Izolare per site
Izolarea reprezintă diferența dintre un incident și o întrerupere totală a serviciului. Fiecare site pe care îl găzduim rulează într-o cușcă CloudLinux LVE la nivel de nucleu, având propriile limite maxime pentru CPU, RAM, IO și procese, propria vizualizare a sistemului de fișiere CageFS, propria versiune PHP și propria limitare a bazei de date. Un site care este atacat, compromis sau care rulează pur și simplu o interogare extrem de solicitantă este izolat pe loc — iar această izolare de bază este inclusă în fiecare abonament, nefiindu-vă vândută ca un upgrade. Disponibilitate: limitarea bazei de date per site și statisticile de resurse per site sunt în curs de dezvoltare activă și nu sunt încă disponibile. Toate celelalte aspecte descrise aici sunt active astăzi.
Flota de noduri de lucru rulează CloudLinux OS, care împinge arhitectura multi-tenant direct în kernel. Fiecare site primește un Lightweight Virtual Environment — un LVE — care este o limită strictă, nu doar o simplă convenție. Nimic din ceea ce face un site în interiorul mediului său izolat nu poate fi consumat din resursele altcuiva.
LVE limitează independent CPU, RAM, IO, IOPS, procesele și procesele de intrare (entry-processes) pentru fiecare site. Când un site își depășește limita maximă, este restricționat în interiorul propriei sale cage — eroarea este înregistrată pentru acel site, iar site-urile învecinate continuă să funcționeze neafectate.
Un modul blocat într-o buclă, o sarcină cron scrisă incorect sau un crawler care suprasolicită un endpoint ating mai întâi limitele de procese și procese de intrare ale site-ului respectiv. Un singur site nu poate pur și simplu să consume întreaga mașină.
Deoarece procesele de intrare sunt limitate pentru fiecare cage, un volum masiv de solicitări direcționat către un singur site nu poate genera sarcini nelimitate pe gazdă. Limitarea conexiunilor și a cererilor prin LiteSpeed și firewall-ul de rețea Imunify360 acționează în fața acestora, astfel încât atacul rămâne doar problema țintei.
Fiecare eroare LVE este înregistrată pentru fiecare site și transmisă motorului de politici al platformei, care poate înăspri sau relaxa limitele în mod automat. Dumneavoastră vedeți de ce a fost limitat un site și când — gradual, reversibil și înregistrat în jurnal.
Izolarea resurselor împiedică un site să supraîncarce sistemul. Izolarea sistemului de fișiere îl împiedică să fie indiscret. CageFS oferă fiecărui chiriaș o vizualizare privată și restricționată a mașinii.
Sub CageFS, un locatar își vede doar propriile fișiere și un set minim, igienizat, de fișiere binare de sistem — și nu poate vedea alți locatari, site-urile altor locatari sau fișierele de sistem confidențiale. Modul obișnuit de eșec al găzduirii partajate, în care un cont compromis devine o poziție de citire asupra tuturor celorlalte conturi de pe server, este blocat la nivelul nucleului.
Acest lucru contează cel mai mult în ziua în care ceva nu merge bine. Dacă un site este compromis — printr-un modul învechit, date de conectare furate sau o temă vulnerabilă — CageFS este cel care limitează raza de impact la acea singură celulă. Specificația noastră de securitate alege cu atenție formularea: CageFS izolează breșele. Izolarea este promisiunea onestă și este cea care decide dacă un incident înseamnă curățarea unui singur site sau a întregii flote.
Copiile de rezervă consolidează aceeași limită. Copiile de rezervă per site sunt imuabile, stocate în afara locației și izolate de flota activă, beneficiind de restaurări testate, astfel încât chiar și în cel mai grav caz de compromitere a unui site există o cale de recuperare curată și independentă, care nu depinde de starea aparatului pe care rula.
Izolarea la nivelul nivelului web reprezintă doar jumătate din poveste. Într-o flotă WordPress, ceea ce face cel mai adesea ca un server să pară lent sunt interogările unui singur site, nu traficul acestuia. Acest aspect este gestionat în mod explicit.
