AWS 终于支持非裸金属实例的嵌套虚拟化了！成本直降 95%

AWS 终于支持非裸金属实例的嵌套虚拟化了！成本直降 95%

2026年2月12日，AWS 悄悄地在 EC2 API 中加入了一个重磅功能：非裸金属实例的嵌套虚拟化支持。这个更新对于需要在云上运行虚拟机的开发者来说，简直是个大喜讯。

在此之前，如果你想在 AWS 上使用嵌套虚拟化（比如在 EC2 实例里跑 KVM、Docker Desktop 或 Firecracker），唯一的选择就是昂贵的裸金属实例。最便宜的 m5.metal 实例每月要花 $3,364，对于只想跑几个测试虚拟机的开发者来说，这个价格实在是太不友好了。

现在，AWS 终于在第8代 Intel 实例（c8i、m8i、r8i 系列）上支持了嵌套虚拟化，最小的 m8i.large 实例每月只需 $70，成本直接降低了 97.9%！

🎯 什么是嵌套虚拟化？

简单来说，嵌套虚拟化就是"虚拟机里跑虚拟机"。在云计算环境中，这意味着：

• L0 层：AWS 的物理服务器和 Nitro System hypervisor
• L1 层：你的 EC2 实例（已经是虚拟机了）
• L2 层：在 EC2 实例内创建的虚拟机

这种技术允许你在云虚拟机中运行自己的虚拟化环境，比如 KVM、Firecracker、Kata Containers 等。对于开发测试、CI/CD、容器隔离等场景非常有用。

📊 AWS 嵌套虚拟化的演进

⚙️ 技术实现原理

AWS 通过在 EC2 实例中暴露 Intel VT-x（Intel Virtualization Technology） 指令集来实现嵌套虚拟化。简单来说：

1. 物理主机使用 AWS Nitro System（基于 KVM 的安全加固 hypervisor）
2. L1 实例（你的 EC2）获得 VT-x 扩展支持
3. L1 实例内的 hypervisor（如 KVM）可以利用硬件辅助虚拟化创建 L2 虚拟机

这样一来，嵌套虚拟化的性能损耗可以控制在 10% 左右，对于大多数开发测试场景来说完全可以接受。

💻 支持的实例类型

目前支持嵌套虚拟化的是第8代 Intel 实例系列，这些实例采用 定制版 Intel Xeon 6 处理器（仅在 AWS 上提供），性能相当强悍：

• 全核心持续 Turbo 频率：3.9 GHz
• 相比第7代 Intel 实例性能提升 20%
• 内存带宽提升 2.5 倍
• NGINX Web 应用快 60%
• AI 深度学习推荐模型快 40%

通用型实例（General Purpose）

• M8i 系列：从 m8i.large（2 vCPU, 8 GB）到 m8i.96xlarge（384 vCPU, 1536 GB）
• M8id 系列：带本地 NVMe 存储，规格同上

计算优化型实例（Compute Optimized）

• C8i 系列：从 c8i.large（2 vCPU, 4 GB）到 c8i.96xlarge（384 vCPU, 768 GB）
• C8i-flex 系列：灵活配置，适合突发工作负载
• C8id 系列：带本地 NVMe 存储

内存优化型实例（Memory Optimized）

• R8i 系列：从 r8i.large（2 vCPU, 16 GB）到 r8i.96xlarge（384 vCPU, 3072 GB）
• R8i-flex 系列：灵活配置
• R8id 系列：带本地 NVMe 存储

⚠️ 注意：E2 系列、AMD 处理器实例、ARM 处理器实例（Graviton）都不支持嵌套虚拟化。

你可以用这个命令查询所有支持嵌套虚拟化的实例类型：

aws ec2 describe-instance-types \
  --filters "Name=processor-info.supported-features,Values=nested-virtualization" \
  --query "sort(InstanceTypes[].InstanceType)" \
  --region us-east-1

🎯 典型使用场景

1. 开发和测试环境

在单个 EC2 实例上测试多个操作系统版本，验证软件包在不同 OS 上的兼容性。对于需要频繁切换测试环境的开发者来说，这比维护一堆 EC2 实例要方便得多。

2. 容器和微虚拟机

这是最激动人心的应用场景：

• Firecracker：AWS 的轻量级微虚拟机技术，Lambda 和 Fargate 的基础。现在你可以在普通 EC2 实例上跑 Firecracker 了！
• Kata Containers：提供 VM 级别隔离的容器运行时，安全性更高
• Docker Desktop：在云端运行完整的 Docker 开发环境

