Әр сайт бойынша оқшаулау
Оқшаулау — бұл инцидент пен жұмыстың тоқтауы арасындағы айырмашылық. Біз орналастыратын әрбір сайт өзінің жеке CPU, RAM, IO және процестер шектеулерімен, жеке CageFS файлдық жүйе көрінісімен, жеке PHP нұсқасымен және жеке дерекқор шектеуішімен ядро деңгейіндегі CloudLinux LVE торында жұмыс істейді. Шабуылға ұшыраған, қауіпсіздігі бұзылған немесе жай ғана ауыр сұранысты орындайтын сайт өз орнында оқшауланады — сонымен қатар оқшаулаудың базалық деңгейі әрбір жоспарға енгізілген және сізге жаңарту ретінде қайта сатылмайды. Қолжетімділігі: әр сайтқа арналған дерекқорды шектеу және әр сайтқа арналған ресурстар статистикасы белсенді әзірлену үстінде және әлі қолжетімді емес. Мұнда сипатталған қалған барлық мүмкіндік бүгінде толықтай іске қосылған.
Жұмысшылар паркі көпжалдаушылықты тікелей ядро деңгейіне түсіретін CloudLinux OS жүйесінде жұмыс істейді. Әрбір сайт тек әдептілік келісімі емес, қатаң шекара болып табылатын жеңіл виртуалды ортаны — LVE — алады. Сайттың өз торының ішінде жасаған ешбір әрекеті басқа біреудің бюджетінен жұмсалмайды.
LVE әр сайт үшін дербес түрде CPU, RAM, IO, IOPS, процестер мен кіру процестерін шектейді. Сайт өз шегінен асқан кезде, ол өзінің оқшауланған ортасында баяулатылады — қате сол сайт үшін тіркеледі, ал оның жанындағы басқа сайттар еш кедергісіз жұмысын жалғастыра береді.
Циклде тұрып қалған плагин, дұрыс жазылмаған cron тапсырмасы немесе соңғы нүктені шамадан тыс жүктейтін краулер ең алдымен сайттың жеке процесс және кіру процесі лимиттеріне тіреледі. Бір ғана сайт бүкіл машинаның ресурстарын жай ғана тауыса алмайды.
Кіру процестері әрбір оқшауланған орта (cage) үшін шектелгендіктен, бір сайтқа бағытталған шабуыл тасқыны хостта шексіз жұмыс көлемін аша алмайды. LiteSpeed қосылымдары мен сұраныстарын шектеу жүйесі және Imunify360 желілік брандмауэрі оның алдында орналасқан, сондықтан шабуыл тек нысананың мәселесі болып қала береді.
Әрбір LVE қатесі әр сайт бойынша жазылады және шектеулерді автоматты түрде қатаңдата немесе жеңілдете алатын платформаның саясат тетігіне жіберіледі. Сіз сайттың неліктен және қашан шектелгенін көресіз — кезең-кезеңімен, қайтымды және журналға жазылған.
Ресурстарды оқшаулау сайттың жүйені шамадан тыс жүктеуіне жол бермейді. Файлдық жүйені оқшаулау оның бөгде деректерге қол сұғуын тоқтатады. CageFS әрбір жалға алушыға сервердің жеке әрі шектеулі көрінісін береді.
CageFS жүйесінде жалға алушы тек өз файлдарын және жүйелік екілік файлдардың минималды, тазартылған жиынтығын көреді — сондай-ақ басқа жалға алушыларды, олардың сайттарын немесе құпия жүйелік файлдарды көре алмайды. Бұзылған бір есептік жазба сервердегі барлық басқа есептік жазбаларды оқу орнына айналатын ортақ хостингтің әдеттегі осалдығы ядро деңгейінде жабылады.
