IOMMU & SMMU
DMA Koruması

# BIOS/UEFI'de VT-d etkinleştirdikten sonra:

# Kernel parametreleri (/etc/default/grub)
# GRUB_CMDLINE_LINUX="intel_iommu=on iommu=strict"
# iommu=strict: her DMA haritası kaldırıldığında TLB flush (güvenli)
# iommu=pt:    passthrough (güvenlik kapalı, max performans)

sudo update-grub
sudo reboot

# Doğrulama
dmesg | grep -i iommu | head -10
# DMAR: IOMMU enabled
# DMAR-IR: Enabled IRQ remapping in x2apic mode

cat /sys/class/iommu/dmar0/intel-iommu/cap
# Capability flags: SAGAW (address width), SLTS, etc.

# DMAR (DMA Remapping) tablosunu oku
sudo acpidump -n DMAR | acpixtract -l
sudo iasl -d DMAR.dat

# ARM64 kernel: SMMU DT node örneği (device tree)
# smmu: iommu@09000000 {
#     compatible = "arm,smmu-v3";
#     reg = <0x0 0x09000000 0x0 0x800000>;
#     interrupts = <...>;
#     #iommu-cells = <1>;
# };
#
# PCIe EP'nin SMMU'ya bağlanması:
# pcie: pcie@... {
#     iommus = <&smmu STREAMID>;
# };

# Kernel parametreleri
# arm-smmu-v3.disable_bypass=1  — haritasız DMA'yı engelle
# iommu.strict=1                — strict TLB invalidation

# SMMU cihazını gör
dmesg | grep -i smmu
# arm-smmu-v3 9000000.iommu: probing hardware
# arm-smmu-v3 9000000.iommu: SMMU-v3 with 128-bit IDS

# Bağlı gruplar
ls /sys/kernel/iommu_groups/
ls /sys/kernel/iommu_groups/0/devices/

#include <linux/iommu.h>

/* ── IOMMU domain oluşturma ───────────────────────────────── */
static struct iommu_domain *create_dma_domain(struct device *dev)
{
    struct iommu_domain *domain;

    /*
     * Domain türleri:
     *   IOMMU_DOMAIN_DMA:      DMA API için genel domain
     *   IOMMU_DOMAIN_IDENTITY: passthrough (PA==IOVA)
     *   IOMMU_DOMAIN_UNMANAGED: sürücü elle yönetir (VFIO için)
     *   IOMMU_DOMAIN_BLOCKED:  tüm DMA engellenir
     */
    domain = iommu_domain_alloc(dev->bus);
    if (!domain) {
        dev_err(dev, "iommu_domain_alloc başarısız\n");
        return NULL;
    }

    return domain;
}

/* ── Cihazı domain'e bağla ────────────────────────────────── */
static int attach_to_domain(struct iommu_domain *domain,
                              struct device *dev)
{
    int ret = iommu_attach_device(domain, dev);
    if (ret)
        pr_err("iommu_attach_device hata: %d\n", ret);
    return ret;
}

/* ── IOVA → PA haritası kur ──────────────────────────────── */
static int map_iova(struct iommu_domain *domain,
                    unsigned long iova, phys_addr_t pa,
                    size_t size)
{
    int prot = IOMMU_READ | IOMMU_WRITE;  /* | IOMMU_NOEXEC */
    int ret = iommu_map(domain, iova, pa, size, prot, GFP_KERNEL);
    if (ret)
        pr_err("iommu_map(0x%lx→0x%llx, %zu): %d\n",
               iova, (u64)pa, size, ret);
    return ret;
}

/* ── Haritayı kaldır ─────────────────────────────────────── */
static void unmap_iova(struct iommu_domain *domain,
                        unsigned long iova, size_t size)
{
    size_t unmapped = iommu_unmap(domain, iova, size);
    if (unmapped != size)
        pr_warn("iommu_unmap: beklenen %zu, gerçek %zu\n",
                size, unmapped);
}

/* ── IOVA → PA çeviri kontrolü ───────────────────────────── */
static phys_addr_t translate_iova(struct iommu_domain *domain,
                                   unsigned long iova)
{
    phys_addr_t pa = iommu_iova_to_phys(domain, iova);
    pr_debug("IOVA 0x%lx → PA 0x%llx\n", iova, (u64)pa);
    return pa;
}

# Tüm IOMMU gruplarını ve içindeki cihazları listele
for d in /sys/kernel/iommu_groups/*/devices/*; do
    group=$(echo "$d" | cut -d/ -f5)
    bdf=$(basename "$d")
    name=$(lspci -s "$bdf" 2>/dev/null | cut -d: -f3-)
    printf "Group %-4s  %s  %s\n" "$group" "$bdf" "$name"
done | sort -n

# Tipik çıktı:
# Group 0    00:00.0  Host bridge: Intel ...  
# Group 1    00:1d.0  PCI bridge: Intel ...   
# Group 2    01:00.0  Non-Volatile memory: Samsung ...
# Group 3    02:00.0  Ethernet: Realtek ...   

