Sayt üzrə izolyasiya
Təcridetmə insident ilə kəsilmə arasındakı fərqdir. Hosting etdiyimiz hər bir sayt öz CPU, RAM, IO və proses hədləri, öz CageFS fayl sistemi görünüşü, öz PHP versiyası və öz verilənlər bazası tənzimləyicisi olan nüvə səviyyəsindəki CloudLinux LVE qəfəsində işləyir. Hücuma məruz qalan, güzəştə gedilən və ya sadəcə ağır sorğu icra edən sayt olduğu yerdə məhdudlaşdırılır və təcridetmə bazası hər bir plana daxildir, sizə əlavə ödənişlə təkmilləşdirmə kimi satılmır. Əlçatanlıq: hər sayt üzrə verilənlər bazasının tənzimlənməsi və hər sayt üzrə resurs statistikası aktiv şəkildə hazırlanır və hələlik mövcud deyil. Burada təsvir olunan hər şey bu gündən etibarən aktivdir.
İşçi qrupu nüvə səviyyəsində çoxistifadəçiliyi təmin edən CloudLinux OS ilə işləyir. Hər bir sayt sadəcə nəzakətli razılaşma deyil, sərt sərhəd olan Yüngül Virtual Mühit — LVE əldə edir. Saytın öz qəfəsində etdiyi heç bir şey başqasının büdcəsindən xərclənə bilməz.
LVE hər bir sayt üçün CPU, RAM, IO, IOPS, proseslər və giriş-proseslərini (entry-processes) müstəqil şəkildə məhdudlaşdırır. Sayt öz limitini aşdıqda, o, öz qəfəsində məhdudlaşdırılır — xəta həmin sayt üçün qeydə alınır və onun hər iki tərəfindəki digər saytlar heç bir təsirə məruz qalmadan işləməyə davam edir.
Döngüye girmiş bir plagin, kötü yazılmış bir kron işi (cron job) veya bir uç noktayı (endpoint) spam'leyen bir tarayıcı, ilk olarak sitenin kendi proses ve giriş-prosesi (entry-process) limitlerine takılır. Tek bir site, makinenin tüm kaynaklarını tek başına tüketemez.
Hər "cage" üzrə giriş proseslərinə limit qoyulduğu üçün bir sayta yönəlmiş kütləvi hücum hostda məhdudiyyətsiz iş prosesi aça bilməz. LiteSpeed bağlantı və sorğu məhdudlaşdırılması, eləcə də Imunify360 şəbəkə fayrvolu bunun qarşısında dayanır, beləliklə hücum hədəfin öz problemi olaraq qalır.
Hər bir LVE xətası sayt üzrə qeydə alınır və limitləri avtomatik olaraq sərtləşdirə və ya yumşalda bilən platformanın siyasət mühərrikinə daxil olur. Siz saytın nə üçün və nə zaman məhdudlaşdırıldığını görürsünüz — tədricən, geri çevrilə bilən və qeydə alınan.
Resurs izolyasiyası saytın həddindən artıq səs-küylü olmasının qarşısını alır. Fayl sistemi izolyasiyası isə onun digər işlərə qarışmasına imkan vermir. CageFS hər bir istifadəçiyə maşının şəxsi və məhdudlaşdırılmış görünüşünü təqdim edir.
CageFS altında hər bir istifadəçi yalnız öz fayllarını və sistem binar fayllarının minimal, təmizlənmiş dəstini görür — digər istifadəçiləri, digər istifadəçilərin saytlarını və ya həssas sistem fayllarını görə bilmir. Kompromisə uğramış bir hesabın serverdəki digər bütün hesablar üzrə oxuma mövqeyinə çevrildiyi adi paylaşımlı hostinq nasazlıq rejimi birbaşa nüvə səviyyəsində aradan qaldırılır.
