VPS-Virtualisierung: vollwertiger Server oder Container?

VPS-Virtualisierung entscheidet darüber, ob auf Ihrem gemieteten Server später Docker, Windows oder die Suchfunktion eines Online-Shops läuft. Zwei Tarife mit vier Kernen und acht Gigabyte Arbeitsspeicher können sich unterscheiden wie eine Wohnung und ein Hotelzimmer. Die Virtualisierungsplattform Proxmox lässt in ihren Containern ausschließlich Linux-Distributionen zu.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Für Agenturen, Entwickler und Shop-Betreiber sieht ein VPS-Angebot zunächst aus wie jedes andere, mit Kernen, Arbeitsspeicher, Speicherplatz und Monatspreis in einer Zeile. Ob ein Tarif zu Ihrem Projekt passt, hängt aber von der zugrunde liegenden Technik ab. Ein vollvirtualisierter Server bringt einen eigenen Kernel mit, ein Container nutzt den Kernel des Host-Systems gemeinsam mit allen anderen Kunden auf derselben Maschine. Welche Folgen der Unterschied für Ressourcen, Software und Betriebssystem hat, lesen Sie hier.

Das Wichtigste in Kürze

Ein vollvirtualisierter VPS startet einen eigenen Kernel, ein Container-VPS nutzt den Kernel des Host-Systems mit.
Zugesagte Kerne und Arbeitsspeicher sind bei beiden Techniken nur so verlässlich, wie der Anbieter seine Hosts belegt; auf virtuellen Maschinen zeigt der Wert st in der Ausgabe von top den Engpass.
Docker, eigene Kernelmodule und Parameter wie vm.max_map_count für OpenSearch setzen im Container die Mitwirkung des Anbieters voraus.
Staging-Umgebungen, Kundenprojekte und Shops mit eigener Software laufen auf einer eigenen virtuellen Maschine verlässlicher, für einfache Websites genügt oft ein Container.

Was unterscheidet einen vollvirtualisierten VPS von einem Container?

Zwei VPS-Servergehäuse und ein Elektromotor auf weißem Grund — Vollvirtualisierter VPS mit eigenem Kernel versus Container-VPS, der den Host-Kernel teilt

Ein vollvirtualisierter VPS ist eine komplette virtuelle Maschine mit eigenem Kernel, die ein Hypervisor auf der Hardware abbildet. Ein Container-VPS ist dagegen eine abgeschottete Prozessumgebung, die den Kernel des Host-Systems mitbenutzt.

Das Bundesamt für Sicherheit in der Informationstechnik beschreibt den Unterschied im IT-Grundschutz-Kompendium nüchtern. Bei Containern wird kein vollständiges Betriebssystem virtualisiert, ein geteilter Kernel stellt nur bestimmte Ressourcen bereit. Die Trennung übernehmen Linux-Mechanismen wie Namespaces und cgroups, als typische System-Container nennt das BSI OpenVZ und LXC.

Am Markt laufen beide Techniken unter dem Namen VPS. OpenVZ bezeichnet seine Container auf der eigenen Projektseite ausdrücklich als virtuelle private Server. Hoster vermarkten vollvirtualisierte Maschinen häufig unter Bezeichnungen wie KVM VPS, Container-Tarife erkennen Sie an Hinweisen auf OpenVZ, Virtuozzo oder LXC. Fehlt im Tarif jede Angabe zur Virtualisierung, lohnt vor der Bestellung eine Nachfrage beim Anbieter.

Gegenüber dem Shared Hosting bieten beide Varianten Root-Zugriff und eine eigene Konfiguration. Wann sich der Wechsel auf einen VPS für professionelle Webprojekte lohnt, zeigt ein eigener Beitrag. Für die Wahl zwischen den beiden Techniken zählen vier Punkte: Ressourcen, Kernel, Betriebssystem und Einsatzzweck.