# Bir grubun tüm cihazlarını gör
ls /sys/kernel/iommu_groups/2/devices/

# ACS desteği kontrolü
sudo lspci -vvv | grep -A5 "Access Control"
# Access Control Services: ACSCap: SrcValid+ TransBlk+ ReqRedir+ ... 
# → ACS mevcut: her downstream port izole edilebilir

# Grup-1 cihaz sayısı: birden fazlaysa VFIO passthrough için hepsini bağlamalısın
ls /sys/kernel/iommu_groups/1/devices/ | wc -l

# 1. IOMMU etkin olduğunu doğrula
dmesg | grep -E "IOMMU|DMAR|SMMU"

# 2. Hedef cihazı belirle
lspci -nn
# 02:00.0 Ethernet [0200]: Realtek RTL8111/8168/8411 [10ec:8168]

# 3. IOMMU grubunu kontrol et
ls /sys/kernel/iommu_groups/3/devices/
# 0000:02:00.0  ← tek cihaz, iyi

# 4. Mevcut sürücüyü ayır
echo 0000:02:00.0 | sudo tee /sys/bus/pci/devices/0000:02:00.0/driver/unbind

# 5. VFIO modüllerini yükle
sudo modprobe vfio
sudo modprobe vfio_pci

# 6. Cihazı VFIO'ya bağla
echo "10ec 8168" | sudo tee /sys/bus/pci/drivers/vfio-pci/new_id

# Alternatif: vfio-pci doğrudan bind
echo 0000:02:00.0 | sudo tee /sys/bus/pci/drivers/vfio-pci/bind

# 7. /dev/vfio/ oluşturulduğunu doğrula
ls -la /dev/vfio/
# crw-rw-rw- 1 root vfio ...  /dev/vfio/3
# crw-rw-rw- 1 root root ...  /dev/vfio/vfio

#include <linux/vfio.h>
#include <sys/ioctl.h>

int vfio_setup(int group_id)
{
    int container, group, device_fd;

    /* VFIO container */
    container = open("/dev/vfio/vfio", O_RDWR);
    ioctl(container, VFIO_SET_IOMMU, VFIO_TYPE1_IOMMU);

    /* IOMMU group'u aç */
    char path[64];
    snprintf(path, sizeof(path), "/dev/vfio/%d", group_id);
    group = open(path, O_RDWR);
    ioctl(group, VFIO_GROUP_SET_CONTAINER, &container);

    /* Cihazı aç */
    device_fd = ioctl(group, VFIO_GROUP_GET_DEVICE_FD, "0000:02:00.0");

    /* BAR bilgisini al */
    struct vfio_region_info reg = {
        .argsz = sizeof(reg),
        .index = VFIO_PCI_BAR0_REGION_INDEX,
    };
    ioctl(device_fd, VFIO_DEVICE_GET_REGION_INFO, ®);
    printf("BAR0: offset=0x%llx size=0x%llx\n",
           reg.offset, reg.size);

    /* DMA haritası kur (QEMU bunu yapar) */
    struct vfio_iommu_type1_dma_map dma = {
        .argsz = sizeof(dma),
        .flags = VFIO_DMA_MAP_FLAG_READ | VFIO_DMA_MAP_FLAG_WRITE,
        .vaddr = (uintptr_t)mmap(NULL, 4096, PROT_READ|PROT_WRITE,
                                  MAP_PRIVATE|MAP_ANONYMOUS, -1, 0),
        .iova  = 0x10000,   /* cihaza görünecek adres */
        .size  = 4096,
    };
    ioctl(container, VFIO_IOMMU_MAP_DMA, &dma);

    return device_fd;
}

# QEMU ile PCIe NIC passthrough (vfio-pci)
qemu-system-x86_64 \
    -enable-kvm \
    -cpu host \
    -m 4G \
    -drive file=vm.qcow2,format=qcow2 \
    \
    # IOMMU modeli (Guest'in IOMMU görmesi için)
    -machine q35,accel=kvm \
    -device intel-iommu,intremap=on,caching-mode=on \
    \
    # PCIe cihazı passthrough
    -device vfio-pci,host=02:00.0,multifunction=on \
    \
    -nographic \
    -serial mon:stdio

