Projekte umziehen, wie und wo hosten?

[_Nick_]

Hallo, ich habe ein Problem bzw. eine Frage bezüglich eines Umzuges von 4 Domains mit laufenden Projekten. Ich weiß nicht ob das genau hier rein passt, eventuell müsste es ein Mod nochmal verschieben.

Also es geht um folgendes: Ich habe 4 Internetseiten mit Domains auf einem uralten dedizierten Server (celeron, 512 mb ram) von einem Freund laufen. Eigentlich läuft alles rund aber mein Kumpel will den alten Server loswerden, da mittlerweile selbst ein 10€ Vserver mehr Leistung bietet und zudem günstiger ist.

Nun frage ich mich wie ich recht günstig die vier Projekt hosten soll und die wo ich die Domains registrieren soll. Bisher hatte mein Kumpel mich stets kostenfrei auf dem Server gehostet.

Zu den Projekten:

1. kleine PHP-Website ohne DB mit rund 15.000-20.000 Besuchern im Monat + plus angehängtes Forum (smf)
2. Ein Joomla mit rund 3000 Besuchern im Monat
3. und 4. sind ein nochmal eine Joomla- und eine Wordpress-Seite, die zusammen mit ca. 1000 Besucher im Monat haben.

(Insgesamt hat alles so um die 5-7Gb traffic im Monat verursacht.)


Ich möchte gern recht günstig die Projekte weiterführen. Was könntet ihr mir empfehlen, wie ich die Sachen hosten soll? Dazu muss ich erwähnen das ich auch selbst so einen einfachen Vserver von Strato habe (Opteron irgendetwas mit 2GB maxram und 1GB zugesichert, 25GB HDD) auf dem schon 5 Projekte (2 Wordpress, 2 Joomla und was selbstgestricktes) laufen.

Ich überlege nun entweder alle Websites auf den Vserver zu spielen und die Domains günstig woanders zu holen oder so ein kleines Hosting-Paket mit 3 inkl. Domains von Alfahosting (Profi Packet) oder Strato (PowerPlus) zu nehmen und die viel besuchte Website auf den Vserver zu legen.

Mich würde dazu mal eure Meinung interessieren, reicht der Vserver vielleicht auch für alle Website? Wie würdet ihr das denn angehen? Die Projekte sind auch privater Natur deshalb ist auch kein Domain-Resellerpaket drinnen. Oder wisst ihr wo man Domain als Privatmann noch günstig bekommen kann?

Wichtig wäre auch das bei Webhosting, PHP-Einstellungen geändert werden können. Weil Wordpress und Joomla eben bestimmte Voraussetzungen haben.

 

[virtual2]

Sollte locker reichen.

 

[kqfflo]

Ich schließe mich virtal2 an. Der vServer sollte das wuchten können.

 

[d4f]

Gibt es einen Grund warum du es auf einer dedizierten Machine hosten willst?
Die Anforderungen der eingesetzten Software und des Traffics kann jeder Webspace decken...
Selbst mein Freehosting hat bedeutend staerker besuchte Webseiten, dass ein Anbieter also bei diesen Zahlen schon schlapp machen sollte halte ich fuer (fast) ausgeschlossen

Nicht nur dass es wahrscheinlich guenstiger ist, aber die ganze Administrationsarbeit entfaellt und der Anbieter ist verantwortlich fuer Performance, Backups, Serversicherheit, waehrend du dich deinen Projekten widmen kannst.

Fuer Domains kann ich inwx.de, schlundtech.de, do.de (in dieser Reihenfolge) empfehlen. Eine Domain beim Webspaceanbieter zu hosten setzt dich immer komplett in dessen "Macht", etwas das man bei halbwegs grossen Projekte vermeiden sollte.

 

[_Nick_]

virtual2 und catreaper ich danke euch für eure Einschätzung. Ich bin zwar schon eine Weile dabei, meinen Server zu administrieren und auch Websites zu gestalten und zu scripten. Die Einschätzung wieviele Website, welcher Größe man auf so einem "vHobel" laufen lassen kann, viel mir aber immer recht schwer.

Ist das bei euch eher so eine Bauchentscheidung oder kann man das auch richtig festmachen, anhand der Auslastung etc.? Wie geht man denn da vor? Befehle wie top zeigen mir zwar die Auslastung zur Laufzeit an aber so richtig Aufschluss gibt es einem ja auch nicht.

d4f Klar die Auslastung an sich, durch die Besucher, ist wahrscheinlich nicht so hoch wie bei viele großen Seiten. Webspace würde ich dennoch nur sehr ungern nehmen, weil es doch immer wieder zu Problemen führt. Könnte das jetzt anhand von 1und1 Dualhosting ausführen aber das führt zu weit.

