VPS versus dedicated server: welke past echt bij je workload

De machine ziet er prima uit. Het load average is redelijk, het geheugen is niet uitgeput, de schijf heeft ruimte. De applicatie is elke werkdag om 9 uur nog steeds traag en niemand kan zeggen waarom. Of iemand heeft je een zin gegeven in plaats van een meetwaarde: "hier heb je dedicated hardware voor nodig".

De vraag VPS of dedicated server wordt beslist door een klein aantal signalen die je kunt meten. Naar mijn ervaring raakt het merendeel van de workloads die hier belanden er geen enkele. Beide aankopen zijn legitiem, en een dedicated server is het juiste antwoord wanneer specifieke voorwaarden gelden.

De korte versie

• De overstap naar dedicated hardware is gerechtvaardigd wanneer een specifiek signaal afgaat, niet wanneer een machine alleen maar traag aanvoelt.
• Drie operationele signalen tellen: aanhoudende CPU-bezetting zonder marge, hardnekkige CPU steal time of IO wait, en een workload die de grootste instance van een provider ontgroeid is.
• Twee van die drie komen vaak door de provider of het pakket, niet door virtualisatie. Test dat voordat je geld uitgeeft.
• PCI DSS en de HIPAA Security Rule schrijven uitkomsten voor isolatie en beheersing voor, geen hardware-formfactor. Geen van beide vereist op zichzelf een fysieke machine.
• Dedicated hardware wint op kosten alleen bij hoge, aanhoudende bezetting. Daaronder betaal je voor een vaste hardwarebodem die je niet gebruikt.

Wat verschilt er tussen een VPS en een dedicated server

Neem een pakket dat 4 vCPU adverteert. Op een dedicated server zijn vier cores van jou, of je ze gebruikt of niet. Op een VPS zijn vier vCPU een schedulingbelofte: de hypervisor presenteert vier virtuele processors aan je kernel en geeft ze tijd op fysieke cores volgens zijn beleid en de huidige belasting van de host.

Onder normale omstandigheden gedragen beide zich identiek. Bij contentie niet.

Het verschil is niet virtueel versus fysiek. Het is wat aan jou gegarandeerd wordt versus wat aan jou toegewezen wordt.

Het isolatiemodel volgt dezelfde scheidslijn. Een VPS is logisch geïsoleerd, door de hypervisor: eigen kernel, eigen geheugenruimte, eigen virtuele schijven, afgedwongen door software op gedeeld silicium. VPS versus bare metal is een verschil in waar die grens ligt, niet in of er een is.

Beide zijn echte isolatie. Ze falen anders en worden anders geauditeerd, wat meespeelt in de compliancesectie hieronder.

De overhead van de hypervisor is zelden nog het verhaal. Op moderne KVM met hardwarevirtualisatie-extensies en geparavirtualiseerde drivers heb ik nooit gevonden dat de hypervisor de reden was dat een applicatie traag was.

Als een VPS onderpresteert, is de gebruikelijke oorzaak contentie of sizing.

De interessante variabele zit in de contentie, en dat is een providerbeleid, geen eigenschap van virtualisatie. Oversubscription betekent dat er over alle gasten heen meer vCPU, meer IOPS of meer geheugen verkocht wordt dan de host fysiek heeft, in de aanname dat niet iedereen tegelijk piekt. Sommige providers doen het nauwelijks. Sommige doen het agressief.

De consequentie is ongemakkelijk voor wie alleen op categorie koopt. Een zwaar overboekte VPS en een goed beheerde VPS liggen qua gedrag verder uit elkaar dan een goed beheerde VPS en een dedicated server.

Shared hosting hoort niet in deze vergelijking: geen rootrechten en geen consistente resourcegarantie, en onze gids behandelt wanneer je van shared hosting naar VPS overstapt als die stap bij jou eerst komt. Colocatie valt buiten het bestek. Je koopt de hardware en bezit hem, wat een ander inkoopmodel is met andere contracten en een ander verhaal bij uitval.

