Віртуалізація запускає на одному фізичному сервері декілька незалежних операційних систем із власним ядром у кожної. Контейнеризація запускає декілька ізольованих процесів, які ділять одне ядро хостової системи. Різниця в устрої ізоляції визначає швидкість запуску, щільність розміщення і перелік завдань, для яких підходить кожен підхід.
Чим віртуальна машина відрізняється від контейнера
Віртуальна машина працює поверх гіпервізора і отримує у своє розпорядження віртуальний процесор, віртуальну пам'ять і віртуальний диск — для гостьової операційної системи це виглядає як окреме залізо. Контейнер не містить власного ядра: він використовує ядро хостової системи, а ізоляція забезпечується просторами імен процесів, мережі та файлової системи.
- віртуальна машина може працювати під іншою операційною системою, ніж хост, контейнер — не може
- контейнер запускається за секунди, тому що не вантажить окреме ядро
- віртуальна машина ізольована сильніше, тому що не ділить ядро ні з хостом, ні з сусідніми машинами
Розбір того самого питання стосовно конкретної платформи віртуалізації є у статті LXC чи віртуальна машина в Proxmox.
Порівняння за ключовими параметрами
На практиці вибір між віртуальною машиною і контейнером зводиться до кількох вимірюваних відмінностей.
| Параметр | Віртуальна машина | Контейнер |
|---|---|---|
| Ядро | власне, окреме від хоста | спільне з хостом |
| Час запуску | десятки секунд на завантаження ОС | зазвичай частки секунди |
| Ізоляція | повна, на рівні гіпервізора | на рівні просторів імен ядра |
| Щільність на сервері | нижча через накладні витрати на гостьову ОС | вища, процеси легші за віртуальні машини |
Запуск контейнерів на власному сервері через Docker описаний у статті налаштування Docker на VDS.
Як це виглядає на практиці
Контейнер зазвичай описують образом, який включає лише застосунок і його залежності, без повноцінної операційної системи. Запуск вебсервера в контейнері виглядає так.
docker run -d -p 80:80 nginxКоманда завантажує образ nginx, якщо його ще немає локально, і запускає контейнер, прокидаючи порт 80 назовні. Для порівняння, запуск вебсервера у віртуальній машині вимагав би спочатку встановити і налаштувати цілу операційну систему всередині неї.
Що обмежує кожен із підходів
Контейнер не підходить, якщо застосунку потрібне інше ядро, інша операційна система цілком або доступ до низькорівневих можливостей, які ізольовані просторами імен. Віртуальна машина в такій ситуації залишається єдиним варіантом.
Віртуальна машина, своєю чергою, надлишкова для простих одноразових завдань на кшталт запуску одного вебсервісу — тут контейнер економить пам'ять і запускається швидше. Контейнеризація всередині гіпервізора Proxmox, коли потрібні обидві моделі на одному сервері, розібрана у статті контейнер LXC в Proxmox.
Різниця стає помітнішою на серверах з обмеженим обсягом пам'яті та дискового простору: десяток контейнерів з однаковим базовим образом може займати помітно менше місця на диску і в оперативній пам'яті, ніж десяток повноцінних віртуальних машин з окремими копіями операційної системи всередині кожної.
Що робити під час вибору моделі ізоляції
Рішення простіше ухвалювати за порядком кроків.
- визначте, чи потрібна застосунку окрема операційна система або інше ядро
- оцініть, скільки незалежних сервісів має працювати на одному сервері одночасно
- перевірте вимоги до ізоляції — чи є завдання, яким не можна довіряти спільне ядро
- для простих сервісів без особливих вимог до ядра обирайте контейнер, для решти — віртуальну машину
Два підходи часто комбінують: віртуальна машина слугує межею ізоляції між клієнтами, а контейнери всередині неї розділяють сервіси одного проекту. Таке поєднання особливо поширене у хмарних середовищах з багатьма клієнтами на одному фізичному сервері.
Часті питання
Чи можна запускати контейнери всередині віртуальної машини?
Так, це звичайна практика: віртуальна машина забезпечує ізоляцію на рівні всього сервера, а контейнери всередині неї розділяють окремі сервіси одного проекту між собою.
Що безпечніше — віртуальна машина чи контейнер?
Віртуальна машина ізольована сильніше, тому що не ділить ядро ні з хостом, ні з сусідами, тому для недовірених або чутливих навантажень її обирають частіше, ніж контейнер.
Чому контейнери запускаються швидше за віртуальні машини?
Тому що контейнер використовує вже завантажене ядро хостової системи і не проходить повне завантаження операційної системи, на відміну від віртуальної машини, яка стартує з нуля.