Izolace pro jednotlivé weby
Izolace je rozdíl mezi incidentem a výpadkem. Každý web, který hostujeme, běží v CloudLinux LVE kleci na úrovni jádra s vlastními limity pro CPU, RAM, IO a procesy, vlastním souborovým systémem CageFS, vlastní verzí PHP a vlastním omezením databáze. Web, který je napaden, kompromitován nebo jednoduše provádí náročný dotaz, je zadržen tam, kde se nachází – a tato základní úroveň izolace je součástí každého tarifu, nikoliv prodávána zpět jako upgrade. Dostupnost: omezení databáze pro jednotlivé weby a statistiky zdrojů pro jednotlivé weby jsou v aktivním vývoji a zatím nejsou k dispozici. Všechno ostatní popsané zde je již dnes v provozu.
Pracovní flotila běží na systému CloudLinux OS, který přenáší víceklientskou architekturu přímo do jádra. Každý web získá lehké virtuální prostředí – LVE –, které představuje pevnou hranici namísto pouhé zdvořilé dohody. Nic, co web provede uvnitř své klece, nemůže vyčerpat prostředky z rozpočtu někoho jiného.
LVE omezuje CPU, RAM, IO, IOPS, procesy a vstupní procesy pro každý web nezávisle. Když web překročí svůj strop, je přidušen ve své vlastní kleci – chyba se zaznamená k danému webu a weby po jeho stranách fungují dál bez ovlivnění.
Zaseknutý plugin ve smyčce, špatně napsaná úloha cron nebo crawler zahlcující koncový bod narazí jako první na vlastní limity procesů a vstupních procesů daného webu. Jeden web jednoduše nemůže vytížit celý stroj.
Protože vstupní procesy jsou v každé "kleci" omezené, útok zaměřený na jeden web nemůže na hostiteli otevřít neomezenou práci. Omezování připojení a požadavků v LiteSpeed a síťový firewall Imunify360 stojí před tím, takže útok zůstává problémem cíle.
Každá chyba LVE je zaznamenána pro každý web a proudí do politického enginu platformy, který dokáže limity automaticky zpřísnit nebo uvolnit. Vidíte, proč byl web přiškrcen a kdy – odstupňované, vratné a zaznamenané.
Izolace prostředků zabraňuje tomu, aby byl web hlučný. Izolace souborového systému mu brání strkat nos tam, kam nemá. CageFS poskytuje každému nájemci soukromý, omezený pohled na stroj.
V systému CageFS vidí každý klient pouze své vlastní soubory a minimální, očištěnou sadu systémových binárních souborů – a nevidí ostatní klienty, weby ostatních klientů ani citlivé systémové soubory. Obvyklý scénář selhání u sdíleného hostingu, kdy se jeden napadený účet stane výchozím bodem pro čtení všech ostatních účtů na serveru, je tak na úrovni jádra eliminován.
Na tom záleží nejvíce v den, kdy se něco pokazí. Pokud dojde k ohrožení webu – prostřednictvím zastaralého pluginu, odcizených přihlašovacích údajů nebo zranitelné šablony – právě CageFS udrží rozsah škod v rámci této jediné „klece“. Naše bezpečnostní specifikace volí slova záměrně: CageFS narušení omezuje. Omezení je poctivé tvrzení a právě ono rozhoduje o tom, zda bude incident znamenat úklid jednoho webu, nebo celé sítě.
Zálohy posilují stejnou hranici. Zálohy pro jednotlivé weby jsou neměnné, uložené mimo pracoviště a izolované od běžícího systému, s otestovanou obnovou, takže i v případě nejhoršího kompromisu jednoho webu existuje čistá a nezávislá cesta obnovy, která nezávisí na stavu stroje, na kterém běžel.
Izolace webové vrstvy je jen polovina úspěchu. U clusteru WordPress je to, co nejčastěji způsobuje, že se server zdá pomalý, dáno dotazy jednoho webu, nikoliv jeho návštěvností. To je řešeno explicitně.
