Posted inVirtualization

Triển khai MicroVM với Firecracker: Khi máy ảo “nhẹ tênh” và khởi động trong tích tắc

Virtualization tutorial - IT technology blog
Virtualization tutorial - IT technology blog

Nỗi ám ảnh mang tên “ngốn tài nguyên” của máy ảo truyền thống

Cảnh tượng thanh RAM bị ngốn sạch bởi vài chục cái VM là nỗi ám ảnh kinh điển của dân SysAdmin. Nếu từng dùng VMware hay KVM, chắc hẳn bạn đã quá quen với việc ngồi chờ vài phút để một máy ảo (VM) khởi động xong. Thực tế, mỗi VM truyền thống thường ngốn ít nhất 1-2GB RAM chỉ để chạy các driver phần cứng ảo hóa không cần thiết.

Cảm giác chờ đợi này cực kỳ gây ức chế khi bạn chỉ muốn test một đoạn script ngắn trên môi trường cô lập. Thay vì làm việc ngay, bạn phải clone template, chờ boot, rồi mới SSH vào được. Quá trình này thường ngốn từ 2 đến 5 phút quý giá. Anh em mới vào nghề thường tự hỏi: Liệu có cách nào vừa bảo mật như VM, vừa nhanh nhẹn như Docker?

Tại sao Container và Hypervisor truyền thống vẫn chưa đủ tốt?

Để giải quyết bài toán này, chúng ta cần hiểu rõ giới hạn của công nghệ cũ. Các Hypervisor như QEMU vốn được thiết kế để giả lập đủ thứ, từ card âm thanh đến bàn phím. Trong môi trường Cloud Native, những thứ này hoàn toàn thừa thãi. Chúng ta chỉ cần một cái nhân (kernel) và tài nguyên CPU/RAM để chạy code.

Ngược lại, Docker lại cực kỳ nhẹ nhưng lại dùng chung kernel với máy chủ. Đây là rủi ro bảo mật lớn. Nếu một container bị hack, kẻ tấn công có thể chiếm quyền điều khiển toàn bộ server. Trong môi trường đa người dùng (multi-tenancy), lỗ hổng này là điều không thể chấp nhận được. Chúng ta cần một giải pháp nằm ở giữa: Bảo mật của VM + Tốc độ của Container.

Firecracker – Công nghệ đứng sau đế chế AWS Lambda

Firecracker là dự án mã nguồn mở do đội ngũ AWS phát triển. Nó chính là “trái tim” giúp AWS Lambda xử lý hàng tỷ yêu cầu mỗi ngày. Thay vì giả lập mọi thứ, Firecracker chỉ cung cấp những gì tối thiểu nhất để chạy một hệ điều hành Linux.

Tốc độ là điểm ăn tiền nhất ở đây. Một MicroVM có thể khởi động chỉ trong 125 mili giây. Đặc biệt, nó chỉ tốn khoảng 5MB RAM cho phần overhead. Nhờ vậy, trên một máy chủ 32GB RAM, bạn có thể chạy hàng trăm, thậm chí hàng ngàn MicroVM cùng lúc mà không lo nghẽn cổ chai.

Về kỹ thuật: Firecracker sử dụng KVM nhưng thay thế QEMU bằng một Virtual Machine Monitor (VMM) viết bằng Rust. Ngôn ngữ này giúp hệ thống vừa an toàn về bộ nhớ, vừa đạt hiệu suất cực cao.

Hướng dẫn triển khai Firecracker thực tế trên Linux

Để bắt đầu, bạn cần một máy Linux (khuyên dùng Ubuntu 22.04) và CPU hỗ trợ ảo hóa phần cứng. Hãy đảm bảo tính năng Intel VT-x hoặc AMD-V đã được bật trong BIOS.

Bước 1: Kiểm tra quyền truy cập KVM

Trước tiên, hãy chắc chắn bạn có quyền ghi vào file /dev/kvm để Firecracker có thể tương tác với phần cứng.

