Alojamiento web o un VPS: ¿puede tu plan ejecutar un servidor VPN?
El alojamiento compartido, una aplicación gestionada y un servidor autogestionado otorgan un control de red distinto. Compara cuatro capacidades antes de comprar o migrar nada.
Un sitio web que funciona es prueba de que un proveedor puede servir HTTP, no de que tú controles una máquina. Entre un plan compartido, una aplicación gestionada y un servidor autogestionado hay una gran brecha en lo que la cuenta puede hacer con la red. Decide qué lado de esa brecha necesita tu diseño de VPN antes de pagar otro año. Cuatro capacidades separan ambos casos, y ninguna aparece en una lista de precios.
Qué te da realmente cada plan
La comparación útil no es el precio ni el tamaño del disco, sino la autoridad. Pregunta qué puede iniciar la cuenta, a qué funciones del núcleo puede llegar, qué puertos aceptan tráfico entrante y si el tráfico admitido puede volver a salir hacia otro sitio.
La mayoría de los productos de alojamiento caen en tres formas, y solo la última es un servidor de propósito general:
| Capability | Website plan | Self-managed server |
|---|---|---|
| Long-running custom process | Usually not permitted | Yours to run under a service manager |
| Virtual network interface | Almost never available | Present when the kernel module and privilege allow it |
| Arbitrary inbound port | Restricted to the web stack | Provider filtering still applies |
| Forwarding for clients | Not offered | Possible once routing and policy are configured |
La cuenta de shell es la fuente habitual de confusión. La transferencia de archivos o el acceso a tareas programadas pueden parecer administración mientras el proceso queda confinado a un directorio y a un pequeño conjunto de operaciones permitidas.
Cuatro capacidades que deciden la respuesta
Tómalas en orden, porque un fallo en el primer paso vuelve irrelevante el resto.
Primero, el software debe ejecutarse como un proceso de larga duración que sobreviva al mantenimiento. Segundo, la implementación debe poder crear su interfaz virtual; en Linux eso suele significar abrir /dev/net/tun con el permiso administrativo correspondiente, como la documentación del núcleo sobre TUN/TAP describe, aunque no todos los diseños de VPN usan ese dispositivo. Tercero, los clientes deben alcanzar el escucha en la dirección pública, el transporte y el puerto que pretendes, y un proxy inverso web que acepte HTTPS no dice nada sobre un protocolo no relacionado en el mismo número. Cuarto, el tráfico admitido debe poder seguir adelante, con rutas, reenvío y cualquier traducción realmente soportada.
Los términos del servicio están junto a esas cuatro y no son técnicos en absoluto. Los límites de tráfico ilimitado suelen describir peticiones web, no un túnel que transporta las descargas de otras personas. Lee la sección de uso aceptable antes de diseñar en torno a ella, y ten presente el acceso de recuperación para el día en que el servicio no arranque.
Dónde se queda corta una cuenta de sitio web
Un plan de sitio web suele ejecutar tu código dentro de un entorno de ejecución gestionado con un punto de entrada fijo. Incluso cuando hay un binario de túnel, el proceso puede carecer de permiso para abrir un nodo de dispositivo, enlazar un puerto privilegiado o alterar la tabla de enrutamiento. Esas restricciones son el producto, no un descuido.
Por eso un complemento que promete una VPN suele resultar ser un proxy hacia otro sitio. Si la cuenta actual solo ofrece controles de sitio web, el paso honesto es un servidor aparte, no la busca del módulo que desbloquea la autoridad que falta.
Cuando un solo host debe ejecutar ambas cosas
Compartir es posible y a veces sensato, pero trátalo como una decisión de seguridad y no como una comodidad. Una aplicación web con un formulario de subida está junto a credenciales de túnel y un zócalo de control, y un exploit en una alcanza a la otra. Cuentas separadas, unidades de servicio separadas y sistemas de archivos separados reducen esa exposición sin comprar una segunda máquina.
La competencia por los recursos importa igual. Una copia de seguridad por el túnel y un proceso web ocupado compiten por el mismo enlace ascendente y el mismo disco, y el fallo parece un sitio lento en lugar de un túnel saturado. Decide qué carga gana antes del incidente, y limita el túnel para que el sitio siga respondiendo.
Ninguna de las dos disposiciones está aislada solo porque ambos servicios funcionen. La capacidad de alojarlos juntos es el comienzo del diseño, y el trabajo de aislamiento es lo que lo hace defendible.
Resuélvelo en un host de prueba con cuatro comandos
Antes de migrar, alquila la instancia más pequeña del producto objetivo durante una hora y prueba las cuatro capacidades directamente. Adivinar a partir de una tabla de funciones desperdicia menos dinero que un año del plan equivocado, pero mucho más tiempo.
Ejecuta estos en el host de prueba y lee los fallos como respuestas, no como obstáculos:
ls -l /dev/net/tun
sudo ip tuntap add dev tun9 mode tun && sudo ip link del tun9
sysctl net.ipv4.ip_forward
ss -lunp | headLas dos primeras líneas dicen si un dispositivo de túnel puede existir. La tercera informa si el host puede reenviar paquetes, y la cuarta muestra qué ya está escuchando para que un conflicto de puerto se detecte pronto. Un proveedor que falla la segunda línea puede aún soportar una implementación en espacio de usuario, así que nombra el mecanismo que necesitas y no la categoría de producto cuando preguntes a su servicio de asistencia.