Изоляция каждого сайта
Изоляция — это грань между инцидентом и полным сбоем. Каждый размещенный у нас сайт работает внутри среды CloudLinux LVE на уровне ядра со своими лимитами на процессор, оперативную память, операции ввода-вывода и процессы, собственной файловой системой CageFS, отдельной версией PHP и независимым регулированием базы данных. Сайт, подвергшийся атаке, взлому или просто выполняющий чрезмерно ресурсоемкий запрос, изолируется на месте — причем базовый уровень изоляции включен в каждый тарифный план, а не продается вам как платное улучшение. Доступность: регулирование базы данных для каждого сайта и статистика ресурсов по сайтам находятся в активной разработке и пока недоступны. Все остальные описанные функции работают уже сегодня.
Пул рабочих серверов работает под управлением CloudLinux OS, которая переносит мультитенантность на уровень ядра. Каждый сайт получает легковесную виртуальную среду (Lightweight Virtual Environment, или LVE), представляющую собой жесткую границу, а не просто условное соглашение. Никакие действия сайта внутри его изолированного окружения не могут расходовать ресурсы из чужого лимита.
LVE независимо ограничивает процессор (CPU), оперативную память (RAM), операции ввода-вывода (IO), IOPS, процессы и входные процессы (entry-processes) для каждого сайта. Когда сайт превышает установленный лимит, он замедляется внутри собственной изолированной среды (cage) — ошибка регистрируется для этого сайта, а соседние сайты продолжают работать без каких-либо сбоев.
Плагин, зациклившийся в бесконечном цикле, плохо написанное задание cron или краулер, перегружающий конечную точку, в первую очередь упираются в собственные лимиты процессов и входных процессов сайта. Один сайт не может просто так израсходовать все ресурсы машины.
Поскольку количество входных процессов ограничено для каждого изолированного окружения, поток запросов, направленный на один сайт, не может вызвать неограниченную нагрузку на хост. Ограничение соединений и запросов LiteSpeed, а также сетевой брандмауэр Imunify360 находятся перед этим, поэтому атака остается проблемой исключительно своей цели.
Каждый сбой LVE фиксируется для каждого сайта и передается в механизм политик платформы, который может автоматически ужесточать или ослаблять ограничения. Вы видите, почему и когда сайт был ограничен — ступенчато, обратимо и с записью в журнал.
Изоляция ресурсов не позволяет сайту перегружать систему. Изоляция файловой системы не дает ему вмешиваться в чужие данные. CageFS предоставляет каждому арендатору персональный и изолированный доступ к серверу.
В среде CageFS арендатор видит только свои собственные файлы и минимальный, очищенный набор системных бинарных файлов — и не может видеть других арендаторов, сайты других арендаторов или конфиденциальные системные файлы. Обычный для виртуального хостинга сценарий уязвимости, при котором одна скомпрометированная учетная запись получает доступ к чтению всех остальных учетных записей на сервере, пресекается на уровне ядра.
Это важнее всего в тот день, когда что-то пойдёт не так. Если сайт скомпрометирован — из-за устаревшего плагина, украденных учётных данных или уязвимой темы — именно CageFS удерживает радиус поражения в пределах этой единственной изолированной среды. В нашей спецификации безопасности формулировка выбрана осознанно: CageFS локализует бреши. Локализация — это честное заявление, и именно оно определяет, сведётся ли инцидент к очистке одного сайта или же всей инфраструктуры.
Резервные копии укрепляют эту же границу. Резервные копии отдельных сайтов неизменяемы, хранятся на сторонней площадке и изолированы от работающего пула серверов, а процессы их восстановления протестированы, поэтому даже при самом неблагоприятном сценарии взлома одного сайта существует чистый, независимый путь восстановления, не зависящий от состояния машины, на которой он работал.
Изоляция на уровне веб-сервера — это лишь половина дела. В кластере WordPress работу сервера чаще всего замедляет не трафик одного сайта, а его запросы к базе данных. Это обрабатывается явным образом.
