Auf einem Shared-Hosting-Server teilen sich Hunderte Konten dasselbe System. Daraus ergeben sich zwei Risiken: eine Website, die alle Ressourcen an sich reißt und die anderen ausbremst, und eine kompromittierte Website, die als Sprungbrett zu ihren Nachbarn dient. CloudLinux, das bei Hostern mit cPanel, Plesk oder DirectAdmin weit verbreitet ist, löst beide Probleme mit zwei getrennten Komponenten.
LVE: Limits pro Konto
LVE (Lightweight Virtual Environment) ist eine Kernel-Technologie, die jedes Konto in einen eigenen Ressourcen-Container steckt. Die CloudLinux-Dokumentation beschreibt die wichtigsten Limits:
- SPEED: der CPU-Anteil, in Prozent eines Kerns;
- PMEM: der physische Arbeitsspeicher; wird er überschritten, können Prozesse beendet werden und 500- oder 503-Fehler auftreten;
- IO und IOPS: der Festplattendurchsatz und die Zahl der Operationen pro Sekunde; Prozesse werden gebremst, nicht gestoppt;
- EP (Entry Processes): gleichzeitige Zugriffe auf den Container, etwa PHP-Anfragen, SSH-Sitzungen oder Cronjobs; darüber hinaus liefert die Website einen Fehler 508 „Resource Limit Reached“, ohne die anderen Websites zu beeinträchtigen;
- NPROC: die Gesamtzahl an Prozessen und Threads.
Zusätzlich lassen sich auf der Partition /home Limits für Inodes festlegen, also für die Anzahl der Dateien.
CageFS: ein Käfig pro Benutzer
CageFS ist ein virtualisiertes Dateisystem: Laut Dokumentation sperrt es jeden Benutzer in einen eigenen Käfig, in dem er andere Benutzer weder sehen noch erkennen kann, nicht einmal ihre Namen. Die Datei /etc/passwd ist dort reduziert, jeder Benutzer hat sein eigenes /tmp, und nur die vom Hoster vorgesehenen Programme stehen zur Verfügung. Ein Schadskript, das auf einer Website abgelegt wurde, hat damit deutlich weniger Zugriff auf den Rest des Servers.
CageFS ist außerdem die Grundlage für den PHP Selector von CloudLinux, mit dem jedes Konto seine PHP-Version und seine Module selbst wählt. Es ergänzt die Maßnahmen in PHP selbst und in den PHP-FPM-Pools, ersetzt sie aber nicht; mehr dazu in unserem Artikel, wie du PHP auf deinem Hosting härtest.
CloudLinux und WordPress
- Ein Fehler 508 bedeutet, dass dein Konto sein Limit an gleichzeitigen Prozessen erreicht hat: aggressive Bots, ein langsames Plugin, fehlender Seiten-Cache oder sich stapelnde geplante Aufgaben. Sieh dir zuerst die Ressourcennutzung im Control Panel an, bevor du den Tarif wechselst.
- Unnötige Bots zu blockieren und Seiten zu cachen senkt die Zahl der PHP-Anfragen, die auf diese Limits angerechnet werden, ganz erheblich.
- Die Isolation schützt nicht deine eigene Website: Sie bremst die Ausbreitung eines Hacks zwischen Konten, doch ein verwundbares WordPress bleibt angreifbar. Auch Zugriffe per SSH oder SFTP laufen innerhalb des Käfigs.
Ein auf diese Weise isoliertes Shared Hosting zu wählen, ist ein gutes Kriterium, aber nur eine Schutzschicht unter mehreren.