ההבדלים בין VPS ל-VM ו-VPC: מה באמת מתאים לכם?

VPS, VM ו-VPC בפסקה אחת

VM (מכונה וירטואלית) היא מחשב המבוסס על תוכנה: hypervisor מחלק שרת פיזי אחד לכמה מכונות עצמאיות, כאשר כל אחת מריצה kernel משלה. VPS (שרת וירטואלי פרטי) הוא שרת המושכר לכם כמוצר, הכולל מערכת הפעלה, בדרך כלל גישת root, ותשלום חודשי. רוב חבילות ה-VPS הן מכונות וירטואליות, אך יש ספקיות שמוכרות תחת שם זה מכולות (containers) החולקות את ה-kernel של המארח. VPC (ענן וירטואלי פרטי) אינו שרת כלל. זוהי רשת פרטית שאתם מגדירים בתוך חשבון ענן, ואליה אתם משייכים משאבים. VM היא הטכנולוגיה הנפוצה. VPS הוא המוצר. VPC הוא הרשת העוטפת את המוצר.

שניים ממושגים אלו מתארים מכונה. השלישי מתאר רשת. כמעט כל הבלבול נובע מחוסר ההתאמה הזה, כיוון שאנשים משווים ביניהם כאילו היו שלושה מוצרים על אותו מדף.

מהי מכונה וירטואלית (VM)

ה־hypervisor הוא השכבה שמדמה חומרה. הוא מקצה לכל מערכת אורחת (guest) מעבד וירטואלי, בלוק זיכרון, דיסק וירטואלי וכרטיס רשת וירטואלי, ומונע מהמערכות האורחות לראות זו את זו. KVM, Xen, Hyper-V ו־VMware ESXi הם הנפוצים ביותר בשרתים. hypervisors מודרניים מסתמכים על הרחבות וירטואליזציה של המעבד (Intel VT-x, AMD-V), כך שהוראות המערכת האורחת רצות על המעבד האמיתי במהירות הקרובה למהירות טבעית, במקום לעבור פרשנות (interpretation).

החלק שחשוב למנהל מערכות הוא ה־kernel. מכונה וירטואלית מאתחלת kernel משלה, לכן אתם בוחרים את ה־distribution, טוענים מודולים של ה־kernel ומגדירים ערכי sysctl שחלים רק עליכם. זה שונה ממכולה (LXC, Docker), שחולקת את ה־kernel של המארח ומקבלת רק תצוגה משלה של תהליכים וקבצים.

ניתן לראות את התשובה בכל מכונת Linux באמצעות פקודה אחת.

systemd-detect-virt

kvm מציין שאתם נמצאים במכונה וירטואלית על גבי hypervisor מסוג KVM. lxc או openvz מציינים שאתם נמצאים בתוך מכולה שמשתמשת ב־kernel של מישהו אחר. none מציין שלא זוהתה וירטואליזציה נתמכת. אם הפקודה חסרה, lscpu | grep -i hypervisor מציג מידע על ה־hypervisor, אך אינו מזהה מכולות.

מהו VPS

VPS הוא מעטפת מסחרית לשרת מבודד, לרוב מכונה וירטואלית (VM). הטכנולוגיה שמתחת היא וירטואליזציה, והמונח "VPS" מוסיף את המרכיבים שהופכים את השירות למוצר: תמונת מערכת הפעלה שניתן להתקין מחדש, כתובת IP, מכסת תעבורה, לוח בקרה, מחיר חודשי וגורם שאפשר לפנות אליו במקרה של תקלה בשרת המארח. המילה "Private" נועדה להבדיל אותו מאחסון שיתופי, שבו מאות אתרים חולקים מערכת הפעלה אחת ותצורת PHP אחת.

