Сайт тус бүрийн тусгаарлалт
Тусгаарлалт бол саатал болон бүрэн зогсолтын хоорондох ялгаа юм. Манай байршуулдаг вэбсайт бүр өөрийн гэсэн CPU, RAM, IO болон процессын дээд хязгаартай, өөрийн CageFS файлын системийн харагдацтай, өөрийн PHP хувилбартай бөгөөд өөрийн өгөгдлийн сангийн хязгаарлагчтай кернел түвшний CloudLinux LVE тусгаарлагч дотор ажилладаг. Халдлагад өртсөн, хамгаалалт нь алдагдсан эсвэл зүгээр л хэт хүнд хүсэлт ажиллуулж буй вэбсайт нь тухайн байрандаа тусгаарлагдана — мөн суурь тусгаарлалт нь багц бүрд багтсан бөгөөд танд нэмэлт үйлчилгээ болгон зарахгүй. Бэлэн байдал: вэбсайт бүрийн өгөгдлийн сангийн хязгаарлалт болон нөөцийн статистик нь хөгжүүлэлтийн шатанд байгаа бөгөөд хараахан гараагүй байна. Энд тайлбарласан бусад бүх зүйл өнөөдөр шууд ажиллаж байна.
Ажлын хэсэг нь олон хэрэглэгчийн бүтцийг цөм рүү шилжүүлдэг CloudLinux үйлдлийн систем дээр ажилладаг. Вэбсайт бүр зүгээр нэг зохицуулалт бус, хатуу зааг болдог Хөнгөн Виртуал Орчин (LVE)-ийг авдаг. Вэбсайт өөрийн тусгаарлагдсан орчинд юу ч хийсэн өөр хүний нөөцөөс зарцуулагдахгүй.
LVE нь сайт тус бүрийн CPU, RAM, IO, IOPS, процессууд болон нэвтрэх процессуудыг бие даан хязгаарладаг. Сайт нь дээд хязгаараасаа давсан тохиолдолд өөрийн тусгаарлагдсан орчиндоо хязгаарлагддаг — алдаа нь тухайн сайтын бүртгэлд бичигдэх бөгөөд зэргэлдээх бусад сайтууд ямар ч нөлөөгүйгээр хэвийн үргэлжлүүлэн ажиллана.
Давталтад гацсан залгаас, буруу бичигдсэн крон ажил эсвэл эцсийн цэгийг хэт ачаалж буй хайлтын робот нь эхлээд тухайн сайтын өөрийн процесс болон оролтын процессын хязгаарт тулдаг. Ганц сайт бүхэл бүтэн серверийн нөөцийг бүрэн шавхах боломжгүй.
Оролтын процессууд тусгаарлагдсан орчин (cage) бүрээр хязгаарлагддаг тул нэг сайт руу чиглэсэн их хэмжээний урсгал нь хост дээр хязгааргүй ачаалал үүсгэж чадахгүй. LiteSpeed холболт болон хүсэлтийн хязгаарлалт, мөн Imunify360 сүлжээний галт хана нь үүний урд байрладаг тул халдлага нь зөвхөн тухайн байны асуудал хэвээр үлддэг.
LVE алдаа бүрийг сайт тус бүрээр бүртгэж, платформын бодлогын системд дамжуулдаг бөгөөд энэ нь хязгаарлалтыг автоматаар чангатгах эсвэл сулруулах боломжтой. Та сайтын хурдыг яагаад, хэзээ хязгаарласныг харах боломжтой — шат дараалсан, буцаах боломжтой бөгөөд бүртгэлд хадгалагдсан.
Нөөцийг тусгаарлах нь сайт системийн ачааллыг хэтрүүлэхээс сэргийлдэг. Файлын системийг тусгаарлах нь зөвшөөрөлгүй мэдээлэл рүү нэвтрэхийг зогсоодог. CageFS нь түрээслэгч бүрд серверийн хувийн бөгөөд хязгаарлагдмал орчныг олгодог.
