Απομόνωση ανά ιστότοπο
Η απομόνωση είναι η διαφορά μεταξύ ενός συμβάντος και μιας διακοπής λειτουργίας. Κάθε ιστότοπος που φιλοξενούμε εκτελείται μέσα σε ένα κλωβό CloudLinux LVE σε επίπεδο πυρήνα, με τα δικά του όρια CPU, RAM, IO και διεργασιών, τη δική του προβολή συστήματος αρχείων CageFS, τη δική του έκδοση PHP και τον δικό του έλεγχο ρυθμού βάσης δεδομένων. Ένας ιστότοπος που δέχεται επίθεση, παραβιάζεται ή απλώς εκτελεί ένα εξαιρετικά απαιτητικό ερώτημα περιορίζεται στο σημείο όπου βρίσκεται — και η βασική απομόνωση περιλαμβάνεται σε κάθε πρόγραμμα, χωρίς να σας μεταπωλείται ως αναβάθμιση. Διαθεσιμότητα: ο περιορισμός ρυθμού βάσης δεδομένων ανά ιστότοπο και τα στατιστικά πόρων ανά ιστότοπο βρίσκονται υπό ενεργό ανάπτυξη και δεν είναι ακόμη διαθέσιμα. Όλα τα υπόλοιπα που περιγράφονται εδώ λειτουργούν κανονικά σήμερα.
Ο στόλος των worker λειτουργεί με CloudLinux OS, το οποίο μεταφέρει την πολυμίσθωση (multi-tenancy) απευθείας στον πυρήνα. Κάθε ιστότοπος αποκτά ένα Ελαφρύ Εικονικό Περιβάλλον (Lightweight Virtual Environment) — ένα LVE — που αποτελεί ένα αυστηρό όριο και όχι μια απλή σύμβαση ευγενείας. Τίποτα από όσα κάνει ένας ιστότοπος μέσα στο κλουβί του δεν μπορεί να δαπανηθεί από τον προϋπολογισμό κάποιου άλλου.
Το LVE περιορίζει την CPU, τη RAM, το IO, τα IOPS, τις διεργασίες και τις διεργασίες εισόδου για κάθε ιστότοπο ανεξάρτητα. Όταν ένας ιστότοπος υπερβαίνει το ανώτατο όριό του, επιβραδύνεται εντός του δικού του απομονωμένου περιβάλλοντος — το σφάλμα καταγράφεται για τον συγκεκριμένο ιστότοπο και οι υπόλοιποι ιστότοποι συνεχίζουν να λειτουργούν ανεπηρέαστοι.
Ένα πρόσθετο που έχει κολλήσει σε βρόχο, μια κακογραμμένη εργασία cron ή ένα crawler που επιβαρύνει υπερβολικά ένα τελικό σημείο, προσκρούει πρώτα στα όρια διεργασιών και διεργασιών εισόδου του ίδιου του ιστότοπου. Ένας και μόνο ιστότοπος δεν μπορεί απλώς να καταναλώσει ολόκληρο το μηχάνημα.
Επειδή οι διεργασίες εισόδου περιορίζονται ανά απομονωμένο περιβάλλον (cage), ένας καταιγισμός αιτημάτων που στοχεύει σε έναν ιστότοπο δεν μπορεί να δημιουργήσει απεριόριστο φόρτο εργασίας στον κεντρικό υπολογιστή. Ο περιορισμός συνδέσεων και αιτημάτων του LiteSpeed και το τείχος προστασίας δικτύου Imunify360 βρίσκονται μπροστά από αυτό, έτσι ώστε η επίθεση να παραμένει πρόβλημα μόνο για τον στόχο.
Κάθε σφάλμα LVE καταγράφεται ανά ιστότοπο και καταλήγει στη μηχανή πολιτικής της πλατφόρμας, η οποία μπορεί να αυστηροποιήσει ή να χαλαρώσει τα όρια αυτόματα. Βλέπετε γιατί περιορίστηκε ένας ιστότοπος και πότε — σταδιακά, αναστρέψιμα και καταγεγραμμένα.
