VF : Virtual Function
Infrastructure
VF : Virtual Function, fonction virtuelle d'un périphérique PCI Express découpé par SR-IOV (Single Root I/O Virtualization), attribuée directement à une machine virtuelle. « Une tranche de carte réseau livrée à la machine virtuelle sans passer par le guichet de l'hôte », par analogie avec le locataire qui reçoit sa propre porte sur la rue et n'emprunte plus le hall où se tient le gardien.
PF et VF : La spécification SR-IOV du PCI-SIG distingue la PF (Physical Function), fonction complète qui configure le périphérique, et les VF, fonctions allégées qui disposent chacune de leurs files et de leur propre identité sur le bus PCI. Le pilote de la PF, dans l'hôte, décide du nombre de VF et de leurs paramètres.
Accès direct : Une VF est confiée à une machine virtuelle par passage direct ; sous Linux, avec VFIO (Virtual Function I/O) et l'IOMMU (Input-Output Memory Management Unit), qui cantonne ses accès mémoire à ceux de l'invité. Les paquets vont de la carte à la mémoire de la machine virtuelle sans traverser le commutateur virtuel de l'hôte : latence et charge processeur baissent nettement.
Ce qui disparaît : Le trafic d'une VF échappe au pont et aux règles de filtrage de l'hôte, ainsi qu'aux sondes qui l'observaient. La migration à chaud d'une machine virtuelle qui détient une VF devient aussi plus délicate, puisqu'elle emporte un morceau de matériel.
Garde-fous : La carte applique elle-même certains contrôles par VF, réglés depuis la PF : adresse MAC imposée, contrôle anti-usurpation, VLAN forcé, limitation de débit. Ce sont les seuls filtres qui restent sur le chemin ; encore faut-il les activer.
Ce qui arrive si on s'en passe
Sans VF, tout le trafic des machines virtuelles passe par le commutateur logiciel de l'hôte : c'est plus lent et plus coûteux en processeur, au point que certaines fonctions réseau virtualisées n'atteignent pas leur débit nominal. Avec des VF, le risque se déplace : le trafic contourne le pare-feu et les sondes de l'hôte, et une machine virtuelle compromise qui peut changer son adresse MAC ou son VLAN se fait passer pour une autre sur le réseau physique. Activer l'anti-usurpation et le VLAN imposé sur chaque VF, garder la PF hors de portée des invités et observer le trafic ailleurs, au commutateur physique ou par la carte, compensent ce que l'hôte ne voit plus.
Explication de la marmotte
Une carte réseau moderne peut se découper en plusieurs petites cartes virtuelles, appelées VF. Chacune est donnée directement à une machine virtuelle, qui l'utilise comme si elle était à elle. Les données vont plus vite, car elles ne passent plus par l'ordinateur hôte. Mais l'hôte ne peut plus les surveiller ni les filtrer : il faut donc régler les protections directement sur la carte.
Où ce terme est utilisé
- Virtualisation réseau, NFV et data planes ouverts (2 occurrences)