Izolace pro každý web
Izolace představuje rozdíl mezi běžným incidentem a úplným výpadkem. Každý námi hostovaný web běží v kleci CloudLinux LVE na úrovni jádra s vlastními limity pro procesor, paměť RAM, I/O operace a procesy, vlastním zobrazením souborového systému CageFS, vlastní verzí PHP a vlastním řízením databázových požadavků. Web, který čelí útoku, je kompromitován nebo pouze provádí náročný dotaz, je izolován přímo na místě — a tato základní izolace je součástí každého tarifu, nikoli dodatečně prodávána jako placený upgrade. Dostupnost: regulace databáze a statistiky prostředků pro jednotlivé weby jsou v aktivním vývoji a prozatím nejsou k dispozici. Vše ostatní zde popsané je plně v provozu již dnes.
Pracovní flotila využívá CloudLinux OS, který posouvá víceuživatelský přístup přímo do jádra. Každý web získává odlehčené virtuální prostředí — LVE —, které představuje pevnou hranici, nikoli pouze zdvořilou konvenci. Nic, co web dělá ve své kleci, nemůže být čerpáno z rozpočtu někoho jiného.
LVE nezávisle omezuje procesor (CPU), paměť RAM, vstupně-výstupní operace (IO), IOPS, procesy a vstupní procesy pro každý web zvlášť. Když web překročí svůj limit, je přiškrcen v rámci své vlastní izolované schránky — chyba je zaznamenána tomuto webu a weby vedle něj fungují dál bez jakéhokoli ovlivnění.
Doplněk zaseknutý ve smyčce, špatně napsaná úloha cron nebo crawler přetěžující koncový bod nejprve narazí na limity procesů a vstupních procesů samotného webu. Jeden web nemůže jednoduše vyčerpat celý server.
Protože jsou vstupní procesy omezeny na každou izolovanou schránku, nápor cílený na jeden web nemůže na hostiteli otevřít neomezené množství práce. Omezování připojení a požadavků v systému LiteSpeed a síťový firewall Imunify360 stojí před tím, takže útok zůstává problémem pouze pro daný cíl.
Každá chyba LVE se zaznamenává pro jednotlivé weby a přechází do zásadového modulu platformy, který může limity automaticky zpřísnit nebo zmírnit. Vidíte, proč byl web omezen a kdy — odstupňovaně, vratně a se záznamem v protokolu.
Izolace prostředků brání webu v nadměrném zatěžování systému. Izolace souborového systému mu brání ve zvědavém slídění. CageFS poskytuje každému nájemci soukromý, omezený pohled na daný stroj.
V prostředí CageFS nájemce vidí pouze své vlastní soubory a minimální, bezpečně vybranou sadu systémových binárních souborů — a nevidí ostatní nájemce, jejich weby ani citlivé systémové soubory. Obvyklý typ selhání sdíleného hostingu, kdy se jeden napadený účet stane výchozím bodem pro čtení všech ostatních účtů na serveru, je uzavřen přímo na úrovni jádra.
Na tomto nejvíce záleží v den, kdy se něco pokazí. Pokud je web kompromitován — prostřednictvím zastaralého pluginu, odcizených přihlašovacích údajů, zranitelného motivu — je to právě CageFS, co udrží dosah škod v této jediné kleci. Naše bezpečnostní specifikace volí formulaci záměrně: CageFS izoluje narušení. Izolace je poctivé tvrzení a právě ona rozhoduje o tom, zda je incident vyčištěním jednoho webu, nebo zásahem v rámci celého serverového parku.
Zálohy posilují stejnou hranici. Zálohy jednotlivých webů jsou neměnné, uložené mimo lokalitu a izolované od běžící infrastruktury, s otestovaným obnovením, takže i v nejhorším případě narušení bezpečnosti jednoho webu existuje čistá, nezávislá cesta obnovy, která nezávisí na stavu stroje, na kterém běžel.
Izolace na webové vrstvě je pouze polovina úspěchu. Ve flotile WordPress je tím, co nejčastěji způsobuje zpomalení serveru, zatížení dotazy jednoho webu, nikoli jeho návštěvnost. To je výslovně ošetřeno.