CageFS-ийн хүрээнд түрээслэгч нь зөвхөн өөрийн файлууд болон хамгийн бага, аюулгүй болгосон системийн хоёртын файлуудыг харах боломжтой ба бусад түрээслэгчид, тэдний сайтууд эсвэл системийн эмзэг файлуудыг харах боломжгүй юм. Нэг хакердуулсан бүртгэл сервер дээрх бусад бүх бүртгэлийг харах байрлал болдог хуваалцсан хостингийн нийтлэг доголдлын горим нь кернелийн түвшинд хаагддаг.
Энэ нь ямар нэгэн зүйл буруугаар эргэх үед хамгийн чухал байдаг. Хуучирсан залгаас, хулгайлагдсан нэвтрэх мэдээлэл эсвэл эмзэг сэдвийн улмаас сайт аюулд өртсөн тохиолдолд CageFS нь тархалтын хүрээг тухайн нэг торонд л хязгаарладаг. Манай аюулгүй байдлын техникийн нөхцөлийн үг хэллэг нь зориуд сонгогдсон байдаг: CageFS нь зөрчлийг хязгаарладаг. Хязгаарлалт бол бодит үнэн мэдэгдэл бөгөөд энэ нь аливаа асуудал нэг сайтын цэвэрлэгээ байх уу, эсвэл нийт систем даяарх цэвэрлэгээ болох уу гэдгийг шийддэг.
Нөөцлөлтүүд нь мөн адил хил хязгаарыг бэхжүүлдэг. Сайт тус бүрийн нөөцлөлтүүд нь өөрчлөх боломжгүй, гадна байршилтай, ажиллаж буй флот системээс тусгаарлагдсан бөгөөд сэргээлтийг нь шалгаж баталгаажуулсан тул нэг сайт дээр хамгийн ноцтой зөрчил гарсан ч өмнө нь ажиллаж байсан төхөөрөмжийн төлөв байдлаас хамааралгүйгээр цэвэр, бие даасан сэргээх арга замтай байдаг.
Веб түвшний тусгаарлалт бол зөвхөн хагас нь юм. WordPress систем дээр серверийг ихэвчлэн удаашруулдаг зүйл бол нэг сайтын траффик биш, харин нэг сайтын асуулга (query) байдаг. Үүнийг тусгайлан зохицуулдаг.
CloudLinux MySQL Governor нь сайт бүрийн мэдээллийн баазын ашиглалтыг хязгаарладаг тул нэг сайтын хүнд хүсэлтүүд бусад бүх хэрэглэгчийн серверийг удаашруулж чадахгүй. Энэ нь удаашралын эсрэг хяналт бөгөөд асуудал үүсгэж буй сайт өөрийгөө хязгаарлагдаж байгааг анзаарсан эсэхээс үл хамааран ажилладаг.
Энэхүү флот нь анхдагч тохиргоогоор өвлөгдөөгүй, харин WordPress ажлын ачаалалд зориулж сонгосон MariaDB (эсвэл Percona)-г ажиллуулдаг бөгөөд Governor нь түрээслэгч бүрийн тэгш байдлын түвшин болж үүний дээр ажилладаг.
Сайт бүрийн Redis объектын кэш нь өгөгдлийн санд хүрэхээс өмнө давтагдсан уншилтуудыг өөртөө шингээдэг бөгөөд энэ нь Governor-ийн зохицуулах шаардлагатай ачааллыг анхнаасаа бууруулдаг. Кэшлэх болон тусгаарлах нь нэг систем болж ажилладаг.
CloudLinux alt-PHP нь сайт бүрт өөрийн PHP хувилбар сонгогч, өөрийн өргөтгөлүүд (imagick, gd, redis болон бусад) болон өөрийн хамгаалалттай тохиргоог олгодог бөгөөд LSAPI воркерууд нь тухайн сайтын LVE хязгаараар хязгаарлагддаг тул PHP зэрэгцээ ажиллагаа нь торноос зугтах биш, харин түүний нэг хэсэг болдог.
