KVM nedir?

KVM, CPU'nun sanallaştırma uzantılarını bir çekirdek modülü aracılığıyla ortaya çıkarır; sanal makinenin geri kalanını bir kullanıcı alanı aygıt modeli (QEMU, genellikle disk ve ağ hızı için virtio paravirtüel sürücülerle eşleştirilmiş) bir araya getirir. Konuk, kendi önyükleyicisini ve çekirdeğini fiziksel donanım gibi tam olarak başlatır. Ana makinenin görevi, vCPU'ları zamanlamak ve G/Ç'ye aracılık etmekle sınırlıdır — konuğun sistem çağrılarını yorumlamaz, çünkü konuğun bunun için kendi çekirdeği vardır. Donanım özellikleri de yararlı biçimde geçirilir: bir KVM konuğu kendi iptables/nftables'ını kullanabilir, çekirdek modülleri yükleyebilir, dosya sistemleri bağlayabilir ve sanal donanımın desteklediği her şeyi çalıştırabilir.

Konteynerler ana makine çekirdeğini paylaşır. Bu onları hafif yapar — sıfıra yakın ek yük, hızlı başlatma, yoğun paketleme — ve bu, çok kiracılı bir ortamda tam olarak sorunun kendisidir:

• İzolasyon. Konteyner kaçışı, bir çekirdek hatasından uzakta; her kiracı o tek çekirdeğin saldırı yüzeyini paylaşır. Bir KVM kaçışı, donanım destekli bir VM sınırını aşmak zorundadır — çok daha nadir bir güvenlik açığı sınıfı.
• Özgürlük. Konteynerler yalnızca ana makine çekirdeğinin izin verdiklerini çalıştırır: özel çekirdekler yok, ana makinenin yüklemediği WireGuard modülü yok, FreeBSD yok, Windows yok, çoğunlukla konteyner içi Docker da yok. Bir KVM konuğu WireGuard, iç içe Docker, özel sysctl'ler ve on şablonumuzdan herhangi bir işletim sistemini çalıştırır.
• Dürüst kaynaklar. OpenVZ tarihi, aşırı satılan "anlık RAM" ve paylaşılan çekirdek muhasebe hilelerle dolu. KVM belleği ve vCPU'ları VM'ye tahsis edilir; ana makine düzeyinde aşırı abone olma hâlâ mümkündür, ancak konuk başına sözleşmeyi manipüle etmek çok daha zordur.

Konteynerler, ana makineyi sizin kontrol ettiğinizde mükemmel bir teknolojidir (Docker tam da bunun için, kendi VM'nizin üstünde). Yabancılara satılan bir ürün olarak, paylaşılan çekirdek gizlilik odaklı kullanıcıların reddetmesi gereken bir uzlaşıdır.

KVM'i gizlilik barındırma için varsayılan yapan üç neden var. Çekirdek düzeyinde özellikler: VPN'ler (WireGuard/OpenVPN), sertleştirilmiş sysctl'lerle Tor, özel güvenlik duvarları ve disk şifrelemesi, bir konteynerin sunamayacağı çekirdek kontrolü ister. Daha güçlü kiracı izolasyonu: belleğiniz ve süreçleriniz bir ad alanı değil, donanım sınırının arkasındadır; komşularınızı denetleyemediğinizde bu önem taşır. İşletim sistemi seçimi: tam sanallaştırma Debian, Alpine, FreeBSD veya başka herhangi bir işletim sistemini çalıştırır — tehdit modelinizin yığını dikte ettiği durumlarda kullanışlıdır. Konuk içinde tam disk şifrelemesi ekleyin ve barındırıcı operatörünün görünürlüğü şifreli metne ve trafik kalıplarına iner.

KVM, hiper yöneticiyi tanımlar, dağıtım kalitesini değil. Yine de doğrulamaya değer: depolama türü (döner disklerdeki KVM hâlâ yavaştır — NVMe ile SSD'ye bakın); virtio sürücüler (fiilî standart; yokluğu antika bir yığını işaret eder); dedicated ile paylaşılan vCPU politikası; ve IP'nin dedicated ve temiz olup olmadığı. Buradaki her plan, virtio ile NVMe RAID10 üzerinde KVM, tam root ve dedicated temiz IPv4'tür — gerçekler sayfası bunu doğrulanabilir biçimde belirtiyor.