Sayt darajasidagi izolyatsiya
Izolyatsiya hodisa va avariya o‘rtasidagi farqdir. Biz xosting qiladigan har bir sayt o‘zining CPU, RAM, IO va jarayon cheklovlari, o‘zining CageFS fayl tizimi ko‘rinishi, o‘zining PHP versiyasi va o‘zining ma'lumotlar bazasi cheklovchisiga ega bo‘lgan yadro darajasidagi CloudLinux LVE katakchasi ichida ishlaydi. Hujumga uchragan, buzilgan yoki shunchaki og‘ir so‘rovni bajarayotgan sayt turgan joyida cheklanadi — va izolyatsiya asosi har bir rejaga kiritilgan, sizga qo‘shimcha yangilanish sifatida sotilmaydi. Mavjudlik: sayt bo‘yicha ma'lumotlar bazasini cheklash va sayt bo‘yicha resurs statistikasi hozirda ishlab chiqilmoqda va hali mavjud emas. Bu yerda tasvirlangan qolgan barcha narsalar hozirda ishga tushirilgan.
Ishchi guruh CloudLinux OSʼda ishlaydi, u ko'p ijaralilikni to'g'ridan-to'g'ri yadroning o'ziga joylashtiradi. Har bir sayt Engil Virtual Muhit — LVE bilan ta'minlanadi, bu shunchaki yumshoq kelishuv emas, balki qattiq chegara hisoblanadi. Sayt o'z katakchasi ichida qiladigan hech qanday harakat boshqa birovning byudjetiga ta'sir qila olmaydi.
LVE har bir sayt uchun CPU, RAM, IO, IOPS, jarayonlar va kirish jarayonlarini mustaqil ravishda cheklaydi. Qachonki sayt o'z chegarasidan oshib ketsa, u o'zining "kaji" ichida cheklanadi — xatolik o'sha sayt uchun qayd etiladi va uning yonidagi boshqa saytlar hech qanday ta'sirsiz o'z ishini davom ettiradi.
Ilmoqda qolgan plagin, yomon yozilgan cron vazifasi yoki so‘rov nuqtasini tinimsiz so‘rovlar bilan o‘qqa tutuvchi skaner birinchi navbatda saytning o‘z jarayoni va kirish jarayoni cheklovlariga duch keladi. Bitta sayt shunchaki butun mashina resurslarini egallab qo‘ya olmaydi.
Har bir kletka uchun kirish jarayonlari cheklanganligi sababli, bitta saytga qaratilgan hujum xostda cheksiz ishni ocha olmaydi. LiteSpeed ulanish va so‘rovlarni cheklash hamda Imunify360 tarmoq xavfsizlik devori uning oldida turadi, shuning uchun hujum faqat nishonning muammosi bo‘lib qoladi.
Har bir LVE xatosi har bir sayt uchun qayd etiladi va platformaning siyosat mexanizmiga uzatiladi, u cheklovlarni avtomatik ravishda kuchaytirishi yoki yumshatishi mumkin. Sayt nima uchun va qachon cheklanganini ko'rasiz — bosqichma-bosqich, qaytariladigan va jurnalga yozilgan.
Resurs izolyatsiyasi saytning shovqinli bo'lishiga chek qo'yadi. Fayl tizimi izolyatsiyasi esa uning boshqalarning ishiga burun tiqishiga yo'l qo'ymaydi. CageFS har bir foydalanuvchiga mashinaning maxsus, cheklangan ko'rinishini taqdim etadi.
CageFS ostida har bir mijoz faqat oʻzining fayllarini va minimal, tozalangan tizim ikkilik fayllari toʻplamini koʻradi hamda boshqa mijozlarni, boshqa mijozlarning saytlarini yoki maxfiy tizim fayllarini koʻra olmaydi. Bitta buzib kirilgan hisob raqami serverdagi boshqa barcha hisob raqamlari uchun oʻqish nuqtasiga aylanadigan odatiy umumiy xostingdagi nosozlik rejimi yadro darajasida yopiladi.
