کانتینرها در مقابل ماشین‌های مجازی: تفاوت ماهوی در ایزوله‌سازی، سربار و قابلیت حمل

رایج‌ترین تصور غلط در رایانش ابری مدرن این است که کانتینر صرفاً یک ماشین مجازی کوچک است. مواد بازاریابی ارائه‌دهندگان بزرگ ابری اغلب مرزها را محو می‌کنند و هر دو را به عنوان نمونه‌های محاسباتی قابل تعویض می‌فروشند که به طور جادویی کد را در فضای ابری اجرا می‌کنند. اما از نظر مکانیکی، آن‌ها موجودات کاملاً متفاوتی هستند. ماشین مجازی دروغی است که به یک سیستم‌عامل گفته می‌شود تا آن را متقاعد کند که سخت‌افزار اختصاصی خود را دارد. کانتینر دروغی است که به یک برنامه گفته می‌شود تا آن را متقاعد کند که تنها نرم‌افزاری است که روی یک سیستم‌عامل اجرا می‌شود.[11]

این تفاوت ماهوی بین مجازی‌سازی در سطح سخت‌افزار و مجازی‌سازی در سطح سیستم‌عامل، همه چیز را در مورد نحوه ساخت، ایمن‌سازی و مقیاس‌دهی نرم‌افزار تغییر می‌دهد. برای درک اینکه چرا صنعت فناوری دهه گذشته را صرف وسواس در مورد کانتینرسازی کرده است، باید فراتر از هیاهوی کلمات پر زرق و برق «ابری-بومی» (cloud-native) نگاه کنیم و مکانیسم‌های معماری واقعی در حال اجرا را بررسی کنیم.[1][2]

بیایید با رویکرد قدیمی‌تر و سنگین‌تر شروع کنیم: ماشین مجازی (VM). یک ماشین مجازی به قطعه‌ای از نرم‌افزار به نام هایپروایزر (Hypervisor) متکی است. هایپروایزر مستقیماً روی سخت‌افزار سرور فیزیکی یا روی سیستم‌عامل میزبان آن قرار می‌گیرد و CPU، حافظه و فضای ذخیره‌سازی را به استخرهای مجزا و ایزوله‌شده تقسیم می‌کند.[3][4]

هنگامی که یک ماشین مجازی را راه‌اندازی می‌کنید، سیستم‌عامل «مهمان» (guest) کامل و مستقل خود را اجرا می‌کند. اگر سروری دارید که ده ماشین مجازی را اجرا می‌کند، در واقع ده کپی مجزا از لینوکس یا ویندوز را اجرا می‌کنید که هر کدام هسته (kernel)، سیستم فایل و فرآیندهای پس‌زمینه خود را دارند. این امر امنیت و ایزوله‌سازی فوق‌العاده‌ای را فراهم می‌کند – یک خرابی فاجعه‌بار یا نفوذ مخرب در یک ماشین مجازی به ندرت بر سایرین تأثیر می‌گذارد، زیرا هایپروایزر مرزهای سخت‌افزاری سخت‌گیرانه‌ای را اعمال می‌کند.[5][8]

با این حال، این ایزوله‌سازی با یک «مالیات هایپروایزری» عظیم همراه است. راه‌اندازی یک ماشین مجازی دقیقاً مانند روشن کردن یک کامپیوتر فیزیکی، دقایق طول می‌کشد. علاوه بر این، هر سیستم‌عامل مهمان، گیگابایت‌ها رم و فضای ذخیره‌سازی مصرف می‌کند، حتی قبل از اینکه یک خط کد برنامه اجرا شود. این سربار، ماشین‌های مجازی را ذاتاً سنگین می‌کند و تعداد آن‌ها را که می‌توانید روی یک سرور فیزیکی واحد قرار دهید، محدود می‌سازد.[6][7]

کانتینرها برای حل دقیقاً همین تورم و سربار رایج شدند. کانتینرها به جای مجازی‌سازی سخت‌افزار، سیستم‌عامل را مجازی‌سازی می‌کنند. آن‌ها برای ایزوله‌سازی فرآیندها از یکدیگر، در حالی که آن‌ها را روی همان پایه نگه می‌دارند، به ویژگی‌های خاص هسته لینوکس – یعنی «فضاهای نام» (namespaces) و «گروه‌های کنترل» (cgroups) – متکی هستند.[2][9]

در یک محیط کانتینری، هیچ هایپروایزر و سیستم‌عامل مهمانی وجود ندارد. هر کانتینر روی یک سرور، هسته سیستم‌عامل میزبان زیرین را به اشتراک می‌گذارد. کانتینر فقط شامل کد برنامه و وابستگی‌های فوری آن، مانند کتابخانه‌ها و فایل‌های پیکربندی خاص است.[1][10]

