docs/interop/qemu-nbd.rst

   1 QEMU Disk Network Block Device Server
   2 =====================================
   3
   4 Synopsis
   5 --------
   6
   7 **qemu-nbd** [*OPTION*]... *filename*
   8
   9 **qemu-nbd** -L [*OPTION*]...
  10
  11 **qemu-nbd** -d *dev*
  12
  13 Description
  14 -----------
  15
  16 Export a QEMU disk image using the NBD protocol.
  17
  18 Other uses:
  19
  20 - Bind a /dev/nbdX block device to a QEMU server (on Linux).
  21 - As a client to query exports of a remote NBD server.
  22
  23 Options
  24 -------
  25
  26 .. program:: qemu-nbd
  27
  28 *filename* is a disk image filename, or a set of block
  29 driver options if ``--image-opts`` is specified.
  30
  31 *dev* is an NBD device.
  32
  33 .. option:: --object type,id=ID,...props...
  34
  35   Define a new instance of the *type* object class identified by *ID*.
  36   See the :manpage:`qemu(1)` manual page for full details of the properties
  37   supported. The common object types that it makes sense to define are the
  38   ``secret`` object, which is used to supply passwords and/or encryption
  39   keys, and the ``tls-creds`` object, which is used to supply TLS
  40   credentials for the qemu-nbd server or client.
  41
  42 .. option:: -p, --port=PORT
  43
  44   TCP port to listen on as a server, or connect to as a client
  45   (default ``10809``).
  46
  47 .. option:: -o, --offset=OFFSET
  48
  49   The offset into the image.
  50
  51 .. option:: -b, --bind=IFACE
  52
  53   The interface to bind to as a server, or connect to as a client
  54   (default ``0.0.0.0``).
  55
  56 .. option:: -k, --socket=PATH
  57
  58   Use a unix socket with path *PATH*.
  59
  60 .. option:: --image-opts
  61
  62   Treat *filename* as a set of image options, instead of a plain
  63   filename. If this flag is specified, the ``-f`` flag should
  64   not be used, instead the :option:`format=` option should be set.
  65
  66 .. option:: -f, --format=FMT
  67
  68   Force the use of the block driver for format *FMT* instead of
  69   auto-detecting.
  70
  71 .. option:: -r, --read-only
  72
  73   Export the disk as read-only.
  74
  75 .. option:: -P, --partition=NUM
  76
  77   Deprecated: Only expose MBR partition *NUM*.  Understands physical
  78   partitions 1-4 and logical partition 5. New code should instead use
  79   :option:`--image-opts` with the raw driver wrapping a subset of the
  80   original image.
  81
  82 .. option:: -B, --bitmap=NAME
  83
  84   If *filename* has a qcow2 persistent bitmap *NAME*, expose
  85   that bitmap via the ``qemu:dirty-bitmap:NAME`` context
  86   accessible through NBD_OPT_SET_META_CONTEXT.
  87
  88 .. option:: -s, --snapshot
  89
  90   Use *filename* as an external snapshot, create a temporary
  91   file with ``backing_file=``\ *filename*, redirect the write to
  92   the temporary one.
  93
  94 .. option:: -l, --load-snapshot=SNAPSHOT_PARAM
  95
  96   Load an internal snapshot inside *filename* and export it
  97   as an read-only device, SNAPSHOT_PARAM format is
  98   ``snapshot.id=[ID],snapshot.name=[NAME]`` or ``[ID_OR_NAME]``
  99
 100 .. option:: --cache=CACHE
 101
 102   The cache mode to be used with the file.  See the documentation of
 103   the emulator's ``-drive cache=...`` option for allowed values.
 104
 105 .. option:: -n, --nocache
 106
 107   Equivalent to :option:`--cache=none`.
 108
 109 .. option:: --aio=AIO
 110
 111   Set the asynchronous I/O mode between ``threads`` (the default)
 112   and ``native`` (Linux only).
 113
 114 .. option:: --discard=DISCARD
 115
 116   Control whether ``discard`` (also known as ``trim`` or ``unmap``)
 117   requests are ignored or passed to the filesystem. *DISCARD* is one of
 118   ``ignore`` (or ``off``), ``unmap`` (or ``on``).  The default is
 119   ``ignore``.
 120
 121 .. option:: --detect-zeroes=DETECT_ZEROES
 122
 123   Control the automatic conversion of plain zero writes by the OS to
 124   driver-specific optimized zero write commands.  *DETECT_ZEROES* is one of
 125   ``off``, ``on``, or ``unmap``.  ``unmap``
 126   converts a zero write to an unmap operation and can only be used if
 127   *DISCARD* is set to ``unmap``.  The default is ``off``.
