Выбор нового дистрибутива может быть ошеломляющим. Установка сложного дистрибутива может быть изматывающей. Если трата кучи денег на неправильное оборудование или погружение в технический жаргон кажутся вам пугающими, то, возможно, Qubes не для вас.
Выбор оборудования — это как удаление зубов
Первое препятствие, с которым вы столкнетесь, — это выбор оборудования. Qubes зависит от определенных технологий, а именно VT-x, VT-D, IOMMU и SLAT. Они распространены в современных компьютерах, но их трудно сопоставить с другими требованиями, такими как группы IOMMU (о которых я расскажу далее) и стоимостью.
Говоря о стоимости, не каждый будет тратить тысячи на ноутбук, и чем более специализированы ваши требования, тем дороже вещи. При этом легко найти доступное оборудование, если вас устроит подержанное.
Группы IOMMU сложны и не имеют документов
IOMMU — это технология, которая позволяет Qubes назначать PCI-устройства напрямую виртуальной машине (ВМ). Проще говоря, это виртуальные границы вокруг оборудования. Например, вы можете назначить сетевую карту напрямую виртуальной машине, что позволит обеспечить прямое взаимодействие ВМ с устройством и безопасную изоляцию. Однако есть одно существенное ограничение: Группы IOMMU.
Группа IOMMU — это набор PCI-устройств, сгруппированных вместе. ОС рассматривает группу IOMMU как единое целое. Устройства в группе IOMMU должны быть назначены одной и той же виртуальной машине. Важно то, что каждая материнская плата группирует их по-разному.
Досадная проблема в том, что производители материнских плат не документируют, как они настраивают эти группы. Вы не можете знать заранее, как они выглядят, и поэтому выбор оборудования особенно сложен. Одной из распространенных проблем является неудобное назначение групп; например, порты USB и сетевая карта разделяют одну и ту же группу. Qubes признает это, и они предоставляют возможность установки для назначения USB и сетевых карт одной и той же виртуальной машине, если это необходимо.
К счастью, список совместимого оборудования Qubes обширен и содержит некоторые сведения о том, чего следует ожидать. до Вы покупаете оборудование.
Памяти всегда не хватает
Обычно вы будете использовать 2-4 qube (VM) для разных задач: USB qube, сетевой qube (NetVM), qube брандмауэра и, возможно, VPN qube, каждый из которых требует полгигабайта ОЗУ в качестве базового уровня. Добавьте несколько браузеров здесь и там и одно или два приложения, и вы увидите, что использование ОЗУ легко превысит 16 ГБ. Большинство старых ноутбуков поддерживают менее 16 ГБ, поэтому вы можете обнаружить, что останавливаете и запускаете VM, чтобы жонглировать памятью.
Я бы рекомендовал не менее 16 ГБ ОЗУ, но 32 ГБ, если возможно; 64 ГБ+, если вы можете себе это позволить. Оперативная память стоит дорого в больших количествах, и 64 ГБ ОЗУ обойдутся вам в несколько сотен долларов, больше, чем некоторые готовы заплатить. Однако, учитывая, что компьютеры в наши дни безжалостно пожирают память, пришло время, чтобы 32 ГБ ОЗУ стали новой нормой.
Ваша USB-клавиатура становится угрозой безопасности
Для безопасности USB-клавиатуры должны подключаться к USB-кубу, который не может общаться с dom0. Dom0 — это административная виртуальная машина, которая управляет всеми остальными виртуальными машинами. Вы защищаете dom0 своей жизнью; ничто не должно общаться с ним, включая USB-куб.
Так что же делать? Использовать клавиатуру PS/2, вот что! Однако не все этого хотят. В этом случае клавиатура, назначенная на USB-куб, будет работать для большинства AppVM (виртуальных машин, которые запускают повседневные приложения), но она не будет работать для dom0 — и это большая проблема. Головная боль, которая возникает, слишком велика. В отчаянии некоторые могут подключить свою USB-клавиатуру напрямую к dom0, но это серьезное табу, потому что скомпрометированная клавиатура может атаковать ее.
