Linux-kernel livepatching en performancetuning: een kijkje in TurboKernel

Managed hosting | november 2026

De meeste hostingbedrijven gebruiken de Linux-kernel die bij hun distributie wordt geleverd. Die kernel is een zorgvuldig compromis: hij moet op een twintig jaar oude laptop, een Raspberry Pi en een gaming-pc kunnen starten, en loopt vaak meerdere jaren achter op de nieuwste Linux-release. Onze servers zijn geen laptops of gaming-pc's. Daarom zijn we gestopt met een kernel te gebruiken die daarvoor is gebouwd.

TurboKernel is de Linux-kernel die we zelf bouwen, ondertekenen en draaien op elke Managed TurboStack-server. Hij volgt de nieuwste stabiele Linux-release, is gecompileerd voor de server-CPU's die we daadwerkelijk gebruiken en is afgestemd op één taak: webapplicaties, databases en API's zo snel mogelijk leveren met de beschikbare hardware. TurboKernel draait Linux 7.3, de nieuwste stabiele release, terwijl de standaardkernels van dezelfde distributies gebaseerd zijn op Linux 5.14 tot 6.12.

Dit zijn de vijf TurboKernel features waar we het meest trots op zijn, en wat ze betekenen voor de applicaties die erop draaien.

Kort samengevat: TurboKernel haalt meer performance uit dezelfde hardware, houdt onder druk meer data in snel geheugen, levert pagina's sneller via netwerken in de praktijk, werkt identiek op Debian en AlmaLinux en kan kritieke beveiligingsupdates installeren zonder je server opnieuw op te starten.

In dit artikel

1. Live patching van de Linux-kernel: beveiligingsupdates zonder opnieuw op te starten
2. Een Linux-kernel, gecompileerd voor moderne server-CPU's
3. BBR-congestiecontrole: snellere levering via netwerken in de praktijk
4. Linux-geheugenbeheer dat onder druk standhoudt
5. Eén Linux-kernel voor Debian en AlmaLinux
6. Bonus: wat Linux 7.2 en 7.3 nieuw bieden voor servers
7. Wat TurboKernel niet doet
8. Veelgestelde vragen

1. Live patching van de Linux-kernel: beveiligingsupdates zonder opnieuw op te starten

Elke serverbeheerder kent het dilemma. Er wordt een ernstig beveiligingslek in de kernel bekendgemaakt. Om het te verhelpen moet je een nieuwe kernel installeren, en daarvoor moet de server opnieuw worden opgestart. Dat betekent downtime, een onderhoudsvenster en een gesprek met elke klant op die machine. In de praktijk wacht een groot deel van de sector daarom op een geschikt moment, terwijl de server kwetsbaar blijft.

TurboKernel ondersteunt live patching van de kernel. Een live patch is een kleine, ondertekende module die een kwetsbare functie in de draaiende kernel vervangt terwijl de server verkeer blijft verwerken. Geen herstart, geen onderhoudsvenster, geen verbroken verbindingen. Zolang er geen live patch nodig is, kost deze feature niets: er is geen performanceverlies omdat de patchfunctie klaarstaat.

Live patching bouwt voort op een snelle route die we voor elke kernelrelease al gebruiken:

• Gecontroleerd bij de bron. We controleren elke nieuwe stabiele Linux-release cryptografisch aan de hand van de ondertekeningssleutels van de Linux-stablebeheerders voordat we ermee aan de slag gaan.
• Automatisch gebouwd en getest met een opstartcontrole. Onze pipeline bouwt de nieuwe TurboKernel, start hem op testmachines met Debian en AlmaLinux en voert functionele controles uit. Een kernel die niet slaagt, komt nooit op een klantserver terecht.
• Door ons ondertekend. Elke kernel en kernelmodule wordt ondertekend met onze eigen sleutel van Hosted Power, zodat wat op je server draait precies is wat wij hebben gebouwd.

Zo wordt de tijd tussen ‘Linux heeft een oplossing gepubliceerd’ en ‘de oplossing staat op je server’ gemeten in uren, niet in weken. En voor de oplossingen die hiervoor in aanmerking komen, hoeft de server daarvoor niet meer opnieuw op te starten.

2. Een Linux-kernel, gecompileerd voor moderne server-CPU's

De x86-64-instructieset dateert uit 2003. Distributiekernels worden nog steeds voor die oorspronkelijke basis gecompileerd, omdat ze op allerlei systemen moeten kunnen starten. Daardoor maken ze geen gebruik van een decennium aan CPU-verbeteringen: bredere vectorinstructies, snellere bitmanipulatie en gecombineerde rekeninstructies die sinds 2013 in elke moderne serverprocessor zitten.

