Simplify Unisys ES7000 code in light of the fact we do not support
legacy boxes with very non-standard APIC setup.
From: Raj Subrahmanian <raj.subrahmanian@unisys.com>
Signed-off-by: Keir Fraser <keir@xensource.com>

xend: Missing last line from Xen_API security patch.
Signed-off-by: Stefan Berger <stefanb@us.ibm.com>

Add accel option to vif xend config.
Signed-off-by: Kieran Mansley <kmansley@solarflare.com>

hvm: Clean ups and fix MSR access functions.
Signed-off-by: Xin Li <xin.b.li@intel.com>
Signed-off-by: Keir Fraser <keir@xensource.com>

[Xen-API] Extension of the Xen-API for managing Xen Security Policies

This patch implements extensions for managing security policies in
xend. The XSPolicy and ACMPolicy classes provide the interface for the
Xen-API and implement functionality for setting, updating and
activating of a Xen security policy as well as labeling of virtual
machines and resources such as block devices. Labeling of network
devices will follow.

The acmpolicy class implements a compiler for translating an XML
policy into their binary format and provides functionality for
comparing a current policy against a new one when changing/updating a
policy.

The xspolicyadmin class administers the policy of the system.

Some of the xend-internal code deals with transforming the labeling
information from the S-Expression format into the new Xen-API
format. This is similar to much of the other code that is already
there.

Signed-off-by: Stefan Berger <stefanb@us.ibm.com>

Introduce 'bootscrub' boolean cmdline option. Default on.

no-bootscrub will disable boot-time RAM scrubbing, speeding up boot
time significantly on big-memory systems.

Signed-off-by: Keir Fraser <keir@xensource.com>

Also allow boolean cmdline params to be inverted in two other ways.

Now, a standard boolean (e.g., watchdog) can be inverted in three
ways:
 1. no-watchdog
 2. watchdog=no
 3. watchdog=off

Stacked inversions cancel each other: no-watchdog=no turns on the
watchdog.

Signed-off-by: Keir Fraser <keir@xensource.com>

Allow inversion of boolean cmdline parameters with 'no-' prefix.
Signed-off-by: Keir Fraser <keir@xensource.com>

Remove no-pv-compat cmdline option.
Signed-off-by: Keir Fraser <keir@xensource.com>

Add support for building -mm, -tip and -rc upstream trees.

(note that not all of those contains Xen support just yet and that a
native kernel will be silently built in that case.)

Signed-off-by: Ian Campbell <ian.campbell@xensource.com>

Add support to the tarball source type for using the ketchup tool.

Signed-off-by: Ian Campbell <ian.campbell@xensource.com>

Add hooks for a script to update kernel configuration after tree has been
prepared. This is to support upstream sources which do not enable Xen in their
default configurations.

Signed-off-by: Ian Campbell <ian.campbell@xensource.com>

Remove .hgskip. This was an ancient mercurial patch which was never
taken upstream.

Signed-off-by: Ian Campbell <ian.campbell@xensource.com>

VMX: Fix function return code when a GP fault is generated on CR accesses.
Signed-off-by: Xin Li <xin.b.li@intel.com>

Fix xm save command for a inactive managed domain.
Signed-off-by: Masaki Kanno <kanno.masaki@jp.fujitsu.com>

VMX: No VMExits on SYSENTER MSR accesses since VMX already has VMCS
fields for both host and guest state.
Signed-off-by: Xin Li <xin.b.li@intel.com>

Better error message for 'xm sysrq' on inactive domain.
Signed-off-by: Masaki Kanno <kanno.masaki@jp.fujitsu.com>

SVM: Sync with VMX code changes.
Signed-off-by: Keir Fraser <keir@xensource.com>

vms: A cleanup to vmx.c:
1) move some functions from vmx.h to vmx.c, since they are private.
2) adjust vmx_set_cr0 handling.
3) majorly coding style tidying.
Signed-off-by: Xin Li <xin.b.li@intel.com>
Signed-off-by: Keir Fraser <keir@xensource.com>

Specify -fno-strict-aliasing in root build config file.

