Әр сайтты оқшаулау
Оқшаулау — бұл қауіпсіздік оқиғасы мен жұмыстың тоқтап қалуы арасындағы айырмашылық. Біз орналастыратын әрбір сайт өз процессоры, жедел жады, кіріс-шығыс және процесс шектеулері, өз CageFS файлдық жүйесі, өз PHP нұсқасы және өз дерекқор шектеушісі бар ядро деңгейіндегі CloudLinux LVE ортасында жұмыс істейді. Шабуылға ұшыраған, зиян келтірілген немесе жай ғана ауыр сұранысты орындап жатқан сайт орналасқан жерінде шектеледі, ал бұл оқшаулау деңгейі әрбір тарифтік жоспарға кіреді және сізге қосымша ақылы жаңарту ретінде сатылмайды. Қолжетімділік: сайт бойынша дерекқорды шектеу және сайт бойынша ресурс статистикасы әзірленуде және әзірге қолжетімді емес. Мұнда сипатталған басқа элементтердің барлығы бүгін іске қосылған.
Жұмысшы паркі CloudLinux OS жүйесінде жұмыс істейді, ол көп жалға алу мүмкіндігін ядроға дейін енгізеді. Әрбір сайт әдепті келісім емес, қатаң шекара болып табылатын Lightweight Virtual Environment — LVE алады. Сайт өзінің торында істеген ештеңені басқа біреудің бюджетінен асырып жұмсай алмайды.
LVE әрбір сайт үшін CPU, RAM, IO, IOPS, процестер мен entry-процестерді жеке шектейді. Сайт өз лимитінен асып кетсе, ол өз қапас ішінде тежеледі — бұл ақау сол сайт үшін тіркеледі, ал оның екі жағындағы сайттар еш кедергісіз жұмысын жалғастырады.
Циклде қалып қойған плагин, нашар жазылған cron тапсырмасы немесе соңғы нүктені мазалаған сканер сайттың өз процесі мен кіру процесі шектеулеріне бірінші болып тіреледі. Бір сайт машинаның ресурстарын жай ғана түгел тұтына алмайды.
Cage başına кіру процестері шектелгендіктен, бір сайтқа бағытталған шабуыл хостта шектеусіз жұмыс аша алмайды. Оның алдында LiteSpeed қосылу және сұранысты шектеу функциясы мен Imunify360 желілік брандмауэрі тұрады, сондықтан шабуыл тек нысананың өзінің мәселесі болып қалады.
LVE қателіктерінің әрқайсысы әр сайт бойынша тіркеліп, шектеулерді автоматты түрде қатаңдатуға немесе жеңілдетуге қабілетті платформаның саясат модуліне бағытталады. Сайттың не үшін және қашан шектелгенін көресіз — біртіндеп, қайтымды және журналға жазылған.
Ресурстарды оқшаулау сайттың шектен тыс жұмыс істеуіне жол бермейді. Файл жүйесін оқшаулау оның басқалардың ісіне араласуына тыйым салады. CageFS әрбір клиентке машинаның жеке, шектеулі көрінісін береді.
CageFS аясында әрбір клиент өз файлдарын және жүйелік бинарлы файлдардың ең аз, зарарсыздандырылған жиынтығын көреді — сондай-ақ басқа клиенттерді, олардың сайттарын немесе құпия жүйелік файлдарды көре алмайды. Бір ымыраға келген (бұзылған) тіркелгі сервердегі басқа барлық тіркелгіні оқуға мүмкіндік беретін ортақ хостингтің әдеттегі қателік режимі ядро деңгейінде жабылады.
