ვებჰოსტინგი თუ VPS: შეუძლია თქვენს გეგმას VPN სერვერის გაშვება?
საზიარო ჰოსტინგი, მართული აპლიკაცია და თვითმართული სერვერი სხვადასხვა ქსელურ კონტროლს იძლევა. შეადარეთ ოთხი შესაძლებლობა, სანამ რამეს იყიდით ან გადაიტანთ.
მომუშავე ვებსაიტი იმის მტკიცებულებაა, რომ პროვაიდერს შეუძლია HTTP-ის მიწოდება, და არა იმისა, რომ თქვენ მართავთ მანქანას. საზიარო გეგმას, მართულ აპლიკაციასა და თვითმართულ სერვერს შორის დიდი სხვაობაა იმაში, თუ რა შეუძლია ანგარიშს ქსელთან. გადაწყვიტეთ, ამ სხვაობის რომელი მხარე სჭირდება თქვენს VPN დიზაინს, სანამ კიდევ ერთი წლისთვის გადაიხდით. ოთხი შესაძლებლობა ჰყოფს ამ ორს და არც ერთი მათგანი არ ჩანს ფასების სიაში.
რას იძლევა თითოეული გეგმა სინამდვილეში
სასარგებლო შედარება არ არის ფასი ან დისკის ზომა, არამედ უფლებამოსილება. ჰკითხეთ, რისი გაშვება შეუძლია ანგარიშს, რომელ ბირთვულ ფუნქციებამდე აღწევს, რომელი პორტები იღებენ შემავალ ტრაფიკს და შეუძლია თუ არა დაშვებულ ტრაფიკს კვლავ სხვაგან გასვლა.
ჰოსტინგის პროდუქტების უმეტესობა სამ ფორმაში ექცევა და მხოლოდ უკანასკნელია ზოგადი დანიშნულების სერვერი:
| Capability | Website plan | Self-managed server |
|---|---|---|
| Long-running custom process | Usually not permitted | Yours to run under a service manager |
| Virtual network interface | Almost never available | Present when the kernel module and privilege allow it |
| Arbitrary inbound port | Restricted to the web stack | Provider filtering still applies |
| Forwarding for clients | Not offered | Possible once routing and policy are configured |
Shell ანგარიში ჩვეულებრივი დაბნეულობის წყაროა. ფაილების გადაცემა ან დაგეგმილ ამოცანებზე წვდომა შეიძლება ადმინისტრირებას ჰგავდეს, მაშინ როცა პროცესი შემოიფარგლება ერთი საქაღალდით და ნებადართული ოპერაციების მცირე ნაკრებით.
ოთხი შესაძლებლობა, რომლებიც პასუხს წყვეტს
აიღეთ ისინი რიგრიგობით, რადგან პირველ საფეხურზე მარცხი დანარჩენს უაზროს ხდის.
პირველ რიგში, პროგრამული უზრუნველყოფა უნდა მუშაობდეს როგორც ხანგრძლივი პროცესი, რომელიც ტექნიკურ მომსახურებას გადაურჩება. მეორეც, იმპლემენტაციამ უნდა შეძლოს საკუთარი ვირტუალური ინტერფეისის შექმნა; Linux-ზე ეს ჩვეულებრივ ნიშნავს /dev/net/tun-ის გახსნას შესაბამისი ადმინისტრაციული ნებართვით, როგორც ბირთვის TUN/TAP დოკუმენტაცია ხსნის, თუმცა ყველა VPN დიზაინი ამ მოწყობილობას არ იყენებს. მესამეც, კლიენტებმა უნდა მიაღწიონ მსმენელს საჯარო მისამართზე, თქვენს მიერ განზრახულ ტრანსპორტსა და პორტზე, და HTTPS-ის მიმღები ვებ შებრუნებული პროქსი არაფერს ამბობს იმავე ნომერზე არსებულ დაუკავშირებელ პროტოკოლზე. მეოთხეც, დაშვებულ ტრაფიკს უნდა შეეძლოს წინსვლა, მარშრუტებით, გადაგზავნით და ნებისმიერი რეალურად მხარდაჭერილი ტრანსლაციით.
მომსახურების პირობები ამ ოთხის გვერდით დგას და სულაც არ არის ტექნიკური. ულიმიტო ტრაფიკის ზღვრები ჩვეულებრივ ვებ მოთხოვნებს აღწერს და არა გვირაბს, რომელიც სხვების ჩამოტვირთვებს ატარებს. წაიკითხეთ მისაღები გამოყენების განყოფილება, სანამ მის გარშემო დააპროექტებთ, და გახსოვდეთ აღდგენის წვდომა იმ დღისთვის, როცა სერვისი არ ამუშავდება.