De signalen dat je een VPS ontgroeid bent

Dit zijn controles op je eigen telemetrie, geen vuistregels over je branche. Eén voorwaarde geldt voor alle drie: een signaal telt alleen als het aanhoudt.

Een machine die tijdens een nachtelijk backupvenster op 95 % CPU blijft hangen, gedraagt zich correct. Een machine die twee weken lang op 95 % CPU blijft hangen, vertelt je iets.

Aanhoudende CPU-bezetting zonder marge

De conditie om in de gaten te houden is een voortschrijdend gemiddelde over dagen of weken dat geen ruimte laat om een verkeerspiek, een op hol geslagen proces of een trage afhankelijkheid op te vangen. Geen piekmeting. Vanaf dat punt verslechteren responstijden niet-lineair in plaats van geleidelijk, en het volgende incident kan nergens heen.

De vorm van de workload verschuift die lijn. Een gestage queue consumer vlak onder zijn plafond zit dichter bij problemen dan een bursty weblaag die twee keer per dag piekt en verder niets doet. Lees je eigen curve in plaats van een getal van een leverancierspagina.

CPU-bound zijn is niet hetzelfde als dedicated hardware nodig hebben. Het eerste los je vaak binnen virtualisatie op: een grotere instance, of een instance met hogere klok als de workload single-threaded en latencygevoelig is.

Bevestig welke van de twee je hebt voordat je een fysieke bak gaat prijzen. Een single-threaded applicatie wordt niet sneller op 32 cores.

Steal time en IO wait

CPU steal time is het percentage van de tijd dat je virtuele processor klaarstond om te draaien en de hypervisor de fysieke core aan iemand anders gaf. Het is het getal dat een te grote workload onderscheidt van een te volle host.

Behandel een specifiek steal time-percentage niet als drempel. Kijk naar de trend op je eigen machine. Bijna nul met af en toe een uitschieter is normaal. Structureel niet-nul en stijgend betekent dat de host onder contentie staat.

Aanhoudend hoog bij een latencygevoelige workload betekent dat er om je heen gepland wordt, en dat de applicatie daarvoor betaalt.

Pro tip: draai vmstat 1 30 en let op de kolom st in het CPU-blok; top rapporteert hetzelfde getal als %st. Meet tijdens je echte piekuren, niet één keer om middernacht. Een gezonde host ziet er zo uit:

procs -----------memory---------- ---swap-- -----io---- -system-- ------cpu-----
 r  b   swpd   free   buff  cache   si   so    bi    bo   in   cs us sy id wa st
 1  0      0 412332  84120 1932144    0    0     0    12  842 1503 21  4 75  0  0
 2  0      0 411980  84120 1932148    0    0     0     0  901 1622 24  5 71  0  0

Eentje onder contentie ziet er zo uit, en de ontbrekende tijd staat in de laatste kolom:

 r  b   swpd   free   buff  cache   si   so    bi    bo   in   cs us sy id wa st
 4  0      0 288104  61228 1104996    0    0     8   140 1502 2210 31  6 45  1 17
 5  0      0 287960  61228 1105004    0    0     0     0 1610 2388 29  7 44  2 18

Hoge steal time betekent dat deze host overboekt is. Dat is een uitspraak over je provider en je pakket, niet over virtualisatie. De juiste eerste reactie is verhuizen naar een beter voorziene host of een pakket met dedicated vCPU-toewijzing. Virtualisatie verlaten komt daarna, niet in plaats daarvan.

Als steal time je bevinding is, is de overselling-diagnose eerste draad om aan te trekken.

Ik heb om deze reden twee workloads van een VPS gehaald. Geen van beide was CPU-bound. Beide zaten op hosts die boven hun capaciteit verkocht waren, en een ervan had alleen een andere provider nodig.