Bu, nəsə səhv getdiyi gün daha çox əhəmiyyət kəsb edir. Əgər sayt köhnəlmiş plaqin, oğurlanmış etimadnamə və ya zəif təbəqə vasitəsilə təhlükə altına düşərsə, partlayış radiusunu yalnız həmin qəfəslə məhdudlaşdıran CageFS-dir. Bizim təhlükəsizlik spesifikasiyamız ifadə seçiminə qarşı diqqətlidir: CageFS pozuntuları məhdudlaşdırır. Məhdudlaşdırma dürüst iddiadır və insidentin tək saytın təmizlənməsi, yoxsa bütün flotiliyanı əhatə edən təmizlənmə olacağını müəyyən edən məhz budur.
Ehtiyat nüsxələri də eyni sərhədi gücləndirir. Sayt üzrə ehtiyat nüsxələri dəyişməz, serverdən kənarda və işləyən sistemdən təcrid olunmuş vəziyyətdə saxlanılır, həmçinin bərpa prosesi sınaqdan keçirilir. Buna görə də hətta hər hansı bir saytda ən pis ssenaridə baş verən pozuntu zamanı belə, həmin saytın işlədiyi maşının vəziyyətindən asılı olmayan təmiz və müstəqil bərpa yolu mövcuddur.
Veb-səviyyəli təcrid hekayənin yalnız yarısıdır. WordPress parkında serverin yavaş işləməsinə çox vaxt bir saytın trafik deyil, sorğuları səbəb olur. Bu, açıq şəkildə həll olunur.
CloudLinux MySQL Governor hər sayt üzrə verilənlər bazası istifadəsini məhdudlaşdırır, beləliklə, bir saytın ağır sorğuları digər hər kəs üçün serveri yavaşlada bilməz. Bu, yavaşlamanın əleyhinə idarəetm məhsuludur və gurultulu sayt məhdudlaşdırıldığını heç vaxt fərqinə varmasa belə işləyir.
Donanma, standart olaraq miras qalmaq əvəzinə WordPress iş yükləri üçün seçilmiş MariaDB (və ya Percona) ilə işləyir, Governor isə hər bir icarəçi üçün ədalətlilik təbəqəsi olaraq onun üzərində yerləşir.
Sayt üzrə hər sayt üçün nəzərdə tutulmuş Redis obyekt keşi verilənlər bazasına çatmazdan əvvəl təkrar oxunmaları mənimsəyir ki, bu da Qubernatorun ilk növbədə vasitəçilik etməli olduğu yükü azaldır. Keşləmə və izolyasiya vahid sistem kimi işləyir.
CloudLinux alt-PHP hər bir sayta öz PHP versiya seçicisini, öz uzantılarını (imagick, gd, redis və s.) və öz sərtləşdirilmiş ayarlarını təqdim edir — LSAPI işçiləri həmin saytın LVE limitləri ilə məhdudlaşdırılır, beləliklə, PHP konkurensiyası qəfəsdən qaçış deyil, onun bir hissəsi olur.
İzolyasiya problemin nə qədər yayılacağını müəyyənləşdirir. Tətbiqetmə isə bundan sonra nə baş verəcəyinə qərar verir. Biz kobud on/off dayandırma funksiyasını davamlı iş axınları ilə idarə olunan və LiteSpeed, LVE və Imunify vasitəsilə işçi səviyyəsində tətbiq edilən vəziyyət maşını (state machine) ilə əvəz etdik.
İzolyasiya üç səviyyə yuxarıda görünən plan xüsusiyyəti deyil. Bu, infrastrukturun xüsusiyyətidir, ona görə də siz bir WooCommerce mağazası və ya iki min şəbəkə saytı işlətməyinizdən asılı olmayaraq eynidir.
Toplu və PBN şəbəkələri eyni LVE və CageFS substratında, axtarış sisteminin izlərini nəzərə alan CDN hesabı rotasiyası və statik HTML çatdırılması ilə yanaşı işləyir. İcazə verin izah edək: təcrid sıxlığı təhlükəsiz edən amildir – saytlar talelərini deyil, parkı paylaşırlar.
İdarə olunan WordPress, WooCommerce, PHP, statik və Node saytları eyni izolyasiyanı, eləcə də tam özünəxidmət imkanlarını əldə edir: öz PHP versiyanız və genişləndirmələriniz, Redis obyekt keşi, staging və canlıya ötürmə (push-to-live).
