იზოლაცია თითოეული საიტისთვის
იზოლაცია არის განსხვავება ინციდენტსა და გათიშვას შორის. თითოეული საიტი, რომელსაც ჩვენ ვჰოსტავთ, მუშაობს ბირთვის დონის CloudLinux LVE გარემოში თავისი საკუთარი CPU-ს, RAM-ის, IO-სა და პროცესების ლიმიტებით, CageFS ფაილური სისტემის საკუთარი ხედით, PHP-ს საკუთარი ვერსიითა და მონაცემთა ბაზის საკუთარი შეზღუდვით. საიტი, რომელიც განიცდის შეტევას, გატეხილია ან უბრალოდ მძიმე მოთხოვნას ასრულებს, ლოკალიზებულია იქვე, სადაც იმყოფება — და იზოლაციის ეს საბაზისო დონე გათვალისწინებულია ყველა ტარიფში, და არა მოწოდებული დამატებითი ფასიანი განახლების სახით. ხელმისაწვდომობა: მონაცემთა ბაზის შეზღუდვა საიტების მიხედვით და რესურსების სტატისტიკა საიტების მიხედვით აქტიური დამუშავების პროცესშია და ჯერ არ არის ხელმისაწვდომი. აქ აღწერილი ყველა სხვა დანარჩენი ფუნქცია უკვე ხელმისაწვდომია დღესვე.
სამუშაო ფლოტი იყენებს CloudLinux OS-ს, რაც მრავალმოიჯარეობას უშუალოდ ბირთვის დონეზე გადაიტანს. თითოეული საიტი იღებს მსუბუქ ვირტუალურ გარემოს — LVE-ს — რაც წარმოადგენს მკაცრ ზღვარს და არა უბრალოდ ფორმალურ შეთანხმებას. არაფერი, რასაც საიტი აკეთებს თავის გალიაში, არ შეიძლება დაიხარჯოს სხვისი ბიუჯეტიდან.
LVE დამოუკიდებლად ზღუდავს CPU-ს, RAM-ს, IO-ს, IOPS-ს, პროცესებსა და შემავალ პროცესებს თითოეული საიტისთვის. როდესაც საიტი აჭარბებს დადგენილ ლიმიტს, მისი რესურსები იზღუდება საკუთარ იზოლირებულ გარემოში — შეცდომა აღირიცხება ამ საიტისთვის, ხოლო მის გვერდით მდებარე საიტები განაგრძობენ მუშაობას შეფერხების გარეშე.
ციკლში გაჭედილი მოდული, ცუდად დაწერილი cron დავალება ან ბოტი, რომელიც ზედმეტად ტვირთავს ბოლო წერტილს, პირველ რიგში, თავად საიტის პროცესებისა და საწყისი პროცესების ლიმიტებს აწყდება. ერთი საიტი ვერ შეძლებს მთელი სერვერის რესურსების უბრალოდ ამოწურვას.
რადგან შესვლის პროცესები (entry-processes) შეზღუდულია თითოეული იზოლირებული გარემოსთვის (cage), ერთ საიტზე მიმართული შეტევის ტალღა ვერ შეძლებს ჰოსტზე ულიმიტო დატვირთვის გამოწვევას. LiteSpeed-ის კავშირებისა და მოთხოვნების რეგულირება და Imunify360-ის ქსელური ფაიერვოლი ამ პროცესის წინ დგას, ამიტომ შეტევა მხოლოდ სამიზნის პრობლემად რჩება.
თითოეული LVE შეცდომა ფიქსირდება თითოეული საიტისთვის და გადაეცემა პლატფორმის პოლიტიკის მექანიზმს, რომელსაც შეუძლია ლიმიტების ავტომატურად გამკაცრება ან შემსუბუქება. თქვენ ხედავთ, რატომ და როდის შეიზღუდა საიტი — ეტაპობრივად, შექცევადად და ჟურნალში აღრიცხვით.
