Webtárhely vagy VPS: képes a csomagod VPN-szervert futtatni?

Egy működő weboldal azt bizonyítja, hogy a szolgáltató tud HTTP-t kiszolgálni, nem azt, hogy te irányítasz egy gépet. Egy megosztott csomag, egy kezelt alkalmazás és egy önállóan kezelt szerver között nagy a szakadék abban, mit tehet a fiók a hálózattal. Döntsd el, a szakadék melyik oldala kell a VPN-tervednek, mielőtt még egy évre fizetsz. Négy képesség választja el a kettőt, és egyik sem szerepel egy árlistán.

Mit ad valójában az egyes csomag

A hasznos összehasonlítás nem az ár vagy a lemezméret, hanem a jogosultság. Kérdezd meg, mit indíthat a fiók, mely kernel-funkciókhoz fér hozzá, mely portok fogadnak bejövő forgalmat, és a beengedett forgalom eltávozhat-e újra máshová.

A legtöbb tárhelytermék három formába esik, és csak az utolsó általános célú szerver:

A shell-fiók a szokásos zavarforrás. A fájlátvitel vagy az ütemezett feladatokhoz való hozzáférés adminisztrációnak tűnhet, miközben a folyamat egy könyvtárra és néhány engedélyezett műveletre korlátozódik.

Négy képesség, amely eldönti a választ

Sorrendben vedd őket, mert az első lépés kudarca a többit jelentéktelenné teszi.

Először a szoftvernek hosszú életű folyamatként kell futnia, amely túléli a karbantartást. Másodszor a megvalósításnak létre kell tudnia hozni a virtuális interfészét; Linuxon ez általában a /dev/net/tun megnyitását jelenti a megfelelő rendszergazdai jogosultsággal, ahogy a kernel TUN/TAP dokumentációja leírja, bár nem minden VPN-terv használja ezt az eszközt. Harmadszor az ügyfeleknek el kell érniük a figyelőt a nyilvános címen, a szándékolt átvitelen és porton, és a HTTPS-t fogadó webes fordított proxy semmit sem mond az ugyanazon a számon futó, nem kapcsolódó protokollról. Negyedszer a beengedett forgalomnak tovább kell tudnia haladni, útvonalakkal, továbbítással és minden ténylegesen támogatott címfordítással.

A szolgáltatási feltételek e négy mellett állnak, és egyáltalán nem technikaiak. A korlátlan forgalmi keretek általában webkéréseket írnak le, nem egy alagutat, amely mások letöltéseit viszi. Olvasd el az elfogadható használatról szóló részt, mielőtt köré terveznél, és tartsd szem előtt a helyreállítási hozzáférést arra a napra, amikor a szolgáltatás nem indul el.

Hol áll meg egy webtárhely-fiók

A webtárhely-csomag általában fix belépési pontú, kezelt futtatókörnyezetben futtatja a kódodat. Még ha van is alagút bináris, a folyamatnak hiányozhat az engedélye eszközcsomópont megnyitásához, privilegizált port kötéséhez vagy az útválasztási tábla módosításához. Ezek a korlátozások maga a termék, nem mulasztás.

Ezért a VPN-t ígérő bővítmény általában máshová mutató proxynak bizonyul. Ha a jelenlegi fiók csak weboldal-vezérlést kínál, a tisztességes lépés egy külön szerver, nem a hiányzó jogosultságot feloldó modul keresése.

Amikor egyetlen gazdagépnek mindkettőt futtatnia kell

A megosztás lehetséges és néha ésszerű, de kezeld biztonsági döntésként, nem kényelemként. Egy feltöltési űrlapos webalkalmazás alagút-hitelesítő adatok és egy vezérlő socket mellett áll, és az egyikben lévő exploit eléri a másikat. A külön fiókok, külön szolgáltatási egységek és külön fájlrendszerek csökkentik ezt a kitettséget anélkül, hogy második gépet kellene venni.

Az erőforrásokért folyó verseny ugyanilyen fontos. Az alagúton át futó mentés és egy forgalmas webes folyamat ugyanazért a feltöltési sávért és ugyanazért a lemezért verseng, és a hiba lassú webhelynek látszik, nem telített alagútnak. Döntsd el az incidens előtt, melyik terhelés nyer, és korlátozd az alagutat, hogy a webhely tovább válaszoljon.

Egyik elrendezés sem elszigetelt csak azért, mert mindkét szolgáltatás fut. Az, hogy együtt tudod őket hosztolni, a tervezés kezdete, és az elkülönítési munka teszi védhetővé.

Döntsd el egy próbagazdagépen négy paranccsal

Migrálás előtt bérelld ki a céltermék legkisebb példányát egy órára, és teszteld közvetlenül a négy képességet. A funkciótáblából való találgatás kevesebb pénzt pazarol, mint egy év a rossz csomaggal, de sokkal több időt.

Futtasd ezeket a próbagazdagépen, és olvasd a hibákat válaszként, nem akadályként:

ls -l /dev/net/tun
sudo ip tuntap add dev tun9 mode tun && sudo ip link del tun9
sysctl net.ipv4.ip_forward
ss -lunp | head

Az első két sor megmondja, létezhet-e egyáltalán alagúteszköz. A harmadik jelenti, továbbíthat-e a gazdagép csomagokat, a negyedik pedig megmutatja, mi figyel már, hogy a portütközés korán kiderüljön. Az a szolgáltató, amelyik a második sorban elbukik, még támogathat felhasználói térben futó megvalósítást, ezért a támogatásuktól a szükséges mechanizmust nevezd meg, ne a termékkategóriát.