Webhosting oder VPS: Kann dein Tarif einen VPN-Server betreiben?

Eine funktionierende Website belegt, dass ein Anbieter HTTP ausliefern kann, nicht dass du eine Maschine kontrollierst. Zwischen einem geteilten Tarif, einer verwalteten Anwendung und einem selbst verwalteten Server liegt eine große Lücke darin, was das Konto mit dem Netzwerk tun darf. Entscheide, welche Seite dieser Lücke dein VPN-Entwurf braucht, bevor du für ein weiteres Jahr zahlst. Vier Fähigkeiten trennen beides, und keine davon steht auf einer Preisliste.

Was jeder Tarif tatsächlich liefert

Der nützliche Vergleich ist nicht Preis oder Plattengröße, sondern Befugnis. Frag, was das Konto starten kann, welche Kernelfunktionen es erreicht, welche Ports eingehenden Verkehr annehmen und ob zugelassener Verkehr wieder woandershin hinaus darf.

Die meisten Hostingprodukte fallen in drei Formen, und nur die letzte ist ein Allzweckserver:

Ein Shell-Konto ist die übliche Quelle der Verwirrung. Dateitransfer oder Zugriff auf geplante Aufgaben kann wie Administration aussehen, während der Prozess auf ein Verzeichnis und eine kleine Menge erlaubter Operationen beschränkt ist.

Vier Fähigkeiten, die die Antwort entscheiden

Nimm sie der Reihe nach, denn ein Scheitern beim ersten Schritt macht den Rest belanglos.

Erstens muss die Software als langlebiger Prozess laufen, der Wartung übersteht. Zweitens muss die Implementierung ihre virtuelle Schnittstelle anlegen können; unter Linux heißt das meist, /dev/net/tun mit der nötigen Verwaltungsberechtigung zu öffnen, wie es die TUN/TAP-Dokumentation des Kernels beschreibt, obwohl nicht jedes VPN-Design dieses Gerät nutzt. Drittens müssen Clients den Listener unter der öffentlichen Adresse erreichen, dem Transport und dem Port, die du beabsichtigst, und ein Web-Reverse-Proxy, der HTTPS annimmt, sagt nichts über ein unverwandtes Protokoll auf derselben Nummer. Viertens muss zugelassener Verkehr weitergehen können, mit Routen, Weiterleitung und jeder tatsächlich unterstützten Übersetzung.

Die Nutzungsbedingungen stehen neben diesen vier und sind überhaupt nicht technisch. Unbegrenzte Traffic-Kontingente beschreiben meist Webanfragen, nicht einen Tunnel, der fremde Downloads trägt. Lies den Abschnitt zur zulässigen Nutzung, bevor du darum herum planst, und behalte den Wiederherstellungszugang für den Tag im Blick, an dem der Dienst nicht startet.

Wo ein Website-Konto endet

Ein Website-Tarif führt deinen Code meist in einer verwalteten Laufzeitumgebung mit festem Einstiegspunkt aus. Selbst wenn eine Tunnel-Binärdatei vorhanden ist, kann dem Prozess die Berechtigung fehlen, einen Geräteknoten zu öffnen, einen privilegierten Port zu belegen oder die Routing-Tabelle zu ändern. Diese Einschränkungen sind das Produkt, kein Versehen.

Deshalb entpuppt sich ein Plugin, das VPN verspricht, meist als Proxy woandershin. Bietet das aktuelle Konto nur Website-Steuerung, ist der ehrliche Schritt ein eigener Server, nicht die Suche nach dem Modul, das die fehlende Befugnis freischaltet.

Wenn ein Host beides ausführen muss

Teilen ist möglich und manchmal sinnvoll, aber behandle es als Sicherheitsentscheidung, nicht als Bequemlichkeit. Eine Webanwendung mit Upload-Formular sitzt neben Tunnel-Zugangsdaten und einem Steuerungs-Socket, und ein Exploit im einen erreicht das andere. Getrennte Konten, getrennte Service-Units und getrennte Dateisysteme verringern diese Angriffsfläche, ohne eine zweite Maschine zu kaufen.

Ressourcenkonkurrenz zählt ebenso. Ein Backup über den Tunnel und ein beschäftigter Webprozess konkurrieren um dieselbe Uplink-Leitung und dieselbe Platte, und der Ausfall sieht wie eine langsame Website aus, nicht wie ein gesättigter Tunnel. Entscheide vor dem Vorfall, welche Last gewinnt, und begrenze den Tunnel, damit die Website weiter antwortet.

Keine der beiden Anordnungen ist isoliert, nur weil beide Dienste laufen. Die Fähigkeit, sie zusammen zu hosten, ist der Anfang des Entwurfs, und die Isolationsarbeit ist das, was ihn verteidigbar macht.

Kläre es auf einem Testhost mit vier Befehlen

Miete vor der Migration die kleinste Instanz des Zielprodukts für eine Stunde und teste die vier Fähigkeiten direkt. Raten anhand einer Funktionsliste kostet weniger Geld als ein Jahr mit dem falschen Tarif, aber viel mehr Zeit.

Führe diese auf dem Testhost aus und lies die Fehlschläge als Antworten, nicht als Hindernisse:

ls -l /dev/net/tun
sudo ip tuntap add dev tun9 mode tun && sudo ip link del tun9
sysctl net.ipv4.ip_forward
ss -lunp | head

Die ersten beiden Zeilen sagen, ob ein Tunnelgerät überhaupt existieren kann. Die dritte meldet, ob der Host Pakete weiterleiten darf, und die vierte zeigt, was bereits lauscht, damit ein Portkonflikt früh auffällt. Ein Anbieter, der an der zweiten Zeile scheitert, kann trotzdem eine Userspace-Implementierung unterstützen, nenne dem Support also den Mechanismus, den du brauchst, und nicht die Produktkategorie.