Merkmal	Vollvirtualisierung	Container-Virtualisierung
Kernel	eigener Kernel je Server	Kernel des Host-Systems, für alle Kunden derselbe
Betriebssysteme	Linux, Windows, BSD und weitere	nur Linux-Distributionen
Kernelmodule und Kernelparameter	frei einstellbar	nur mit Freigabe des Anbieters
Docker	läuft ohne Sonderfreigabe	braucht Optionen, die der Anbieter am Host setzt
Trennung der Kunden	Hypervisor	Namespaces und cgroups im gemeinsamen Kernel
Laufzeitkosten der Technik	höher, jede Maschine startet ein eigenes System	gering, von Proxmox als meist vernachlässigbar eingestuft

Vollvirtualisierung und Container-Virtualisierung im direkten Vergleich

Wo der Kernel sitzt

Aufbau eines vollvirtualisierten VPS und eines Container-VPS im Vergleich

Vollvirtualisierung

Ihre AnwendungenWebserver, Datenbank, Docker, Shop

Ihr Betriebssystem mit eigenem KernelLinux, Windows oder BSD nach Wahl

Virtuelle HardwareKerne, Arbeitsspeicher, Datenträger

Hypervisortrennt die Maschinen voneinander

Physischer Server des Anbieters

Container-Virtualisierung

Ihre AnwendungenWebserver, Datenbank, Shop

Linux-Umgebung aus der Vorlageohne eigenen Kernel

Namespaces und cgroupstrennen die Container voneinander

Kernel des Host-Systemsfür alle Kunden auf dem Host derselbe

Physischer Server des Anbieters

liegt in Ihrer Handteilen Sie mit anderen Kunden

Wie verlässlich sind die zugesagten Ressourcen?

Runde, in 12 Stücke geteilte weiße Torte mit blauem Fähnchen auf weißem Grund — Mehr zugesagte Kerne als physisch vorhanden: Überbuchung fällt erst unter Last auf.

Zugesagte Kerne und Arbeitsspeicher sind bei beiden Techniken nur so verlässlich, wie der Anbieter seine Hosts belegt. Im Tarif sollte stehen, ob Ressourcen fest reserviert oder nur „bis zu“ zugesagt sind.

Container-Technik ist auf geteilte Ressourcen ausgelegt. OpenVZ wirbt auf der eigenen Projektseite damit, Prozessor, Arbeitsspeicher und Speicherplatz dynamisch zwischen den Containern zu verteilen. Für den Anbieter steigt so die Auslastung, für Sie wird die Leistung zur Frage der Nachbarschaft.

Auch ein Hypervisor kann mehr virtuelle Kerne vergeben, als physisch vorhanden sind. Das BSI warnt im Baustein SYS.1.5 Virtualisierung, dass sich virtuelle Maschinen bei knappen Ressourcen gegenseitig stören, und empfiehlt bei erhöhtem Schutzbedarf, die Überbuchung abzuschalten. Für einen Shop im Weihnachtsgeschäft taugt die BSI-Empfehlung als Maßstab.

Den Engpass messen Sie im laufenden Betrieb selbst. Auf einer virtuellen Maschine zeigt der Befehl top bei den CPU-Werten das Kürzel st, laut Handbuch die Zeit, die der Hypervisor Ihrer Maschine entzogen hat. Steigt die Steal Time unter Last regelmäßig an, rechnen andere Kunden auf denselben physischen Kernen mit.

Auf den Punkt

Ein Tarif mit fest reservierten Kernen ist mehr wert als ein „bis zu“ mit größeren Zahlen. Auf vollvirtualisierten Servern zeigt der Wert st in der Ausgabe von top, ob andere Kunden Rechenzeit abziehen.

Warum zählt der eigene Kernel?

Sicherungskasten mit Vorhängeschloss und Anhänger — Im Container legt der Anbieter die Schalter am Kernel um, auch die Freigabe für Docker.

