Izolim për çdo faqe
Izolimi është ndryshimi midis një incidenti dhe një ndërprerjeje të plotë të shërbimit. Çdo faqe që ne presim funksionon brenda një kafazi CloudLinux LVE në nivel bërthame me kufijtë e vet maksimalë për CPU, RAM, IO dhe procese, pamjen e vet të sistemit të skedarëve CageFS, versionin e vet të PHP-së dhe kufizimin e vet të bazës së të dhënave. Një faqe që sulmohet, komprometohet ose thjesht ekzekuton një kërkesë tejet ngarkuese izolohet aty ku ndodhet — dhe kjo bazë izolimi përfshihet në çdo plan, pa iu shitur juve si një përmirësim me pagesë shtesë. Disponueshmëria: kufizimi i bazës së të dhënave për çdo faqe dhe statistikat e burimeve për çdo faqe janë në zhvillim aktiv e sipër dhe nuk janë ende të disponueshme. Çdo gjë tjetër e përshkruar këtu është funksionale që sot.
Flota e punuesve funksionon me CloudLinux OS, i cili e zbret ndarjen me shumë përdorues thellë në bërthamë. Çdo sajt përfiton një Mjedis Virtual të Lehtë — një LVE — i cili përbën një kufi të prerë dhe jo thjesht një konventë mirësjelljeje. Asgjë që një sajt bën brenda kafazit të vet nuk mund të shpenzohet nga buxheti i dikujt tjetër.
LVE kufizon në mënyrë të pavarur CPU, RAM, IO, IOPS, proceset dhe entry-processes për çdo sajt. Kur një sajt e tejkalon kufirin maksimal, ai ngadalësohet brenda cage të tij — defekti regjistrohet për atë sajt, ndërsa sajtët fqinje vijojnë funksionimin pa u ndikuar.
Një shtojcë e bllokuar në një lak, një punë cron e shkruar keq ose një robot kërkimi që godet vazhdimisht një pikë fundore, arrin fillimisht kufijtë e vetë proceseve dhe proceseve hyrëse të faqes. Një faqe e vetme thjesht nuk mund ta konsumojë të gjithë makinën.
Meqenëse proceset hyrëse janë të kufizuara për çdo kafaz, një vërshim i drejtuar drejt një faqeje nuk mund të hapë punë të pakufizuar në server. Kufizimi i lidhjeve dhe kërkesave nga LiteSpeed si dhe muri mbrojtës i rrjetit Imunify360 qëndrojnë përpara kësaj, kështu që sulmi mbetet vetëm problemi i shënjestrës.
Çdo defekt i LVE-së regjistrohet për çdo faqe dhe kalon në motorin e politikave të platformës, i cili mund t'i shtrëngojë ose t'i zbusë kufijtë automatikisht. Ju shihni pse një faqe është kufizuar dhe kur — e shkallëzuar, e kthyeshme dhe e regjistruar në ditar.
Izolimi i burimeve parandalon që një sajt të rëndojë sistemin. Izolimi i sistemit të skedarëve e ndalon atë të bëhet kureshtar. CageFS i jep çdo përdoruesi një pamje private dhe të kufizuar të makinës.
Nën CageFS, një qiramarrës sheh vetëm skedarët e tij dhe një grup minimal, të pastruar binarësh të sistemit — dhe nuk mund të shohë qiramarrësit e tjerë, faqet e qiramarrësve të tjerë apo skedarët e ndjeshëm të sistemit. Mënyra e zakonshme e dështimit të shared-hosting-ut, ku një llogari e komprometuar kthehet në një pozicion leximi mbi çdo llogari tjetër në server, bllokohet që në kernel.
Kjo ka më shumë rëndësi ditën kur diçka shkon keq. Nëse një faqe komprometohet — përmes një shtojce të vjetëruar, kredencialeve të vjedhura ose një teme të cenueshme — CageFS është ajo që e kufizon rrezen e dëmit vetëm në atë kafaz. Specifikimi ynë i sigurisë është i qëllimshëm për formulimin: CageFS përmban shkeljet. Kufizimi është pretendimi i ndershëm dhe është ai që vendos nëse një incident është një pastrim i një faqeje të vetme apo i të gjithë infrastrukturës.
Kopjet rezervë përforcojnë të njëjtin kufi. Kopjet rezervë për çdo faqe janë të pandryshueshme, të ruajtura jashtë vendndodhjes dhe të izoluara nga infrastruktura aktive, me rikthime të testuara, në mënyrë që edhe në rastin më të keq të komprometimit të një faqeje, të ekzistojë një rrugë e pastër dhe e pavarur rikuperimi që nuk varet nga gjendja e makinës ku ajo po ekzekutohej.
Izolimi i nivelit të uebit është vetëm gjysma e historisë. Në një flotë WordPress, ajo që më së shpeshti e bën një server të duket i ngadaltë janë kërkesat e një faqeje, jo trafiku i një faqeje. Kjo trajtohet në mënyrë eksplicite.