რესურსების იზოლაცია ხელს უშლის საიტს სისტემის გადატვირთვაში. ფაილური სისტემის იზოლაცია კი მას ცნობისმოყვარეობაში უშლის ხელს. CageFS თითოეულ მომხმარებელს აპარატის პირად და შეზღუდულ ხედს აძლევს.
CageFS-ის პირობებში მომხმარებელი ხედავს მხოლოდ საკუთარ ფაილებს და სისტემური ორობითი ფაილების მინიმალურ, გასუფთავებულ ნაკრებს — და არ შეუძლია სხვა მომხმარებლების, მათი საიტების ან მგრძნობიარე სისტემური ფაილების ნახვა. გაზიარებული ჰოსტინგის ჩვეული გაუმართაობის რეჟიმი, როდესაც ერთი კომპრომეტირებული ანგარიში სერვერზე არსებული ყველა სხვა ანგარიშის წაკითხვის პოზიციად იქცევა, ბირთვის დონეზეა დაბლოკილი.
ეს ყველაზე მნიშვნელოვანი ხდება იმ დღეს, როდესაც რამე არასწორად წავა. თუ საიტი კომპრომეტირებულია — მოძველებული პლაგინის, მოპარული მონაცემების ან დაუცველი თემის გამო — CageFS არის ის, რაც ზიანის არეალს მხოლოდ ამ ერთ გალიაში ზღუდავს. ჩვენი უსაფრთხოების სპეციფიკაცია ზედმიწევნით აზუსტებს ფორმულირებას: CageFS ლოკალიზებას უკეთებს დარღვევებს. ლოკალიზება არის გულწრფელი განაცხადი და სწორედ ის წყვეტს, ინციდენტი ერთი საიტის გაწმენდა იქნება თუ მთელი ინფრასტრუქტურის.
სარეზერვო ასლები იმავე საზღვარს ამყარებს. თითოეული საიტის სარეზერვო ასლები უცვლელია, განთავსებულია გარე საცავში და იზოლირებულია მოქმედი ინფრასტრუქტურისგან, შემოწმებული აღდგენის პროცესით, რათა ერთ საიტზე უსაფრთხოების ყველაზე მძიმე დარღვევის შემთხვევაშიც კი არსებობდეს აღდგენის სუფთა, დამოუკიდებელი გზა, რომელიც არ არის დამოკიდებული იმ სერვერის მდგომარეობაზე, რომელზეც ის მუშაობდა.
ვებ-დონის იზოლაცია მხოლოდ ნახევარი ამბავია. WordPress-ის ფლოტში, ის, რაც ყველაზე ხშირად ანელებს სერვერის მუშაობას, ერთი საიტის მოთხოვნებია და არა ერთი საიტის ტრაფიკი. ეს ცალსახად გვარდება.
CloudLinux MySQL Governor ზღუდავს მონაცემთა ბაზის გამოყენებას თითოეული საიტისთვის, რათა ერთი საიტის მძიმე მოთხოვნებმა არ შეანელოს სერვერი სხვებისთვის. ეს არის შენელების საწინააღმდეგო კონტროლი და ის მუშაობს მიუხედავად იმისა, შეამჩნევს თუ არა ხმაურიანი საიტი, რომ იზღუდება.
ფლოტი იყენებს MariaDB-ს (ან Percona-ს), რომელიც შერჩეულია სპეციალურად WordPress-ის დატვირთვებისთვის და არა ნაგულისხმევად მიღებული, ხოლო Governor მასზე ზემოდან ფუნქციონირებს, როგორც თითოეული მოიჯარის სამართლიანობის ფენა.
თითოეული საიტის Redis ობიექტის ქეში შთანთქავს განმეორებით წაკითხვებს მონაცემთა ბაზამდე მიღწევამდე, რაც თავიდანვე ამცირებს წნეხს, რომლის რეგულირებაც Governor-ს უწევს. ქეშირება და იზოლაცია ერთიანი სისტემის სახით მუშაობს.
