作者介紹：Randy Bias
Randy 是 Cloudscaling 的聯(lián)合創(chuàng)始人兼 CTO，他同時也是 OpenStack 的基金會董事。他對云計算行業(yè)的深刻理解和真知灼見奠定了他在業(yè)內(nèi)的權(quán)威地位。在他的文章和公開演講中，Randy 都是 OpenStack 項目的擁躉者。
繼 OpenStack 之后，我近期被問及最多的問題都是關(guān)于容器，以及容器對企業(yè)和云原生應用的商業(yè)前景。大多數(shù)人感興趣的是，容器技術(shù)是否能最終取代 VMware 或 Linux KVM 之類的虛擬化技術(shù)（大多數(shù)人用 OpenStack 部署的默認選項）。有人對此感到困惑，因為很多人還區(qū)分不了容器和虛擬機的差別，還有些人總拿安全性說事兒，認為虛擬機就是比容器安全。
凡此種種問題說明，人們不僅在基礎(chǔ)結(jié)構(gòu)層面上缺少對容器的正確認識，而且也不知道容器在經(jīng)過小更新后，將在未來發(fā)揮怎樣的作用。人們同樣不知道 VMware ESX 這類傳統(tǒng)的虛擬化技術(shù)的價值正在急劇縮水。在我看來，虛擬機所剩的時日無多，消亡僅僅是時間早晚的問題。
在此消彼長的當前，容器是應該在虛擬機上運行？還是干脆用裸機上的容器技術(shù)徹底代替虛擬化技術(shù)呢？
最后，OpenStack 在其中的地位是什么？不同于 ESX，OpenStack 不是虛擬化技術(shù)，而且事實上它可以和容器、虛擬機或者裸機都能很好地兼容。
那么下面咱們來好好聊聊吧。
作為基礎(chǔ)架構(gòu)的容器 VS. 以應用為中心，作為打包和管理工具的容器
事實上，這指明了一種方法，可以解決棧中的一些問題，并簡化大部分底層架構(gòu)，簡化它們與應用的交互方式。在以后的博文中我會詳談。
在這篇博客里，我準備從基礎(chǔ)設(shè)施工具的層面來討論容器。
虛擬化技術(shù)何時消亡
當英特爾通過 Intel-VTx 指令系統(tǒng)，把虛擬化技術(shù)大多數(shù)獨特的功能直接放進芯片時，虛擬化技術(shù)的喪鐘就已經(jīng)敲響。在此之前，VMware 和 Xen 有兩種特別的機制向虛擬化技術(shù)提供功能：二進制轉(zhuǎn)換和半虛擬化。兩者曾比拼誰的速度快，但 Intel-VTx 橫空出世后，憑借內(nèi)植于芯片裸片的優(yōu)勢，后來者居上，成了事實上的速度之王。
從此以后，VMware ESX 和 Xen 都把 Intel-VTx 作為默認配置。KVM 這類 100% 依靠 Intel-VTx 芯片組來實現(xiàn)功能的虛擬機也應運而生。也許最重要的是，它消除了 “type-1” 和 “type-2 ” 中虛擬化管理軟件之間的差異。
你現(xiàn)在當然可以說虛擬化技術(shù)還有價值，但這種價值早已不可同日而語，而且基本上是在異構(gòu)環(huán)境中為遺留應用提供支持。結(jié)果是，虛擬化技術(shù)允許你在客戶系統(tǒng)之內(nèi)運行不同的操作系統(tǒng)。
讓我來具體解釋下。
虛擬化技術(shù)中的半虛擬化驅(qū)動層
Intel-VTx 出現(xiàn)后，管理現(xiàn)有剩余工作量的一大問題就是支持各類操作系統(tǒng)。這一問題廣泛存在于今天的企業(yè)環(huán)境中，因此支持異構(gòu)環(huán)境是相當關(guān)鍵的。不幸的是，即便能在 Intel-VTx 上運行未修改的操作系統(tǒng)內(nèi)核，系統(tǒng)發(fā)出的網(wǎng)絡(luò)和硬盤指令還是無法觸發(fā)模擬硬件。Intel-VTx 主要解決了分離問題，封閉問題，以及高性能的直接 CPU 指令和內(nèi)存讀?。ㄍㄟ^拓展分頁 EPT）。Intel-VTx 沒有解決網(wǎng)絡(luò)和硬盤通路的問題。雖然有 SR-IOV，VT-d 和其他方法嘗試過處理這一問題，但從來沒有真正解決過。
為了勉強維持網(wǎng)絡(luò)和硬盤的表現(xiàn)，主流的虛擬化技術(shù)都轉(zhuǎn)向了半虛擬驅(qū)動。半虛擬驅(qū)動很類似于 Xen 上的半虛擬核心。在虛擬化技術(shù)及其客戶操作系統(tǒng)中，有一個專為網(wǎng)絡(luò)或硬盤設(shè)置的半虛擬驅(qū)動。這個驅(qū)動和虛擬化技術(shù)核心與客戶核心“分裂”，從而保證更大的吞吐量。
