一、两大派系
整个行业所有虚拟化技术，只分两大类：
硬件级虚拟化（虚拟机）：模拟一整台电脑，有独立内核
系统级虚拟化（容器）：共享宿主机内核，只隔离进程
：
KVM = 硬件级虚拟化（虚拟机）
Docker = 系统级虚拟化（容器）
下面逐个详细介绍 + 同类全部技术拓展。
二、硬件级虚拟化（虚拟机技术）
1. KVM
全称 Kernel-based Virtual Machine，内核虚拟机开源、Linux 内核自带的原生虚拟化技术，现在公有云底层主力（阿里云、腾讯云、华为云服务器底层基本都是 KVM）。
虚拟化层级：硬件层虚拟化
原理：Linux 内核直接充当 Hypervisor，分割 CPU、内存、磁盘、网络，完整模拟一台独立物理服务器。
虚拟机内部：拥有独立操作系统内核（Windows、CentOS、Ubuntu 随便装）、独立文件系统、独立 IP、独立内存空间。
优点
开源免费，性能极强，硬件辅助虚拟化加持下损耗极低
隔离性非常强，虚拟机之间完全独立
支持任意操作系统，Windows、Linux 都可以跑
被云计算大规模采用，生态完善
缺点
占用资源大，每个虚拟机都要单独一套系统
启动慢（几十秒～分钟级）
镜像体积大
同类技术（同类型虚拟机）
VMware ESXi：商业闭源，企业数据中心老牌霸主
Xen：早期开源虚拟化，半虚拟化为主，现在基本被 KVM 取代
Hyper-V：微软原生，Windows 服务器自带虚拟机
2. VMware Workstation / VirtualBox
桌面端虚拟机，你电脑上装的虚拟机软件，和 KVM 同属Type2 宿主虚拟化先跑电脑系统，再在系统里开虚拟机，适合个人开发测试。
三、系统级虚拟化（容器技术）
1. Docker
目前全球最主流容器技术
虚拟化层级：操作系统内核级虚拟化
原理：不模拟硬件、不新建内核，直接复用宿主机 Linux 内核。
只隔离进程、文件系统、网络、用户空间，把应用 + 依赖打包成镜像。
内部结构：没有独立内核，只有应用、库、配置文件
优点
启动极快（毫秒级）
体积极小，资源占用极低
性能几乎无损耗，和物理机原生差不多
镜像轻便、易迁移、易打包，适合微服务
缺点
隔离性弱，共享内核，安全隔离不如虚拟机
只能跑Linux 程序，无法原生跑 Windows 系统
宿主机是什么内核，容器就只能用该内核
底层依赖：LXC（Linux 容器），Docker 早期基于 LXC，后来自研 libcontainer/runc
2. LXC
Linux Containers，原生 Linux 容器Docker 的底层祖宗技术，纯系统容器，没有镜像、分层、仓库这些便捷功能，纯粹做进程隔离。没有 Docker 这么易用，现在基本只做底层支撑。
3. Podman
Docker 开源替代者，无守护进程、无客户端服务端架构，安全更好，命令几乎和 Docker 完全一致，红帽主推。
4. LXD
基于 LXC 的增强版容器，偏系统容器，不是应用容器。可以把容器当成一台小服务器用，能登录、开多个服务、长期运行，比 Docker 更像 “轻量虚拟机”。
四、容易混淆：轻量虚拟机（介于两者之间）
现在云厂商很常用的一类，比传统虚拟机轻，比容器隔离强
1. Firecracker
AWS 开源，微虚拟机专为云原生无服务器、函数计算设计，启动125ms 内，资源极小，隔离性接近 KVM，性能接近容器。用于 AWS Lambda、Serverless 场景。
2. Cloud Hypervisor
Rust 开发轻量虚拟机，现代云原生虚拟机。
五、所有技术完整对比表

六、核心原理底层（统一讲透所有技术）
1. KVM 虚拟化原理
依靠 CPU 硬件虚拟化 Intel VT-x / AMD-V内核实现硬件资源抽象，为每个虚拟机分配独立：CPU、内存、虚拟磁盘、虚拟网卡、中断、地址空间每台虚拟机都是完整独立操作系统。
2. Docker 容器原理（Linux 三大内核机制）
完全不靠硬件模拟，只靠 Linux 内核本身功能：
Namespace：命名空间隔离（PID 进程、网络、挂载、用户、主机名）
Cgroup：控制组，限制 CPU、内存、磁盘、网络资源上限
Union FS：联合文件系统，实现镜像分层、增量存储
全程共享宿主机内核，只隔离运行环境。
七、最直白总结
KVM：造完整电脑，独立系统，隔离强、笨重、慢，用来开云主机、服务器。
Docker：造应用运行环境，共用内核，轻便、超快、资源少，用来跑微服务、程序打包部署。
LXC：Docker 的底层地基，原生 Linux 容器，功能简陋。
LXD：偏系统的大容器，像迷你虚拟机。
Firecracker：微虚拟机，兼顾虚拟机强隔离 + 容器快启动，云原生新方案。

八、容器安全问题

（1）简述容器存在哪些安全问题
内核共享，容器共用宿主机内核，内核漏洞易导致整体风险。
隔离级别较弱，仅为进程级隔离，容器逃逸风险高。
容器默认权限较高，特权容器权限过大，易被提权攻击。
第三方镜像存在恶意程序、漏洞、敏感信息泄露问题。
网络隔离不完善，易发生容器间横向渗透攻击。
资源限制不完善，易出现资源耗尽导致服务瘫痪。
（2）对比容器与虚拟机安全性
容器属于操作系统级虚拟化，共享宿主机内核，仅实现进程隔离，安全边界弱，易发生容器逃逸，攻击面大；KVM 虚拟机属于硬件级虚拟化，拥有独立操作系统内核，硬件资源完全隔离，隔离性强，安全性更高，但资源占用大、启动较慢。
（3）容器安全防护措施
严格控制容器运行权限，禁止特权运行，使用普通用户启动容器。
规范镜像管理，使用安全官方镜像，进行漏洞扫描与安全校验。
限制危险挂载，修补内核与组件漏洞，防范容器逃逸。
配置网络隔离策略，限制端口与网络访问，防止横向攻击。
通过 Cgroup 限制容器资源，避免资源耗尽攻击。
结合 Seccomp、AppArmor 等安全机制，加强系统调用与访问控制。
建立容器运行时监控、日志审计与异常入侵检测。
4. 什么是容器逃逸
容器逃逸是指攻击者在容器内部，利用内核漏洞、权限配置缺陷、挂载漏洞等方式，突破容器的隔离环境，获取宿主机操作系统的访问权限，进而控制整个宿主机以及其他容器的安全事件。