Тусгаарлалт нь асуудал хэр зэрэг тархахыг шийддэг. Албадлага нь дараа нь юу болохыг шийддэг. Бид унтраах/асаах хэлбэрийн шууд түдгэлзүүлэлтийг бат бөх ажлын урсгалаар удирдагддаг, мөн LiteSpeed, LVE болон Imunify-ээр дамжуулан ажилтан дээр хэрэгждэг төлөвийн машинаар сольсон.
Тусгаарлалт бол гурван шатлалын дараа гарч ирдэг багцын функц биш юм. Энэ нь суурь бүтцийн шинж чанар тул та нэг WooCommerce дэлгүүр эсвэл хоёр мянган сүлжээний сайт ажиллуулж байгаа эсэхээс үл хамааран ижил байна.
Бөөн болон PBN сүлжээнүүд нь ул мөрийг харгалзан үздэг CDN дансны эргэлт болон статик HTML хүргэлтийн хамт ижил LVE болон CageFS суурь дээр ажилладаг. Тусгаарлалт нь нягтралыг аюулгүй болгодог зүйл юм: сайтууд нэг хувь заяаг хуваалцахгүйгээр нэг флотыг хуваалцдаг.
Удирдлагатай WordPress, WooCommerce, PHP, статик болон Node сайтууд нь ижил тусгаарлагдсан орчнууд (cages) болон бүрэн өөртөө үйлчлэх боломжийг авдаг — таны өөрийн PHP хувилбар ба өргөтгөлүүд, Redis объектын кэш, staging болон шууд нийтлэх (push-to-live) боломжтой.
Нягтаршилд тохируулсан анхдагч тохиргооноос илүү хүчтэй зааглалт шаардлагатай ачааллуудад зориулж, нөөц хуваарилах драйверын хувилбар болгон сайт бүрт бүрэн контейнер тусгаарлалтыг санал болгож байна: ижил хөдөлгүүр, ижил удирдлагын түвшин, өөр байршуулалт, илүү өндөр нэмэлт ачаалалтай.
LVE болон CageFS тусгаарлалт, идэвхтэй WAF болон хортой програмын скан хийх үйлчилгээ нь хэрэглэгч бүрт багтсан байдаг, учир нь халдвар авсан эсвэл хяналтаас гарсан сайт нь хөрш зэргэлдээх сайтууд болон манай IP-ийн нэр хүндэд аюул учруулдаг. Нэг товшилтоор хортой програмыг цэвэрлэх болон ахисан түвшний хамгаалалтын багцууд нь төлбөртэй нэмэлтүүд бөгөөд суурь үйлчилгээ нь төлбөргүй юм.
Хостингийн салбарын арилжааны уруу таталт бол аюулгүй байдлыг зэрэглэлээр худалдах явдал юм: хямд үйлчилгээ авч буй хэрэглэгчдийг уян хатан хязгаарлалттай дундын серверт байршуулж, тусгаарлалт шаардсан хүмүүсээс нэмэлт төлбөр авах явдал юм. Бид тэгдэггүй, учир нь тусгаарлалтын төлбөр төлөөгүй хэрэглэгчийн халдлагад өртсөн сайт нь бусад бүх хүмүүсийн хувьд асуудал болж хувирдаг.
Бид нягтрал нь эдийн засгийн гол үндэс болсон дэд бүтэц дээр дэлхий даяар 700,000 гаруй сайтыг байршуулдаг. Үүний цаад тусгаарлалт нь болзолгүй байх тохиолдолд л энэ нь үр дүнтэй ажиллана. Кернел түвшний тусгаарлах бүрхүүл, хувийн файлын системийн харагдац, сайт тус бүрийн өгөгдлийн сангийн хязгаарлалт болон сайт тус бүрийн PHP нь нийтлэг эрсдэлгүйгээр ийм түвшинд ажиллахын тулд гарах зардал бөгөөд тиймээс эдгээр нь таны байршуулсан анхны сайтаас эхлэн хүн бүрд, бүх багцад идэвхтэй байдаг.