CloudLinux MySQL Governor limitează utilizarea bazei de date pentru fiecare site, astfel încât interogările grele ale unui singur site să nu poată încetini serverul pentru toți ceilalți. Este controlul anti-încetinire și funcționează indiferent dacă site-ul zgomotos observă sau nu vreodată că este restricționat.
Flota rulează MariaDB (sau Percona), aleasă special pentru sarcinile de lucru WordPress și nu moștenită implicit, având Governor deasupra ca strat de echitate per locatar.
Un cache de obiecte Redis per site absoarbe citirile repetate înainte ca acestea să ajungă la baza de date, ceea ce reduce din start presiunea pe care Governor trebuie să o arbitreze. Memorarea în cache și izolarea funcționează ca un singur sistem.
CloudLinux alt-PHP oferă fiecărui site propriul selector de versiune PHP, propriile extensii (imagick, gd, redis și restul) și propriile setări securizate — cu lucrători LSAPI limitați de limitele LVE ale acelui site, astfel încât concurența PHP să facă parte din cușcă, nu să fie o scăpare din ea.
Izolarea decide cât de departe se răspândește o problemă. Aplicarea decide ce se întâmplă în continuare. Am înlocuit suspendarea rigidă de tip pornire/oprire cu un automat de stări, ghidat de fluxuri de lucru durabile și aplicat pe worker prin intermediul LiteSpeed, LVE și Imunify.
Izolarea nu este o caracteristică de plan care apare trei niveluri mai sus. Este o proprietate a infrastructurii de bază, așa că este identică indiferent dacă gestionați un singur magazin WooCommerce sau două mii de site-uri în rețea.
Rețelele în masă și PBN rulează pe același substrat LVE și CageFS, alături de rotația conturilor CDN conștientă de footprint și livrarea de HTML static. Izolarea este cea care face densitatea sigură: site-urile împart o flotă fără a-și împărți soarta.
Site-urile gestionate WordPress, WooCommerce, PHP, statice și Node beneficiază de aceleași medii izolate (cages), plus autoservire completă — propria versiune și extensii PHP, memorie cache pentru obiecte Redis, staging și publicare directă în producție.
Pentru sarcinile de lucru care necesită o delimitare mai strictă decât setarea implicită optimizată pentru densitate, izolarea completă de tip container-per-site este oferită ca o variantă de driver de provizionare: același motor, același plan de control, amplasare diferită, cu un overhead mai mare.
Izolarea LVE și CageFS, WAF-ul proactiv și scanarea anti-malware sunt incluse pentru fiecare client, deoarece un site infectat sau scăpat de sub control amenință vecinii săi și reputația IP-ului nostru. Curățarea malware-ului printr-un singur clic și nivelurile avansate de protecție sunt suplimente cu plată — nivelul de bază nu este.
Tentația comercială în domeniul găzduirii este de a vinde securitatea pe niveluri: plasarea clienților ieftini pe un server partajat cu limite flexibile și taxarea celor cărora le pasă de o delimitare. Noi nu procedăm astfel, deoarece clientul care nu a plătit pentru izolare este tocmai cel al cărui site compromis devine incidentul tuturor celorlalți.
Găzduim peste 700.000 de site-uri în întreaga lume, pe o infrastructură în care densitatea reprezintă întreaga propunere economică. Acest lucru funcționează doar dacă izolarea de la baza acesteia este necondiționată. Izolarea la nivel de kernel, o vizualizare privată a sistemului de fișiere, limitarea bazei de date per site și PHP dedicat per site reprezintă prețul operării la această scară fără a împărtăși un destin comun — prin urmare, acestea sunt activate pentru toată lumea, în fiecare plan, încă de la primul site pe care îl implementați.
Rezultatul este o platformă care se comportă previzibil în zilele dificile ale altora. În spatele acesteia se află o garanție de funcționare continuă de 99,99%, copii de rezervă externe imutabile per site, cu proceduri de restaurare testate, și un istoric complet de audit al fiecărei acțiuni de aplicare întreprinse pe site-urile dumneavoastră.