CloudLinux MySQL Governor регулирует использование баз данных для каждого сайта, поэтому «тяжелые» запросы одного сайта не могут замедлить работу сервера для всех остальных. Это механизм контроля против замедления, и он функционирует независимо от того, заметит ли когда-либо создающий нагрузку сайт, что его ограничивают.
Флот работает на MariaDB (или Percona), выбранной специально для рабочих нагрузок WordPress, а не просто унаследованной по умолчанию, поверх которой Governor выступает в качестве уровня справедливого распределения ресурсов между арендаторами.
Кэш объектов Redis для каждого сайта поглощает повторяющиеся операции чтения до того, как они достигнут базы данных, что изначально снижает нагрузку, которую должен распределять Governor. Кэширование и изоляция работают как единая система.
CloudLinux alt-PHP предоставляет каждому сайту собственный селектор версий PHP, собственные расширения (imagick, gd, redis и остальные) и собственные защищенные настройки — с воркерами LSAPI, ограниченными лимитами LVE этого сайта, поэтому параллелизм PHP является частью изоляции, а не выходом из нее.
Изоляция определяет, насколько далеко распространяется проблема. Принудительное исполнение определяет, что происходит дальше. Мы заменили грубое включение/отключение приостановки на конечный автомат, управляемый надежными рабочими процессами и применяемый на воркере с помощью LiteSpeed, LVE и Imunify.
Изоляция — это не функция тарифного плана, которая появляется тремя уровнями выше. Это неотъемлемое свойство базовой платформы, поэтому оно одинаково независимо от того, используете ли вы один магазин WooCommerce или две тысячи сайтов в сети.
Массовые сети и сети PBN работают на одной базе LVE и CageFS вместе с ротацией аккаунтов CDN с учетом SEO-следа и доставкой статического HTML. Изоляция делает плотность безопасной: сайты используют общий пул ресурсов, не разделяя общую судьбу.
Управляемые сайты WordPress, WooCommerce, PHP, статические и Node получают такие же изолированные окружения (cages), а также полное самообслуживание — собственную версию и расширения PHP, кэш объектов Redis, стейджинг и перенос на рабочий сервер.
Для рабочих нагрузок, требующих более строгой изоляции, чем обеспечивает оптимизированный по плотности вариант по умолчанию, доступна полная изоляция «контейнер на сайт» в виде варианта драйвера инициализации: тот же движок, та же панель управления, другое размещение, но с более высокими накладными расходами.
Изоляция LVE и CageFS, проактивный WAF и сканирование на наличие вредоносного ПО включены для каждого клиента, поскольку зараженный или вышедший из-под контроля сайт угрожает своим соседям и репутации нашего IP-адреса. Очистка от вредоносного ПО в один клик и расширенные уровни защиты являются платными дополнениями — базовый уровень предоставляется бесплатно.
Коммерческий соблазн в хостинге состоит в том, чтобы продавать безопасность по уровням: размещать недорогих клиентов на общем сервере с мягкими лимитами и брать дополнительную плату с тех, кому важна изоляция. Мы этого не делаем, поскольку скомпрометированный сайт именно того клиента, который не заплатил за изоляцию, становится проблемой для всех остальных.
Мы размещаем более 700 000 сайтов по всему миру на базе парка серверов, где высокая плотность является основой всей экономической модели. Это работает только в том случае, если базовая изоляция безусловна. Изоляция на уровне ядра, приватное представление файловой системы, регулирование нагрузки на базы данных для каждого сайта и индивидуальный PHP для каждого сайта — это плата за работу в таких масштабах без риска взаимного влияния. Поэтому они включены для всех, на каждом тарифном плане, с самого первого развернутого вами сайта.
В результате вы получаете платформу, которая работает предсказуемо даже в случае сбоев у других. За ней стоят гарантия непрерывной работы 99,99%, неизменяемые резервные копии на сторонней площадке для каждого сайта с протестированным восстановлением и полный журнал аудита каждого действия по обеспечению соблюдения правил на ваших сайтах.
