Penghosan web atau VPS: bolehkah pelan anda menjalankan pelayan VPN?

Laman web yang berfungsi ialah bukti bahawa penyedia boleh menyajikan HTTP, bukan bahawa anda mengawal mesin. Antara pelan dikongsi, aplikasi terurus dan pelayan terurus sendiri terdapat jurang besar dalam apa yang boleh dilakukan akaun terhadap rangkaian. Tentukan sisi mana jurang itu diperlukan oleh reka bentuk VPN anda sebelum membayar satu tahun lagi. Empat keupayaan memisahkan keduanya, dan tiada satu pun muncul dalam senarai harga.

Apa yang sebenarnya diberikan setiap pelan

Perbandingan yang berguna bukan harga atau saiz cakera, tetapi kuasa. Tanya apa yang boleh dimulakan akaun, ciri kernel mana yang boleh dicapai, port mana yang menerima trafik masuk dan sama ada trafik yang dibenarkan boleh keluar semula ke tempat lain.

Kebanyakan produk penghosan terbahagi kepada tiga bentuk, dan hanya yang terakhir ialah pelayan tujuan umum:

Akaun shell ialah sumber kekeliruan biasa. Pemindahan fail atau akses kepada tugas berjadual boleh kelihatan seperti pentadbiran manakala prosesnya terhad kepada satu direktori dan beberapa operasi yang dibenarkan.

Empat keupayaan yang menentukan jawapannya

Ambil mengikut urutan, kerana kegagalan pada langkah pertama menjadikan selebihnya tidak relevan.

Pertama, perisian mesti berjalan sebagai proses jangka panjang yang bertahan melalui penyelenggaraan. Kedua, pelaksanaannya mesti mampu mencipta antara muka mayanya sendiri; pada Linux ini biasanya bermaksud membuka /dev/net/tun dengan kebenaran pentadbiran yang berkaitan, seperti yang dokumentasi kernel TUN/TAP jelaskan, walaupun bukan setiap reka bentuk VPN menggunakan peranti itu. Ketiga, klien mesti mencapai pendengar pada alamat awam, pengangkutan dan port yang anda maksudkan, dan proksi songsang web yang menerima HTTPS tidak berkata apa-apa tentang protokol tidak berkaitan pada nombor yang sama. Keempat, trafik yang dibenarkan mesti boleh meneruskan perjalanan, dengan laluan, pemajuan dan sebarang terjemahan yang benar-benar disokong.

Terma perkhidmatan terletak di sebelah empat itu dan sama sekali tidak teknikal. Had trafik tanpa had biasanya menerangkan permintaan web, bukan terowong yang membawa muat turun orang lain. Baca bahagian penggunaan yang boleh diterima sebelum mereka bentuk mengelilinginya, dan ingat akses pemulihan untuk hari perkhidmatan tidak bermula.

Di mana akaun laman web berhenti

Pelan laman web biasanya menjalankan kod anda dalam runtime terurus dengan titik masuk tetap. Walaupun binari terowong hadir, proses itu mungkin kekurangan kebenaran untuk membuka nod peranti, mengikat port istimewa atau mengubah jadual penghalaan. Sekatan itu ialah produknya, bukan kecuaian.

Sebab itu pemalam yang menjanjikan VPN biasanya menjadi proksi ke tempat lain. Jika akaun semasa hanya menawarkan kawalan laman web, langkah jujur ialah pelayan berasingan, bukan mencari modul yang membuka kuasa yang hilang.

Apabila satu hos mesti menjalankan kedua-duanya

Berkongsi boleh dan kadangkala wajar, tetapi anggapnya keputusan keselamatan, bukan kemudahan. Aplikasi web dengan borang muat naik terletak di sebelah kelayakan terowong dan soket kawalan, dan eksploit dalam satu mencapai yang lain. Akaun berasingan, unit perkhidmatan berasingan dan sistem fail berasingan mengurangkan pendedahan itu tanpa membeli mesin kedua.

Persaingan untuk sumber sama pentingnya. Sandaran melalui terowong dan proses web sibuk bersaing untuk uplink yang sama dan cakera yang sama, dan kegagalan kelihatan seperti laman perlahan, bukan terowong tepu. Tentukan beban kerja mana yang menang sebelum insiden, dan hadkan terowong supaya laman web terus menjawab.

Tiada satu pun daripada kedua-dua susunan terasing hanya kerana kedua-dua perkhidmatan berjalan. Keupayaan menghos kedua-duanya bersama ialah permulaan reka bentuk, dan kerja pengasingan itulah yang menjadikannya boleh dipertahankan.

Putuskannya pada hos percubaan dengan empat arahan

Sebelum berpindah, sewa instans terkecil produk sasaran selama satu jam dan uji keempat-empat keupayaan secara langsung. Meneka daripada jadual ciri membazirkan wang yang lebih sedikit daripada setahun dengan pelan yang salah, tetapi jauh lebih banyak masa.

Jalankan ini pada hos percubaan dan baca kegagalan sebagai jawapan, bukan halangan:

ls -l /dev/net/tun
sudo ip tuntap add dev tun9 mode tun && sudo ip link del tun9
sysctl net.ipv4.ip_forward
ss -lunp | head

Dua baris pertama memberitahu sama ada peranti terowong boleh wujud langsung. Baris ketiga melaporkan sama ada hos boleh memajukan paket, dan baris keempat menunjukkan apa yang sudah mendengar supaya konflik port ditangkap awal. Penyedia yang gagal pada baris kedua mungkin masih menyokong pelaksanaan di ruang pengguna, jadi namakan mekanisme yang anda perlukan, bukan kategori produk, apabila anda bertanya kepada meja sokongan mereka.