Bu narsa eng ko'p biron xatolik yuz bergan kunda muhim ahamiyat kasb etadi. Agar sayt eskirgan plagin, o'g'irlangan hisob ma'lumotlari yoki zaif mavzu orqali buzib kirilsa, ta'sir doirasini faqat bitta katak bilan cheklab turadigan narsa bu — CageFS. Bizning xavfsizlik spetsifikatsiyamiz so'zni ataylab tanlaydi: CageFS buzilishlarni cheklaydi. Cheklash — bu to'g'ri da'vo va u hodisa faqat bitta saytni tozalash bilan tugashini yoki butun tizimni qamrab olishini hal qiladi.
Zaxira nusxalari ham xuddi shu chegarani mustahkamlaydi. Har bir sayt uchun zaxira nusxalari o'zgarmas, tashqi va ishlayotgan klasterdan ajratilgan bo'lib, sinovdan o'tgan tiklash jarayonlariga ega. Shuning uchun bitta saytda eng yomon holatdagi buzilish yuz berganda ham, u ishlayotgan mashina holatiga bog'liq bo'lmagan toza, mustaqil tiklanish yo'liga ega bo'ladi.
Veb-darajadagi izolyatsiya – bu faqat ishning yarmi. WordPress klasterida serverning sekin ishlashiga ko‘pincha trafik emas, balki bitta saytning so‘rovlari sabab bo‘ladi. Bu holat alohida hal etiladi.
CloudLinux MySQL Governor ma'lumotlar bazasidan foydalanishni har bir sayt uchun cheklaydi, shuning uchun bitta saytning og'ir so'rovlari boshqa barchaning serverini sekinlashtira olmaydi. Bu sekinlashuvga qarshi boshqaruv vositasi bo'lib, shovqinli sayt o'ziga cheklov qo'yilganini sezadimi yoki yo'qmi, baribir ishlayveradi.
Klaster WordPress ish yuklamalari uchun sukut bo'yicha meros qilib olinmagan holda tanlangan MariaDB (yoki Percona) da ishlaydi, uning ustida esa har bir ijarachi uchun adolatlilik qatlami sifatida Governor joylashgan.
Sayt başına taqdim etiladigan Redis obyekt keshlanishi maʼlumotlar bazasiga yetib bormasidan oldin takroriy oʻqishlarni oʻziga singdiradi, bu esa Governor birinchi navbatda tartibga solishi kerak boʻlgan bosimni kamaytiradi. Keshlanish va izolyatsiya yagona tizim sifatida ishlaydi.
CloudLinux alt-PHP har bir saytga o'zining PHP versiya selektorini, o'zining kengaytmalarini (imagick, gd, redis va boshqalarni) va o'zining xavfsiz sozlamalarini taqdim etadi — bunda LSAPI ishchi jarayonlari o'sha saytning LVE cheklovlari bilan chegaralanadi, shuning uchun PHP konkurensiyasi qafasdan qochish emas, balki uning bir qismidir.
Izolyatsiya muammo qanchalik tarqalishini hal qiladi. Majburlash esa bundan keyin nima bo'lishini belgilaydi. Biz oddiy yoqish/o'chirish to'xtatib turish funksiyasini bardoshli ish jarayonlari bilan boshqariladigan va LiteSpeed, LVE hamda Imunify orqali ishchida amalga oshiriladigan holat mashinasi bilan almashtirdik.
Izolyatsiya uchta tarifdan keyin paydo bo‘ladigan rejadagi funksiya emas. Bu asosiy infratuzilmaning xususiyati bo‘lib, u bitta WooCommerce do‘konini yoki ikki mingta tarmoq saytini boshqarayotganingizdan qatʼi nazar, bir xil bo‘ladi.
Ommaviy va PBN tarmoqlari bir xil LVE va CageFS infratuzilmasida, qidiruv tizimi izidan xabardor CDN akkauntini aylantirish va statik HTML yetkazib berish bilan birga ishlaydi. Izolyatsiya zichlikni xavfsiz qiladi: saytlar taqdirni emas, balki bitta parkni o'rtoqlashadi.
Boshqariladigan WordPress, WooCommerce, PHP, statik va Node saytlari bir xil muhofaza va to'liq o'z-o'ziga xizmat ko'rsatish imkoniyatini oladi — o'zingizning PHP versiyangiz va kengaytmalaringiz, Redis obyekt keshidan foydalanish, sinov muhiti va asosiy saytga o'tkazish imkoniyati.