Η απομόνωση πόρων εμποδίζει έναν ιστότοπο να γίνεται ενοχλητικός. Η απομόνωση του συστήματος αρχείων τον εμποδίζει να είναι αδιάκριτος. Το CageFS παρέχει σε κάθε χρήστη μια ιδιωτική, περιορισμένη προβολή του συστήματος.
Υπό το CageFS, ένας μισθωτής βλέπει μόνο τα δικά του αρχεία και ένα ελάχιστο, εκκαθαρισμένο σύνολο δυαδικών αρχείων συστήματος — και δεν μπορεί να δει άλλους μισθωτές, τους ιστότοπούς τους ή ευαίσθητα αρχεία συστήματος. Η συνήθης λειτουργία αποτυχίας του κοινόχρηστου hosting, όπου ένας παραβιασμένος λογαριασμός αποκτά δικαίωμα ανάγνωσης σε κάθε άλλο λογαριασμό στον διακομιστή, αποτρέπεται στο επίπεδο του πυρήνα.
Αυτό έχει τη μεγαλύτερη σημασία την ημέρα που κάτι πάει στραβά. Εάν ένας ιστότοπος παραβιαστεί — μέσω ενός παρωχημένου πρόσθετου, κλεμμένων διαπιστευτηρίων, ενός ευάλωτου θέματος — το CageFS είναι αυτό που περιορίζει την ακτίνα ζημιάς σε αυτό το μεμονωμένο κλουβί. Οι προδιαγραφές ασφαλείας μας επιλέγουν σκόπιμα τη διατύπωση: το CageFS περιορίζει τις παραβιάσεις. Ο περιορισμός είναι ο ειλικρινής ισχυρισμός και είναι αυτός που καθορίζει εάν ένα συμβάν είναι εκκαθάριση ενός μόνο ιστότοπου ή ολόκληρου του στόλου.
Τα αντίγραφα ασφαλείας ενισχύουν το ίδιο όριο. Τα αντίγραφα ασφαλείας ανά ιστότοπο είναι αμετάβλητα, αποθηκεύονται εκτός εγκατάστασης και είναι απομονωμένα από τον ενεργό στόλο υποδομών, με δοκιμασμένες επαναφορές, έτσι ώστε ακόμη και ο χειρότερος συμβιβασμός ασφαλείας σε έναν ιστότοπο να έχει μια καθαρή, ανεξάρτητη διαδρομή ανάκτησης που δεν εξαρτάται από την κατάσταση του μηχανήματος στο οποίο εκτελούνταν.
Η απομόνωση του επιπέδου ιστού είναι μόνο η μισή ιστορία. Σε έναν στόλο WordPress, αυτό που κάνει συχνότερα έναν διακομιστή να φαίνεται αργός είναι τα ερωτήματα ενός ιστότοπου, όχι η επισκεψιμότητά του. Αυτό αντιμετωπίζεται ρητά.
Το CloudLinux MySQL Governor ρυθμίζει τη χρήση της βάσης δεδομένων ανά ιστότοπο, ώστε τα βαριά ερωτήματα ενός ιστότοπου να μην μπορούν να επιβραδύνουν τον διακομιστή για όλους τους άλλους. Αποτελεί τον έλεγχο κατά της επιβράδυνσης και λειτουργεί ανεξάρτητα από το αν ο θορυβώδης ιστότοπος αντιληφθεί ποτέ ότι υπόκειται σε περιορισμούς.
Ο στόλος εκτελεί MariaDB (ή Percona), που επιλέχθηκε ειδικά για φόρτους εργασίας WordPress αντί να κληρονομηθεί από προεπιλογή, με το Governor να λειτουργεί ως επίπεδο δικαιοσύνης ανά μισθωτή πάνω από αυτό.
Μια προσωρινή μνήμη αντικειμένων Redis ανά ιστότοπο απορροφά τις επαναλαμβανόμενες αναγνώσεις πριν φτάσουν στη βάση δεδομένων, γεγονός που μειώνει εξ αρχής την πίεση που πρέπει να διαχειριστεί το Governor. Η αποθήκευση στην προσωρινή μνήμη και η απομόνωση λειτουργούν ως ένα ενιαίο σύστημα.