Mit eigenem Kernel bestimmen Sie selbst, welche Kernelversion läuft, welche Module geladen sind und welche Systemparameter gelten. Im Container gilt die Einstellung des Anbieters für alle Kunden auf dem Host, Änderungen am Kernel selbst sind dort nicht möglich.

Spürbar wird der Unterschied zuerst bei Docker. Die Proxmox-Dokumentation nennt für Docker in unprivilegierten Containern eine Option, die ab Werk ausgeschaltet ist. Ohne diese Freigabe startet Docker im Container nicht. Den Schalter am Host legt allein der Anbieter um. Für maximale Isolation empfiehlt Proxmox, Container in einer virtuellen Maschine zu betreiben.

Für Teams, die ihre Anwendungen ohnehin als Container ausliefern, bleibt der vollvirtualisierte Server deshalb die stabilere Basis. Welche Neuerungen Podman 6.0 für Container-Workflows bringt, beschreibt ein eigener Beitrag.

Vor demselben Problem steht die Suchfunktion größerer Online-Shops. OpenSearch verlangt für den Produktivbetrieb unter Linux den Kernelparameter vm.max_map_count mit mindestens 262.144 und weist ausdrücklich darauf hin, dass der Wert auch beim Docker-Image auf dem Host gesetzt sein muss. Auf einem Container-VPS gehört dieser Host dem Anbieter.

Der gemeinsame Kernel hat auch Folgen für die Sicherheit. Das BSI beschreibt im Baustein SYS.1.6 Containerisierung den Container-Ausbruch, bei dem Angreifer über Schwachstellen im Kernel auf andere Container oder den Host übergreifen. Als wirksamere Isolation nennt das Amt unter anderem den Betrieb von Containern mit Hypervisoren.

Auf den Punkt

Eigene Kernelversion, eigene Module und Parameter wie vm.max_map_count bietet nur die Vollvirtualisierung. Im Container hat der Anbieter das letzte Wort, auch darüber, ob Docker läuft.

Welches Betriebssystem dürfen Sie installieren?

Ein Schlüsselbrett mit vier beschrifteten Schlüsselanhängern — Container bieten nur Linux-Vorlagen, Windows und FreeBSD brauchen eine eigene virtuelle Maschine.

Auf einem vollvirtualisierten VPS installieren Sie jedes Betriebssystem, das auf der virtuellen Hardware läuft, von Debian über FreeBSD bis Windows Server. Ein Container-VPS bietet nur Linux-Distributionen, die auf dem Kernel des Hosts laufen.

Die Proxmox-Dokumentation hält fest, dass in Containern ausschließlich Linux-Distributionen laufen, FreeBSD oder Microsoft Windows dagegen nicht. Welche Versionen zur Auswahl stehen, bestimmt der Anbieter über seine Vorlagen.

Agenturen brauchen die freie Wahl häufiger, als der erste Blick vermuten lässt. Eine Windows-Anwendung eines Kunden, ein Testsystem mit der Distribution des Produktivservers oder ein eigenes ISO-Abbild setzen eine eigene virtuelle Maschine voraus. Bei Windows Server klären Sie am besten vorab, ob die Lizenz im Monatspreis enthalten ist.

Auf den Punkt

Windows, FreeBSD oder ein eigenes ISO-Abbild verlangen eine vollvirtualisierte Maschine. Container bieten nur die Linux-Vorlagen des Anbieters.

Welche Technik passt zu Staging, Kundenprojekten und Online-Shops?

Drei Kartons mit blauen Etiketten — Getrennte virtuelle Maschinen für Staging, Kundenprojekte und Shop schützen vor Nebenwirkungen.

Für Staging-Umgebungen, Kundenprojekte mit eigener Software und Online-Shops mit Suchserver oder Docker-Stack passt ein vollvirtualisierter VPS. Ein Container genügt für einfache Websites, kleine Dienste und Tests, bei denen Kernel und Betriebssystem keine Rolle spielen.