CloudLinux MySQL Governor omezuje využití databáze pro každý web, takže náročné dotazy jednoho webu nemohou zpomalit server pro všechny ostatní. Představuje kontrolu proti zpomalení a funguje bez ohledu na to, zda si problémový web vůbec všimne, že je omezován.
Flotila využívá MariaDB (nebo Percona), vybranou přímo pro pracovní zátěže WordPress, namísto pouhého výchozího převzetí, přičemž Governor nad ní funguje jako vrstva pro spravedlivé rozdělení prostředků mezi jednotlivé nájemce.
Objektová mezipaměť Redis pro každý web absorbuje opakovaná čtení dříve, než se dostanou k databázi, což primárně snižuje tlak, který musí Governor regulovat. Ukládání do mezipaměti a izolace fungují jako jeden systém.
CloudLinux alt-PHP poskytuje každému webu vlastní volič verze PHP, vlastní rozšíření (imagick, gd, redis a další) a vlastní zabezpečená nastavení — s procesy LSAPI omezenými limity LVE daného webu, takže souběžnost PHP je součástí izolace (cage), nikoli únikem z ní.
Izolace rozhoduje o tom, kam až se problém rozšíří. Vynucení rozhoduje o tom, co se stane dál. Hrubé pozastavení typu zapnuto/vypnuto jsme nahradili stavovým automatem, který je řízen odolnými pracovními postupy a vynucován na workeru prostřednictvím LiteSpeed, LVE a Imunify.
Izolace není funkce plánu, která se objeví o tři úrovně výše. Je to vlastnost infrastruktury, takže je identická, ať už provozujete jeden obchod WooCommerce, nebo dva tisíce síťových webů.
Hromadné sítě a sítě PBN běží na stejném substrátu LVE a CageFS, společně s rotací účtů CDN zohledňující digitální stopu a doručováním statického HTML. Izolace je to, co činí hustotu bezpečnou: weby sdílejí infrastrukturu, aniž by sdílely stejný osud.
Spravované weby WordPress, WooCommerce, PHP, statické a Node získávají stejné izolované klece plus kompletní samoobsluhu — vaši vlastní verzi a rozšíření PHP, mezipaměť objektů Redis, staging a přechod do ostrého provozu jedním kliknutím.
Pro pracovní zátěže, které vyžadují silnější ohraničení než výchozí nastavení optimalizované pro hustotu, je nabízena plná izolace typu kontejner pro každý web jako varianta zřizovacího ovladače: stejný engine, stejná řídicí rovina, odlišné umístění, avšak s vyšší režií.
Izolace LVE a CageFS, proaktivní WAF a kontrola malwaru jsou zahrnuty pro každého zákazníka, protože napadený nebo nekontrolovatelný web ohrožuje své sousedy i reputaci našich IP adres. Vyčištění malwaru jedním kliknutím a pokročilé úrovně ochrany jsou placené doplňky — základní úroveň zpoplatněna není.
Komerčním pokušením v hostingu je prodávat bezpečnost po úrovních: umístit levné zákazníky na sdílený server s mírnými limity a těm, kterým záleží na oddělení, si účtovat příplatek. My to neděláme, protože zákazník, který nezaplatil za izolaci, je přesně ten, jehož napadený web se stane incidentem pro všechny ostatní.
Hostujeme více než 700 000 webů po celém světě, na infrastruktuře, kde je hustota celým ekonomickým konceptem. To funguje pouze v případě, že je základní izolace bezpodmínečná. Klece na úrovni jádra, soukromé zobrazení souborového systému, omezování databáze pro každý web zvlášť a PHP pro každý web zvlášť jsou cenou za provoz v tomto měřítku bez sdíleného osudu — proto jsou zapnuté pro každého, v každém tarifu, od prvního webu, který nasadíte.
Výsledkem je platforma, která se chová předvídatelně i během nepříznivých dnů ostatních. Stojí za ní záruka 99.99% dostupnosti, neměnné externí zálohy pro každý web s testovaným obnovením a kompletní auditní záznam o každém vynucovacím opatření provedeném na Vašich webech.