מכיוון ש־VPS הוא שם של מוצר ולא מונח טכני, הוא לא תמיד מציין VM מלאה. תוכניות תקציביות מסוימות מוכרות מכולות (containers) תחת אותו שם, ו־OpenVZ, פלטפורמת מכולות שעומדת מאחורי רבות מהן, מתארת את המכולות שלה כ"ידועות גם כשרתים וירטואליים פרטיים". ההבדל מתגלה בפעם הראשונה שבה נדרשת גישה ל־kernel. בתוכנית מבוססת מכולות, ה־kernel שייך למארח ולא ניתן לשנות אותו. sudo modprobe wireguard נכשל אם הוא לא מוצא את המודול בספריית המודולים של המכולה, גם אם המארח כבר טען אותו; טעינת מודול חסר דורשת גם הרשאה לשינוי ה־kernel של המארח. אם ל־kernel של המארח אין תמיכה ב־WireGuard, יצירת הממשק (ip link add dev wg0 type wireguard) נכשלת עם RTNETLINK answers: Operation not supported. לאחר מכן wg-quick חוזר למימוש ב־userspace (כברירת מחדל wireguard-go) אם הוא מותקן, ומדפיס "Missing WireGuard kernel module. Falling back to slow userspace implementation." חזרה זו עדיין דורשת שהמכולה תורשה להשתמש בהתקן TUN, דבר שלא כל מארח מאפשר, ובלי קובץ בינארי של userspace, wg-quick נעצר בשגיאה. בתוכנית מבוססת KVM, ה־kernel הוא שלכם: אתם מתקינים את WireGuard, טוענים את המודול אם הוא לא טעון, מגדירים את הממשק, והמנהרה עולה. אם אתם מתכננים להריץ Docker, VPN, kernels מותאמים אישית או מכונות וירטואליות משלכם בתוך השרת, בדקו את סוג הווירטואליזציה לפני הרכישה. הרצה של מכונות וירטואליות בתוך VPS דורשת KVM עם וירטואליזציה מקוננת (nested virtualisation) מופעלת בצד המארח, מה שמצמצם עוד יותר את מבחר התוכניות הזמינות.

מהו VPC

VPC הוא רשת מוגדרת תוכנה בתוך ספק ענן. ברוב ספקי הענן, עליך להגדיר לו טווח כתובות בסימון CIDR, כגון 10.0.0.0/16, ולאחר מכן לפצל אותו לרשתות משנה (Google Cloud מוותר על טווח רשת כללי ומקצה לכל רשת משנה אזורית טווח משלה). אתה מצמיד ל־VPC טבלאות ניתוב ומציב חוקי firewall (קבוצות אבטחה) לפני המשאבים שבתוכו. ל־VPC אין מעבד, אין זיכרון ואין דיסק. אין בו שום דבר שאפשר להתחבר אליו. מחיקת כל השרתים בתוך VPC משאירה את ה־VPC במקומו, ריק ובדרך כלל ללא עלות.

מה ש־VPC מעניק לך הוא כתובות פרטיות. שני שרתים באותו VPC מתקשרים באמצעות כתובות כמו 10.0.1.15 על גבי התשתית הפנימית של הספק, כך שהתעבורה לעולם אינה נוגעת באינטרנט הציבורי ואינה מחויבת כיוצאת לאינטרנט. מסד נתונים יכול להאזין לכתובתו הפרטית בלבד, ושום פורט לא ייחשף לעולם החיצון.

ip -4 addr show

כתובת בתוך 10.0.0.0/8, 172.16.0.0/12 או 192.168.0.0/16 היא כתובת פרטית. כתובת ציבורית לבדה אינה הופכת את השרת לנגיש מהאינטרנט: חוקי ניתוב ו־firewall חייבים לאפשר את הגישה גם כן.

האם VPC הופך את השרת שלי לפרטי?

