VPS, VM und VPC: Unterschiede einfach erklärt

VPS, VM und VPC in einem Absatz

Eine VM (virtuelle Maschine) ist ein Computer aus Software: Ein Hypervisor teilt einen physischen Server in mehrere unabhängige Maschinen auf, und jede davon führt ihren eigenen Kernel aus. Ein VPS (virtueller privater Server) ist ein Server, den Sie als Produkt mieten, mit einem Betriebssystem, normalerweise Root-Zugriff und einem monatlichen Preis. Die meisten VPS-Tarife basieren auf virtuellen Maschinen. Einige Hoster verkaufen unter derselben Bezeichnung jedoch Container, die den Kernel des Hosts gemeinsam nutzen. Eine VPC (virtuelle private Cloud) ist überhaupt kein Server. Sie ist ein privates Netzwerk, das Sie innerhalb eines Cloud-Kontos definieren und in das Sie Ressourcen einbinden. VM bezeichnet die übliche Technologie. VPS bezeichnet das Produkt. VPC bezeichnet das Netzwerk um das Produkt herum.

Zwei dieser Begriffe beschreiben eine Maschine. Der dritte beschreibt ein Netzwerk. Fast die gesamte Verwirrung entsteht durch diesen Unterschied, weil die Begriffe so verglichen werden, als wären sie drei Produkte in einem Regal.

Was eine VM ist

Ein Hypervisor ist die Schicht, die Hardware simuliert. Er stellt jedem Gast eine virtuelle CPU, Arbeitsspeicher, eine virtuelle Festplatte und eine virtuelle Netzwerkkarte bereit. Außerdem verhindert er, dass die Gäste einander sehen. KVM, Xen, Hyper-V und VMware ESXi sind die gängigen Hypervisoren auf Servern. Moderne Hypervisoren nutzen Virtualisierungserweiterungen der CPU (Intel VT-x, AMD-V). Dadurch werden Gastanweisungen mit nahezu nativer Geschwindigkeit auf der echten CPU ausgeführt, statt interpretiert zu werden.

Für Systemadministratoren ist der Kernel entscheidend. Eine VM startet ihren eigenen Kernel. Sie wählen daher die Distribution, laden Kernelmodule und setzen sysctl-Werte, die nur für diese VM gelten. Das unterscheidet eine VM von einem Container (LXC, Docker). Ein Container verwendet den Kernel des Hosts gemeinsam mit anderen Containern und erhält nur eine eigene Sicht auf Prozesse und Dateien.

Mit einem Befehl sehen Sie die Antwort auf jedem Linux-System.

systemd-detect-virt

kvm bedeutet, dass Sie eine virtuelle Maschine auf einem KVM-Hypervisor verwenden. lxc oder openvz bedeutet, dass Sie sich in einem Container auf dem Kernel eines anderen Systems befinden. none bedeutet, dass keine unterstützte Virtualisierung erkannt wurde. Falls der Befehl fehlt, zeigt lscpu | grep -i hypervisor Informationen zum Hypervisor an, identifiziert jedoch keine Container.

Was ein VPS ist

Ein VPS ist ein kommerzielles Paket für einen isolierten Server, meistens eine VM. Die zugrunde liegende Technologie ist Virtualisierung. Die Bezeichnung „VPS“ umfasst zusätzlich die Merkmale, die das Angebot vermarktbar machen: ein OS-Image zur Neuinstallation, eine IP-Adresse, ein begrenztes Datenübertragungsvolumen, ein Control Panel, einen monatlichen Preis und einen Ansprechpartner, den Sie per E-Mail erreichen können, wenn der Host ausfällt. „Private“ grenzt das Angebot vom Shared Hosting ab. Dort teilen sich Hunderte Websites ein Betriebssystem und eine gemeinsame PHP-Konfiguration.