Бұл әсіресе бірдеңе дұрыс болмай қалған күні аса маңызды. Егер сайт қауіпсіздігі бұзылса — ескірген плагин, ұрланған есептік деректер немесе осал тақырып арқылы — CageFS залал ауқымын сол бір тормен ғана шектейді. Қауіпсіздік спецификациямыздың тұжырымдамасы әдейі таңдалған: CageFS бұзушылықтарды оқшаулайды. Оқшаулау — әділ мәлімдеме және дәл осы жайт оқыс оқиғаның бір сайтты тазалаумен шектелетінін немесе бүкіл жүйені тазалауды талап ететінін анықтайды.
Резервтік көшірмелер сол шекараны нығайта түседі. Әр сайттың резервтік көшірмелері өзгертілмейді, басқа орында сақталады және жұмыс істеп тұрған жүйеден оқшауланған, сондай-ақ оларды қалпына келтіру процесі сынақтан өткен, сондықтан бір сайтта тіпті ең қауіпті бұзылу орын алған жағдайда да, оның бұрын жұмыс істеген машинасының күйіне тәуелді емес, таза әрі дербес қалпына келтіру жолы бар.
Веб-деңгейін оқшаулау — бұл мәселенің тек жартысы. WordPress тобында сервер жұмысын жиі баяулататын нәрсе — бір сайттың трафигі емес, оның сұраулары. Бұл арнайы өңделеді.
CloudLinux MySQL Governor дерекқорды пайдалануды әр сайт бойынша шектейді, сондықтан бір сайттың ауыр сұраулары серверді қалған барлық адамдар үшін баяулата алмайды. Бұл баяулауға қарсы бақылау болып табылады және ол шулы сайт шектеліп жатқанын байқаса да, байқамаса да жұмыс істей береді.
Флот әдепкі бойынша қабылданбай, арнайы WordPress жүктемелері үшін таңдалған MariaDB (немесе Percona) жүйесінде жұмыс істейді, ал оның үстінде әрбір жалға алушыға әділдікті қамтамасыз ететін деңгей ретінде Governor орналасқан.
Әр сайтқа арналған Redis нысан кэші дерекқорға жетпей тұрып қайталанатын оқуларды өзіне сіңіреді, бұл Governor реттеуге тиіс жүктемені бастапқыда-ақ азайтады. Кэштеу және оқшаулау біртұтас жүйе ретінде жұмыс істейді.
CloudLinux alt-PHP әрбір сайтқа жеке PHP нұсқасын таңдау мүмкіндігін, жеке кеңейтімдерін (imagick, gd, redis және басқалары) және жеке күшейтілген параметрлерін ұсынады — мұнда LSAPI өңдеушілері сол сайттың LVE шектеулерімен шектелген, сондықтан PHP бір мезгілдегі жұмысы оқшаулаудан қашу емес, сол тордың бір бөлігі болып табылады.
Оқшаулау мәселенің қаншалықты таралатынын анықтайды. Мәжбүрлеу бұдан кейін не болатынын анықтайды. Біз қарапайым қосу/өшіру тоқтата тұруын LiteSpeed, LVE және Imunify арқылы жұмысшыда орындалатын және сенімді жұмыс процестерімен басқарылатын күйлер машинасымен ауыстырдық.
Оқшаулау — үш деңгей жоғарыда пайда болатын тарифтік жоспар мүмкіндігі емес. Бұл негізгі платформаның қасиеті, сондықтан бір WooCommerce дүкенін немесе екі мың желілік сайтты басқарсаңыз да, ол бірдей.
Жаппай және PBN желілері ізді ескеретін CDN есептік жазбаларын ротациялаумен және статикалық HTML жеткізумен қатар, бірдей LVE және CageFS негізінде жұмыс істейді. Оқшаулау тығыздықты қауіпсіз етеді: сайттар ортақ тағдырды бөліспей, бір флотты бөліседі.
Басқарылатын WordPress, WooCommerce, PHP, статикалық және Node сайттары дәл сондай оқшауланған орталарды (cages) және толық өзіне-өзі қызмет көрсету мүмкіндігін алады — жеке PHP нұсқаңыз бен кеңейтімдеріңіз, Redis нысан кэші, сынақ ортасы (staging) және өндіріске тікелей шығару мүмкіндігі.
