Ein Computer, ein Betriebssystem – diese Gleichung stimmt so schon länger nicht mehr. Moderne PC-Hardware ist darauf ausgelegt, ohne große Umstände mehrere Betriebssysteme zur gleichen Zeit auszuführen, bei Bedarf anzuhalten und wieder fortzusetzen. Der Schlüssel dazu ist Virtualisierung, die die erforderlichen Software-Voraussetzungen für mehrere gleichzeitig laufende Betriebssysteme auf der Hardware schafft. Obwohl die Technik dahinter nicht neu, sondern schon seit rund zehn Jahren auf Desktop-Rechnern und Servern im Einsatz ist, bleibt Virtualisierung ein heißes Thema. Denn trotz sinkender Hardware-Preise haben virtuelle Maschinen bei steigenden Energie- und Lohnkosten einen Vorteil gegenüber dedizierten Rechnern: Ein leistungsfähiger Server kann mehrere virtuelle PCs beherbergen und den dort laufenden Systemen ganz nach Bedarf mehr oder weniger Systemressourcen zuweisen, um die Auslastung zu optimieren. Es ist auch kein Zufall, dass erste Virtualisierungstechnologien auf Großrechnern wie dem IBM S/370 entwickelt wurden. Auf dieser Mainframe liefen Anfang der 70er Jahre bereits mehrere virtuelle Maschinen auf der gleichen Hardware unter dem Betriebssystem VM/CMS.
Hyper-V – Virtuelle PCs nativ in Windows 8 und 10 anlegen
Virtuelle Maschinen für Privatanwender
Bei einer virtuellen Maschine handelt es sich um ein vollwertiges PC-System, das im Fenster oder als Vollbild auf Ihrem PC läuft, aber von diesem abgeschottet ist. Virtualisierungs-Software – die Klassiker im Windows-Bereich sind Oracle Virtualbox , Vmware Workstation/Player und Microsoft Hyper-V – richten dazu auf Ihrem echten Rechner eine Sandbox in Form einer virtuelle Maschine ein, in der ein anschließend installiertes Betriebssystem isoliert und somit geschützten läuft. Auf einem Standard- PC lassen sich mehrere virtuelle Maschinen mit verschiedenen Betriebssystemen gleichzeitig betreiben, solange die Systeme alle auf der x86-Prozessor-Architektur basieren. Das virtuelle System lässt sich wie ein herkömmliches Betriebssystem nutzen und leicht auf frühere Zustände zurücksetzen, ohne dass die Konfiguration Ihres Hauptrechners dabei verändert wird. Das Motto: Alles ausprobieren, null Risiko. So brauchen Sie beispielsweise bei neuen Programmen nicht auf mögliche Wechselwirkungen mit bereits auf Ihrem realen PC installierter Software zu achten, wenn Sie nicht gerade einen gemeinsamen Austauschordner festgelegt haben.
Geräte per Mausklick ändern
Einmal eingerichtet, lassen sich virtuelle Maschinen jederzeit umkonfigurieren, etwa indem Sie den Hauptspeicher vergrößern, eine Schnittstelle hinzufügen oder ein Laufwerk integrieren. So erzeugen Sie ganz einfach unterschiedliche Anwendungsumgebungen. Die Festplatten der virtuellen Rechner speichern Virtualbox & Co. in Container-Dateien auf der echten Platte des Host-PCs. Dabei geben Sie die maximale Größe vor und lassen diese dynamisch wachsen. Die Datei belegt auf dem Host nur in etwa so viel Speicherplatz, wie das Gastsystem groß ist. Container können auch mit fester Größe eingerichtet werden. Nachdem Sie eine virtuelle Maschine erzeugt und darauf das gewünschte Betriebssystem eingerichtet haben, können Sie die virtuelle Festplatte praktischerweise auch auf einem anderen Host-PC verwenden und im Falle freier Systeme wie Ubuntu-Linux oder Linux-Mint an Kollegen und Bekannte weitergeben. Sie können den virtuellen PC auf Ihr Notebook überspielen oder zu Backup-Zwecken auf einer weiteren Festplatte sichern.