Eine Staging-Umgebung soll das Produktivsystem möglichst genau abbilden, mit derselben Distribution, derselben PHP-Version und denselben Diensten. Auf einer eigenen virtuellen Maschine gelingt die Kopie bis zur Kernelversion. Im Container weichen Kernel und Ressourcengrenzen vom Original ab, Unterschiede fallen dann womöglich erst nach dem Livegang auf.

Agenturen mit mehreren Kundenprojekten trennen die Projekte am saubersten mit einer virtuellen Maschine pro Kunde. Eine Lücke im gemeinsamen Kernel würde sonst alle Kunden auf demselben Host betreffen. Die Trennung entspricht der Empfehlung des BSI für Container mit erhöhtem Schutzbedarf.

Bei Online-Shops bestimmt die Software die Wahl. Ein kleiner Shop auf einem gängigen PHP-Stack läuft auch im Container stabil. Sobald OpenSearch oder ein Deployment mit Docker dazukommt, braucht der Shop die Freiheiten des eigenen Kernels und für das Saisongeschäft fest reservierte Ressourcen.

Einsatzfall	Empfehlung	Ausschlaggebend
Staging-Umgebung	Vollvirtualisierung	Abbild des Produktivsystems bis zur Kernelversion
Kundenprojekte einer Agentur	Vollvirtualisierung, eine Maschine je Kunde	Trennung durch den Hypervisor statt durch den gemeinsamen Kernel
Online-Shop mit Suchserver oder Docker	Vollvirtualisierung	Kernelparameter wie vm.max_map_count, Docker ohne Sonderfreigabe
Einfache Website oder Landingpage	Container genügt	geringe Laufzeitkosten, Linux-Vorlage reicht aus
Kurzlebige Tests und kleine Dienste	Container genügt	schneller Start, kein eigenes Betriebssystem nötig

Welche Virtualisierung zu welchem Projekt passt: die Einschätzung der Redaktion

Ein Container-VPS mit vier Kernen bleibt Untermieter im Kernel des Anbieters, selbst Docker läuft nur mit dessen Erlaubnis.
Markus Seyfferth, Chefredakteur Dr. Web

Unsere Einschätzung: Auf dem Datenblatt sehen Container und vollvirtualisierte Maschine oft gleich aus, im Betrieb liegt zwischen beiden ein ganzes Betriebssystem. Wer Tarife allein nach Kernen und Gigabyte gegenüberstellt, vergleicht deshalb schnell Äpfel mit Birnen. Für Projekte, die Umsatz bringen oder Kundendaten verarbeiten, ist der eigene Kernel die solidere Grundlage. Welche Tarife dafür infrage kommen, zeigt der VPS-Hosting-Vergleich von Dr. Web.

Fünf Fragen vor der Bestellung

So prüfen Sie, ob ein VPS-Tarif zu Ihrem Projekt passt

Welche Technik steckt im Tarif?

systemd-detect-virt –container

Nennt der Befehl openvz oder lxc, mieten Sie einen Container.

Sind Kerne und Arbeitsspeicher fest reserviert?

fest oder „bis zu“

Überbuchte Hosts werden genau dann langsam, wenn Ihr Shop unter Last steht.

Dürfen Sie Kernelparameter setzen?

vm.max_map_count=262144

OpenSearch braucht den Wert auf dem Host, nicht nur im Image.

Läuft Docker ohne Sonderfreigabe?

docker run hello-world

Im Container hängt Docker an Schaltern des Anbieters.

Welche Systeme stehen zur Wahl?

eigenes ISO-Abbild

Windows und FreeBSD setzen eine eigene virtuelle Maschine voraus.