Το CloudLinux alt-PHP παρέχει σε κάθε ιστότοπο τον δικό του επιλογέα έκδοσης PHP, τις δικές του επεκτάσεις (imagick, gd, redis και τα υπόλοιπα) και τις δικές του ενισχυμένες ρυθμίσεις ασφαλείας — με τους εκτελεστές LSAPI να δεσμεύονται από τα όρια LVE του εκάστοτε ιστοτόπου, ώστε η ταυτόχρονη εκτέλεση της PHP να αποτελεί μέρος του κλωβού και όχι διαφυγή από αυτόν.
Η απομόνωση καθορίζει πόσο μακριά εξαπλώνεται ένα πρόβλημα. Η επιβολή καθορίζει τι θα συμβεί στη συνέχεια. Αντικαταστήσαμε την απότομη αναστολή ενεργοποίησης/απενεργοποίησης με μια μηχανή καταστάσεων, η οποία καθοδηγείται από ανθεκτικές ροές εργασίας και επιβάλλεται στον worker μέσω των LiteSpeed, LVE και Imunify.
Η απομόνωση δεν είναι ένα χαρακτηριστικό προγράμματος που εμφανίζεται τρία επίπεδα πιο πάνω. Αποτελεί εγγενή ιδιότητα της υποδομής, επομένως είναι πανομοιότυπη είτε διαχειρίζεστε ένα κατάστημα WooCommerce είτε δύο χιλιάδες ιστότοπους δικτύου.
Τα δίκτυα μαζικών ιστοτόπων και PBN εκτελούνται στο ίδιο υπόστρωμα LVE και CageFS, παράλληλα με την εναλλαγή λογαριασμών CDN με επίγνωση του ψηφιακού αποτυπώματος και την παροχή στατικού HTML. Η απομόνωση είναι αυτό που καθιστά την πυκνότητα ασφαλή: οι ιστότοποι μοιράζονται έναν στόλο χωρίς να μοιράζονται την ίδια μοίρα.
Οι διαχειριζόμενοι ιστότοποι WordPress, WooCommerce, PHP, στατικοί και Node αποκτούν τα ίδια απομονωμένα περιβάλλοντα (cages) καθώς και πλήρη αυτοεξυπηρέτηση — τη δική σας έκδοση και επεκτάσεις PHP, προσωρινή μνήμη αντικειμένων Redis, περιβάλλον δοκιμών (staging) και άμεση δημοσίευση (push-to-live).
Για φόρτους εργασίας που απαιτούν ισχυρότερο διαχωρισμό από την προεπιλογή βελτιστοποιημένης πυκνότητας, προσφέρεται πλήρης απομόνωση ενός κοντέινερ ανά ιστότοπο ως παραλλαγή του προγράμματος οδήγησης παροχής: ίδιος μηχανισμός, ίδιο επίπεδο ελέγχου, διαφορετική τοποθέτηση, με υψηλότερη επιβάρυνση.
Η απομόνωση LVE και CageFS, το προληπτικό WAF και ο έλεγχος για κακόβουλο λογισμικό περιλαμβάνονται για κάθε πελάτη, επειδή ένας μολυσμένος ή ανεξέλεγκτος ιστότοπος απειλεί τους γείτονές του και τη φήμη της IP μας. Ο καθαρισμός κακόβουλου λογισμικού με ένα κλικ και τα προηγμένα επίπεδα προστασίας είναι επί πληρωμή πρόσθετα — η βασική γραμμή δεν είναι.
Ο εμπορικός πειρασμός στη φιλοξενία ιστοσελίδων είναι να πωλείται η ασφάλεια σε επίπεδα: να τοποθετούνται οι οικονομικοί πελάτες σε έναν κοινόχρηστο διακομιστή με χαλαρά όρια και να χρεώνονται όσοι ενδιαφέρονται για ένα σαφές διαχωριστικό όριο. Εμείς δεν το κάνουμε αυτό, επειδή ο πελάτης που δεν πλήρωσε για απομόνωση είναι ακριβώς εκείνος του οποίου ο παραβιασμένος ιστότοπος μετατρέπεται σε πρόβλημα για όλους τους υπόλοιπους.