Umfassende Absturzsicherung
Virtuelle Maschinen laufen unabhängig voneinander in getrennten Bereichen ab und sind gegenseitig so abgesichert, dass ein Betriebssystem nicht die anderen oder sogar das Host-Betriebssystem zum Absturz bringt. Abstürze innerhalb von virtuellen Maschinen sind dagegen durchaus möglich, zum Beispiel durch Fehler im Gast-Betriebssystem, in einem der installierten Treiber oder einer Anwendung. Einen abgestürzten virtuellen PC starten Sie über die Virtualisierungs-Software ohne Auswirkungen auf den Host-PC einfach neu.
Begriffsdefinition: Simulation, Emulation und Virtualisierung
Rund um das Thema Virtualisierung stößt man häufig auf die Begriffe Simulation und Emulation, die zwar Ähnliches, aber nicht dasselbe bedeuten. Fälschlicherweise werden die Begriffe noch oft synonym verwendet, obwohl sie nicht das Gleiche bedeuten. Zwar sind die Unterschiede zwischen Emulation und Virtualisierung häufig fließend, so haben zum Beispiel
Virtualbox und Vmware stellenweise die Merkmale von Emulatoren, um virtuellen Gastsystemen das Leben zu erleichtern. Bei den Konzepten der Simulation, Emulation und Virtualisierung handelt es sich allerdings um ganz unterschiedliche, technische Ansätze mit jeweils anderen Zielen und Anwendungsgebieten. Die folgende Aufstellung bringt Licht ins Dunkel der grundlegenden Begriffe rund um das Thema virtuelle PCs.
Simulation: In einer Simulation wird ein fremdes System mit seiner Hardware vollständig abgebildet. Das bedeutet, dass eine Simulation eine meist abgeschlossene Umgebung nachstellt, aus der kein direkter Hardware-Zugriff möglich ist, da alle Systemkomponenten mittels Software nachgebildet sind. Das besondere Merkmal ist, dass eine Simulation nicht nur Äußerlichkeiten nachbildet, sondern auch die interne Logik bis ins Detail nachstellt. Simulationen sind beispielsweise nützlich, um eine andere Prozessorplattform auf einem System nachzubilden sowie um Betriebssysteme oder einzelne Anwendungen zu entwickeln. So gibt es etwa Simulatoren von alten Großrechnern, wie etwa die PDP-8, oder Prozessorsimulatoren des Motorola 68000er, um alte Programme zu kompilieren. Der bekannteste Vertreter dieser Klasse ist das Linux-Programm Wine , dessen Name sinnigerweise „Wine Is Not an Emulator“ bedeutet und das einen Windows-Simulator auf API-Ebene bereitstellt. Damit lässt sich Windows-Software unter Linux ausführen und Wine simuliert dabei mit eigenen Programmbibliotheken eine (unvollständige) Windows-Umgebung.
Die Grundlagen der Virtualisierung unter Linux Emulation: Im Gegensatz zur Simulation geht die Emulation nicht so weit, die Interna eines Systems komplett abzubilden. Für die Emulation genügt es, die Äußerlichkeiten nachzuahmen, damit Programme kompatible Soft- und Hardware-Schnittstellen vorfinden. Ziel einer Emulation ist es, nur das definierte, sichtbare Verhalten nachzustellen, während die Interna aber ganz anders funktionieren. Ein aktuelles Beispiel für einen Emulator findet sich zum Beispiel in der offiziellen Android-Entwicklungsumgebung von Google: Um die Entwicklung von Apps zu erleichtern, ist hier ein Emulator enthalten, der sowohl das Hardware-Verhalten als auch die Bildschirmgrößen von Smartphones nachbildet.