Het schaalplafond

Je zit tegen het plafond wanneer de grootste instance die de provider verkoopt de workload niet meer aankan, of wanneer de laatste verticale stap merkbaar minder verbetering opleverde dan de stap ervoor. Dat tweede zie je makkelijk over het hoofd. Als het verdubbelen van de instance 20 % verbetering opleverde, is de bottleneck verhuisd naar een plek waar meer vCPU niet komt.

Storagetriggers zijn degene die het vaakst het onderzoek overleven, en ze komen meestal binnen vermomd als database. De beperking is zelden de engine. Het is aanhoudende random IO op een pool die je met vreemden deelt.

Elke workload die continu kleine blokken leest en schrijft (een drukke database, een queue met duurzame persistentie, een logzware service) belast die pool precies met het patroon dat hij het slechtst aankan.

Kijk naar %wa en je eigen latencypercentielen tijdens echte piekbelasting. Als de latency varieert op manieren die je eigen belasting niet verklaart, sta je in de rij achter andere tenants, en schijven die van jou zijn vormen de betrouwbare oplossing.

Twee van deze drie signalen zijn meestal op te lossen zonder virtualisatie te verlaten, en dat testen is goedkoper dan hardware kopen.

Wanneer compliance dedicated hardware vereist

Een auditor schrijft "de kaarthouderdata-omgeving moet op dedicated hardware draaien" en die zin doet twee verschillende dingen, afhankelijk van wie hem leest. Voor een complianceprofessional betekent hij meestal een omgeving die van andere workloads is geïsoleerd en strak is afgebakend. Voor iemand die hosting koopt lijkt het een productcategorie.

In het gat tussen die twee lezingen wordt budget uitgegeven zonder dat er controle bij komt.

Zowel PCI DSS als de HIPAA Security Rule schrijven isolatie- en beheersingsuitkomsten voor in plaats van een formfactor. Als je eis is dat een gedefinieerde set systemen gesegmenteerd, toegangsgecontroleerd, gelogd en onafhankelijk beoordeelbaar is, voldoet een goed gesegmenteerde virtuele omgeving daaraan. Als je eis is dat er geen code van een andere tenant op hetzelfde silicium draait, voldoet alleen fysieke hardware.

Stel vast welke van de twee zinnen je hebt gekregen voordat je iets gaat prijzen.

Bij PCI DSS is het werkzame begrip de scope. De eigen richtlijn van de Security Standards Council over scoping en netwerksegmentatie stelt als uitgangspunt dat alles binnen de scope valt tot het tegendeel is geverifieerd. Ze beschrijft segmentatie als één methode die het aantal systeemcomponenten binnen de scope kan verkleinen. Dat supplement noemt nergens in zijn tekst een hardware-formfactor.

Een slecht gesegmenteerde virtuele omgeving kan nog steeds veel meer van je stack binnen de scope trekken dan je had begroot. Dat zijn de kosten van het slecht doen, geen argument om het niet te doen.

HIPAA is explicieter over het feit dat ze op controls gebaseerd is. De tekst van de flexibiliteitsbepaling van de HIPAA Security Rule, zoals de Cornell Law School die publiceert, stelt dat onder de regeling vallende entiteiten en hun business associates elke beveiligingsmaatregel mogen gebruiken die hen in staat stelt de standaarden redelijk en passend te implementeren. De keuze wordt getoetst aan de omvang van de organisatie, de technische infrastructuur, de kosten en het risico. Dat is een toets op passendheid, geen apparatuurspecificatie.

Bij een gehoste uitrol is de werkzame eis meestal contractueel. De door de Cornell Law School gepubliceerde tekst van 45 CFR § 164.308(b)(1) stelt dat een onder de regeling vallende entiteit een business associate pas elektronisch beschermde gezondheidsinformatie mag laten verwerken nadat zij bevredigende garanties heeft gekregen dat die passend beschermd wordt. Een provider die geen business associate agreement wil tekenen, diskwalificeert zichzelf, hoe zijn hardware er ook uitziet.

Sommige gevallen kunnen alleen dedicated. Een klantcontract dat fysieke isolatie schriftelijk voorschrijft is er een van.

