خوادم الويب والوكلاء العكسيين
Caddy: خادم الويب الذي يقوم بتكوين HTTPS افتراضيًا
Caddy هو خادم الويب الحديث والوكيل العكسي الذي يكون عنوانه الرئيسي هو TLS تلقائيًا: إصدار وتجديد ACME يعملان خارج الصندوق عبر الإعدادات الافتراضية المعقولة، وتبقي القواعد النحوية لملف Caddyfile التكوين قصيرًا بدرجة كافية للقراءة. خلف العنوان الرئيسي يوجد محرك قادر (HTTP/3، الوكيل العكسي، المنبع الديناميكي) الذي يتاجر بعمق النظام البيئي من أجل الأتمتة التي تتم بشكل صحيح.
النقاط الرئيسية
- HTTPS التلقائي هو هويته: يتم طلب الشهادات وتجديدها وحتى تخزينها تلقائيًا عبر Let's Encrypt (أو ZeroSSL، أو CA داخلي للأسماء غير العامة، أو الإصدار عند الطلب للوحات أحرف البدل)؛ تختفي الفئة التشغيلية للانقطاعات حول انتهاء صلاحية الشهادة بشكل أساسي عندما يعمل هذا.
- ملف Caddyfile هو قصة الإنتاجية: كتلة الوكيل العكسي بالإضافة إلى عنوان الموقع عبارة عن تكوين عملي؛ يوجد تكوين JSON الأصعب للاحتياجات البرمجية، لكن الفرق التي تبقى في منطقة Caddyfile (معظم أحمال عمل الوكيل العكسي وأحمال العمل الثابتة) تجد موجز الصيانة.
- تغطية الميزات للخدمة الحديثة: HTTP/3 بشكل افتراضي، TLS 1.3 السرية الأمامية، brotli/gzip، معالجة الرأس، مطابقات المسار الشبيهة بالبرامج الوسيطة، يتم إنشاء البرنامج الإضافي عبر xcaddy للإضافات المتخصصة؛ المحرك صغير الحجم ويعتمد على الموثوقية الخارجية بدلاً من تجميع كل شيء.
- يتضمن الوكيل العكسي سلوكًا صادقًا للمهلة/التخزين المؤقت مشابهًا لـ nginx، بالإضافة إلى إعادة المحاولة؛ من الممكن تشكيل حركة المرور المعقدة (حدود معدل لكل مجال، والبرمجيات الوسيطة للمصادقة عبر البرنامج المساعد) ولكن النظام البيئي ليس قريبًا من اتساع الوحدة النمطية لفئة Apache، لذا قم بالاقتران مع طبقة WAF/حافة عند الحاجة.
- يستمر الانضباط التشغيلي: التحقق من صحة العلبة قبل إعادة التحميل (نفس القواعد المملة مثل nginx)، وسجلات JSON المنظمة افتراضيًا (رائعة لخطوط أنابيب SIEM)، وواجهة برمجة تطبيقات المشرف للتحكم البرمجي؛ لا تزال المراقبة تراقب عمر الشهادة وصحة المنبع.
- شكل القرار في مقارنات خوادم الويب لدينا: العلبة للشهادات/الأتمتة المُدارة ذاتيًا والخدمة الخلفية للخدمات الداخلية والأساطيل الصغيرة؛ nginx لضبط النظام البيئي الثقيل أو العمل على الحافة بدون htaccess ولكن تم ضبطه بعمق؛ Apache حيث تسود وحدات htaccess والوحدات القديمة؛ عادةً ما يفوز كادي بـ "الفريق الصغير، والتخلف العاقل، وعدم فرض غرامات عند الساعة 3 صباحًا".
ملاحظة ميدانية
أصغر حزمة إنتاج نحبها: VPS بقيمة خمسة دولارات، وCaddy، وخدمتين خلف ملف Caddyfile واحد مكون من 12 سطرًا. تجدد الشهادات نفسها لمدة ثلاث سنوات حتى يتم إخراج المضيف من الخدمة. لم تقم جهة اتصال العمليات الخاصة بالعميل بتسجيل الدخول مطلقًا. هذا هو ما تبدو عليه الأتمتة التي يتم إجراؤها من أجلك.
أسئلة شائعة
ما الذي يجب أن أستخدمه لخادم VPS صغير: Caddy أو nginx أو Apache؟
العلبة للتجربة الافتراضية (TLS التلقائي، التكوين القصير)، nginx إذا كنت تريد الحد الأقصى من سطح الوكيل وعمق التوثيق، Apache فقط إذا كانت الوحدات النمطية من فئة htaccess وسلوك الاستضافة المشتركة مهمًا؛ الثلاثة آمنون ويتم صيانتهم.
هل يمثل TLS عند الطلب خطورة؟
يمكن إساءة استخدامه (إغراق الشهادات على الأسماء التي لا تملكها)؛ يقوم Caddy بالتخفيف من خلال خطافات الطلب/القائمة المسموح بها وحدود الأسعار، والإصدار عند الطلب مع هؤلاء الحراس الموجودين؛ قم بتعطيل الميزة إذا لم تكن بحاجة إليها.
هل تحل Caddy محل طبقة WAF الكاملة؟
لا: يعمل وكيل Caddy على TLS بشكل صحيح ولكنه ليس WAF؛ احتفظ بـ modsecurity/coraza أو حافة WAF في المقدمة عندما تكون تصفية طبقة التطبيق مهمة.
ما هو السطح التشغيلي الذي يجب أن أشاهده؟
صحة إصدار الشهادة (تنبيهات بشأن عمر الشهادة)، وسلامة الاتصال الأولي، وسجلات الأخطاء؛ وإلا فإن ملف Caddyfile قصير بما يكفي لمراجعته في مراجعة التعليمات البرمجية، وهو ما يمثل في حد ذاته فوزًا أمنيًا.
كيف تساعدك Kinetikatech في خوادم الويب والوكلاء العكسيين
لا ينبغي أن تضطر إلى أن تصبح خبيرًا في خوادم الويب والوكلاء العكسيين: البرامج التي تقبل الاتصالات وتقرر كيفية تدفق الطلبات: nginx وApache وLiteSpeed وCaddy وTraefik، بالإضافة إلى عادات التكوين التي تجعلها سريعة ومخزنة مؤقتًا ويصعب إزالتها. ولهذا توجد تحسين سرعة المواقع و إدارة الخوادم بالضبط: الإعداد والتحصين والمراقبة ومهندس مناوب ليلًا ونهارًا.