Virtualisierung: Virtualisierungsumgebungen, die virtuelle Maschinen bereitstellen, sollen möglichst wenig simulieren oder emulieren. Stattdessen werden Hardware-Zugriffe möglichst immer an die tatsächlichen Systemkomponenten wie Prozessor, Grafikkarte und Festplatte durchgereicht und von der Virtualisierungsumgebung nur verwaltet. Zusätzlich jedoch emulieren Virtualisierungsumgebungen auch Hardware-Komponenten, um den idealen Betrieb von Gastsystemen sicherzustellen. So emulieren Vmware Workstation und Virtualbox beispielsweise Netzwerkkarten, die mit den Standardtreibern von Gastsystemen funktionieren. Für den unproblematischen Zugriff auf virtuelle Festplatten kommt ebenfalls ein emulierter Standard-SATA- oder IDE-Chipsatz zum Einsatz, damit keine Extratreiber im Gastsystem erforderlich sind. Außerdem kann die Installation von Gasterweiterungen dabei helfen, vorhandene Hardware-Komponenten ohne Emulationsschicht besser zu nutzen. Aktuelle Prozessoren von AMD und Intel bieten zudem neue Befehlserweiterungen, damit VMs ihre CPU- und Speicherzugriffe direkt auf Hardware-Ebene erledigen können, falls der Hypervisor das erlaubt. Virtualisierte Systeme (Virtuelle Maschinen) laufen aus diesem Grund mit Abstrichen bei der Grafikausgabe und Festplattenzugriffen nur minimal langsamer als nativ laufende Betriebssysteme. Enge Verwandte von virtuellen Maschinen sind übrigens die virtuellen PCs sowie die Laufzeitumgebungen von Java und von .NET. In der Java Virtual Machine bekommt der zum Ausführungszeitpunkt kompilierte Programmcode automatisch eine eigene, virtuelle Maschine zugewiesen, aus der das Programm nicht ausbrechen darf und die den direkten Zugriff auf Hardware und Betriebssystem verwehrt. Alle Zugriffe müssen über diese Laufzeitumgebung und deren Bibliotheken gehen. Dies erfolgt nicht nur aus Sicherheitsgründen, sondern sorgt auch dafür, dass Java-Programme unabhängig von der physikalischen Hardware auf verschiedenen Plattformen laufen.
Hardware-Zugriffe: Grenzen der Virtualisierung
Während Virtualisierungsumgebungen die Befehle des Gastbetriebssystems an CPUs und Speicher mit geringen Geschwindigkeitseinbußen übersetzen können, ist dies bei anderen Hardware-Komponenten nicht so einfach. Der direkte Hardware-Zugriff ist verwehrt, denn auf Geräte wie Soundkarten, ISDN-Karten, Netzwerkkarten, Controller und Chipsätze hat bereits das Host-System exklusiven Zugriff. Eine gleichzeitige, konkurrierende Verwendung durch ein weiteres Betriebssystem könnten Standardkomponenten gar nicht verarbeiten. Virtualisierungsumgebungen begnügen sich deshalb damit, per Software Geräte wie Chipsatz, Controller, Netzwerkkarte und Grafikchip zu emulieren. Lediglich die KVM (Kernel Virtual Machine) von Linux kann momentan PCI-Geräte direkt an virtuelle Maschinen weitergeben, sofern diese nicht auch schon das Host-System verwendet.
Einigen Virtualisierungsumgebungen wie Vmware Workstation und Virtualbox gelingt es, über ihre Treiber eine Schnittstelle zum physikalischen Grafikchip zu schaffen, wobei die Grafikleistung nicht für aufwendige Spiele reicht. Nur Microsofts Hyper-V für Server kann mit der Technik „RemoteFX“ den Grafikchip einer separaten Grafikkarte direkt für eine virtuelle Maschine verfügbar machen.