CloudLinux alt-PHP თითოეულ საიტს აძლევს საკუთარ PHP ვერსიის ამომრჩეველს, საკუთარ გაფართოებებს (imagick, gd, redis და სხვები) და საკუთარ გამყარებულ პარამეტრებს — სადაც LSAPI მუშაკები შეზღუდულია ამ საიტის LVE ლიმიტებით, რათა PHP-ის პარალელურობა იყოს იზოლაციის ნაწილი და არა მისგან გაქცევა.
იზოლაცია განსაზღვრავს, რამდენად შორს გავრცელდება პრობლემა. აღსრულება განსაზღვრავს, რა მოხდება შემდეგ. ჩვენ ჩავანაცვლეთ ჩართვა/გამორთვის ხისტი შეჩერება მდგომარეობათა მანქანით, რომელიც იმართება მდგრადი სამუშაო პროცესებით და აღსრულდება მუშაკზე LiteSpeed-ის, LVE-სა და Imunify-ის მეშვეობით.
იზოლაცია არ არის გეგმის ფუნქცია, რომელიც სამი დონით მაღლა ჩნდება. ეს არის სუბსტრატის თვისება, ამიტომ ის იდენტურია, მართავთ ერთ WooCommerce მაღაზიას თუ ორ ათას ქსელურ საიტს.
მასობრივი და PBN ქსელები მუშაობს ერთსა და იმავე LVE და CageFS სუბსტრატზე, კვალის გათვალისწინებით CDN ანგარიშების როტაციასთან და სტატიკური HTML-ის მიწოდებასთან ერთად. იზოლაცია არის ის, რაც სიმჭიდროვეს უსაფრთხოს ხდის: საიტები იზიარებენ ფლოტს საერთო ბედის გაზიარების გარეშე.
მართული WordPress, WooCommerce, PHP, სტატიკური და Node საიტები იღებენ იმავე იზოლირებულ გარემოებს (cages) და სრულ თვითმომსახურებას — თქვენს საკუთარ PHP ვერსიასა და გაფართოებებს, Redis ობიექტების ქეშს, staging-ს და პირდაპირ ეთერში გაშვებას (push-to-live).
სამუშაო დატვირთვებისთვის, რომლებსაც ესაჭიროებათ უფრო ძლიერი გამიჯვნა, ვიდრე სიმჭიდროვეზე ოპტიმიზებული ნაგულისხმევი პარამეტრია, შემოთავაზებულია სრული იზოლაცია კონტეინერი-საიტზე პრინციპით, როგორც მიწოდების დრაივერის ვარიანტი: იგივე ძრავა, იგივე მართვის სიბრტყე, განსხვავებული განთავსება, უფრო მაღალი ზედნადები ხარჯით.
LVE და CageFS იზოლაცია, პროაქტიული WAF და მავნე პროგრამების სკანირება გათვალისწინებულია თითოეული მომხმარებლისთვის, რადგან ინფიცირებული ან კონტროლიდან გამოსული საიტი საფრთხეს უქმნის მის მეზობლებს და ჩვენი IP-ის რეპუტაციას. მავნე პროგრამების ერთი დაწკაპუნებით გაწმენდა და გაძლიერებული დაცვის დონეები ფასიანი დამატებებია — საბაზისო დონე კი უფასოა.
ჰოსტინგში კომერციული ცდუნება უსაფრთხოების დონეებად გაყიდვაა: იაფფასიანი მომხმარებლების მოთავსება რბილი ლიმიტების მქონე გაზიარებულ სერვერზე და დამატებითი თანხის გადახდევინება მათთვის, ვისაც იზოლირებული საზღვრები სურს. ჩვენ ამას არ ვაკეთებთ, რადგან მომხმარებელი, რომელსაც იზოლაციისთვის საფასური არ გადაუხდია, სწორედ ის არის, ვისი დაზიანებული საიტიც ყველას პრობლემად იქცევა ხოლმე.