TurboKernel is gecompileerd voor het moderne x86-64-v3-instructieniveau, zodat de compiler die instructies overal in de kernel kan gebruiken. Daarnaast optimaliseren we de kernel tijdens het linken als één geheel, in plaats van als duizenden afzonderlijke bestanden. Functies die elkaar miljoenen keren per seconde aanroepen, worden inline geplaatst, ongebruikte code verdwijnt en veelgebruikte codepaden worden korter.

We hebben ook bewust keuzes gemaakt voor servers die een kernel voor algemeen gebruik niet kan maken:

• CPU's draaien standaard op volle snelheid. De processor hoeft niet eerst sneller te gaan draaien wanneer er plotseling veel verzoeken binnenkomen. Latency is voor ons belangrijker dan een paar watt besparen op een inactieve server.
• Een schedulerprofiel afgestemd op throughput. Desktopkernels geven prioriteit aan vloeiende muisbewegingen. Onze kernel geeft prioriteit aan het uitvoeren van databasequery's en PHP-verzoeken, met korte responstijden.
• Klaar voor krachtige servers. TurboKernel schaalt naar duizenden CPU-cores, zodat dezelfde kernel draait op een kleine VPS en op onze grootste EPYC-servers met meerdere sockets.

Hiervoor hoef je niets aan je applicatie te veranderen. Dezelfde code draait simpelweg op een snellere basis.

3. BBR-congestiecontrole: snellere levering via netwerken in de praktijk

Je bezoekers hebben geen perfecte glasvezelverbinding. Ze gebruiken wifi in een hotel, 4G in de trein of bezoeken je site vanaf de andere kant van de wereld. Klassieke TCP-congestiecontrole reageert op elk verloren pakket door abrupt af te remmen. Dat is precies de verkeerde reactie op een mobiele verbinding waar af en toe een pakket verloren gaat.

TurboKernel gebruikt standaard BBR-congestiecontrole, het modelgebaseerde algoritme dat Google voor zijn eigen diensten ontwikkelde. In plaats van in paniek te raken bij pakketverlies, meet BBR de werkelijke bandbreedte en round-trip time van elke verbinding en verstuurt het data op de snelheid die de verbinding echt aankan. Google meldde dat YouTube in sommige landen na de overstap een throughputwinst met dubbele cijfers behaalde. De grootste winst zie je precies op de plekken waar je klanten het moeilijkst te bereiken zijn.

We combineren dit met pakketdosering via fair queueing, die pieken afvlakt zodat pakketten zich onderweg niet opstapelen in routers. Die dosering is ook wat modern HTTP/3- en QUIC-verkeer nodig heeft, dus onze webservers kunnen er meteen mee overweg.

En omdat snelheid zonder veerkracht niets waard is, is de TCP-stack gehard tegen stortvloeden van onnodige pakketten die een server dwingen CPU-capaciteit te verspillen aan administratieve taken. In combinatie met TurboShield op de applicatielaag moet een aanval veel harder zijn best doen voordat je webshop er iets van merkt.

4. Linux-geheugenbeheer dat onder druk standhoudt

Wanneer een server weinig geheugen over heeft, moet de kernel beslissen welke data dichtbij blijft en welke data wordt weggedrukt. Gaat dat mis, dan ontstaat de bekende neerwaartse spiraal: de server verwijdert steeds data die hij even later weer nodig heeft.

TurboKernel gebruikt een nieuwer algoritme voor pagina's opruimen, dat rekening houdt met generaties en bijhoudt hoe recent en hoe vaak geheugen daadwerkelijk wordt gebruikt. Het houdt de actieve werkset van je database en applicatie in RAM en verwijdert data die echt niet meer wordt gebruikt. Gepubliceerde metingen op grote serverparken laten zien dat er ongeveer 40% minder CPU-capaciteit nodig is voor geheugenopruiming. Die CPU-capaciteit krijgt je applicatie terug, precies op het moment dat de server het drukst is.

Omdat we de nieuwste Linux draaien, profiteren we ook meteen van elke verbetering aan dat algoritme. Linux 7.2 heeft de manier waarop geheugen wordt opgeruimd en teruggeschreven aangepast. Dat levert tot 30% meer throughput op voor MongoDB bij geheugendruk en zorgt ervoor dat data veel minder vaak wordt verwijderd om meteen weer opnieuw te worden ingelezen. Linux 7.3 beschermt ook uitvoerbare code: de PHP-, Nginx- en databasebestanden die je server elke milliseconde gebruikt, blijven in het geheugen in plaats van te worden verwijderd en opnieuw vanaf schijf te worden geladen.