Virtualisierung mit und ohne Betriebssystem
Es gibt verschiedene Techniken, um Gastbetriebssysteme auf einem PC in virtuellen Umgebungen zu starten. Bei diesen Techniken unterscheidet man meist danach, auf welcher Ebene die Abstraktionsschicht angesiedelt ist, auf der die Virtualisierung vonstatten geht. Die unterschiedlichen Methoden liefern je nach angestrebtem Einsatzzweck, etwa auf Desktops, Servern und für den Zugriff über das Netzwerk, die beste Leistung bei niedrigem Verwaltungsaufwand. Typ-2-Hypervisor: Setzt eine Virtualisierungsumgebung als Basis ein ausgewachsenes Betriebssystem voraus, dann spricht man von einem Typ-2-Hypervisor. Generell handelt es sich bei einem Hypervisor, auch „Virtual Machine Monitor“ genannt, um jene Verwaltungs-Software, die die Kontrolle über die virtuellen Maschine hat, diese starten und anhalten kann und entsprechende Ressourcen zuweist. Beispiele für den Typ 2 liefern beispielsweise die weit verbreiteten Virtualisierungs-Tools für den Desktop wie Vmware Player beziehungsweise Workstation (für Windows und Linux), Oracle Virtualbox (für Windows, Linux und Mac OS X) und auch Microsoft Virtual-PC (bis Windows 7). Typ-1-Hypervisor: Läuft der Hypervisor direkt auf der Hardware und ersetzt dabei das Betriebssystem, handelt es sich um einen Typ- 1-Hypervisor. Diese Virtualisierungsumgebungen werden beim Einsatz auf Servern und in Rechenzentren auf Computern bevorzugt, die sowieso nur virtuelle Maschinen beherbergen sollen – dann allerdings gleich dutzendweise. Beispiele dafür sind Vmware ESX/ESXi, Oracle VM Server und Citrix Xenserver.
Mischformen: Hyper-V von Windows 8/8.1, 10 und von Microsofts Serverbetriebssystemen sowie die Technik KVM des Linux-Kernels sind Mischformen. Die Virtualisierungsfunktionen sind Teil des Betriebssystems oder werden wie bei Linux als Kernel-Modul geladen. Das Betriebssystem kann sich so selbst virtualisieren und mehrere unabhängige Instanzen starten.
Prozessoren von AMD und Intel: Ringe regeln die Privilegien
Ganz gleich, welche Methode der Virtualisierung zum Einsatz kommt, eins ist allen gemeinsam: Einige Befehle, die das Gastsystem an die CPU sendet, müssen über die Virtualisierungsschicht abgefangen werden. Der Grund liegt im Design der x86-CPUs von Intel und AMD. Lediglich das zuerst gestartete Betriebssystem darf privilegierte CPU-Instruktionen verwenden, die später gestarteten Anwendungen dagegen nicht. Schließlich soll das Betriebssystem die Kontrolle darüber behalten, was Anwendungen anstellen. Der privilegierte Zugriff findet im „Ring 0“ der CPU statt, auch „Kernel-Mode“ genannt. Dieser Ring umfasst den direkten Zugriff auf Interrupts und Speicher.
Die Ringe darüber, Ring 1, 2 und 3, gehören alle zum „User-Mode“. Betriebssystemtreiber dürfen zum Beispiel in Ring 1 und 2 arbeiten. Normale Programme im Betriebssystem arbeiten nur ab Ring 3. Ein Problem dieser historisch bedingten Prozessoreinteilung ist, dass ein Virtualisierer zwar als Programm im Ring 3 läuft, dort aber Gastbetriebssysteme ausführen muss. Dies ist allerdings nicht ohne Weiteres möglich, weil Betriebssysteme stets Code enthalten, der nur im Ring 0 funktioniert. Die prozessornahen Assembler-Befehle „CLI“ (Clear Interrupts) und „STI“ (Set Interrupts) zur Interrupt-Steuerung laufen etwa in den höheren Ringen des User-Modes nicht und die CPU verweigert deren Ausführung. Da ein Betriebssystem wie Windows oder der Linux-Kernel in der Annahme programmiert ist, dass es auf Ring 0 läuft, funktioniert es außerhalb des Kernel-Modes überhaupt nicht.