לא, וזוהי אי-ההבנה היקרה ביותר מבין שלושת המושגים. VPC שולט בניתוב ובכתובות. הוא אינו קובע אם האינטרנט יכול להגיע למכונה. אם למופע (instance) יש כתובת IP ציבורית, רשת המשנה (subnet) שלו מנתבת לאינטרנט, וחוקי האבטחה מאפשרים גישה לפורט 22 מ-0.0.0.0/0, הוא חשוף בדיוק כמו כל שרת אחר, עם או בלי VPC. ב-VPC המוגדר כברירת מחדל, ניתוב זה לאינטרנט כבר קיים. הבידוד שמתקבל מ-VPC הוא היכולת לא להעניק למשאב כתובת ציבורית כלל, בתוספת חוקים הקובעים אילו רשתות משנה רשאיות לתקשר ביניהן.

שלושת המושגים מבטיחים גם סוגים שונים של בידוד. VM מבודד משאבי מחשוב: ה-hypervisor מפריד בין זמן מעבד לזיכרון, כך שאורח אחר אינו יכול לקרוא את ה-RAM שלכם. בידוד זה חלש יותר ברמת הדיסק והרשת, שבהם שכן עמוס על אותו מארח עדיין יכול להאט אתכם. שרת VPS מבוסס מכולות (container) חולק ליבה אחת, ולכן באג ברמת הליבה מהווה סיכון משותף. VPC אינו מבודד דבר ברמת המחשוב. הוא רק מעצב את הרשת.

מודל התמחור

שרת VPS נמכר בדרך כלל במחיר חודשי קבוע עבור מכונה בעלת מפרט קבוע. החשבונית ידועה מראש לפני תחילת החודש, והיא כוללת את נפח הדיסק ואת מכסת התעבורה. יכולת חיזוי זו היא הסיבה העיקרית לכך שאנשים בוחרים ב-VPS על פני instance בענן עבור עומסי עבודה קטנים.

מכונה וירטואלית (VM) בענן מתומחרת לפי שימוש. ה-instance מחויב לפי שעה או לפי שנייה, בעוד הדיסק, ה-snapshots, ה-load balancer והתעבורה היוצאת מחויבים בנפרד. ה-VPC עצמו הוא בדרך כלל בחינם, אך הרכיבים המנוהלים המחוברים אליו אינם כאלה: NAT gateway המאפשר ל-instances פרטיים גישה לאינטרנט מחויב לפי שעה, ואופן החיוב על התעבורה דרכו תלוי בספק. AWS מוסיפה חיוב על כל ג'יגה-בייט שה-NAT gateway מעבד, בעוד ש-OVHcloud מציינת כי ה-Public Cloud Gateway שלה מחויב לפי שעה ולפי שימוש, כאשר התעבורה כלולה. ב-AWS, תעבורה העוברת בין availability zones מחויבת גם היא, בעוד ש-Azure אינה גובה תשלום על תעבורה בין אזורים (zones) באותו region. נכון ל-27 באוקטובר 2026, מדריך ה-VPC של AWS מציין כי לכל region יש VPC ברירת מחדל, בעוד ש-FAQ של AWS VPC מציין כי חשבונות שנוצרו לפני ה-18 במרץ 2013 יכולים להשתמש ב-VPC ברירת מחדל ב-regions פעילים שבהם הם לא הריצו בעבר EC2 instances או הקצו משאבי ELB, RDS, ElastiCache או Redshift. ניתן ליצור מחדש VPC ברירת מחדל שנמחק, אך לא ניתן לשחזר אותו. Google Cloud מעניקה לכל פרויקט חדש רשת ברירת מחדל אלא אם מנהל המערכת ביטל זאת, ו-Azure יוצרת רשת וירטואלית לצד VM חדש אם לא בחרת ברשת קיימת. כך או כך, ה-VM בענן שלך יושב בתוך אחת מהרשתות הללו, בין אם ביקשת זאת ובין אם לא.

