“Ảo” không có nghĩa là giả — nó có nghĩa là có một người trung gian “Ảo” nghĩa là có người đứng giữa dịch giúp "Virtual" does not mean fake — it means there is an intermediary

Cụm khái niệm 01 Concept cluster 01

Máy ảo: bộ nhớ ảo, nhưng áp dụng cho cả cỗ máy Máy ảo: một cái máy nằm trong máy Virtual machines: virtual memory, but for the whole machine

Ward định nghĩa máy ảo bằng cách bắc cầu từ một khái niệm bạn đã biết: máy ảo dựa trên cùng ý tưởng với bộ nhớ ảo, chỉ khác là áp dụng cho toàn bộ phần cứng của máy chứ không riêng bộ nhớ. Bạn tạo hẳn một cỗ máy mới — bộ xử lý, bộ nhớ, các giao diện vào/ra — bằng phần mềm, rồi chạy nguyên một hệ điều hành trong đó, kể cả một nhân.1

Bạn đã biết bộ nhớ ảo: mỗi chương trình tưởng mình có cả kho bộ nhớ riêng. Máy ảo cũng y như vậy, nhưng làm với cả cái máy: bộ xử lý giả, bộ nhớ giả, đĩa giả. Bên trong cái máy giả đó, một hệ điều hành thật chạy và tin rằng mình đang ngồi trên phần cứng thật. Nhớ nhé: máy ảo là cả một cái máy được dựng bằng phần mềm.

Ward defines virtual machines by bridging from something you already know: they rest on the same concept as virtual memory, except applied to all of the machine's hardware rather than memory alone. You create an entirely new machine — processor, memory, I/O interfaces and so on — with the help of software, and run a whole operating system inside it, including a kernel.1

Tên gọi chính xác và tuổi đời. Loại máy ảo này, Ward nói, có tên cụ thể hơn là system virtual machine (máy ảo hệ thống), và nó đã tồn tại hàng chục năm: các máy tính lớn (mainframe) của IBM theo truyền thống dùng máy ảo hệ thống để tạo môi trường nhiều người dùng, mỗi người nhận một máy ảo chạy CMS — một hệ điều hành đơn giản, một người dùng.1 Tên gọi này để phân biệt với process virtual machine (máy ảo tiến trình), chẳng hạn máy ảo Java (JVM), mà Ward nói rõ là ông không bàn ở đây.1

Cụm khái niệm 02 Concept cluster 02

Phần cứng ảo: gian lận có nguyên tắc để đổi lấy tốc độ Phần cứng giả: gian lận một chút cho nhanh Virtual hardware: principled cheating in exchange for speed

Ward dựng một phản đề rất rõ. Muốn cấp cho guest một thiết bị đĩa ảo, bạn có thể tạo một tệp lớn ở đâu đó trên host rồi cấp quyền truy cập nó như một đĩa, bằng cách mô phỏng vào/ra thiết bị theo chuẩn. Cách làm này là một máy ảo phần cứng nghiêm ngặt — và nó không hiệu quả. Muốn máy ảo thực dụng cho nhiều nhu cầu khác nhau thì phải thay đổi vài thứ.1

Muốn có một cái đĩa giả thì dễ: lấy một tệp to trên máy thật rồi bảo máy giả “đây là đĩa của mày”. Nhưng nếu bắt chước từng chi tiết một thì chậm kinh khủng. Thế nên người ta cho phép máy giả nói chuyện thẳng với máy thật ở vài chỗ. Nhớ nhé: bắt chước kỹ quá thì chậm, nên phải cho đi tắt vài đoạn.

Ward sets up a sharp antithesis. To give a guest a virtual disk device, you could create a big file somewhere on the host and provide access as a disk with standard device I/O emulation. That approach is a strict hardware virtual machine — and it is inefficient. Making virtual machines practical for a variety of needs requires some changes.1

Mục tiêu bất biến. Dù cơ chế là gì, Ward chốt lại, mục tiêu của ảo hoá luôn là giảm bài toán xuống vừa đủ để hệ điều hành guest có thể đối xử với phần cứng ảo như với bất kỳ thiết bị nào khác. Điều đó bảo đảm mọi tầng nằm trên thiết bị đều hoạt động đúng: trên một guest Linux, bạn muốn nhân truy cập được các đĩa ảo như thiết bị khối, để bạn phân vùng và tạo hệ thống tệp trên chúng bằng đúng những công cụ quen thuộc.1 Đây chính là Chương 4 đang quay lại làm tiêu chí nghiệm thu cho Chương 17.