Үр дүн нь бусдын хүнд өдрүүдэд ч найдвартай ажилладаг платформ юм. Үүний цаана 99.99%-ийн хэвийн ажиллагааны баталгаа, туршигдсан сэргээлт бүхий сайт тус бүрийн өөрчлөгдөшгүй гаднын нөөц хуулбар, таны сайтууд дээр авч хэрэгжүүлсэн албадлагын арга хэмжээ бүрийн аудитын бүрэн бүртгэл байдаг.
Тусгаарлалт нь үүнийг зогсоох зорилгоор тусгайлан бүтээгдсэн. LVE нь сайт бүрийн CPU, RAM, IO, IOPS болон процессуудыг хязгаарладаг, MySQL Governor нь сайт бүрийн өгөгдлийн сангийн ашиглалтыг зохицуулдаг бөгөөд LSAPI ажилчид нь тухайн сайтын өөрийн тусгаарлах хүрээгээр хязгаарлагддаг — иймээс зэргэлдээх сайтын хандалтын огцом өсөлт эсвэл хүнд хүсэлтийн ачаалал нь таны бус, тэдний дээд хязгаарт тулж зохицуулагддаг. Алдаа бүрийг сайт тус бүрээр бүртгэдэг бөгөөд бодлогын систем нь хэт ачаалал үүсгэж буй сайтын хязгаарыг автоматаар чангатгах боломжтой.
Үнэнч хариулт бол баталгаа өгөхөөс илүүтэй тархалтыг хязгаарлах явдал юм. CageFS нь түрээслэгч бүрд тусгаарлагдсан файлын системийн харагдацыг олгодог бөгөөд халдлагад өртсөн түрээслэгч бусад түрээслэгчид, тэдний сайтууд эсвэл системийн эмзэг файлуудыг харж чадахгүй — мөн батлагдсан хортой код эсвэл фишингийн тохиолдолд тухайн сайтыг тусгаарлалтад шилжүүлдэг: офлайн, файлууд түгжигдсэн, ажиллах боломжгүй, шинжилгээ хийх зорилгоор тусгаарлагдсан. Энэ нь эвдрэлийн хүрээг хязгаарладаг зүйл юм. Үүний зэрэгцээ бид сайт бүр дээр хортой код илрүүлэх шалгалт болон урьдчилан сэргийлэх WAF ажиллуулахаас гадна туршигдсан сэргээлт бүхий сайт бүрийн өөрчлөгдөшгүй гадны нөөц хуулбарыг хийдэг тул сэргээлт нь тухайн төхөөрөмжийн төлөв байдлаас хэзээ ч хамаардаггүй.
Энэ нь бүх багцад багтсан болно. Халдвар авсан эсвэл хяналтаас гарсан сайт нь зэргэлдээх сайтууд болон манай IP-ийн нэр хүндэд заналхийлдэг тул LVE болон CageFS тусгаарлалт, идэвхтэй WAF болон хортой кодын шалгалт нь хэрэглэгч бүрийн суурь стандарт бөгөөд бид үүнийг сонголттойгоор үлдээх боломжгүй юм. Нэг товшилтоор хортой кодыг цэвэрлэх, засах үйлчилгээ, түүнчлэн сайжруулсан WAF дүрмүүд, давуу эрхтэй шалгалт, бот удирдлага болон илүү өндөр түвшний DDoS хамгаалалт зэрэг ахисан түвшний хамгаалалтуудыг нэмэлт үйлчилгээ болгон зардаг.