სად ჩერდება ვებსაიტის ანგარიში
ვებსაიტის გეგმა ჩვეულებრივ თქვენს კოდს მართულ გაშვების გარემოში ამუშავებს ფიქსირებული შესვლის წერტილით. მაშინაც კი, როცა გვირაბის ბინარული ფაილი არსებობს, პროცესს შეიძლება არ ჰქონდეს მოწყობილობის კვანძის გახსნის, პრივილეგირებული პორტის დაკავების ან მარშრუტიზაციის ცხრილის შეცვლის ნებართვა. ეს შეზღუდვები თავად პროდუქტია და არა გამოტოვება.
ამიტომ VPN-ის დაპირების მქონე დანამატი ჩვეულებრივ სხვაგან მიმავალი პროქსი აღმოჩნდება. თუ მიმდინარე ანგარიში მხოლოდ ვებსაიტის კონტროლს გვთავაზობს, პატიოსანი ნაბიჯი ცალკე სერვერია და არა დაკარგული უფლებამოსილების გამხსნელი მოდულის ძებნა.
როცა ერთმა ჰოსტმა ორივე უნდა გაუშვას
გაზიარება შესაძლებელია და ზოგჯერ გონივრული, მაგრამ მოეპყარით როგორც უსაფრთხოების გადაწყვეტილებას და არა როგორც მოხერხებულობას. ატვირთვის ფორმის მქონე ვებ აპლიკაცია გვირაბის სერტიფიკატებისა და მართვის სოკეტის გვერდით დგას და ერთში არსებული ექსპლოიტი მეორეს აღწევს. ცალკე ანგარიშები, ცალკე სერვისული ერთეულები და ცალკე ფაილური სისტემები ამცირებს ამ ზემოქმედებას მეორე მანქანის ყიდვის გარეშე.
რესურსებისთვის კონკურენცია ისევე მნიშვნელოვანია. გვირაბით გაკეთებული სარეზერვო ასლი და დაკავებული ვებ პროცესი ერთი და იმავე ატვირთვის არხისა და ერთი და იმავე დისკისთვის იბრძვიან და ხარვეზი ნელი საიტის სახეს იღებს და არა გაჯერებული გვირაბის. გადაწყვიტეთ, რომელი დატვირთვა იმარჯვებს ინციდენტამდე, და შეზღუდეთ გვირაბი, რომ საიტმა პასუხის გაცემა გააგრძელოს.
არც ერთი მოწყობა არ არის იზოლირებული მხოლოდ იმიტომ, რომ ორივე სერვისი მუშაობს. მათი ერთად ჰოსტინგის შესაძლებლობა დიზაინის დასაწყისია და იზოლაციის სამუშაოა ის, რაც მას დასაცავს ხდის.
გადაწყვიტეთ საცდელ ჰოსტზე ოთხი ბრძანებით
გადატანამდე იქირავეთ სამიზნე პროდუქტის ყველაზე პატარა ინსტანსი ერთი საათით და პირდაპირ გამოსცადეთ ოთხი შესაძლებლობა. ფუნქციების ცხრილიდან გამოცნობა ნაკლებ ფულს ხარჯავს, ვიდრე არასწორი გეგმის ერთი წელი, მაგრამ ბევრად მეტ დროს.
გაუშვით ესენი საცდელ ჰოსტზე და წაიკითხეთ წარუმატებლობები პასუხებად და არა დაბრკოლებებად:
ls -l /dev/net/tun
sudo ip tuntap add dev tun9 mode tun && sudo ip link del tun9
sysctl net.ipv4.ip_forward
ss -lunp | headპირველი ორი ხაზი ამბობს, შეიძლება თუ არა გვირაბის მოწყობილობა საერთოდ არსებობდეს. მესამე იუწყება, შეუძლია თუ არა ჰოსტს პაკეტების გადაგზავნა, ხოლო მეოთხე აჩვენებს, რა უკვე უსმენს, რომ პორტის კონფლიქტი ადრე დაიჭიროს. პროვაიდერს, რომელიც მეორე ხაზზე ვარდება, მაინც შეიძლება მხარი დაუჭიროს მომხმარებლის სივრცეში იმპლემენტაციას, ამიტომ მათ მხარდაჭერასთან ლაპარაკისას დაასახელეთ საჭირო მექანიზმი და არა პროდუქტის კატეგორია.