Как лучше включить IOMMU?

IOMMU включается на двух уровнях: в BIOS/UEFI и в параметрах ядра Linux. В BIOS настройка может называться Intel VT-d, AMD-Vi, IOMMU, SVM, Virtualization Technology. Для проброса устройств в виртуальные машины нужны именно VT-d/IOMMU, а не только обычная виртуализация CPU.

После включения в BIOS проверьте поддержку в системе:

dmesg | grep -e DMAR -e IOMMU
find /sys/kernel/iommu_groups/ -type l

Если группы не появились, добавьте параметры ядра. Для Intel:

intel_iommu=on iommu=pt

Для AMD:

amd_iommu=on iommu=pt

В Ubuntu/Debian это обычно делается в /etc/default/grub:

sudo nano /etc/default/grub
sudo update-grub
sudo reboot

Строка может выглядеть так:

GRUB_CMDLINE_LINUX_DEFAULT="quiet splash intel_iommu=on iommu=pt"

После перезагрузки снова проверьте /sys/kernel/iommu_groups. Если группы есть, IOMMU включён. Для passthrough дополнительно нужно смотреть, в какой группе находится устройство. Если видеокарта, USB-контроллер или NVMe находится в одной группе с критичными устройствами, проброс может быть небезопасен или невозможен без ACS override.

Не включайте ACS override первым делом. Он может “разделить” группы визуально, но не всегда обеспечивает реальную изоляцию. Для домашней лаборатории иногда используют, для продовой безопасности лучше избегать.

Итог: включите VT-d/AMD-Vi в BIOS, добавьте параметр ядра, обновите grub и проверьте IOMMU groups. Если цель — проброс устройства в VM, дальше проверяйте группы и драйвер vfio-pci, а не только факт включения IOMMU.