Чтобы добавить трудностей, некоторые клавиатуры ноутбуков полагаются на внутреннее USB-подключение, что может привести вас либо к дисфункциональной машине в лучшем случае, либо к риску безопасности в худшем. Если вы обеспокоены или не уверены в том, будет ли ноутбук функционировать адекватно, снова обратитесь к списку совместимого оборудования для заметок.
Отсутствие поддержки графического процессора ограничивает ваш выбор
По состоянию на 2025 год виртуальные машины на Qubes пока не имеют ускорения GPU. Причина? Графические процессоры не изолируют содержимое видеопамяти должным образом (между виртуальными машинами и dom0). Хотя это маловероятно, виртуальные машины могут считывать конфиденциальную информацию dom0.
Кроме того, вы можете назначить GPU только одной машине, так что какую выбрать? Все ваши браузеры хотят ускорения GPU, как и многие приложения, утилиты и композиторы. Современные компьютеры также все чаще обрабатывают рабочие нагрузки ИИ, такие как установка и использование чат-ботов дома с помощью Ollama. Отсутствие ускорения GPU оставляет Qubes далеко позади для большинства.
Там это плюс; команда Qubes запустила механизм для внедрения виртуализированного ускорения графического процессора с помощью технологии, называемой Собственные контексты VirtIO, который распределяет ускорение GPU по всем виртуальным машинам с производительностью, близкой к родной. Я ожидаю, что ускорение GPU появится где-то в 2027 году (или 2037; вы знаете, как обстоят дела).
Срок службы батареи отсутствует
Из-за отсутствия ускорения GPU Qubes рендерит все программно. Программный рендеринг неэффективен и расходует заряд батареи быстрее, чем более эффективный GPU.
Несколько виртуальных машин работают одновременно, и каждая выполняет дублированный набор процессов, что приводит к избыточным усилиям. Каждый из этих процессов потребляет процессорное время и драгоценную мощность батареи.
Не знаю, замечали ли вы когда-нибудь, но терминалы вроде Alacritty часто используют около 1%-2% ресурсов ЦП в режиме ожидания. Открытие терминала на нескольких виртуальных машинах означает, что все они потребляют энергию. Утилиты системного монитора усугубляют проблему частым обновлением. Добавьте к этому списку браузеры и ужасные, прожорливые веб-сайты. Я часто обнаруживаю, что загрузка ЦП подскакивает до 20% или 50%, когда ничего не происходит. Для меня выслеживание ресурсоемких процессов — это своего рода ритуал на стандартном Linux, а с Qubes можно ожидать в 5 раз больше усилий.
Короче говоря, виртуальные машины потребляют много энергии и ужасно расходуют заряд батареи.
Крутая кривая обучения: требуются технические знания
Изучение Qubes включает в себя понимание его различных компонентов, таких как AppVM, TemplateVM, DispVM, шаблоны DispVM, dom0 и domUs. Важно понять, как эти компоненты (домены) функционируют и взаимодействуют друг с другом. Каждый домен имеет четкий вариант использования; например, вы применяете обновления и изменения конфигурации к шаблонам. Непонимание того, как взаимодействуют домены, может привести к тому, что вы не поймете, почему ваши конфигурации исчезли или почему обновление не вступило в силу.
Кроме того, система RPC управляет тем, как домены общаются друг с другом. Это важная система, но менее опытные пользователи не поймут, как ее настраивать и использовать.
Крутая кривая обучения также включает в себя все, что было рассмотрено ранее. Без изучения IOMMU, необходимого оборудования и т. д., вы предусматривает сделать неправильный выбор. Узнать все заранее — это слишком много для большинства людей. Qubes требует некоторых компетентный технические знания.
Я люблю Qubes; я пользуюсь им уже почти десять лет, но он не для всех. Некоторые люди просто хотят простую операционную систему.
Qubes нравится двум типам людей:
- Те, кому есть что терять.
- Гики, которые беспокоятся о своей безопасности.
Не каждый гик хочет изучать такую сложную систему, но для других соблазн слишком силен. Если вы чувствуете этот соблазн, ознакомьтесь с руководством по установке Qubes; если нет, найдите другой подходящий дистрибутив.