但根據(jù)工作量的不同，網(wǎng)絡(luò)和硬盤仍會有 5-30% 的性能損失。半虛擬驅(qū)動無法像裸機那樣操作。
除了性能問題，半虛擬（PV）驅(qū)動還存在一些其他問題。其中之一是，半虛擬驅(qū)動是由不同的供應商編寫的，你要給每個虛擬化管理軟件（諸如 ESX，Xen，KVM 等）和每個操作系統(tǒng)（諸如 Windows7，Windows10，RHEL，烏班圖，F(xiàn)REEBSD 等）配一個半虛擬驅(qū)動。這會導致代碼量巨大，受攻擊面巨大，支持任務和測試機制巨大，以及質(zhì)量差異巨大。
最重要的是，到這一步，虛擬機本身變成了一個支持半虛擬驅(qū)動的層，而半虛擬驅(qū)動本身也是一個支持異構(gòu)操作系統(tǒng)的層。
有人會問：“還有多久，我們才能在企業(yè)數(shù)據(jù)中心里用上異構(gòu)操作系統(tǒng)？”
企業(yè)數(shù)據(jù)中心的同構(gòu)化意味著容器的最終勝利
隨著云原生應用和第三方平臺的普及，我們都迫切需要把底層操作系統(tǒng)標準化和正規(guī)化。如果你運行著 20 種不同的操作系統(tǒng)，你的操作效率不可能提高。如果你需要容器，那么你也希望能在同構(gòu)或接近同構(gòu)的環(huán)境中運行容器。如果你遷移到任何一個 PaaS 平臺之上，你都在把底層的操作系統(tǒng)標準化。你所做的一切，都是在去除 “異構(gòu)” 。
在這樣一個環(huán)境下，半虛擬驅(qū)動層（甚至推廣到虛擬化管理軟件本身）的價值是極其微弱的，甚至弱到幾乎沒有價值。
力挺虛擬化技術(shù)的論調(diào)，主要圍繞對敏感型應用的支持。這需要諸如 VMware DRS 和 HA 這類的高級特性來實現(xiàn)，來完成操作系統(tǒng)的異構(gòu)化，來創(chuàng)造封閉以達到“更高的安全性能”。
不幸的是，對于虛擬化技術(shù)而言，這一切在容器時代都必將實現(xiàn)——除了異構(gòu)化，因為它根本沒用。
容器和安全性
有一種流行的觀點，認為容器技術(shù)不如虛擬化技術(shù)安全，但事實是，對于我們中的一些人，容器在設(shè)計伊始就是一種應用安全機制。它把應用打包，使得其受攻擊面降到最低，在一個封閉環(huán)境中，以非特權(quán)用戶的身份運行應用。傳統(tǒng)的虛擬機式操作方法則需要你牽動操作系統(tǒng)的大部分，需要經(jīng)常打補丁和維護。顯然容器在這一點上優(yōu)越得多。
很多人狡辯說虛擬化技術(shù)也能創(chuàng)造封閉環(huán)境，比如用拓展頁表（EPT）。不過 EPT，以及其他許多虛擬化管理軟件內(nèi)的功能，已經(jīng)不再由管理系統(tǒng)本身提供了，而是由 Intel-VTx 指令系統(tǒng)提供。而且，讓 Linux 操作核心與其他命令分隔開來，也沒什么特別的。實際上，已經(jīng)有斯坦福之外的，來自 DUNE 工程的代碼，能夠為普通應用實現(xiàn)這一點。把它整合進容器平臺只是小菜一碟。
你可以期待英特爾繼續(xù)完善 Intel-VTx 指令系統(tǒng)，讓 Linux 操作核心和容器能夠擺脫虛擬化技術(shù)的中介，利用好這些功能。
再加上，虛擬化管理軟件中的應用，其操作系統(tǒng)大多被強制打包，如果能移除掉這些操作系統(tǒng)，容器技術(shù)就會真的比虛擬化技術(shù)模型更安全。假以時日，相信這一點終能成真。
容器和彈性
接下來我們一定會問：“DRS（分布式資源調(diào)度程序）和 HA（高可用性集群）又怎樣呢？”
且不論這些功能主要是用于支持敏感型應用，容器根本不屬于這個世界；事實是就連 DRS 和 HA，在彈性靈活的第三方平臺也是基本沒必要的。CloudFoundry 這類平臺即服務（PaaS）工具，Kubernetes、Rancher、Mesos 這類容器管理系統(tǒng)，和類似的管理工具，都已經(jīng)設(shè)計出來，用于動態(tài)計量你的工作量。它們會在你運行中的應用里檢測性能表現(xiàn)和失敗事件，并預先采取步驟處理之。
由此可見，虛擬化技術(shù)唯一的價值——用半虛擬驅(qū)動支持各種操作系統(tǒng)——在下一代的數(shù)據(jù)中心里已經(jīng)不重要了。
