Laboratorio de aislamiento de invitados multiinquilino
Toma las decisiones de aislamiento que impone un host multiinquilino hostil: KSM, red, modelo de kernel, SMT, almacenamiento y ubicación.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Cargas de trabajo de desconocidos comparten un host y ninguna confía en las demás. Este laboratorio en el navegador te hace tomar las decisiones de diseño que impone un host lleno de inquilinos que no se fían entre sí: memoria, red, modelo de kernel, planificación de la CPU, almacenamiento, ubicación y la suposición de confianza de fondo. Cada ronda enfrenta la densidad y la comodidad al aislamiento: la opción barata y sencilla (L2 compartida, KSM en todo el host, contenedores con kernel compartido, coubicación libre) es casi siempre la que permite a un inquilino llegar a otro. Practica los canales reales entre inquilinos: las fugas por temporización de la deduplicación de KSM, L1TF/MDS entre hilos hermanos de SMT, la debilidad de los contenedores con kernel compartido y la remanencia de DMA o de dispositivos en el passthrough compartido. Se te puntúa por las decisiones correctas, con una penalización adicional por caer en la trampa tentadora de la densidad, y tras la calificación cada decisión explica qué le habría permitido hacer a un inquilino hostil la opción barata. Funciona por completo en tu navegador: no hay que instalar nada ni se envía nada. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos y después necesitas Pro.
- Lee cada ronda: un host compartido por inquilinos que no confían entre sí.
- Decide sobre la deduplicación de memoria (KSM), la segmentación de red, el modelo de kernel, la planificación de núcleos SMT, el almacenamiento y la ubicación.
- Evita la trampa de la densidad: la opción barata suele ser la insegura.
- Revisa la calificación y lo que la opción barata habría permitido a un inquilino hostil.
Preguntas frecuentes
¿Qué es el laboratorio de aislamiento de invitados multiinquilino?
Un laboratorio de decisiones en el navegador ambientado en un host donde inquilinos no confiables comparten el hardware. Tomas las decisiones de aislamiento que importan: si activar la deduplicación de memoria (KSM), cómo segmentar la red, si compartir el kernel del host o dar a cada inquilino el suyo, cómo asignar los inquilinos a los núcleos de la CPU, cómo aprovisionar el almacenamiento, dónde colocar las cargas sensibles y si tratar una fuga del invitado como posible. Cada decisión se puntúa frente a la respuesta endurecida.
¿Por qué la opción «eficiente» es tan a menudo la equivocada?
Porque la densidad y el aislamiento tiran en direcciones opuestas. Deduplicar la memoria entre inquilinos ahorra RAM pero crea un canal lateral de temporización; una L2 compartida y plana es lo más sencillo pero pone a todos los inquilinos en un mismo dominio de difusión; los contenedores con kernel compartido son ligeros pero dejan a cada inquilino a un fallo del kernel del host de los demás; juntar inquilinos sensibles y sin revisar maximiza el aprovechamiento y maximiza el radio de impacto. En un host no confiable, la opción barata por defecto suele ser la insegura.
¿Los canales laterales son reales?
Sí. La temporización de la deduplicación de KSM entre máquinas virtuales, L1TF/Foreshadow y MDS/ZombieLoad filtrando entre hilos hermanos de SMT, y la remanencia de DMA o de dispositivos en el passthrough PCI reutilizado son clases establecidas y demostradas: por eso los proveedores de nube desactivan la cotenencia en SMT, vacían los búferes de la CPU, aplican microcódigo y evitan la deduplicación de memoria entre inquilinos. El laboratorio los describe por clase en lugar de citar números de CVE.
¿Para quién es?
Para ingenieros de plataformas de nube y de virtualización, SRE que construyen infraestructura multiinquilino y responsables de seguridad que necesitan razonar sobre de dónde viene realmente el aislamiento entre inquilinos. Funciona por completo en el cliente.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba; después necesitas Pro.