Een ander is een control die je zonder hardwaretoegang niet kunt implementeren: full disk encryption met een sleutel in een TPM die jij beheert, geverifieerde secure boot, of een firmware-baseline die je zelf attesteert. In die gevallen koop je de hardware en stop je met evalueren.

Pro tip: voordat je "dedicated hardware" als eis accepteert, vraag degene die het opschreef welke control het implementeert en op welke systemen het van toepassing is. Vaak is het antwoord een geïsoleerde omgeving, afgebakend tot de kaarthouderdata-omgeving, en niet een product dat dedicated server heet. De prijskaartjes verschillen enorm.

Compliance-uitkomsten hangen af van je assessor en je specifieke scope. Dit geeft je de juiste vraag om aan hem te stellen, geen uitspraak die je hem kunt voorhouden.

Waar de kostencurves elkaar kruisen

Dedicated hardware looks cheap per core, and at sufficient scale it is. Across providers publishing public bare metal pricing, entry configurations in the 6-core, 32 GB class typically start from around $150 to $200 per month, while 24-core, 256 GB machines with multi-terabyte NVMe commonly start from $450 and up.

Those are typical list-price ranges as of August 2026, not a market average. Price your own shortlist.

Kijk naar de vorm in plaats van naar de absolute getallen. VPS-prijzen verlopen bijna lineair met de toegewezen resources en hebben praktisch geen bodem, en daarom kost een instance van 1 GB een paar dollar. Dedicated prijzen beginnen bij wat een hele fysieke machine kost en stijgen daarna langzaam, omdat de marginale kosten van meer cores in een chassis dat je toch al huurt laag zijn.

Twee lijnen met verschillende hellingen en verschillende snijpunten kruisen elkaar in één punt.

De bezetting bepaalt aan welke kant van dat kruispunt je zit. De dedicated lijn ligt vast: je betaalt voor 24 cores of je er nu 24 of 4 gebruikt.

Een dedicated bak op 20 % bezetting kost meer per eenheid geleverd werk dan een goed gedimensioneerde VPS, ook als de factuur per core lager is. De noemer is wat je verbruikt hebt, niet wat je verkocht is.

Het omslagpunt is niet "boven N cores". Het is "boven N cores die je bezet houdt".

Drie kosten staan op geen van beide facturen en horen toch in de vergelijking thuis:

• Provisioningtijd. Een VPS is binnen minuten beschikbaar. Fysieke hardware wordt besteld, geracked en in uren of dagen overgedragen. Die doorlooptijd is een randvoorwaarde bij capaciteitsplanning, geen eenmalig ongemak.
• Geen scale-down. Na een verkeerspiek kun je een VPS weer verkleinen. Een dedicated server is een maandelijkse verplichting op volle grootte tot het eind van de contracttermijn.
• Hardwarestoring. Als op een VPS de host onder je uitvalt, migreert of herstelt de provider hem. Als in je dedicated bak een schijf of voeding uitvalt, loopt het herstelpad via een supportticket en een restore uit backup, en telt de downtime in je eigen SLA.

Wanneer een VPS nog steeds het juiste antwoord is

Geen enkel signaal ging af. De bezetting heeft marge, de steal time is vlak, het plafond van de instancegrootte ligt ver weg, geen contract eist fysieke isolatie, en je verbruik zit nergens in de buurt van het kostenkruispunt. Blijf gevirtualiseerd.

Dat is een capaciteit, geen troostprijs. Snapshots maken een upgrade omkeerbaar en een riskante migratie testbaar. Losse kleine instances geven je omgevingsscheiding tegen een prijs waarbij staging de moeite waard wordt.

En de hardwarestoring om 3 uur 's nachts is die van iemand anders, wat voor een klein team meer waard is dan een verschil in een benchmark.

De kloof is smaller geworden, en dat is een verandering in de techniek, geen verkooppraatje. Pakketten met dedicated vCPU, NVMe als standaard en volwassen geparavirtualiseerde drivers hebben het praktische prestatieverschil voor typische workloads grotendeels weggenomen.