Außerdem "schraube" ich gern selbst an dem "Hobel": so habe ich auf meinem virtuellen server apc und memcached laufen, diverse sicherheitseinstellungen und mod_security etc. Zudem hab ich dem Apachen feuer in seinem Tipi gemacht. Diese Freiheiten möchte ich ungern hergeben.

Weiterhin habe ich immer mal wieder mit ziemlich aggressiven Bots zu kämpfen die meine Website mit 50 wget Anfragen von unterschiedlichen IPs, in der Sekunde quasi lahmlegen. Das müsste ich bei Webhosting schlimmstenfalls aussitzen.

Zu dem Tipp mit do.de möchte ich dir danken, habe gestern meine erste Domain dort hin ungezogen und es klappt alles bestens. Werde dann bestimmt auch den Rest zu do.de umziehen.

 

[s24!]

Weiterhin habe ich immer mal wieder mit ziemlich aggressiven Bots zu kämpfen die meine Website mit 50 wget Anfragen von unterschiedlichen IPs, in der Sekunde quasi lahmlegen. Das müsste ich bei Webhosting schlimmstenfalls aussitzen.

Beim erwähnten Freehosting von (u.a.) d4f und mir wäre der Bot nicht lange in der Lage da etwas lahm zu legen; das müsste kein Kunde aussitzen.

Und ich hoffe doch sehr dass Paidhoster mindestens genauso gut gegen Floodings (etc.) geschützt sind wie wir.

 

[dev]

Beim erwähnten Freehosting von (u.a.) d4f und mir wäre der Bot nicht lange in der Lage da etwas lahm zu legen; das müsste kein Kunde aussitzen.

Darf ich nach einem Stichwort fragen, wie Ihr auf diese Art von Requestflooding reagiert? Per iptables oder erst am Werbserver via Modul? Oder viel weiter vorne am Router?

 

[s24!]

Natürlich darfst du, das Forum ist ja ein "Geben und Nehmen".

Es ist nicht besonders kompliziert eigentlich. Ein Tool liest das hostcombined-Logfile des Apache mit und extrahiert daraus die zugreifenden IP-Adressen. Weil eine Zeile ein Request ist, gestaltet sich das Zählen eher weniger schwierig. Werden jetzt X Requests¹ in Y Zeit² gemessen, gibt's für die IP-Adresse eine iptables-Regel³.
Im Hintergrund läuft die ganze Zeit ein Counter, welcher alle Y Sekunden die iptables-Chain wieder leert. Das hat einen schicken Vorteil: Wenn jemand seine X Requests innerhalb von 1/10 Y Sekunden abfeuert, bleibt er länger geblockt, weil der Counter noch nicht weit abgelaufen ist. Das Ding ist durch diese simple Methode also auch noch "fair"; ein normaler Besucher der durch weniger normale Websites viele Requests abfeuert landet dann nur wenige Sekunden auf der "Blacklist".

¹: Vorteil bei uns: Apache kriegt dank vorgeschaltetem Caching-Server gar nicht alle Anfragen ab - sondern vor allem die, die effektiv Ressourcen brauchen. Gibt der aus logischer Sicht weniger "intelligenten" Erkennung noch einen Hauch Intelligenz mit auf den Weg.
²: Mit den X-/Y-Werten muss man experimentieren; gerade beim Shared Hosting. Da weißt du ja nicht, wer was hostet. Bei wirklichen Unglücksfällen hast du eh die Arschkarte, weil du die Requests so weit hochstellen müsstest dass ein Flooding total einfach "unter dem Radar hindurchfliegen" kann. Hier muss man dann aber - meiner Meinung nach - den Usern sagen, dass es so nicht gehen kann, denn Requests sind Requests - ob beabsichtigt oder nicht, sie fressen grundsätzlich erstmal Leistung, in dem Fall Leistung wo das Script sagt "zu viel".
³: Kann man schöne Dinge mit machen, gerade für die Leute, die aus Versehen statt aus Absicht in der iptables-Chain landen. Konkret rede ich von einer Portumleitung auf einen Webserver, der ein statisches File ausliefert, welches sagt, warum man dort gelandet ist. Der Angreifer kann weiter drauf feuern, nur juckt es den Server nicht mehr so viel. Natürlich kann man auch in einem 2-Stufen-Modell bei anhaltendem Requestwahnsinn komplett blocken, und Ruhe ist - ist halt nur aufwendiger.