 128
 129 .. option:: -c, --connect=DEV
 130
 131   Connect *filename* to NBD device *DEV* (Linux only).
 132
 133 .. option:: -d, --disconnect
 134
 135   Disconnect the device *DEV* (Linux only).
 136
 137 .. option:: -e, --shared=NUM
 138
 139   Allow up to *NUM* clients to share the device (default
 140   ``1``). Safe for readers, but for now, consistency is not
 141   guaranteed between multiple writers.
 142
 143 .. option:: -t, --persistent
 144
 145   Don't exit on the last connection.
 146
 147 .. option:: -x, --export-name=NAME
 148
 149   Set the NBD volume export name (default of a zero-length string).
 150
 151 .. option:: -D, --description=DESCRIPTION
 152
 153   Set the NBD volume export description, as a human-readable
 154   string.
 155
 156 .. option:: -L, --list
 157
 158   Connect as a client and list all details about the exports exposed by
 159   a remote NBD server.  This enables list mode, and is incompatible
 160   with options that change behavior related to a specific export (such as
 161   :option:`--export-name`, :option:`--offset`, ...).
 162
 163 .. option:: --tls-creds=ID
 164
 165   Enable mandatory TLS encryption for the server by setting the ID
 166   of the TLS credentials object previously created with the --object
 167   option; or provide the credentials needed for connecting as a client
 168   in list mode.
 169
 170 .. option:: --fork
 171
 172   Fork off the server process and exit the parent once the server is running.
 173
 174 .. option:: --pid-file=PATH
 175
 176   Store the server's process ID in the given file.
 177
 178 .. option:: --tls-authz=ID
 179
 180   Specify the ID of a qauthz object previously created with the
 181   :option:`--object` option. This will be used to authorize connecting users
 182   against their x509 distinguished name.
 183
 184 .. option:: -v, --verbose
 185
 186   Display extra debugging information.
 187
 188 .. option:: -h, --help
 189
 190   Display this help and exit.
 191
 192 .. option:: -V, --version
 193
 194   Display version information and exit.
 195
 196 .. option:: -T, --trace [[enable=]PATTERN][,events=FILE][,file=FILE]
 197
 198   .. include:: qemu-option-trace.rst.inc
 199
 200 Examples
 201 --------
 202
 203 Start a server listening on port 10809 that exposes only the
 204 guest-visible contents of a qcow2 file, with no TLS encryption, and
 205 with the default export name (an empty string). The command is
 206 one-shot, and will block until the first successful client
 207 disconnects:
 208
 209 ::
 210
 211   qemu-nbd -f qcow2 file.qcow2
 212
 213 Start a long-running server listening with encryption on port 10810,
 214 and whitelist clients with a specific X.509 certificate to connect to
 215 a 1 megabyte subset of a raw file, using the export name 'subset':
 216
 217 ::
 218
 219   qemu-nbd \
 220     --object tls-creds-x509,id=tls0,endpoint=server,dir=/path/to/qemutls \
 221     --object 'authz-simple,id=auth0,identity=CN=laptop.example.com,,\
 222               O=Example Org,,L=London,,ST=London,,C=GB' \
 223     --tls-creds tls0 --tls-authz auth0 \
 224     -t -x subset -p 10810 \
 225     --image-opts driver=raw,offset=1M,size=1M,file.driver=file,file.filename=file.raw
 226
 227 Serve a read-only copy of just the first MBR partition of a guest
 228 image over a Unix socket with as many as 5 simultaneous readers, with
 229 a persistent process forked as a daemon:
 230
 231 ::
 232
 233   qemu-nbd --fork --persistent --shared=5 --socket=/path/to/sock \
 234     --partition=1 --read-only --format=qcow2 file.qcow2
 235
 236 Expose the guest-visible contents of a qcow2 file via a block device
 237 /dev/nbd0 (and possibly creating /dev/nbd0p1 and friends for
 238 partitions found within), then disconnect the device when done.
 239 Access to bind qemu-nbd to an /dev/nbd device generally requires root
 240 privileges, and may also require the execution of ``modprobe nbd``
 241 to enable the kernel NBD client module.  *CAUTION*: Do not use
 242 this method to mount filesystems from an untrusted guest image - a
 243 malicious guest may have prepared the image to attempt to trigger
 244 kernel bugs in partition probing or file system mounting.
 245
 246 ::
 247
 248   qemu-nbd -c /dev/nbd0 -f qcow2 file.qcow2
 249   qemu-nbd -d /dev/nbd0
 250
 251 Query a remote server to see details about what export(s) it is
 252 serving on port 10809, and authenticating via PSK:
 253
 254 ::
 255
 256   qemu-nbd \
 257     --object tls-creds-psk,id=tls0,dir=/tmp/keys,username=eblake,endpoint=client \
 258     --tls-creds tls0 -L -b remote.example.com
 259
 260 See also
 261 --------
 262
 263 :manpage:`qemu(1)`, :manpage:`qemu-img(1)`