Domain 0

Domain 0 (также Dom0, привилегированная виртуальная машина) — это специальная, изолированная виртуальная машина (ВМ), которая запускается первой при старте гипервизора (монитора виртуальных машин) и обладает исключительными правами на управление аппаратными ресурсами, другими виртуальными машинами (гостевыми системами) и драйверами устройств. Термин является ключевым в архитектуре гипервизоров типа Xen, а также в некоторых других системах виртуализации, где он обозначает управляющую домену, имеющую прямой доступ к физическому оборудованию.

История и происхождение

Концепция Domain 0 возникла в рамках проекта Xen — гипервизора с открытым исходным кодом, разработанного в Кембриджском университете (Великобритания) в начале 2000-х годов. Первая версия Xen была представлена в 2003 году. Изначально архитектура Xen была построена на паравиртуализации, при которой гостевая операционная система модифицируется для взаимодействия с гипервизором, а не с эмулированным аппаратным обеспечением. Для управления этим взаимодействием и был введён Domain 0.

В отличие от традиционных гипервизоров (например, VMware ESXi), где драйверы устройств встроены в сам гипервизор, в Xen драйверы вынесены в отдельную, привилегированную виртуальную машину — Domain 0. Это позволило упростить ядро гипервизора, сделать его более компактным и безопасным, а также использовать стандартные драйверы операционных систем (в первую очередь Linux) для управления оборудованием.

Архитектура и роль Domain 0

В архитектуре гипервизора Xen все виртуальные машины называются доменами. Domain 0 — это первый домен, создаваемый гипервизором при загрузке. Он обладает следующими ключевыми функциями:

• Управление аппаратными ресурсами: Domain 0 имеет прямой доступ к физическим устройствам (сетевые карты, дисковые контроллеры, видеокарты) и управляет ими через свои драйверы. Другие домены (гостевые системы) обращаются к оборудованию только через Domain 0, используя специальные каналы связи (виртуальные устройства).
• Управление гостевыми доменами: Domain 0 отвечает за создание, запуск, остановку, миграцию и удаление других виртуальных машин (Domain U). Он предоставляет инструменты для управления (например, xl в Xen, virsh в libvirt) и контролирует выделение ресурсов (процессор, память, дисковое пространство).
• Предоставление драйверов: В Domain 0 работают драйверы для физических устройств. Для гостевых систем (Domain U) Domain 0 эмулирует или предоставляет виртуальные устройства (например, виртуальные сетевые интерфейсы, блочные устройства). Это позволяет гостевым системам не иметь собственных драйверов для конкретного оборудования.
• Обеспечение безопасности: Domain 0 является изолированной средой. Даже если гостевая система (Domain U) будет скомпрометирована, она не сможет напрямую получить доступ к физическому оборудованию или к другим доменам, минуя Domain 0. Однако компрометация самого Domain 0 ведёт к полной потере контроля над гипервизором и всеми виртуальными машинами.

Взаимодействие с гипервизором

Гипервизор Xen работает на уровне аппаратного обеспечения (тип 1, или «bare-metal»). Он не содержит драйверов устройств — это одна из его ключевых особенностей. Вместо этого Xen предоставляет Domain 0 привилегированный интерфейс, через который Domain 0 может управлять оборудованием. Взаимодействие между Domain 0 и гипервизором осуществляется через специальные вызовы (hypercalls), а с гостевыми доменами — через разделяемую память и кольцевые буферы (I/O rings).

Domain 0 в различных гипервизорах

Хотя термин «Domain 0» прочно ассоциируется с Xen, аналогичные концепции существуют и в других системах виртуализации:

• Xen: Классический пример. Domain 0 — это, как правило, модифицированное ядро Linux (или FreeBSD, NetBSD), которое загружается первой. В современных версиях Xen (начиная с 4.0) возможно использование Domain 0 на основе других операционных систем, но Linux остаётся наиболее распространённым.
• KVM (Kernel-based Virtual Machine): В KVM роль управляющей виртуальной машины выполняет сама хост-система (Linux). Вместо отдельного домена используется пользовательское пространство (QEMU) и ядро Linux, которое управляет аппаратными ресурсами напрямую. Термин «Domain 0» в KVM не применяется, но функционально хост-система выполняет аналогичные задачи.
• VMware ESXi: В ESXi драйверы устройств встроены непосредственно в гипервизор (VMkernel). Управляющая виртуальная машина (VMware Service Console) существует, но не является обязательной для работы гипервизора и не имеет такого же уровня привилегий, как Domain 0 в Xen. В современных версиях ESXi (начиная с 5.0) Service Console заменена на управляющий интерфейс (vSphere Client), работающий поверх гипервизора.
• Microsoft Hyper-V: В Hyper-V управляющая операционная система (Parent Partition) выполняет функции, аналогичные Domain 0. Она загружается первой, управляет драйверами устройств и создаёт дочерние разделы (Child Partitions). В отличие от Xen, Parent Partition в Hyper-V может быть как полноценной ОС (Windows Server), так и специализированной (Windows Hyper-V Server).

Безопасность и риски

Domain 0 является критически важным компонентом с точки зрения безопасности. Его компрометация означает полный контроль над гипервизором и всеми виртуальными машинами. В связи с этим применяются следующие меры:

• Минимизация функциональности: В Domain 0 стараются запускать только необходимые службы и драйверы, избегая установки лишнего программного обеспечения.
• Изоляция: Domain 0 должен быть изолирован от сети, если это возможно, или доступ к нему должен быть строго ограничен (например, через SSH с ключами, использование VPN).
• Регулярное обновление: Операционная система Domain 0 (обычно Linux) должна своевременно обновляться для устранения уязвимостей.
• Использование специализированных дистрибутивов: Для Domain 0 часто применяются минимальные дистрибутивы Linux (например, Alpine Linux, CentOS Stream, Debian без графической оболочки), которые содержат только необходимый набор пакетов.

Применение

Domain 0 используется в большинстве облачных инфраструктур, построенных на базе Xen. Например, в Amazon Web Services (AWS) до перехода на собственные гипервизоры (Nitro) использовался Xen, где Domain 0 работал на основе Linux. Также Domain 0 применяется в корпоративных виртуальных средах, в системах виртуализации для рабочих станций (например, Qubes OS, где Domain 0 управляет изолированными средами) и в проектах, требующих высокой степени изоляции и безопасности.

Интересные факты

• В ранних версиях Xen Domain 0 мог быть только на основе Linux, но позже была добавлена поддержка FreeBSD и NetBSD.
• В Qubes OS, операционной системе с акцентом на безопасность, Domain 0 (называемый «AdminVM») используется для управления аппаратными ресурсами и запуска изолированных виртуальных машин (AppVM). Пользователь не имеет прямого доступа к Domain 0, а взаимодействует с ним через специальные механизмы.
• При компрометации Domain 0 злоумышленник может получить доступ к памяти всех виртуальных машин, включая их ключи шифрования и пароли.

Источники

• Barham, P., Dragovic, B., Fraser, K., Hand, S., Harris, T., Ho, A., ... & Warfield, A. (2003). Xen and the art of virtualization. ACM SIGOPS Operating Systems Review, 37(5), 164-177.
• Документация проекта Xen (xenproject.org).
• Руководство по безопасности Xen (Xen Security Guide).
• Материалы конференций по виртуализации (Linux Plumbers Conference, Xen Summit).