Izolarea este concepută special pentru a preveni acest lucru. LVE limitează procesorul, memoria RAM, I/O, IOPS și procesele per site, MySQL Governor limitează utilizarea bazei de date per site, iar procesele de lucru LSAPI sunt limitate la propria celulă a site-ului — astfel încât o creștere bruscă a traficului sau o încărcare mare de interogări a unui vecin este limitată în funcție de plafonul acestuia, nu al dumneavoastră. Fiecare eroare este înregistrată per site, iar motorul de politici poate reduce automat limitele unui site care consumă prea multe resurse.
Răspunsul sincer este izolarea, mai degrabă decât o garanție. CageFS oferă fiecărui locatar o vizualizare izolată a sistemului de fișiere — un locatar compromis nu poate vedea alți locatari, site-urile acestora sau fișierele de sistem confidențiale — iar un caz confirmat de malware sau phishing mută acel site în carantină: offline, fișiere blocate, fără execuție, izolat pentru analiza criminalistică. Aceasta este ceea ce limitează raza de impact. În paralel, rulăm scanarea împotriva programelor malware și un WAF proactiv pe fiecare site, plus backup-uri offsite imuabile pentru fiecare site, cu proceduri de restaurare testate, astfel încât recuperarea să nu depindă niciodată de starea mașinii implicate.
Este inclus în fiecare plan. Izolarea LVE și CageFS, WAF-ul proactiv și scanarea pentru malware sunt standard pentru fiecare client, deoarece un site infectat sau scăpat de sub control îi amenință pe vecinii săi și reputația adreselor noastre IP — nu putem lăsa acest lucru opțional în mod rezonabil. Ceea ce se vinde ca supliment este curățarea și remedierea malware-ului printr-un singur clic, precum și niveluri avansate de protecție, cum ar fi reguli WAF îmbunătățite, scanare prioritară, gestionarea boților și niveluri superioare de protecție DDoS.
Este limitat în propria sa cutie, mai degrabă decât oprit. Limitat înseamnă limite LVE mai stricte și limitare a ratei, site-ul rămânând activ și funcțional, și își revine automat odată ce cauza dispare. Sunteți notificat cu privire la motiv, tranziția este înregistrată împreună cu dovezile aferente și poate fi contestată. Dacă sarcina reprezintă o creștere reală și nu o eroare, soluția este un plan mai mare, nu o limitare permanentă.
Nu — un site suspendat afișează o pagină de așteptare personalizată, specifică motivului (facturare, mentenanță sau abuz), astfel încât să pară o acțiune intenționată, nu o defecțiune. Suspendarea se anulează la efectuarea plății, remedierea problemei sau în urma unei contestații. Carantina este mai strictă și funcționează diferit: se anulează doar după curățare și verificare, niciodată automat.
Pe Zinn® Managed WordPress, da — CloudLinux alt-PHP oferă fiecărui site propriul selector de versiune PHP, propriile extensii, cum ar fi imagick, gd și redis, și propriile setări securizate, toate fiind limitate de restricțiile LVE ale acelui site. Găzduirea Footprint-Free rulează în mod deliberat o configurație per site mai standardizată și mai strict securizată, deoarece diversitatea configurațiilor reprezintă în sine o amprentă (footprint).
Da. CloudLinux LVE și CageFS reprezintă opțiunea implicită optimizată pentru densitate în ambele linii de produse. Pentru sarcinile de lucru care necesită o delimitare mai strictă, izolarea completă container-per-site este oferită ca o variantă a driverului de aprovizionare — același motor și plan de control cu o plasare diferită, schimbând resursele suplimentare pentru o separare mai puternică.
Da. Găzduirea Footprint-Free începe cu o perioadă de încercare de 14 zile, fără card, care acoperă până la cinci site-uri — fără detalii de plată, fără angajamente. Implementați câteva site-uri, generați ceva trafic prin ele și vedeți cum se comportă spațiile izolate înainte de a decide.
Începeți o perioadă de probă de 14 zile, fără card, pentru găzduirea Footprint-Free — până la cinci site-uri, fără detalii de plată, fără niciun angajament. Izolarea la nivel de kernel, WAF-ul proactiv și scanarea pentru malware sunt incluse încă de la prima implementare.
Începeți gratuit