Virtuelle PCs im Viren-Check – So sicher sind sie wirklich
Der Hypervisor übersetzt die jeweiligen Systemanfragen
Damit die virtuellen Systeme trotzdem laufen, bedienen sich Virtualisierungsumgebungen eines Tricks: Jeder Befehl einer virtuellen Maschine wird vom Hypervisor analysiert und die Befehle werden bei Bedarf umgebaut, damit sie im Ring 3 ausgeführt werden. Frühe Virtualisierungsprogramme erledigten dies noch ausschließlich über Software und waren gut damit beschäftigt, das Gastsystem stabil zu halten, was auch nicht immer gelang. VMs in den Zeiten der Vmware Workstation 3.x waren langsam und ressourcenhungrig. Mit aktuellen Hypervisoren stellen Geschwindigkeit und Stabilität kein Problem mehr dar – allerdings müssen die Software-Hersteller von Virtualisierungslösungen für neue Windows-Versionen immer wieder Updates bereitstellen, damit diese als Gast laufen. Auf einer alten Version von Virtualbox läuft zum Beispiel Windows 8/8.1 nicht zufriedenstellend. Das liegt daran, dass Betriebssysteme verschiedene Anpassungen verlangen, damit Befehle für den Ring 0 auch im Ring 3 laufen. Bei Virtualbox und Vmware müssen Sie daher immer den Typ des Gastsystems angeben, wenn Sie einen neuen virtuellen PC erstellen. Sie müssen etwa vorgeben, um welche Windows-Version es sich handelt und ob das System für die 32-Bit- oder 64-Bit-Plattform vorliegt. Nach diesen Angaben entscheidet der Hypervisor, welche Prozessorbefehle übersetzt werden müssen.
Paravirtualisierung und Betriebssystemvirtualisierung
Am meisten hat der Hypervisor bei einer Komplettvirtualisierung zu tun. Dieser Ansatz präsentiert jedem Gastsystem, unabhängig von der realen Hardware des Host-Systems, eine emulierte Hardware. Der Hypervisor muss den Ring 0 der CPU komplett abbilden sowie die CPU-Befehle des Gastsystems entsprechend umbauen. Das Gastsystem weiß in diesem Fall nichts davon, dass es in einer VM läuft und kann unverändert laufen, mit ein paar Treibern für die emulierte Hardware. Die Komplettvirtualisierung ist nicht die effizienteste Methode, da es durch die erforderlichen Übersetzungen von Speicher- und Prozessorzugriffen natürlich zu Leistungsverlusten kommt. Dafür ist die Methode allerdings unproblematisch für das Gastbetriebssystem. Die ersten Versionen der Desktop-Virtualisierer wie Virtual PC, Vmware Workstation und Virtualbox sind prominente Beispiele für diesen Ansatz. Paravirtualisierung: Eine effizientere Methode ohne Performance-Verluste durch die Arbeit des Hypervisors bietet die Paravirtualisierung. Anders als bei der Komplettvirtualisierung muss bei der Paravirtualisierung jedoch das Gastbetriebssystem selbst mitspielen. Der Gast braucht einen Betriebssystemkern (Kernel), der direkt mit der Virtualisierungsschicht kommuniziert und nicht direkt mit der physikalischen Hardware. Das Gastsystem muss also für die Virtualisierung optimiert sein. Der große Vorteil: Auf diese Weise muss die physikalische Hardware nicht für jede einzelne VM extra emuliert werden, denn Gastsysteme greifen auf die Virtualisierungsschicht zu. Ideal ist dieser Ansatz für Serversysteme geeignet, auf denen immer mehrere virtuelle Maschinen gleichzeitig laufen sollen.