# Guest'te doğrulama
# lspci -k → sürücü: r8169 veya e1000e (gerçek hardware sürücüsü)
# ethtool eth0 → Speed: 1000baseT/Full (gerçek hız)
# iperf3 → host-to-guest: ~940 Mbps (bare metal yakın performans)

#!/bin/bash
# nic_passthrough_setup.sh — PCIe NIC'i VM'e atama
set -euo pipefail

NIC_BDF="0000:02:00.0"       # lspci'den al
NIC_VENDOR_DEV="10ec:8168"   # lspci -nn'den al

echo "=== 1. IOMMU etkin mi? ==="
if ! dmesg | grep -qi "IOMMU enabled"; then
    echo "HATA: IOMMU etkin değil!"
    echo "GRUB: intel_iommu=on veya amd_iommu=on ekle"
    exit 1
fi
echo "OK: IOMMU etkin"

echo "=== 2. IOMMU group ==="
GROUP=$(readlink /sys/bus/pci/devices/$NIC_BDF/iommu_group | \
        sed 's|.*/||')
echo "NIC IOMMU group: $GROUP"
DEVICES=$(ls /sys/kernel/iommu_groups/$GROUP/devices/)
echo "Gruptaki cihazlar: $DEVICES"
COUNT=$(echo "$DEVICES" | wc -w)
if [ "$COUNT" -gt 1 ]; then
    echo "UYARI: Grupta $COUNT cihaz var — hepsini VFIO'ya bağlamalısın!"
fi

echo "=== 3. Mevcut sürücüyü ayır ==="
DRIVER=$(readlink /sys/bus/pci/devices/$NIC_BDF/driver 2>/dev/null | \
         sed 's|.*/||' || echo "none")
echo "Mevcut sürücü: $DRIVER"
if [ "$DRIVER" != "none" ] && [ "$DRIVER" != "vfio-pci" ]; then
    echo "$NIC_BDF" | sudo tee /sys/bus/pci/drivers/$DRIVER/unbind
    echo "Ayrıldı: $DRIVER"
fi

echo "=== 4. VFIO modülleri ==="
sudo modprobe vfio vfio_iommu_type1 vfio_pci

echo "=== 5. VFIO'ya bağla ==="
echo "$NIC_VENDOR_DEV" | sudo tee /sys/bus/pci/drivers/vfio-pci/new_id \
    2>/dev/null || true

if [ ! -e /sys/bus/pci/devices/$NIC_BDF/driver ]; then
    echo "$NIC_BDF" | sudo tee /sys/bus/pci/drivers/vfio-pci/bind
fi

echo "=== 6. Doğrulama ==="
readlink /sys/bus/pci/devices/$NIC_BDF/driver
ls -la /dev/vfio/

echo ""
echo "=== VM başlatma komutu ==="
cat <<'EOF'
qemu-system-x86_64 \
  -enable-kvm -cpu host -m 2G \
  -drive file=ubuntu.qcow2,format=qcow2 \
  -machine q35,accel=kvm \
  -device intel-iommu \
  -device vfio-pci,host=02:00.0 \
  -nographic -serial mon:stdio
EOF

# Guest OS içinde (Ubuntu)

# NIC tanındı mı?
lspci -k
# 00:03.0 Ethernet: Realtek RTL8111/8168
#         Kernel driver in use: r8169

# IP adresi al
sudo dhclient eth0

# Performans testi: host ↔ guest iperf3
# Host'ta:
iperf3 -s
# Guest'te:
iperf3 -c 192.168.1.1 -t 10
# [ ID] Interval      Transfer     Bandwidth
# [  5]  0.00-10.00   1.11 GBytes  953 Mbits/sec
# → 953 Mbps: bare metal yakın (overhead yok)

# Karşılaştırma: virtio-net (QEMU emüle)
# [  5]  0.00-10.00   0.91 GBytes  784 Mbits/sec
# → virtio-net 17% daha yavaş — passthrough'un avantajı