ჩვენ ვმასპინძლობთ 700 000-ზე მეტ საიტს მთელ მსოფლიოში, ისეთ ინფრასტრუქტურაზე, სადაც სიმჭიდროვე წარმოადგენს მთელ ეკონომიკურ არსს. ეს მუშაობს მხოლოდ იმ შემთხვევაში, თუ მის საფუძველში არსებული იზოლაცია უპირობოა. ბირთვის დონის იზოლაცია, ფაილური სისტემის პრივატული ხედი, თითოეული საიტის მონაცემთა ბაზის რეგულირება და საიტზე მორგებული PHP წარმოადგენს იმ საფასურს, რაც აუცილებელია ასეთი მასშტაბით საერთო რისკების გარეშე მუშაობისთვის — შესაბამისად, ისინი ჩართულია ყველასთვის, ნებისმიერ გეგმაში, თქვენ მიერ განთავსებული პირველივე საიტიდან.
შედეგი არის პლატფორმა, რომელიც პროგნოზირებადად მუშაობს სხვების რთულ დღეებშიც კი. მის უკან დგას 99.99%-იანი უწყვეტი მუშაობის გარანტია, საიტის დონეზე შექმნილი უცვლელი გარე სარეზერვო ასლები გამოცდილი აღდგენით და თქვენს საიტებზე განხორციელებული თითოეული აღსრულების ღონისძიების სრული აუდიტის ჩანაწერი.
იზოლაცია შექმნილია სპეციალურად ამის აღსაკვეთად. LVE ზღუდავს CPU-ს, RAM-ს, IO-ს, IOPS-ს და პროცესებს თითოეულ საიტზე, MySQL Governor არეგულირებს მონაცემთა ბაზის გამოყენებას თითოეულ საიტზე, ხოლო LSAPI-ის მუშაკები შეზღუდულნი არიან თავად საიტის იზოლირებული გარემოთი (cage) — ასე რომ, მეზობელი საიტის ტრაფიკის მკვეთრი მატება ან მძიმე მოთხოვნების დატვირთვა შეიზღუდება მათი მაქსიმალური ლიმიტით და არა თქვენით. თითოეული შეცდომა აღირიცხება საიტის მიხედვით, ხოლო წესების მართვის სისტემას შეუძლია ავტომატურად გაამკაცროს ხმაურიანი საიტის ლიმიტები.
გულწრფელი პასუხია ლოკალიზება და არა გარანტია. CageFS თითოეულ მოიჯარეს აძლევს იზოლირებულ ფაილური სისტემის ხედს — კომპრომეტირებული მოიჯარე ვერ ხედავს სხვა მოიჯარეებს, მათ საიტებს ან სისტემის სენსიტიურ ფაილებს — ხოლო მავნე პროგრამის ან ფიშინგის დადასტურებული შემთხვევა ამ საიტს გადაიყვანს კარანტინში: ოფლაინ რეჟიმი, დაბლოკილი ფაილები, გაშვების აკრძალვა, იზოლირებული ექსპერტიზისთვის. სწორედ ეს ზღუდავს ზიანის რადიუსს. ამასთან ერთად, ჩვენ ვახორციელებთ მავნე პროგრამების სკანირებას და პროაქტიულ WAF-ს თითოეულ საიტზე, პლუს საიტის უცვლელ გარე სარეზერვო ასლებს ტესტირებული აღდგენით, რათა აღდგენა არასოდეს იყოს დამოკიდებული შესაბამისი მანქანის მდგომარეობაზე.
ეს შედის ყველა გეგმაში. LVE და CageFS იზოლაცია, პროაქტიული WAF და მავნე პროგრამების სკანირება წარმოადგენს საბაზისო სტანდარტს თითოეული მომხმარებლისთვის, რადგან ინფიცირებული ან კონტროლიდან გამოსული საიტი საფრთხეს უქმნის მის მეზობლებს და ჩვენი IP-ის რეპუტაციას — ჩვენ არ შეგვიძლია ეს გონივრულად არჩევითი დავტოვოთ. დამატებითი ფუნქციის სახით იყიდება მავნე პროგრამების ერთი დაწკაპუნებით გაწმენდა და გამოსწორება, ასევე დაცვის გაფართოებული დონეები, როგორიცაა გაუმჯობესებული WAF წესები, პრიორიტეტული სკანირება, ბოტების მართვა და DDoS-ის უფრო მაღალი დონეები.
