嵌套虚拟化（Nested Virtualization）指的是在一台虚拟机内部继续运行虚拟化平台，从而创建二级虚拟机。这项技术在测试环境中极具价值，例如模拟多云架构、搭建CI/CD流水线中的动态测试节点，或是复现生产环境故障。但要启用它，首先需要理解CPU虚拟化扩展是如何被宿主机和客户机共享的。当前主流的x86处理器都带有Intel VT-x或AMD-V硬件辅助虚拟化扩展，当Hypervisor使用这些扩展创建虚拟机后，默认情况下这些扩展并不会透传给虚拟机内部的操作系统，因此客户机无法再创建虚拟机。只有通过特定的配置将硬件虚拟化扩展暴露给客户机，才能实现二级虚拟化。
开启嵌套虚拟化前，需要确认几项基本条件：宿主机的CPU支持VT-x或AMD-V，并且在BIOS中已开启；宿主机上运行的Hypervisor版本支持嵌套虚拟化；客户机操作系统必须能识别到透传的虚拟化标志。常见的测试环境组合包括KVM宿主上运行KVM客户机、VMware Workstation上运行ESXi或Hyper-V、以及Hyper-V上运行WSL2或另一个Hyper-V。不同平台的具体配置方法差异较大，下文将逐一展开。
嵌套虚拟化的原理与硬件前提
硬件辅助虚拟化通过引入新的CPU运行模式（如Intel的VMX root和non-root模式）来减少Hypervisor对敏感指令的捕获开销。在没有嵌套虚拟化的情况下，一旦虚拟机内部尝试执行虚拟化相关指令（如VMRUN或VMLAUNCH），Hypervisor会直接拦截并报告错误，导致客户机无法创建自己的虚拟机。嵌套虚拟化解决方案的核心思路是让第一层Hypervisor不再拦截这些指令，而是模拟或透传给第二层Hypervisor执行，并允许第二层Hypervisor进入二级虚拟机。
Intel和AMD两家厂商对嵌套虚拟化的硬件支持并不一致。Intel从Haswell微架构开始，在EPT（Extended Page Tables）技术中加入了嵌套EPT支持，后来又通过VMCS shadowing机制增强性能。AMD则通过SVM的Nested Paging和NPT加速嵌套虚拟化。不过，即使硬件支持，软件层仍然需要显式开启，因为默认配置下Hypervisor为了安全性和稳定性会隐藏这些扩展。对于测试环境，性能损耗通常可以接受，因此只需要关注功能是否可用。
在Linux KVM环境中，内核模块kvm_intel和kvm_amd分别控制Intel和AMD平台。模块参数nested默认值为0（关闭），将其设置为1即可允许客户机使用虚拟化指令。此外，部分旧版本内核可能还需要额外开启shadow VMCS功能，但现代内核已自动处理。对于Windows Hyper-V，嵌套虚拟化从Windows Server 2016和Windows 10 1607版本开始支持，但仅限Intel CPU；AMD平台的支持直到Windows 11和Server 2022才正式提供。在配置之前，务必查阅宿主机的CPU型号和Hypervisor版本，避免无效操作。
主流虚拟化平台的启用配置
KVM宿主：启用内核模块参数
在KVM宿主上启用嵌套虚拟化最直接的方法是修改内核模块参数。首先检查当前状态，如果输出为N则尚未启用。临时启用可以直接卸载再加载模块，但会中断正在运行的虚拟机，建议在测试环境空闲时操作。永久生效需要写入modprobe配置文件，重启宿主或重新加载模块后生效。
# 检测CPU是否支持虚拟化 grep -E '(vmx|svm)' /proc/cpuinfo # 查看当前嵌套虚拟化状态（Intel或AMD） cat /sys/module/kvm_intel/parameters/nested # 如果上一步提示文件不存在，试试AMD模块 # cat /sys/module/kvm_amd/parameters/nested # 临时启用（以Intel为例） sudo modprobe -r kvm_intel sudo modprobe kvm_intel nested=1 # 验证结果 cat /sys/module/kvm_intel/parameters/nested # 输出应为 Y # 永久启用（写入配置文件） echo "options kvm_intel nested=1" | sudo tee /etc/modprobe.d/kvm_intel.conf # 如果是AMD平台，改用 kvm_amd.conf 和 kvm_amd nested=1
对于使用libvirt管理的KVM宿主，还可以通过编辑虚拟机的XML定义来为特定客户机开启嵌套虚拟化。在域配置中，CPU模式需要设置为host-passthrough，这样客户机就能看到宿主机的全部CPU特性，包括虚拟化扩展。以下是一个示例片段，注意在真实配置中需要将<cpu>部分完整替换。
<cpu mode='host-passthrough' check='none'> <feature policy='require' name='vmx'/> </cpu>
VMware Workstation / ESXi：图形界面与.vmx文件
