داکر یا ماشین مجازی؟ تفاوت واقعی و اینکه کی از کدام استفاده کنیم

چرا این سؤال این‌قدر پرتکرار است؟

هر کس با زیرساخت نرم‌افزار سروکار داشته باشد، دیر یا زود با این سؤال روبه‌رو می‌شود: برنامه را در ماشین مجازی اجرا کنم یا در کانتینر داکر؟ هر دو فناوری قول جداسازی برنامه‌ها، تکرارپذیری محیط و استفادهٔ بهتر از سخت‌افزار را می‌دهند. اما در لایه‌های متفاوتی کار می‌کنند و برای مسائل متفاوتی ساخته شده‌اند.

پاسخ کوتاه این است که این دو جایگزین هم نیستند و در بیشتر پروژه‌های واقعی با هم استفاده می‌شوند. اما برای تصمیم درست باید بدانید هرکدام دقیقاً چه چیزی را جدا می‌کند و چه هزینه‌ای دارد. اگر با داکر آشنا نیستید، ابتدا داکر چیست را بخوانید.

دو رویکرد جداسازی

ماشین مجازی

• سیستم‌عامل و هستهٔ مستقل
• هر سیستم‌عاملی، حتی ویندوز
• ایزوله‌سازی قوی با هایپروایزر
• حجم و زمان راه‌اندازی بیشتر

در برابر

کانتینر داکر

• فقط برنامه و وابستگی‌ها
• هستهٔ مشترک با میزبان
• راه‌اندازی تقریباً فوری
• تراکم بالا روی یک سرور

ماشین مجازی چطور کار می‌کند؟

ماشین مجازی (Virtual Machine یا VM) یک کامپیوتر کامل شبیه‌سازی‌شده است. نرم‌افزاری به نام هایپروایزر (مثل KVM، VMware ESXi یا Hyper-V) سخت‌افزار فیزیکی را بین چند ماشین مجازی تقسیم می‌کند. هر VM پردازنده، رم، دیسک و کارت شبکهٔ مجازی خودش را می‌بیند و یک سیستم‌عامل کامل با هستهٔ مستقل روی آن نصب می‌شود.

نتیجه این است که هر VM از نظر نرم‌افزاری کاملاً مستقل است: می‌توانید روی یک سرور فیزیکی هم‌زمان لینوکس، ویندوز و FreeBSD اجرا کنید؛ هرکدام هسته و تنظیمات خودشان را دارند و اگر یکی دچار مشکل شود یا آلوده شود، بقیه دست‌نخورده می‌مانند. سرور مجازی (VPS) که از ارائه‌دهندگان ابری می‌خرید، دقیقاً یک ماشین مجازی است؛ توضیح بیشتر در سرور مجازی چیست.

کانتینر چطور کار می‌کند؟

کانتینر چیزی را شبیه‌سازی نمی‌کند. همهٔ کانتینرهای یک سرور، روی همان هستهٔ لینوکس سیستم میزبان اجرا می‌شوند. آنچه آن‌ها را از هم جدا می‌کند، دو قابلیت هستهٔ لینوکس است:

• Namespaces که برای هر کانتینر نمای جداگانه‌ای از فرایندها، شبکه، سیستم‌فایل و نام میزبان می‌سازد؛ کانتینر فکر می‌کند تنهاست.
• cgroups که مقدار CPU، رم و ورودی‌وخروجی دیسکی را که هر کانتینر مصرف می‌کند محدود می‌کند.

ایمیج کانتینر شامل برنامه و کتابخانه‌های لازمش است، اما هسته ندارد. به همین دلیل ایمیج‌ها کوچک‌اند و کانتینرها تقریباً به اندازهٔ اجرای یک فرایند معمولی سریع بالا می‌آیند.

ترکیب رایج: داکر داخل سرور مجازی

کانتینرهابرنامه، دیتابیس، Redis

Docker Engineمدیریت ایمیج و شبکه

سیستم‌عامل مهمانلینوکس سرور مجازی شما با هستهٔ مستقل

هایپروایزرKVM؛ جداسازی از مشتریان دیگر

سخت‌افزار فیزیکیسرور دیتاسنتر

مقایسهٔ جزءبه‌جزء

امنیت: مهم‌ترین تفاوت عملی

چون همهٔ کانتینرها هستهٔ مشترکی دارند، یک آسیب‌پذیری در هستهٔ لینوکس می‌تواند در شرایطی به کانتینر اجازه دهد از محدوده‌اش خارج شود و به میزبان دسترسی پیدا کند. در ماشین مجازی، مهاجم باید علاوه بر نفوذ به سیستم‌عامل مهمان، از هایپروایزر هم عبور کند که سطح حملهٔ بسیار کوچک‌تری دارد.

به همین دلیل ارائه‌دهندگان ابری مشتریان مختلف را در ماشین‌های مجازی جداگانه قرار می‌دهند، نه در کانتینرهای کنار هم. برای شما به‌عنوان کاربر، معنای عملی این است:

• کانتینرهایی که روی یک سرور اجرا می‌کنید را «هم‌خانه» بدانید؛ اگر یکی آلوده شود، بقیه در معرض خطرند.
• کانتینرها را با کاربر غیر root اجرا کنید و حالت --privileged را فقط در صورت ضرورت به کار ببرید.
• برنامه‌های غیرقابل‌اعتماد یا مشتریان مختلف را در ماشین‌های مجازی جداگانه قرار دهید.

