Aloxamento web ou un VPS: pode o teu plan executar un servidor VPN?
O aloxamento compartido, unha aplicación xestionada e un servidor autoxestionado outorgan un control de rede distinto. Compara catro capacidades antes de comprar ou migrar algo.
Un sitio web que funciona é proba de que un provedor pode servir HTTP, non de que ti controles unha máquina. Entre un plan compartido, unha aplicación xestionada e un servidor autoxestionado hai unha gran fenda no que a conta pode facer coa rede. Decide que lado desa fenda necesita o teu deseño de VPN antes de pagar outro ano. Catro capacidades separan os dous casos, e ningunha aparece nunha lista de prezos.
Que che dá realmente cada plan
A comparación útil non é o prezo nin o tamaño do disco, senón a autoridade. Pregunta que pode iniciar a conta, a que funcións do núcleo pode chegar, que portos aceptan tráfico entrante e se o tráfico admitido pode volver saír cara a outro sitio.
A maioría dos produtos de aloxamento caen en tres formas, e só a última é un servidor de propósito xeral:
| Capability | Website plan | Self-managed server |
|---|---|---|
| Long-running custom process | Usually not permitted | Yours to run under a service manager |
| Virtual network interface | Almost never available | Present when the kernel module and privilege allow it |
| Arbitrary inbound port | Restricted to the web stack | Provider filtering still applies |
| Forwarding for clients | Not offered | Possible once routing and policy are configured |
A conta de shell é a fonte habitual de confusión. A transferencia de ficheiros ou o acceso a tarefas programadas pode parecer administración mentres o proceso queda confinado a un directorio e a un pequeno conxunto de operacións permitidas.
Catro capacidades que deciden a resposta
Tómaas en orde, porque un fallo no primeiro paso fai irrelevante o resto.
Primeiro, o software debe executarse como un proceso de longa duración que sobreviva ao mantemento. Segundo, a implementación debe poder crear a súa interface virtual; en Linux iso adoita significar abrir /dev/net/tun co permiso administrativo correspondente, como a documentación do núcleo sobre TUN/TAP describe, aínda que non todos os deseños de VPN usan ese dispositivo. Terceiro, os clientes deben alcanzar o escoitante no enderezo público, o transporte e o porto que pretendes, e un proxy inverso web que acepte HTTPS non di nada sobre un protocolo non relacionado no mesmo número. Cuarto, o tráfico admitido debe poder continuar adiante, con rutas, reenvío e calquera tradución realmente soportada.
Os termos do servizo están xunto a esas catro e non son técnicos en absoluto. Os límites de tráfico ilimitado adoitan describir peticións web, non un túnel que transporta as descargas doutras persoas. Le a sección de uso aceptable antes de deseñar arredor dela, e ten presente o acceso de recuperación para o día en que o servizo non arranque.
Onde se queda curta unha conta de sitio web
Un plan de sitio web adoita executar o teu código dentro dun contorno de execución xestionado cun punto de entrada fixo. Incluso cando hai un binario de túnel, o proceso pode carecer de permiso para abrir un nodo de dispositivo, ligar un porto privilexiado ou alterar a táboa de encamiñamento. Esas restricións son o produto, non un descoido.
Por iso un complemento que promete unha VPN adoita resultar ser un proxy cara a outro sitio. Se a conta actual só ofrece controis de sitio web, o paso honesto é un servidor á parte, non a busca do módulo que desbloquea a autoridade que falta.
Cando un só host debe executar as dúas cousas
Compartir é posible e ás veces sensato, pero trátao como unha decisión de seguridade e non como unha comodidade. Unha aplicación web cun formulario de subida está xunto a credenciais de túnel e un zócolo de control, e unha explotación nunha alcanza a outra. Contas separadas, unidades de servizo separadas e sistemas de ficheiros separados reducen esa exposición sen mercar unha segunda máquina.
A competencia polos recursos importa igual. Unha copia de seguridade polo túnel e un proceso web ocupado compiten polo mesmo enlace ascendente e o mesmo disco, e o fallo parece un sitio lento en lugar dun túnel saturado. Decide que carga gaña antes do incidente, e limita o túnel para que o sitio siga respondendo.
Ningunha das dúas disposicións está illada só porque ambos os servizos funcionen. A capacidade de aloxalos xuntos é o comezo do deseño, e o traballo de illamento é o que o fai defendible.
Resólveo nun host de proba con catro ordes
Antes de migrar, aluga a instancia máis pequena do produto obxectivo durante unha hora e proba as catro capacidades directamente. Adiviñar a partir dunha táboa de funcións desperdicia menos diñeiro que un ano do plan equivocado, pero moito máis tempo.
Executa estas no host de proba e le os fallos como respostas, non como obstáculos:
ls -l /dev/net/tun
sudo ip tuntap add dev tun9 mode tun && sudo ip link del tun9
sysctl net.ipv4.ip_forward
ss -lunp | headAs dúas primeiras liñas din se un dispositivo de túnel pode existir. A terceira informa se o host pode reenviar paquetes, e a cuarta mostra que xa está escoitando para que un conflito de porto se detecte pronto. Un provedor que falla a segunda liña pode aínda soportar unha implementación en espazo de usuario, así que nomea o mecanismo que necesitas e non a categoría de produto cando preguntes ao seu servizo de asistencia.