Deze logica voor geheugenopruiming werkt samen met TurboRAM, onze gecomprimeerde geheugenlaag, die op één productiehost 32 GB fysiek RAM omzet in 41 GB effectief geheugen. Omdat de kernel echt weinig gebruikte pagina's selecteert om te comprimeren, bewaart TurboRAM data die anders stil zou blijven staan, in plaats van data die meteen weer nodig is.

En als het geheugen echt opraakt, houdt TurboKernel de geheugendruk per service bij. In plaats van de hele server te vertragen, kan het systeem ingrijpen bij het ene op hol geslagen proces dat de druk veroorzaakt en je database met rust laten.

5. Eén Linux-kernel voor Debian en AlmaLinux

We gebruiken zowel Debian als AlmaLinux, omdat verschillende applicaties en controlepanelen verschillende behoeften hebben. Met standaardkernels betekent dat vier verschillende kernels voor Debian 12, Debian 13, AlmaLinux 9 en AlmaLinux 10, van Linux 5.14 tot 6.12, elk met eigen bugs, eigenaardigheden en een eigen patchschema.

TurboKernel is op alle vier dezelfde kernel. Dezelfde Linux-versie, dezelfde afstemming en dezelfde beveiligingsupdates op dezelfde dag. Voor jou betekent dat:

• Voorspelbare performance. Een benchmark op Debian geeft je een beeld van wat je op AlmaLinux kunt verwachten. Wanneer je van distributie wisselt, hoef je niet opnieuw te leren hoe de server zich gedraagt.
• Moderne Linux op stabiele distributies. Je behoudt de stabiliteit en lange ondersteuning van Debian of AlmaLinux, met een kernel die jaren vooruitloopt op de kernel die zij leveren.
• Snellere oplossingen voor iedereen. Met één kernel is er één pipeline, zodat een oplossing alle servertaken tegelijk bereikt in plaats van via vier afzonderlijke wachtrijen.

Het betekent ook dat onze engineers één kernel door en door kennen in plaats van vier kernels een beetje. Als iets zich vreemd gedraagt, is het antwoord overal hetzelfde.

Bonus: wat Linux 7.2 en 7.3 nieuw bieden voor web- en databaseservers

Omdat TurboKernel de nieuwste stabiele Linux volgt, profiteren onze servers van verbeteringen die distributiekernels pas over jaren zullen krijgen, als dat al gebeurt. Een selectie van wat Linux 7.2 en 7.3 toevoegen voor web- en databaseservers:

Scheduler: werk dicht bij de bijbehorende data houden

• Cachebewuste planning (7.2). Threads die data delen, blijven op cores die dezelfde CPU-cache delen. Moderne EPYC-processors zijn opgebouwd uit meerdere chiplets, elk met een eigen cache. Daardoor hoeven drukbezette databases en applicaties minder vaak traag data uit het hoofdgeheugen op te halen.
• Vlakke groepsplanning (7.3). Op een TurboStack-server draait elke service, elke PHP-pool en elke database in een eigen control group. Linux 7.3 plant deze groepen in vanuit één wachtrij in plaats van een boomstructuur met wachtrijen, waardoor de overhead en latency afnemen op precies het type server met meerdere services dat wij gebruiken.
• Lagere planningslatency (7.3) voor kortlopende taken zoals webverzoeken, en slimmer gebruik van cores die volledig inactief zijn.

Geheugen: sneller onder druk

• Meer dan 60% minder wachten op locks tijdens geheugenopruiming (7.3), zodat een drukke server minder tijd kwijt is aan onderlinge conflicten.
• Gecomprimeerd geheugen komt tot 1.8× sneller vrij (7.3), wat TurboRAM direct ten goede komt.
• Efficiëntere en snellere swap (7.2 en 7.3). Er is minder geheugen nodig voor swapadministratie en swap-I/O wordt gebundeld, zodat dit vangnet minder kost wanneer het nodig is.
• Meer grote geheugenpagina's (7.2). De kernel kan nu meer applicatie- en bestandsgeheugen groeperen in grote pagina's, waardoor de overhead voor adresvertaling van databases en caches afneemt.