3. CI/CD 流水线

运行需要虚拟化的自动化测试，比如测试容器编排、虚拟机镜像构建等。配合 Spot 实例使用，成本可以控制得非常低。

4. 灾难恢复和迁移

将本地虚拟机快速迁移到 AWS 而无需转换格式，或者运行无法直接迁移到 EC2 的遗留系统。

5. 教育和培训

教授 hypervisor 和虚拟化技术，为学生提供隔离的实验环境。每个学生可以在自己的虚拟机里随便折腾，不会影响其他人。

6. 多租户平台

为每个租户提供隔离的虚拟化环境，构建 SaaS 平台或虚拟机即服务（VMaaS）。

⚡ 性能和限制

性能损耗

即使有硬件辅助虚拟化，嵌套虚拟机仍会有一定的性能损耗：

• CPU 密集型工作负载：性能下降约 10%
• I/O 密集型工作负载：性能下降可能超过 10%
• 网络性能：可能受到额外虚拟化层的影响

不过对于开发测试、CI/CD 等场景来说，这点性能损耗完全可以接受。如果你需要更高的性能，可以选择更大的实例规格来补偿。

技术限制

• Hypervisor 支持：仅支持 Linux KVM，不支持 Microsoft Hyper-V
• 操作系统：推荐使用 Amazon Linux 2023、Ubuntu、RHEL 等主流 Linux 发行版
• 许可证：L2 虚拟机的商业操作系统需要自带许可证（BYOL）
• 嵌套深度：不支持 L3 及更深层次的嵌套
• 设备直通：不支持 GPU、FPGA 等设备的直通
• 网络：L2 虚拟机无法直接获得 AWS 网络功能（VPC、安全组等），需要通过 L1 实例进行 NAT 或桥接

🚀 如何启用嵌套虚拟化

前置要求

首先，确保你的 AWS CLI 版本足够新。CloudShell 默认的 v2.33.6 不支持这个功能，需要更新到 v2.33.21 或更高版本：

# 在 CloudShell 中更新 AWS CLI
curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
unzip -o awscliv2.zip
./aws/install -i ~/aws-cli -b ~/bin --update
echo 'export PATH=~/bin:$PATH' >> ~/.bashrc
source ~/.bashrc

# 验证版本
aws --version

方法一：创建新实例时启用

使用 --cpu-options NestedVirtualization=enabled 参数：

aws ec2 run-instances \
  --instance-type m8i.large \
  --image-id ami-xxxxxxxxx \
  --cpu-options NestedVirtualization=enabled \
  --subnet-id subnet-xxxxxxxxx \
  --security-group-ids sg-xxxxxxxxx \
  --tag-specifications 'ResourceType=instance,Tags=[{Key=Name,Value=nested-virt-test}]' \
  --region us-east-1

方法二：修改现有实例

需要先停止实例，然后修改 CPU 选项：

# 停止实例
aws ec2 stop-instances --instance-ids i-xxxxxxxxx
aws ec2 wait instance-stopped --instance-ids i-xxxxxxxxx

# 启用嵌套虚拟化
aws ec2 modify-instance-cpu-options \
  --instance-id i-xxxxxxxxx \
  --nested-virtualization enabled \
  --region us-east-1

# 启动实例
aws ec2 start-instances --instance-ids i-xxxxxxxxx

验证配置

连接到实例后，运行以下命令验证：

# 检查 KVM 设备
ls -la /dev/kvm
# 应该看到：crw-rw-rw-. 1 root kvm 10, 232 ...

# 检查 CPU 标志
grep -E 'vmx|svm' /proc/cpuinfo | head -1
# 应该看到 'vmx' 标志

# 检查 KVM 模块
lsmod | grep kvm
# 应该看到 kvm_intel 和 kvm 模块

安装 KVM 和相关工具

Amazon Linux 2023 / RHEL：

sudo dnf install -y qemu-kvm libvirt virt-install
sudo systemctl start libvirtd
sudo systemctl enable libvirtd
sudo usermod -aG kvm $USER
sudo setfacl -m u:${USER}:rw /dev/kvm

Ubuntu / Debian：

sudo apt update
sudo apt install -y qemu-kvm libvirt-daemon-system libvirt-clients bridge-utils
sudo systemctl start libvirtd
sudo systemctl enable libvirtd
sudo usermod -aG kvm $USER
sudo setfacl -m u:${USER}:rw /dev/kvm

运行 Firecracker 微虚拟机

这是最酷的部分！Firecracker 是 AWS Lambda 和 Fargate 的基础技术，现在你可以在普通 EC2 实例上玩了：

# 安装 Firecracker
ARCH="$(uname -m)"
release_url="https://github.com/firecracker-microvm/firecracker/releases"
latest=$(basename $(curl -fsSLI -o /dev/null -w %{url_effective} ${release_url}/latest))
curl -L ${release_url}/download/${latest}/firecracker-${latest}-${ARCH}.tgz | tar -xz
sudo mv release-${latest}-${ARCH}/firecracker-${latest}-${ARCH} /usr/local/bin/firecracker

# 下载内核和 rootfs（省略详细步骤，参考官方文档）

# 创建配置文件
cat > vm-config.json <

实例成本：$0.384/小时 × 730 小时 = $280.32
存储成本：100 GB × $0.08/GB = $8.00
快照成本：50 GB × $0.05/GB = $2.50
数据传输：50 GB × $0.09/GB = $4.50
-------------------------------------------
月总成本：$295.32