Φιλοξενούμε περισσότερους από 700.000 ιστότοπους παγκοσμίως, σε έναν στόλο όπου η πυκνότητα αποτελεί ολόκληρη την οικονομική πρόταση. Αυτό λειτουργεί μόνο εάν η υποκείμενη απομόνωση είναι άνευ όρων. Περιορισμοί σε επίπεδο πυρήνα, ιδιωτική προβολή συστήματος αρχείων, επιβολή ορίων βάσης δεδομένων ανά ιστότοπο και PHP ανά ιστότοπο είναι το τίμημα της λειτουργίας σε αυτήν την κλίμακα χωρίς κοινή μοίρα — επομένως είναι ενεργοποιημένα για όλους, σε κάθε πρόγραμμα, από τον πρώτο ιστότοπο που αναπτύσσετε.
Το αποτέλεσμα είναι μια πλατφόρμα που λειτουργεί προβλέψιμα ακόμα και στις δύσκολες στιγμές των άλλων. Υποστηρίζεται από εγγύηση διαθεσιμότητας 99.99%, αμετάβλητα αντίγραφα ασφαλείας εκτός τοποθεσίας ανά ιστότοπο με δοκιμασμένες επαναφορές και πλήρες ίχνος ελέγχου για κάθε μέτρο επιβολής που λαμβάνεται στους ιστότοπούς σας.
Η απομόνωση έχει σχεδιαστεί ειδικά για να αποτρέψει αυτό το φαινόμενο. Το LVE περιορίζει τα CPU, RAM, IO, IOPS και τις διεργασίες ανά ιστότοπο, το MySQL Governor ρυθμίζει τη χρήση της βάσης δεδομένων ανά ιστότοπο και τα LSAPI workers περιορίζονται από το ίδιο το cage του ιστοτόπου — επομένως μια απότομη αύξηση της επισκεψιμότητας ή ένα μεγάλο φορτίο ερωτημάτων ενός γείτονα περιορίζεται βάσει του δικού του ορίου, όχι του δικού σας. Κάθε σφάλμα καταγράφεται ανά ιστότοπο και ο μηχανισμός πολιτικής μπορεί να αυστηροποιήσει αυτόματα τα όρια ενός θορυβώδους ιστοτόπου.
Η ειλικρινής απάντηση είναι ο περιορισμός και όχι η εγγύηση. Το CageFS παρέχει σε κάθε μισθωτή μια απομονωμένη προβολή συστήματος αρχείων — ένας παραβιασμένος μισθωτής δεν μπορεί να δει άλλους μισθωτές, τους ιστότοπούς τους ή ευαίσθητα αρχεία συστήματος — και μια επιβεβαιωμένη περίπτωση κακόβουλου λογισμικού ή phishing μεταφέρει αυτόν τον ιστότοπο σε καραντίνα: εκτός σύνδεσης, κλειδωμένα αρχεία, καμία εκτέλεση, απομονωμένος για εγκληματολογική διερεύνηση. Αυτό είναι που περιορίζει το εύρος των επιπτώσεων. Παράλληλα, εκτελούμε σάρωση για κακόβουλο λογισμικό και προληπτικό WAF σε κάθε ιστότοπο, καθώς και αμετάβλητα αντίγραφα ασφαλείας εκτός τοποθεσίας ανά ιστότοπο με δοκιμασμένες επαναφορές, ώστε η ανάκτηση να μην εξαρτάται ποτέ από την κατάσταση του εμπλεκόμενου μηχανήματος.
Περιλαμβάνεται σε κάθε πρόγραμμα. Η απομόνωση LVE και CageFS, το προληπτικό WAF και η σάρωση για κακόβουλο λογισμικό αποτελούν βασική γραμμή για κάθε πελάτη, επειδή ένας μολυσμένος ή ανεξέλεγκτος ιστότοπος απειλεί τους γείτονές του και τη φήμη της IP μας — δεν μπορούμε εύλογα να το αφήσουμε προαιρετικό. Αυτό που πωλείται ως πρόσθετο είναι ο καθαρισμός και η αποκατάσταση κακόβουλου λογισμικού με ένα κλικ, καθώς και προηγμένα επίπεδα προστασίας, όπως ενισχυμένοι κανόνες WAF, σάρωση προτεραιότητας, διαχείριση bot και υψηλότερα επίπεδα προστασίας από DDoS.