Opslag: meer IOPS uit dezelfde NVMe

• Tot 14% meer IOPS voor kleine directe I/O op ext4 (7.3), het toegangspatroon waarop databases vertrouwen: van 1.92 naar 2.19 miljoen IOPS in de benchmark van de ontwikkelaars.
• Parallelle directe schrijfacties op ext4 (7.3). Meer databasebewerkingen kunnen tegelijk worden weggeschreven, in plaats van achter een lock in de wachtrij te staan.
• Ongeveer 5% meer IOPS voor willekeurige leesbewerkingen op ext4 en XFS (7.2) op NVMe, plus snellere commits van het ext4-journal.

Beveiliging: betere sandboxing

• Ondertekende eBPF-programma's (7.3). De kernel controleert eBPF-loaders voordat ze worden uitgevoerd. Volledige eBPF-ondersteuning maakt het ook mogelijk dat TurboStack op elke server in realtime controleert op inbraken en verdacht gedrag, met vrijwel geen overhead.
• Betere sandboxing (7.2 en 7.3). Fijnmaziger netwerkregels voor geïsoleerde services, bescherming tegen services die worden misleid om apparaten of pipes in plaats van bestanden te openen, en kernelthreads die van de rest van het systeem zijn geïsoleerd.

Je hoeft hiervoor niets aan jouw kant te veranderen. Deze verbeteringen worden gewoon meegeleverd met de volgende TurboKernel-update.

Wat TurboKernel niet doet

We zijn graag duidelijk over de beperkingen.

Trage code wordt er niet door opgelost. Een ontbrekende database-index of een N+1-query blijft traag, alleen iets minder traag. Een snellere kernel is een basis, geen vervanging voor een performanceanalyse.

Je hebt een moderne CPU nodig. TurboKernel is gecompileerd voor processors uit ongeveer 2013 en later. Onze eigen hardware voldoet al jaren aan die eis. Voor de enkele oudere machine houden we de standaardkernel aan, om geen risico te nemen.

Niet elke oplossing kan live worden gepatcht. Live patching dekt de meeste kritieke beveiligingsupdates, maar voor sommige wijzigingen is nog steeds een nieuwe kernel en een herstart nodig. In dat geval plannen we die net als elk ander onderhoud, en laten we het je van tevoren weten.

Benieuwd wat TurboKernel voor jouw applicatie kan betekenen?

Vraag ons om je huidige omgeving te beoordelen. We vertellen je wat er vanaf dag één verandert en waar de echte knelpunten zitten.

Vraag een infrastructuuraudit aan

Veelgestelde vragen

Wat is live patching van de Linux-kernel?

Bij live patching wordt een kwetsbare functie in de draaiende Linux-kernel vervangen door een aangepaste versie via een kleine, ondertekende kernelmodule. De server blijft draaien en verkeer verwerken terwijl de oplossing wordt toegepast, zonder herstart of downtime.

Betekent live patching dat een server nooit opnieuw hoeft op te starten?

Nee. Live patching dekt de meeste kritieke beveiligingsupdates, maar voor grotere kernelupdates is nog steeds een herstart nodig. Het verschil is dat we die rustig en met voorafgaande kennisgeving kunnen inplannen, in plaats van een herstart te moeten overhaasten omdat een beveiligingslek nog openstaat.

Welke Linux-kernelversie draaien jullie servers?

TurboKernel volgt de nieuwste stabiele Linux-release, momenteel Linux 7.3, op Debian 12 en hoger en AlmaLinux 9 en hoger. De standaardkernels van dezelfde distributies zijn gebaseerd op Linux 5.14 tot 6.12.

Is een aangepaste Linux-kernel veilig voor productie?

Dat hangt helemaal af van hoe die is gebouwd. Elke TurboKernel begint met gecontroleerde Linux-broncode van upstream, wordt automatisch gebouwd en getest met een opstartcontrole op Debian en AlmaLinux en wordt met onze eigen sleutel ondertekend voordat hij op een klantserver terechtkomt.

Moet ik mijn applicatie aanpassen om hiervan te profiteren?

Nee. TurboKernel draait onder je applicatie. PHP, Node.js, Python, databases en caches blijven ongewijzigd werken, maar dan op een snellere en beter beschermde basis.

Inbegrepen, geen upsell

TurboKernel draait op elke Managed TurboStack-server met Debian 12 en 13 en hoger en AlmaLinux 9 en 10 en hoger. We verkopen het niet als add-on en je hoeft er niet om te vragen. Het technische werk zit in het bouwen, testen, ondertekenen en beheren ervan, zodat jij je nooit met de kernel hoeft bezig te houden.