Belajar Firecracker - MicroVM Images: Build & Optimasi Kernel

#Pendahuluan

Di episode 7 kita mengunci microVM dengan jailer. Sekarang pertanyaannya: isi apa? Episode 8 membahas bekal setiap microVM — image: rootfs dan kernel yang dibangun khusus untuk cepat boot, hemat memori, dan berisi hanya yang dibutuhkan.

Mengapa episode ini penting? Firecracker menjanjikan boot ~125 ms dan overhead < 5 MiB — tapi janji itu hanya terpenuhi jika image-nya bekerja sama. Rootfs yang gemuk, kernel yang memuat ratusan driver tak terpakai, dan init yang lambat akan membuat microVM boot berdetik-detik dan memakan memori berkali-kali lipat. Image adalah setengah dari performa.

#Filosofi Image MicroVM

Kernel dan rootfs di dunia microVM harus mengikuti prinsip yang berbeda dari distro server biasa:

• Boot sekali, hidup sebentar: tidak ada yang meng-update package di tengah jalan; image adalah template yang immutable.
• Kecil adalah cepat: semakin sedikit yang dimuat saat boot, semakin cepat cold start.
• Semua state di luar: data persisten tidak pernah tinggal di rootfs — ia ada di data drive, snapshot, atau storage eksternal.
• Read-only adalah teman: rootfs read-only memungkinkan sharing page cache dan menghilangkan kelas bug terkait modifikasi sistem.

Dengan prinsip ini, image microVM menjadi artefak yang bisa dibangun, diuji, dan direproduksi secara deterministik — bukan filesystem yang tumbuh seperti tanaman liar.

#Membangun Rootfs Minimal dengan Alpine

Alpine Linux adalah pilihan populer untuk microVM: kecil, memakai musl libc, dan mem-boot dari hampir tidak ada. Rencananya: buat filesystem ext4, bootstrap Alpine dengan apk, dan pasang hanya package yang dibutuhkan.

dd if=/dev/zero of=rootfs.ext4 bs=1M count=256
mkfs.ext4 rootfs.ext4
mkdir -p /mnt/fc-rootfs
sudo mount rootfs.ext4 /mnt/fc-rootfs
sudo mkdir -p /mnt/fc-rootfs/etc/apk

Tambahkan repository Alpine dan bootstrap:

sudo apk add --root /mnt/fc-rootfs --initdb --arch x86_64 alpine-base

Pasang hanya yang dibutuhkan — misalnya shell dan networking dasar:

sudo apk add --root /mnt/fc-rootfs --no-cache \
  alpine-baselayout busybox musl

Jangan install linux-firmware, jangan install seluruh desktop — setiap package menambah waktu boot dan memori. Pada tahap akhir, konfigurasi /etc/inittab agar init berjalan dengan console=ttyS0, lalu unmount:

sudo umount /mnt/fc-rootfs

#Kernel yang Ramah MicroVM

Kernel microVM di-build dengan konfigurasi yang memotong semua hal yang tidak dibutuhkan. Prinsip utamanya:

• Hanya driver yang dipakai: virtio-net, virtio-blk, virtio-fs, virtio-rng, serial 8250. Tidak ada sound, USB, GPU, atau filesystem eksotik.
• Static build untuk yang kritis: driver storage dan network dibangun ke dalam kernel (bukan module) — tanpa module, tidak ada waktu load module saat boot.
• Tanpa initramfs: rootfs ext4 langsung dikenali kernel; tanpa initramfs, boot lebih cepat dan image lebih kecil.
• Fitur keamanan aktif: seccomp, dan fitur mitigasi standard tetap hidup — optimasi bukan berarti melucuti keamanan.