Zichlikka optimallashtirilgan standart variantdan kuchliroq chegarani talab qiluvchi ish yuklari uchun har bir sayt uchun to'liq konteyner izolyatsiyasi ta'minot drayveri varianti sifatida taklif etiladi: bir xil dvigatel, bir xil boshqaruv paneli, boshqa joylashuv, yuqori qo'shimcha xarajatlar bilan.
LVE va CageFS izolatsiyasi, proaktiv WAF va zararli dasturlarni skanerlash har bir mijoz uchun kiritilgan, chunki infeksiyalangan yoki nazoratdan chiqqan sayt qo'shnilari va bizning IP obro'mizga xavf tug'diradi. Bir chertishda zararli dasturlarni tozalash va ilg'or himoya darajalari pullik qo'shimchalar hisoblanadi, baza esa unday emas.
Xostingda biznesni yo'lga qo'yishdagi vasvasa xavfsizlikni bosqichma-bosqich sotishdan iborat: arzon mijozlarni yumshoq cheklovlarga ega umumiy serverga joylashtirish va himoyaga muhtoj bo'lganlardan haq olish. Biz bunday qilmaymiz, chunki izolyatsiya uchun pul to'lmagan mijozning sayti buzib kirilganda, aynan o'sha sayt boshqalarning barchasi uchun muammoga aylanadi.
Biz butun dunyo bo'ylab 650 000 dan ortiq saytlarni joylashtiramiz, bu yerda zichlik butun iqtisodiy taklif hisoblanadi. Bu faqatgina uning ostidagi izolyatsiya shartsiz bo'lgandagina ishlaydi. Yadro darajasidagi kataklar, shaxsiy fayl tizimi ko'rinishi, har bir sayt uchun ma'lumotlar bazasini cheklash va har bir sayt uchun PHP — bu umumiy taqdirlarsiz shunday miqyosda ishlashning narxidir, shuning uchun ular barcha uchun, har bir tarif rejasida, siz joylashtirgan birinchi saytdan boshlab yoqilgan.
Natijada boshqalarning og'ir kunlarida ham o'zini oldindan aytib bo'ladigan tarzda tutadigan platforma paydo bo'ladi. Uning ortida 99.99% ishlash kafolati, sinovdan o'tgan tiklash imkoniyatiga ega har bir sayt uchun o'zgarmas tashqi zaxira nusxalari va saytlaringizda bajarilgan har bir ijro harakatining to'liq audit tarixi turadi.
Izolyatsiya aynan shuning oldini olish uchun mo'ljallangan. LVE har bir sayt uchun CPU, RAM, IO, IOPS va jarayonlar sonini cheklaydi, MySQL Governor har bir saytdagi ma'lumotlar bazasi foydalanishini tartibga soladi va LSAPI ishchi jarayonlari saytning o'z qafasi bilan chegaralanadi — shuning uchun qo'shni saytdagi trafiging keskin o'sishi yoki og'ir so'rovlar yuki sizniki emas, faqat ularning belgilangan chegarasi doirasida cheklanadi. Har bir nosozlik har bir sayt bo'yicha qayd etiladi va siyosat mexanizmi shovqinli sayt chegaralarini avtomatik ravishda qat'iylashtirishi mumkin.
Samimiy javob kafolatdan ko'ra ko'proq cheklashdan iborat. CageFS har bir foydalanuvchiga ajratilgan fayl tizimi ko'rinishini taqdim etadi — buzib kirilgan foydalanuvchi boshqa foydalanuvchilarni, ularning saytlarini yoki maxfiy tizim fayllarini ko'ra olmaydi — va tasdiqlangan zararli dastur yoki fishing holati o'sha saytni karantinga o'tkazadi: oflayn, fayllar qulflangan, bajarilmaydi, sud ekspertizasi uchun ajratilgan. Zarar ko'lamini cheklaydigan narsa mana shu. Shuning bilan birga, biz har bir saytda zararli dasturlarni skanerlash va proaktiv WAF'ni, shuningdek, sinovdan o'tgan tiklash imkoniyatiga ega bo'lgan sayt bo'yicha o'zgarmas offsite zaxira nusxalarini ishga tushiramiz, shuning uchun tiklash hech qachon ishlatilayotgan mashinaning holatiga bog'liq bo'lmaydi.
