Webhosting teenoor ’n VPS: kan jou plan ’n VPN-bediener laat loop?

’n Werkende webwerf is bewys dat ’n verskaffer HTTP kan bedien, nie dat jy ’n masjien beheer nie. Tussen ’n gedeelde plan, ’n bestuurde toepassing en ’n selfbestuurde bediener lê ’n groot gaping in wat die rekening aan die netwerk mag doen. Besluit watter kant van daardie gaping jou VPN-ontwerp nodig het voordat jy vir nog ’n jaar betaal. Vier vermoëns skei die twee, en nie een daarvan verskyn op ’n pryslys nie.

Wat elke plan werklik gee

Die nuttige vergelyking is nie prys of skyfgrootte nie, maar gesag. Vra wat die rekening kan begin, watter kernfunksies dit kan bereik, watter poorte inkomende verkeer aanvaar en of toegelate verkeer weer na elders mag vertrek.

Die meeste hostingprodukte val in drie vorms, en net die laaste een is ’n algemene bediener:

’n Shell-rekening is die gewone bron van verwarring. Lêeroordrag of toegang tot geskeduleerde take kan soos administrasie lyk terwyl die proses tot ’n gids en ’n klein stel toegelate bewerkings beperk bly.

Vier vermoëns wat die antwoord bepaal

Neem hulle in volgorde, want ’n fout by die eerste stap maak die res irrelevant.

Eerstens moet die sagteware as ’n langdurige proses loop wat onderhoud oorleef. Tweedens moet die implementering sy virtuele koppelvlak kan skep; op Linux beteken dit gewoonlik om /dev/net/tun met die betrokke administratiewe toestemming oop te maak, soos die kern-TUN/TAP-dokumentasie beskryf, hoewel nie elke VPN-ontwerp daardie toestel gebruik nie. Derdens moet kliënte die luisteraar op die openbare adres kan bereik, oor die vervoer en die poort wat jy beoog; en ’n omgekeerde instaanbediener vir web wat HTTPS aanvaar, sê niks oor ’n onverwante protokol op dieselfde nommer nie. Vierdens moet toegelate verkeer verder kan gaan, met roetes, aanstuur en enige vertaling wat werklik ondersteun word.

Diensvoorwaardes staan langs daardie vier en is glad nie tegnies nie. Onbeperkte verkeerskwotas beskryf gewoonlik webversoeke, nie ’n tonnel wat ander mense se aflaaie dra nie. Lees die afdeling oor aanvaarbare gebruik voordat jy daarom ontwerp, en hou hersteltoegang in gedagte vir die dag wanneer die diens nie wil begin nie.

Waar ’n webwerfrekening short

’n Webwerfplan laat jou kode gewoonlik in ’n bestuurde looptyd met ’n vaste intreepunt loop. Selfs waar ’n tonnelprogram teenwoordig is, kan die proses toestemming kort om ’n toestelknooppunt oop te maak, ’n bevoorregte poort te bind of die roetetabel te verander. Daardie beperkings is die produk, nie ’n versuim nie.

Daarom blyk ’n inprop wat ’n VPN belowe gewoonlik ’n instaanbediener na elders te wees. As die huidige rekening net webwerfbeheer bied, is die eerlike stap ’n aparte bediener, nie ’n soektog na die module wat die ontbrekende gesag ontsluit nie.

Wanneer een gasheer albei moet laat loop

Deel is moontlik en soms sinvol, maar behandel dit as ’n sekuriteitsbeslissing eerder as ’n gerief. ’n Webtoepassing met ’n oplaai-vorm sit langs tonnelbewyse en ’n beheersok, en ’n uitbuiting in die een bereik die ander. Aparte rekeninge, aparte dienseenhede en aparte lêerstelsels verminder daardie blootstelling sonder om ’n tweede masjien te koop.

Mededinging om hulpbronne maak net so saak. ’n Rugsteun oor die tonnel en ’n besige webproses ding mee om dieselfde opverbinding en dieselfde skyf, en die faling lyk soos ’n stadige webwerf eerder as ’n versadigde tonnel. Besluit watter werklading wen voor die voorval, en beperk die tonnel sodat die webwerf aanhou antwoord.

Nie een van die reëlings is geïsoleer net omdat albei dienste loop nie. Die vermoë om hulle saam te huisves is die begin van die ontwerp, en die isolasiewerk is wat dit verdedigbaar maak.

Besleg dit op ’n proefgasheer met vier opdragte

Voordat jy migreer, huur die kleinste instansie van die teikenproduk vir ’n uur en toets die vier vermoëns direk. Om uit ’n funksietabel te raai mors minder geld as ’n jaar van die verkeerde plan, maar baie meer tyd.

Voer hierdie op die proefgasheer uit en lees die mislukkings as antwoorde, nie as struikelblokke nie:

ls -l /dev/net/tun
sudo ip tuntap add dev tun9 mode tun && sudo ip link del tun9
sysctl net.ipv4.ip_forward
ss -lunp | head

Die eerste twee reëls sê of ’n tonneltoestel hoegenaamd kan bestaan. Die derde rapporteer of die gasheer pakkette mag aanstuur, en die vierde wys wat reeds luister sodat ’n poortbotsing vroeg gevang word. ’n Verskaffer wat die tweede reël druip, kan steeds ’n gebruikersruimte-implementering ondersteun, so noem die meganisme wat jy nodig het eerder as die produk-kategorie wanneer jy hulle ondersteuningsdiens vra.