Тығыздыққа оңтайландырылған әдепкі параметрге қарағанда күштірек шекараны қажет ететін жұмыс жүктемелері үшін провизионинг драйверінің нұсқасы ретінде әр сайтқа толық контейнерлік оқшаулау ұсынылады: бірдей қозғалтқыш, бірдей басқару деңгейі, басқа орналастыру, жоғары қосымша шығындармен.
LVE және CageFS оқшаулауы, белсенді WAF және зиянды бағдарламаларды сканерлеу әрбір клиент үшін қамтылған, себебі зақымдалған немесе бақылаудан шыққан сайт көршілеріне және біздің IP беделімізге қауіп төндіреді. Зиянды бағдарламаларды бір басумен тазалау және кеңейтілген қорғаныс деңгейлері — ақылы қосымшалар, ал негізгі деңгей ақылы емес.
Хостингтегі коммерциялық азғыру қауіпсіздікті деңгейлерге бөліп сату болып табылады: арзан клиенттерді шектеулері бос ортақ серверге орналастырып, нақты шекараны қалайтындардан қосымша ақы алу. Біз бұлай жасамаймыз, өйткені оқшаулау үшін ақы төлемеген клиенттің бұзылған сайты дәл басқалардың барлығына ортақ оқиғаға айналады.
Біз бүкіл әлем бойынша 700 000-нан астам сайтты тығыздығы басты экономикалық ұсыныс болып табылатын серверлер паркінде орналастырамыз. Бұл оның негізіндегі оқшаулау сөзсіз қамтамасыз етілген жағдайда ғана жұмыс істейді. Ядро деңгейіндегі қоршаулар (kernel-level cages), файлдық жүйенің жеке көрінісі, әр сайтқа арналған дерекқорды шектеу және әр сайтқа бөлек PHP — бұл ортақ тәуекелдерсіз мұндай ауқымда жұмыс істеудің бағасы, сондықтан олар сіз орналастыратын алғашқы сайттан бастап әрбір жоспарда, барлығы үшін қосулы тұрады.
Нәтижесінде — басқалардың сәтсіз күндерінде де тұрақты жұмыс істейтін платформа. Оның негізінде 99.99% үздіксіз жұмыс кепілдігі, тексерілген қалпына келтіруі бар әр сайтқа арналған өзгермейтін сыртқы сақтық көшірмелер және сайттарыңызда қабылданған әрбір мәжбүрлеу әрекетінің толық аудит журналы бар.
Оқшаулау дәл осыны тоқтату үшін арнайы жасалған. LVE әр сайтқа шаққандағы CPU, RAM, IO, IOPS және процестерді шектейді, MySQL Governor әр сайтқа шаққандағы дерекқорды пайдалануды реттейді, ал LSAPI жұмысшылары сайттың өз шеңберімен шектелген — осылайша көрші сайттың трафигінің күрт өсуі немесе ауыр сұраулар жүктемесі сіздің емес, олардың өз шегіне қарсы шектеледі. Әрбір ақау сайт бойынша тіркеледі және саясат жүйесі шамадан тыс жүктеме тудыратын сайттың шектеулерін автоматты түрде қатаңдата алады.
Ашық жауап — бұл кепілдік емес, оқшаулау. CageFS әр жалға алушыға оқшауланған файлдық жүйе көрінісін береді — қауіпсіздігі бұзылған жалға алушы басқа жалға алушыларды, олардың сайттарын немесе жүйенің құпия файлдарын көре алмайды — ал зиянды бағдарлама немесе фишинг расталған жағдайда, ол сайт карантинге ауыстырылады: желіден тыс, файлдар құлыпталған, орындауға тыйым салынған, сараптама үшін оқшауланған. Зақымдану ауқымын шектейтін осы. Сонымен қатар, біз әр сайтта зиянды бағдарламаларды сканерлеуді және белсенді WAF жүргіземіз, сондай-ақ тексерілген қалпына келтірулері бар әр сайтқа арналған өзгертілмейтін сыртқы резервтік көшірмелерді жасаймыз, сондықтан қалпына келтіру ешқашан тиісті құрылғының күйіне тәуелді болмайды.