ის იზღუდება საკუთარ გარემოში და არ ითიშება. შეზღუდვა ნიშნავს LVE-ის უფრო მკაცრ ლიმიტებსა და სიხშირის შეზღუდვას, როდესაც საიტი კვლავ მუშაობს და ემსახურება მომხმარებლებს, ხოლო მიზეზის აღმოფხვრისთანავე ის ავტომატურად აღდგება. თქვენ გეცნობებათ მიზეზის შესახებ, გადასვლა აღირიცხება შესაბამისი მტკიცებულებებით და მისი გასაჩივრება შესაძლებელია. თუ დატვირთვა რეალური ზრდის შედეგია და არა ხარვეზი, გამოსავალი უფრო დიდი გეგმაა და არა მუდმივი შეზღუდვა.
არა — შეჩერებულ საიტზე გამოდის ბრენდირებული, მიზეზზე მორგებული დამცავი გვერდი (ანგარიშსწორება, ტექნიკური მომსახურება ან ბოროტად გამოყენება), რათა ის აღიქმებოდეს როგორც გამიზნული ქმედება და არა როგორც ხარვეზი. შეჩერება უქმდება გადახდის, პრობლემის გამოსწორების ან გასაჩივრების შემდეგ. კარანტინი უფრო მკაცრია და განსხვავებულად მუშაობს: ის უქმდება მხოლოდ გასუფთავებისა და გადამოწმების შემდეგ, არასდროს ავტომატურად.
Zinn® Managed WordPress-ზე, დიახ — CloudLinux alt-PHP თითოეულ საიტს აძლევს საკუთარ PHP ვერსიის ამომრჩეველს, საკუთარ გაფართოებებს, როგორიცაა imagick, gd და redis, და საკუთარ გაძლიერებულ პარამეტრებს, რომლებიც შეზღუდულია ამ საიტის LVE ლიმიტებით. Footprint-Free ჰოსტინგი შეგნებულად იყენებს უფრო სტანდარტიზებულ, ჩაკეტილ კონფიგურაციას თითოეული საიტისთვის, რადგან კონფიგურაციის მრავალფეროვნება თავისთავად წარმოადგენს კვალს.
დიახ. CloudLinux LVE და CageFS არის სიმჭიდროვეზე ოპტიმიზებული ნაგულისხმევი არჩევანი ორივე პროდუქტის ხაზში. სამუშაო დატვირთვებისთვის, რომლებსაც უფრო მკაცრი საზღვარი სჭირდებათ, უზრუნველყოფის დრაივერის ვარიანტის სახით შემოთავაზებულია სრული იზოლაცია თითო კონტეინერით თითო საიტზე — იგივე ძრავა და მართვის სიბრტყე განსხვავებული განთავსებით, რაც ცვლის ზედნადებ ხარჯებს უფრო ძლიერ განცალკევებაზე.
დიახ. Footprint-Free ჰოსტინგი იწყება ბარათის გარეშე 14-დღიანი საცდელი პერიოდით, რომელიც ფარავს ხუთ საიტამდე — გადახდის დეტალების გარეშე, ვალდებულებების გარეშე. გადაწყვეტილების მიღებამდე განათავსეთ რამდენიმე საიტი, მიეცით მათ გარკვეული დატვირთვა და ნახეთ, როგორ მუშაობს იზოლირებული გალიები.
დაიწყეთ 14-დღიანი საცდელი პერიოდი ბარათის გარეშე Footprint-Free ჰოსტინგზე — 5 საიტამდე, გადახდის მონაცემების და ვალდებულებების გარეშე. ბირთვის დონის იზოლაცია, პროაქტიული WAF და მავნე პროგრამების სკანირება ჩართულია პირველივე განთავსებიდან.
დაიწყეთ უფასოდ