AMD Epyc VPS je navidezni zasebni strežnik, v katerega fizičnem gostitelju dela eden od procesorjev iz družine strežniških procesorjev AMD Epyc. Če izbiraš zdaj, si oglej tudi naše pakete KVM VPS z AMD Epyc: v tem članku pregledamo, zakaj je ta platforma zmogljiva, kaj zmorejo njene strojne varnostne funkcije, komu in kdaj jo priporočamo ter kako začeti z njo.

Pri najemu VPS večina primerja ceno, pomnilnik in velikost prostora za shranjevanje, čeprav je vsaj tako pomembno, kateri procesor dela v gostitelju. Ni naključje, da vse več ponudnikov gradi na procesorjih AMD Epyc in da vse več ljudi išče prav takšen navidezni strežnik.

Kaj je AMD Epyc KVM NVMe VPS?

V opisih paketov se pogosto skupaj pojavijo trije elementi: procesor AMD Epyc, virtualizacija KVM in shramba NVMe SSD. Vsak od njih šteje tudi sam zase.

Procesor AMD Epyc

Družina strežniških procesorjev AMD, zasnovana posebej za podatkovne centre, virtualizirano infrastrukturo in dolgotrajne velike obremenitve, optimizirana za zanesljivost, veliko računsko zmogljivost in razširljivost. V marsičem se razlikuje od procesorjev za namizne računalnike: ponuja veliko jeder, velik predpomnilnik in veliko pomnilniških kanalov, zato lahko en gostitelj streže številne virtualne stroje z enakomerno zmogljivostjo.

Virtualizacija KVM

KVM (Kernel-based Virtual Machine) je rešitev, vgrajena v jedro Linux, ki temelji na strojnih zmožnostih virtualizacije procesorja (AMD-V). Zagotavlja polno virtualizacijo: vsak VPS je ločen virtualni stroj z lastnim virtualnim procesorjem, pomnilnikom, diskom in lastnim jedrom. Zato se KVM VPS obnaša kot lasten strežnik: nanj lahko namestiš kateri koli operacijski sistem in programsko opremo, tudi takšno, ki na VPS na osnovi vsebnikov ne bi delovala.

Shramba NVMe SSD

Osnova hitrega VPS je hitra shramba. Diski NVMe SSD se priključijo na vodilo PCIe in zmorejo večkratnik diskov SATA SSD, zlasti pri številnih vzporednih drobnih operacijah pisanja in branja. Pri bazah podatkov in spletnih straneh z veliko majhnimi datotekami to pomeni opazno hitrejše delovanje.

Zakaj je procesor v VPS pomemben?

VPS teče na fizičnem strežniku skupaj s številnimi drugimi virtualnimi stroji. Vsak VPS dobi lastna virtualna procesorska jedra (vCPU), ki jih strežejo fizična jedra in niti gostitelja. Procesor gostitelja odloča, koliko računske zmogljivosti hkrati pripade virtualnim strojem in kako se ti obnašajo, ko strežnik obremenjuje več njih.

Na starejšem gostitelju z manj jedri virtualni stroji prej začnejo tekmovati za procesorski čas, kar se v konicah pozna kot upočasnitev tudi na tvojem strežniku. Arhitektura Epyc na ravni VPS omogoča zmogljivost, za katero je bil prej potreben namenski strežnik.

Glavne značilnosti arhitekture AMD Epyc

Družino Epyc sestavlja več generacij in veliko modelov, najpomembnejše lastnosti pa so jim skupne.

Veliko fizičnih jeder in niti

Procesorji Epyc v enem ohišju ponujajo ogromno jeder: večji modeli delajo s 96 ali 128 jedri, vrhunski model najnovejše, pete generacije (na osnovi Zen 5, serija 9005) pa ima 192 jeder in 384 niti. Več ko je fizičnih jeder, več virtualnih strojev lahko teče hkrati, ne da bi si jemali procesorski čas. Bolj obremenjene spletne strani, baze podatkov in spletne aplikacije to neposredno občutijo: odzivni časi ostanejo tudi v konicah bolj predvidljivi.

Velik predpomnilnik L3

Večina modelov ima več sto megabajtov predpomnilnika L3, različice s tehnologijo 3D V-Cache pa še več. Zaradi velikega predpomnilnika mora procesor redkeje posegati po počasnejšem pomnilniku, kar se pozna pri bazah podatkov in spletnih aplikacijah, ki strežejo veliko majhnih zahtev.

Veliko pomnilniških kanalov

Hiter procesor ne pomaga, če podatkov iz pomnilnika ne dobi dovolj hitro. Procesorji Epyc četrte in pete generacije podpirajo 12 pomnilniških kanalov DDR5 na ohišje, zato lahko med procesorjem in pomnilnikom hkrati teče več podatkov. To šteje predvsem pri aplikacijah, ki so zahtevne glede pomnilnika, na primer pri večjih bazah podatkov in sistemih za predpomnjenje (Redis, Memcached).