CloudLinux MySQL Governor kufizon përdorimin e bazës së të dhënave për çdo faqe, në mënyrë që kërkesat e rënda të një faqeje të mos ngadalësojnë serverin për të gjithë të tjerët. Ky është kontrolli kundër ngadalësimit dhe funksionon pavarësisht nëse faqja me ngarkesë të lartë e vëren ndonjëherë që po frenohet apo jo.
Flota ekzekuton MariaDB (ose Percona), e zgjedhur posaçërisht për ngarkesat e punës së WordPress dhe jo e trashëguar si parazgjedhje, me Governor që qëndron mbi të si shtresa e drejtësisë për çdo qiramarrës.
Një memorie e ndërmjetme objektesh Redis për çdo faqe përthith leximet e përsëritura para se ato të arrijnë në bazën e të dhënave, gjë që ul presionin që Governor duhet të arbitrojë që në fillim. Ruajtja e përkohshme dhe izolimi funksionojnë si një sistem i vetëm.
CloudLinux alt-PHP i jep secilës faqe përzgjedhësin e saj të versionit PHP, shtesat e saj (imagick, gd, redis dhe pjesën tjetër) dhe cilësimet e saj të përforcuara — me punues LSAPI të kufizuar nga kufijtë LVE të asaj faqeje, në mënyrë që njëkohësia e PHP-së të jetë pjesë e kafazit dhe jo një arratisje prej tij.
Izolimi përcakton se sa larg përhapet një problem. Zbatimi përcakton se çfarë ndodh më pas. Ne zëvendësuam pezullimin e prerë ndezur/fikur me një makinë gjendjesh, të drejtuar nga flukse pune të qëndrueshme dhe të zbatuar në punëtor nëpërmjet LiteSpeed, LVE dhe Imunify.
Izolimi nuk është një veçori plani që shfaqet tri nivele më lart. Është një veti e bazës, ndaj është identik pavarësisht nëse operoni një dyqan WooCommerce apo dy mijë faqe rrjeti.
Rrjetet masive dhe ato PBN ekzekutohen në të njëjtin substrat LVE dhe CageFS, së bashku me rrotullimin e llogarive CDN të ndërgjegjshme për footprint dhe shpërndarjen e HTML-së statike. Izolimi është ai që e bën dendësinë të sigurt: faqet ndajnë një flotë pa ndarë të njëjtin fat.
Faqet e menaxhuara WordPress, WooCommerce, PHP, statike dhe Node marrin të njëjtat kafaze plus vetëshërbim të plotë — versionin dhe shtesat tuaja të PHP-së, memorien e objekteve Redis, mjedisin staging dhe kalimin në mjedisin e drejtpërdrejtë.
Për ngarkesat e punës që kërkojnë një kufi më të fortë sesa ai i paracaktuar i optimizuar për densitet, izolimi i plotë kontejner-për-faqe ofrohet si një variant i drajverit të provizionimit: i njëjti motor, i njëjti plan kontrolli, vendosje e ndryshme, me kosto më të lartë shtesë.
Izolimi LVE dhe CageFS, WAF-i proaktiv dhe skanimi për malware janë të përfshira për çdo klient, sepse një sajt i infektuar ose jashtë kontrollit kërcënon fqinjët e tij dhe reputacionin e IP-së sonë. Pastrimi i malware-ve me një klikim dhe nivelet e avancuara të mbrojtjes janë shtesa me pagesë — baza nuk është e tillë.
Tundimi tregtar në shërbimet e pritjes është shitja e sigurisë me nivele: vendosja e klientëve ekonomikë në një server të përbashkët me kufij fleksibël dhe tarifimi i atyre që kërkojnë një kufi ndarës. Ne nuk veprojmë kështu, sepse pikërisht klienti që nuk ka paguar për izolim është ai, faqja e komprometuar e të cilit shndërrohet në një incident për të gjithë të tjerët.
Ne presim më shumë se 700.000 faqe në mbarë botën, në një flotë ku dendësia përbën të gjithë propozimin ekonomik. Kjo funksionon vetëm nëse izolimi në thelb është i pakushtëzuar. Kafazet në nivel bërthame, një pamje private e sistemit të skedarëve, kufizimi i bazës së të dhënave për çdo faqe dhe PHP për çdo faqe janë çmimi i funksionimit në atë shkallë pa një fat të përbashkët — kështu që ato janë aktive për këdo, në çdo plan, që nga faqja e parë që vendosni.
Rezultati është një platformë që funksionon në mënyrë të parashikueshme edhe gjatë ditëve të vështira të të tjerëve. Pas saj qëndron një garanci për funksionim të pandërprerë prej 99.99%, kopje rezervë të jashtme të pandryshueshme për çdo faqe me rikthime të testuara, dhe një regjistër i plotë auditimi për çdo veprim zbatimi të ndërmarrë në faqet tuaja.
