Веб хостинг или VPS: може ли ваш план да покрене VPN сервер?

Радећи веб-сајт је доказ да провајдер уме да сервира HTTP, а не да ви контролишете машину. Између дељеног плана, управљане апликације и самоуправљаног сервера постоји велика разлика у томе шта налог сме да ради са мрежом. Одлучите која страна те разлике је потребна вашем VPN дизајну пре него што платите још једну годину. Четири могућности раздвајају те две, и ниједна се не појављује на ценовнику.

Шта сваки план заиста даје

Корисно поређење није цена или величина диска, већ овлашћење. Питајте шта налог може да покрене, до којих функција језгра стиже, који портови прихватају долазни саобраћај и да ли дозвољени саобраћај може поново да оде негде другде.

Већина хостинг производа спада у три облика, и само је последњи сервер опште намене:

Налог са shell-ом је уобичајен извор забуне. Пренос датотека или приступ заказаним задацима може изгледати као администрација, док је процес ограничен на један директоријум и мали скуп дозвољених операција.

Четири могућности које одлучују одговор

Узмите их по реду, јер неуспех на првом кораку чини остатак небитним.

Прво, софтвер мора да ради као дуготрајан процес који преживљава одржавање. Друго, имплементација мора да уме да створи свој виртуелни интерфејс; на Linux-у то обично значи отварање /dev/net/tun са одговарајућом административном дозволом, као што документација језгра за TUN/TAP описује, иако сваки VPN дизајн не користи тај уређај. Треће, клијенти морају да стигну до слушаоца на јавној адреси, транспорту и порту које намеравате, а веб обрнути прокси који прихвата HTTPS не говори ништа о неповезаном протоколу на истом броју. Четврто, дозвољени саобраћај мора моћи да настави даље, са рутама, прослеђивањем и сваким преводом који се заиста подржава.

Услови коришћења стоје поред тих четири и нису нимало технички. Неограничене квоте саобраћаја обично описују веб захтеве, а не тунел који носи туђа преузимања. Прочитајте одељак о прихватљивом коришћењу пре него што око њега пројектујете, и имајте на уму приступ за опоравак за дан када услуга неће да се покрене.

Где се веб налог зауставља

Веб план обично покреће ваш код у управљаном окружењу за извршавање са фиксном улазном тачком. Чак и када постоји бинарни фајл тунела, процесу може недостајати дозвола да отвори чвор уређаја, заузме привилеговани порт или измени табелу рутирања. Та ограничења су сам производ, а не пропуст.

Зато додатак који обећава VPN обично испадне прокси ка неком другом месту. Ако тренутни налог нуди само веб контроле, поштен корак је одвојен сервер, а не тражење модула који откључава овлашћење које недостаје.

Када један домаћин мора да покреће обоје

Дељење је могуће и понекад разумно, али третирајте га као безбедносну одлуку, а не као погодност. Веб апликација са формом за отпремање стоји поред акредитива тунела и контролног сокета, а рањивост у једном достиже друго. Одвојени налози, одвојене сервисне јединице и одвојени фајл системи смањују ту изложеност без куповине другог рачунара.

Такмичење за ресурсе је једнако важно. Резервна копија кроз тунел и заузет веб процес такмиче се за исти излазни канал и исти диск, а квар изгледа као спор сајт, а не као засићен тунел. Одлучите која тежина побеђује пре инцидента, и ограничите тунел да би сајт наставио да одговара.

Ниједан од два распореда није изолован само зато што обе услуге раде. Способност да их хостујете заједно је почетак дизајна, а рад на изолацији је оно што га чини одбрањивим.

Решите то на пробном домаћину са четири команде

Пре миграције изнајмите најмању инстанцу циљног производа на сат и тестирајте четири могућности директно. Нагађање из табеле функција троши мање новца од године са погрешним планом, али много више времена.

Извршите ово на пробном домаћину и читајте неуспехе као одговоре, а не као препреке:

ls -l /dev/net/tun
sudo ip tuntap add dev tun9 mode tun && sudo ip link del tun9
sysctl net.ipv4.ip_forward
ss -lunp | head

Прва два реда кажу може ли тунелски уређај уопште да постоји. Трећи извештава може ли домаћин да прослеђује пакете, а четврти показује шта већ слуша, да би се сукоб портова ухватио рано. Пружалац који падне на другом реду ипак може да подржава имплементацију у корисничком простору, зато када питате њихову подршку именујте механизам који вам треба, а не категорију производа.