Site- тус бүрийн тусгаарлалт
Тусгаарлалт бол аюулгүй байдлын зөрчил болон системийн тасалдал хоёрын хоорондох ялгаа юм. Бидний байршуулж буй сайт бүр өөрийн гэсэн CPU, RAM, IO болон процессын хязгаар, өөрийн гэсэн CageFS файлын системийн харагдац, өөрийн гэсэн PHP хувилбар болон өөрийн гэсэн өгөгдлийн сангийн хязгаарлагч бүхий цөмийн түвшний CloudLinux LVE тор дотор ажилладаг. Халдлагад өртсөн, эвдэрсэн эсвэл ердөө л ачаалалтай хүсэлт ажиллуулж буй сайт нь тухайн байгаа газраа хязгаарлагдах ба тусгаарлалтын энэхүү үндсэн суурь нь ямар ч багцад багтсан байх бөгөөд нэмэлт төлбөртэй шинэчлэлт болгон худалдаалагддаггүй. Бэлэн байдал: сайт тус бүрийн өгөгдлийн сангийн хязгаарлалт болон сайт тус бүрийн нөөцийн статистик одоогоор хөгжүүлэлтийн шатанд байгаа бөгөөд ашиглалтад ороогүй байна. Энд тайлбарласан бусад бүх зүйл өнөөдөр шууд ажиллаж байна.
Ажлын хүрээ CloudLinux OS дээр ажилладаг бөгөөд энэ нь олон түрээслэгчийн архитектурыг цөм рүү оруулж өгдөг. Сай бүр хөнгөн жинтэй виртуал орчин буюу LVE-тэй байх ба энэ нь зүгээр нэг зөөлөн зохицуулалт биш, харин хатуу хязгаар юм. Сайтын өөрийнхөө тор дотор хийж байгаа ямар ч үйлдэл өөр хүний нөөцөд нөлөөлөх боломжгүй.
LVE нь сайт бүрийн CPU, RAM, IO, IOPS, процесс болон оролтын процессыг тус бүрд нь бие даан хязгаарладаг. Хэрэв сайт тогтоосон хязгаараа хэтрүүлбэл өөрийнх нь орчинд хязгаарлагдах ба уг зөрчил тухайн сайтад бүртгэгдэж, хажуу талын сайтууд ямар нэгэн нөлөөлөлгүйгээр хэвийн ажиллана.
Гоlолд орсон плагин, муу бичигдсэн cron ажил эсвэл төгсгөл цэг рүү дайрч буй вэб мөлхөгч нь сайтад хамаарах процесс болон оролтын процессын хязгаарлалтад хамгийн түрүүнд хүрдэг. Нэг сайт нь серверийг бүхэлд нь ачаалж чадахгүй.
Нэг тор тус бүрд орох үйл явцын тоо хязгаарлагдмал байдаг тул нэг сайт руу чиглэсэн халдлага нь серверийн хувьд хязгааргүй ачаалал үүсгэж чадахгүй. Үүний өмнө LiteSpeed-ийн холболт болон хүсэлтийн хязгаарлалт мөн Imunify360 сүлжээний галт хана ажилладаг тул уг халдлага нь зөвхөн тухайн халдлагад өртсөн сайтын асуудал хэвээр үлдэнэ.
LVE алдаа бүрийг сайт бүрээр бүртгэж, платформын бодлогын хөдөлгүүрт дамжуулдаг ба энэ нь хязгаарлалтыг автоматаар чангатгах эсвэл сулруулах боломжтой. Та яагаад сайт хязгаарлагдсаныг, хэзээ болсныг шатлалтайгаар, буцаах боломжтойгоор мөн бүртгэгдсэн байдлаар харна.
Нөөцийн тусгаарлалт нь сайтыг бусдад саад учруулахаас сэргийлдэг. Файлын системийн тусгаарлалт нь түүнийг бусдын хэрэгт оролцохоос зогсооно. CageFS нь хэрэглэгч бүрт машины хувийн, хязгаарлагдмал харагдацыг олгодог.
CageFS-ийн хүрээнд хэрэглэгч өөрийн файл болон системийн хор хөнөөлгүй, цөөн тооны хоёртын файлуудыг л харах ба бусад хэрэглэгчид, тэдгээрийн сайтууд эсвэл системийн эмзэг файлуудыг харах боломжгүй юм. Нэг хаяг эвдэрсэн тохиолдолд сервер дээрх бусад бүх хаягийн мэдээллийг харах боломжтой болдог энгийн хуваалцсан хостингийн сул тал нь цөмийн түвшинд хаагдсан байна.
