Ich muss mir eine sichere Konfiguration überlegen, mit der ich den Datenverkehr auf Basis von Hostnamen steuern kann.
Im Moment beschäftige ich mich beispielsweise mit einer kleinen Gruppe von Personen auf einer kleinen Maschine. Jede dieser Personen hat einen virtuellen Apache-Host mit konfiguriertem PHP, auf dem sie ihre benutzerdefinierten Webseiten hosten.
Ich habe Probleme, wenn sie anfangen, „unzuverlässige PHP-Plugins“ auf den besagten virtuellen Hosts zu verwenden. Ich habe alles versucht: disable_functions, suhosin, open_basedir, es ist ein Chaos.
Was ich brauche, ist vollständige Isolation. Ich möchte, dass jeder dieser Leute seine eigene physische oder virtuelle Maschine hat und ich oder der Hauptserver, der Port 80.443 überwacht, den Verkehr an bestimmte IPs und Ports „weiterleitet“ und den Schaden durch eine Sicherheitsverletzung minimiert.
Welche Gestaltungsmöglichkeiten habe ich hinsichtlich Aufwand und Preis?
Antwort1
Dies nur als Tipp:
Es klingt, als ob Sie mehrere Clients auf einem einzigen Server "apache / nginx" mit "virtuellem Host" haben. In diesem speziellen Fall empfehle ich die Verwendung von Docker mit der Verwendung von "docker-compose" und Sie können "Netzwerke„privat und isoliert zu minimalen Kosten. (Ich denke, dass die Kostensenkung im Moment Priorität haben wird)
Auf diese Weise kann jeder Kunde seine eigenen PHP-Module erstellen, seine eigenenPHP-Version, jeder Client kann sich mit seinemeigener Port und SSH-Serverseparat, damit sie Zugriff haben, um ihre Dateien zu ändern, neben vielen anderen Dienstprogrammen
Und je nach der von Ihnen benötigten Architektur können Sie eine einzelne Datenbank auf der realen Maschine verwalten (was ich für IOPS und Kernel-Zugriffe empfehle) oder Sie können die Datenbanken auch pro Client isoliert halten (Vorsicht ... wenn sie INNODB und nicht MYISAM verwenden, kann der Verbrauch jedes MySQL-Servers je nach Konfiguration von Cache zu RAM ausgelöst werden).
Ich wünsche Ihnen viel Erfolg bei Ihrem Projekt