Виртуальная машина или контейнер: два способа изоляции окружений

Виртуальная машина эмулирует целый компьютер: у неё собственное ядро операционной системы и виртуальное оборудование, а управляет ею гипервизор. Контейнер устроен иначе: он использует ядро хост-системы и изолирует лишь процессы, файловую систему и сетевые ресурсы средствами самой ОС.

Из этого вытекает основное различие: виртуальная машина изолирована сильнее и может запускать другую систему, а контейнер легче и быстрее, но привязан к ядру хоста.

Контейнер обычно запускается за считанные секунды и потребляет память только на приложение и его зависимости. На одном сервере их можно запускать значительно больше, чем виртуальных машин, при тех же ресурсах.

Виртуальная машина загружает полную систему, занимает больше диска и памяти и стартует дольше. Зато ресурсы для неё выделяются жёстко, и одна машина не может отнять всю память у другой, если это настроено правильно.

Из-за отдельного ядра виртуальная машина обеспечивает более надёжную границу: уязвимость внутри неё не даёт автоматического доступа к хосту, хотя такие случаи тоже случались. Контейнеры делят ядро, поэтому уязвимость ядра или неправильная настройка прав, например запуск с избыточными привилегиями, может открыть доступ к хосту.

Для недоверенного кода, многопользовательских сред и требований строгой изоляции чаще выбирают виртуальные машины или сочетают подходы, запуская контейнеры внутри них.

Контейнеры упаковывают приложение вместе с зависимостями и запускаются одинаково на разных машинах, если ядро совместимо. Это удобно для разработки, тестирования и развёртывания сервисов, а описание образа хранится в виде понятных файлов.

Виртуальные машины лучше подходят, когда нужна полноценная система: другая операционная система, драйверы, графическая среда, старое программное обеспечение. Их образы тяжелее, но ведут себя как отдельные компьютеры, что привычно администраторам.

Для запуска нескольких сервисов на домашнем сервере, разработки и быстрых экспериментов удобны контейнеры: они экономят ресурсы и упрощают обновление. Если нужен Windows на Linux-сервере, проверка подозрительных файлов в изолированной среде или жёсткое разделение пользователей, лучше подойдёт виртуальная машина.

Часто применяют обе технологии вместе: виртуальная машина как надёжный контур, контейнеры внутри для отдельных служб. Главное — понимать, от чего именно вы защищаетесь, и не считать контейнер полной песочницей.

Допустим, вы строите домашний сервер, на котором работают хранилище файлов, блокировщик рекламы, менеджер паролей и пара экспериментальных служб. Самый экономичный вариант — запускать каждую службу в отдельном контейнере на одной машине: они изолированы друг от друга по файлам и процессам, обновляются независимо и требуют немного памяти.

Если часть служб критична, например хранилище с личными данными, можно поместить его в отдельную виртуальную машину. Тогда сбой или заражение одной из экспериментальных служб не затронет основные данные, а состояние машины удобно сохранять целиком в виде снимка перед рискованными изменениями.

Для проверки подозрительных файлов или программ подойдёт временная виртуальная машина, которую после использования удаляют. Контейнер для этого хуже, потому что вредоносный код использует то же ядро, что и хост. Из практики стоит вынести правило: контейнеры запускайте с минимальными привилегиями, храните данные в отдельных томах и делайте резервные копии именно томов и конфигурации, а не самих образов, которые легко получить заново.

Для новичка удобно начинать с контейнеров: они ближе к обычным программам, для них много готовых описаний, и ошибки ничего не стоят, ведь контейнер легко удалить и создать заново. Виртуальные машины осваивают, когда появляется потребность в другой операционной системе или сильной изоляции. Не пытайтесь сразу построить сложную схему: наращивайте её по мере понимания, записывая каждую настройку, чтобы её можно было воспроизвести. Проверяйте также поддержку в вашем окружении: для контейнеров нужен совместимый хост, для виртуальных машин — процессор с поддержкой виртуализации, включённой в настройках прошивки.