Энэ нь ямар нэг зүйл буруутох тэр өдөр хамгийн чухал байдаг. Хэрэв хуучирсан залгаас, алдагдсан нэвтрэх мэдээлэл эсвэл эмзэг сэдэв зэргээс болж веб сайт аюулд орвол, CageFS нь хохирлын хүрээг зөвхөн тухайн нэг торгуулд хязгаарлан барьж байдаг зүйл юм. Манай аюулгүй байдлын тодорхойлолтын үг хэллэг нь зорилготойгоор хийгдсэн: CageFS нь аюулгүй байдлын зөрчлийг хязгаарладаг. Хязгаарлалт гэдэг нь бодит бөгөөд үнэн амлалт бөгөөд энэ нь тохиолдсон хэрэг явдал ганцхан сайтыг цэвэрлэх үү, эсвэл нийт серверүүдийг цэвэрлэх үү гэдгийг шийддэг.
Нөөц хуулбарууд нь мөн адил хязгаарыг бэхжүүлдэг. Сайт тус бүрийн нөөц хуулбарууд нь өөрчлөгддөггүй, гадаад сервер дээр байрладаг бөгөөд ажиллаж буй системээс тусгаарлагдсан, сэргээх туршилт хийгдсэн байдаг тул аль нэг сайтад хамгийн муу хувилбараар халдлага гарсан ч өмнө нь ажиллаж байсан машины төлөвөөс хамаарахгүй цэвэр, бие даасан сэргээх замтай байна.
Веб түвшний тусгаарлалт нь асуудлыг хагас л шийдэж байна. WordPress флот дээр сервер удаашрахад голлон нөлөөлдөг зүйл бол нэг сайтын траффик бус, харин нэг сайтын асуулга (queries) юм. Үүнийг тухай бүрд нь зохицуулдаг.
CloudLinux MySQL Governor нь сайт ту бүрийн өгөгдлийн сангийн ашиглалтыг хязгаарладаг тул нэг сайтын хүнд асуулга бусад хэрэглэгчдийн серверийг удаашруулахгүй. Энэ бол удаашралын эсрэг хяналт бөгөөд ачаалалтай сайт хязгаарлагдаж байгаагаа анзаарсан ч, үгүй ч ажилладаг.
Манай паркийн систем нь үндсэн тохиргоогоор шууд өвлөгдөж ирэхийн оронд WordPress-ийн ачаалалд зориулж тусгайлан сонгосон MariaDB (эсвэл Percona)-г ашигладаг бөгөөд үүний дээр түрээслэгч бүрийн нөөцийн шударга хуваарилалтыг хангах давхарга болох Governor ажилладаг.
Сайт бүрийн хувьд Redis объект кэш нь давтагдах унших хүсэлтийг өгөгдлийн сан руу хүрэхээс нь өмнө шингээж авдаг бөгөөд ингэснээр Governor-ын эхлээд зохицуулах ачааллыг бууруулдаг. Кэш болон тусгаарлалт нь нэг систем болж ажилладаг.
CloudLinux alt-PHP нь сайt бүрт өөрийн PHP хувилбар сонгогч, өөрийн өргөтгөлүүд (imagick, gd, redis болон бусад) болон өөрийн сайжруулсан тохиргоонуудыг олгодог бөгөөд LSAPI ажилчид тухайн сайтын LVE хязгаарлалтаар хязгаарлагддаг тул PHP зэрэгцээ ажиллагаа нь түүнийг тойрч гарахаас илүүтэйгээр тухайн орчны хэсэг болдог.
Тусгаарлалт нь асуудал хэр хол тархахыг шийддэг. Хэрэгжилт нь дараа нь юу болохыг шийднэ. Бид бүдүүлэг унтраах/асаах горимыг LiteSpeed, LVE болон Imunify-р дамжуулан ажилтан дээр хэрэгжүүлдэг бат бөх ажлын урсгалаар удирддаг төлөвт машин болгон солисон.
Тусгаарлалт гэдэг нь гурван түвшний дараа гарч ирдэг багцын боломж биш юм. Энэ бол суурь платформын шинж чанар тул та нэг WooCommerce дэлгүүр эсвэл хоёр мянган сүлжээ сайт ажиллуулж байгаа эсэхээс үл хамааран яг ижил байна.
Bulk болон PBN сүлжээнүүд нь footprint-ийг тооцоолдог CDN дансны эргэлт болон статик HTML хүргэлтийн хамт ижил LVE ба CageFS дэвсгэр дээр ажилладаг. Тусгаарлалт нь нягтралыг аюулгүй болгодог: сайтууд нэг флотыг хуваалцах боловч хувь заяагаа хуваалцдаггүй.
Удирдлагатай WordPress, WooCommerce, PHP, статик болон Node сайтууд нь ижил торууд болон бүрэн өөртөө үйлчлэх боломжийг авна — өөрийн PHP хувилбар ба өргөтгөлүүд, Redis объектын кэш, сэжиглэх орчин болон шууд нийтлэх.
