Allotjament web o un VPS: el teu pla pot executar un servidor VPN?
L’allotjament compartit, una aplicació gestionada i un servidor autogestionat atorguen un control de xarxa diferent. Compara quatre capacitats abans de comprar o migrar res.
Un lloc web que funciona és prova que un proveïdor pot servir HTTP, no que tu controlis una màquina. Entre un pla compartit, una aplicació gestionada i un servidor autogestionat hi ha un gran buit en què pot fer el compte amb la xarxa. Decideix quina banda d’aquest buit necessita el teu disseny de VPN abans de pagar un altre any. Quatre capacitats separen les dues opcions, i cap no apareix en una llista de preus.
Què et dona realment cada pla
La comparació útil no és el preu ni la mida del disc, sinó l’autoritat. Pregunta què pot engegar el compte, a quines funcions del nucli pot arribar, quins ports accepten trànsit entrant i si el trànsit admès pot tornar a sortir cap a un altre lloc.
La majoria de productes d’allotjament cauen en tres formes, i només l’última és un servidor de propòsit general:
| Capability | Website plan | Self-managed server |
|---|---|---|
| Long-running custom process | Usually not permitted | Yours to run under a service manager |
| Virtual network interface | Almost never available | Present when the kernel module and privilege allow it |
| Arbitrary inbound port | Restricted to the web stack | Provider filtering still applies |
| Forwarding for clients | Not offered | Possible once routing and policy are configured |
El compte d’intèrpret d’ordres és la font habitual de confusió. La transferència de fitxers o l’accés a tasques programades poden semblar administració mentre el procés queda confinat a un directori i a un conjunt petit d’operacions permeses.
Quatre capacitats que decideixen la resposta
Pren-les en ordre, perquè una fallada al primer pas fa la resta irrellevant.
Primer, el programari ha de funcionar com un procés de llarga durada que sobrevisqui al manteniment. Segon, la implementació ha de poder crear la seva interfície virtual; a Linux això sol voler dir obrir /dev/net/tun amb el permís administratiu pertinent, tal com la documentació del nucli sobre TUN/TAP explica, tot i que no tots els dissenys de VPN fan servir aquest dispositiu. Tercer, els clients han d’arribar a l’oïdor a l’adreça pública, al transport i al port que pretens, i un proxy invers web que accepti HTTPS no diu res sobre un protocol no relacionat al mateix número. Quart, el trànsit admès ha de poder continuar endavant, amb rutes, reenviament i qualsevol traducció realment suportada.
Els termes del servei seuen al costat d’aquestes quatre i no són gens tècnics. Els límits de trànsit il·limitat solen descriure peticions web, no un túnel que transporta les descàrregues d’altres persones. Llegeix l’apartat d’ús acceptable abans de dissenyar-hi al voltant, i tingues present l’accés de recuperació per al dia que el servei no arrenqui.
On es queda curt un compte de lloc web
Un pla de lloc web normalment executa el teu codi dins d’un entorn d’execució gestionat amb un punt d’entrada fix. Fins i tot quan hi ha un binari de túnel, el procés pot no tenir permís per obrir un node de dispositiu, lligar un port privilegiat o alterar la taula d’encaminament. Aquestes restriccions són el producte, no un oblit.
Per això un connector que promet una VPN sol resultar ser un proxy cap a un altre lloc. Si el compte actual només ofereix controls de lloc web, el pas honest és un servidor a part, no la recerca del mòdul que desbloqueja l’autoritat que falta.
Quan un sol amfitrió ha d’executar les dues coses
Compartir és possible i de vegades sensat, però tracta-ho com una decisió de seguretat i no com una comoditat. Una aplicació web amb un formulari de pujada seua al costat de credencials de túnel i un sòcol de control, i una explotació en una arriba a l’altra. Comptes separats, unitats de servei separades i sistemes de fitxers separats redueixen aquesta exposició sense comprar una segona màquina.
La competència pels recursos importa igual. Una còpia de seguretat pel túnel i un procés web ocupat competeixen pel mateix enllaç ascendent i el mateix disc, i la fallada sembla un lloc lent més que un túnel saturat. Decideix quina càrrega guanya abans de l’incident, i limita el túnel perquè el lloc web continuï responent.
Cap de les dues disposicions no està aïllada només perquè tots dos serveis funcionin. La capacitat d’hostatjar-los junts és el començament del disseny, i la feina d’aïllament és el que el fa defensable.
Resol-ho en un amfitrió de prova amb quatre ordres
Abans de migrar, lloga la instància més petita del producte objectiu durant una hora i prova les quatre capacitats directament. Endevinar a partir d’una taula de funcions malbarata menys diners que un any del pla equivocat, però molt més temps.
Executa aquestes ordres a l’amfitrió de prova i llegeix les fallades com a respostes, no com a obstacles:
ls -l /dev/net/tun
sudo ip tuntap add dev tun9 mode tun && sudo ip link del tun9
sysctl net.ipv4.ip_forward
ss -lunp | headLes dues primeres línies diuen si un dispositiu de túnel pot existir. La tercera informa si l’amfitrió pot reenviar paquets, i la quarta mostra què ja escolta perquè un conflicte de port es detecti aviat. Un proveïdor que falla la segona línia pot encara suportar una implementació en espai d’usuari, així que anomena el mecanisme que necessites i no la categoria de producte quan preguntis al seu servei d’assistència.