Изоляция разработана специально для предотвращения подобных ситуаций. LVE ограничивает использование процессора, оперативной памяти, операций ввода-вывода (IO), IOPS и процессов для каждого сайта, MySQL Governor регулирует использование баз данных для каждого сайта, а воркеры LSAPI изолированы в рамках собственного окружения сайта — благодаря этому резкий скачок трафика или тяжелые запросы соседа ограничиваются его лимитом, а не вашим. Каждая ошибка регистрируется отдельно для каждого сайта, и механизм политик может автоматически ужесточать лимиты ресурсоемких сайтов.
Честный ответ — локализация угрозы, а не гарантия. CageFS предоставляет каждому пользователю изолированное представление файловой системы: скомпрометированный пользователь не может видеть других пользователей, их сайты или конфиденциальные системные файлы, а подтвержденный случай вредоносного ПО или фишинга переводит этот сайт в карантин: отключение от сети, файлы заблокированы, выполнение запрещено, изолирован для криминалистического анализа. Именно это ограничивает радиус поражения. Наряду с этим мы запускаем сканирование на наличие вредоносного ПО и проактивный WAF на каждом сайте, а также неизменяемые внешние резервные копии для каждого сайта с проверенным восстановлением, поэтому восстановление никогда не зависит от состояния затронутой машины.
Это включено в каждый тарифный план. Изоляция LVE и CageFS, проактивный WAF и сканирование на наличие вредоносного ПО являются базовыми для каждого клиента, поскольку зараженный или вышедший из-под контроля сайт угрожает своим соседям и репутации наших IP-адресов — мы не можем разумно оставить это необязательным. В качестве дополнения продаются очистка и устранение вредоносного ПО в один клик, а также расширенные уровни защиты, такие как улучшенные правила WAF, приоритетное сканирование, управление ботами и более высокие уровни защиты от DDoS.
Он ограничивается внутри своей изолированной среды, а не отключается. Ограничение означает более жесткие лимиты LVE и ограничение частоты запросов, при этом сайт остается доступным и работает, а после устранения причины восстанавливается автоматически. Вы получаете уведомление с указанием причины, переход регистрируется с подтверждающими данными, и его можно обжаловать. Если нагрузка вызвана реальным ростом, а не сбоем, решением является переход на более крупный тариф, а не постоянное ограничение.
Нет — на приостановленном сайте отображается брендированная страница-заглушка с указанием причины (оплата, техническое обслуживание или нарушение правил), чтобы это выглядело как запланированное действие, а не поломка. Приостановка отменяется после оплаты, исправления проблемы или рассмотрения апелляции. Карантин строже и работает иначе: он отменяется только после очистки и проверки, и никогда — автоматически.
В Zinn® Managed WordPress — да: CloudLinux alt-PHP предоставляет каждому сайту собственный селектор версий PHP, собственные расширения, такие как imagick, gd и redis, а также собственные усиленные настройки, ограниченные лимитами LVE этого сайта. Хостинг Footprint-Free намеренно использует более стандартизированную и строго ограниченную конфигурацию для каждого сайта, поскольку разнообразие конфигураций само по себе оставляет след (footprint).
Да. CloudLinux LVE и CageFS являются оптимизированным по плотности стандартом по умолчанию для обеих линеек продуктов. Для рабочих нагрузок, требующих более жестких границ, предлагается полная изоляция на уровне контейнера для каждого сайта в качестве варианта драйвера инициализации — тот же движок и уровень управления с другим размещением, жертвуя накладными расходами ради более надежного разделения.
Да. Footprint-Free хостинг начинается с 14-дневного пробного периода без привязки карты, охватывающего до пяти сайтов — без платежных данных и без обязательств. Разверните несколько сайтов, направьте на них нагрузку и посмотрите, как ведут себя клетки (cages), прежде чем принять решение.
Начните 14-дневный пробный период без привязки карты на Footprint-Free хостинге: до пяти сайтов, никаких платежных данных и обязательств. Изоляция на уровне ядра, проактивный WAF и сканирование на наличие вредоносного ПО включены с первого же развертывания.
Начать бесплатно