Web hosting ili VPS: može li vaš plan pokrenuti VPN server?

Web stranica koja radi dokaz je da provajder može posluživati HTTP, a ne da vi kontrolišete mašinu. Između dijeljenog plana, upravljane aplikacije i samoupravljanog servera postoji velika razlika u tome šta račun smije raditi s mrežom. Odlučite koja strana te razlike treba vašem VPN dizajnu prije nego što platite još godinu. Četiri sposobnosti razdvajaju ta dva slučaja, a nijedna se ne pojavljuje na cjenovniku.

Šta svaki plan zaista daje

Korisno poređenje nije cijena ni veličina diska nego ovlaštenje. Pitajte šta račun može pokrenuti, do kojih funkcija kernela može doći, koji portovi primaju dolazni saobraćaj i može li propušteni saobraćaj ponovo otići negdje drugo.

Većina hosting proizvoda pada u tri oblika, a samo je posljednji server opće namjene:

Shell račun je uobičajen izvor zabune. Prijenos datoteka ili pristup zakazanim zadacima može izgledati kao administracija dok je proces ograničen na direktorij i mali skup dozvoljenih operacija.

Četiri sposobnosti koje odlučuju odgovor

Uzmite ih po redu, jer neuspjeh na prvom koraku čini ostalo nebitnim.

Prvo, softver mora raditi kao dugotrajan proces koji preživi održavanje. Drugo, implementacija mora moći stvoriti svoj virtuelni interfejs; na Linuxu to obično znači otvaranje /dev/net/tun uz odgovarajuću administratorsku dozvolu, kako dokumentacija kernela za TUN/TAP opisuje, iako svaki VPN dizajn ne koristi taj uređaj. Treće, klijenti moraju stići do slušaoca na javnoj adresi, transportu i portu koje namjeravate, a web obrnuti proksi koji prihvata HTTPS ne govori ništa o nepovezanom protokolu na istom broju. Četvrto, propušteni saobraćaj mora moći ići dalje, uz rute, prosljeđivanje i svako prevođenje koje se zaista podržava.

Uslovi korištenja stoje uz ta četiri i nisu nimalo tehnički. Neograničene kvote saobraćaja obično opisuju web zahtjeve, a ne tunel koji nosi tuđe preuzimanja. Pročitajte odjeljak o prihvatljivom korištenju prije nego što oko njega projektujete i imajte na umu pristup za oporavak za dan kada usluga neće startati.

Gdje se web račun zaustavlja

Web plan obično pokreće vaš kod unutar upravljanog runtime-a s fiksnom ulaznom tačkom. Čak i kada je tunelski binarni fajl prisutan, procesu može nedostajati dozvola za otvaranje čvora uređaja, vezivanje privilegovanog porta ili izmjenu ruting tabele. Ta ograničenja su proizvod, a ne propust.

Zato dodatak koji obećava VPN obično ispadne proksi ka nekom drugom mjestu. Ako trenutni račun nudi samo web kontrole, pošten potez je odvojen server, a ne traženje modula koji otključava nedostajuće ovlaštenje.

Kada jedan host mora pokretati oboje

Dijeljenje je moguće i ponekad razumno, ali tretirajte ga kao sigurnosnu odluku, a ne kao pogodnost. Web aplikacija s formom za upload stoji uz tunelske akreditive i kontrolni socket, a exploit u jednom doseže drugo. Odvojeni računi, odvojene servisne jedinice i odvojeni fajlsistemi smanjuju tu izloženost bez kupovine druge mašine.

Nadmetanje za resurse je jednako važno. Sigurnosna kopija kroz tunel i zauzet web proces takmiče se za isti uplink i isti disk, a kvar izgleda kao spor sajt, a ne kao zasićen tunel. Odlučite koji radni teret pobjeđuje prije incidenta i ograničite tunel da bi sajt nastavio odgovarati.

Nijedan aranžman nije izolovan samo zato što obje usluge rade. Sposobnost da ih ugostite zajedno početak je dizajna, a rad na izolaciji je ono što ga čini odbranjivim.

Riješite to na probnom hostu s četiri komande

Prije migracije iznajmite najmanju instancu ciljnog proizvoda na sat i testirajte četiri sposobnosti direktno. Nagađanje iz tabele funkcija troši manje novca od godine s pogrešnim planom, ali mnogo više vremena.

Pokrenite ove na probnom hostu i čitajte neuspjehe kao odgovore, a ne kao prepreke:

ls -l /dev/net/tun
sudo ip tuntap add dev tun9 mode tun && sudo ip link del tun9
sysctl net.ipv4.ip_forward
ss -lunp | head

Prva dva reda kažu može li tunelski uređaj uopšte postojati. Treći javlja može li host prosljeđivati pakete, a četvrti pokazuje šta već sluša da se sukob portova uhvati rano. Provajder koji padne na drugom redu ipak može podržavati implementaciju u korisničkom prostoru, zato imenujte mehanizam koji vam treba, a ne kategoriju proizvoda kada pitate njihovu podršku.