Tipos de hipervisores y comparativa
Compara KVM, Xen, ESXi, Hyper-V, QEMU, Proxmox, Firecracker, gVisor, Kata y Nitro: tipo 1 frente a tipo 2 frente a microVM, con su modelo de aislamiento y su superficie de ataque.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Compara lado a lado 10 hipervisores y tecnologías de aislamiento de máquinas virtuales (KVM, Xen, VMware ESXi, Microsoft Hyper-V, QEMU, Proxmox, Firecracker, gVisor, Kata Containers y AWS Nitro), ordenados según la taxonomía tipo 1 (bare-metal) frente a tipo 2 (alojado) frente a microVM frente a sandbox. Cada entrada muestra su modelo de aislamiento, dónde está el límite de confianza, la superficie de ataque real y las vulnerabilidades históricas destacadas, como VENOM (CVE-2015-3456) en el modelo de dispositivos de QEMU o L1TF/Foreshadow (CVE-2018-3646), un canal lateral de CPU entre máquinas virtuales. La lección de fondo: la superficie de ataque real entre invitado y anfitrión es el código de emulación de dispositivos y el kernel compartido del anfitrión, no el delgado núcleo del hipervisor; por eso «quita los dispositivos emulados que no uses» y «parchea el kernel del anfitrión» son las reglas de bastionado fundamentales. Todo funciona en tu navegador. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Elige una categoría: tipo 1 (bare-metal), tipo 2 (alojado), microVM o sandbox.
- Abre cada hipervisor para ver su modelo de aislamiento, dónde está el límite de confianza y su superficie de ataque.
- Revisa las vulnerabilidades históricas de cada entrada (por ejemplo VENOM o L1TF/Foreshadow).
- Lleva lo aprendido a tu entorno: quita los dispositivos emulados que no uses y parchea el kernel y el microcódigo del anfitrión.
Preguntas frecuentes
¿Qué es un hipervisor?
Un hipervisor (también llamado monitor de máquinas virtuales, o VMM) es la capa de software que crea y ejecuta máquinas virtuales. Se sitúa entre el hardware físico y uno o varios sistemas operativos invitados, da a cada invitado su propia CPU, memoria, almacenamiento y dispositivos de red virtuales, y reparte esos recursos virtuales sobre el hardware real. Sobre todo, impone el aislamiento: una máquina virtual no debería poder leer la memoria de otra ni la del anfitrión. Los hipervisores modernos usan las extensiones de virtualización de la CPU (Intel VT-x, AMD-V) para que el código invitado se ejecute en el procesador real a una velocidad casi nativa, y el hipervisor solo interviene en las operaciones privilegiadas.
¿Qué diferencia hay entre un hipervisor de tipo 1 y uno de tipo 2?
Un hipervisor de tipo 1 (nativo o bare-metal) se ejecuta directamente sobre el hardware, sin un sistema operativo de propósito general debajo; como mucho, un dominio de control privilegiado y delgado. VMware ESXi, Xen, Microsoft Hyper-V y KVM son de tipo 1. Como su base de confianza es pequeña y está hecha a propósito, el tipo 1 es el estándar en servidores y en la nube. Un hipervisor de tipo 2 (alojado) se ejecuta como una aplicación sobre un sistema operativo convencional (Linux, Windows, macOS); el sistema anfitrión controla el hardware y el hipervisor le pide los recursos. QEMU por sí solo y las aplicaciones de máquinas virtuales de escritorio son de tipo 2. El tipo 2 es cómodo para portátiles y laboratorios, pero todo el sistema operativo anfitrión forma parte de la superficie de ataque, así que la base de confianza es mucho mayor.
¿KVM es un hipervisor de tipo 1 o de tipo 2?
KVM suele clasificarse como tipo 1, con matices. KVM es un módulo del kernel de Linux que convierte al propio kernel del anfitrión en un hipervisor bare-metal mediante la virtualización por hardware: el código invitado se ejecuta directamente en la CPU, sin emulación, que es el rasgo distintivo del tipo 1. El matiz es que KVM depende de un sistema Linux completo a su alrededor (y de un VMM en espacio de usuario como QEMU para el modelo de dispositivos), así que hay quien lo llama híbrido o sostiene que se comporta como un tipo 2. La respuesta práctica: KVM ofrece un rendimiento y un aislamiento de clase tipo 1, y es el motor de la mayoría de las nubes Linux y de plataformas como Proxmox, Firecracker y Kata Containers.
¿Qué diferencia hay entre el aislamiento de una máquina virtual y el de un contenedor?
Una máquina virtual está aislada por el hardware y el hipervisor: cada una tiene su propio kernel invitado y la CPU impone el límite entre invitados, así que un escape de máquina virtual exige vencer al hipervisor o al silicio. Los contenedores comparten el kernel del anfitrión: el aislamiento lo imponen funciones del kernel (namespaces, cgroups, seccomp, capabilities), así que una sola vulnerabilidad del kernel del anfitrión puede permitir que un contenedor escape al anfitrión o a un contenedor vecino. Por eso las máquinas virtuales son el límite más fuerte para cargas no confiables o multiinquilino, a cambio de más sobrecarga. Esa brecha es la razón de ser de tecnologías como Firecracker y Kata Containers (máquinas virtuales ligeras por carga de trabajo) y gVisor (un kernel en espacio de usuario que intercepta las llamadas al sistema): dan la ergonomía de los contenedores con un límite más fuerte, de tipo máquina virtual o con filtrado de llamadas al sistema.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.