namespace_gid：用户命名空间内GID范围的开头。host_gid：用户命名空间外GID范围的开头。count：范围长度（用户命名空间内外）。

例如，假设调用GID为1000，/etc/subgid的内容为：1000:100000:65536，这创建从100000开始的65536个子GID，即属于实际GID 1000的（包含）范围[100000, 165535]。此范围可以通过--gid-map=:0:100000:65536:映射到virtiofsd的用户命名空间内的GID [0, 65535]（即 guest中看到的）。或者，您可以将自己的GID映射到命名空间中的单个GID：例如，--gid-map=:0:1000:1:将GID 1000映射到命名空间中root的GID（因此guest）。

--migration-mode=<find-paths>

定义了如何执行迁移，即如何将内部状态表示为目的地实例，以及如何获取该表示。请注意（当使用QEMU时），需要QEMU版本8.2或更高版本才能使用virtio-fs迁移。

virtiofsd在内部持有所有由guest索引或打开的inode的引用。在迁移过程中，这些引用需要转移到目的地；如何进行此操作由此开关确定

• find-paths：遍历共享目录（穷举搜索）以找到源实例持有的所有inode的路径（相对于共享目录），将这些路径传输到目的地，并让目的地实例打开这些路径。这允许在不要求特殊权限的情况下进行迁移，无论源和目的地是否使用相同的共享目录；但它以I/O（通过共享目录的DFS）为代价，并且在迁移过程中第三方更改共享目录中的元数据（例如重命名、解除链接、移除权限）时容易受到攻击，这可能导致数据丢失和/或损坏。

此参数在迁移的目标端被忽略。

--migration-on-error=<abort|guest-error>

控制如何在迁移过程中响应错误。

在迁移过程中，一些被虚拟机索引或打开的inode可能无法迁移：要么源实例无法构造出目标实例如何找到/打开某些inode的指令，要么目标实例发现自己无法遵循这些指令。在所有情况下，目标实例都会收到这些inode的通知，然后根据此参数的值决定如何处理。

• abort：无论目标实例遇到任何此类错误，它都会向vhost-user前端（例如QEMU）返回一个硬错误，导致迁移终止。执行将回到源虚拟机上继续。

• guest-error：迁移允许完成，但所有受影响的inode都被标记为无效。虚拟机将无法访问任何此类inode，只能收到错误。

请注意，此参数仅用于目标实例；在迁移的源端，其值被忽略。

--migration-verify-handles

确保迁移目标打开与源相同的inode。这仅当源和目标都将在同一文件系统上的同一共享目录中使用时才有效。

在迁移过程中，源实例通知目标实例虚拟机已索引或打开的所有inode，并让目标实例重新打开它们。此开关使源为每个此类inode生成一个文件句柄，并将其发送到目标，允许目标重新生成它已打开的inode的相同文件句柄，并验证它们是否相等，以证明它们是同一inode。

（文件句柄是每个文件系统的inode的唯一标识符，除了inode ID之外，还包括一个生成ID，以防止inode ID重用。）

使用此选项可以防止在迁移过程中外部实体重命名或替换inode，否则可能会导致数据丢失或损坏，因此当virtiofsd之外的进程有写入共享目录的权限时，应始终使用此选项。然而，再次强调，它仅当源和目标使用相同的共享目录时才有效；尽管在网络文件系统中，这并不要求它们在同一个主机上运行。

此参数在迁移的目标端被忽略。

--migration-confirm-paths

在切换到目标之前，仔细检查inode的身份，这可以在共享目录有第三方写入权限的情况下提高迁移的健壮性。

当通过相对于共享目录的路径表示迁移的inode时，在切换到目标期间，请再次确认每个路径是否仍然与相应的inode匹配。如果路径不匹配，请尝试通过查看/proc/self/fd中的相应符号链接进行纠正。