Бұл бірдеңе сыр берген күні ең маңызды мәселеге айналады. Егер сайт ескірген плагин, ұрланған деректер немесе осал тақырып арқылы бұзылса, CageFS зардап шеккен аумақты тек сол бір ғана клеткамен шектеп тұрады. Біздің қауіпсіздік сипаттамамыз тұжырымға қатысты қатаң ұстанымда: CageFS қауіпсіздік бұзушылықтарын оқшаулайды. Оқшаулау — бұл шын мәніндегі кепілдік, әрі ол оқиғаның бір сайтты ғана тазартумен шектелетінін немесе бүкіл жүйеге әсер ететінін шешетін фактор.
Резервтік көшірмелер сол шекараны нығайта түседі. Сайт бойынша жеке резервтік көшірмелер өзгермейді, сыртқы орынға сақталады және жұмыс істеп тұрған жүйеден оқшауланған. Сондай-ақ оларды қалпына келтіру сынақтан өткен, сондықтан бір сайтта ең нашар жағдайдың өзінде бұзушылық орын алса, ол жұмыс істеп тұрған машинаның күйіне тәуелді емес таза, дербес қалпына келтіру жолына ие болады.
Веб-деңгейдегі оқшаулау — бұл әзірге тек жартылай шешім. WordPress тобында сервердің баяу жұмыс істеуіне көбінесе бір сайттың трафигі емес, оның сұраулары себеп болады. Бұл мәселе тікелей реттеледі.
CloudLinux MySQL Governor жүйесі сайт бойынша дерекқорды пайдалануды шектейді, сондықтан бір сайттың ауыр сұраулары басқалардың барлығы үшін серверді баяулата алмайды. Бұл баяулауға қарсы басқару құралы және ол шулы сайт өзіне шектеу қойылғанын байқаса да, байқамаса да жұмыс істей береді.
Бұл серверлер тобы дефолт бойынша мұраға қалмай, WordPress жұмыс жүктемелері үшін таңдалған MariaDB (немесе Percona) жүйесінде жұмыс істейді, ал оның үстінде әр арендаторға арналған әділдік деңгейі ретінде Governor орналасқан.
Әр сайтқа арналған Redis нысан кэші дерекқорға жетпей тұрып қайталанатын оқу әрекеттерін өзіне алады, бұл Governor реттеуге тиіс жүктемені бірінші кезекте азайтады. Кэштеу және оқшаулау бір жүйе ретінде жұмыс істейді.
CloudLinux alt-PHP әрбір сайтқа жеке PHP нұсқасын таңдау құралын, жеке кеңейтімдерін (imagick, gd, redis және басқаларын) және қатайтылған баптауларын береді. Онда LSAPI жұмыс процестері сол сайттың LVE шектеулерімен шектелген, сондықтан PHP қатысу деңгейі тордан тыс шығу емес, оның бір бөлігі болып табылады.
Оқшаулау мәселенің қаншалықты таралатынын шешеді. Атқару келесі қадамның не болатынын шешеді. Біз дөрекі қосу/өшіру тоқтатуын төзімді жұмыс процестерімен басқарылатын және LiteSpeed, LVE пен Imunify арқылы жұмысшыда жүзеге асырылатын күй машинасымен алмастырдық.
Оқшаулау — үш деңгей жоғары тұратын тариф функциясы емес. Бұл — платформаның қасиеті, сондықтан ол бір WooCommerce дүкенін немесе екі мың желілік сайтты іске қосып жатқаныңызға қарамастан бірдей болады.
Массовый режим және PBN желілері footprint-ті ескеретін CDN аккаунт ротациясы және статикалық HTML жеткізу жүйесімен бірге, бірдей LVE және CageFS платформасында жұмыс істейді. Оқшаулау тығыздықты қауіпсіз етеді: сайттар тағдырын бөліспей, бір флотты ортақ пайдаланады.
Managed WordPress, WooCommerce, PHP, static and Node сайттары бірдей мүмкіндіктермен қатар толық өзіне-өзі қызмет көрсету мүмкіндігін алады — жеке PHP нұсқасы мен кеңейтімдері, Redis объектілік кэші, кезеңдік орта және тікелей режимге шығару (push-to-live).