De levensduur van de provider hoort naast de specs op de shortlist. Een VPS-pakket dat je in een middag kunt verlaten draagt minder leveranciersrisico dan een hardwarecontract van twaalf maanden. Dat geldt alleen als de provider er in maand negen nog is en nog tickets beantwoordt. Kijk hoe lang ze al draaien, hoe ze incidenthistorie publiceren en hoe support reageert vóór een storing in plaats van tijdens.

Managed dedicated hosting bestaat ook en ruilt hardwarecontrole in voor minder operationele last, wat op dezelfde as ligt als de keuze tussen managed en unmanaged een niveau lager.

Op een VPS blijven is een actieve beslissing met een eigen escalatiepad, niet de standaard waar je in belandt door niet te kiezen.

Als je diagnose contentie was en niet capaciteit, dan is de aankoop waar je naar kijkt een VPS, geen chassis. Wat je ermee wilt is de vrijheid om weer terug te schalen na de gebeurtenis die je hierheen dreef. Dat is precies het geval waarvoor wij bouwen: onze Linux VPS draait op NVMe-opslag met een uptime-SLA van 99,95 % en facturering per uur. Een grotere of hoger geklokte instance testen kost je een middag in plaats van een contract. Dimensioneer hem aan de hand van de drempels hierboven, jaag je eigen piek erdoorheen en kijk opnieuw naar de steal time.

Veelgestelde vragen

Hoeveel sneller is een dedicated server dan een VPS?

Dat hangt af van de resource waarom je concurreert. Bij moderne virtualisatie is het CPU-verschil op een goed voorziene host klein, omdat de hypervisor-overhead met hardwarevirtualisatie-extensies minimaal is. De betrouwbare verschillen zijn de afwezigheid van IO-contentie en netwerkcontentie, en die zie je als consistentie in latency in plaats van rauwe snelheid. Als je workload op piekmomenten nooit om schijf of netwerk vecht, verwacht dan een verschil dat te klein is om de aankoop te bepalen.

Is een VPS goed genoeg voor een productiedatabase?

Voor de meeste productiedatabases wel. De bindende beperking is meestal aanhoudende random IO op gedeelde opslag, niet de database-engine. Een database die continu kleine blokken leest en schrijft bereikt de limiet van een gedeelde pool ruim vóór de limiet van de engine. Dedicated schijven halen die limiet weg; een grotere instance niet.

Vereist PCI DSS een dedicated server?

Nee, niet als algemene regel. PCI DSS stelt isolatie- en beheersingseisen die op de kaarthouderdata-omgeving zijn afgebakend, niet op een hardware-formfactor. De scopingrichtlijn van de Security Standards Council beschouwt alles als binnen de scope tot het tegendeel is geverifieerd, en beschrijft netwerksegmentatie als methode om het aantal systemen in scope te verkleinen. Een goed gesegmenteerde virtuele omgeving kan hieraan voldoen; een slecht gesegmenteerde trekt veel meer van je stack binnen de scope.

Hoe weet ik of mijn VPS een noisy neighbor-probleem heeft?

Het symptoom is wisselvallige prestatie tijdens de piek op een machine die verder niet druk is: responstijden die schommelen terwijl je eigen belasting, geheugen en schijfgebruik vlak en onopvallend blijven. In rustige uren lijkt alles normaal, en daarom overleeft het probleem zo lang ongediagnosticeerd. De oorzaak zit op de fysieke host die je deelt, dus de oplossing is een beter voorzien pakket of een andere provider, niet het herschrijven van je applicatie.

Wanneer moet ik van een VPS naar een dedicated server?

Upgrade when at least one of these holds: CPU utilization sits at a rolling-average level that leaves no headroom for a traffic event; steal time or IO wait stays high after you have already tried a better-provisioned plan; the workload has outgrown the largest instance your provider sells; a contract or a control genuinely requires physical isolation; or sustained utilization is high enough that a fixed hardware cost beats per-resource pricing.