Fixes correctness issues with xenstored and gcc-4.2.

Original patch by Charles Coffing <ccoffing@novell.com>

Signed-off-by: Keir Fraser <keir@xensource.com>

Merge with PPC tree.

[POWERPC][XEN] Stop sharing the MPIC between dom0 and Xen.
Xen is now the sole owner of the MPIC. Requires Xen Linux 2.6.18.
Signed-off-by: Hollis Blanchard <hollisb@us.ibm.com>

[POWERPC][XEN] Increase foreign mapping size to accommodate Linux 2.6.18 usage.
Signed-off-by: Christian Ehrhardt <ehrhardt@linux.vnet.ibm.com>
Signed-off-by: Hollis Blanchard <hollisb@us.ibm.com>

[POWERPC][XEN] Quiet time debug messages.
Signed-off-by: Hollis Blanchard <hollisb@us.ibm.com>

[XEN][POWERPC] Merge with xen-unstable.hg.
Signed-off-by: Hollis Blanchard <hollisb@us.ibm.com>

[PPC] Add missing '{' in conditional statement.
Signed-off-by: Jerone Young <jyoung5@us.ibm.com>

hvm: Add global default keymap setting

Add global default keymap setting to be used when a VM does not have
a keymap configuration set.

Signed-off-by: Pat Campbell <plc@novell.com>

Extended the physinfo sysctl to export NUMA cpu_to_node topology info.
Print this in 'xm info'.
Signed-off-by: Ryan Harper <ryanh@us.ibm.com>
Signed-off-by: Keir Fraser <keir@xensource.com>

Revert 15471:7ac7f147241405af83e7a9d748cf7b01279734fc

Block-device specifiers in ioemu can contain colons, so skipping
always past the first colon is not a good idea. Better solutions are
in the pipeline to solve the blktap issues.

Signed-off-by: Keir Fraser <keir@xensource.com>

docs: update xm man page

- Fixed description of "Mem" column in "xm list" output.
- Added a bit of text for the credit scheduler.
- Described the --force option to block-detach.
- Made formatting and spelling more consistent.
- etc...

Signed-off-by: Charles Coffing <ccoffing@novell.com>

[ACM] Support for initial unicode handling of strings in policies.
Signed-off-by: Stefan Berger <stefanb@us.ibm.com>

Export debugger attached state to xc API.
Signed-off-by: Tristan Gingold <tgingold@free.fr>

xend: Fix xm block/network-attach command for inactive managed domain
Signed-off-by: Masaki Kanno <kanno.masaki@jp.fujitsu.com>

xend: Fix op_domain_sched_credit_set() in SrvDomain.py
This patch adds "cap" into op_domain_sched_credit_set().
Signed-off-by: Masaki Kanno <kanno.masaki@jp.fujitsu.com>

vmx: Fix a typo.
Signed-off-by: Xin Li <xin.b.li@intel.com>

hvm: Fix vnc keymap for Japanese keyboards.
Signed-off-by: Takanori Kasai <kasai.takanori@jp.fujitsu.com>
Signed-off-by: Junko Ichino <ichino.junko@jp.fujitsu.com>

Use short name format when reference to vcpu vmx union member.
Signed-off-by: Xin Li <xin.b.li@intel.com>

Improve xm sched-credit command for inactive managed domains
Allows to change the scheduler parameters of inactive managed domains.
Signed-off-by: Masaki Kanno <kanno.masaki@jp.fujitsu.com>

hvm: Allow blktap to be able to be booted as system volume for PV-on-HVM

When blktap was booting system volume, PV-on-HVM domain was not able
to be  started.

