微星主板BIOS中如何关闭IOMMU（或AMD-Vi/Intel VT-d）？

Question

**常见技术问题：** 在微星（MSI）主板BIOS中，如何正确关闭IOMMU（AMD平台）或Intel VT-d（Intel平台）？许多用户在尝试直通GPU、调试虚拟化环境或解决PCIe设备兼容性问题（如USB控制器异常、NVMe识别失败）时，需禁用该功能。但不同芯片组（如B650/X670、H610/B760/H810等）及BIOS版本（Click BIOS 5/6/7）中选项位置与命名差异较大：AMD平台常标为“AMD IOMMU”“SVM Mode”或隐藏于“Advanced → AMD CBS → NBIO Common Options”；Intel平台则多位于“Settings → Advanced → Chipset Configuration”下，名称可能是“Intel VT-d”“Directed I/O”或“PCIe/PCI IOMMU”。部分新主板（如迫击炮MAX系列）甚至默认灰显该选项，需先启用“SVM Mode”或“Intel Virtualization Technology”才能解锁。用户常因找不到入口、误关相关依赖项（如SVM/VT-x）导致系统无法启动或虚拟机失效。如何安全、精准定位并关闭？

Answer 1

```html

一、基础认知：IOMMU/VT-d 的本质与作用

IOMMU（Input-Output Memory Management Unit）是现代x86平台实现设备DMA安全隔离与地址翻译的核心硬件单元。AMD平台称其为IOMMU（常与SVM Mode强耦合），Intel平台则命名为VT-d（Virtualization Technology for Directed I/O）。二者并非“虚拟化开关”，而是PCIe设备直通（GPU/Passthrough）、SR-IOV、DMA保护、ACPI D3cold唤醒及部分NVMe/USB控制器稳定性的底层依赖机制。错误禁用将导致：
• Linux内核报错 dmar: DRHD: handling fault status reg 2
• Windows设备管理器中PCIe设备显示“Windows无法启动此硬件设备（代码43）”
• QEMU/KVM直通失败并抛出VFIO: error: failed to setup container for group

二、定位逻辑：BIOS层级依赖树（Mermaid流程图）

flowchart TD
    A[开机进入BIOS] --> B{芯片平台识别}
    B -->|AMD| C[检查SVM Mode是否启用]
    B -->|Intel| D[检查Intel VT-x是否启用]
    C --> E[若SVM关闭 → VT-d/IOMMU选项灰显]
    D --> F[若VT-x关闭 → VT-d选项不可见/锁定]
    C & D --> G[进入Advanced → Chipset或AMD CBS子菜单]
    G --> H[搜索关键词：IOMMU / VT-d / Directed I/O / PCIe IOMMU]

三、实操路径：主流微星主板BIOS定位对照表

芯片组系列	BIOS版本	平台	完整路径	选项真实名称	依赖前置项
X670E/B650	Click BIOS 7	AMD	Settings → Advanced → AMD CBS → NBIO Common Options	AMD IOMMU	SVM Mode = Enabled
H610/B760/H810	Click BIOS 6	Intel	Settings → Advanced → Chipset Configuration	Intel VT-d	Intel Virtualization Technology = Enabled
PRO B650M-A WIFI MAX	Click BIOS 7.20+	AMD	Settings → Advanced → AMD CBS → CPU Common Options	SVM Mode（关则IOMMU自动失效）	无（但需注意：仅关SVM Mode即等效禁用IOMMU）

四、高危规避：三类典型误操作与恢复方案

1. 误关SVM Mode/VT-x后无法进系统：强制断电→长按电源键15秒放电→重置CMOS（跳线或扣电池5分钟）→重新进BIOS启用虚拟化主开关
2. 在Linux直通场景下仅关VT-d却未同步修改内核参数：需在GRUB中移除intel_iommu=on iommu=pt，否则内核仍尝试初始化已禁用的硬件单元，引发panic
3. 在Windows WSL2或Hyper-V共存环境中关闭VT-d：将导致WSL2启动失败（error 0x1bc），因WSL2依赖HVCI与DMA保护链路；此时应保留VT-d开启，改用bcdedit /set hypervisorlaunchtype off禁用Hyper-V服务而非硬件层

五、验证闭环：跨平台禁用状态确认方法

禁用操作完成后，必须执行多层验证，避免BIOS UI刷新延迟或固件缓存误导：

• Linux终端验证：cat /proc/cpuinfo | grep -E "svm|vmx"（确认SVM/VT-x仍启用）；dmesg | grep -i "iommu\|dmar\|amd_iommu" 应无enabled字样，且出现Disabled或Not enabled
• Windows PowerShell验证：Get-CimInstance Win32_Processor | Select-Object -ExpandProperty VirtualizationFirmwareEnabled（返回True仅表示VT-x/SVM开，不反映VT-d）；需使用工具如Coreinfo -v（Sysinternals套件）查看DMAR: Disabled
• 物理层验证（终极手段）：使用UEFITool NE打开当前BIOS固件镜像，搜索字符串VTdEnable或AMD_IOMMU，定位其CFGDATA变量Offset，确认Bit值为0

六、进阶洞察：为何“迫击炮MAX”等新主板默认锁定VT-d？

微星自B650/H610起在MAX系列引入“Secure Boot + DMA Protection”融合策略：当Secure Boot启用且TPM 2.0激活时，固件自动硬锁定VT-d为Enabled，防止恶意驱动绕过DMA保护劫持PCIe设备。该策略在MSI Click BIOS 7.10+ (B650M MORTAR WIFI MAX)中通过Settings → Security → Secure Boot Configuration → DMA Protection Policy可调，提供“Auto / Enabled / Disabled”三级粒度——这是唯一合法解锁VT-d的路径，强行修改Chipset菜单无效。

```