¿Qué es la virtualización KVM?

Virtualización real con tu propio kernel y recursos reservados, frente al hosting en contenedores compartidos. Qué significa la diferencia para tu privacidad y tu control.

Qué es la virtualización KVM

KVM — Kernel-based Virtual Machine — convierte el kernel de Linux del host en un hipervisor de tipo 1 cargando un módulo del kernel que utiliza las extensiones de virtualización por hardware de la CPU, Intel VT-x o AMD-V. Por encima, QEMU emula los dispositivos: tarjetas de red, discos, consolas. El resultado se comporta como una máquina real: cada invitado arranca su propio kernel, instala su propio sistema operativo y cree que posee el hardware. Desde dentro, un VPS KVM es indistinguible de una máquina dedicada para casi cualquier propósito — y de eso se trata.

Como cada invitado es una máquina completa, la frontera de aislamiento es la propia CPU. El hipervisor hace cumplir la separación de memoria y dispositivos con ayuda del silicio en lugar de contabilidad por software, y un invitado no puede ver los procesos, la carga media, los logs del kernel ni las tablas de conexiones de sus vecinos. El acceso root completo significa que puedes compilar un kernel personalizado, cargar módulos, ejecutar virtualización anidada, arrancar ISOs propias y usar raw sockets — la caja de herramientas de la que dependen silenciosamente los relés de Tor, las pilas de correo, los endpoints VPN y los nodos de blockchain, disponible en todos los planes del catálogo de VPS.

El control también tiene una cara cotidiana, y vale la pena nombrarla porque es lo que los usuarios sienten de verdad. Tu propio kernel significa tus propias reglas de firewall en nftables, el módulo WireGuard integrado en vez de suplicado, control de congestión BBR si tu tráfico lo pide, tus propios sysctls para el seguimiento de conexiones y swap o zram dimensionados como le gusta a tu carga de trabajo. Un inquilino de contenedor hereda todas esas decisiones del host y pide excepciones; un inquilino KVM las toma y asume sus consecuencias. La diferencia suena administrativa hasta la primera vez que un servicio alojado necesita exactamente uno de esos interruptores — entonces es la diferencia entre un arreglo de cinco minutos y un ticket de soporte que termina en una migración.

KVM frente a contenedores

Los productos de VPS basados en contenedores — OpenVZ históricamente, LXC y sus parientes hoy — toman el otro camino: cada inquilino corre dentro del único kernel del host, aislado por namespaces y control groups. Es eficiente, por eso los planes baratos lo usan, y el intercambio se ve por todas partes:

Nada de esto hace que los contenedores sean una mala tecnología — Docker mueve media internet, y en una máquina que controlas tú, el kernel compartido es el tuyo. Lo que ocurre es que los contenedores son un producto distinto cuando el kernel lo posee el host, y no tú. Un VPS en contenedor es una porción del sistema operativo de otro; un VPS KVM es una máquina tuya.

Por qué las cargas de privacidad exigen KVM

El argumento de privacidad es preciso, no estético. Un kernel compartido significa que tu frontera de inquilino es un conjunto de funciones del kernel — namespaces, cgroups, seccomp — ejecutándose en el mismo espacio de direcciones que el kernel del host y los procesos de todos los vecinos. Una vulnerabilidad del kernel que escapa de un contenedor puede, en el peor caso, llegar al host y a todo lo que está a su lado; un invitado KVM está separado de sus vecinos por la propia imposición de la CPU, y escapar del hipervisor es una clase de fallo categóricamente más difícil, más rara y más cara. No compartir kernel tampoco significa que nadie pueda fisgar tus recursos a nivel de kernel: un vecino no puede leer tu carga, tu tabla de conexiones ni tu presión de memoria, porque esas estructuras no existen en ningún kernel que compartas.

El límite honesto está por encima, no al lado: el hipervisor del host aún puede tomar instantáneas de tu RAM y tus discos, porque alguien tiene que ejecutar la máquina. KVM reduce el riesgo de los vecinos, no el riesgo del host — y el riesgo del host se gestiona como describe la página de límites del anonimato, con cifrado de datos en reposo dentro del invitado según la guía de cifrado total de disco con LUKS, de modo que una instantánea muestre texto cifrado y un host apagado no muestre nada útil. En este catálogo KVM es la única virtualización ofrecida: kernel dedicado, DDR5 reservada, ECC donde el nivel lo incluye y root completo desde el primer arranque.

Lo que un comprador puede razonablemente preguntar a cualquier host que ejecute KVM: si la RAM se reserva por plan o se comparte, si los hosts usan ECC, y cuál es la política de acceso del propio operador — quién puede conectar una consola y con qué registro. Un host que responde esas tres preguntas por escrito te ha contado más sobre el aislamiento que cualquier diapositiva sobre hipervisores.

Qué revisar en un anuncio de «VPS KVM»

Los anuncios de marketplace usan la palabra a la ligera, y verificarlo toma unos dos minutos en cualquier invitado Linux. Ejecuta systemd-detect-virt: un invitado KVM genuino responde kvm. Revisa /proc/cpuinfo en busca de la bandera vmx o svm, que demuestra que la virtualización por hardware está expuesta. Intenta cargar algo que el host no tenga preinstalado — modprobe de un módulo poco común o compilar uno pequeño — algo que un contenedor rechazará, porque su kernel pertenece a otro. Busca /proc/user_beancounters: su presencia es la huella clásica de OpenVZ, diga lo que diga el anuncio.

Dos comprobaciones más atrapan el resto. Libertad a nivel de arranque: ¿puedes montar una ISO personalizada y reinstalar algo inusual, o el panel solo ofrece plantillas? — las plantillas delatan contenedores incluso cuando aparece la palabra KVM. Y el comportamiento de los recursos: ejecuta una prueba de estrés de memoria y observa si la asignación se reserva o se evapora bajo la carga de los vecinos, que es la pregunta de la sobreventa respondida empíricamente. Si un plan «KVM» falla estas pruebas, estás alquilando un contenedor a precio de KVM, y los niveles de metal con IPMI honestos o un proveedor de KVM real son las alternativas que valen la diferencia.