Sıxlıq üçün optimallaşdırılmış defolt sərhəddən daha güclü sərhəd tələb edən iş yükləri üçün hər sayt üçün tam konteyner izolyasiyası təminat drayveri variantı kimi təklif olunur: eyni mühit, eyni idarəetmə paneli, fərqli yerləşdirmə, daha yüksək əlavə xərclə.
LVE və CageFS izolyasiyası, proaktiv WAF və zərərli proqramların skan edilməsi hər bir müştəri üçün daxildir, çünki yoluxmuş və ya nəzarətdən çıxmış sayt qonşularına və bizim IP nüfuzumuza təhlükə yaradır. Bir kliklə zərərli proqramların təmizlənməsi və qabaqcıl qorunma səviyyələri ödənişli əlavələrdir — baza səviyyəsi deyil.
Hostinqdə kommersiya ehtiraslılığı təhlükəsizliyi mərhələlərlə satmaqdan ibarətdir: ucuz müştəriləri yumşaq limitləri olan paylaşılan serverə yerləşdirmək və təcrid olunmağa önəm verənlərdən pul almaq. Biz bunu etmirik, çünki təcrid olunmaq üçün pul ödəməyən müştəri məhz o kəsdir ki, onun ələ keçirilmiş saytı hər kəsin problemə çevrilməsinə səbəb olur.
Biz bütün dünya üzrə 650 000-dən çox sayta ev sahibliyi edirik; burada sıxlıq bütün iqtisadi modelin əsasını təşkil edir. Bu yanaşma yalnız onun altındakı təcrid qeyd-şərtsiz olduqda işləyir. Nüvə səviyyəli qəfəslər, xüsusi fayl sistemi görünüşü, hər sayt üçün verilənlər bazası məhdudlaşdırılması və hər sayt üçün PHP bu miqyasda ümumi taleyi paylaşmadan işləməyin bədəlidir — məhz buna görə də onlar hər bir planda, yerləşdirdiyiniz ilk saytdan etibarən hər kəs üçün aktivdir.
Nəticədə başqalarının uğursuz günlərində belə proqnozlaşdırılan şəkildə fəaliyyət göstərən bir platforma əldə edirsiniz. Onun arxasında 99.99% işləmə müddəti zəmanəti, sınaqdan keçirilmiş bərpa variantları ilə hər sayt üçün dəyişməz saytdankənar ehtiyat nüsxələri və saytlarınızda həyata keçirilmiş hər bir tətbiqetmə əməliyyatının tam audit izi dayanır.
Təcrid məhz bunun qarşısını almaq üçün nəzərdə tutulmuşdur. LVE hər sayt üçün CPU, RAM, IO, IOPS və prosesləri məhdudlaşdırır, MySQL Governor hər sayt üzrə verilənlər bazası istifadəsini tənzimləyir və LSAPI işçiləri saytın öz qəfəsi ilə məhdudlaşdırılır — beləliklə, qonşu saytın trafik artımı və ya ağır sorğu yükü sizin deyil, onun öz limiti daxilində tənzimlənir. Hər bir nasazlıq hər sayt üzrə qeydə alınır və siyasət mühərriki həddindən artıq resurs tələb edən saytın limitlərini avtomatik olaraq sərtləşdirə bilər.
Dürüst cavab zəmanətdən çox təcridetməkdir. CageFS hər bir kirayəçiyə izolyasiya edilmiş fayl sistemi görünüşü verir — zədələnmiş kirayəçi digər kirayəçiləri, onların saytlarını və ya həssas sistem fayllarını görə bilmir — təsdiqlənmiş zərərli proqram və ya fitinq (phishing) halı isə həmin saytı karantinə köçürür: oflayn, fayllar kilidlənmiş, icra olunmayan, ekspertiza üçün izolyasiya edilmiş. Partlayış radiusunu məhdudlaşdıran məhz budur. Bununla yanaşı, biz hər bir saytda zərərli proqramların skan edilməsini və proaktiv WAF-ı, həmçinin sınaqdan keçirilmiş bərpa variantları ilə hər sayt üçün dəyişməz kənar ehtiyat nüsxələrini işlədirik ki, bərpa heç vaxt müvafiq maşının vəziyyətindən asılı olmasın.