The configuration file is specified as follows.
disk = [ 'tap:aio:/xen/test/rhel5ga_full.img,hda,w' ]

The error occurred by the initialization of system volume in qemu-dm.
qemu: could not open hard disk image 'aio:/xen/test/rhel5ga_full.img'

Signed-off-by: Takanori Kasai <kasai.takanori@jp.fujitsu.com>
Signed-off-by: Tomonari Horikoshi <t.horikoshi@jp.fujitsu.com>
Signed-off-by: Tsunehisa Doi <Doi.Tsunehisa@jp.fujitsu.com>
Signed-off-by: Keir Fraser <keir@xensource.com>

[HVM] ROMBIOS: reboot when we see Ctrl+Alt+Del
Signed-off-by: Tim Deegan <Tim.Deegan@xensource.com>

[HVM] Shadow: avoid xen crash if guest uses special memory for pagetables
(just crash the guest and don't do any more PTE propagations).
Signed-off-by: Tim Deegan <Tim.Deegan@xensource.com>

[HVM] update Etherboot ROM: new version, stricter DHCP compliance.
Signed-off-by: Tim Deegan <Tim.Deegan@xensource.com>

vmx: Write back modified interruptibility-info in enable_intr_window().
Signed-off-by: Keir Fraser <keir@xensource.com>

hvm vmx: Support 'virtual NMI' feature of VMX.
Signed-off-by: Haitao Shan <haitao.shan@intel.com>
Signed-off-by: Eddie Dong <eddie.dong@intel.com>
Signed-off-by: Dexuan Cui <dexuan.cui@intel.com>
Signed-off-by: Keir Fraser <keir@xensource.com>

xen: Fix event-channel destruction.

Lots of churn to fix a couple of bugs:

 1. If we tried to close an interdomain channel, and the remote domain
    is being destroyed, we immediately return success. But the remote
    domain will place our port in state 'unbound', not 'free'. Hence
    the port is effectively leaked.

 2. If two domains are being destroyed at the same time, and share an
    interdomain channel, the second to attempt the close may
    dereference an invalid domain pointer. Aiee!

Doing som ework to be able to destroy event-channel context much
earlier in domain death was the civilised thing to do.

Signed-off-by: Keir Fraser <keir@xensource.com>

[x86/32] Support two byte CMOVcc opcodes in 4G segment fixup.

These are present in Debian Etch's libc6-i686 package.

Signed-off-by: Ian Campbell <ian.campbell@xensource.com>

x86: Clean up do_iret() hypercall.
Signed-off-by: Keir Fraser <keir@xensource.com>

xenstore: Remove broken and unmaintained test code.
Signed-off-by: Keir Fraser <keir@xensource.com>

Remove over-zealous assertion.

Signed-off-by: Steven Hand <steven@xensource.com>

[XEN] Fix p2m->shadow callback to pass the mfn being written to
as well as the pointer and contents.  This was being calculated but
got disconnected from its use when the p2m and shadow functions were
separated.
Signed-off-by: Tim Deegan <Tim.Deegan@xensource.com>

xen: Fix my changes to I/O-region-finding routine.
Signed-off-by: Keir Fraser <keir@xensource.com>

xen: Remove useless check from dom0 builder.
Signed-off-by: Keir Fraser <keir@xensource.com>

x86: Improve e820 scanning for all I/O regions.
Signed-off-by: Keir Fraser <keir@xensource.com>

hvm vlapic: Fix one_shot argument passed to create_periodic_time().
Signed-off-by: Yosuke Iwamatsu <y-iwamatsu@ab.jp.nec.com>

x86-64: clear DF for kernel when forwarding syscall.
Signed-off-by: Jan Beulich <jbeulich@novell.com>

x86-64: bump STACK_SIZE to 32 so that trampoline and IST stacks fit
without undue squeezing.
Signed-off-by: Jan Beulich <jbeulich@novell.com>

xen: Fix kexec_crash_area reservation/allocation.
Signed-off-by: Keir Fraser <keir@xensource.com>

merge

[32on64 kexec] Add an explicit local branch after re-enabling paging
in 32 bit mode.

While it doesn't appear to be strictly required the documentation
calls for it. Thanks to Edwin Zhai for bringing the omission to my
attention.

