简介：这份54页PPT资料聚焦信创虚拟化及云平台解决方案，面向信创项目规划人员、云平台架构师及国产化替代方案设计者，帮助解决芯片性能弱、应用迁移难、软硬件生态不成熟等落地痛点。内容围绕信创建设挑战与解决思路、信创云整体方案、虚拟化产品介绍及成果展示展开，涵盖龙芯、飞腾、鲲鹏、海光、兆芯、申威等多技术路线选型分析，并给出分级分阶段建设路径与对标VMware vSphere的功能验证要点。资源包内含1个pptx文件，整体约4.5MB，以图文并茂的演示文稿形式呈现，便于直接用于方案汇报与内部培训。目前已有65人学习关注。读者可从中获取信创云分层解耦架构、多云融合与混合云替代VMware场景的完整思路，以及迁移工具、性能压测、高可用机制等实操参考，适合需要快速搭建信创虚拟化方案框架的技术人员。
1. 信创虚拟化及云平台解决方案：从54页PPT到可落地的技术路线
信创虚拟化及云平台解决方案，本质上是在国产软硬件底座上，把服务器虚拟化、资源池化、云管平台这三件事串成一条能交付的链路。很多团队第一次接触这个方向，是被一纸适配清单或一个项目需求推着走的——客户要求跑在国产CPU和国产OS上，还要能统一纳管、按需分配、安全合规。这时候你会发现，VMware那套经验不能直接平移，x86时代的调优直觉也经常失灵。这篇内容面向的是正在做信创适配的运维工程师、云平台架构师，以及需要把方案从PPT落到机房的技术负责人。我会按“先搞清楚要做什么、再拆怎么搭、最后说坑在哪”的顺序，把服务器虚拟化、信创适配及安全管理、云平台搭建这几块讲透，让你看完能判断自己的环境该选哪条路、第一步命令敲什么。
2. 信创虚拟化底座选型：KVM、Xen还是国产商业方案
2.1 先分清服务器虚拟化技术的三条路线
信创环境下的服务器虚拟化技术，目前主流就三条路：基于Linux内核虚拟化的KVM、传统的Xen、以及华为、深信服这类厂商的商业虚拟化平台。KVM的优势是内核主线支持，麒麟、统信这些国产OS都自带，社区生态最厚，出问题能查到的资料最多。Xen在信创早期项目里出现过，但现在新项目基本不再选它，原因是驱动模型复杂、和国产CPU的适配进度慢。商业方案胜在管理界面完整、有原厂支持，但绑定深、授权成本高，适合预算充足且运维人力薄弱的场景。
我一般会先问三个问题：CPU是鲲鹏、飞腾还是海光？OS是麒麟V10还是统信UOS？有没有等保或分级保护要求？这三个答案基本决定了你能不能直接用开源KVM，还是必须上商业平台。比如飞腾+麒麟的组合，KVM支持已经很成熟，自己搭完全可行；但如果客户要求带集群HA和动态迁移的图形化管理，商业方案会省很多事。
2.2 用virsh在麒麟V10上跑通第一台虚拟机
选型定了之后，最小验证步骤就是在一台信创服务器上把KVM跑起来。下面这套命令是我在麒麟V10 SP2上反复用过的，前提是CPU支持硬件虚拟化且BIOS里已开启。
# 检查CPU虚拟化支持，输出vmx或svm才算OK grep -Eoc '(vmx|svm)' /proc/cpuinfo # 安装KVM及管理工具，麒麟V10的源里包名和CentOS略有差异 sudo yum install -y qemu-kvm libvirt virt-install virt-manager # 启动libvirtd并设为开机自启 sudo systemctl enable --now libvirtd # 确认libvirtd状态，active(running)才算正常 sudo systemctl status libvirtd # 查看虚拟化能力，重点看Domain type和CPU model virsh capabilities | head -40逻辑说明：第一步的grep是判断硬件底子，如果输出0，后面所有操作都不用做了，先回BIOS开虚拟化。第二步装的是KVM核心组件，virt-install用来建虚拟机，virt-manager是图形界面，服务器上可以不装。第三步启动libvirtd这个守护进程，所有virsh命令都依赖它。第四步的capabilities输出里，Domain type显示kvm说明KVM模块加载成功，如果显示qemu说明退回了纯软件模拟，性能会差一个数量级。
参数说明：yum源要确认已经配置了麒麟的官方源或内网镜像源，否则包名对不上。如果是在飞腾平台上，qemu-kvm的包名可能是qemu-kvm-ev，具体用yum search qemu查一下。virsh capabilities的输出很长，重点看<domain type='kvm'>这一行。