CloudLinux MySQL Governor omezuje využívání databází pro jednotlivé weby, takže náročné dotazy jednoho webu nemohou zpomalit server pro všechny ostatní. Je to kontrola proti zpomalení a funguje bez ohledu na to, zda hlučný web vůbec zaznamená, že je omezován.
Flotila využívá MariaDB (nebo Percona), což bylo zvoleno pro úlohy WordPress namísto výchozího převzetí, přičemž nad tím vším funguje Governor jako vrstva spravedlivého rozdělení prostředků pro každého nájemníka.
Objektová mezipaměť Redis pro každý web absorbuje opakovaná čtení dříve, než dorazí do databáze, což snižuje zátěž, kterou musí Governor vůbec řešit. Caching a izolace fungují jako jeden systém.
CloudLinux alt-PHP dává každému webu vlastní přepínač verzí PHP, vlastní rozšíření (imagick, gd, redis a další) a vlastní zabezpečená nastavení – s pracovními procesy LSAPI ohraničenými limity LVE daného webu, takže souběžnost PHP je součástí klece, nikoli únikem z ní.
Izolace určuje, jak daleko se problém rozšíří. Vynucení rozhoduje o tom, co se stane potom. Nahradili jsme tupé pozastavení zapnuto/vypnuto stavovým strojem, který je řízen odolnými pracovními postupy a vynucován na workeru prostřednictvím LiteSpeed, LVE a Imunify.
Izolace není funkcí plánu, která se objevuje o tři úrovně výše. Je vlastností podkladové vrstvy, takže je naprosto identická, ať už provozujete jeden obchod WooCommerce, nebo dva tisíce síťových webů.
Hromadné a PBN sítě běží na stejném LVE a CageFS základu, spolu s rotací CDN účtů s ohledem na footprint a doručováním statického HTML. Izolace je tím, co zajišťuje bezpečnost vysoké hustoty: weby sdílejí společnou infrastrukturu, aniž by sdílely svůj osud.
Spravované weby WordPress, WooCommerce, PHP, statické a Node weby získávají stejné ohraničení plus plnou samoobsluhu – vlastní verzi PHP a rozšíření, objektovou vyrovnávací paměť Redis, staging a funkci push-to-live.
Pro zátěže, které vyžadují silnější hranici než výchozí nastavení optimalizované pro hustotu, je jako varianta zřizovacího ovladače nabízena úplná izolace kontejneru na web: stejný engine, stejná řídicí rovina, odlišné umístění, s vyšší režii.
Izolace LVE a CageFS, proaktivní WAF a kontrola malwaru jsou zahrnuty pro každého zákazníka, protože infikovaný nebo neovladatelný web ohrožuje sousední weby a naši reputaci IP adres. Jednoúklikové odstranění malwaru a pokročilé stupně ochrany jsou placené doplňky – základní úroveň nikoliv.
Komerčním lákadlem v hostingu je prodávat bezpečnost po vrstvách: levné zákazníky umístit na sdílený server s měkkými limity a těm, kterým na tom záleží, si naúčtovat příplatek za izolaci. My to neděláme, protože právě zákazník, který si za izolaci nepřiplatil, je ten, jehož napadený web se stane incidentem pro všechny ostatní.
Hostujeme více než 650 000 webů po celém světě na infrastruktuře, jejíž ekonomický model stojí na vysoké hustotě provozu. To může fungovat pouze tehdy, je-li izolace na spodní vrstvě bezpodmínečná. Izolace na úrovni jádra, soukromý pohled na souborový systém, omezování prostředků databází pro jednotlivé weby a PHP pro každý web zvlášť jsou cenou za provoz v takovém měřítku bez vzájemného ovlivňování – proto jsou standardně aktivní pro každého a u každého tarifu už od prvního nasazeného webu.
Výsledkem je platforma, která se chová předvídatelně i během dnů, kdy se ostatním nedaří. Za ní stojí 99,99% záruka provozuschopnosti, neměnné vzdálené zálohy pro každý web s otestovanou obnovou a úplný auditní záznam každé vynucené akce provedené na vašich webech.