VMware Workstation和Fusion在图形设置中提供了简单的开关。对于Workstation，打开虚拟机设置，进入处理器选项，勾选“虚拟化Intel VT-x/EPT或AMD-V/RVI”。对于ESXi，则需要在虚拟机的高级配置中添加参数vhv.enable = "TRUE"，或者在vSphere Client中编辑虚拟机选项，找到“硬件虚拟化”并勾选。如果不方便使用图形界面，也可以直接编辑.vmx文件，在文件末尾添加以下行：
vhv.enable = "TRUE"
保存后重启虚拟机即可。需要注意的是，VMware只有在虚拟机硬件版本为9或更高时才支持嵌套虚拟化，且要求宿主机的CPU必须支持VT-x/EPT或AMD-V/RVI。如果使用的VMware版本较旧（如Workstation 11以下），可能需要升级。另外，在Windows宿主上，如果同时开启了Hyper-V服务，VMware会与Hyper-V产生冲突，导致虚拟机性能下降或嵌套虚拟化失效，需要关闭Hyper-V或使用VMware Workstation 15.5以上版本利用Windows Hypervisor Platform。
Hyper-V：PowerShell命令启用
在Hyper-V中启用嵌套虚拟化必须通过PowerShell命令，因为图形界面没有直接入口。首先需要关闭目标虚拟机，然后执行Set-VMProcessor命令，指定-ExposeVirtualizationExtensions参数为$true。以管理员身份打开PowerShell，运行以下命令：
# 查看指定虚拟机的当前状态 Get-VMProcessor -VMName "TestVM" | Format-List ExposeVirtualizationExtensions # 启用嵌套虚拟化 Set-VMProcessor -VMName "TestVM" -ExposeVirtualizationExtensions $true
启用完成后启动虚拟机，在客户机内部应该能够再次启用Hyper-V角色或运行其他虚拟化软件。值得注意的是，Hyper-V的嵌套虚拟化仅支持第二代虚拟机，而且客户机系统必须是Windows Server 2016或Windows 10以上版本。另外，Hyper-V宿主需要开启嵌套虚拟化扩展，这通常在安装Hyper-V角色时自动配置；如果宿主是Windows 11或Server 2022，AMD平台也能使用该功能。
验证嵌套虚拟化是否真正生效
配置完成后，仅仅看到命令执行成功并不意味着嵌套虚拟化一定可用，还需要在客户机内部进行验证。最直接的方法是在客户机中运行同样的CPU特性检测命令。对于Linux客户机，可以使用grep检查/proc/cpuinfo中是否出现vmx或svm标志：
grep -E '(vmx|svm)' /proc/cpuinfo # 如果有输出，说明虚拟化扩展已暴露给客户机
对于Windows客户机，可以下载Sysinternals工具Coreinfo，在命令行中运行coreinfo -v，观察输出中是否显示虚拟机监控程序相关指令可用。更进一步的验证是尝试在客户机中再创建一台虚拟机。例如，在KVM客户机中安装KVM并创建域，如果能够正常启动二级虚拟机，则证明嵌套虚拟化配置成功。对于VMware Workstation客户机，可以直接在客户机中安装VirtualBox并运行一个64位虚拟机，若没有报错“VT-x is not available”，则说明嵌套虚拟化工作正常。
常见报错与排查思路
在启用嵌套虚拟化的过程中，报错通常有以下几类。当在VMware Workstation中启动虚拟机时提示“此平台不支持虚拟化的 Intel VT-x/EPT”，可能的原因包括：宿主机BIOS未开启VT-x、宿主机上运行了Hyper-V导致冲突、或虚拟机设置中未勾选虚拟化选项。解决方法是先检查宿主机BIOS，再关闭Hyper-V，最后核实虚拟机配置。
在KVM宿主上，如果加载kvm_intel模块时出现“kvm: already loaded”或无法设置nested参数，可能是因为旧模块仍被其他进程占用。此时需要先关闭所有虚拟机，再执行modprobe -r kvm_intel。如果遇到“Operation not permitted”之类的权限错误，请确认使用了sudo。另外，在客户机中执行kvm-ok命令可以快速判断KVM是否可用，输出“KVM acceleration can be used”表示正常。
对于Hyper-V，主要问题在于PowerShell命令执行成功但客户机内仍然无法运行虚拟化软件。这种情况通常是因为客户机内存不足或CPU兼容性问题。建议给客户机分配至少4GB内存，并使用支持嵌套虚拟化的CPU型号（如Intel Xeon E5以上或AMD EPYC）。此外，如果在启用嵌套虚拟化的客户机中再启用Hyper-V角色，需要确保客户机系统版本足够新，Windows Server 2016需要安装更新KB3201845之后才能正常使用嵌套虚拟化功能。