Glossar: 11 wichtige Fachbegriffe zur VPS-Virtualisierung

Aufgeschlagenes Notizbuch mit einem Netzwerkkabel und dem Anhänger „Netzwerk-Suche“ — Von cgroups bis Vollvirtualisierung: die wichtigsten Begriffe rund um den virtuellen Server.

cgroups

cgroups (Control Groups) sind ein Mechanismus des Linux-Kernels, der festlegt, wie viel Prozessor, Arbeitsspeicher oder Datenträgerzugriff eine Gruppe von Prozessen nutzen darf. Container-Plattformen begrenzen damit die Ressourcen jedes Containers. Wie streng die Grenzen ausfallen, bestimmt der Betreiber des Hosts.

Container-Virtualisierung

Container-Virtualisierung trennt Prozessumgebungen auf einem gemeinsamen Linux-Kernel voneinander ab, statt komplette Maschinen nachzubilden. Bekannte Umsetzungen für Server sind OpenVZ und LXC. Die Technik arbeitet sparsam, erlaubt aber nur Linux-Systeme und keine Eingriffe in den Kernel.

Hypervisor

Ein Hypervisor ist die Software, die auf einem physischen Server mehrere virtuelle Maschinen startet und ihnen Prozessor, Arbeitsspeicher und Geräte zuteilt. Jede Maschine erhält virtuelle Hardware und bootet ein eigenes Betriebssystem. Der Hypervisor trennt die Kunden stärker voneinander als ein gemeinsamer Kernel.

Kernel

Der Kernel bildet die unterste Softwareschicht eines Betriebssystems und vermittelt zwischen Hardware und Programmen. Der Kernel verwaltet Prozesse, Arbeitsspeicher, Netzwerkzugriffe und Treiber. Beim VPS entscheidet die Frage, ob Sie einen eigenen Kernel erhalten oder den des Hosts mitbenutzen, über Kernelversion, Module und Systemparameter.

Namespaces

Namespaces sind ein Linux-Mechanismus, der festlegt, welche Ressourcen ein Prozess sieht, etwa Prozessnummern, Netzwerk oder Dateisysteme. Container nutzen mehrere Namespaces gleichzeitig, damit sich Kunden auf demselben Host nicht gegenseitig sehen. Die Trennung findet dabei im gemeinsamen Kernel statt.

Root-Zugriff

Root-Zugriff bezeichnet die vollen Administratorrechte auf einem Linux-System. Damit installieren Sie Software, ändern Konfigurationen und verwalten Benutzer. Im Container endet dieser Zugriff an der Grenze zum Host, Kernel und Kernelparameter bleiben in der Hand des Anbieters.

Staging-Umgebung

Eine Staging-Umgebung ist eine Testkopie des Produktivsystems, auf der Updates, neue Funktionen oder Plugins vor dem Livegang geprüft werden. Aussagekräftig ist der Test nur, solange Distribution, Softwareversionen und Systemeinstellungen dem Original entsprechen. Agenturen betreiben solche Testsysteme häufig auf einem eigenen VPS.

Steal Time

Steal Time ist die Rechenzeit, die der Hypervisor einer virtuellen Maschine entzieht, weil andere Maschinen auf denselben physischen Kernen rechnen. Der Befehl top zeigt den Anteil als Wert st. Hohe Werte unter Last deuten auf einen überbuchten Host hin.

Überbuchung

Überbuchung (Overcommitment) heißt, dass ein Anbieter mehr Kerne, Arbeitsspeicher oder Speicherplatz an virtuelle Server vergibt, als physisch vorhanden ist. Solange nicht alle Kunden gleichzeitig Last erzeugen, bleibt die Überbuchung unbemerkt. Das BSI rät bei erhöhtem Schutzbedarf, Überbuchungsfunktionen abzuschalten.

vCPU

Eine vCPU ist ein virtueller Prozessorkern, den ein Hypervisor einer virtuellen Maschine zuteilt. Hinter einer vCPU steht in der Regel ein Rechenstrang eines physischen Prozessors, den sich je nach Tarif mehrere Kunden teilen. Dedizierte vCPUs sind dagegen einem Kunden fest zugeordnet.