Бұл әрбір тарифтік жоспарға кіреді. LVE және CageFS оқшаулауы, проактивті WAF және зиянды бағдарламаларды сканерлеу әрбір клиент үшін негізгі стандарт болып табылады, өйткені зақымдалған немесе бақылаудан шыққан сайт көрші ресурстарға және біздің IP беделімізге қауіп төндіреді — біз мұны қосымша таңдау ретінде қалдыра алмаймыз. Қосымша қызмет ретінде бір рет басу арқылы зиянды бағдарламаларды тазалау мен қалпына келтіру, сондай-ақ кеңейтілген WAF ережелері, басымдықты сканерлеу, боттарды басқару және DDoS қорғанысының жоғары деңгейлері сияқты кеңейтілген қорғаныс деңгейлері сатылады.
Ол өшірілмейді, керісінше өз оқшауланған ортасында шектеледі (throttled). Шектелу сайттың жұмысын жалғастырып, сұраныстарға жауап беруін сақтай отырып, қатаңырақ LVE лимиттері мен сұраныс жиілігін шектеуді білдіреді және себеп жойылғаннан кейін ол автоматты түрде қалпына келеді. Сізге себебі туралы хабарланады, ауысу тиісті дәлелдермен бірге тіркеледі және оған шағымдануға болады. Егер жүктеме қателіктен емес, шынайы өсімнен туындаған болса, шешім тұрақты шектеу емес, үлкенірек тарифтік жоспар болып табылады.
Жоқ — тоқтатылған сайт оның бұзылған емес, әдейі тоқтатылғаны көрініп тұруы үшін нақты себебі көрсетілген (төлем, техникалық қызмет көрсету немесе теріс пайдалану) фирмалық күту бетін көрсетеді. Тоқтату шарасы төлем жасалғанда, ақау жөнделгенде немесе шағым түсірілгенде жойылады. Карантин неғұрлым қатаң және басқаша жұмыс істейді: ол тек тазалау мен тексеруден кейін ғана жойылады, ешқашан автоматты түрде жойылмайды.
Zinn® Managed WordPress жүйесінде — иә, CloudLinux alt-PHP әр сайтқа өзінің PHP нұсқасын таңдау мүмкіндігін, imagick, gd және redis сияқты жеке кеңейтімдерін және осы сайттың LVE шектеулерімен шектелген күшейтілген жеке баптауларын береді. Footprint-Free хостингі әдейі сайт бойынша неғұрлым стандартталған, қатаң шектелген конфигурацияны іске қосады, өйткені конфигурацияның әртүрлілігінің өзі із (footprint) болып табылады.
Иә. CloudLinux LVE және CageFS — екі өнім желісінде де тығыздыққа оңтайландырылған әдепкі шешім. Неғұрлым қатаң шекараны қажет ететін жүктемелер үшін қамтамасыз ету драйверінің нұсқасы ретінде әр сайтқа толық контейнерлік оқшаулау ұсынылады — күштірек бөлу үшін қосымша шығындарды алмастыратын, басқаша орналастырылған дәл сол қозғалтқыш пен басқару панелі.
Иә. Footprint-Free хостингі бес сайтқа дейін қамтитын, карта талап етілмейтін 14 күндік сынақ мерзімінен басталады — төлем деректері қажет емес, ешқандай міндеттеме жоқ. Шешім қабылдамас бұрын бірнеше сайтты орналастырып, оларға жүктеме түсіріңіз және оқшаулау торларының қалай жұмыс істейтінін көріңіз.
Footprint-Free хостингінде картасыз 14 күндік сынақ мерзімін бастаңыз — бес сайтқа дейін, төлем деректері қажет емес, ешқандай міндеттеме жоқ. Ядро деңгейіндегі оқшаулау, проактивті WAF және зиянды бағдарламаларды сканерлеу алғашқы орналастырудан бастап қамтылған.
Тегін бастау