מהו הפתרון שאתה באמת צריך

• שרת אחד עבור אתר אינטרנט, יישום, שרת משחקים או VPN: בחר ב-VPS. ה-עשר דקות הראשונות ב-VPS חדש חשובות יותר מהשם שניתן לחבילה.
• מספר שרתים שחייבים לתקשר זה עם זה בכתובות פרטיות: בחר ב-VPC, או בתכונת הרשת הפרטית שספק ה-VPS שלך מציע תחת שם אחר.
• עומס עבודה שחייב לשרוד גם במקרה של קריסת מרכז נתונים שלם: בחר בענן עם אזורים מרובים (multiple zones), כלומר מכונות וירטואליות (VMs) בתוך VPC.
• שליטה מלאה ב-kernel, או הפעלת hypervisor משלך: בחר ב-VPS מבוסס KVM (עם nested virtualisation מופעל אם ברצונך להריץ hypervisor) או בשרת ייעודי (dedicated server). בדוק את סוג הדיסק שמאחורי החבילה בזמן ההשוואה.

רוב הפרויקטים המבוססים על שרת יחיד אינם זקוקים ל-VPC. תכונת הרשת הפרטית שמגיעה עם ה-VPS מספקת את אותו הצורך עבור קבוצה קטנה של מכונות.

FAQ

האם VPS הוא אותו הדבר כמו VM?

בדרך כלל כן, אך לא תמיד. כל VPS המבוסס על KVM, Xen או VMware הוא מכונה וירטואלית (VM), אך לא כל מכונה וירטואלית היא VPS, שכן VM שרץ על המחשב הנייד שלך תחת VirtualBox אינו מוצר של אף ספק. כמו כן, לא כל VPS הוא VM: תוכניות המבוססות על OpenVZ או LXC הן מכולות (containers) החולקות את ה-kernel של המארח, ו-OpenVZ עצמה מכנה את המכולות שלה שרתים וירטואליים פרטיים. ודאו זאת מול systemd-detect-virt לפני שתסתמכו על גישה ל-kernel.

האם ניתן להציב VPS בתוך VPC?

בדרך כלל לא, כיוון ש-VPC הוא מבנה של ספק ענן יחיד; AWS תומכת גם בשיתוף ה-subnets שלה בין חשבונות באותו ארגון. VPS מספק עצמאי חי על הרשת של אותו ספק. אם נדרשים קישורים פרטיים בין השניים, יש להקים מנהרת VPN ביניהם, ואז ה-VPS יוכל להגיע ל-subnets הפרטיים דרכה.

מדוע חשבון הענן שלי גבוה יותר מאשר VPS מקביל?

מחיר ה-instance הוא רק חלק מהעלות. אחסון, snapshots, תעבורה יוצאת, load balancers ו-NAT gateways הם סעיפים נפרדים בענן מבוסס מדידה, ו-NAT gateway לבדו יכול לעלות בחודש יותר מ-VPS קטן. VPS במחיר קבוע מאחד את הדיסק ואת מכסת התעבורה למספר אחד, וזו הסיבה שאותו עומס עבודה נראה לעיתים קרובות זול יותר שם.

כיצד אוכל לבדוק אם לשרת שלי יש גישה אמיתית ל-kernel?

הריצו את systemd-detect-virt וקראו את התשובה. kvm, xen או vmware (או amazon ב-instances חדשים של EC2) מציינים שיש לכם kernel משלכם וכי modprobe יכול לטעון מודולים לתוכו. lxc, lxc-libvirt או openvz מציינים שאתם חולקים את ה-kernel של המארח; טעינת מודולים דורשת הרשאות של ה-kernel המארח, בעוד הגדרות ב-namespaced תחת /proc/sys, כולל הגדרות רשת, נשארות ניתנות להגדרה כאשר המארח מאפשר זאת. אימות נוסף הוא uname -r, אשר בתוכנית מכולות מדווח לעיתים קרובות על גרסת kernel שההפצה שלכם מעולם לא סיפקה.