Εφαρμόζεται περιορισμός (throttling) εντός του δικού του περιβάλλοντος (cage) αντί να απενεργοποιηθεί. Ο περιορισμός σημαίνει αυστηρότερα όρια LVE και περιορισμό ρυθμού (rate limiting), ενώ ο ιστότοπος παραμένει ενεργός και σε λειτουργία, και αποκαθίσταται αυτόματα μόλις εκλείψει η αιτία. Ειδοποιείστε με την αιτιολογία, η μετάβαση καταγράφεται με τα σχετικά αποδεικτικά στοιχεία και επιδέχεται ένσταση. Εάν ο φόρτος οφείλεται σε πραγματική ανάπτυξη και όχι σε σφάλμα, η λύση είναι ένα μεγαλύτερο πακέτο και όχι ένας μόνιμος περιορισμός.
Όχι — ένας ιστότοπος σε αναστολή εμφανίζει μια σελίδα αναμονής με την επωνυμία σας και τον συγκεκριμένο λόγο (χρέωση, συντήρηση ή κατάχρηση), ώστε να φαίνεται σκόπιμη ενέργεια και όχι τεχνικό σφάλμα. Η αναστολή αίρεται με την πληρωμή, τη διόρθωση ή την υποβολή ένστασης. Η καραντίνα είναι πιο αυστηρή και λειτουργεί διαφορετικά: αίρεται μόνο μετά από καθαρισμό και επανεξέταση, ποτέ αυτόματα.
Στο Zinn® Managed WordPress, ναι — το CloudLinux alt-PHP δίνει σε κάθε ιστότοπο το δικό του επιλογέα έκδοσης PHP, τις δικές του επεκτάσεις όπως imagick, gd και redis, καθώς και τις δικές του ενισχυμένες ρυθμίσεις ασφαλείας, όλα περιορισμένα από τα όρια LVE αυτού του ιστότοπου. Το Footprint-Free Hosting εκτελεί εσκεμμένα μια πιο τυποποιημένη, κλειδωμένη διαμόρφωση ανά ιστότοπο, επειδή η ποικιλομορφία των διαμορφώσεων αποτελεί από μόνη της ένα footprint.
Ναι. Το CloudLinux LVE και το CageFS αποτελούν την προεπιλογή βελτιστοποιημένης πυκνότητας και για τις δύο σειρές προϊόντων. Για φόρτους εργασίας που απαιτούν αυστηρότερα όρια, προσφέρεται πλήρης απομόνωση με ένα κοντέινερ ανά ιστότοπο ως παραλλαγή προγράμματος οδήγησης παροχής — η ίδια μηχανή και το ίδιο επίπεδο ελέγχου με διαφορετική τοποθέτηση, ανταλλάσσοντας επιβάρυνση πόρων με ισχυρότερο διαχωρισμό.
Ναι. Η φιλοξενία Footprint-Free ξεκινά με μια δοκιμή 14 ημερών χωρίς κάρτα που καλύπτει έως και πέντε ιστότοπους — χωρίς στοιχεία πληρωμής, χωρίς δεσμεύσεις. Αναπτύξτε μερικούς ιστότοπους, δοκιμάστε τους με κάποιο φορτίο και δείτε πώς συμπεριφέρονται τα cages πριν αποφασίσετε.
Ξεκινήστε μια 14ήμερη δοκιμή χωρίς κάρτα στο Footprint-Free Hosting — έως πέντε ιστότοποι, χωρίς στοιχεία πληρωμής, χωρίς καμία δέσμευση. Η απομόνωση σε επίπεδο πυρήνα, το προληψιακό WAF και η σάρωση κακόβουλου λογισμικού περιλαμβάνονται από την πρώτη ανάπτυξη.
Ξεκινήστε δωρεάν