Spletno gostovanje ali VPS: lahko vaš paket poganja strežnik VPN?

Delujoča spletna stran je dokaz, da ponudnik zna streči HTTP, ne pa da vi nadzirate stroj. Med deljenim paketom, upravljano aplikacijo in samoupravljanim strežnikom je velik razkorak v tem, kaj sme račun početi z omrežjem. Odločite, katera stran tega razkoraka je potrebna vaši zasnovi VPN, preden plačate še eno leto. Štiri zmožnosti ločujejo ta dva primera in nobena ni na ceniku.

Kaj vsak paket v resnici da

Koristna primerjava ni cena ali velikost diska, ampak pooblastilo. Vprašajte, kaj lahko račun zažene, do katerih funkcij jedra seže, katere vrata sprejemajo dohodni promet in ali lahko dovoljeni promet spet odide drugam.

Večina gostiteljskih izdelkov spada v tri oblike in samo zadnja je strežnik splošnega namena:

Račun lupine je običajen vir zmede. Prenos datotek ali dostop do načrtovanih opravil je lahko videti kot upravljanje, medtem ko je proces omejen na mapo in majhen nabor dovoljenih operacij.

Štiri zmožnosti, ki odločijo odgovor

Vzemite jih po vrsti, ker neuspeh na prvem koraku naredi ostalo nepomembno.

Prvič, programska oprema mora teči kot dolgotrajen proces, ki preživi vzdrževanje. Drugič, izvedba mora znati ustvariti svoj navidezni vmesnik; v Linuxu to običajno pomeni odpreti /dev/net/tun z ustreznim skrbniškim dovoljenjem, kot dokumentacija jedra o TUN/TAP opisuje, čeprav vsaka zasnova VPN te naprave ne uporablja. Tretjič, odjemalci morajo doseči poslušalca na javnem naslovu, v transportu in vratih, ki jih nameravate, in spletni obratni posrednik, ki sprejema HTTPS, ne pove ničesar o nepovezanem protokolu na isti številki. Četrtič, dovoljeni promet mora moči iti naprej, s potmi, posredovanjem in vsakim resnično podprtim prevajanjem naslovov.

Pogoji storitve stojijo ob teh štirih in niso nič tehničnega. Neomejene omejitve prometa običajno opisujejo spletne zahteve, ne pa predora, ki prenaša prenose drugih. Preden okoli njih načrtujete, preberite razdelek o sprejemljivi uporabi, in imejte v mislih dostop za obnovitev za dan, ko se storitev ne bo zagnala.

Kje se spletni račun ustavi

Spletni paket običajno izvaja vašo kodo v upravljanem izvajalnem okolju s fiksno vstopno točko. Tudi ko je predorski binarni file prisoten, lahko procesu manjka dovoljenje za odpiranje vozlišča naprave, vezavo privilegiranih vrat ali spremembo usmerjevalne tabele. Te omejitve so izdelek, ne spregled.

Zato se vtičnik, ki obljublja VPN, običajno izkaže za posrednika nekam drugam. Če trenutni račun ponuja le spletne kontrolnike, je pošten korak ločen strežnik, ne iskanje modula, ki odklene manjkajoče pooblastilo.

Ko mora en gostitelj poganjati oboje

Deljenje je mogoče in včasih smiselno, a obravnavajte ga kot varnostno odločitev, ne kot udobje. Spletna aplikacija z obrazcem za nalaganje stoji ob predorskih poverilnicah in krmilni vtičnici, ranljivost v enem pa doseže drugo. Ločeni računi, ločene storitvene enote in ločeni datotečni sistemi zmanjšajo to izpostavljenost brez nakupa drugega stroja.

Tekmovanje za vire šteje prav tako. Varnostna kopija skozi predor in zaseden spletni proces tekmujeta za isto odhodno povezavo in isti disk, napaka pa je videti kot počasno spletišče, ne kot nasičen predor. Odločite, katera obremenitev zmaga, še pred incidentom, in omejite predor, da spletišče še naprej odgovarja.

Nobena od obeh postavitev ni izolirana samo zato, ker delujeta obe storitvi. Zmožnost gostiti ju skupaj je začetek zasnove, delo na izolaciji pa je tisto, kar jo naredi ubranljivo.

Odločite na preizkusnem gostitelju s štirimi ukazi

Pred selitvijo za eno uro najemite najmanjši primerek ciljnega izdelka in neposredno preizkusite štiri zmožnosti. Ugibanje iz tabele funkcij zapravi manj denarja kot leto z napačnim paketom, a veliko več časa.

Zaženite te na preizkusnem gostitelju in berite napake kot odgovore, ne kot ovire:

ls -l /dev/net/tun
sudo ip tuntap add dev tun9 mode tun && sudo ip link del tun9
sysctl net.ipv4.ip_forward
ss -lunp | head

Prvi dve vrstici povesta, ali lahko predorska naprava sploh obstaja. Tretja poroča, ali sme gostitelj posredovati pakete, četrta pa pokaže, kaj že posluša, da se konflikt vrat ujame zgodaj. Ponudnik, ki spodleti pri drugi vrstici, lahko še vedno podpira izvedbo v uporabniškem prostoru, zato pri vprašanju njihovi podpori poimenujte mehanizem, ki ga potrebujete, ne kategorije izdelka.