Контейнеры и виртуальные машины: В чем ключевые различия?

Виртуализация изменила облик современных вычислений благодаря повышению эффективности использования ресурсов, отделению приложений от базового оборудования и повышению мобильности и защиты рабочих нагрузок. Но гипервизоры и виртуальные машины — это лишь один из подходов к развертыванию виртуальных рабочих нагрузок. Виртуализация контейнеров стала эффективной и надежной альтернативой традиционной виртуализации, предоставляя новые возможности и новые проблемы для специалистов центров обработки данных.

Разница между контейнерами и виртуальными машинами заключается в основном в расположении слоя виртуализации и способе использования ресурсов ОС. Контейнеры и виртуальные машины — это просто разные способы предоставления и использования вычислительных ресурсов — процессоров, памяти и ввода-вывода — которые уже присутствуют в физическом компьютере. Хотя цель виртуализации, по сути, та же, что и у контейнеров, подход существенно отличается, и каждый подход предлагает уникальные характеристики и компромиссы для корпоративных рабочих нагрузок.

Виртуальные машины полагаются на гипервизор, который представляет собой программный слой, установленный поверх аппаратного обеспечения системы. Такие гипервизоры называются гипервизорами типа 1. Гипервизоры первого типа, такие как VMware vSphere ESXi и Microsoft Hyper-V, воспринимаются как самостоятельные ОС. После установки уровня гипервизора администраторы могут создавать экземпляры виртуальных машин из доступных вычислительных ресурсов системы. Затем каждая ВМ может получить свою уникальную ОС и рабочую нагрузку. Таким образом, ВМ полностью изолированы друг от друга — ни одна ВМ не знает о присутствии другой ВМ в той же системе и не полагается на нее, а вредоносное ПО, сбои приложений и другие проблемы влияют только на эту ВМ. Администраторы могут переносить виртуальные машины из одной виртуализированной системы в другую, не обращая внимания на аппаратное обеспечение или ОС системы.

В системе может быть создано множество виртуальных машин. Часто первой ВМ является хост-ВМ, используемая для рабочих нагрузок управления системой, таких как Microsoft System Center. Последующие ВМ содержат другие рабочие нагрузки предприятия, такие как база данных, ERP, CRM, сервер электронной почты, медиа-сервер, веб-сервер или другие бизнес-приложения. ВМ отличаются несколькими общими чертами или характеристиками:

• Изолированность. Каждая ВМ логически изолирована от всех других ВМ. ВМ не знают о присутствии друг друга и не имеют общих программных компонентов.
• Совместимость. ВМ полностью совместимы со всеми стандартными ОС x86, приложениями и другими программными компонентами, поэтому на ВМ можно запускать любое программное обеспечение, которое работает на физическом компьютере x86.
• Переносимость. ВМ можно перемещать с одного виртуализированного компьютера на другой виртуализированный компьютер.

За последние 20 лет виртуальные машины стали стандартом де-факто для корпоративной виртуализации, и они дают бизнесу множество преимуществ, включая:

• Независимость. Изолированность каждой ВМ означает, что сбои и отказы в ОС или приложениях ВМ не повлияют на другие ВМ на том же компьютере или на других компьютерах в среде центра обработки данных.
• Использование ресурсов. Поскольку несколько ВМ могут быть инициализированы и развернуты на одном физическом компьютере, система может эффективно размещать несколько рабочих нагрузок без необходимости покупать несколько компьютеров. Это позволяет консолидировать серверы в центре обработки данных.
• Доступность. Переносимость виртуальных машин позволяет сбалансировать работу виртуальных машин на нескольких системах для повышения производительности и поддержки задач обслуживания системы. ВМ также можно копировать в файлы или восстанавливать из них, что обеспечивает быструю защиту и восстановление ВМ.
• Гибкость. Для каждой ВМ требуется своя ОС, но каждая ОС может быть разной. Это позволяет предприятию использовать несколько ОС на одном физическом компьютере.
• Безопасность. Гипервизоры и логическая изоляция, которую они обеспечивают, доказали свою безопасность для виртуальных машин. Даже если одна ВМ может быть заражена, это не приведет к заражению других ВМ.

