Изолация за всеки сайт поотделно
Изолацията е разликата между инцидент и прекъсване. Всеки сайт, който хостваме, работи в рамките на защитена клетка CloudLinux LVE на ниво ядро със собствени ограничения за CPU, RAM, IO и процеси, собствен файлов изглед CageFS, собствена PHP версия и собствено ограничение за база данни. Сайт, който е атакуван, компрометиран или просто изпълнява тежка заявка, се изолира на мястото си — а основното ниво на изолация е включено във всеки план, а не ви се продава като надстройка. Наличност: ограничаването на ресурсите на базата данни за отделен сайт и статистиката за ресурсите за отделен сайт са в процес на активна разработка и все още не са налични. Всичко останало, описано тук, е налично днес.
Работният клъстер работи с CloudLinux OS, която спуска мултитененанта на ниво ядро. Всеки сайт получава олекотена виртуална среда (Lightweight Virtual Environment) — LVE — която представлява строга граница, а не любезна договорка. Нищо, което даден сайт прави вътре в своята клетка, не може да бъде за сметка на бюджета на някой друг.
LVE ограничава процесора (CPU), паметта (RAM), входно-изходните операции (IO), IOPS, процесите и входящите процеси за всеки сайт поотделно. Когато даден сайт надхвърли своя лимит, той се ограничава вътре в собствената си изолация — грешката се записва в лога за този сайт, а съседните му сайтове продължават да работят необезпокоявани.
Плъгин, заклещен в цикъл, лошо написан cron процес или обхождащ робот, който непрекъснато изпраща заявки към даден ендпойнт, достига първо лимитите на собствените си процеси и входни процеси в сайта. Един единствен сайт не може просто така да натовари цялата машина.
Тъй като входящите процеси са ограничени на cage, наводнение от заявки към един сайт не може да отвори неограничена работа на хоста. Ограничаването на връзките и заявките от LiteSpeed и мрежовата защитна стена Imunify360 застават пред това, така че атаката остава проблем на целта.
Всяка LVE грешка се записва за всеки сайт и постъпва в политиката на платформата, която може автоматично да затегне или разхлаби лимитите. Виждате защо и кога даден сайт е бил ограничен — постепенно, обратимо и регистрирано.
Изолацията на ресурсите спира шума от сайта. Изолацията на файловата система го спира да бъде любопитен. CageFS предоставя на всеки наемател лично и ограничено пространство на машината.
При CageFS всеки клиент вижда собствените си файлове и минимален, изчистен набор от системни двоични файлове — и не може да вижда други клиенти, сайтове на други клиенти или чувствителни системни файлове. Обичайният режим на откази при споделения хостинг, при който един компрометиран акаунт се превръща в позиция за четене на всеки друг акаунт на машината, е елиминиран на ниво ядро.
Това е от най-голямо значение в деня, в който нещо се обърка. Ако даден сайт бъде компрометиран – чрез остарял плъгин, откраднати идентификационни данни, уязвима тема – именно CageFS е нещото, което ограничава мащаба на щетите до тази една единствена клетка. Нашата спецификация за сигурност подбира внимателно думите си: CageFS изолира пробивите. Изолацията е честното твърдение и именно тя определя дали даден инцидент ще бъде почистване на един сайт, или на цяла група сайтове.
Резервните копия затвърждават същата граница. Резервните копия за отделни сайтове са неизменяеми, извън обекта и изолирани от работещия флот, с тествани възстановявания, така че дори и при най-лошия сценарий на компрометиране на един сайт да има чист, независим път за възстановяване, който не зависи от състоянието на машината, на която е работил.
Изолацията на уеб ниво е само половината от нещата. При клъстер от WordPress, това, което най-често забавя един сървър, са заявките на даден сайт, а не неговият трафик. Това се управлява изрично.
CloudLinux MySQL Governor ограничава използването на базата данни за всеки сайт поотделно, така че тежките заявки на един сайт да не забавят сървъра за всички останали. Това е контролът срещу забавяне и той работи независимо дали натовареният сайт някога забелязва, че е ограничен.
Флотът използва MariaDB (или Percona), подбрани специално за натоварванията от WordPress, а не наследени по подразбиране, като Governor е разположен отгоре като слой за справедливо разпределение между наемателите.
Обектният кеш Redis за всеки сайт поема повтарящите се четения, преди те да достигнат до базата данни, което намалява натоварването, което Governor трябва да регулира на първо място. Кеширането и изолацията работят като една система.
CloudLinux alt-PHP дава на всеки сайт собствен селектор за PHP версия, собствени разширения (imagick, gd, redis и останалите) и собствени защитени настройки – с LSAPI работници, ограничени от LVE лимитите на съответния сайт, така че PHP едновременността е част от клетката, а не начин за бягство от нея.
Изолацията определя докъде се разпространява проблемът. Принудителното изпълнение определя какво се случва след това. Заменихме грубото спиране/пускане с краен автомат, задвижван от трайни работни процеси и приложен върху работния процес чрез LiteSpeed, LVE и Imunify.
Изолацията не е функция на плана, която се появява три нива нагоре. Тя е свойство на субстрата, така че е идентична независимо дали управлявате един WooCommerce магазин или две хиляди мрежови сайта.
Масовите и PBN мрежи работят върху същата основа от LVE и CageFS, съчетани с ротация на CDN акаунти, съобразена със SEO следите, и доставка на статичен HTML. Изолацията е това, което прави плътността безопасна: сайтовете споделят един парк, но не и съдбата си.
Managed WordPress, WooCommerce, PHP, static and Node сайтовете получават същите изолирани среди плюс пълен контрол – собствена PHP версия и разширения, Redis обектен кеш, стейджинг и прехвърляне на живо с един бутон.