Signed-off-by: Ian Campbell <ian.campbell@xensource.com>

vmx: Use per-cpu vmcs pointer to avoid unnecessary vmcs loading in
vmx_do_resume().
Signed-off-by: Eric Liu <eric.e.liu@intel.com>

xend: Save modified scheduler params of managed guests to config.sxp.
Signed-off-by: Masaki Kanno <kanno.masaki@jp.fujitsu.com>

xendomains: Better sanity checking of potetntial save records.
Signed-off-by: Gawain Lynch <gawain.lynch@gmail.com>

vmxassist: Decode mov instruction in protected to real mode in vmxassist.
Also some clean up.
Signed-off-by: Xin Li <xin.b.li@intel.com>

hvm: Fix keymap for Windows keys.
Signed-off-by: Takanori Kasai <kasai.takanori@jp.fujitsu.com>
Signed-off-by: Junko Ichino <ichino.junko@jp.fujitsu.com>

Fix 15435:ab95b9764b20.

The changeset did not consider about ":cdrom" and "ioemu:"
of a disk definition.

Signed-off-by: Masaki Kanno <kanno.masaki@jp.fujitsu.com>

Use 32bit operand and address during VMXAssist protected to real.
Signed-off-by: Xin Li <xin.b.li@intel.com>

xm: Fix xm block-detach error message duplication.
Signed-off-by: Masaki Kanno <kanno.masaki@jp.fujitsu.com>

xm: Fix a typo for xm network-detach.
Signed-off-by: Masaki Kanno <kanno.masaki@jp.fujitsu.com>

ACM: Fix a problem with the boot option parser.
Signed-off-by: Stefan Berger <stefanb@us.ibm.com>

Make network-bridge fail on NFS or iscsi root.
Since setting up bridging involves bringing down the network interface,
bridging clearly isn't compatible with the likes of NFS or iSCSI root.

Signed-off-by: Mark McLoughlin <markmc@redhat.com>

Remove unused VMXAssist test code.
Signed-off-by: Xin Li <xin.b.li@intel.com>

xendomains: Ignore 'lost+found' when finding saved dom images.
Signed-off-by: Gawain Lynch <gawain.lynch@gmail.com>

xend: Pass information to user when failing migrate due to PCI dev.

When failing a migration / save due to the domain owning a PCI device
make sure that we tell the user what went wrong!

Signed-off-by: Mark Williamson <mark.williamson@cl.cam.ac.uk>

xend: Don't allow migrate with assigned PCI devs.

This can potentially cause a whole machine crash, which I think has
been seen in the wild.  The case in the wild was caused by xendomains
auto-resuming domains on reboot, so it wasn't even operator error.

There's no sane way to migrate or suspend domains with PCI devs,
so I disallow it completely.

Signed-off-by: Mark Williamson <mark.williamson@cl.cam.ac.uk>

Add a duplication definition check for devices.

This patch adds a duplication definition check for devices.
It checks the following definitions.
 - vbd : uname and device name
 - vif : mac

Signed-off-by: Masaki Kanno <kanno.masaki@jp.fujitsu.com>

xend: Fix irq-permissions setting during domain creation.
Signed-off-by: Keir Fraser <keir@xensource.com>

Fix fixup of invalid PTE writes, broken by 13392:0fd65225e4c6.

By the time we test if addr is the upper word it has already been
aligned to the 8 byte pte size.

Signed-off-by: Ian Campbell <ian.campbell@xensource.com>

hvm: Destroy timers early during domain death.
Signed-off-by: Keir Fraser <keir@xensource.com>

More getcpuinfo sysctl cleanup.
Signed-off-by: Keir Fraser <keir@xensource.com>

By default allow differences between Xen and XenLinux public headers.
Signed-off-by: Keir Fraser <keir@xensource.com>

Small sysctl cleanups.
Signed-off-by: Keir Fraser <keir@xensource.com>

xenconsoled: improve robustness of logfile handling

Check the 'log_reload' on every iteration of the select() loop, not just when
select() returns EINTR. This is because the log reload signal may have
iterrupted a syscall other than select & thus without this change  we
might miss the reload signal.  The second change makes us process the
hypervisor logs on every iteration of the loop, not just upon timeouts.
This is because if a guest VM were consistently sending some log message
and < 1 second period, the select() would never hit the 1 second timeout
and thus never process the HV logs.

