通过网络对 Windows 实例进行内核调试

适用于弹性网络适配器（ENA）的 KDNET 可扩展性模块是一个硬件驱动程序支持层，它借助 Amazon Elastic Compute Cloud 实例上的 ENA，支持通过网络对 Windows 进行内核调试。您可以将可扩展性模块与 Windows 调试程序（WinDbg）结合使用，对运行 Windows 的 EC2 实例进行内核级调试。

内核调试可帮助您诊断并解决 EC2 Windows 实例上的低级操作系统问题，例如蓝屏错误（BSOD）、驱动程序故障和启动问题。

前提条件

在开始之前，请确保您具有以下各项：

同一子网中的两个 EC2 Windows 实例：

有关启动实例的更多信息，请参阅 开始使用 Amazon EC2。

主机和目标实例的安全组必须允许用于调试 KDNET 的端口上的入站和出站 UDP 流量（建议范围：50000 – 50039）。设置此规则的最简单方法是创建一个安全组，添加入站规则允许来自自身的 UDP 流量作为来源，然后将该安全组附加到两个实例。有关更多信息，请参阅 Amazon VPC 用户指南中的安全组规则。

调试目标实例必须运行以下 Windows 版本之一（或更高版本）：

Test-Path C:\Windows\system32\kd_02_1d0f.dll

步骤 1：在调试主机上安装 Windows 调试工具

在调试主机实例上，通过在 PowerShell 会话中运行以下命令来安装 Windows 调试工具：

winget install microsoft.windbg

有关详细的安装说明，请参阅 Microsoft 文档中的 Install the Windows Debugger。

安装完成后，通过在 PowerShell 会话中运行以下命令来验证调试程序是否正常工作：

windbgx

WinDbg 窗口应该会打开。如果打开，则说明安装成功，您可以关闭该窗口。

步骤 2：设置调试目标

在调试目标上，打开提升权限的 PowerShell 会话，按照以下步骤配置内核调试。

运行以下命令，列出附加到实例的 ENA 适配器的总线、设备、功能编号：

Get-NetAdapter -Physical |
    Where-Object -Property PnPDeviceID -Match -Value '^PCI\\VEN_1D0F&DEV_EC2[01]&' |
    Get-NetAdapterHardwareInfo |
    Select-Object InterfaceDescription, BusNumber, DeviceNumber, FunctionNumber |
    Format-List

Get-NetAdapter -Physical |
    Where-Object PnPDeviceID -Match '^PCI\\VEN_1D0F&DEV_EC2[01]&' |
    ForEach-Object {
        $adapter = $_
        $hwInfo = $adapter | Get-NetAdapterHardwareInfo
        $ipInfo = Get-NetIPAddress -InterfaceIndex $adapter.InterfaceIndex -AddressFamily IPv4
        [PSCustomObject]@{
            InterfaceDescription = $adapter.InterfaceDescription
            IPAddress            = $ipInfo.IPAddress
            BusNumber            = $hwInfo.BusNumber
            DeviceNumber         = $hwInfo.DeviceNumber
            FunctionNumber       = $hwInfo.FunctionNumber
        }
    } | Format-List

记下输出中用于调试的 ENA 适配器的 BusNumber、DeviceNumber 和 FunctionNumber 值。

运行以下命令来配置内核调试。将占位符值替换为具体配置：

bcdedit /debug on
bcdedit /set loadoptions FORCEHVTONOTSHAREDEBUGDEVICE
bcdedit /dbgsettings net hostip:host-private-ip port:port-number key:encryption-key busparams:b.d.f

(bcdedit /enum) -match "loadoptions"

其中：

bcdedit /bootdebug on

步骤 3：在调试主机上启动调试会话

要允许主机上的调试流量，可以为 WinDbg 应用程序或特定的 UDP 端口创建防火墙规则。

选项 1：允许 WinDbg 应用程序

运行以下命令以授权 WinDbg 可执行文件：

$WinDbgxPath = "$env:LocalAppData\Microsoft\WindowsApps\WinDbgX.exe"
New-NetFirewallRule -DisplayName "Allow Inbound KDNET Connection" -Action Allow -Program $WinDbgxPath

选项 2：允许特定的 UDP 端口

或者，您可以允许入站 UDP 流量到达为内核调试配置的端口。将端口号替换为所选择的 KDNET 端口：

$DebugPort = port-number
New-NetFirewallRule -DisplayName "Allow Inbound KDNET Connection" -Direction Inbound -LocalPort $DebugPort -Protocol UDP -Action Allow

使用与调试目标配置匹配的端口和密钥启动 WinDbg。您可以根据自己的使用案例指定 Microsoft WinDbg command line reference 中记录的其他内核调试选项。

windbgx -k net:port=port-number,key=encryption-key

WinDbg 打开并等待调试目标连接。

步骤 4：重新启动调试目标

在调试目标上，重新启动实例以启动调试连接：

shutdown -r -t 0

调试目标重新启动后，调试主机上的 WinDbg 会自动连接到目标。现在，您可以使用 WinDbg 来检查内核状态、设置断点并诊断问题。

调试后清理调试设置

在调试目标上

完成调试后，从调试目标中删除内核调试配置以恢复正常启动行为。在调试目标上，打开提升权限的 PowerShell 会话并运行以下命令：

bcdedit /debug off
bcdedit /dbgsettings LOCAL
bcdedit /deletevalue loadoptions

如果您除 FORCEHVTONOTSHAREDEBUGDEVICE 之外还有其他现有的 loadoptions，则应通过运行带有原始 loadoptions 的 bcdedit /set loadoptions 来恢复该设置。

如果您启用了启动调试，请另运行：

bcdedit /bootdebug off

重新启动实例以使更改生效。

在调试主机上

通过运行以下命令删除防火墙规则：

Remove-NetFirewallRule -DisplayName "Allow Inbound KDNET Connection"

限制

适用于 ENA 的 KDNET 可扩展性模块目前不支持：

该模块目前不支持启用了安全启动的实例。您可以通过在提升权限的 PowerShell 会话中运行 Confirm-SecureBootUEFI 来验证状态。如果输出为 True，则安全启动处于活动状态。请注意，所有带有“TPM”前缀的 Amazon 提供的映像默认情况下启用安全启动。

附加说明

如果在将调试程序连接到目标实例时遇到问题，请验证以下各项：

有关其他指导，请参阅 Microsoft 文档中的 Set up KDNET network kernel debugging manually。