Da VPS eine Produktbezeichnung und kein technischer Begriff ist, bedeutet sie nicht immer eine vollständige VM. Einige günstige Tarife bieten Container unter derselben Bezeichnung an. OpenVZ, eine Container-Plattform hinter vielen dieser Angebote, bezeichnet seine Container als „auch als virtuelle private Server bekannt“. Der Unterschied zeigt sich, sobald Sie den Kernel benötigen. Bei einem containerbasierten Tarif gehört der Kernel zum Host, und Sie dürfen ihn nicht ändern. sudo modprobe wireguard schlägt fehl, wenn es das Modul nicht im Modulverzeichnis des Containers findet, selbst wenn der Host es bereits geladen hat. Das Laden eines fehlenden Moduls erfordert außerdem die Berechtigung, den Host-Kernel zu ändern. Wenn der Host-Kernel keine WireGuard-Unterstützung bietet, schlägt das Erstellen des Interfaces (ip link add dev wg0 type wireguard) mit RTNETLINK answers: Operation not supported fehl. wg-quick verwendet dann eine Userspace-Implementierung (standardmäßig wireguard-go), sofern eine solche installiert ist, und gibt „Fehlendes WireGuard-Kernelmodul. Es wird auf eine langsame Userspace-Implementierung zurückgegriffen.“ aus. Auch für diesen Fallback muss der Container das TUN-Gerät verwenden dürfen. Das erlaubt nicht jeder Host. Ohne eine Userspace-Binärdatei bricht wg-quick mit diesem Fehler ab. Bei einem KVM-Tarif gehört der Kernel Ihnen. Sie installieren WireGuard, laden das Modul, falls es noch nicht geladen ist, konfigurieren das Interface, und der Tunnel wird aufgebaut. Wenn Sie Docker, ein VPN, eigene Kernel oder eigene virtuelle Maschinen innerhalb des Servers ausführen möchten, prüfen Sie vor dem Kauf den Virtualisierungstyp. Das Ausführen von virtuellen Maschinen innerhalb eines VPS erfordert KVM mit aktivierter verschachtelter Virtualisierung auf dem Host. Dadurch reduziert sich die Auswahl der geeigneten Tarife nochmals.

Was ein VPC ist

Ein VPC ist ein softwaredefiniertes Netzwerk innerhalb eines Cloud-Anbieters. Bei den meisten Clouds weisen Sie ihm einen Adressbereich in CIDR-Notation zu, beispielsweise 10.0.0.0/16, und teilen diesen anschließend in Subnetze auf (Google Cloud verwendet keinen netzwerkweiten Bereich, sondern weist jedem regionalen Subnetz einen eigenen Bereich zu). Sie ordnen Routingtabellen zu und schalten Firewall-Regeln (Security Groups) den darin enthaltenen Ressourcen vor. Ein VPC hat keine CPU, keinen Arbeitsspeicher und keinen Datenträger. Es gibt nichts, worauf Sie sich anmelden können. Wenn Sie alle Server in einem VPC löschen, bleibt das VPC leer bestehen und verursacht in der Regel keine Kosten.

Ein VPC ermöglicht private Adressierung. Zwei Server im selben VPC kommunizieren über Adressen wie 10.0.1.15 über das interne Netzwerk des Anbieters. Der Netzwerkverkehr berührt dadurch niemals das öffentliche Internet und wird nicht als Internet-Egress abgerechnet. Eine Datenbank kann dann ausschließlich auf ihrer privaten Adresse lauschen. Kein Port ist direkt aus dem Internet erreichbar.

ip -4 addr show

Eine Adresse innerhalb von 10.0.0.0/8, 172.16.0.0/12 oder 192.168.0.0/16 ist privat. Eine öffentliche Adresse allein macht den Server nicht aus dem Internet erreichbar: Routing- und Firewall-Regeln müssen den Zugriff ebenfalls erlauben.

Macht eine VPC meinen Server privat?