Contoh arah konfigurasi (via make menuconfig atau config fragment):

CONFIG_VIRTIO=y
CONFIG_VIRTIO_MMIO=y
CONFIG_VIRTIO_BLK=y
CONFIG_VIRTIO_NET=y
CONFIG_VIRTIO_FS=y
CONFIG_VIRTIO_RNG=y
CONFIG_SERIAL_8250=y
CONFIG_SERIAL_8250_CONSOLE=y
CONFIG_EXT4_FS=y
CONFIG_NO_HZ_IDLE=y

Kemudian build:

make defconfig
make -j$(nproc) vmlinux

Hasilnya vmlinux (ELF uncompressed) yang siap dipakai Firecracker. Ukuran akhir biasanya di bawah 10 MB.

#Boot Params yang Tepat

Boot args menentukan bagaimana kernel menyapa hardware virtual:

{
  "kernel_image_path": "/vmlinux.bin",
  "boot_args": "console=ttyS0 reboot=k panic=1 pci=off iommu=off"
}

• console=ttyS0 — output ke serial, bisa dibaca operator.
• reboot=k — reboot via KVM (instan, bukan siklus daya).
• panic=1 — reboot 1 detik setelah kernel panic; microVM ephemeral tidak boleh menunggu manusia.
• pci=off — matikan scan PCI; mempercepat boot bila semua device dipakai via MMIO.
• iommu=off — untuk host tanpa IOMMU, menghindari waktu inisialisasi IOMMU.

Boot params adalah instrumen tuning: tanpa pci=off, kernel menghabiskan waktu men-scan bus PCI; dengan console=ttyS0, operator bisa membaca crash. Pilih sesuai workload — jangan menyalin buta.

#Tooling Build Image

Build image dengan tangan berulang-ulang tidak produktif. Ekosistem menyediakan tooling:

• firectl — CLI untuk launch Firecracker dari image OCI container; build sekali, jalankan banyak (episode 12).
• firecracker-containerd — runtime containerd yang membungkus image container menjadi microVM (episode 11).
• NixOS microvm.nix — mendeklarasikan seluruh image microVM (kernel, rootfs, init) sebagai konfigurasi Nix yang reproduktif dan bisa diuji.
• mkosi — membangun image OS lengkap (systemd-based) dari spec declarative, termasuk kernel dan rootfs untuk microVM.

Pola umum tooling ini: declarative spec → image artefak. Kernel, rootfs, dan init ditentukan sekali di konfigurasi; hasilnya image immutable yang di-hash dan didistribusikan. Inilah fondasi dari "build image dari Dockerfile" yang kita lihat di AWS Lambda MicroVMs (episode 18).

#Common Pitfalls

• Kernel compressed: vmlinuz tidak bisa dimuat; selalu pakai vmlinux ELF.
• Driver sebagai module: device virtio tidak terdeteksi karena modulenya tidak di-load; build driver kritis ke dalam kernel.
• Rootfs tanpa init: kernel boot tapi tidak menemukan proses pertama → panic. Pastikan /sbin/init ada dan /etc/inittab benar.
• console= tidak diset: output boot hilang; debugging jadi buta.
• Image gemuk: memuat package tak terpakai memperlambat boot dan membesarkan memori — audit isi image secara berkala.
• initramfs yang tak perlu: rootfs langsung dikenali; tanpa initramfs boot lebih cepat.

#Penutup

Inti yang harus dibawa pulang:

• Image microVM: kecil, immutable, read-only, dan state-nya di luar.
• Rootfs minimal dengan Alpine/musl; setiap package menambah biaya boot.
• Kernel di-build dengan driver static yang dibutuhkan saja, tanpa initramfs.
• Boot params seperti console=ttyS0, panic=1, pci=off adalah instrumen tuning nyata.
• Gunakan tooling declarative: firectl, firecracker-containerd, microvm.nix, mkosi.

Di episode 9 selanjutnya kita akan membuka kemampuan yang membuat Firecracker begitu disukai serverless: Snapshot & Restore — membekukan microVM berjalan dengan PUT /snapshot/create, menghidupkannya kembali dengan PUT /snapshot/load, memahami perbedaan memory dan diff snapshot, dan bagaimana pola ini mewujudkan cold start instan dan suspend/resume.