2.3 创建虚拟机的完整参数模板
跑通环境后，建虚拟机是下一步。下面这个virt-install命令是我常用的模板，参数都做了注释。
virt-install \ --name test-vm-01 \ --memory 4096 \ --vcpus 2 \ --cpu host-passthrough \ --disk path=/var/lib/libvirt/images/test-vm-01.qcow2,size=40,format=qcow2 \ --network network=default,model=virtio \ --os-variant ubuntu20.04 \ --cdrom /iso/Kylin-Server-V10.iso \ --graphics vnc,listen=0.0.0.0 \ --noautoconsole逻辑说明：--cpu host-passthrough是关键，它让虚拟机直接继承宿主机CPU特性，在信创平台上能避免很多指令集兼容问题。--disk指定qcow2格式，支持快照和精简置备。--network用virtio模型，性能比e1000好很多。--os-variant如果装的是麒麟，可以先用ubuntu20.04代替，装完再调。
参数说明：内存和vCPU按实际需求给，但注意信创CPU的单核性能普遍弱于同代x86，vCPU数量可以适当多给。磁盘size单位是GB，qcow2文件初始不会占满40G。VNC监听0.0.0.0方便远程连接，生产环境建议改成127.0.0.1走SSH隧道。
3. 信创适配及安全管理：从驱动注入到等保合规
3.1 国产OS镜像的驱动注入与适配清单核对
信创适配最容易被低估的环节是驱动。x86时代装系统基本不用管驱动，但鲲鹏、飞腾平台上，网卡、存储控制器、GPU的驱动经常需要手动注入。常见做法是在ISO里通过kickstart脚本预置驱动rpm包，或者在安装时用linux dd参数加载驱动镜像。
适配清单核对是另一个必做项。信创产品目录里列出的CPU、OS、数据库、中间件组合，是经过验证的，但实际项目里经常遇到清单外的组合。我的经验是：清单内的组合直接照做，清单外的组合先做最小验证——装OS、起网络、跑一个基准测试，三步都过再往下走。
# 查看当前内核加载了哪些驱动模块 lsmod | grep -E 'virtio|nic|scsi' # 检查网卡驱动版本，信创平台常见的是hinic和hns3 ethtool -i eth0 # 查看OS版本和内核版本，适配清单核对时要用 cat /etc/os-release uname -r逻辑说明：lsmod看的是当前加载的模块，如果virtio_net没加载，虚拟机网络就不通。ethtool -i看驱动名和版本，和适配清单里的版本号对比。os-release和uname是记录环境基线，出问题时第一时间要提供这些信息。
3.2 等保要求下的虚拟化安全配置
信创项目基本都绕不开等保。虚拟化层面的等保要求主要集中在访问控制、审计、资源隔离三块。访问控制方面，libvirtd的socket权限要收紧，不要用root直接跑所有虚拟机。审计方面，virsh的每个操作都要有日志，默认在/var/log/libvirt/libvirtd.log。资源隔离方面，cgroup要启用，防止一台虚拟机耗尽宿主机资源。
# 查看libvirtd日志配置 grep -E 'log_level|log_outputs' /etc/libvirt/libvirtd.conf # 启用cgroup资源限制，编辑虚拟机XML virsh edit test-vm-01 # 在<domain>内添加以下片段<cputune> <shares>1024</shares> <period>100000</period> <quota>50000</quota> </cputune> <memtune> <hard_limit>4194304</hard_limit> </memtune>逻辑说明：cputune里的quota/period比值决定了CPU时间上限，50000/100000就是限制到50%的单核。memtune的hard_limit单位是KB，4194304就是4GB。这些限制在等保测评时是加分项，能证明你有资源隔离手段。
参数说明：shares是相对权重，不是绝对值，多台虚拟机竞争时按比例分配。period和quota的搭配要算一下，quota不能大于period，否则没意义。hard_limit设太小会导致虚拟机启动失败，建议比分配内存多留512MB。