Izolimi është projektuar posaçërisht për ta parandaluar këtë. LVE kufizon CPU-në, RAM-in, IO, IOPS dhe proceset për çdo faqe, MySQL Governor rregullon përdorimin e bazës së të dhënave për çdo faqe, dhe punuesit LSAPI janë të kufizuar nga vetë kafazi i faqes — kështu që një rritje e papritur e trafikut ose një ngarkesë e rëndë kërkesash e një fqinji kufizohet sipas tavanit të tyre, jo tuajit. Çdo gabim regjistrohet për çdo faqe, dhe motori i politikave mund të shtrëngojë automatikisht kufijtë e një faqeje të zhurmshme.
Përgjigjja e sinqertë është frenimi dhe jo një garanci. CageFS i jep çdo qiramarrësi një pamje të izoluar të sistemit të skedarëve — një qiramarrës i komprometuar nuk mund të shohë qiramarrësit e tjerë, faqet e tyre ose skedarët e ndjeshëm të sistemit — dhe një rast i konfirmuar me softuer keqdashës ose phishing e zhvendos atë faqe në karantinë: jashtë linje, skedarë të bllokuar, pa ekzekutim, e izoluar për ekspertizë ligjore. Kjo është ajo që kufizon rrezen e dëmit. Përkrah saj, ne ekzekutojmë skanim për softuer keqdashës dhe një WAF proaktiv në çdo faqe, plus kopje rezervë të pandryshueshme jashtë vendndodhjes për çdo faqe me rikthime të testuara, në mënyrë që rikuperimi të mos varet kurrë nga gjendja e makinës së përfshirë.
Është e përfshirë në çdo plan. Izolimi LVE dhe CageFS, WAF proaktiv dhe skanimi për malware janë bazë për çdo klient, sepse një faqe e infektuar ose jashtë kontrollit kërcënon fqinjët e saj dhe reputacionin e IP-ve tona — nuk mund ta lëmë këtë si opsionale në mënyrë të arsyeshme. Ajo që shitet si shtesë është pastrimi dhe riparimi i malware me një klikim, si dhe nivelet e avancuara të mbrojtjes, si rregullat e përmirësuara të WAF, skanimi me përparësi, menaxhimi i bot-eve dhe nivelet më të larta të mbrojtjes DDoS.
Ai kufizohet brenda kafazit të vet në vend që të fiket. I kufizuar do të thotë kufij më të rreptë LVE dhe kufizim i shpejtësisë ndërsa faqja mbetet aktive dhe funksionale, dhe rikthehet automatikisht sapo të eliminohet shkaku. Ju njoftoheni për arsyen, kalimi regjistrohet bashkë me provat përkatëse dhe mund të ankimohet. Nëse ngarkesa është rritje e mirëfilltë dhe jo një defekt, zgjidhja është një plan më i madh, jo një kufizim i përhershëm.
Jo — një faqe e pezulluar shfaq një faqe mbajtëse me markë, specifike për arsyen (faturim, mirëmbajtje ose abuzim), në mënyrë që të duket si e qëllimshme dhe jo e prishur. Pezullimi anulohet pas pagesës, rregullimit ose ankesës. Karantina është më e rreptë dhe funksionon ndryshe: ajo anulohet vetëm pas pastrimit dhe rishikimit, asnjëherë automatikisht.
Në Zinn® Managed WordPress, po — CloudLinux alt-PHP i jep çdo sajti zgjedhësin e tij të versionit të PHP-së, zgjerimet e veta si imagick, gd dhe redis, si dhe cilësimet e veta të siguruara, të gjitha të kufizuara nga limitet LVE të atij sajti. Footprint-Free Hosting ekzekuton me qëllim një konfigurim për çdo sajt më të standardizuar dhe të bllokuar, sepse vetë larmia e konfigurimeve përbën një gjurmë (footprint).
Po. CloudLinux LVE dhe CageFS është standardi i optimizuar për densitet në të dyja linjat e produkteve. Për ngarkesat e punës që kërkojnë një kufi më të rreptë, ofrohet izolim i plotë me kontejner për çdo faqe si një variant i drejtuesit të provizionimit — i njëjti motor dhe plan kontrolli me vendosje të ndryshme, duke shkëmbyer ngarkesën shtesë për një ndarje më të fortë.
Po. Hostimi Footprint-Free fillon me një periudhë prove 14-ditore pa kartë që mbulon deri në pesë faqe interneti — pa të dhëna pagese, pa asnjë detyrim. Vendosni disa faqe, aplikoni ngarkesë mbi to dhe shihni se si sillen kafazet përpara se të vendosni.
Fisni një provë 14-ditore pa kartë krediti në Footprint-Free Hosting — deri në pesë faqe interneti, pa të dhëna pagese, pa asnjë detyrim. Izolimi në nivel kernel-i, WAF-i proaktiv dhe skanimi i malware-it përfshihen që nga vendosja e parë.
Filloni falas