Тығыздыққа оңтайландырылған әдепкі нұсқаға қарағанда күштірек шекараны қажет ететін жүктемелер үшін сайт бойынша толық контейнерлік оқшаулау қамтамасыз ету драйверінің нұсқасы ретінде ұсынылады: бірдей қозғалтқыш, бірдей басқару деңгейі, басқа орналастыру, жоғары шығындармен.
LVE пен CageFS изоляциясы, белсенді WAF және зиянды бағдарламаларды сканерлеу әрбір тұтынушы үшін қосылған, өйткені зақымдалған немесе бақылаудан шыққан сайт өзінің көршілеріне және біздің IP беделімізге қауіп төндіреді. Бір рет басып зиянды бағдарламалардан тазарту және кеңейтілген қорғаныс деңгейлері — ақылы қосымшалар, ал негізгі деңгей — жоқ.
Хостинг саласындағы коммерциялық айла — қауіпсіздікті деңгейлерге бөліп сату: арзан іздеген клиенттерді шектеулері жұмсақ ортақ серверге орналастырып, ал шекараны маңызды көретіндерден ақы алу. Біз бұлай етпейміз, өйткені оқшаулау үшін ақы төлемеген клиенттің бұзылған сайты — басқалардың барлығына қауіп төндіретін басты мәселе.
Біз әлем бойынша 650 000-нан астам сайтты хостингте орналастырамыз, онда тығыздық экономикалық ұсыныстың негізі болып табылады. Бұл тек астындағы оқшаулау шартсыз болған жағдайда ғана жұмыс істейді. Ядро деңгейіндегі торлар, жеке файлдық жүйе көрінісі, әр сайт үшін деректер базасын шектеу және әр сайт үшін PHP — бұл ортақ тағдырсыз осындай ауқымда жұмыс істеудің бағасы, сондықтан олар әрбір жоспардағы әрбір сайт үшін бірінші орналастырған сәттен бастап қосулы тұрады.
Нәтижесінде басқалардың сәтсіз күндерінде де болжамды түрде жұмыс істейтін платформа пайда болады. Оның артында 99.99% жұмыс істеу уақытының кепілдігі, сынақтан өткен қалпына келтіру мүмкіндігі бар сайыт бойынша өзгермейтін офсайттық сақтық көшірмелер және сайттарыңызда жасалған әрбір қолданыс әрекетінің толық аудит тізбегі тұр.
Оқшаулау бұл жағдайды тоқтату үшін арнайы жасалған. LVE әр сайт үшін CPU, RAM, IO, IOPS және процестерді шектейді, MySQL Governor әр сайттың дерекқорды пайдалануын реттейді, ал LSAPI жұмысшылары сайттың өз қоршауымен шектелген — сондықтан көршінің трафик қарқыны немесе ауыр сұрау жүктемесі сіздікі емес, олардың шегіне қарай шектеледі. Әрбір ақау сайт бойынша тіркеледі, ал саясат қызметқоры шулы сайттың шектеулерін автоматты түрде қатаңдата алады.
Ашық айтқанда, бұл кепілдік емес, оқшаулау. CageFS әрбір клиентке оқшауланған файлдық жүйе көрінісін береді — ымыраға келген клиент басқа клиенттерді, олардың сайттарын немесе маңызды жүйелік файлдарды көре алмайды, ал расталған зиянды бағдарлама немесе фишинг жағдайы бұл сайтты карантинге ауыстырады: офлайн, файлдар бұғатталған, орындау жоқ, криминалистикалық сараптама үшін оқшауланған. Зақымдану аймағын шектейтін нәрсе — осы. Сонымен қатар, біз әр сайтта зиянды бағдарламаларды сканерлеуді және проактивті WAF-ты, сондай-ақ сыналған қалпына келтіру мүмкіндігі бар сайт бойынша өзгермейтін офсайттық сақтық көшірмелерді іске қосамыз, сондықтан қалпына келтіру ешқашан қатысты машинаның күйіне тәуелді болмайды.
