https://docs.makgol.com/isolation/Recent content in 격리 런타임 on Ops InsightsHugo -- gohugo.ioko-KR© 2026 MontMon, 14 Sep 2026 00:00:00 +0000https://docs.makgol.com/isolation/01-kata-kubevirt/Mon, 14 Sep 2026 00:00:00 +0000https://docs.makgol.com/isolation/01-kata-kubevirt/ <h1>01 · Kata · KubeVirt · gVisor — 컨테이너 아래 VM을 한 겹 더 깔면 무엇을 얻고 무엇을 내주나</h1><div class="hx:overflow-x-auto hx:mt-6 hx:flex hx:rounded-lg hx:border hx:py-2 hx:ltr:pr-4 hx:rtl:pl-4 hx:contrast-more:border-current hx:contrast-more:dark:border-current hx:border-blue-200 hx:bg-blue-100 hx:text-blue-900 hx:dark:border-blue-200/30 hx:dark:bg-blue-900/30 hx:dark:text-blue-200"> <div class="hx:ltr:pl-3 hx:ltr:pr-2 hx:rtl:pr-3 hx:rtl:pl-2"><svg height=1.2em class="hx:inline-block hx:align-middle" xmlns="http://www.w3.org/2000/svg" fill="none" viewBox="0 0 24 24" stroke-width="2" stroke="currentColor" aria-hidden="true"><path stroke-linecap="round" stroke-linejoin="round" d="M13 16h-1v-4h-1m1-4h.01M21 12a9 9 0 11-18 0 9 9 0 0118 0z"/></svg></div> <div class="hx:w-full hx:min-w-0 hx:leading-7"> <div class="hx:mt-6 hx:leading-7 hx:first:mt-0"><ul> <li><strong>CPU·메모리 대역폭은 셋 다 오차범위 3% 안이다</strong> — 2026년 K8s 실측에서 sysbench CPU가 runc 2,258 · Kata Cloud Hypervisor 2,197(−2.7%) · gVisor 2,220(−1.7%) events/s로 나온다 <code>Ⓑ</code>. 여기서는 격리가 사실상 공짜다.</li> <li><strong>랜덤 4K IO에서는 정반대다</strong> — 같은 측정에서 Kata는 −99%, gVisor는 −76% 떨어진다 <code>Ⓑ</code>. HTTP 처리량도 Kata −89%, gVisor −42%로 갈린다. 비용은 연산이 아니라 경계를 건너는 횟수에 붙는다.</li> <li><strong>메모리 오버헤드는 VM 크기와 무관한 상수다</strong> — VMM 자체 몫만 재면 Firecracker 3MB · Cloud Hypervisor 13MB · QEMU 131MB이고 <code>Ⓑ</code>, AKS의 RuntimeClass overhead는 128Mi 파드 VM에 16Mi(12.5%), 128Gi 파드 VM에 1Gi(0.8%)가 붙는다 <code>✓</code>. 작은 파드를 많이 띄울수록 비율이 나빠진다.</li> <li><strong>Kata는 공유 커널이라는 단일 실패점을 지운다</strong> — 그 대신 2026년 한 해에만 Kata 자신의 guest-to-host 취약점 advisory가 10건 나왔고 <code>✓</code>, 16년 묵은 KVM 탈출 Januscape(CVE-2026-53359)가 Intel·AMD 양쪽에서 공개됐다 <code>Ⓥ</code>. 경계는 두껍지만 무한하지 않다.</li> <li><strong>Kata와 KubeVirt는 대체재가 아니다</strong> — KubeVirt FAQ가 직접 못 박는다. &ldquo;Kata containers are containers inside virtual machines. KubeVirt is a virtual machine inside a container.&rdquo; <code>✓</code></li> <li><strong>진입 장벽이 2026년에 낮아졌다</strong> — AWS가 2026-02-16부터 C8i·M8i·R8i 상용 인스턴스에서 중첩 가상화를 열었다 <code>✓</code>. <code>.metal</code> 강제가 세대 한정으로 풀렸다.</li> <li><strong>CPU limit을 안 주면 Kata 파드는 vCPU 1개로 굳는다</strong> — &ldquo;Kata shim은 request를 보지 못한다&quot;가 문서의 표현이다 <code>✓</code>. request만 크게 잡던 관행이 그대로 성능 사고가 된다.</li> </ul> </div> </div> </div> <p>근거 표기 — <code>✓</code> 1차 문서 확인 · <code>Ⓑ</code> 공개 벤치마크 · <code>Ⓥ</code> 벤더·프로젝트 주장 · <code>≈</code> 추정·역산 · <code>?</code> 미확인 · <code>Σ</code> 종합 판단.</p>