U barcha tarif rejalariga kiritilgan. LVE va CageFS izolyatsiyasi, proaktiv WAF hamda zararli dasturlarni skanerlash har bir mijoz uchun asosiy talabdir, chunki zararlangan yoki nazoratdan chiqqan veb-sayt qo‘shni saytlarga va bizning IP-obro‘mizga tahdid soladi — biz buni ixtiyoriy qilib qo‘ya olmaymiz. Qo‘shimcha xizmat sifatida sotiladigan narsa bu bir marta bosish orqali zararli dasturlardan tozalash va bartaraf etish, shuningdek, yaxshilangan WAF qoidalari, ustuvor skanerlash, botlarni boshqarish va yuqori darajadagi DDoS darajalari kabi ilg‘or himoya bosqichlaridir.
U o'chirilmagan, balki o'z qafasida cheklangan. Cheklangan degani sayt ishlayotgan va xizmat ko'rsatayotgan holda qattiqroq LVE chegaralari va tezlikni cheklash amalga oshirilishi bo'lib, sabab bartaraf etilgach u avtomatik ravishda tiklanadi. Sizga sabab bilan birga xabar beriladi, o'tish jarayoni dalillari bilan qayd etiladi va uning ustidan shikoyat qilish mumkin. Agar yuklama nosozlik emas, balki haqiqiy o'sish bo'lsa, yechim doimiy cheklov emas, balki kattaroq tarif rejasidir.
Yo‘q — to‘xtatib turilgan veb-sayt brendlashtirilgan, sababga ko‘ra maxsus saqlash sahifasini (to‘lov, texnik xizmat ko‘rsatish yoki suiiste'mol qilish) ko‘rsatadi, shunda u buzilgan emas, balki qasddan qilingandek ko‘rinadi. To‘xtatib turish to‘lov, tuzatish yoki apellyatsiya asosida bekor qilinadi. Karantin qat'iyroq va boshqacha ishlaydi: u faqat tozalash va ko'rib chiqishdan keyingina bekor qilinadi, hech qachon avtomatik ravishda emas.
Zinn® Managed WordPress da, ha — CloudLinux alt-PHP har bir saytga oʻzining PHP versiya tanlagichini, imagick, gd va redis kabi oʻz kengaytmalarini hamda oʻzining himoyalangan sozlamalarini beradi, ularning barchasi shu saytning LVE chegaralari bilan cheklangan. Footprint-Free Hosting ataylab standartlashtirilgan, har bir sayt uchun qulflangan konfiguratsiyani ishga tushiradi, chunki konfiguratsiya xilma-xilligining oʻzi bitta footprint hisoblanadi.
Ha. CloudLinux LVE va CageFS ikkala mahsulot liniyasi bo'ylab zichlik uchun optimallashtirilgan standart hisoblanadi. Qattiqroq chegarani talab qiladigan ish yuklari uchun har bir sayt uchun to'liq konteyner izolyatsiyasi provayder drayveri varianti sifatida taklif etiladi — bu bir xil dvigatel va boshqaruv paneli bo'lib, turli xil joylashuvga ega bo'lib, qo'shimcha xarajatlarni yanada kuchliroq ajratish evaziga almashtiradi.
Ha. Footprint-Free Hosting karta talab etmaydigan va beshtagacha saytni o'z ichiga olgan 14 kunlik sinov muddati bilan boshlanadi — to'lov ma'lumotlari talab qilinmaydi, majburiyat yo'q. Bir nechta saytni joylashtirib, ularga yuklama berib ko'ring va qaror qabul qilishdan oldin kletkalar qanday ishlashini sinab ko'ring.
To'lov kartasini talab qilmaydigan 14 kunlik sinov muddatini Footprint-Free Hosting'da boshlang — beshtagacha sayt, to'lov ma'lumotlari talab etilmaydi, majburiyatsiz. Yadrod darajasidagi izolyatsiya, proaktiv WAF va zararli dasturlarni skanerlash ilk joylashtirishdanoq kiritilgan.
Bepul boshlash