Несмотря на значительные преимущества, виртуальные машины также имеют ряд недостатков:

• Размер. Экземпляры ВМ могут быть большими, с использованием нескольких процессоров и значительного объема памяти. Это хорошо подходит для рабочих нагрузок корпоративного класса, но на практике существует ограничение на количество виртуальных машин, которые можно развернуть на одном компьютере.
• Время. Создание и развертывание виртуальных машин может занимать от нескольких секунд до нескольких минут. Хотя это не так много времени с человеческой точки зрения, ВМ могут недостаточно быстро масштабироваться для удовлетворения динамических или краткосрочных вычислительных потребностей.
• Лицензирование программного обеспечения. Каждая ВМ нуждается в ОС и рабочей нагрузке, поэтому стоимость лицензирования ОС и приложений может стать значительной. Предприятие должно внимательно управлять развертыванием ВМ для учета лицензий и обеспечения того, чтобы ВМ с дорогостоящими лицензиями ОС и приложений работали и выполняли продуктивную работу для предприятия, избегая разрастания ВМ.

Виртуализированная контейнерная среда устроена по-другому. При использовании контейнеров сначала на систему устанавливается ОС хоста, например Linux, а затем поверх нее устанавливается слой контейнеров — как правило, менеджер контейнеров, например Docker. Менеджер контейнеров, по сути, обеспечивает функцию гипервизора для контейнеров. Этот подход практически идентичен гипервизорам типа 2.

После установки слоя для контейнеров администраторы могут создавать экземпляры контейнеров из доступных вычислительных ресурсов системы и развертывать компоненты корпоративных приложений в контейнерах. Однако каждое контейнерное приложение использует одну и ту же базовую ОС: единую ОС хоста. Хотя слой контейнеров обеспечивает уровень логической изоляции между контейнерами, общая ОС может представлять собой единую точку отказа для всех контейнеров в системе. Как и в случае с ВМ, контейнеры также легко переносятся между физическими системами при наличии подходящей ОС и среды контейнерного уровня.

Контейнеры обладают своими уникальными свойствами и характеристиками:

• Размер. Контейнеры используют одно общее ядро ОС и не используют собственные уникальные ОС, поэтому контейнеры являются гораздо меньшими логическими единицами, чем виртуальные машины. Это позволяет компьютеру одновременно размещать гораздо больше контейнеров, чем ВМ.
• Скорость. Небольшой размер экземпляров контейнеров позволяет создавать и уничтожать их гораздо быстрее, чем ВМ. Благодаря этому контейнеры хорошо подходят для быстрого масштабирования и краткосрочного использования, что может быть нецелесообразно для ВМ.
• Уникальный гипервизор. Для хостинга и управления контейнерами используются специализированные гипервизорные платформы, такие как Docker, rkt и Apache Mesos.
• Неизменяемость. В отличие от ВМ, контейнеры не изменяются. Вместо этого контейнерный оркестратор в программном слое контейнера запускает и останавливает контейнеры, когда они необходимы. Аналогичным образом, программное обеспечение, работающее в контейнерах, не обновляется, как традиционное ПО. Вместо этого обновления включаются в новый образ контейнера, который может быть развернут там, где это необходимо.

Контейнеры обеспечили огромную масштабируемость и гибкость для корпоративных организаций, но есть и несколько недостатков:

• Производительность. Контейнеров может быть много, и контейнеры используют общую ОС в дополнение к контейнерному слою. Это означает, что контейнеры эффективно используют ресурсы, но между контейнерами могут возникать разногласия при попытке получить доступ к аппаратным ресурсам, таким как сети. Такое соперничество может повлиять на общую производительность контейнера.
• Совместимость. Контейнеры, упакованные для одной платформы, такие как Docker, могут не работать с другими платформами. Аналогично, некоторые контейнерные инструменты могут не работать с различными контейнерными платформами. Например, Red Hat OpenShift работает только с оркестратором Kubernetes. Учитывайте экосистему контейнеров при оценке контейнерных технологий для предприятия.
• Хранение. Контейнеры изначально спроектированы так, чтобы быть без статических данных — данные в контейнере исчезают, когда исчезает контейнер. Существуют способы обеспечения постоянного хранения для контейнеров, например, Docker Data Volumes, но вопрос постоянного хранения контейнеров часто рассматривается как нечто отдельное.
• Пригодность. Контейнеры, как правило, представляют собой небольшие и гибкие структуры, лучше всего подходящие для компонентов приложений или микросервисов. Полнофункциональные корпоративные приложения обычно плохо работают в контейнерах. Учитывайте пригодность при планировании развертывания контейнеров.