Izolace je navržena speciálně tak, aby tomu zabránila. LVE omezuje CPU, RAM, IO, IOPS a procesy pro každý web, MySQL Governor reguluje využití databáze pro každý web a procesy LSAPI jsou vymezeny vlastním cage webu — takže nárůst návštěvnosti nebo vysoké zatížení dotazy u sousedního webu je omezeno jeho vlastním stropem, nikoli Vaším. Každá chyba se zaznamenává pro jednotlivé weby a modul zásad může limity problémového webu zpřísnit automaticky.
Upřímná odpověď zní: omezení šíření spíše než záruka. CageFS poskytuje každému nájemci izolované zobrazení souborového systému — napadený nájemce nemůže vidět ostatní nájemce, jejich weby ani citlivé systémové soubory — a potvrzený výskyt malwaru nebo phishingu přesune daný web do karantény: offline, uzamčené soubory, žádné spouštění, izolováno pro forenzní analýzu. To je to, co omezuje dosah škod. Souběžně s tím provádíme skenování malwaru a proaktivní WAF na každém webu, navíc s neměnnými offsite zálohami pro každý web s otestovaným obnovením, takže obnova nikdy nezávisí na stavu dotčeného stroje.
Je to součástí každého plánu. Izolace LVE a CageFS, proaktivní WAF a skenování malwaru jsou základem pro každého zákazníka, protože infikovaný nebo nekontrolovatelný web ohrožuje své sousedy i reputaci naší IP adresy — nemůžeme to rozumně nechat jako volitelné. Jako doplněk se prodává vyčištění a náprava malwaru na jedno kliknutí a pokročilé úrovně ochrany, jako jsou rozšířená pravidla WAF, prioritní skenování, správa botů a vyšší úrovně ochrany proti DDoS.
Prostředí je přiškrceno v rámci své vlastní klece, namísto aby bylo zcela vypnuto. Přiškrcení znamená přísnější limity LVE a omezení rychlosti, přičemž web zůstává v provozu a dostupný, a jakmile příčina pomine, automaticky se obnoví. O důvodu budete informováni, přechod je zaznamenán včetně důkazů a lze se proti němu odvolat. Pokud je zátěž způsobena skutečným růstem a nikoli chybou, řešením je vyšší tarif, nikoli trvalé přiškrcení.
Ne — pozastavený web zobrazuje brandovanou stránku s konkrétním důvodem (vyúčtování, údržba nebo zneužití), aby působil jako záměrně pozastavený, nikoli jako nefunkční. Pozastavení se ruší po zaplacení, po nápravě nebo po odvolání. Karanténa je přísnější a funguje jinak: ruší se pouze po vyčištění a kontrole, nikdy automaticky.
Na Zinn® Managed WordPress ano – CloudLinux alt-PHP poskytuje každému webu vlastní přepínač verze PHP, vlastní rozšíření jako imagick, gd a redis a vlastní zabezpečená nastavení, to vše ohraničené limity LVE daného webu. Footprint-Free Hosting záměrně využívá standardizovanější a uzamčenější konfiguraci pro každý web, protože samotná konfigurační variabilita představuje stopu.
Ano. CloudLinux LVE a CageFS představují výchozí řešení optimalizované pro hustotu v obou produktových řadách. Pro pracovní zátěže, které vyžadují pevnější hranici, je jako varianta zřizovacího ovladače nabízena úplná izolace v podobě samostatného kontejneru pro každý web — stejný engine a řídicí rovina s odlišným umístěním, což mění režijní náklady za silnější oddělení.
Ano. Hosting Footprint-Free začíná 14denní zkušební verzí bez nutnosti platební karty, která pokrývá až pět webů — žádné platební údaje, žádné závazky. Nasaďte několik webů, vystavte je zátěži a než se rozhodnete, podívejte se, jak se klece chovají.
Zahajte 14denní zkušební verzi Footprint-Free hostingu bez nutnosti zadávat platební kartu — až pro pět webů, bez platebních údajů a bez závazků. Izolace na úrovni jádra, proaktivní WAF a skenování malwaru jsou zahrnuty již od prvního nasazení.
Začněte zdarma