KVM嵌套虚拟化报错entry failed, hardware error 0x7 技术求助

这个错误对应的是VMX指令集里的VMFAILINVALID错误，本质是L1 VM尝试启动L2 VM时，虚拟机硬件状态不符合KVM的运行要求。结合你的环境信息，我整理了以下逐步排查和解决的方案：

1. 确认宿主机的嵌套虚拟化核心配置 #

首先要确保宿主机的KVM嵌套和EPT（扩展页表）功能完全启用，这是嵌套虚拟化的基础：

• 检查嵌套虚拟化状态：

  cat /sys/module/kvm_intel/parameters/nested
  

  输出应为Y或1，如果不是，需要修改模块配置：
  • 编辑/etc/modprobe.d/kvm.conf，添加：

    options kvm_intel nested=1
    

  • 重新加载模块（需先关闭所有运行的VM）：

    rmmod kvm_intel && modprobe kvm_intel
    

• 检查EPT支持：

  cat /sys/module/kvm_intel/parameters/ept
  

  输出必须为Y，EPT是嵌套虚拟化中内存虚拟化的关键组件，没有它L2 VM几乎无法正常运行。

2. 修正L1 VM的CPU与内存配置 #

L1 VM的虚拟化能力配置直接影响L2的启动，重点调整以下几点：

• CPU模式与特性：编辑L1 VM的配置文件（virsh edit your-l1-vm-name），确保CPU使用host-passthrough模式并强制启用vmx特性：

  <cpu mode='host-passthrough' check='partial'>
    <feature policy='require' name='vmx'/>
  </cpu>
  

  这个配置会让L1 VM直接继承宿主机的CPU虚拟化特性，避免模拟CPU带来的兼容性问题。
• 禁用内存气球：内存气球会动态调整VM内存，可能导致L2的内存映射出错，在L1的XML配置中添加：

  <memoryBacking>
    <balloon model='none'/>
  </memoryBacking>
  

• 固定vCPU与内存：确保L1 VM的vCPU没有被动态调度（可以尝试将vCPU绑定到宿主机物理CPU），同时设置内存为固定值（不要使用动态内存分配）。

3. 升级L1 VM的内核版本 #

你的L1 VM使用的是4.12.14内核，这个版本相对较老，而宿主机是4.19.7内核，跨大版本的嵌套虚拟化容易出现兼容性bug：

• 建议将L1的内核升级到openSUSE Leap支持的最新稳定版本，或者至少升级到4.19系列（与宿主机内核版本接近），新版本内核会修复很多嵌套虚拟化的已知问题。
• 升级后记得检查L1的内核启动参数是否包含kvm-intel.nested=1：

  cat /proc/cmdline
  

  如果没有，编辑/etc/default/grub，在GRUB_CMDLINE_LINUX中添加该参数，然后执行：

  grub2-mkconfig -o /boot/grub2/grub.cfg
  

  重启L1 VM生效。

4. 调整L2 VM的基础配置 #

L2 VM的配置也要适配嵌套环境：

• CPU模式选择host-model或qemu64，不要使用host-passthrough（L1作为虚拟机无法直接透传宿主机CPU）。
• 确保L2的内存设置为固定值（比如1GB），避免动态内存引发的问题。
• 检查时钟配置，建议使用UTC时钟并启用catchup策略：

  <clock offset='utc'>
    <timer name='rtc' tickpolicy='catchup'/>
  </clock>
  

5. 排查更详细的错误日志 #

如果以上步骤都无效，查看更详细的日志定位问题：

• 宿主机上执行dmesg | grep KVM，查看KVM模块的底层错误信息，比如是否有EPT violation的具体原因。
• L1 VM中查看/var/log/libvirt/qemu/myvm.log的完整日志，寻找KVM: entry failed之前的错误提示，可能会发现前置的配置问题。

内容的提问来源于stack exchange，提问作者hosselausso