Firecracker

La Chispa que Enciende la Nube con Micro-VMs

Foto de Jaehyun Kim en Unsplash

En el vertiginoso mundo de la computación en la nube y las arquitecturas sin servidor (serverless), la velocidad, la seguridad y la eficiencia son la santísima trinidad. Es en este contexto donde emerge Firecracker, una tecnología de virtualización de código abierto que está revolucionando la forma en que se ejecutan las cargas de trabajo en la nube.

Desarrollado y utilizado intensivamente por Amazon Web Services (AWS), Firecracker no es solo otra máquina virtual. Es una micro-VM (micro-Máquina Virtual), diseñada específicamente para ser ultraligera, arrancar en un instante y ofrecer una seguridad robusta, combinando lo mejor de los contenedores y las máquinas virtuales tradicionales.

¿Qué es Firecracker y por qué es tan importante?

Imagina poder lanzar una máquina virtual en una fracción de segundo (menos de 125 milisegundos), con un consumo mínimo de memoria (menos de 5 MiB por micro-VM) y con el aislamiento de seguridad que proporciona el hardware. Eso es precisamente lo que ofrece Firecracker.

A diferencia de las máquinas virtuales tradicionales, que pueden ser pesadas y lentas de iniciar, las micro-VMs de Firecracker están diseñadas para ser minimalistas. Esta eficiencia extrema es lo que permite a servicios masivos como AWS Lambda y AWS Fargate ejecutar billones de cargas de trabajo al mes de forma segura y escalable.

⚙️ Cómo Funciona: Velocidad y Aislamiento en Armonía

El funcionamiento de Firecracker se basa en un principio clave: la simplicidad. Se ejecuta como un proceso en el espacio de usuario y aprovecha la tecnología de virtualización del kernel de Linux (KVM) para crear y gestionar las micro-VMs.

1. VMM y KVM: El proceso de Firecracker actúa como un Monitor de Máquina Virtual (VMM). En lugar de reinventar la rueda, utiliza el hipervisor KVM (Kernel-based Virtual Machine), que ya forma parte del kernel de Linux, para obtener la virtualización asistida por hardware. Esto significa que cada micro-VM tiene su propio espacio de memoria y CPU aislado directamente por el procesador.
2. API RESTful: Toda la interacción con el proceso de Firecracker se realiza a través de una API RESTful. Desde un cliente en la máquina anfitriona, puedes enviar comandos para configurar la micro-VM (número de vCPUs, cantidad de memoria), adjuntar dispositivos de bloque y red, y finalmente, iniciar la máquina virtual invitada.
3. Jailer (Carcelero) para una Segunda Capa de Defensa: Para una seguridad aún más férrea, cada proceso de Firecracker se puede iniciar con un programa compañero llamado jailer. Este componente crea un entorno de ejecución altamente restringido utilizando características de seguridad de Linux como cgroups, namespaces y filtros seccomp. Esto crea una segunda barrera de seguridad. Si un atacante lograra escapar de la micro-VM (lo cual ya es extremadamente difícil), se encontraría atrapado en esta "cárcel" con permisos muy limitados en el sistema anfitrión.
4. Arranque Rápido y Alta Densidad: La combinación de un VMM minimalista y un modelo de dispositivos reducido permite que las micro-VMs arranquen a una velocidad vertiginosa. Esto, junto con su bajo consumo de memoria, permite una densidad increíblemente alta: se pueden ejecutar miles de micro-VMs, cada una con su propia carga de trabajo, en una sola máquina física, manteniendo un aislamiento seguro entre ellas.

🏛️ Arquitectura Interna: Minimalismo Extremo

El secreto del rendimiento y la seguridad de Firecracker reside en su arquitectura.

• VMM Simplificado: El VMM de Firecracker es drásticamente más simple que alternativas como QEMU. Tiene una base de código mucho más pequeña, escrita en Rust (un lenguaje que previene muchos tipos de errores de gestión de memoria), lo que reduce la superficie de ataque y los posibles fallos.
• Modelo de Dispositivos Mínimo: Firecracker expone un conjunto muy limitado de dispositivos virtualizados:
• virtio-net: Para red.
• virtio-block: Para almacenamiento.
• Consola serie: Para comunicación básica.
• Controlador de teclado parcial: Solo para permitir el reinicio de la VM.

Esta drástica reducción acelera el arranque, ya que el sistema operativo invitado no pierde tiempo inicializando hardware que no necesita.

☁️ Firecracker en Acción: El Motor de AWS Serverless

AWS desarrolló Firecracker para resolver sus propias necesidades a escala masiva.

• AWS Lambda: Cuando ejecutas una función Lambda, se inicia una micro-VM de Firecracker dedicada para tu código. Esto proporciona un aislamiento de seguridad completo entre las funciones de diferentes clientes. La velocidad de arranque de Firecracker es lo que hace posible la naturaleza efímera y bajo demanda de Lambda.
• AWS Fargate: De manera similar, al usar Fargate para ejecutar contenedores sin gestionar servidores, cada tarea se encapsula en su propia micro-VM de Firecracker, garantizando que los contenedores estén aislados a nivel de hardware, una barrera mucho más fuerte que el aislamiento a nivel de kernel de los contenedores tradicionales.

El Desafío de Adaptar Sistemas Operativos: El Caso de OSv

El blog Making OSv run on Firecracker ilustra perfectamente los desafíos de este nuevo paradigma. Adaptar OSv, un sistema operativo ya diseñado para la nube, a Firecracker requirió un trabajo de ingeniería significativo para lidiar con el modelo de dispositivos minimalista y el proceso de arranque específico.

El autor del blog detalla el proceso de hacer que OSv, un sistema operativo diseñado para la nube, se ejecute en Firecracker. Los principales obstáculos incluyeron:

• Modelo de dispositivos limitado: Firecracker solo emula un conjunto mínimo de dispositivos, lo que requirió modificaciones en OSv para manejar la ausencia de componentes como ACPI.
• Transporte MMIO para VirtIO: Fue necesario adaptar los controladores VirtIO de OSv para que funcionaran con el transporte MMIO (Memory-Mapped I/O) de Firecracker, en lugar de la configuración más tradicional de PCI.
• Proceso de arranque: Se realizaron ajustes significativos en el proceso de arranque de OSv para que fuera compatible con la forma en que Firecracker carga y ejecuta el kernel.

El resultado de este esfuerzo fue impresionante: lograron que OSv arrancara en Firecracker en tan solo 5 milisegundos, unas 20 veces más rápido que un sistema Linux en el mismo hardware.

El Futuro es Ligero y Rápido

Firecracker no es solo una tecnología para gigantes como AWS. Al ser de código abierto, está disponible para que cualquiera pueda construir plataformas seguras y eficientes. Representa un cambio fundamental en cómo pensamos sobre la virtualización, ofreciendo un equilibrio casi perfecto entre la seguridad de las máquinas virtuales y la velocidad y densidad de los contenedores. Si estás interesado en el futuro de la infraestructura en la nube, sin duda, debes seguir de cerca la evolución de Firecracker.

Josue Acevedo Maldonado is a software engineer, currently working as a consultant.

Connect in LinkedIn.

Thank you for being part of the community! You can find related content on linktr.ee, besides the book Ensamblador X86.

Finally, if you have enjoyed this article and feel that you have learned something valuable, please share so others can learn from it as well.

Thanks for reading!