Энэ нь бүрэн унтрахын оронд өөрийн тусгаарлагдсан орчинд хязгаарлагддаг (throttled). Хязгаарлалт гэдэг нь тухайн сайт хэвийн ажиллаж, үйлчилсээр байх зуур LVE-ийн илүү хатуу хязгаар болон хүсэлтийн хурдны хязгаарлалт тавихыг хэлэх бөгөөд шалтгаан арилмагц автоматаар хэвийн байдалд шилжинэ. Танд шалтгааны талаар мэдэгдэх бөгөөд шилжилтийг нотлох баримтын хамт бүртгэж, давж заалдах боломжтой байдаг. Хэрэв уг ачаалал нь алдаа биш, харин бодит өсөлт бол шийдэл нь байнгын хязгаарлалт биш, харин илүү өндөр багц юм.
Үгүй — түдгэлзүүлсэн сайт нь эвдэрсэн гэхээсээ илүү зориудын арга хэмжээ мэт харагдуулахын тулд шалтгаанаас хамаарсан брэнд бүхий хүлээлгийн хуудсыг (төлбөр тооцоо, засвар үйлчилгээ эсвэл зүй бус ашиглалт) үзүүлдэг. Төлбөр хийгдсэн, асуудлыг зассан эсвэл давж заалдсан тохиолдолд түдгэлзүүлэлтийг цуцална. Тусгаарлалт нь илүү хатуу бөгөөд өөр зарчмаар ажилладаг: зөвхөн цэвэрлэгээ хийж, хянаж шалгасны дараа цуцлагддаг, хэзээ ч автоматаар цуцлагдахгүй.
Zinn® Managed WordPress дээр, тийм — CloudLinux alt-PHP нь сайт бүрд өөрийн PHP хувилбар сонгогч, imagick, gd болон redis зэрэг өөрийн өргөтгөлүүд, мөн тухайн сайтын LVE хязгаараар хязгаарлагдсан өөрийн сайжруулсан тохиргоог олгодог. Тохиргооны олон янз байдал нь өөрөө мөр (footprint) болдог тул Footprint-Free хостинг нь сайт бүрд зориулан зориуд илүү стандартчилсан, түгжигдсэн тохиргоог ажиллуулдаг.
Тийм. CloudLinux LVE болон CageFS нь хоёр бүтээгдэхүүний шугамын хувьд нягтралыг оновчтой болгосон анхдагч тохиргоо юм. Илүү хатуу зааг шаардлагатай ажлын ачааллын хувьд нөөц хуваарилалтын драйверын хувилбар болгон сайт бүрт бүрэн контейнерийн тусгаарлалтыг санал болгодог — илүү хүчтэй тусгаарлалтын тулд нэмэлт ачааллыг золиосолсон, өөр байршуулалт бүхий ижил хөдөлгүүр ба удирдлагын түвшин юм.
Тийм. Footprint-Free хостинг нь тав хүртэлх сайтыг хамарсан картын мэдээлэл шаардахгүй 14 хоногийн туршилтаар эхэлдэг бөгөөд төлбөрийн мэдээлэл шаардахгүй, ямар ч үүрэг хариуцлага хүлээхгүй. Шийдвэр гаргахаасаа өмнө хэд хэдэн сайт байршуулж, тэдгээрт тодорхой хэмжээний ачаалал өгч, тусгаарлах торнууд хэрхэн ажиллаж байгааг хараарай.
Footprint-Free хостинг дээр картын мэдээлэл шаардахгүй 14 хоногийн туршилтыг эхлүүлнэ үү — тав хүртэлх сайт, төлбөрийн мэдээлэл шаардлагагүй, ямар ч үүрэг хариуцлага хүлээхгүй. Цөмийн түвшний тусгаарлалт, идэвхтэй WAF болон хортой кодыг илрүүлэх шалгалт нь анхны байршуулалтаас эхлэн багтсан болно.
Үнэгүй эхлэх