仮想マシン、コンテナ、そしてVRF

仮想化とは、複数の層に適用される1つの発想です。1つの物理的なものを、複数の独立したものであるかのように振る舞わせるのです。形態ごとに変わるのは境界線がどこに引かれるかであり、したがって何が本当に分離され、何がひそかに共有されているかです。

サーバー仮想化

ハイパーバイザーは各ゲストに仮想ハードウェアを提示し、それによって複数の完全なオペレーティングシステムが1台の物理マシン上で動作します。各ゲストは自分専用のプロセッサ、メモリ、ディスク、ネットワークカードを持っていると認識しており、互いの存在に気づいていません。

各ゲストは仮想ネットワークカードを持っているため、ホストにはそれらのカードを接続する何かが必要になります。それが仮想スイッチであり、物理スイッチと同じように振る舞います。MACアドレスを学習し、VLANを運び、物理ネットワークへトランクできます。

コンテナ

コンテナはハードウェアを仮想化するのではなく、ホストのカーネルを共有します。アプリケーションとその依存関係をパッケージ化し、その分離はエミュレートされたハードウェアからではなく、ファイルシステム、プロセス一覧、ネットワークについて独自の視点を与えるカーネル機能から生まれます。

どちらが総じて優れているということはありません。コンテナはオペレーティングシステムを省くために起動が速くコストも安く済み、仮想マシンはまさに同じ理由でより徹底した分離を実現します。どちらの取引を選ぶかは、ホストを共有するもの同士が互いを信頼しているかどうかによります。

VRF

VLANは1台のスイッチを複数のブロードキャストドメインに分割します。VRF - 仮想ルーティング・フォワーディングインスタンス - は1つ上の層で同等のことを行います。1台のルーターを複数の独立したルーティングテーブルに分割するのです。

各VRFは独自のテーブル、独自のインターフェース、独自のルートを持ちます。ルートを漏出させるよう明示的に設定されていない限り、トラフィックがVRF間を移動することはありません。そのため、2つのVRFは1台のデバイス上で重複するアドレス空間を、衝突することなく運ぶことができます。

それでも共有されているもの

どの形態の仮想化にも何かしら共有されているものがあり、それが何かを知ることがここでの実践的なスキルです。

• 仮想マシンは物理ホストを共有する - そのメモリ帯域幅、ネットワークカード、そして障害も。
• コンテナはさらにカーネルを共有するため、カーネルレベルの侵害はコンテナによって封じ込められない。
• VRFはルーターを共有する - そのプロセッサ、そしてテーブルを分離しているコードにあるあらゆるバグも。
• 設定上はどれほど分離されて見えても、これらすべては外部への物理リンクを共有している。

だからこそ「これらは分離されている」という言葉には、その分離が何でできているのかという追加の問いが必要になります。論理的な分離は本物であり有用ですが、それは2台のデバイスの間にケーブルがまったくない状態とは同じではありません。