Izolace je navržena přesně k tomu, aby tomu zabránila. LVE omezuje CPU, RAM, IO, IOPS a procesy na web, MySQL Governor reguluje využití databáze na web a procesy LSAPI jsou omezeny vlastním prostorem webu – takže špička v provozu sousedního webu nebo velká zátěž dotazy se omezí na jeho vlastním limitu, nikoli na vašem. Každá chyba se zaznamenává pro každý web zvlášť a modul pravidel dokáže limity hlučného webu automaticky zpřísnit.
Upřímnou odpovědí je spíše izolace než záruka. CageFS poskytuje každému uživateli izolovaný pohled na souborový systém – kompromitovaný uživatel nevidí ostatní uživatele, jejich weby ani citlivé systémové soubory – a potvrzený případ malwaru nebo phishingu daný web přesune do karantény: offline, soubory uzamčené, bez spouštění, izolované pro forenzní analýzu. To je to, co omezuje rozsah dopadu. Současně na každém webu provozujeme skenování malwaru a proaktivní WAF spolu s neměnnými externími zálohami pro každý web s testovanou obnovou, takže obnova nikdy závisí na stavu daného stroje.
Je součástí každého tarifu. Izolace LVE a CageFS, proaktivní WAF a kontrola malwaru jsou základem pro každého zákazníka, protože infikovaný nebo neřízený web ohrožuje sousední weby a naši reputaci IP adres – nemůžeme si dovolit to nechat jako volitelnou možnost. To, co se prodává jako doplňkový modul, je jedním kliknutím prověřené odstranění malwaru a náprava a pokročilé úrovně ochrany, jako jsou vylepšená pravidla WAF, prioritní kontrola, správa botů a vyšší úrovně DDoS.
Je omezena uvnitř vlastní klece, místo aby byla vypnuta. Omezení znamená přísnější limity LVE a omezování frekvence požadavků, přičemž web zůstává v provozu a obsluhuje uživatele, a po odeznění příčiny se automaticky obnoví. Budete informováni o důvodu, přechod je zaznamenán včetně důkazů a lze se proti němu odvolat. Pokud je zátěž důsledkem skutečného růstu namísto chyby, řešením je vyšší tarif, nikoliv trvalé omezení.
Ne – pozastavený web zobrazuje značkovou informační stránku uvádějící konkrétní důvod (fakturace, údržba nebo zneužití), takže působí záměrně, nikoliv rozbitě. Pozastavení se ruší platbou, nápravou nebo odvoláním. Karanténa je přísnější a funguje jinak: ruší se až po vyčištění a kontrole, nikdy automaticky.
Na Zinn® Managed WordPress ano – CloudLinux alt-PHP poskytuje každému webu vlastní přepínač verze PHP, vlastní rozšíření jako imagick, gd a redis a vlastní zabezpečená nastavení, to vše ohraničené limity LVE daného webu. Footprint-Free Hosting záměrně využívá standardizovanější a uzamčenější konfiguraci pro každý web, protože samotná konfigurační variabilita představuje stopu.
Ano. CloudLinux LVE a CageFS jsou výchozím nastavením optimalizovaným pro hustotu u obou produktových řad. Pro pracovní zátěže, které vyžadují přísnější hranici, je jako varianta zřizovacího ovladače k dispozici úplná izolace kontejneru na web – stejný engine a řídicí rovina s odlišným umístěním, které vyměňuje režii za silnější oddělení.
Ano. Hosting Footprint-Free začíná 14denní zkušební dobou bez nutnosti zadávat kartu, která pokrývá až pět webů – bez platebních údajů a bez závazků. Nasaďte několik webů, vyzkoušejte jejich zátěž a podívejte se, jak se izolované kontejnery chovají, než se rozhodnete.
Začněte 14denní zkušební verzi Footprint-Free Hosting bez platební karty – až pět webů, bez platebních údajů a bez závazků. Izolace na úrovni jádra, proaktivní WAF a skenování malwaru jsou zahrnuty již od prvního nasazení.
Začít zdarma