堆设备挤在一个组里直通会失败需要调整 PCI 插槽位置或加 ACS 补丁。6.2 显卡与 VNC/SPICE 配置图形输出段graphics决定你怎么连虚机控制台。VNC 最通用graphics typevnc port-1 autoportyes listen0.0.0.0 listen typeaddress address0.0.0.0/ /graphicsport-1加autoportyes让 libvirt 自动分配端口避免冲突。SPICE 在图形体验和剪贴板共享上更好但配置稍复杂需要配合channel和video段。如果虚机是纯命令行使用其实可以完全去掉 graphics用串口 console 登录省资源又安全。6.3 输入设备与 USB 重定向input typetablet/能让鼠标在 VNC 里定位准确不加的话鼠标会漂移。USB 重定向需要redirdev配合 SPICE把宿主机的 U 盘、加密狗透传给虚机。这块配置对做开发测试的同学很实用但要注意 USB 控制器类型q35 芯片组用ich9-ehci1系列i440fx 用piix3-uhci。7. 常见报错与排查速查7.1 启动失败的典型原因虚机起不来先看virsh start的报错再查/var/log/libvirt/qemu/虚机名.log。下面这张表是我这些年攒下来的高频问题报错关键词大概率原因排查方向cannot set up guest memory内存超配或大页不足检查宿主机剩余内存、大页分配failed to find romfile固件路径错误核对 loader/nvram 路径是否存在device not found直通设备地址写错用 lspci 确认 bus/slot/functionpermission denied镜像文件权限或 SELinux检查文件属主、执行 restoreconaddress conflict设备 PCI 地址重复删掉手动指定的 address 让其自动分配unsupported configuration芯片组与设备不兼容确认 q35/i440fx 与设备匹配7.2 XML 校验与热更新技巧改完 XML 别急着启动先用virt-xml-validate校验格式virt-xml-validate /etc/libvirt/qemu/vm01.xml这个命令能抓出标签拼写错误、属性缺失这类低级问题。热更新用virsh edit直接改保存后 libvirt 会尝试应用能热生效的立即生效需要重启的会提示。注意virsh edit改的是持久配置如果虚机正在运行且改动无法热应用重启后才生效别以为改完就立刻起作用了。7.3 我踩过的几个坑第一个坑是 UUID 冲突。有次从别的宿主机拷贝了一份 XML 过来忘了改 UUID结果两台宿主机上虚机互相干扰。后来养成习惯导入外部 XML 第一件事就是virsh define前先删掉 uuid 行让它重新生成。第二个坑是磁盘路径用了相对路径。libvirt 对相对路径的解析基准不固定有时按当前工作目录算导致找不到镜像。所有 source 路径一律写绝对路径这是铁律。第三个坑是改完 CPU 模型后忘了清 nvram。UEFI 虚机换 CPU 模型旧的 nvram 里存着启动项可能导致启动异常。换 CPU 配置时顺手把 nvram 文件删了让它重建能省不少排查时间。8. 从 XML 到 QEMU 命令的验证思路想确认自己的 XML 到底翻译成了什么 QEMU 命令有个很实用的办法启动虚机后用ps -ef | grep qemu看进程参数或者直接读/var/log/libvirt/qemu/虚机名.log里面完整记录了 libvirt 拼出来的命令行。对照着看你会发现 XML 里每个字段都能在命令行里找到对应项比如memory对应-mvcpu对应-smpdisk对应-drive。这个对照过程对理解 XML 帮助极大。我当初就是靠反复比对才搞明白cache和io到底怎么映射到 QEMU 的cache和aio参数。等你也能一眼看出 XML 和命令行的对应关系基本就算把 domain XML 吃透了。后续再遇到新设备、新特性无非是查一下它对应哪个 QEMU 参数然后反推 XML 怎么写路子就通了。
