Docker o macchina virtuale: differenze e quale scegliere per il proprio server

Quando bisogna installare un’applicazione su un server, prima o poi nasce la stessa domanda: meglio creare una macchina virtuale oppure usare Docker?

A prima vista sembrano due modi diversi per ottenere lo stesso risultato. In entrambi i casi è possibile separare applicazioni, assegnare risorse e spostare i servizi da un sistema all’altro. Sotto il cofano, però, macchine virtuali e container funzionano in modo molto diverso. Capire questa differenza evita di costruire un’infrastruttura inutilmente pesante o difficile da gestire.

Che cos’è una macchina virtuale?

Una macchina virtuale, spesso abbreviata in VM, si comporta come un computer indipendente. Possiede processori virtuali, memoria, dischi, schede di rete e un proprio sistema operativo.

Il software che crea e gestisce le VM si chiama hypervisor. Proxmox VE, VMware ESXi, Microsoft Hyper-V e KVM sono alcuni degli esempi più conosciuti.

Su un singolo server fisico si possono quindi eseguire più sistemi separati:

• una VM con Debian per il sito web;

• una VM con Windows Server per un programma gestionale;

• una VM con Ubuntu per il database;

• una macchina dedicata ai test;

• un firewall virtuale.

Ogni ambiente ha il proprio kernel e può essere riavviato, aggiornato o riconfigurato senza intervenire direttamente sugli altri.

Questa indipendenza richiede risorse. Anche una VM che esegue una sola piccola applicazione deve avviare un intero sistema operativo. Servono quindi RAM, spazio su disco e una parte della capacità del processore.

Come funziona un container Docker?

Un container non simula un computer completo. È un processo isolato che contiene l’applicazione, le librerie e i file necessari al suo funzionamento.

Più container eseguiti sullo stesso host condividono il kernel del sistema operativo. Per questo motivo richiedono generalmente meno risorse rispetto alle macchine virtuali e si avviano in pochi secondi.

Un server Docker può ospitare, per esempio:

• un container con Nginx;

• uno con PostgreSQL;

• uno con Nextcloud;

• uno con un sistema di monitoraggio;

• uno con un’applicazione sviluppata internamente.

L’hardware resta comunque importante. Se si prevede di eseguire molti servizi, database pesanti o più VM insieme ai container, servono abbastanza core, RAM, spazio e possibilità di espansione. Sul sito Servermall è possibile confrontare diverse configurazioni di server nuovi e ricondizionati prima di scegliere la piattaforma fisica.

La differenza principale: sistema completo o singola applicazione

La distinzione più semplice è questa: una VM virtualizza un computer, mentre Docker isola un’applicazione.

Una macchina virtuale può utilizzare un sistema operativo differente da quello dell’host. Su un hypervisor installato su hardware x86 è possibile eseguire contemporaneamente distribuzioni Linux e Windows Server.

Un container, invece, usa il kernel dell’host. Un container Linux non contiene un kernel Linux completo: utilizza quello del server su cui viene eseguito. L’immagine include solo i componenti necessari all’applicazione.

Questo rende Docker leggero e veloce, ma meno adatto quando serve un sistema operativo completamente indipendente.

Consumo di RAM e spazio su disco

Una VM deve riservare memoria sufficiente al sistema operativo e ai programmi installati. Anche un piccolo server Linux può occupare una parte della RAM prima ancora di avviare l’applicazione principale.

Le immagini Docker sono spesso più compatte. Diversi container possono inoltre condividere gli stessi livelli di un’immagine, evitando di duplicare alcuni file sul disco.

Questo non significa che Docker renda leggero qualsiasi software. Un database che usa 16 GB di RAM continuerà ad averne bisogno anche dentro un container. Il risparmio riguarda soprattutto il sistema operativo e i componenti duplicati.

Su un server con risorse limitate, Docker permette generalmente di eseguire più servizi. Su una macchina con molta RAM, la differenza può essere meno importante rispetto alle esigenze di isolamento e amministrazione.

Quale soluzione offre più isolamento?

Una macchina virtuale offre un confine più netto. Ogni VM utilizza un proprio kernel e vede hardware virtuale separato. Un problema grave all’interno di una macchina non dovrebbe coinvolgere direttamente le altre.

I container sono isolati, ma condividono il kernel dell’host. Una vulnerabilità nel kernel o una configurazione troppo permissiva può quindi avere conseguenze più ampie.

Questo non rende Docker automaticamente insicuro. Bisogna però usarlo con alcune attenzioni:

• evitare container eseguiti con privilegi non necessari;

• non montare cartelle sensibili dell’host;

• aggiornare immagini e sistema operativo;

• non pubblicare porte che non devono essere raggiungibili;

• proteggere password e chiavi;

• usare immagini provenienti da fonti affidabili;

• controllare regolarmente le vulnerabilità conosciute.

Per servizi molto delicati o appartenenti a clienti diversi, una VM può aggiungere un livello utile di separazione. In altri casi, container configurati correttamente sono più che adeguati.

Backup: copiare il container non basta

Uno degli errori più comuni è considerare il container come un pacchetto completo che contiene anche tutti i dati. In realtà dovrebbe essere trattato come qualcosa di sostituibile.

