1. Introducción y arquitectura de NorTK VM
NorTK VM es la plataforma de virtualización empresarial de alto desempeño desarrollada por NorTK para operar cargas de trabajo de misión crítica sobre la edición corporativa de CentOS Stream. Diseñada como un reemplazo directo y soberano frente a hipervisores propietarios cerrados como VMware vSphere, NorTK VM elimina por completo el licenciamiento por núcleo o zócalo de procesador, otorgando independencia tecnológica y control operativo absoluto.
1.1. Hipervisor KVM y virtualización por hardware
El núcleo de cómputo de NorTK VM descansa en KVM (Kernel-based Virtual Machine), un hipervisor de Tipo 1 integrado de manera nativa en el kernel de Linux. A diferencia de las soluciones de emulación pura, KVM convierte el kernel en un hipervisor completo aprovechando las extensiones de virtualización por hardware de los procesadores modernos (Intel VT-x y AMD-V).
Modelo de procesos: Cada máquina virtual se ejecuta en el sistema anfitrión como un proceso estándar de Linux gestionado directamente por el planificador del kernel (Completely Fair Scheduler o EEVDF). Esto garantiza que la asignación de tiempo de CPU, prioridades de ejecución y gestión de afinidad NUMA se beneficien de tres décadas de optimización continua en el kernel.
Aislamiento de memoria: KVM utiliza paginación anidada por hardware (EPT en procesadores Intel y NPT en procesadores AMD), lo que reduce drásticamente la sobrecarga de traducción entre direcciones de memoria física del huésped y memoria del anfitrión.
1.2. Emulador QEMU y controladores VirtIO
Mientras que KVM ejecuta el código de la CPU invitada a velocidad nativa en el procesador físico, QEMU (Quick Emulator) proporciona la infraestructura de emulación de dispositivos de entrada/salida y periféricos de la placa madre.
Paravirtualización con VirtIO: Para evitar la latencia asociada a la emulación de hardware heredado (como controladores IDE o adaptadores de red Intel e1000), NorTK VM implementa de forma estandarizada controladores paravirtualizados VirtIO. Estos controladores establecen anillos de memoria compartida (vrings) entre el sistema operativo invitado y el hipervisor:
virtio-net: Adaptador de red paravirtualizado con soporte para colas múltiples (multi-queue) y descarga de segmentación TCP (TSO/GSO).virtio-scsi: Controlador de almacenamiento empresarial que admite etiquetado de comandos SCSI, paso directo de identificadores LUN y descarte de bloques (TRIM/UNMAP) para ahorro de espacio.virtio-balloon: Dispositivo de gestión dinámica de memoria para recuperación de memoria no utilizada en el huésped.
1.3. Capa de control unificada con libvirt
La administración, orquestación y monitoreo de las máquinas virtuales se realiza a través de la biblioteca y el conjunto de daemons de libvirt. En CentOS Stream, libvirt implementa una arquitectura modular con daemons especializados:
virtqemud: Daemon responsable exclusivo de la gestión del ciclo de vida de los dominios QEMU/KVM.virtstoraged: Gestor de pools y volúmenes de almacenamiento locales y en red.virtnetworkd: Gestor de conmutadores virtuales, puentes y reglas de filtrado de tráfico.
Esta abstracción garantiza una API uniforme consumida tanto por la consola web Cockpit como por el cliente gráfico virt-manager y la herramienta de línea de comandos virsh.
1.4. Aislamiento de seguridad mediante sVirt y SELinux
La seguridad multinivel en NorTK VM está garantizada por sVirt, una tecnología que fusiona libvirt con SELinux (Security-Enhanced Linux) en modo Enforcing:
Categorías MCS únicas: Cada máquina virtual se inicia bajo el dominio SELinux confinador
svirt_t, pero con un par exclusivo de categorías MCS (por ejemplo,c142,c480).Protección contra escapes de hipervisor: Si un atacante lograse comprometer el proceso QEMU de una máquina virtual aprovechando una vulnerabilidad de día cero, las reglas del kernel de SELinux le impedirán de forma determinista acceder a los archivos de disco, memoria o descriptores de archivo de cualquier otra máquina virtual o del sistema anfitrión.