کارایی و مصرف منابع

ماشین مجازی برای هر نمونه یک سیستم‌عامل کامل اجرا می‌کند؛ یعنی بخشی از رم و CPU صرف هسته و سرویس‌های پایهٔ آن سیستم‌عامل می‌شود. کانتینرها این سربار را ندارند و روی یک سرور می‌توان ده‌ها کانتینر را جایی اجرا کرد که فقط چند VM جا می‌شد.

با این حال، فناوری‌های مجازی‌سازی امروزی با پشتیبانی سخت‌افزاری بسیار کارآمد شده‌اند و برای یک برنامهٔ منفرد، تفاوت کارایی خود CPU معمولاً محسوس نیست. تفاوت اصلی در زمان راه‌اندازی، حجم و تراکم است، نه سرعت اجرای کد. اگر می‌خواهید توان واقعی سرورتان را بسنجید، ابزارهای بنچمارک سرور کمک می‌کنند.

ماندگاری داده و چرخهٔ عمر

تفاوت مهم دیگری که در عمل خودش را نشان می‌دهد، نگاه این دو فناوری به ماندگاری است. ماشین مجازی مثل یک کامپیوتر معمولی رفتار می‌کند: هر تغییری که در آن بدهید، از نصب بسته تا ویرایش فایل تنظیمات، روی دیسکش می‌ماند و پس از ری‌استارت هم سر جایش است. این برای محیط‌هایی که دستی مدیریت می‌شوند راحت است، اما به‌مرور باعث می‌شود هیچ‌کس دقیقاً نداند روی سرور چه تغییراتی داده شده است.

کانتینر برعکس، موقتی طراحی شده است. هر تغییری داخل کانتینر با حذف آن از بین می‌رود و روش درست تغییر، ساختن ایمیج جدید است. داده‌هایی که باید بمانند، مثل دیتابیس و فایل‌های آپلودشده، در Volume جداگانه نگه داشته می‌شوند. این رویکرد در ابتدا کمی سخت‌گیرانه به نظر می‌رسد، اما نتیجه‌اش محیطی است که همیشه از روی یک تعریف مشخص ساخته می‌شود و می‌توان آن را در چند ثانیه روی سرور دیگری بازسازی کرد.

کی ماشین مجازی، کی داکر؟

ماشین مجازی را انتخاب کنید وقتی:

• به سیستم‌عامل متفاوت نیاز دارید، مثلاً ویندوز سرور برای نرم‌افزار حسابداری یا متاتریدر؛
• جداسازی امنیتی قوی بین محیط‌ها یا مشتریان لازم است؛
• نرم‌افزار به ماژول هسته یا تنظیمات سطح پایین سیستم نیاز دارد؛
• یک محیط کامل و ماندگار با رابط گرافیکی می‌خواهید.

داکر را انتخاب کنید وقتی:

• چند برنامه یا سرویس با وابستگی‌های متفاوت را روی یک سرور اجرا می‌کنید؛
• می‌خواهید محیط توسعه، تست و تولید یکسان باشد؛
• استقرار سریع، به‌روزرسانی و برگشت آسان برایتان مهم است؛
• نرم‌افزار آماده‌ای دارید که ایمیج رسمی دارد (دیتابیس، ابزار مانیتورینگ، n8n و…).

انتخاب سریع

1. سیستم‌عامل متفاوت لازم دارید؟

   ویندوز یا هستهٔ خاص: ماشین مجازی.

2. محیط‌های غیرقابل‌اعتماد؟

   مشتریان یا پروژه‌های جدا: ماشین‌های مجازی جداگانه.

3. چند سرویس روی یک سرور؟

   داکر و Compose داخل یک سرور مجازی.

4. استقرار سریع و تکرارپذیر؟

   ایمیج داکر و به‌روزرسانی با تغییر برچسب.

ترکیب رایج: داکر داخل سرور مجازی

در عمل، رایج‌ترین معماری برای کسب‌وکارهای کوچک و متوسط این است: یک یا چند سرور مجازی از ارائه‌دهندهٔ ابری، و داخل هرکدام داکر برای اجرای برنامه‌ها. ماشین مجازی مرز امنیتی و منابع تضمین‌شده را فراهم می‌کند و داکر مدیریت و استقرار برنامه‌ها را ساده می‌کند. برای جداسازی بیشتر، محیط تولید و تست را روی سرورهای مجازی جداگانه قرار می‌دهند.

برای شروع این ترکیب، یک سرور مجازی لینوکسی با مجازی‌ساز KVM انتخاب کنید (برخی مجازی‌سازهای قدیمی‌تر مبتنی بر کانتینر، مثل OpenVZ، اجرای داکر را محدود می‌کنند). سپس داکر را طبق آموزش نصب داکر روی اوبونتو ۲۴.۰۴ نصب کنید. برای تخمین رم و CPU لازم با توجه به تعداد کانتینرها، راهنمای انتخاب منابع سرور را ببینید.

سرورهای مجازی کلودیفای مبتنی بر مجازی‌سازی کامل‌اند و داکر بدون محدودیت روی آن‌ها اجرا می‌شود. با صورتحساب ساعتی می‌توانید یک سرور برای آزمایش معماری خود بسازید و پس از اطمینان، روی سرور اصلی مستقر کنید.

سؤالات متداول