圖示變化
為了讓你意會這一變化長啥樣，這里有一幅圖，假設(shè)虛擬化技術(shù)“贏得了”乙方平臺，成為支持遺留工作量的關(guān)鍵工具，而容器技術(shù)“贏得了”云原生應用的第三方平臺，成為現(xiàn)代數(shù)據(jù)中心及其工作量的主要工具。
某種意義上，這是一個簡單化的圖示，但我在此想說的是，如果你不在意多用戶操作系統(tǒng)，如果你從斯坦福把 DUNE 圖書館整合進了容器，如果你依賴標準的 Linux 用戶權(quán)限，如果你要直接面對實體資源，那么容器就是：
1、高性能的
2、正確配置后，和任何虛擬化管理軟件一樣安全
3、比虛擬化管理軟件簡單得多，管理費用更省，操作系統(tǒng)的超復雜運算更少
第三點值得詳細談談。我以后會專門寫一篇博文進行具體分析，在這里會先講個大概。一個以容器為中心的模型，不僅可以如前所述的那樣，顯著簡化應用架構(gòu)，從虛擬化管理軟件層中消除多余的層級和運算量，還能對基礎(chǔ)架構(gòu)棧進行進一步的“抹平”。我這句話是什么意思呢？我的意思是，隨著我們越來越“以容器為中心”，我們同時會無可避免地“以應用為中心”。應用本身不關(guān)心基礎(chǔ)架構(gòu)拓撲，不關(guān)心它們有多少硬盤，是什么種類，用什么網(wǎng)絡(luò)——這些要素都不重要。
應用，和現(xiàn)代云原生應用的開發(fā)者，僅僅關(guān)心基礎(chǔ)架構(gòu)協(xié)議：我調(diào)用了一個 API，我獲得了基礎(chǔ)架構(gòu)資源，它要么對服務等級協(xié)議（SLA）表現(xiàn)，要么不表現(xiàn)。如果不表現(xiàn)，我就去掉它，換個新的，而如果我不想再用之前的基礎(chǔ)架構(gòu)，我就命令另一個（水平縮放）。
我想事實已經(jīng)明了——虛擬化技術(shù)和“受虐”心理（“pet” type mentality）把我們拖入了過于緊張，過于復雜的基礎(chǔ)架構(gòu)拓撲之中，而這對于現(xiàn)代應用是完全沒有必要的。
OpenStack 和容器：合作還是對抗？
有些人心懷疑惑：云原生應用和現(xiàn)代數(shù)據(jù)中心是被 OpenStack 統(tǒng)治，還是被容器生態(tài)系統(tǒng)統(tǒng)治？有些人則覺得兩者是并肩工作的。其實兩種觀點都站得住腳。一方面，OpenStack 可以看作是在基礎(chǔ)設(shè)施即服務（laaS）的大潮中過于復雜，過于激烈的一次嘗試。另一方面，沒有哪一個生態(tài)系統(tǒng)能如此全面地囊括 DNS 服務，網(wǎng)絡(luò)服務，存儲，虛擬機，裸機，容器，數(shù)據(jù)庫服務，密鑰管理等等。
如果考慮到 OpenStack 上的基礎(chǔ) “PaaS” 平臺都是基于容器而來的（如 Kubernetes，Cloud Foundry 等等），事情就更復雜些。越來越多的用戶選擇 OpenStack 和 KVM 虛擬機作為運行的基質(zhì)。對于一般的企業(yè)開發(fā)者，也許 CloudFoundry 這類基于容器的平臺能最大限度地規(guī)避和掩蓋 OpenStack 的復雜性。
一個顯而易見的趨勢是，虛擬化技術(shù)和容器技術(shù)會在短期內(nèi)共存，但隨著時間的推移，棧中的問題終究會得到解決，我們將可以直接在裸機系統(tǒng)上運行容器，把虛擬化技術(shù)淘汰出局，大大簡化棧的運作，同時還能提供更高的安全性，可用性，以及更優(yōu)的性能。最終的結(jié)局將如上圖所示。
虛擬化技術(shù)的時代已經(jīng)漸行漸遠
在我看來，虛擬化技術(shù)的時代已經(jīng)漸行漸遠。現(xiàn)在是容器技術(shù)和下一代云原生應用的世界，到達那里只是時間問題。與此同時，在虛擬化基質(zhì)上運行容器，依然是 “快速啟動” 的常用方法，當然底層技術(shù)也在不斷前進，最終能讓容器在裸機上直接運行?，F(xiàn)代數(shù)據(jù)中心將非常復雜，就像那些給我們帶來云計算的網(wǎng)絡(luò)公司一樣。它將掌控強有力的云原生應用。在容器及其生態(tài)環(huán)境的軌道上，這些應用將用 Cloud Foundry 這類平臺管理其自身的彈性，比以前所有的應用更安全，更高效，并享有更高的利用率。
我衷心熱愛眼中所見，料諸君亦如是。
