KVM、Docker、Kubernetes 有什么区别？适合哪些使用场景？

KVM 是 Linux 上的全虚拟化方案，Docker 是容器运行与镜像分发方案，Kubernetes 严格来说不是虚拟化技术，而是容器编排平台。三者常被放在一起比较，是因为它们都能解决“如何把应用隔离、部署和迁移”的问题，但隔离层级完全不同：KVM 隔离到操作系统内核，Docker 容器共享宿主机内核，Kubernetes 负责把大量容器调度到多台机器上运行。

KVM 适合什么场景？

KVM 把 Linux 内核变成 Hypervisor，通过 CPU 的 VT-x、AMD-V 等硬件虚拟化能力运行完整虚拟机。每个虚拟机都有自己的内核、磁盘、网卡和系统环境，隔离性强，适合多租户、强安全边界、不同操作系统混跑等场景。

实际使用 KVM 时，常见组合是 KVM + QEMU + libvirt：KVM 提供内核级虚拟化能力，QEMU 负责设备模拟与用户态辅助，libvirt 提供统一管理接口，方便创建、迁移、快照和管理虚拟机。

KVM 的优点是隔离强、兼容性好，能运行完整 Linux、Windows 或其他系统；缺点是启动慢、资源开销比容器高。它更适合云主机、私有云、测试不同操作系统、需要强隔离的生产环境。

Docker 适合什么场景？

Docker 属于容器技术，不是完整虚拟机。容器通过 namespace、cgroups、联合文件系统等机制隔离进程、网络、文件系统和资源配额，但所有容器共享宿主机内核。

这意味着 Docker 启动很快，镜像分发方便，资源开销低，适合微服务、CI/CD、开发环境一致性、快速扩缩容等场景。比如一台机器上运行多个服务实例，用 Docker 比开多台虚拟机轻得多。

但共享内核也带来边界问题：容器隔离弱于虚拟机，内核漏洞可能影响所有容器。因此 Docker 适合应用级隔离，不适合把它当成完全等价于虚拟机的安全边界。

Kubernetes 为什么不是虚拟化？

Kubernetes 不直接提供虚拟化能力，它负责容器编排。它关注的是：容器应该运行在哪台机器上，副本数是否足够，服务如何发现，失败后如何重启，滚动更新如何执行。

在生产环境里，Kubernetes 通常运行在物理机、虚拟机或云主机之上，再调度 Docker、containerd 等运行时管理的容器。它解决的是集群规模下的部署、调度、伸缩和自愈问题，而不是替代 KVM 或 Docker。

LXC、Xen、VMware 和它们有什么关系？

LXC 更接近 Linux 原生容器，Docker 在镜像、仓库、构建和应用分发上做了更多工程化封装。

Xen 和 VMware 与 KVM 一样属于虚拟机方向。Xen 是传统 Type-1 Hypervisor，VMware 在企业虚拟化里成熟度很高；KVM 的优势是深度集成 Linux 内核，生态开放，常见于 OpenStack、云平台和私有云环境。

网络、存储、性能和安全怎么比较？

技术	隔离级别	性能开销	网络与存储特点	典型场景
KVM	完整虚拟机，独立内核	中等	虚拟网卡、虚拟磁盘、可接 Ceph/NFS/iSCSI	云主机、强隔离、多系统环境
Docker	进程级隔离，共享内核	很低	bridge、host、overlay 网络，卷挂载与镜像层	微服务、CI/CD、快速交付
Kubernetes	编排容器，不是虚拟化	取决于底层容器和集群	CNI 管网络，CSI 管存储	大规模容器调度、弹性伸缩
LXC	系统容器，共享内核	低	更像轻量 Linux 系统环境	轻量系统隔离、实验环境
Xen/VMware	完整虚拟化	中等	企业级虚拟网络和共享存储成熟	企业虚拟化、传统数据中心

如果重点是性能，容器通常比虚拟机轻；如果重点是安全隔离，KVM、Xen、VMware 这类虚拟机更稳妥；如果重点是大规模服务治理，就需要 Kubernetes 管理容器集群。

如何选择？

单机运行多个应用、希望环境一致，用 Docker。要管理几十台甚至几百台机器上的容器，用 Kubernetes。需要运行不同操作系统、给不同租户提供强隔离环境，用 KVM、Xen 或 VMware。

更常见的生产组合不是三选一，而是叠加使用：底层用 KVM 提供云主机，上层用 Kubernetes 管理容器，应用通过 Docker/containerd 镜像交付。这样既有虚拟机的隔离边界，也有容器的交付效率和 Kubernetes 的集群调度能力。