Запуск моего собственного сервера с «фоном для разработчиков»?

Question

У меня на данный момент запущено несколько разных проектов - несколько приложений PHP и несколько экземпляров WordPress, которые в настоящее время хранятся в компании, предоставляющей услуги веб-хостинга.Срок действия контракта подходит к концу, и я бы соврал, если бы не сказал, что действительно подумывал о том, чтобы переключиться на VPS-сервер в облаке, и цены стали действительно отличными.Я полностью влюблен в то, что могу увеличивать или уменьшать производительность, когда спрос увеличивается или уходит, и тем самым сокращать расходы.

С моим опытом работы в качестве разработчика PHP, с небольшим намекомзнания Linux (Ubuntu), я очень обеспокоен безопасностью, если мне нужно запустить свой собственный VPS.

Конечно, я могу устанавливать и запускать приложения с моими текущими знаниями (и некоторой помощью Google), но реалистично ли ожидать в настоящее время, что мой сервер (на самом деле LAMP) будет защищен, если будет готов из коробки и обновлять его?

Спасибо

Answer 1

Поддержание вашего сервера - это еще одна вещь, о которой нужно беспокоиться, и если вы разработчик, вам, вероятно, следует сосредоточиться на разработке. Тем не менее, необходимо иметь финансовый смысл, чтобы идти управляемым путем. Если вы просто работаете над игрушечными проектами (у меня есть VPS за 20 долларов в месяц, который я использую для своих личных проектов и домашней страницы, и это довольно просто), или если вы только начинаете, у VPS есть большое преимущество в том, чтобы быть дешевым и давать вам много контроля над вашей средой. Вы даже можете уменьшить некоторые риски, сохраняя агрессивные резервные копии, поскольку легко быстро развернуть сервер.

Но, если вы достигнете точки, когда это не повлияет на вашу прибыльность, вам, вероятно, следует серьезно подумать о том, чтобы заставить кого-то позаботиться об инфраструктуре для вас, либо купив услуги управляемого хостинга, либо наняв кого-нибудь для этого. для тебя. Все зависит от того, что вы можете позволить себе потерять , если вас укоренили, и сколько времени вы можете позволить себе потратить на управление и восстановление серверов, а не на кодирование.

Answer 2

Я бы не стал.Мы сделали то же самое, потому что неуправляемые VPS слишком дешевы, но если вам действительно не нужно устанавливать приложения или библиотеки, которые не являются частью стандартных настроек общего хоста, по моему опыту, будучи чистым разработчиком, затрачиваемое времяникогда не стоит.

Если, конечно, это не ваш собственный крошечный блог или вы просто хотите поиграть.

Но представьте, что вы (или какую бы автоматизацию вы не использовали) обновите php, и дляпо каким-то причинам это дает сбой (или, что еще хуже, вы делаете вашу текущую установку непригодной для использования) - вы достаточно хороши, чтобы справиться с этим?И если так, сколько времени это займет у вас?У вас есть друг, который может помочь?

Мы, небольшая компания, постепенно избавляемся от наших VPS и возвращаемся к нашему пакету посредников, который размещается у хорошего хостинг-провайдера.

Хороший вопрос.

Answer 3

Вы должны рассматривать облачные вычисления как показатель доступности, а не стоимости. Вы можете быть серьезно удивлены стоимостью в конце. Я уже выбрал использование VPS-хостинга. Хороший хостинг VPS стоит дорого, в наши дни вы можете найти дешевый выделенный хост по сравнению с VPS. Посмотрите на hivelocity.com - мне нравятся их услуги.

Что касается безопасности, большинство хост-компаний VPS заботятся о безопасности на уровне инфраструктуры, а некоторые могут использовать антивирусное программное обеспечение для файлов. На выделенном хосте вам нужно позаботиться о себе или о сервисах поддержки, управляемых по контракту: tradoff. Сервер LAMP везде дешев. Вы можете нанять частный VPS и иметь некоторую безопасность, вы также можете рассчитывать на такие услуги, как DNS-хостинг - это сложно настроить. VPS может стать вашим первым шагом, так как вы сомневаетесь и не имеете опыта хостинга. После этого, когда вы узнаете о преимуществах наличия собственного сервера, вы перейдете прямо на выделенный сервер.

Answer 4

Что касается безопасности, я успешно использовал Amazon EC2 для ряда вещей. Это не самое дешевое, но вполне приемлемое в общих хранилищах данных между экземплярами, подключении к S3, работе хостов в разных хост-центрах и т. Д., Группировании хостов в разных кластерах и т. Д.

В них встроен брандмауэр, где вы можете отключить все, кроме, скажем, TCP-трафика через порт 22 для SSH и 80 для веб-соединения. Это в сочетании с чем-то вроде Ubuntu, где вы можете легко запускать обновления, не беспокоясь о поломке, вероятно, все, что вам нужно с точки зрения безопасности.