[ -r /dev/kvm ] && [ -w /dev/kvm ] && echo "Sẵn sàng" || echo "Lỗi: Kiểm tra lại quyền KVM"
sudo chmod +x /dev/kvm # Cấp quyền nếu cần

Bước 2: Tải Firecracker binary

Tải bản build sẵn từ GitHub là cách nhanh nhất. Hiện tại phiên bản v1.7.0 đang hoạt động rất ổn định.

release_url="https://github.com/firecracker-microvm/firecracker/releases/download/v1.7.0"
arch=`uname -m` 
wget ${release_url}/firecracker-v1.7.0-${arch} -O firecracker
chmod +x firecracker
sudo mv firecracker /usr/local/bin/

Bước 3: Chuẩn bị Kernel và Rootfs

Vì không có BIOS, Firecracker yêu cầu bạn chỉ định trực tiếp file Linux Kernel và file hệ thống. Bạn có thể dùng bản tối giản do AWS cung cấp để test nhanh:

# Tải Kernel (đã lược bỏ driver thừa)
wget https://s3.amazonaws.com/spec.ccfc.min/img/quickstart_guide/x86_64/kernels/vmlinux.bin

# Tải Rootfs (dung lượng chỉ vài chục MB)
wget https://s3.amazonaws.com/spec.ccfc.min/img/quickstart_guide/x86_64/rootfs/hello-rootfs.ext4

Bước 4: Điều khiển MicroVM qua REST API

Điểm khác biệt thú vị là Firecracker không có GUI. Nó giao tiếp qua Unix Socket bằng REST API. Điều này cực kỳ thuận tiện cho việc viết script tự động hóa.

Mở terminal thứ nhất và khởi động socket:

rm -f /tmp/firecracker.socket
firecracker --api-sock /tmp/firecracker.socket

Mở terminal thứ hai để cấu hình bằng curl:

# 1. Khai báo Kernel
curl --unix-socket /tmp/firecracker.socket -X PUT \
  'http://localhost/boot-source' \
  -H 'Content-Type: application/json' \
  -d '{
        "kernel_image_path": "vmlinux.bin",
        "boot_args": "console=ttyS0 reboot=k panic=1 pci=off"
    }'

# 2. Cấu hình ổ đĩa
curl --unix-socket /tmp/firecracker.socket -X PUT \
  'http://localhost/drives/rootfs' \
  -H 'Content-Type: application/json' \
  -d '{
        "drive_id": "rootfs",
        "path_on_host": "hello-rootfs.ext4",
        "is_root_device": true,
        "is_read_only": false
    }'

# 3. Lệnh khởi động
curl --unix-socket /tmp/firecracker.socket -X PUT \
  'http://localhost/actions' \
  -H 'Content-Type: application/json' \
  -d '{"action_type": "InstanceStart"}'

Ngay khi nhấn Enter lệnh cuối cùng, hãy nhìn sang terminal thứ nhất. Bạn sẽ thấy màn hình login hiện ra gần như tức thì. Đăng nhập với user/pass mặc định là root/root.

Kinh nghiệm xương máu khi chạy Firecracker

Dựa trên thực tế vận hành homelab với Proxmox, mình rút ra một điều: Firecracker cực kỳ kén Kernel. Bạn không thể lấy bừa file vmlinuz từ Ubuntu ra chạy. Bạn phải tự compile kernel với các flag đặc thù để đạt tốc độ mili giây như quảng cáo.

Thứ hai là bài toán Networking. Firecracker dùng TAP interface. Để MicroVM ra được internet, bạn cần am hiểu về Bridge hoặc IP Tables trên máy chủ. Nếu mới bắt đầu, hãy tập trung làm chủ việc quản lý tài nguyên qua API trước khi nhảy vào phần mạng phức tạp.

Nếu dự án của bạn cần hệ thống CI/CD chạy hàng nghìn test case riêng biệt hoặc bạn muốn tự build một nền tảng FaaS (Function as a Service), Firecracker chính là vũ khí hạng nặng. Đừng sợ sai. Cứ thử phá nát cái socket đó rồi dựng lại, bạn sẽ thấy mình lên tay rất nhanh.

Share:
Tags: