Belajar Cloud Hypervisor - Nested Virtualization & EC2

#Pendahuluan

Sejauh ini kita mengasumsikan host kalian adalah bare-metal yang kalian kontrol penuh. Tapi bagaimana kalau ingin menjalankan Cloud Hypervisor di cloud publik — di mana "host" itu sendiri sudah berupa VM? Jawabannya adalah nested virtualization: menjalankan hypervisor (KVM) di dalam VM yang disediakan penyedia cloud.

Ini mengubah permainan. Sebelumnya, CI/CD microVM atau cluster Kata Containers butuh bare-metal — mahal dan tidak elastis. Dengan nested virtualization di AWS EC2 (dan penyedia lain), kalian bisa membangun platform microVM di atas instance reguler yang skalanya mengikuti permintaan.

#Nested Virtualization di AWS EC2

#Dukungan Resmi (Februari 2026)

AWS secara resmi mendukung nested virtualization pada kelas instance tertentu — termasuk C8i, M8i, dan R8i (dan kelas sejenis) sejak Februari 2026. Artinya, instance ini mengekspos flag virtualisasi (vmx/svm) ke guest, sehingga di dalam instance kalian bisa:

1. Memuat KVM (/dev/kvm tersedia).
2. Menjalankan VMM apa pun — termasuk Cloud Hypervisor.
3. Membangun VM di dalam VM (guest-of-guest).

Verifikasi bahwa instance kalian mendukung nested virtualization:

grep -cE "(vmx|svm)" /proc/cpuinfo
ls -l /dev/kvm

Jika /dev/kvm tidak ada, muat modulnya:

sudo modprobe kvm_intel   # atau kvm_amd untuk AMD
ls -l /dev/kvm

#Membangun MicroVM CI/CD

Skenario paling menarik: runners CI/CD microVM. Alih-alih runner yang berbagi kernel host, tiap job dijalankan di Cloud Hypervisor VM tersendiri — isolasi penuh, tanpa VM yang "menempel" antar job.

cloud-hypervisor \
  --kernel kernel-vmlinux \
  --disk path=job.raw \
  --cpus boot=2 \
  --memory size=1G \
  --net tap=ci0,ip=172.16.0.1,mac=a8:21:95:80:00:99 \
  --cmdline "console=ttyS0 root=/dev/vda1 rw"

Dengan pola ini, satu instance C8i bisa menjalankan belasan microVM CI secara paralel — menggantikan kebutuhan bare-metal untuk workload seperti ini. Kecepatan boot Cloud Hypervisor (episode 16) adalah kuncinya: job dijalankan dalam hitungan detik.

#Menghitung Kapasitas

Nested virtualization punya biaya: virtualisasi berlapis menambah overhead. Ukur dengan benchmark (episode 16) berapa performa yang bisa dicapai, dan pantau metrik seperti CPU steal time:

top -b -n1 | grep -E "steal|wa"

steal yang tinggi menandakan host fisik di atas kalian ikut sibuk — pertimbangkan instance yang lebih besar atau kelas berbeda.

#Bare-metal dan On-prem

#Kapan Tetap Bare-metal

Nested virtualization tidak gratis dan punya batas. Untuk workload yang butuh performa deterministik — HPC, workload I/O berat, atau passthrough VFIO yang butuh hardware langsung (episode 8) — bare-metal tetap pilihan utama:

• AWS kelas .metal: instance bare-metal Nitro, /dev/kvm penuh tanpa lapisan virtualisasi tambahan.
• On-prem/colo: server fisik di data center sendiri dengan kontrol penuh atas BIOS dan firmware.

sudo ip link add br0 type bridge
sudo ip link set eno1 master br0
cloud-hypervisor \
  --kernel kernel-vmlinux \
  --disk path=prod.raw \
  --net tap=prod0,ip=10.0.0.1,mac=a8:21:95:80:00:11 \
  --cpus boot=8 \
  --memory size=16G

#Edge Nodes

Di edge — perangkat dengan resource terbatas dan jaringan tidak stabil — Cloud Hypervisor menawarkan dua hal yang berharga:

• Footprint kecil: binary statis dan memory overhead rendah cocok untuk perangkat dengan RAM terbatas.
• Isolasi kuat: menjalankan workload pihak ketiga di perangkat edge tanpa khawatir mereka menguasai device.

Pola umum: node edge menjalankan Cloud Hypervisor dengan image kecil dan workload immutable, dikelola dari pusat:

cloud-hypervisor \
  --kernel kernel-vmlinux \
  --disk path=edge.raw,readonly=on \
  --cpus boot=1 \
  --memory size=512M \
  --cmdline "console=ttyS0 root=/dev/vda1 ro quiet"

readonly=on dan ro membuat image edge immutable — setiap reboot kembali ke kondisi semula, mengurangi risiko drift dan kompromi persisten.

#Arsitektur Deployment yang Disarankan

Untuk production, gabungkan pola-pola ini:

• CI/CD microVM: instance EC2 nested virtualization (C8i/M8i/R8i) → Cloud Hypervisor microVM per job.
• Multi-tenant: bare-metal on-prem → cluster VM dengan TAP per-VM + firewall (episode 13).
• Edge: device kecil → image immutable read-only, kontrol terpusat.

Cloud publik (EC2 nested)   → CI/CD microVM, Kata cluster
Bare-metal / on-prem        → workload deterministik, VFIO, HPC
Edge nodes                  → microVM immutable, footprint kecil

#Pitfall Umum

• /dev/kvm tidak ada: cek kelas instance, atau muat modul kvm.
• Performa aneh di nested: steal time tinggi atau boot lambat — ukur dan bandingkan dengan bare-metal.
• Passthrough di nested: VFIO butuh hardware langsung — tidak berfungsi di guest-of-guest.
• Edge dengan storage kecil: pastikan disk image cocok; pakai qcow2/backing file untuk menghemat ruang.
• Jaringan edge: TAP di device dengan satu NIC — siapkan routing dan DNS yang benar.

#Penutup

Inti yang harus dibawa pulang:

• Nested virtualization memungkinkan KVM dan Cloud Hypervisor di instance cloud reguler.
• AWS EC2 kelas C8i/M8i/R8i mendukung nested virtualization (Feb 2026).
• CI/CD microVM: tiap job di VM terisolasi, tanpa butuh bare-metal.
• Bare-metal tetap wajib untuk VFIO, HPC, dan performa deterministik.
• Edge nodes cocok dengan footprint kecil + image immutable read-only.
• Pilih deployment sesuai kebutuhan: cloud untuk elastisitas, bare-metal untuk determinisme.

Di episode 20 selanjutnya kita akan menyempurnakan performa & observability — hugepages, CPU pinning/affinity, NUMA awareness, lalu log VMM, metrics, tracing, dan debugging dengan gdb. Dari "VM jalan" menuju "VM yang diukur dan dioptimalkan".