دستاوردهای کارایی حیرت‌آور است. از آنجایی که آن‌ها مجبور نیستند یک سیستم‌عامل کامل را راه‌اندازی کنند، کانتینرها می‌توانند در عرض میلی‌ثانیه شروع به کار کنند. از آنجایی که هسته میزبان را به اشتراک می‌گذارند، به جای گیگابایت‌ها، مگابایت‌ها فضای دیسک مصرف می‌کنند. این امر به سازمان‌ها اجازه می‌دهد تا صدها یا حتی هزاران کانتینر را روی یک سرور واحد قرار دهند، در حالی که همان سرور ممکن است فقط از ده‌ها ماشین مجازی پشتیبانی کند.[6][7]

اما مهندس شکاک باید بپرسد: معاوضه (trade-off) چیست؟ پاسخ، ایزوله‌سازی است. از آنجایی که کانتینرها هسته میزبان را به اشتراک می‌گذارند، یک آسیب‌پذیری در آن هسته می‌تواند به طور بالقوه توسط یک کانتینر مخرب مورد سوءاستفاده قرار گیرد تا کل میزبان و سایر کانتینرهای در حال اجرا روی آن را به خطر اندازد.[8][11]

به همین دلیل است که مؤسسه ملی استانداردها و فناوری (NIST) صراحتاً بین پروفایل‌های امنیتی این دو فناوری تمایز قائل می‌شود. ماشین‌های مجازی مرزهای اعمال‌شده توسط سخت‌افزار را ارائه می‌دهند و آن‌ها را به استاندارد طلایی برای اجرای کدهای غیرقابل اعتماد یا ایزوله‌سازی داده‌های بسیار حساس در محیط‌های چندمستأجری تبدیل می‌کنند.[1]

ارائه‌دهندگان ابری اغلب این واقعیت را با راه‌حل‌های ترکیبی پنهان می‌کنند. فناوری‌هایی مانند AWS Firecracker تلاش می‌کنند تا با بسته‌بندی کانتینرها در «میکرو ماشین‌های مجازی» (microVMs) فوق‌سبک، «بهترین‌های هر دو دنیا» را ارائه دهند. اگرچه این‌ها شگفتی‌های مهندسی هستند، اما اساساً اعترافی هستند مبنی بر اینکه کانتینرهای واقعی فاقد مرزهای امنیتی سخت‌گیرانه‌ای هستند که برای برخی از بارهای کاری سازمانی مورد نیاز است.[5][8]

قابلیت حمل، حوزه دیگری است که در آن بازاریابی اغلب از واقعیت پیشی می‌گیرد. وعده کانتینرها این است: «یک بار بساز، همه جا اجرا کن.» از آنجایی که یک کانتینر برنامه را با تمام وابستگی‌هایش بسته‌بندی می‌کند، باید از نظر تئوری به طور یکسان روی لپ‌تاپ یک توسعه‌دهنده، یک سرور داخلی یا یک ابر عمومی اجرا شود.[4][9]

در عمل، این قابلیت حمل به شدت توسط معماری و هسته سیستم‌عامل محدود می‌شود. یک کانتینر لینوکس نمی‌تواند به طور بومی روی هسته ویندوز اجرا شود. هنگامی که توسعه‌دهندگان کانتینرهای لینوکس را روی macOS یا ویندوز اجرا می‌کنند، در واقع یک ماشین مجازی لینوکس پنهان در پس‌زمینه در حال اجرا است که سپس میزبان کانتینرها می‌شود. جادوی «همه جا اجرا کن» توهمی است که توسط مجازی‌سازی پس‌زمینه حفظ می‌شود.[2][11]

در نهایت، انتخاب بین کانتینرها و ماشین‌های مجازی یک بازی با حاصل جمع صفر نیست. زیرساخت‌های مدرن تقریباً همیشه از هر دو استفاده می‌کنند. مدل استاندارد استقرار در محیط‌های ابری سازمانی، تأمین ماشین‌های مجازی بزرگ و امن و سپس پر کردن آن ماشین‌های مجازی با کانتینرهای سبک و چابک است که توسط سیستم‌هایی مانند کوبرنتیس (Kubernetes) ارکستراسیون می‌شوند.[3][10]

با درک واقعیت مکانیکی – اینکه ماشین‌های مجازی سخت‌افزار را ایزوله می‌کنند در حالی که کانتینرها فرآیندها را ایزوله می‌کنند – معماران می‌توانند از برخورد با آن‌ها به عنوان محصولات رقیب دست بردارند و شروع به استفاده از آن‌ها به عنوان لایه‌های مکمل در یک پشته زیرساختی قوی کنند.[11]