Webhosting vai VPS: pystyykö pakettisi pyörittämään VPN-palvelinta?

Toimiva verkkosivusto on todiste siitä, että tarjoaja osaa tarjoilla HTTP:tä, ei siitä että sinä hallitset konetta. Jaetun paketin, hallinnoidun sovelluksen ja itse hallinnoidun palvelimen välillä on suuri kuilu siinä, mitä tili saa tehdä verkolle. Päätä, kumpaa puolta kuilusta VPN-suunnitelmasi tarvitsee, ennen kuin maksat vielä yhdestä vuodesta. Neljä kyvykkyyttä erottaa nämä kaksi, eikä yksikään niistä näy hinnastossa.

Mitä kukin paketti todella antaa

Hyödyllinen vertailu ei ole hinta tai levyn koko vaan valtuus. Kysy, mitä tili voi käynnistää, mihin ytimen ominaisuuksiin se yltää, mitkä portit ottavat vastaan saapuvaa liikennettä ja voiko sallittu liikenne poistua uudelleen muualle.

Useimmat hosting-tuotteet jakautuvat kolmeen muotoon, ja vain viimeinen on yleiskäyttöinen palvelin:

Shell-tili on tavallinen hämmennysken lähde. Tiedostonsiirto tai pääsy ajastettuihin tehtäviin voi näyttää ylläpidolta, vaikka prosessi on rajattu hakemistoon ja pieneen joukkoon sallittuja toimintoja.

Neljä kyvykkyyttä, jotka ratkaisevat vastauksen

Ota ne järjestyksessä, sillä epäonnistuminen ensimmäisessä vaiheessa tekee lopusta merkityksetöntä.

Ensinnäkin ohjelmiston on pyörittävä pitkäikäisenä prosessina, joka kestää huollon. Toiseksi toteutuksen on pystyttävä luomaan oma virtuaalinen rajapintansa; Linuxissa se tarkoittaa yleensä /dev/net/tun avaamista asiaankuuluvalla hallintaoikeudella, kuten ytimen TUN/TAP-dokumentaatio kuvaa, vaikka jokainen VPN-suunnitelma ei käytä tuota laitetta. Kolmanneksi asiakkaiden on päästävä kuuntelijaan julkisessa osoitteessa, käyttämässäsi siirrossa ja portissa, eikä HTTPS:ää vastaanottava web-käänteisproxy kerro mitään saman numeron liittymättömästä protokollasta. Neljänneksi sallitun liikenteen on pystyttävä jatkamaan eteenpäin, reittien, edelleenlähetyksen ja minkä tahansa todella tuetun käännöksen kanssa.

Palveluehdot seisovat noiden neljän rinnalla eivätkä ole lainkaan teknisiä. Rajattomat liikennesaldot kuvaavat yleensä verkkopyyntöjä, eivät tunnelia, joka kuljettaa muiden latauksia. Lue hyväksyttävän käytön osio ennen kuin suunnittelet sen ympärille, ja pidä palautumispääsy mielessä sitä päivää varten, jolloin palvelu ei käynnisty.

Mihin verkkosivutilin rahkeet loppuvat

Verkkosivupaketti ajaa koodisi yleensä hallinnoidussa ajonaikaisessa ympäristössä, jossa on kiinteä aloituspiste. Vaikka tunnelin binaari olisi olemassa, prosessilta voi puuttua oikeus avata laitesolmu, varata etuoikeutettu portti tai muuttaa reititystaulua. Nuo rajoitukset ovat tuote, eivät erehdys.

Siksi VPN:ää lupava laajennus osoittautuu yleensä välityspalvelimeksi muualle. Jos nykyinen tili tarjoaa vain verkkosivuston hallintaa, rehellinen askel on erillinen palvelin, ei sellaisen moduulin etsiminen, joka avaa puuttuvan valtuuden.

Kun yhden isännän on pyöritettävä molempia

Jakaminen on mahdollista ja joskus järkevää, mutta kohtele sitä turvallisuuspäätöksenä, älä mukavuutena. Verkkosovellus, jossa on latauslomake, seisoo tunnelin tunnistetietojen ja ohjauspistokkeen vieressä, ja yhden haavoittuvuus tavoittaa toisen. Erilliset tilit, erilliset palveluyksiköt ja erilliset tiedostojärjestelmät vähentävät altistusta ostamatta toista konetta.

Resurssikilpailu merkitsee yhtä paljon. Varmuuskopio tunnelin yli ja kiireinen verkkoprosessi kilpailevat samasta ylävirran yhteydestä ja samasta levystä, ja vika näyttää hitaalta sivustolta eikä kyllästyneeltä tunnelilta. Päätä, mikä kuorma voittaa ennen tapahtumaa, ja rajaa tunnelia, jotta sivusto jatkaa vastaamista.

Kumpikaan järjestely ei ole eristetty vain siksi, että molemmat palvelut pyörivät. Kyky ylläpitää niitä yhdessä on suunnittelun alku, ja eristystyö tekee siitä puolustettavan.

Ratkaise asia testi-isännällä neljällä komennolla

Ennen siirtoa vuokraa kohdetuotteen pienin instanssi tunniksi ja testaa neljä kyvykkyyttä suoraan. Ominaisuustaulukosta arvaaminen tuhlaa vähemmän rahaa kuin vuosi väärää pakettia, mutta paljon enemmän aikaa.

Aja nämä testi-isännällä ja lue epäonnistumiset vastauksina, älä esteinä:

ls -l /dev/net/tun
sudo ip tuntap add dev tun9 mode tun && sudo ip link del tun9
sysctl net.ipv4.ip_forward
ss -lunp | head

Kaksi ensimmäistä riviä kertovat, voiko tunnelilaite ylipäätään olla olemassa. Kolmas kertoo, saako isäntä välittää paketteja, ja neljäs näyttää, mikä jo kuuntelee, jotta porttiristiriita havaitaan aikaisin. Tarjoaja, joka epäonnistuu toisella rivillä, voi silti tukea käyttäjäavaruuden toteutusta, joten nimeä tarvitsemasi mekanismi, älä tuoteluokkaa, kun kysyt heidän tuestaan.