Контейнеры и виртуальные машины обладают уникальными характеристиками, но при выборе технологии виртуализации необходимо учитывать множество аспектов. В следующем списке приведены некоторые из наиболее распространенных сравнений:

• Развертывание. И контейнеры, и виртуальные машины могут быть развернуты путем загрузки нужного файла образа в соответствующий виртуальный экземпляр. Файл образа содержит все компоненты, необходимые для запуска ВМ или контейнера. ВМ также можно развернуть вручную, поскольку они действуют как независимые компьютеры.
• Отказоустойчивость. И контейнеры, и виртуальные машины поддерживают методы обеспечения отказоустойчивости, такие как кластеризация с балансировкой нагрузки, и обе могут быть легко восстановлены или перезапущены из соответствующих файлов образов. Контейнеры изначально не имеют статического состояния и обычно не несут особого риска потери данных при возникновении сбоя. ВМ, естественно, являются постоянными и потенциально могут нести определенный риск потери данных при возникновении сбоя.
• Изоляция. ВМ обладают полной логической изоляцией. ВМ не знают о существовании других ВМ в среде — даже если другие ВМ могут работать на том же физическом компьютере. Контейнеры имеют меньшую изоляцию, поскольку контейнеры используют общее ядро ОС.
• Балансировка нагрузки. ВМ допускают живую миграцию и могут перемещаться с одного виртуализированного компьютера на другой для балансировки вычислительной и сетевой нагрузки. Контейнеры не перемещаются, а воссоздаются на целевых компьютерах перед уничтожением исходного экземпляра. Таким образом, контейнеры легко поддерживают концепции неизменяемой инфраструктуры.
• Сетевое взаимодействие. Как контейнеры, так и виртуальные машины могут взаимодействовать между экземплярами, как на одном компьютере, так и между компьютерами, соединенными IP-сетью. Большое количество контейнеров, возможное в среде центра обработки данных, может быстрее нагрузить пропускную способность локальной сети, чем меньшее количество виртуальных машин.
• Производительность. И контейнеры, и ВМ обеспечивают отличную производительность на скоростях, близких к скорости «голого железа». ВМ имеют небольшое преимущество в производительности, поскольку ВМ не сталкиваются с потенциальной конкуренцией общей ОС.
• Постоянное хранилище. ВМ включают постоянное хранилище с виртуальным жестким диском. Контейнеры изначально работают из памяти и требуют тщательного использования инструментов хранения, таких как Docker Data Volumes, для сохранения данных контейнера после его уничтожения.
• Переносимость и совместимость. ВМ используют общие технологии виртуализации, часто основанные на компонентах с открытым исходным кодом или созданные на их основе. ВМ могут быть переносимыми и совместимыми с системами, использующими аналогичные платформы виртуализации. Контейнеры отличаются высокой переносимостью, а упаковка компонентов в файлы образов контейнеров позволяет запускать контейнеры практически на любой системе, поддерживающей контейнерную платформу. Однако контейнерные платформы не являются полностью совместимыми.
• Ресурсы. Контейнеры используют меньше вычислительных ресурсов и обычно размещают меньшие приложения, чем виртуальные машины, поэтому предприятие потенциально может разместить гораздо больше контейнеров на одном компьютере.
• Масштабируемость. Контейнеры меньше и требуют меньше ресурсов, чем виртуальные машины, поэтому контейнеры могут масштабироваться — создаваться или уничтожаться — гораздо быстрее, чем виртуальные машины. Контейнеры часто используются там, где требуются краткосрочные вычислительные экземпляры.
• Безопасность. ВМ используют отдельные ОС и приложения, поэтому недостатки в безопасности одной ВМ не распространяются на другие ВМ в среде. Контейнеры используют общую ОС и могут быть подвержены влиянию дефектов в ОС, поэтому они не так безопасны, как ВМ. Однако контейнеры могут работать внутри ВМ в рамках гибридного подхода к развертыванию, что может помочь локализовать потенциальные уязвимости безопасности.
• Обновления и исправления. ВМ действуют как независимые, полностью функциональные компьютеры. Содержимое ВМ, такое как ОС, драйверы и приложения, можно исправлять и обновлять с помощью традиционных методов. Контейнеры используют фиксированный пакет библиотек и двоичных файлов, созданных для запуска на контейнерных платформах, таких как Docker. Контейнеры не могут быть легко обновлены в режиме реального времени. Вместо этого файлы контейнеров обновляются и приводятся к определенным версиям, а затем новый файл образа может быть развернут для внедрения обновлений. Это также поддерживает концепции неизменяемой инфраструктуры.