Нягт оновчилсон өгөгдмөлөөс илүү бат бөх хязгаарлалт шаардлагатай ачааллын хувьд сайт тус бүрийн контейнерийн бүрэн тусгаарлалтыг нөөцлөлтийн драйверын хувилбар болгон санал болгож байна: ижил хөдөлгүүр, ижил удирдлагын хэсэг, өөр байршил, илүү өндөр нөөц зарцуулалттай.
Халдвар авсан эсвэл хяналтаас гарсан сайт нь хөрш зэргэлдээх сайтууд болон манай IP-ийн нэр хүндэд аюул учруулдаг тул үйлчлүүлэгч бүрт LVE болон CageFS тусгаарлалт, идэвхтэй WAF болон хортой програмын сканнердалтыг багтаасан болно. Нэг товшилтоор хортой програмыг цэвэрлэх болон дэвшилтэт хамгаалалтын түвшин нь төлбөртэй нэмэлтүүд бөгөөд суурь түвшин нь тийм биш юм.
Хостингийн бизнест аюулгүй байдлыг шатлалтайгаар худалдах нь ашигтай байдаг: хямд үйлчлүүлэгчдийг зөөлөн хязгаарлалттай дундын серверт байрлуулж, харин хамгаалалт хүссэн хүмүүсээс нэмэлт төлбөр авдаг. Бид ингэдэггүй, учир нь тусгаарлалтын төлөө мөнгө төлөөгүй үйлчлүүлэгч л бусдын хувьд асуудал үүсгэхүйц халдлагад өртөх эрсдэлтэй байдаг юм.
Бид дэлхий даяар 650,000 гаруй сайтыг байршуулдаг бөгөөд манай дэд бүтцийн эдийн засгийн үндэс нь нягтрал юм. Энэ нь зөвхөн дотоод тусгаарлалт нь болзолгүй байж л амжилттай ажиллана. Цөмийн түвшний хаалт, хувийн файлын системийн харагдац, сайт бүрийн өгөгдлийн сангийн хязгаарлалт болон сайт тус бүрийн PHP нь хувь тавилангаасаа хамааралгүйгээр ийм цар хүрээтэй ажиллахын үнэ цэнэ юм — тиймээс эдгээр нь таны байршуулсан анхны сайт болон аль ч багцын хувьд хүн бүрийн хувьд нээлттэй байдаг.
Үр дүнд нь бусдын алдаатай өдрүүдэд ч тогтвортой ажилладаг платформ бий болно. Үүний цаана 99.99%-ийн ажиллах хугацааны баталгаа, сайт бүрийн хувьд туршигдсан сэргээх боломж бүхий өөрчлөгдөггүй гадаад нөөц хуулбар, таны сайтуудад авсан хэрэгжүүлэлтийн арга хэмжээ бүрийн аудит хяналтын бүрэн түүх бий.
Тусгаарлалт нь үүнийг зогсооход зориулагдсан юм. LVE нь сайт бүрийн CPU, RAM, IO, IOPS болон процессын хязгаарыг тогтоодог бөгөөд MySQL Governor нь сайт бүрийн өгөгдлийн сангийн ашиглалтыг хязгаарлаж, LSAPI ажиллах хүч нь тухайн сайтын өөрийн хүрээнд хязгаарлагддаг тул хөрш сайтын урсгалын гэнэтийн өсөлт эсвэл хүнд ачаалалтай асуулга нь таных биш харин тэдний тогтоосон дээд хязгаар дээр хянагдах болно. Алдаа бүрийг сайт тус бүрээр бүртгэдэг бөгөөд бодлогын хөдөлгүүр нь их нөөц шаардсан сайтын хязгаарыг автоматаар чангатгах боломжтой.
Үнэн хэрэгтээ энэ бол баталгаа биш харин тусгаарлалт юм. CageFS нь хэрэглэгч бүрт тусгаарлагдсан файлын системийн харагдах байдлыг өгдөг бөгөөд ингэснээр халдлагад өртсөн хэрэглэгч бусад хэрэглэгчид, тэдгээрийн сайтууд эсвэл системийн эмзэг файлуудыг харах боломжгүй юм. Харин хортой програм эсвэл фишинг тогтоогдсон тохиолдолд тухайн сайтыг тусгаарласан төлөвт шилжүүлдэг: буюу офлайн болгож, файлуудыг түгжиж, ажиллагааг зогсоож, хэргийг шалгах зорилгоор тусгаарладаг. Энэ л эвдрэлийн хүрээг хязгаарладаг зүйл юм. Үүний зэрэгцээ бид сайт бүр дээр хортой програмын сканер болон идэвхтэй WAF ажиллуулж, мөн туршигдсан сэргээлт бүхий сайт тус бүрийн өөрчлөгддөггүй алсын нөөц хуулбарыг ашигладаг тул сэргээх үйл явц нь тухайн машины төлөв байдлаас хэзээ ч хамаардаггүй.