请注意，此选项需要在迁移切换阶段的暂停期间访问虚拟机索引或打开的每个inode，这可能会使该阶段的时间延长。

此参数在迁移的目标端被忽略。

示例

在vhost-user UNIX域套接字/tmp/vfsd.sock上导出/mnt

host# virtiofsd --socket-path=/tmp/vfsd.sock --shared-dir /mnt \
        --announce-submounts --inode-file-handles=mandatory &

host# qemu-system \
        -blockdev file,node-name=hdd,filename=<your image> \
        -device virtio-blk,drive=hdd \
        -chardev socket,id=char0,path=/tmp/vfsd.sock \
        -device vhost-user-fs-pci,queue-size=1024,chardev=char0,tag=myfs \
        -object memory-backend-memfd,id=mem,size=4G,share=on \
        -numa node,memdev=mem \
        -accel kvm -m 4G

guest# mount -t virtiofs myfs /mnt

有关将virtiofs配置添加到现有qemu命令行的信息，请参阅常见问题解答。

作为非特权用户运行

在没有root权限的情况下运行时，virtiofsd需要一个用户命名空间（参见user_namespaces(7)），以便能够在虚拟机内部切换任意用户/组ID。如果UID/GID没有被映射（即，未编写uid_map和gid_map文件），virtiofsd将在用户命名空间中失败。在用户命名空间内运行virtiofsd有许多选项。例如

假设调用UID和GID是1000，且/etc/subuid和/etc/subgid的内容如下：

1000:100000:65536

使用 podman-unshare(1) 可以配置用户命名空间，使得调用用户的 UID（即 1000）和主要 GID（即 0）分别看起来是 UID 0 和 GID 0。与该用户和组匹配的任何范围在 /etc/subuid 和 /etc/subgid 中，也通过 newuidmap(1) 和 newgidmap(1) 辅助器映射为自身。

host$ podman unshare -- virtiofsd --socket-path=/tmp/vfsd.sock --shared-dir /mnt \
        --announce-submounts --sandbox chroot &

使用 lxc-usernsexec(1)，我们可以让调用用户不在映射中，而将用户命名空间中的根用户映射到用户和组 100000。

host$ lxc-usernsexec -m b:0:100000:65536 -- virtiofsd --socket-path=/tmp/vfsd.sock \
        --shared-dir /mnt --announce-submounts --sandbox chroot &

为了获得与 podman-unshare(1) 相同的行为，我们需要运行

host$ lxc-usernsexec -m b:0:1000:1 -m b:1:100000:65536 -- virtiofsd --socket-path=/tmp/vfsd.sock \
        --shared-dir /mnt --announce-submounts --sandbox chroot &

我们也可以选择 --sandbox none 而不是 --sandbox chroot。

限制

• 在虚拟机内部，无法在共享目录中创建块或字符设备节点。

• virtiofsd 不能使用文件句柄（--inode-file-handles 需要 CAP_DAC_READ_SEARCH），因此需要大量的文件描述符。另外，在 NFS 上，不使用文件句柄可能会导致某些文件被删除后仍存在隐藏文件（参见 NFS FAQ，第 D2 节："什么是 'silly rename'?"）。

• virtiofsd 无法增加 RLIMIT_NOFILE。

常见问题解答（FAQ）

• 如何在虚拟机内部不能修改的目录中只读共享？为了完成此操作，您需要导出一个只读挂载点，例如，导出 share

mkdir ro-share
mount -o bind,ro share ro-share
virtiofsd --shared-dir ro-share ...

• 如何使用同一个 virtiofsd 共享多个目录？目前，virtiofsd 只支持共享单个目录，但可以通过子挂载实现此功能，例如，导出 share0、share1

mkdir -p share/{sh0,sh1}
mount -o bind share0 share/sh0
mount -o bind share1 share/sh1
virtiofsd --announce-submounts --shared-dir share ...

请注意使用 --announce-submounts 以防止数据丢失/损坏。

• 如何将 virtiofs 设备添加到现有的 qemu 命令行

  如果命令中还没有添加 -object memory-backend-memfd,id=mem 和 -numa node,memdev=mem 或 memory-backend=mem 属性，则需要添加它们。

  如果已配置了不同的内存后端，则应将其更改为 memory-backend-memfd。

  -object memory-backend-memfd 必须 具有选项 share=on，并且 size= 必须 与 -m 定义的内存大小相匹配。

  对于每个virtiofs设备挂载，添加一个-chardev socket,id=${MATCHING_ID},path=${VIRTIOFSD_SOCKET_PATH}和-device vhost-user-fs-pci,queue-size=1024,chardev=${MATCHING_ID},tag=${VIRTIOFS_TAG}，并使用适当的值替换shell风格的变量。