> Какими средствами достигается виртуализация (Go)

Короткий ответ

Виртуализация достигается комбинацией аппаратной поддержки (Intel VT-x/AMD-V), гипервизора (тип 1 или тип 2) и изоляции ресурсов: CPU, памяти, устройств ввода-вывода. На уровне ОС - через namespaces и cgroups в Linux, что лежит в основе контейнеров. Для Go-приложений чаще релевантна контейнерная виртуализация, где изоляция процессов обеспечивается ядром, а не полной эмуляцией железа.

Подробное объяснение

Виртуализация бывает нескольких уровней:

• Аппаратная виртуализация - гипервизор (KVM, Xen, VMware ESXi) работает напрямую с CPU, используя инструкции VMX/SVM. Гостевая ОС не знает, что она виртуальная, но требует поддержки в процессоре.
• Паравиртуализация - гость модифицирован, чтобы общаться с гипервизором через специальные API (virtio), что снижает накладные расходы.
• Контейнерная виртуализация - изоляция на уровне ядра: namespaces (PID, NET, MNT, UTS, IPC, USER) создают изолированные пространства имён, а cgroups ограничивают CPU, память, I/O. Здесь нет отдельного ядра - все контейнеры делят ядро хоста.

Для Go-разработчика ключевое - понимать, что:

• Go-приложение в контейнере видит только свои namespaces, но syscalls идут напрямую в ядро хоста.
• cgroups ограничивают ресурсы, но не защищают от side-channel атак между контейнерами.
• Сетевые namespaces позволяют каждому контейнеру иметь свой network stack, что критично для микросервисов.

На практике

В Go-проектах виртуализация проявляется так:

• Docker/Kubernetes - стандартный способ деплоя. Важно правильно задавать limits в cgroups, иначе Go runtime может увидеть все CPU хоста и создать лишние goroutine.
• GOMAXPROCS - в контейнере с ограничением CPU, Go по умолчанию использует runtime.NumCPU(), который возвращает число CPU хоста, а не cgroup-лимит. Решается через automaxprocs или ручную установку.
• Сетевые overlay-сети - когда контейнеры общаются через виртуальные интерфейсы (veth, bridge), что добавляет latency.
• Хранение - volume-маунты и bind mounts работают через VFS ядра, что может влиять на I/O производительность.

Пример кода

GO
package main

import (
    "fmt"
    "runtime"
    _ "go.uber.org/automaxprocs"
)

func main() {
    fmt.Println("GOMAXPROCS:", runtime.GOMAXPROCS(0))
    fmt.Println("NumCPU:", runtime.NumCPU())
}

С automaxprocs значение будет соответствовать cgroup CPU limit, а не хосту.

Как отвечать на собеседовании

Начни с классификации: аппаратная, паравиртуализация, контейнерная. Затем перейди к конкретике: для Go-бэкенда важна контейнерная изоляция через namespaces и cgroups. Упомяни, что гипервизоры типа 1 (KVM) используются в облаках, а контейнеры - поверх них. Покажи понимание trade-off: контейнеры легче, но менее изолированы, чем VM. Если спросят про Go - обязательно скажи про GOMAXPROCS и cgroups.

Что проверяет интервьюер

• Понимание уровней виртуализации и их отличий.
• Знание Linux-механизмов: namespaces, cgroups, capabilities.
• Практическое применение: как виртуализация влияет на рантайм Go.
• Умение объяснить, почему контейнеры не являются полноценной виртуализацией.
• Осведомлённость о безопасности: общее ядро = общая поверхность атаки.

Типичные ошибки

• Путать контейнеры и VM, утверждая, что контейнеры полностью изолированы.
• Не знать про GOMAXPROCS и проблемы с CPU limits в Kubernetes.
• Считать, что виртуализация - это только Docker.
• Игнорировать аппаратную поддержку (Intel VT-x), считая, что гипервизор - это просто программа.
• Не упоминать cgroups v2 и отличия от v1, если речь идёт о современных дистрибутивах.