Веб-хостинг или VPS: може ли вашиот план да работи VPN сервер?

Работечки веб-сајт е доказ дека давателот може да служи HTTP, а не дека вие управувате со машина. Помеѓу споделен план, управувана апликација и самоуправуван сервер постои голема разлика во тоа што смее сметката да прави со мрежата. Одлучете која страна од таа разлика му е потребна на вашиот VPN дизајн пред да платите уште една година. Четири можности ги делат двете, и ниту една не се појавува на ценовник.

Што всушност дава секој план

Корисната споредба не е цената или големината на дискот, туку овластувањето. Прашајте што може да стартува сметката, до кои функции на јадрото може да стигне, кои порти примаат дојдовен сообраќај и дали дозволениот сообраќај може повторно да излезе на друго место.

Повеќето хостинг производи спаѓаат во три форми, и само последната е сервер за општа намена:

Сметката со shell е вообичаениот извор на забуна. Преносот на датотеки или пристапот до закажани задачи може да изгледа како администрација, додека процесот е ограничен на една папка и мал сет дозволени операции.

Четири можности што го решаваат одговорот

Земете ги по ред, бидејќи неуспехот на првиот чекор го прави остатокот небитен.

Прво, софтверот мора да работи како долготраен процес што го преживува одржувањето. Второ, имплементацијата мора да може да создаде свој виртуелен интерфејс; на Linux тоа обично значи отворање на /dev/net/tun со соодветната административна дозвола, како што документацијата на јадрото за TUN/TAP опишува, иако не секој VPN дизајн го користи тој уред. Трето, клиентите мора да го достигнат слушачот на јавната адреса, транспортот и портата што ги намеравате, а веб обратен прокси што прифаќа HTTPS не кажува ништо за неповрзан протокол на истиот број. Четврто, дозволениот сообраќај мора да може да продолжи понатаму, со рути, проследување и секаков превод што навистина се поддржува.

Условите за користење стојат покрај тие четири и воопшто не се технички. Неограничените квоти за сообраќај обично опишуваат веб-барања, а не тунел што носи туѓи преземања. Прочитајте го делот за прифатливо користење пред да проектирате околу него, и имајте пристап за обновување на ум за денот кога услугата нема да стартува.

Каде запира сметката за веб-сајт

Планот за веб-сајт обично го извршува вашиот код во управувано извршно опкружување со фиксна влезна точка. Дури и кога има бинарен файл за тунел, на процесот може да му недостига дозвола да отвори јазол на уред, да заземе привилегирана порта или да ја измени табелата за рутирање. Тие ограничувања се производот, а не пропуст.

Затоа приклучокот што ветува VPN обично излегува прокси кон друго место. Ако тековната сметка нуди само веб-контроли, чесниот чекор е одделен сервер, а не барање на модулот што го отклучува овластувањето што недостига.

Кога еден домаќин мора да работи и двете

Споделувањето е можно и понекогаш разумно, но третирајте го како безбедносна одлука, а не како погодност. Веб-апликација со формулар за прикачување стои покрај акредитиви за тунел и контролна приклучница, и експлоатација во едната стигнува до другата. Одделни сметки, одделни службени единици и одделни датотечни системи ја намалуваат таа изложеност без купување на втора машина.

Конкуренцијата за ресурси е исто толку важна. Резервната копија преку тунелот и зафатениот веб-процес се натпреваруваат за истиот нагорен канал и истиот диск, и дефектот изгледа како бавен сајт, а не како заситен тунел. Одлучете кое оптоварување победува пред инцидентот, и ограничете го тунелот за сајтот да продолжи да одговара.

Ниту еден од двата распореди не е изолиран само затоа што работат двете услуги. Способноста да ги хостирате заедно е почетокот на дизајнот, а работата на изолација е она што го прави одбранлив.

Решете го на пробен домаќин со четири команди

Пред миграција изнајмете ја најмалата инстанца од целниот производ за еден час и тестирајте ги четирите можности директно. Погодувањето од табела со функции троши помалку пари од година со погрешен план, но многу повеќе време.

Извршете ги овие на пробниот домаќин и читајте ги неуспесите како одговори, а не како пречки:

ls -l /dev/net/tun
sudo ip tuntap add dev tun9 mode tun && sudo ip link del tun9
sysctl net.ipv4.ip_forward
ss -lunp | head

Првите две линии кажуваат дали тунелски уред воопшто може да постои. Третата известува дали домаќинот може да препраќа пакети, а четвртата покажува што веќе слуша за да се фати судир на порти рано. Давателот што паѓа на втората линија сепак може да поддржува имплементација во кориснички простор, затоа именувајте го механизмот што ви треба, а не категоријата производ кога прашувате нивната поддршка.