За натоварвания, които се нуждаят от по-строга граница от оптимизираната за плътност стандартна стойност, пълната изолация на контейнер на сайт се предлага като вариант на драйвер за предоставяне: същия механизъм, същия контролен панел, различно разположение, при по-високи режийни разходи.
LVE и CageFS изолацията, проактивният WAF и сканирането за зловреден софтуер са включени за всеки клиент, тъй като заразеният или излязъл извън контрол сайт застрашава съседите си и нашата IP репутация. Почистването на зловреден софтуер с едно щракване и разширените нива на защита са платени добавки — основното ниво не е.
Търговското изкушение в хостинга е да продава сигурност на нива: да постави евтините клиенти на споделен сървър с меки лимити и да таксува тези, които държат на изолацията. Ние не правим това, защото клиентът, който не е платил за изолация, е точно този, чийто компрометиран сайт се превръща в инцидент за всички останали.
Ние хостваме над 650 000 сайта по целия свят на инфраструктура, чиято икономическа основа се състои в плътността. Това работи само ако изолацията под нея е безусловна. Клетките на ниво ядро, частният изглед на файловата система, ограничаването на ресурсите на базата данни за отделен сайт и индивидуалният PHP за всеки сайт са цената за работа в такъв мащаб без споделена съдба – затова те са активни за всеки, във всеки план, още от първия сайт, който разположите.
Резултатът е платформа, която се държи предвидимо при лошите дни на други задкулисни играчи. Зад нея стои гаранция за 99.99% време на работа (uptime), неизменяеми извънсайтови резервни копия за всеки сайт с тествани възстановявания и пълен одит на всяко принудително действие, предприето спрямо вашите сайтове.
Изолацията е проектирана специално да спре това. LVE ограничава процесорната памет, RAM, IO, IOPS и процесите за всеки сайт, MySQL Governor ограничава използването на базата данни за всеки сайт, а LSAPI работните процеси са ограничени в рамките на собствената клетка на сайта – така че скокът в трафика или тежкото натоварване с заявки на съсед се ограничава спрямо тяхното ограничение, а не вашето. Всеки проблем се регистрира за всеки сайт, а двигателят на политиките може автоматично да затегне лимитите на шумен сайт.
Честният отговор е ограничаване, а не гаранция. CageFS предоставя на всеки наемател изолиран изглед на файловата система — компрометиран наемател не може да види други наематели, техните сайтове или чувствителни системни файлове — а потвърден случай на зловреден софтуер или фишинг премества този сайт под карантина: офлайн, заключени файлове, без изпълнение, изолиран за криминалистичен анализ. Това е нещото, което ограничава мащаба на пораженията. Наред с това изпълняваме сканиране за зловреден софтуер и проактивна WAF защита на всеки сайт, плюс неизменни извънбордови резервни копия на базата на сайта с тествани възстановявания, така че възстановяването никога да не зависи от състоянието на съответната машина.
Той е включен във всеки план. Изолацията чрез LVE и CageFS, проактивната WAF и сканирането за зловреден софтуер са задължителни за всеки клиент, тъй като заразеният или неуправляем сайт застрашава съседите си и нашата IP репутация — не можем разумно да го оставим като опция. Това, което се продава като добавка, е почистването и отстраняването на зловреден софтуер с едно кликване, както и разширени нива на защита като подобрени правила за WAF, приоритетно сканиране, управление на ботове и по-високи нива срещу DDoS.
Той е ограничен в собствената си клетка, вместо да бъде изключен. Ограничен означава по-строги LVE лимити и ограничаване на скоростта, като сайтът продължава да работи и да обслужва заявки, и се възстановява автоматично, след като причината отпадне. Уведомени сте за причината, преходът се записва в лог с доказателствата за него и подлежи на обжалване. Ако натоварването се дължи на реален растеж, а не на неизправност, решението е по-голям план, а не перманентно ограничение.
Не — спреният сайт показва брандирана целева страница с посочена причина (плащане, поддръжка или злоупотреба), така че да изглежда умишлен, а не счупен. Съспендът се вдига при плащане, отстраняване на проблема или след обжалване. Карантината е по-строга и работи по друг начин: тя се премахва само след почистване и преглед, никога автоматично.
На Zinn® Managed WordPress — да, CloudLinux alt-PHP предоставя на всеки сайт собствен селекционер на PHP версия, собствени разширения като imagick, gd и redis, и собствени защитени настройки, всички ограничени от LVE лимитите на съответния сайт. Footprint-Free Hosting умишлено използва по-стандартизирана и заключена конфигурация за всеки сайт, тъй като самото разнообразие в конфигурациите представлява отпечатък.
Да. CloudLinux LVE и CageFS са оптимизираната по плътност стандартна настройка и за двете продуктови линии. За натоварвания, които изискват по-строги граници, пълната изолация на контейнер на сайт се предлага като вариант на драйвер за предоставяне – същият двигател и контролен панел с различно разположение, заменяйки надстройката за по-силна изолация.
Да. Хостингът Footprint-Free започва с 14-дневен пробен период без нужда от карта, покриващ до пет сайта — без данни за плащане, без ангажименти. Разгърнете няколко сайта, натоварете ги и вижте как се държат клетките, преди да вземете решение.
Стартирайте 14-дневен пробен период без карта на Footprint-Free Hosting — до пет сайта, без данни за плащане, без обвързване. Ядрена изолация (kernel-level isolation), проактивният WAF и сканирането за зловреден софтуер са включени още от първото деплойване.
Започни безплатно