3.3 云管平台对接：从libvirt到OpenStack的最小路径
如果项目要求统一纳管，下一步就是把KVM节点接入云管平台。OpenStack是最常见的开源选择，信创环境下用OpenStack的Train或Wallaby版本比较多。对接的核心是nova-compute服务，它通过libvirt驱动管理虚拟机。
# 安装nova-compute和neutron相关包 sudo yum install -y openstack-nova-compute openstack-neutron-linuxbridge # 配置nova.conf指向控制节点 # 编辑/etc/nova/nova.conf，关键项如下[DEFAULT] transport_url = rabbit://openstack:password@controller my_ip = 192.168.1.100 [vnc] enabled = true server_listen = 0.0.0.0 server_proxyclient_address = 192.168.1.100 [libvirt] virt_type = kvm cpu_mode = host-passthrough逻辑说明：transport_url是消息队列地址，nova-compute通过它和控制节点通信。my_ip是本机管理IP。vnc段配置控制台访问。libvirt段的virt_type必须是kvm，cpu_mode用host-passthrough保证CPU特性透传。
参数说明：rabbit的密码要和控制节点一致。server_proxyclient_address填本机IP。如果控制节点和计算节点时间不同步，nova-compute会注册失败，先确认ntp或chronyd正常。
4. 云平台搭建避坑：从部署翻车到性能调优
4.1 坑一：虚拟机启动报“unsupported configuration: CPU mode”
现象：virsh start虚拟机时提示CPU模式不支持，或者虚拟机启动后CPU型号显示为qemu64。
原因：libvirt默认的CPU模式是custom，在信创平台上可能无法正确识别CPU特性。另外，如果BIOS里没开虚拟化，KVM模块加载不了，也会报类似错误。
解决：把虚拟机XML里的<cpu mode='custom'>改成<cpu mode='host-passthrough'>，然后virsh define重新定义。如果是BIOS问题，重启进BIOS开VT-x或AMD-V。飞腾平台上还要确认固件版本，老固件对KVM支持不完整。
4.2 坑二：OpenStack计算节点注册失败，日志报“AMQP server unreachable”
现象：nova-compute服务启动后反复重启，日志里刷AMQP连接失败。
原因：消息队列的地址、端口、用户名密码不对，或者防火墙挡了5672端口。信创环境里还可能是SELinux策略拦截。
解决：先用telnet controller 5672测连通性，不通就查防火墙和SELinux。setenforce 0临时关闭SELinux验证，如果通了就去配策略。密码里有特殊字符的话，在nova.conf里要用URL编码。
4.3 坑三：虚拟机网络不通，vnet接口没流量
现象：虚拟机起来了，但ping不通网关，宿主机上tcpdump -i vnet0看不到包。
原因：网桥配置错误，或者虚拟机的网卡模型和驱动不匹配。信创平台上常见的是用了e1000模型但OS里没驱动。
解决：确认虚拟机XML里网卡model是virtio，OS里lsmod | grep virtio_net有输出。网桥用brctl show看vnet0有没有挂到正确的桥上。如果是OpenStack环境，检查neutron的linuxbridge agent状态。