Nein. Das ist das kostspieligste Missverständnis dieser drei Begriffe. Eine VPC steuert Routing und Adressierung. Sie entscheidet nicht, ob das Internet eine Maschine erreichen kann. Wenn eine Instanz eine öffentliche IP-Adresse besitzt, ihr Subnetz über eine Route mit dem Internet verbunden ist und die Sicherheitsregeln Port 22 von 0.0.0.0/0 zulassen, ist sie genauso exponiert wie jeder andere Server, unabhängig davon, ob er sich in einer VPC befindet. In einer Standard-VPC ist diese Route zum Internet bereits eingerichtet. Die Isolation durch eine VPC besteht darin, einer Ressource überhaupt keine öffentliche Adresse zuzuweisen und zusätzlich Regeln festzulegen, welche Subnetze miteinander kommunizieren dürfen.

Die drei Begriffe stehen außerdem für unterschiedliche Arten der Isolation. Eine VM isoliert die Rechenressourcen: Der Hypervisor trennt CPU-Zeit und Arbeitsspeicher, sodass ein anderer Gast Ihren RAM nicht lesen kann. Bei Datenträgern und Netzwerk ist diese Isolation schwächer. Ein ausgelasteter Nachbar auf demselben Host kann Ihre Leistung weiterhin beeinträchtigen. Ein Container-basiertes VPS verwendet einen gemeinsamen Kernel. Daher stellt ein Fehler auf Kernel-Ebene ein gemeinsames Risiko dar. Eine VPC isoliert die Rechenressourcen überhaupt nicht. Sie strukturiert ausschließlich das Netzwerk.

Das Preismodell verstehen

Ein VPS wird in der Regel zu einem festen monatlichen Preis für eine feste Maschine angeboten. Sie kennen die Kosten, bevor der Monat beginnt, und Speicherplatz sowie das enthaltene Transfervolumen sind darin bereits berücksichtigt. Diese Planbarkeit ist der wichtigste Grund, warum sich viele bei kleinen Workloads für einen VPS statt für eine Cloud-Instanz entscheiden.

Eine Cloud-VM wird nach Verbrauch abgerechnet. Die Instanz kostet pro Stunde oder pro Sekunde. Das Laufwerk, Snapshots, der Load Balancer und ausgehender Netzwerkverkehr werden separat berechnet. Die VPC selbst ist normalerweise kostenlos. Die daran angebundenen verwalteten Komponenten sind es jedoch nicht: Ein NAT Gateway, über das private Instanzen das Internet erreichen, wird pro Stunde berechnet. Wie sein Datenverkehr abgerechnet wird, hängt vom Provider ab. AWS berechnet für jedes Gigabyte, das das NAT Gateway verarbeitet, zusätzliche Kosten. OVHcloud gibt dagegen an, dass sein Public Cloud Gateway stündlich und nach Nutzung abgerechnet wird, wobei der Datenverkehr enthalten ist. Bei AWS wird außerdem Datenverkehr berechnet, der Availability Zones überschreitet. Azure berechnet dagegen keinen Datenverkehr zwischen seinen Zonen in derselben Region. Am 27. Oktober 2026 heißt es im AWS VPC Guide, dass Sie in jeder Region über eine Default VPC verfügen. Laut AWS VPC FAQ können Konten, die vor dem 18. März 2013 erstellt wurden, Default VPCs in aktivierten Regionen verwenden, sofern dort zuvor keine EC2-Instanzen gestartet und keine ELB-, RDS-, ElastiCache- oder Redshift-Ressourcen bereitgestellt wurden. Eine gelöschte Default VPC kann neu erstellt, aber nicht wiederhergestellt werden. Google Cloud erstellt für jedes neue Projekt ein Default Network, sofern ein Administrator dies nicht deaktiviert. Azure erstellt zusammen mit einer neuen VM ein Virtual Network, wenn Sie kein vorhandenes auswählen. In jedem Fall befindet sich Ihre Cloud-VM innerhalb eines dieser Netzwerke, unabhängig davon, ob Sie dies angefordert haben.

Welche Option benötigen Sie tatsächlich?