Answer 5

Вы должны сделать это для развлечения и в учебных целях.Кроме этого не надо;Вы тратите свое время и время других людей.

Я говорю это потому, что потратил впустую серьезное время на настройку экземпляра EC2 для размещения моего SVN-сервера и некоторых других вещей.Я имею в виду, я любил настраивать все и возиться с сервером;Я многому научился, особенно потому, что никогда раньше не делал ничего для сервера LINUX.Однако, оглядываясь назад, я потратил кучу времени и вынужден был держать баггина @Jordan S. Jones за помощью.

Answer 6

Вместо того, чтобы дать вам совет о том, что вы должны сделать, или рассказать, что бы сделал I , я просто собираюсь ответить на ваш вопрос "реалистично ли в настоящее время ожидать, что мой сервер (LAMP, на самом деле) будет оставаться в безопасности, запуская нестандартные вещи и обновляя их? " Ответ на этот вопрос, на мой взгляд, в основном да.

dietbuddha, конечно, прав: то, что составляет приемлемый уровень безопасности, зависит от контекста, но для всех целей, кроме наиболее важных для безопасности, если вы используете текущий (то есть поддерживаемый) дистрибутив с нормальными значениями по умолчанию, и следите за обновлениями безопасности, тогда все должно быть в порядке.

У меня есть два VPS, каждый из которых в настоящее время работает на сервере Ubuntu 10.04. На одном из них я провожу некоторое время, устанавливая и настраивая тигра, трипл-проволоку и принимая различные другие меры безопасности. С другой стороны, я просто установил fail2ban, установил автоматические обновления безопасности и оставил все как есть. Они работают уже несколько лет, и у меня тоже не было проблем с этим.

Answer 7

Для стека ламп я бы, наверное, этого не делал.Это был бы другой случай, если бы вы использовали провайдера Platform as-a-service, такого как Windows Azure - по моему собственному опыту, есть минимальные эксплуатационные расходы, и вы просто загружаете приложение, и оно работает в vm (и да, оно поддерживает php).

Но для Linux нет таких провайдеров, о которых я знаю, что означает, что вам придется управлять операционной системой, платформами приложений, веб-сервером и всем остальным, что вы устанавливаете в экземпляре.Я бы не стал делать это сам.Я бы рассмотрел варианты, как нанять человека с соответствующим опытом, чтобы сделать это для меня, в сравнении со стоимостью управляемых услуг от провайдера VPS и пойти с одним из этих двух.

Answer 8

Если я правильно вас понял, вы рассматриваете возможность перехода с веб-хостинга на VPS и задаетесь вопросом, есть ли у вас навыки, чтобы обеспечить безопасность ОС теперь, когда она находится под вашим контролем?

Полагаю, это открытый вопрос. Вы переходите из управляемой среды в неуправляемую среду, и от того, поддерживаете ли вы свою экологическую безопасность, зависит только от вас. Если вы используете свой собственный сервер, вам нужно убедиться, что пароли по умолчанию не используются (для базы данных, ОС и любых служб сверху), патчи быстро идентифицируются и применяются, хост-брандмауэры настроены правильно и подозрительная активность оповещения немедленно отправляются вам. Подождите, ваш нынешний веб-хостинг делает это для вас? Без подробностей о вашем текущем веб-хостинге и планируемом VPS вы сравниваете яблоки с апельсинами.

Кстати, я был бы несколько обеспокоен безопасностью моего сервера LAMP, но, честно говоря, я был бы гораздо больше обеспокоен ошибками разработки (SQL-инъекция, XSS) и пакетами, запущенными поверх моего сервера (пароли по умолчанию + ошибки dev).

Answer 9

То, что приемлемо с точки зрения безопасности, будет отличаться в зависимости от вовлеченных людей, того, что вы хотите обезопасить, и требований к продукту / услуге.

Для сервера разработки меня обычно не волнует,поэтому я обычно делаю основную защиту сервера, а затем не обращаю на это внимания.Больше всего меня беспокоит то, что кто-то получает сессию и использует мои циклы для выполнения чего-либо.Обычно меня не волнует IP, так что это не проблема для меня.

Если я устанавливаю коробку, которая должна соответствовать Sarbanes-Oxley, Safe Harbor или другим стандартам PII / PCI, которым я должен соответствоватьЯ бы, вероятно, пошел управляемым только потому, что не хочу дополнительной нагрузки по безопасности.

Где-то посередине лежит суждение, основанное на том, хочу ли я выделить необходимое время для защиты сервера до уровня, который я хочуобеспечено в.Если я не хочу делать это сам, я заплачу кому-то, чтобы он это сделал.

Я был бы осторожен, предполагая, что вы получаете определенный уровень безопасности только потому, что вы платите кому-то за управление вашим сервером.Я встречал множество магазинов, где безопасность на самом деле запоздалая мысль.