4.4 坑四：迁移虚拟机时提示“host not compatible”
现象：动态迁移时源和目的宿主机CPU不兼容，迁移失败。
原因：两台服务器的CPU型号不同，或者libvirt的CPU基线配置不一致。
解决：在集群层面统一CPU基线，用virsh cpu-baseline生成一个公共基线文件，所有虚拟机按这个基线配置。如果CPU型号差异太大，只能做冷迁移。
4.5 坑五：磁盘IO性能只有物理机的三分之一
现象：虚拟机里跑fio，IOPS只有物理机的30%左右。
原因：磁盘缓存模式用了writethrough，或者qcow2文件没预分配。
解决：虚拟机XML里disk的cache模式改成none或writeback，io模式改成native。qcow2用qemu-img convert -O qcow2 -o preallocation=metadata做预分配。如果还不行，考虑用raw格式或直通物理盘。
5. 信创云平台的验证与调优：几个能落地的技巧
5.1 用virsh domstats做性能基线采集
平台搭完之后，怎么证明它稳定？我习惯用virsh domstats定期采集指标，比装一堆监控agent轻量。
# 采集单台虚拟机的CPU、内存、磁盘、网络统计 virsh domstats test-vm-01 --cpu-total --balloon --block --interface # 批量采集所有虚拟机，输出到文件 for vm in $(virsh list --name); do virsh domstats $vm --cpu-total --balloon >> /var/log/vm-stats.log done逻辑说明：domstats的输出是键值对，cpu-total给的是累计CPU时间，两次采样做差除以时间就是使用率。balloon看内存实际使用和上限。block和interface给磁盘和网络的累计字节数。
参数说明：--cpu-total是总CPU时间，如果要分核看用--vcpu。批量采集时注意间隔，太频繁会影响性能，我一般5分钟一次。
5.2 信创CPU的NUMA绑定技巧
鲲鹏和飞腾都是NUMA架构，虚拟机不绑核的话跨NUMA访问内存延迟很高。绑定方法是在XML里加numatune和vcpupin。
<numatune> <memory mode='strict' nodeset='0'/> </numatune> <cputune> <vcpupin vcpu='0' cpuset='0-1'/> <vcpupin vcpu='1' cpuset='2-3'/> </cputune>逻辑说明：numatune的memory mode用strict，强制内存从node 0分配。vcpupin把vCPU绑到物理核上，减少调度开销。cpuset的编号用lscpu -e查。
参数说明：nodeset和cpuset要对应同一个NUMA节点，否则跨节点访问更慢。绑核后虚拟机的vCPU数不能超过物理核数，超了会争抢。
5.3 一个验证适配是否成功的检查清单
最后给一个我常用的检查清单，按顺序过一遍，基本能判断信创虚拟化环境是否可用。
| 检查项 | 命令 | 通过标准 |
|---|---|---|
| CPU虚拟化支持 | grep -Eoc '(vmx|svm)' /proc/cpuinfo | 输出大于0 |
| KVM模块加载 | lsmod | grep kvm | 有kvm和kvm_intel/kvm_amd |
| libvirtd状态 | systemctl is-active libvirtd | active |
| 虚拟机创建 | virsh list --all | 能看到虚拟机 |
| 网络连通 | 虚拟机内ping网关 | 通 |
| 磁盘IO | fio随机读写 | IOPS不低于物理机50% |
| 迁移 | virsh migrate --live | 成功且业务不中断 |
这张表我每次交付前都会跑一遍，有一次在飞腾平台上卡在磁盘IO那项，查了半天发现是qcow2没预分配，加上preallocation=metadata后IOPS从800涨到2400。信创环境里很多性能问题不是硬件不行，是配置没到位。希望这些经验能帮你在自己的项目里少走几步弯路。
本文还有配套的精品资源，点击获取