Database, documenti e configurazioni persistenti vengono normalmente salvati in volumi Docker o in directory montate dall’host. Se si elimina un container, questi dati devono restare disponibili.

Un backup corretto deve quindi includere:

1. i dati persistenti;

2. i file di configurazione;

3. il file Compose o le istruzioni di distribuzione;

4. le credenziali conservate in modo sicuro;

5. una procedura provata per ripristinare il servizio.

Per una VM è possibile creare un backup dell’intero disco virtuale. È comodo, ma non elimina la necessità di backup coerenti delle applicazioni. Copiare una VM mentre un database sta scrivendo dati può produrre un salvataggio inutilizzabile.

Aggiornamenti e manutenzione

In una macchina virtuale si entra nel sistema operativo e si aggiornano pacchetti, servizi e kernel. Col tempo possono accumularsi configurazioni manuali, vecchie librerie e modifiche difficili da ricordare.

Con Docker è più comune sostituire il vecchio container con uno creato da un’immagine aggiornata. Il processo è rapido e ripetibile, soprattutto quando la configurazione è descritta in un file compose.yaml.

Questa semplicità funziona solo se i dati persistenti sono gestiti bene. Aggiornare alla cieca un’immagine contenente un database o un’applicazione con importanti modifiche interne può comunque provocare problemi. Prima dell’aggiornamento servono backup e lettura delle note di rilascio.

Prestazioni: Docker è sempre più veloce?

I container hanno meno overhead perché non devono eseguire un sistema operativo completo per ogni applicazione. In molti carichi di lavoro le prestazioni sono molto vicine a quelle dell’host.

Le moderne tecnologie di virtualizzazione, però, sono efficienti. Una VM configurata correttamente non è necessariamente lenta, soprattutto quando utilizza driver paravirtualizzati e uno storage adeguato.

Le differenze reali dipendono dal tipo di attività:

• un’applicazione web leggera funziona bene in entrambi gli ambienti;

• un database sensibile alla latenza richiede particolare attenzione allo storage;

• un software che usa una GPU può avere esigenze specifiche di passthrough;

• un programma legacy potrebbe non supportare i container;

• un servizio con molto traffico dipende anche dalla configurazione della rete virtuale.

Prima di scegliere in base a un benchmark generico, conviene misurare il carico che verrà realmente eseguito.

Quando scegliere una macchina virtuale

Una VM è spesso la soluzione più semplice quando:

• serve un sistema operativo diverso da quello dell’host;

• bisogna eseguire Windows Server;

• l’applicazione richiede modifiche profonde al sistema;

• si vuole un isolamento più forte;

• il software è vecchio o non disponibile come container;

• occorre assegnare hardware specifico a un ambiente;

• si deve migrare un intero server già esistente.

Le macchine virtuali restano inoltre molto comode nei laboratori. È possibile provare aggiornamenti, configurazioni di rete o nuove distribuzioni senza modificare il server principale.

Quando Docker è la scelta più pratica

Docker è particolarmente adatto quando:

• si eseguono più applicazioni Linux;

• i servizi devono essere distribuiti rapidamente;

• sviluppo e produzione devono usare lo stesso ambiente;

• si vuole automatizzare l’installazione;

• le applicazioni vengono aggiornate spesso;

• si utilizzano architetture composte da più servizi;

• le risorse hardware disponibili sono limitate.

È una soluzione pratica anche per un piccolo server domestico. Applicazioni come Home Assistant, Jellyfin, Pi-hole, Nextcloud e vari strumenti di monitoraggio possono essere gestiti separatamente senza installare decine di pacchetti direttamente sull’host.

Docker e VM possono convivere

Non è obbligatorio scegliere una tecnologia ed escludere l’altra. Una configurazione molto comune prevede un hypervisor sul server fisico, diverse macchine virtuali e Docker installato dentro una di esse.

Questo approccio unisce i vantaggi dei due sistemi. Le VM separano gruppi di servizi o ambienti con esigenze differenti. Docker semplifica la distribuzione delle singole applicazioni.

Un esempio potrebbe essere:

• una VM dedicata ai container pubblici;

• una VM per i servizi interni;

• una VM Windows per il gestionale;

• una VM separata per test e sviluppo;

• un firewall virtuale con accesso alle diverse reti.

Naturalmente, ogni livello aggiunto deve essere amministrato. Creare una VM per ciascun container annulla buona parte del risparmio di risorse offerto da Docker. Conviene raggruppare i servizi con una logica chiara, evitando sia di mettere tutto nello stesso ambiente sia di frammentare inutilmente l’infrastruttura.

La scelta dipende dal tipo di separazione necessaria

Docker è leggero, rapido e molto comodo per distribuire applicazioni. Le macchine virtuali offrono invece sistemi operativi indipendenti e un isolamento più netto.

Per un sito web, un servizio multimediale o una piccola applicazione moderna, un container è spesso sufficiente. Per Windows Server, programmi legacy o ambienti che devono restare fortemente separati, una VM è generalmente più adatta.

Nella pratica, molti server utilizzano entrambe le tecnologie. La soluzione migliore non è quella con più livelli o con il maggior numero di strumenti, ma quella che permette di capire dove sono i dati, come si aggiorna ogni servizio e cosa bisogna fare quando qualcosa smette di funzionare.