• Ein Server für eine Website, eine Anwendung, einen Gameserver oder ein VPN: ein VPS. Die ersten zehn Minuten auf einem neuen VPS sind wichtiger als die Bezeichnung des Tarifs.
• Mehrere Server, die sich über private Adressen erreichen müssen: eine VPC oder die Funktion für private Netzwerke, die Ihr VPS-Anbieter unter einer anderen Bezeichnung anbietet.
• Eine Workload, die den Ausfall eines gesamten Rechenzentrums überstehen muss: eine Cloud mit mehreren Zonen. Das bedeutet VMs innerhalb einer VPC.
• Vollständige Kontrolle über den Kernel oder einen eigenen Hypervisor auf dieser Ebene: ein KVM-basierter VPS mit aktivierter verschachtelter Virtualisierung, falls Sie den Hypervisor ausführen möchten, oder ein dedizierter Server. Prüfen Sie beim Vergleich außerdem den Festplattentyp hinter dem Tarif.

Für die meisten Projekte mit einem einzelnen Server ist keine VPC erforderlich. Die in einem VPS enthaltene Funktion für private Netzwerke erfüllt dieselbe Aufgabe für eine kleine Anzahl von Maschinen.

FAQ

Ist ein VPS dasselbe wie eine VM?

In der Regel, aber nicht immer. Jeder VPS auf Basis von KVM, Xen oder VMware ist eine virtuelle Maschine. Aber nicht jede virtuelle Maschine ist ein VPS, weil die VM auf Ihrem Laptop unter VirtualBox kein Produkt eines Anbieters ist. Umgekehrt ist nicht jeder VPS eine VM: Tarife auf Basis von OpenVZ oder LXC sind Container, die den Kernel des Hosts gemeinsam nutzen. OpenVZ selbst bezeichnet seine Container als virtuelle private Server. Prüfen Sie dies mit systemd-detect-virt, bevor Sie auf Kernelzugriff angewiesen sind.

Kann ich einen VPS in einer VPC betreiben?

In der Regel nicht, weil eine VPC ein Konstrukt eines einzelnen Cloud-Anbieters ist. AWS unterstützt außerdem die gemeinsame Nutzung seiner Subnetze durch mehrere Konten innerhalb derselben Organisation. Ein VPS eines unabhängigen Anbieters befindet sich im Netzwerk dieses Anbieters. Wenn Sie private Verbindungen zwischen beiden benötigen, richten Sie stattdessen einen VPN-Tunnel zwischen ihnen ein. Der VPS erreicht die privaten Subnetze dann über diesen Tunnel.

Warum ist meine Cloud-Rechnung höher als die eines vergleichbaren VPS?

Der Instanzpreis ist nur ein Teil der Kosten. Speicher, Snapshots, ausgehender Netzwerkverkehr, Load Balancer und NAT-Gateways werden in einer verbrauchsabhängigen Cloud separat abgerechnet. Allein ein NAT-Gateway kann pro Monat mehr kosten als ein kleiner VPS. Bei einem VPS mit Festpreis sind das Laufwerk und ein festgelegtes Transferkontingent in einem Preis enthalten. Deshalb wirkt dieselbe Arbeitslast dort häufig günstiger.

Wie prüfe ich, ob mein Server tatsächlich Kernelzugriff bietet?

Führen Sie systemd-detect-virt aus und lesen Sie die Ausgabe. kvm, xen oder vmware (bei neueren EC2-Instanzen auch amazon) bedeuten, dass Sie einen eigenen Kernel verwenden und modprobe Module darin laden kann. lxc, lxc-libvirt oder openvz bedeuten, dass Sie den Kernel des Hosts gemeinsam nutzen. Zum Laden von Modulen sind Berechtigungen im Host-Kernel erforderlich. Namespaced-Einstellungen unter /proc/sys, einschließlich Netzwerkeinstellungen, bleiben konfigurierbar, sofern der Host dies erlaubt. Eine weitere Bestätigung liefert uname -r. Bei einem Container-Tarif gibt dieser Befehl häufig eine Kernelversion aus, die Ihre Distribution nie veröffentlicht hat.