Tīmekļa mitināšana vai VPS: vai tavs plāns spēj darbināt VPN serveri?

Darbojoša vietne ir pierādījums, ka pakalpojumu sniedzējs spēj apkalpot HTTP, nevis ka tu kontrolē mašīnu. Starp koplietotu plānu, pārvaldītu lietotni un pašpārvaldītu serveri ir liela atšķirība tajā, ko konts drīkst darīt ar tīklu. Izlem, kura šīs atšķirības puse vajadzīga tavam VPN dizainam, pirms maksā vēl par gadu. Četras iespējas šķir abus, un neviena no tām nav redzama cenu lapā.

Ko katrs plāns patiešām dod

Noderīgais salīdzinājums nav cena vai diska izmērs, bet pilnvara. Pajautā, ko konts spēj palaist, kurām kodola funkcijām tas piekļūst, kuri porti pieņem ienākošo datplūsmu un vai atļautā datplūsma var atkal aiziet citur.

Lielākā daļa mitināšanas produktu iedalās trīs formās, un tikai pēdējais ir vispārējas nozīmes serveris:

Shell konts ir ierastais apjukuma avots. Failu pārsūtīšana vai piekļuve ieplānotiem uzdevumiem var izskatīties kā administrēšana, kamēr process ir ierobežots ar mapi un nelielu atļauto darbību kopu.

Četras iespējas, kas izšķir atbildi

Ņem tās pēc kārtas, jo neveiksme pirmajā solī padara pārējo bezjēdzīgu.

Pirmkārt, programmatūrai jādarbojas kā ilglaicīgam procesam, kas pārdzīvo apkopi. Otrkārt, ieviešanai jāspēj izveidot savu virtuālo saskarni; Linux tas parasti nozīmē atvērt /dev/net/tun ar attiecīgo administratīvo atļauju, kā kodola TUN/TAP dokumentācija apraksta, lai gan ne katrs VPN dizains izmanto šo ierīci. Treškārt, klientiem jāsasniedz klausītājs publiskajā adresē, transportā un portā, ko paredzēji, un tīmekļa apgrieztais starpniekserveris, kas pieņem HTTPS, neko nepasaka par nesaistītu protokolu tajā pašā numurā. Ceturtkārt, atļautajai datplūsmai jāspēj virzīties tālāk, ar maršrutiem, pāradresāciju un jebkuru reāli atbalstītu tulkošanu.

Pakalpojuma noteikumi stāv blakus tiem četriem un nemaz nav tehniski. Neierobežotas datplūsmas normas parasti apraksta tīmekļa pieprasījumus, nevis tuneli, kas pārvadā citu cilvēku lejupielādes. Izlasi pieņemamas lietošanas sadaļu, pirms projektē ap to, un paturi prātā atjaunošanas piekļuvi dienai, kad pakalpojums neieslēgsies.

Kur apstājas vietnes konts

Vietnes plāns parasti izpilda tavu kodu pārvaldītā izpildlaika vidē ar fiksētu ieejas punktu. Pat ja tuneļa binārais fails ir pieejams, procesam var trūkt atļaujas atvērt ierīces mezglu, aizņemt privileģētu portu vai mainīt maršrutēšanas tabulu. Šie ierobežojumi ir produkts, nevis pārpratums.

Tāpēc spraudnis, kas sola VPN, parasti izrādās starpniekserveris uz citu vietu. Ja pašreizējais konts piedāvā tikai vietnes vadīklas, godīgais solis ir atsevišķs serveris, nevis trūkstošo pilnvaru atverošā moduļa meklēšana.

Kad vienam resursdatoram jādarbina abi

Koplietošana ir iespējama un dažkārt saprātīga, bet izturies pret to kā pret drošības lēmumu, nevis ērtību. Tīmekļa lietotne ar augšupielādes formu atrodas blakus tuneļa akreditācijas datiem un vadības ligzdai, un ievainojamība vienā sasniedz otru. Atsevišķi konti, atsevišķas pakalpojuma vienības un atsevišķas failu sistēmas samazina šo pakļautību, nepērkot otru mašīnu.

Konkurence par resursiem ir tikpat svarīga. Dublējums pa tuneli un aizņemts tīmekļa process sacenšas par to pašu augšupielādes līniju un to pašu disku, un kļūme izskatās kā lēna vietne, nevis kā piesātināts tunelis. Izlem, kura slodze uzvarēs pirms incidenta, un ierobežo tuneli, lai vietne turpinātu atbildēt.

Neviens no abiem izkārtojumiem nav izolēts tikai tāpēc, ka darbojas abi pakalpojumi. Spēja tos mitināt kopā ir dizaina sākums, un izolācijas darbs ir tas, kas to padara aizstāvamu.

Izlem to izmēģinājuma resursdatorā ar četrām komandām

Pirms migrācijas izīrē mērķa produkta mazāko instanci uz stundu un pārbaudi četras iespējas tieši. Minēšana no funkciju tabulas iztērē mazāk naudas nekā gads ar nepareizo plānu, bet daudz vairāk laika.

Palaid šīs izmēģinājuma resursdatorā un lasi neveiksmes kā atbildes, nevis kā šķēršļus:

ls -l /dev/net/tun
sudo ip tuntap add dev tun9 mode tun && sudo ip link del tun9
sysctl net.ipv4.ip_forward
ss -lunp | head

Pirmās divas rindas pasaka, vai tuneļa ierīce vispār var pastāvēt. Trešā ziņo, vai resursdators drīkst pārsūtīt paketes, un ceturtā parāda, kas jau klausās, lai porta konflikts tiktu noķerts agri. Pakalpojumu sniedzējs, kas neizdodas otrajā rindā, tomēr var atbalstīt ieviešanu lietotāja telpā, tāpēc, jautājot viņu atbalstam, nosauc vajadzīgo mehānismu, nevis produkta kategoriju.