Энэ нь төлөвлөгөө бүрд багтсан болно. LVE болон CageFS тусгаарлалт, идэвхтэй WAF болон хортой програмын сканнердал нь үйлчлүүлэгч бүрийн хувьд үндсэн суурь юм, учир нь халдвар авсан эсвэл хяналтаас гарсан сайт нь хөрш зэргэлдээ сайтууд болон манай IP-ийн нэр хүндэд аюул учруулдаг — бид үүнийг дур зоргоор сонголттой байдлаар үлдээх боломжгүй юм. Нэмэлт үйлчилгээ болгон зарагддаг зүйл бол нэг товшилтоор хортой програмыг цэвэрлэж устгах явдал бөгөөд WAF-ийн сайжруулсан дүрэм, тэргүүлэх чиглэлтэй сканнердал, ботын менежмент, DDoS-ийн өндөр түвшин зэрэг аюулгүй байдлын дэвшилтэт түвшингүүд юм.
Үүнийг бүрмөсөн унтраахын оронд тусгай хязгаарлалтад оруулдаг. Хязгаарлагдсан гэдэг нь сайтын ажиллагаа хэвийн үргэлжилж, хандалтад үйлчилсээр байх боловч илүү хатуу LVE хязгаарлалт болон хандалтын хурдны хязгаарлалт үйлчилнэ гэсэн үг бөгөөд шалтгаан арилмаag автоматаар хэвийн байдалдаа орно. Танд шалтгааныг мэдэгдэх бөгөөд шилжилтийг нотлох баримтын хамт бүртгэж, хүсэлт гаргаж шалгуулах боломжтой. Хэрэв ачаалал нь ямар нэг эвдрэл доголдол бус, харин жинхэнэ өсөлт байвал үүнийг байнгын хязгаарлалтад байлгах биш, харин илүү өндөр хүчин чадалтай багц руу шилжих нь зөв шийдэл юм.
Үгүй — хаuzаасан сайт нь брендийн, тодорхой шалтгаантай (тооцоо, засвар үйлчилгээ эсвэл зөрчил) түр хуудас харуулдаг бөгөөд ингэснээр эвдэрсэн мэт харагдахын оронд зориудаар хийсэн мэт харагдана. Төлбөр төлсөн, алдааг зассан эсвэл давж заалдсан тохиолдолд эрх нь сэргэнэ. Карантин нь илүү хатуу бөгөөд өөрөөр ажилладаг: зөвхөн цэвэрлэж, шалгасны дараа л сэргэх ба хэзээ ч автоматаар сэргэхгүй.
Zinn® Managed WordPress дээр тийм ээ — CloudLinux alt-PHP нь сайжруулсан тохиргоо, LVE хязгаарлалтаар хязгаарлагдсан imagick, gd, redis зэрэг өргөтгөлүүд болон PHP хувилбар сонгогчийг тухайн сайт бүрд олгодог. Footprint-Free Hosting нь илүү стандартчилагдсан, түгжигдсэн сайтын тохиргоог зориудаар ажиллуулдаг, учир нь тохиргооны олон янз байдал нь өөрөө хайлтын системийн ул мөр юм.
Тийм ээ. CloudLinux LVE болон CageFS нь хоёр бүтээгдэхүүний шугам хоёуланд нь нягтралд тохируулсан үндсэн сонголт юм. Илүү хатуу хязгаарлалт шаардлагатай ажлын ачааллын хувьд сайт тус бүр дээрх бүтэн контейнер тусгаарлалтыг нөөцөөр хангагч драйверын хувилбар болгон санал болгодог — энэ нь илүү сул талыг илүү бат бөх тусгаарлалтаар солих замаар өөр байршил бүхий ижил хөдөлгүүр болон хяналтын хэсэг юм.
Тийм ээ. Footprint-Free Hosting нь ямар ч төлбөрийн мэдээлэл, амлалт шаардалгүйгээр тав хүртэлх сайтыг хамарсан, карт шаардахгүй 14 хоногийн туршилтаар эхэлдэг. Шийдвэр гаргахаасаа өмнө хэд хэдэн сайт байршуулж, ачаалал өгч, тусгаарлалт хэрхэн ажиллаж байгааг туршаад үзээрэй.
Footprint-Free Hosting дээр картаар төлбөр төлөх шаардлагагүйгээр 14 хоногийн туршилт хугацааг эхлүүлнэ үү. Таван хүртэлх сайт, төлбөрийн мэдээлэл шаардлагагүй, ямар нэгэн амлалт байхгүй. Цөмийн түвшний тусгаарлалт, идэвхтэй WAF болон хортой програмын сканердах үйлчилгээ нь эхний байршуулалтаас эхлэн багтсан болно.
Үнэгүй эхлэх