NetBSD Cells: aislamiento seguro a nivel de kernel

Qué son las Cells en NetBSD y por qué importan

Cells for NetBSD es un proyecto experimental de aislamiento a nivel de kernel desarrollado por Peter Petermann, disponible actualmente como conjunto de parches para ramas de desarrollo de NetBSD 11. Su objetivo es proporcionar entornos de ejecución aislados —similares a los jails de FreeBSD— pero nativos al ecosistema NetBSD, sin depender de daemons en espacio de usuario ni de capas de abstracción adicionales. Para founders que trabajan sobre infraestructura propia, plataformas multi-tenant o sistemas embebidos, esta tecnología abre una vía para endurecer la seguridad operacional con un overhead mínimo.

Cómo funciona el aislamiento a nivel de kernel

A diferencia de soluciones como Docker o LXC, que dependen de herramientas en espacio de usuario, Cells implementa el aislamiento directamente mediante mecanismos del kernel:

Namespaces de montaje: cada cell cuenta con su propio sistema de archivos raíz, ocultando por completo los montajes del host.
Namespaces de PID: los árboles de procesos están completamente aislados entre cells.
Controles de recursos: límites de CPU, memoria e I/O configurados vía opciones del kernel, análogos a los cgroups de Linux.
Aplicación de MAC (Mandatory Access Control): políticas de kernel que previenen el acceso cruzado entre cells para archivos, IPC y red.
Syscalls dedicadas: sys_cell(2) permite crear, entrar y destruir cells de forma programática, integrándose con el rumpkernel de NetBSD para mayor modularidad.

Los parches modifican sys/kern/ para incorporar estructuras de cell y hooks en la capa VFS, lo que garantiza que la aplicación de las políticas ocurra en el nivel más bajo posible del sistema operativo.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

Cells vs. otras tecnologías de aislamiento

Una de las preguntas más frecuentes al evaluar tecnologías de aislamiento es cómo se comparan entre sí. El siguiente resumen posiciona a Cells frente a los actores más relevantes del ecosistema:

FreeBSD Jails: el referente histórico del aislamiento BSD desde el año 2000. Cells es conceptualmente similar pero diseñado nativamente para NetBSD, con enfoque en simplicidad operacional.
Linux LXC / Docker: utilizan cgroups y namespaces del kernel Linux más herramientas en espacio de usuario. Docker añade un daemon y un sistema de capas de filesystems que incrementa la complejidad y la superficie de ataque. Cells elimina esa capa intermedia.
Unikernels / Microkernel VMs: proporcionan aislamiento total con un kernel por aplicación, pero con un overhead de arranque significativamente mayor. Cells ofrece arranque sub-segundo con overhead inferior al 1% respecto a ejecución nativa, según demostraciones del proyecto.

La ventaja distintiva de Cells es su minimalismo radical: no hay daemon, no hay orquestador, no hay capas de abstracción. Solo kernel y configuración declarativa.

Casos de uso para founders y equipos de infraestructura

Aunque Cells for NetBSD es una tecnología experimental y no está integrada aún en ramas estables, sus casos de uso son perfectamente relevantes para equipos técnicos que operan sobre BSD o construyen productos de infraestructura:

Hosting multi-tenant: aislar servicios de distintos clientes en un mismo servidor físico con garantías de seguridad a nivel de kernel, sin el overhead de VMs completas.
Sistemas embebidos y edge computing: NetBSD es ampliamente utilizado en dispositivos de red y sistemas embebidos. Cells permite desplegar múltiples cargas de trabajo aisladas en hardware con recursos limitados.
Sandboxing de código no confiable: ejecutar código de terceros, scripts automatizados o microservicios experimentales en entornos con políticas MAC estrictas.
Entornos de desarrollo y CI: crear entornos de prueba reproducibles y aislados sin el peso de una VM completa.

Estado de desarrollo y roadmap

A abril de 2026, Cells for NetBSD se mantiene como proyecto experimental activo, con parches disponibles para NetBSD-current y la rama 11.x. El proyecto ha sido demostrado en instalaciones frescas de NetBSD 11 RC2 —con videos que muestran el paso de instalación limpia a servicio corriendo en minutos—, lo que evidencia un nivel de madurez funcional considerable para un proyecto en esta etapa.

Sin embargo, aún no ha sido integrado en el árbol oficial de pkgsrc ni en releases estables de NetBSD, por lo que su adopción permanece limitada a entusiastas de BSD y equipos técnicos dispuestos a aplicar parches sobre su sistema. El proyecto no cuenta todavía con benchmarks públicos formales ni con herramientas de orquestación tipo Kubernetes.

Perfiles de seguridad y auditoría

Uno de los puntos fuertes de Cells frente a soluciones basadas en espacio de usuario es su modelo de seguridad: al vivir en el kernel, los límites no pueden ser burlados mediante exploits de chroot o escalaciones de privilegios típicas en contenedores convencionales. Entre sus características de seguridad destacan:

Perfiles predefinidos: configuraciones como secure o devel disponibles via /etc/cells.conf, que incluyen opciones como montajes noexec y restricciones de red.
Auditoría integrada: las syscalls de cell se registran en los sistemas de auditoría nativos de NetBSD (systrace / ktrace).
Raíces de solo lectura: posibilidad de montar el sistema de archivos de la cell en modo read-only para reducir la superficie de ataque.

Tendencias macro: el renacimiento del aislamiento nativo

El surgimiento de proyectos como Cells no es casual. La industria está virando desde ecosistemas de contenedores complejos hacia soluciones de aislamiento más ligeras y seguras a nivel de kernel. Proyectos como Firecracker (microVMs de AWS), gVisor (sandbox de kernel de Google) y Kata Containers responden a la misma inquietud: reducir la superficie de ataque sin sacrificar densidad de despliegue.

En este contexto, Cells encarna la filosofía BSD de hacer una cosa y hacerla bien, alineándose con tendencias de zero-trust infrastructure, seguridad en edge computing y la creciente demanda de herramientas auditables y minimalistas para entornos de producción críticos.

Conclusión

Cells for NetBSD es una apuesta técnicamente sólida para quienes construyen infraestructura sobre BSD o buscan entender hacia dónde evoluciona el aislamiento a nivel de OS. Aunque aún está en fase experimental, su arquitectura kernel-native, su overhead mínimo y su modelo de seguridad robusto lo posicionan como una alternativa genuinamente interesante al ecosistema Docker/LXC para cargas de trabajo específicas. Para founders que operan plataformas multi-tenant, sistemas embebidos o servicios que requieren aislamiento fuerte con recursos limitados, vale la pena seguir de cerca su evolución.

Profundiza estos temas con nuestra comunidad de founders tech e infra. Debatimos tendencias reales, no solo titulares.

Unirme a la comunidad