Не секрет, что безопасность рабочих нагрузок и данных является критически важным вопросом практически для каждого предприятия. Простое поддержание работоспособности рабочей нагрузки часто является вопросом непрерывности бизнеса и соблюдения корпоративных норм. А постоянно присутствующая угроза хакеров, вредоносных программ, вторжений и других злонамеренных действий делает жизненно важным выбор защищенных сред для корпоративных приложений, как для предотвращения, так и для локализации любых недостатков безопасности или проблем, которые могут возникнуть.

ВМ обычно считаются наиболее безопасной и устойчивой платформой для рабочих нагрузок. Технологии гипервизоров хорошо отработаны, а логическая изоляция, которую гипервизоры обеспечивают между ВМ, гарантирует, что каждая ВМ существует как отдельный логический сервер со своей ОС и драйверами. Однако все элементы, работающие в ВМ и вокруг нее — ОС, приложения, драйверы, авторизация и аутентификация, а также сетевой трафик — подвержены недостаткам безопасности, которые необходимо постоянно устранять, как и в любом традиционном физическом развертывании. Когда для обеспечения безопасности требуется наивысший уровень изоляции, виртуальные машины, как правило, имеют преимущество.

Контейнеры являются гибкими и быстрыми, но все контейнеры работают на базе общей ОС. Технически это нормально, но любые ошибки или недостатки в системе безопасности ОС могут потенциально подвергнуть опасности все контейнеры, работающие на общем ядре ОС. Базовое ядро ОС представляет собой единую точку уязвимости. Как минимум, системы, используемые для контейнеров, обычно используют надежную и проверенную ОС. Администраторы применяют обновления и исправления безопасности ОС только после тщательного тестирования и проверки. Для защиты сервера обычно применяются такие тактики безопасности, как обнаружение и предотвращение вторжений. Безопасность может быть усилена путем запуска групп контейнеров в виртуальных машинах, сочетая преимущества контейнеров с повышенной изоляцией виртуальных машин.

Выбор варианта в значительной степени определяется целями. Традиционные одноцелевые приложения — все еще довольно распространенные и подходящие для многих корпоративных приложений — обычно хорошо работают с виртуальными машинами и обычными методами обеспечения высокой доступности, такими как кластеризация. Такие традиционные приложения часто предназначены для длительной работы и используют надежную защиту, которую может обеспечить изоляция виртуальных машин.

Для сравнения, компоненты приложений и сервисы могут отлично функционировать в контейнерах, где такие характеристики, как быстрый запуск, высокая масштабируемость и, потенциально, короткое время работы, могут работать в пользу контейнеров. Однако контейнеры все больше определяются появляющимися моделями проектирования программного обеспечения, такими как архитектуры микросервисов. Микросервисы позволяют разбивать, разрабатывать, развертывать и поддерживать дизайн приложения в виде отдельных функциональных компонентов, каждый из которых находится в быстром, высокомасштабируемом контейнере, который также можно независимо масштабировать и переносить. Таким образом, контейнеры стали привлекательными для создания гибких и масштабируемых приложений.