O, hər bir plana daxildir. LVE və CageFS izolyasiyası, proaktiv WAF və zərərli proqramların skan edilməsi hər bir müştəri üçün əsas tələbdir, çünki yoluxmuş və ya nəzarətdən çıxmış sayt qonşularına və bizim IP reputasiyamıza təhlükə yaradır — bunu heç cür könüllü buraxa bilmərik. Əlavə xidmət kimi satılan şey bir kliklə zərərli proqramların təmizlənməsi və aradan qaldırılması, eləcə də təkmilləşdirilmiş WAF qaydaları, prioritet skan, botların idarə edilməsi və daha yüksək DDoS səviyyələri kimi qabaqcıl mühafizə səviyyələridir.
O, söndürülmək əvəzinə öz qəfəsində məhdudlaşdırılır. Məhdudlaşdırma saytın işləməyə və xidmət göstərməyə davam etməklə daha sərt LVE limitlərinə və sürət məhdudiyyətinə məruz qalması deməkdir və səbəb aradan qalxan kimi o, avtomatik olaraq bərpa olunur. Sizə səbəb bildirilir, keçid sübutları ilə birlikdə qeydə alınır və ona etiraz etmək mümkündür. Əgər yük hər hansı nasazlıq deyil, real artımla bağlıdırsa, çıxış yolu daimi məhdudiyyət deyil, daha böyük plandır.
Xeyr — dayandırılmış sayt brendə uyğun, səbəbi xüsusi göstərən gözləmə səhifəsi (ödəniş, texniki xidmət və ya qayda pozuntusu) göstərir ki, bu da saytın qırıq deyil, qəsdən dayandırıldığı təəssüratını yaradır. Dayandırılma ödəniş edildikdə, problem aradan qaldırıldıqda və ya müraciətə baxıldıqdan sonra ləğv edilir. Karantin isə daha sərtdir və fərqli işləyir: o, heç vaxt avtomatik deyil, yalnız təmizlənmə və yoxlamadan sonra ləğv edilir.
Zinn® Managed WordPress xidmətində bəli — CloudLinux alt-PHP hər bir saya öz PHP versiya seçicisini, imagick, gd və redis kimi öz genişləndirmələrini və həmin saytın LVE limitləri ilə məhdudlaşdırılan öz sərtləşdirilmiş parametrlərini təqdim edir. Footprint-Free Hosting isə qəsdən daha standartlaşdırılmış, kilidlənmiş sayt üzrə konfiqurasiyanı işlədir, çünki konfiqurasiya müxtəlifliyi özlüyündə bir izdir.
Bəli. CloudLinux LVE və CageFS hər iki məhsul xəttində sıxlıq üçün optimallaşdırılmış standart seçimdir. Daha sərt sərhəd tələb edən iş yükləri üçün tam sayt başına konteyner izolyasiyası təminat sürücüsü variantı kimi təklif olunur — daha güclü ayrılma üçün əlavə xərcləri dəyişdirərək fərqli yerləşdirməyə malik eyni mühüm və idarəetmə paneli.
Bəli. Footprint-Free Hosting kart tələb olunmayan, 5-ə qədər saytı əhatə edən 14 günlük sınaq müddəti ilə başlayır — heç bir ödəniş məlumatı tələb olunmur, heç bir öhdəlik yoxdur. Bir neçə sayt yerləşdirin, onlara müəyyən yük verin və qərar verməzdən əvvəl qəfəslərin necə işlədiyini görün.
Ödəniş kartı tələb olunmayan 14 günlük Footprint-Free Hosting sınaq müddətinə başlayın — beşədək sayt, ödəniş məlumatları yoxdur, öhdəlik yoxdur. Nüvə səviyyəsində təcrid, proaktiv WAF və zərərli proqram təminatının skan edilməsi ilk yerləşdirmədən daxildir.
Pulsuz başlayın