Linux-Server mit CMS virtuell in Windows nutzen Der bekannteste Vertreter der Paravirtualisierung ist Xen , ein leistungsfähiges Open-Source-Projekt aus dem Linux-Umfeld, das für virtuelle Maschinen optimierte Xen-Linux-Kernel einsetzt. Außer am Kernel sind keine Änderungen notwendig – alle Programme im Userland bleiben unverändert , also jener unprivilegierte Teil, der nicht zum Kernel gehört. Der Leistungsschwund bei der Paravirtualisierung fällt geringer aus. Die Anpassung eines Betriebssystem-Kernels erfordert aber die Änderung von dessen Quelltext. Xen unterstützt jedoch auch Komplettvirtualisierung mit den neuen Befehlssatzerweiterungen der CPU. Betriebssystem-Virtualisierung: Dieses Verfahren funktioniert nur mit einem Betriebssystem, das diese Art der Virtualisierung unterstützt. Die Aufteilung des Systems in virtuelle Maschinen erfolgt nach Bedarf durch das Betriebssystem, das eine VM wie eine Anwendung in einer Sandbox startet. Eine Hardware-Emulation ist damit nicht nötig. Ein weiterer Vorteil ist, dass VMs wie ein Container nur ihre eigenen Daten mitzubringen brauchen, aber kein komplettes System sein müssen. Denn alle anderen Dateien und Bibliotheken des Host-Systems werden von den Gästen mitbenutzt. Für geänderte und abweichende Dateien der VM gibt es ein gesondertes Verzeichnis auf der Festplatte, damit sich diese Dateiversionen nicht mit dem Betriebssystem selbst stören. Dank dieser Technik besteht eine VM nur aus wenigen Dateien und verlangt kaum mehr Systemressourcen als eine normale Anwendung. Wegen der geringen Leistungsansprüche kann die Betriebssystem-Virtualisierung eine sehr hohe Anzahl VMs bei verhältnismäßig bescheidener Hardware-Ausstattung starten. Ein Beispiel für diesen Ansatz liefert etwa Docker, eine junge und vielversprechende Open-Source-Entwicklung, die ganze Serveranwendungen als einfach zu installierende Container für Linux-Systeme ausliefern kann.
Intel und AMD: Befehlssatz-Erweiterungen der CPU
Das Verhalten der x86-Prozessoren und deren Aufteilung der internen Berechtigungen in Ringe lässt sich aus Kompatibilitätsgründen nachträglich nicht mehr ändern. Intel und AMD haben deshalb mit steigender Popularität von Virtualisierungslösungen unabhängig voneinander Befehlserweiterungen entwickelt, um Virtualisierung in der CPU besser zu unterstützen. AMD nennt die Technik „Pacifica“ beziehungsweise „AMD Virtualization“ oder kurz AMD-V. Sie ist in AMD-Prozessoren seit dem Athlon 64 enthalten. Bei Intel heißt eine vergleichbare Erweiterung „Virtualization Technology“ oder „Intel VT“ und ist seit dem Pentium-4-Modell 662 verfügbar. Allerdings kann es vorkommen, dass bei Notebook- CPUs die Virtualisierungserweiterungen deaktiviert sind. Genauen Aufschluss darüber, was eine CPU kann, gibt die Freeware CPU-Z .
Nach dem Start des Programms, das zunächst eine Installation erfordert, finden Sie unter „CPU -> Instructions“ die Kürzel aller unterstützten Befehlssatzerweiterungen. Bei Intel-CPUs weist das Kürzel „VT-x“ und bei AMD-Prozessoren die Angabe „AMD-V“ Virtualisierungsunterstützung aus. Beachten Sie, dass Sie diese Erweiterung in den Bios- beziehungsweise Uefi-Einstellungen des PCs zumeist noch aktivieren müssen.