Thanks to Markus Armbruster for pointing out both these edge cases

Signed-off-by: Daniel P. Berrange <berrange@redhat.com>

Add new sysctl to return runtime information about physical CPU utilization.

Signed-off-by: Steven Hadn <steven@xensource.com>

vmx: Exclude VMX_PROCBASED_CTL2 from set of MSRs a VMX guest is allowd
to access.
Signed-off-by: Keir Fraser <keir@xensource.com>

vmx: Make use of VMX_INSTRUCTION_INFO field to obtain the segment
register of OUTS

Signed-off-by: Weidong Han <weidong.han@intel.com>
Signed-off-by: Keir Fraser <keir@xensource.com>

hvm: Sync SVM CR4 handling with VMX.
Signed-off-by: Keir Fraser <keir@xensource.com>

Fix VMX guest can't boot after MCE enabled.
Signed-off-by: Xin Li <xin.b.li@intel.com>

x86: remove unused nopaging_gdt_descr
Signed-off-by: Kevin Tian <kevin.tian@intel.com>

Remove incorrect __init prefixes

Following functions can be __init in Linux, however shouldn't
in Xen. __print_IO_APIC is called by keyhandler, while
setup_ioapic_dest is invoked in one platform hypercall.

Signed-off-by Kevin Tian <kevin.tian@intel.com>

[VMX] Set up GUEST_CR0 as well as CR0_READ_SHADOW when restoring saved
vcpus.  Also simplify the CR3 reload path.
Signed-off-by: Tim Deegan <Tim.Deegan@xensource.com>

Deinitialize timers before destroying the local apic; this protects us
against a late firing timer callback function (e.g. hpet_timer_fn) which
tries to access local APIC state.

Signed-off-by: Steven Hand <steven@xensource.com>

ioemu: Fix ifdef __x86_64__
Signed-off-by: Keir Fraser <keir@xensource.com>

i386: Simplify failsafe callback handling.
Signed-off-by: Keir Fraser <keir@xensource.com>

Fix x86/64 failsafe callback handling.
Signed-off-by: Keir Fraser <keir@xensource.com>

hvm svm: No guest access to SVM MSRs.
Signed-off-by: Mats Petersson <mats.petersson@amd.com>

x86: machine check exception handling

Properly handle MCE (connecting the exisiting, but so far unused
vendor specific handlers). HVM guests don't own CR4.MCE (and hence
can't suppress the exception) anymore, preventing silent machine
shutdown.

Signed-off-by: Jan Beulich <jbeulich@novell.com>
Signed-off-by: Keir Fraser <keir@xensource.com>

x86: clear guest's EFLAGS.RF after emulating instructions
Signed-off-by: Jan Beulich <jbeulich@novell.com>

i386: remove NMI deferral by instead making sure selector registers
are always stored/restored correctly despite the potential for an NMI
(and also MCE, with a subsequent patch) to kick in.

The idea is to always check values read from %ds and %es against
__HYPERVISOR_DS, and only store into the current frame (all normal
handlers) or the outer-most one (NMI and MCE) if the value read is
different. That way, any NMI or MCE occurring during frame setup will
store selectors not saved so far on behalf of the interrupted handler,
with that interrupted handler either having managed to read the guest
selector (in which case it can store it regardless of whether NMI/MCE
kicked in between the read and the store) or finding __HYPERVISOR_DS
already in the register, in which case it'll know not to store (as the
nested handler would have done the store).

For the restore portion this makes use of the fact that there's
exactly one such code sequence, and by moving the selector restore
part past all other restores (including all stack pointer adjustments)
the NMI/MCE handlers can safely detect whether any selector would have
been restored already (by range checking EIP) and move EIP back to the
beginning of the selector restore sequence without having to play with
the stack pointer itself or any other gpr.

Signed-off-by: Jan Beulich <jbeulich@novell.com>
Signed-off-by: Keir Fraser <keir@xensource.com>

libxenguest: Add another range check to dom restore.
Signed-off-by: Keir Fraser <keir@xensource.com>

libxenguest: Add missing range-check on count field read from a domain
save/restore file.
Signed-off-by: Keir Fraser <keir@xensource.com>