Veebimajutus või VPS: kas sinu pakett suudab VPN-serverit käitada?

Töötav veebileht tõestab, et teenusepakkuja suudab HTTP-d serveerida, mitte et sina kontrollid masinat. Jagatud paketi, hallatava rakenduse ja isehaldatava serveri vahel on suur vahe selles, mida konto võrguga teha tohib. Otsusta, millist selle vahe poolt sinu VPN-i kavand vajab, enne kui maksad veel ühe aasta eest. Neli võimekust eraldavad need kaks, ja ükski neist ei esine hinnakirjas.

Mida iga pakett tegelikult annab

Kasulik võrdlus ei ole hind ega kettamaht, vaid volitus. Küsi, mida konto käivitada saab, millistele kerneli funktsioonidele see ulatub, millised pordid võtavad vastu sissetulevat liiklust ja kas lubatud liiklus võib uuesti mujale väljuda.

Enamik majutustooteid jaguneb kolmeks vormiks ja ainult viimane on üldotstarbeline server:

Shell-konto on tavaline segaduse allikas. Failiedastus või juurdepääs ajastatud ülesannetele võib näida haldamisena, samal ajal kui protsess on piiratud kataloogi ja väikese lubatud toimingute hulgaga.

Neli võimekust, mis otsustavad vastuse

Võta need järjekorras, sest ebaõnnestumine esimeses etapis muudab ülejäänu tähtsusetuks.

Esiteks peab tarkvara töötama pikaajalise protsessina, mis peab vastu hooldusele. Teiseks peab teostus suutma luua oma virtuaalliidese; Linuxis tähendab see tavaliselt /dev/net/tun avamist vastava haldusõigusega, nagu kerneli TUN/TAP dokumentatsioon kirjeldab, kuigi iga VPN-i kavand seda seadet ei kasuta. Kolmandaks peavad kliendid jõudma kuulajani avalikul aadressil, transporti ja porti mööda, mida kavatsed, ja HTTPS-i vastu võttev veebi pöördproksi ei ütle midagi sama numbri juures oleva seostamata protokolli kohta. Neljandaks peab lubatud liiklus saama edasi liikuda, koos marsruutide, edastamise ja mis tahes tegelikult toetatud tõlkega.

Teenusetingimused seisavad nende nelja kõrval ja pole üldse tehnilised. Piiramatud liikluslimiidid kirjeldavad tavaliselt veebipäringuid, mitte tunnelit, mis kannab teiste inimeste allalaadimisi. Loe vastuvõetava kasutuse jaotist enne, kui selle ümber kavandad, ja pea silmas taastejuurdepääsu päevaks, mil teenus ei käivitu.

Kus veebikonto lõpeb

Veebipakett käitab sinu koodi tavaliselt hallatavas käituskeskkonnas, millel on fikseeritud sisendpunkt. Isegi kui tunneli binaarfail on olemas, võib protsessil puududa luba avada seadme sõlme, siduda privilegeeritud porti või muuta marsruutimistabelit. Need piirangud on toode, mitte möödalaskmine.

Seetõttu osutub VPN-i lubav pistikprogramm tavaliselt puhverserveriks kuhugi mujale. Kui praegune konto pakub ainult veebijuhtimist, on aus samm eraldi server, mitte puuduva volituse avava mooduli otsimine.

Kui üks host peab käitama mõlemat

Jagamine on võimalik ja mõnikord mõistlik, kuid käsitle seda turvaotsusena, mitte mugavusena. Veebirakendus üleslaadimisvormiga seisab tunneli volituste ja juhtpistiku kõrval ning ühe exploiti jõuab teiseni. Eraldi kontod, eraldi teenuseüksused ja eraldi failisüsteemid vähendavad seda kokkupuudet ilma teist masinat ostmata.

Ressursside konkurents loeb sama palju. Varukoopia üle tunneli ja hõivatud veebiprotsess võistlevad sama ülesvoolu lingi ja sama ketta pärast ning rike näeb välja nagu aeglane sait, mitte nagu küllastunud tunnel. Otsusta, milline koormus võidab, enne juhtumit, ja piira tunnelit, et sait vastamist jätkaks.

Kumbki lahendus ei ole isoleeritud ainult sellepärast, et mõlemad teenused töötavad. Võime neid koos majutada on kavandi algus, ja isolatsioonitöö on see, mis teeb selle kaitstavaks.

Otsusta see proovihostis nelja käsuga

Enne migreerimist rendi sihttoote väikseim instants tunniks ajaks ja testi nelja võimekust otse. Funktsioonitabelist oletamine raiskab vähem raha kui aasta vale paketiga, kuid palju rohkem aega.

Käivita need proovihostis ja loe ebaõnnestumisi vastustena, mitte takistustena:

ls -l /dev/net/tun
sudo ip tuntap add dev tun9 mode tun && sudo ip link del tun9
sysctl net.ipv4.ip_forward
ss -lunp | head

Kaks esimest rida ütlevad, kas tunneliseade saab üldse olemas olla. Kolmas teatab, kas host tohib pakette edasi saata, ja neljas näitab, mis juba kuulab, et pordikonflikt varakult kinni püüda. Pakkuja, kes ebaõnnestub teisel real, võib siiski toetada kasutajaruumi teostust, seega nimeta, millist mehhanismi vajad, mitte tootekategooriat, kui nende tugiteenuselt küsid.