Cụm khái niệm 03 Concept cluster 03

Container: không có tính năng nào tên là “container” Container: một hàng rào ghép từ nhiều mảnh Containers: there is no kernel feature called "container"

Đây là luận điểm quan trọng nhất của chương, và Ward xây dựng nó từ lịch sử. Cách vận hành mạng máy tính truyền thống là chạy nhiều dịch vụ trên cùng một máy vật lý — một máy chủ tên miền có thể kiêm luôn máy chủ thư điện tử. Nhưng bạn không nên tin bất kỳ phần mềm nào, kể cả máy chủ, là an toàn hay ổn định. Nên người ta dựng rào quanh các daemon máy chủ, nhất là khi không tin tưởng lắm một trong số chúng.1

Ngày xưa, một cái máy chạy đủ mọi dịch vụ cùng lúc. Nhưng phần mềm nào cũng có thể hỏng hoặc bị hack, nên người ta bắt đầu quây rào quanh từng dịch vụ. Container chính là cái hàng rào đó, làm bằng nhiều mảnh ghép lại. Nhớ nhé: container không phải một thứ, nó là nhiều thứ ghép lại.

This is the chapter's most important claim, and Ward builds it from history. The traditional way of operating computer networks was to run multiple services on the same physical machine — a name server could also act as an email server. But you shouldn't really trust any software, including servers, to be secure or stable. So people put up barriers around server daemons, especially ones they don't trust much.1

Hai tổ tiên được nêu tên. Ward chỉ ra hai kỹ thuật cách ly có trước container. Thứ nhất là lời gọi hệ thống chroot(), đổi thư mục gốc sang một thứ khác thư mục gốc thật của hệ thống: một chương trình có thể đổi gốc của nó sang thứ gì đó như /var/spool/my_service và không còn truy cập được gì bên ngoài thư mục đó; có cả một chương trình chroot cho phép bạn chạy một chương trình với thư mục gốc mới. Kiểu cách ly này đôi khi được gọi là chroot jail (nhà tù chroot) vì các tiến trình (thường là) không thoát ra được.110 Thứ hai là tính năng giới hạn tài nguyên (rlimit) của nhân, hạn chế một tiến trình được tiêu thụ bao nhiêu thời gian CPU hoặc tệp của nó lớn đến đâu.111 Ward chốt: đó chính là những ý tưởng mà container được dựng lên trên — bạn đang thay đổi môi trường và giới hạn tài nguyên mà tiến trình chạy với.1

Cụm khái niệm 04 Concept cluster 04

LXC, Kubernetes, cạm bẫy — và một loại ảo hoá thứ ba Công cụ khác, người quản lý, và chỗ dễ vấp LXC, Kubernetes, pitfalls — and a third kind of virtualization

Ward giải thích vì sao ông chọn Docker làm trục: không chỉ vì đó là hệ thống phổ biến nhất để dựng ảnh container, mà còn vì nó rất dễ bắt đầu và dễ nhảy thẳng vào các tầng cách ly mà container thường cung cấp. Nhưng có những gói khác, với cách tiếp cận khác — và trong số đó, LXC là một trong những cái lâu đời nhất; thực tế, các phiên bản Docker đầu tiên được dựng trên LXC.112

Docker không phải công cụ duy nhất, chỉ là công cụ dễ bắt đầu nhất. Có một công cụ già hơn tên LXC, và hồi xưa Docker còn được dựng trên nó. Nhớ nhé: cái dễ dùng nhất không phải lúc nào cũng là cái có trước.

Ward explains why he chose Docker as the spine: not only because it is the most popular system for building container images, but because it makes it very easy to get started and jump into the layers of isolation containers normally provide. But other packages exist, taking different approaches — and among them LXC is one of the oldest; in fact, the first versions of Docker were built on LXC.112

Một lưu ý về thuật ngữ. Ward ghi rằng thuật ngữ LXC đôi khi được dùng để chỉ tập các tính năng nhân làm cho container khả thi, nhưng hầu hết mọi người dùng nó để chỉ cụ thể một thư viện và một gói chứa một số tiện ích để tạo và thao tác container Linux.112 Sự nhập nhằng này đáng nhớ, vì nó lặp lại chính luận điểm trung tâm của mục container: không có một thứ duy nhất tên là “container”, nên tên của công cụ dễ bị nhầm với tên của cơ chế.

Đính chính Corrections

Ba ngộ nhận mà người đọc lần đầu hay mắc Ba chỗ hay hiểu nhầm Three misconceptions first readers hit

Phần này thuộc mức đọc Đầy đủ: nó đối chiếu điều người đọc thường nghĩ với điều bản văn thật sự nói.

Phần này hơi khó, bạn có thể bỏ qua và quay lại sau. Nhớ nhé: hiểu chậm mà chắc vẫn hơn.

This block belongs to the Đầy đủ (full) reading level: it sets what readers usually assume against what the text actually says.

Tự kiểm tra Self-check

Bạn đã phân biệt được ba mức ảo hoá chưa? Thử trả lời xem nào Can you tell the three levels of virtualization apart?