Бұл барлық жоспарға кіреді. LVE және CageFS оқшаулауы, проактивті WAF және зиянды бағдарламаларды сканерлеу әрбір тұтынушы үшін негізгі стандарт болып табылады, өйткені зарарланған немесе бақылаудан шыққан сайт көршілеріне және біздің IP беделімізге қауіп төндіреді — біз мұны міндетті емес етіп қалдыра алмаймыз. Қосымша ретінде сатылатын нәрселер — бір рет басу арқылы зиянды бағдарламаларды тазарту және қалпына келтіру, сондай-ақ жетілдірілген WAF ережелері, басымдықты сканерлеу, боттарды басқару және жоғарырақ DDoS деңгейлері сияқты кеңейтілген қорғаныс деңгейлері.
Ол өшірілмейді, тек өз тортының ішінде шектеледі. Шектелген дегеніміз — сайт жұмыс істеп, қызмет көрсетуін жалғастырғанымен, LVE шектеулері мен жиілік шектеулері қатаңдатылады және себеп жойылғаннан кейін ол автоматты түрде қалпына келеді. Сізге себебі хабарланады, өту процесі дәлелдерімен бірге тіркеледі және оған шағымдануға болады. Егер жүктеме ақау емес, шынайы өсу болса, шешім тұрақты шектеу емес, үлкенірек тарифтік жоспар болып табылады.
Жоқ — бұзылған сияқты көрінбей, әдейі жасалғандай көріну үшін тоқтатылған сайт арнайы брендтелген себеп көрсететін бетті (төлем, техникалық қызмет көрсету немесе ереже бұзу) көрсетеді. Тоқтату төлем жасалғаннан, ақау түзелгеннен немесе шағымданғаннан кейін қалпына келеді. Карантин қатаңырақ және басқаша жұмыс істейді: ол тек тазарту мен тексеруден кейін ғана қалпына келеді, ешқашан автоматты түрде жасалмайды.
Zinn® Managed WordPress хостингінде иә — CloudLinux alt-PHP көмегімен әр сайт жеке PHP нұсқасын таңдау құралын, imagick, gd және redis сияқты жеке кеңейтімдерін және әр сайттың LVE шектеулерімен шектелген жеке қатайтылған баптауларын алады. Footprint-Free Hosting әдейі стандартталған, құлыпталған әр сайт конфигурациясын іске қосады, өйткені конфигурацияның әртүрлілігінің өзі із болып табылады.
Иә. CloudLinux LVE және CageFS екі өнім желісінде де тығыздыққа оңтайландырылған әдепкі параметр болып табылады. Қатаңырақ шекараны қажет ететін жұмыс жүктемелері үшін сайт бойынша толық контейнер оқшаулауы провизиолау драйверінің нұсқасы ретінде ұсынылады — бұл әртүрлі орналасуы бар, қосымша шығындарды күштірек бөлуге айырбастайтын бірдей қызмет көрсетуші мен басқару панелі.
Иә. Footprint-Free Hosting төлем деректерінсіз және ешбір міндеттемесіз, бес сайтқа дейін қамтитын картасыз 14 күндік сынақ мерзімінен басталады. Шешім қабылдамас бұрын бірнеше сайтты орналастырып, оларға жүктеме беріп көріңіз және оқшаулау ортасының қалай жұмыс істейтінін тексеріңіз.
Footprint-Free Hosting қызметінде төлем картасынсыз 14 күндік сынақ мерзімін бастаңыз — бес сайтқа дейін, төлем деректері қажет емес, ешқандай міндеттеме жоқ. Ядро деңгейіндегі оқшаулау, проактивті WAF және зиянды бағдарламаларды сканерлеу алғашқы орналастырудан бастап қосылған.
Тегін бастау