如何理解LXD、全量虚拟机与Docker的概念差异？结合Travis-CI选型场景答疑

很多人刚接触公共CI平台的时候都会有这个疑问——既然测试最终都是要跑在Linux系统上，为什么平台不直接把所有测试任务扔到物理服务器上运行，非要套一层LXD、虚拟机的抽象？本质上是三个绕不开的硬问题：

• 多租户安全问题：举个最直观的例子，如果让你把自己的电脑和几百个陌生人的电脑共享同一个物理操作系统，你敢在上面跑自己的代码吗？公共CI平台承接的是全球不同用户提交的、未经审计的测试代码，直接在裸机运行意味着任意用户的脚本都能无限制访问物理机的所有资源、其他用户的文件、甚至篡改宿主机内核，不仅会造成数据泄露，还能直接把整台服务器搞瘫痪，根本没办法对外提供公开服务。
• 环境冲突问题：不同用户的测试需要的系统版本、依赖、运行时完全不同——有人要测CentOS 7的老系统兼容性，有人要测最新的Ubuntu开发版，有人需要搭配不同版本的Python、GCC、数据库。如果直接在同一台裸机上装这些依赖，用不了多久就会出现版本不兼容、依赖冲突的问题，根本没办法给每个用户提供一致的、可控的测试环境。
• 资源效率问题：单次CI测试的运行时长通常只有几分钟到几十分钟，如果给每个测试任务单独分配一台物理机，绝大多数时间物理机都是闲置的，运营成本会高到完全不可持续。虚拟化、容器化的模式就是把单台物理机的算力、存储切片成多个隔离的小环境，分时复用给不同的任务，把资源利用率提上来。

很多人选型的时候容易把LXD、全量虚拟机、Docker的概念搞混，其实三者的技术原理、隔离强度、使用体验差得非常多，实际使用中，三类环境的隔离强度排序为：全量虚拟机 > LXD > 普通权限下的Docker。

全量虚拟机（Full VM） #

• 技术本质：通过Hypervisor层（比如KVM）模拟完整的硬件栈，从引导流程开始启动一个独立的、拥有专属内核的操作系统实例。
• 核心特点：硬件级隔离，隔离强度是三类里最高的。因为有独立的内核，用户可以随便在内核里装驱动、改内核参数、跑自定义内核模块，甚至模拟其他CPU架构，几乎和在物理机上运行的体验完全一致。
• 缺点：资源开销大——每个虚拟机都需要预分配固定的内存、磁盘资源，启动一次通常需要几十秒到几分钟，单台物理机能承载的虚拟机数量很少，运营成本高。

LXD #

• 技术本质：基于Linux内核的namespaces、cgroups能力构建的系统级容器，所有LXD实例和宿主机共享同一个Linux内核，没有独立的内核实例，也不需要Hypervisor层模拟硬件。
• 核心特点：很多人刚接触LXD的时候会疑惑“这和VM有什么区别”——从实例内部的操作视角看，LXD和全量虚拟机几乎没有区别：用户可以在里面跑完整的systemd、安装系统包、配置网络、修改系统参数，得到一个“看起来完全独立”的Linux系统。但因为去掉了最厚重的硬件模拟层，直接复用宿主机内核，LXD的启动速度非常快（通常几百毫秒就能跑起来），内存按需分配，资源开销只有全量虚拟机的几分之一，单台物理机能承载的实例数量多很多。
• 缺点：因为共享宿主机内核，隔离强度比全量虚拟机弱——如果被利用内核漏洞实现逃逸，是有可能突破隔离边界访问宿主机资源的，对于公开CI平台的正常测试场景来说，这个风险完全在可控范围内。

Docker #

• 技术本质：面向应用打包的应用级容器，和LXD同属内核级的容器技术，但设计目标完全不同。
• 核心特点：Docker从设计上就不是用来给用户当完整操作系统用的——默认场景下它只会启动单个应用进程，不会跑完整的init系统，默认会屏蔽大量系统权限（比如禁止修改内核参数、禁止加载内核模块），核心是把应用和依赖打包成分层镜像，做到“一次构建到处运行”。
• 和另外两者的区别：
  • 对比全量VM：同样是没有独立内核、共享宿主机操作系统，开销极低，但隔离强度远低于全量VM。
  • 对比LXD：LXD是给你一整台独立的Linux机器的体验，Docker是给你跑单个应用的沙盒环境，默认权限更少、系统级操作的自由度更低；如果要在Docker里实现接近LXD的完整系统体验，需要额外开启大量特权配置，反而会带来安全风险。

结合三类环境的特性，在Travis上选择运行环境的时候可以直接对照自己的测试需求判断，不需要纠结概念：

• 如果你的测试涉及内核自定义、特殊硬件驱动加载、非x86架构兼容性验证、或者需要和宿主机内核完全隔离的极端系统级测试，选全量VM，避免因为共享内核带来的运行行为差异。
• 如果你需要一个完整的Linux系统环境跑测试，需要安装任意系统依赖、启动多服务、自定义网络配置，同时希望任务排队时间更短、启动更快，选LXD环境——这也是目前Travis上绝大多数Linux测试任务的默认选择，资源开销低意味着平台能同时承载的任务更多，排队等待的时间会比全量VM短很多。
• 如果你已经把应用和所有依赖打包成了独立的容器镜像，只需要验证应用在镜像内的运行状态，不需要做复杂的系统级配置，选Docker环境，启动速度最快，资源开销最低。

内容的提问来源于stack exchange，提问作者zell