Unser Tool verschickt bei jedem entdeckten Flooding auch eine Mail ans ganze Team, damit man auf "richtige" Angriffe reagieren kann. Denn mit dieser Herangehensweise ist der Angreifer ja spätestens nach Y Zeit wieder für X Requests freigeschaltet.

Selbstverständlich haben wir auch ein paar grundsätzliche iptables-Regeln drin (Verbindungen pro IP, Verbindungsaufbauversuche pro Zeit, ...) - als Gesamtpaket hat uns das bis heute vor ~ jedem Angriff ausreichend geschützt.


Grüße


Ach Mist - du wolltest ein Stichwort und ich hab einen Roman geschrieben!

 

[d4f]

Du bist sowas von unkonsequent, Ich zitier dich mal =)

Ich kann (also "darf") dir nicht genau sagen, wie unser System diesbezüglich funktioniert

Kurz gesagt haben wir eine Kombination aus Iptables-Regeln, Apache-Modul, Loganalyzer und System Monitoring.
Klappt gut und ist beim Auftreten einer neuen "Plage" schnell und einfach auf diese vor zu bereiten.

 

[s24!]

Daniel!
Hauptsache die Kunden wissen es nicht, sonst könnten die bösen unter ihnen ja auch unter dem Radar hindurchfliegen.

 

[dev]

Besten Dank! Ist ja das fail2ban Prinzip mit etwas Aufpimperei.

Wobei ich mich frage, ob das Parsen der Logfiles nicht irgendwann io- und CPU-kritisch wird? Ihr macht das am vorgeschaltetem Cacheserver, oder?

Was nutzt Ihr da für eine Sprache für das Tool? Irgendeine Interpretersprache oder schnelles C?

 

[d4f]

onst könnten die bösen unter ihnen ja auch unter dem Radar hindurchfliegen.

Ich kenne keine bösen Kunden, nur böse Ex-kunden =)

Wobei ich mich frage, ob das Parsen der Logfiles nicht irgendwann io- und CPU-kritisch wird?

Apache ist bedeutend schneller am Limit als ein Auslesen + PCRE. Außerdem ist die Auswertung nicht all zu zeitkritisch, eine Verzögerung zwischen Schreiben und Auswerten einer Logzeile von paar Sekunden annulliert nicht das Sicherheitssystem.
Meist ist aber eh MySQL und nicht Apache Ressourcenverbraucher Nr.1, da kann man nicht mit simplem Request-Zaehlen auskommen sondern muss die gesammelte CPU-Zeit der Queries berücksichtigen.

Irgendeine Interpretersprache oder schnelles C?

PHP aufgrund Know-How in der Sprache. Ein gut programmiertes PHP-Skript schafft laut Tests problemlos die Auswertung eines Servers ohne hohe CPU-Belastung. Sobald mein "Behaviour-Analysis Supervisor" lauft wird es auch brav mit HipHop kompiliert oder durch den HHVM JIT-Kompiler ausgeführt
C ist übrigens nur so schnell wie das KnowHow des Programmautors es zulässt

hr macht das am vorgeschaltetem Cacheserver, oder?

Nein an Apache. Cacheserver und HTTPS-Terminator sind beide "nur" über iptables abgesichert und schreiben aus Leistungsgründen keinerlei Dateien auf die Festplatte, dadurch sind sie bei statischem gecacheten Inhalt rund 10x schneller -und um Längen sparsamer- im Ausliefern als ein Apache, zumal alles aus der RAM kommt.
Der Cacheserver ist übrigens auf dem gleichen Host, eine getrennte Machine ist hier nicht notwendig.

 

[Dorongo]

Domains bei evanzo.de sind sehr günstig aber der Support ist naja *Hust*
ich hatte bei denen noch keine Probleme ein bekannter jedoch 4Stunden Hotline ich habe zur zeit en Vserver bei Webtropia den kleinsten der lauft wie eine eins aber da ist der Support auch wieder sonne Sache wenn du ein Problem hasst dauert es bei beiden Providern lange bis Hilfe naht aber die preis Leistung ist unschlagbar ich denke Vserver S bei Webtropia reicht alle male aus aber wenn du viel Support brauchst rate ich dir von beiden ab.

 

[PapaBaer]

Evanzo??? *wild mit den Händen in der Luft fuchteln und wegrennen*

Wenn wir hier anfangen über so ne Buden zu reden, können wir den Server4You-Thread sofort closen. Das ist nämlich first class hosting erster Güte, so im Vergleich.