Veliko linij PCIe 5.0

Procesor Epyc ponuja 128 linij PCIe 5.0, v dvoprocesorskem sistemu celo do 160. Nanje se priključijo diski NVMe SSD in omrežne kartice, zato lahko strežnik hkrati upravlja veliko hitrih diskov in omrežje z veliko pasovno širino brez ozkih grl. Pri VPS je hitrost shrambe in omrežja vsaj tako pomembna kot hitrost procesorja: spletna trgovina ali baza podatkov opravi veliko drobnih operacij pisanja in branja.

Združljivost

Epyc ima arhitekturo x86-64, zato na njem tečejo vsi razširjeni strežniški operacijski sistemi: distribucije Linuxa (Ubuntu, Debian, AlmaLinux, Rocky Linux) in Windows Server.

Zasnovan za virtualizacijo

Bistvo VPS je, da na enem fizičnem strežniku teče več med seboj ločenih virtualnih strojev. Strojna podpora za virtualizacijo v procesorjih Epyc (AMD-V) je narejena prav za to, KVM pa na tej osnovi vsakemu VPS zagotovi lastno jedro in lastne vire.

Veliko jeder, veliko pomnilniških kanalov in hiter V/I skupaj pomenijo, da lahko na gostitelju Epyc drug ob drugem hitro in stabilno teče veliko virtualnih strojev. Tvojega VPS se tako manj dotakne, če drug virtualni stroj na istem gostitelju ravno močno dela. Ko tvoj projekt raste, s prehodom na večji paket dobiš več procesorja, pomnilnika in prostora, na gostiteljih z veliko jedri pa lahko ponudnik za to ohranja dovolj rezerve.

Strojna varnost: SME, SEV, SEV-ES in SEV-SNP

Pri najemu VPS se večini ob varnosti najprej porodijo misli na požarni zid, močna gesla in posodobitve. Ti so res najpomembnejši, vendar sodobni strežniški procesorji ponujajo še dodatno raven zaščite, Epyc pa ima pri tem eno najbolj dodelanih rešitev.

Kaj ščiti strojna varnost?

Klasična zaščitna orodja, kot so šifriranje TLS, VPN ali požarni zid, ščitijo pred napadi, ki prihajajo po omrežju, oziroma šifrirajo podatke med shranjevanjem in prenosom. Ne povedo pa, kaj se dogaja s podatki, medtem ko virtualni stroj dela z njimi in so zato nešifrirani v pomnilniku.

V klasičnem virtualiziranem okolju ima gostitelj (hipervizor) tehnično dostop do pomnilnika virtualnih strojev, ki tečejo na njem. Cilj strojnih varnostnih funkcij je ta dostop omejiti na ravni procesorja: podatki virtualnega stroja naj ostanejo šifrirani tudi, če jih kdo poskuša prebrati s strani gostitelja.

SME in SEV: šifriran pomnilnik

Procesorji Epyc vsebujejo varnostne funkcije, zbrane pod imenom AMD Infinity Guard. SME (Secure Memory Encryption) šifrira celoten sistemski pomnilnik. SEV (Secure Encrypted Virtualization) gre še dlje: šifrira pomnilnik virtualnih strojev, in sicer vsakega z ločenim ključem. Ključe ustvarja in upravlja varnostni procesor, vgrajen v procesor (AMD Secure Processor), zato nikoli ne pridejo v območje, dostopno programski opremi in operacijskemu sistemu gostitelja.

Šifriranje poteka sproti v pomnilniškem krmilniku, zato aplikacij zanj ni treba predelati; operacijski sistem v virtualnem stroju pa ga mora podpirati.

SEV-ES: zaščita procesorskih registrov

SEV-ES (Encrypted State) poleg pomnilnika šifrira tudi vsebino procesorskih registrov virtualnega stroja, ko nadzor preide z virtualnega stroja na hipervizor. Tako ogrožen hipervizor tudi iz registrov ne more prebrati občutljivih podatkov, na primer ključev.

SEV-SNP: zaščita celovitosti in potrjevanje

SEV-SNP (Secure Nested Paging) je najnaprednejša raven. Poleg šifriranja preprečuje, da bi hipervizor neopazno spremenil, zamenjal ali ponovno predvajal pomnilnik virtualnega stroja, in omogoča potrjevanje (attestation): lastnik virtualnega stroja lahko preveri, ali se je njegov stroj res zagnal v zaščitenem okolju s pričakovano programsko opremo. Virtualni stroji, ki jih veliki ponudniki oblaka ponujajo pod imenom »confidential computing«, praviloma temeljijo na tem; Google je leta 2020 tudi svoje prve tovrstne Confidential VM s šifriranim pomnilnikom zgradil na procesorju Epyc.

Pomembno: te funkcije je treba vklopiti

Zgolj zato, ker v gostitelju dela procesor Epyc, VPS na njem še ne dobijo samodejno šifriranega pomnilnika. Za uporabo SEV mora funkcijo vklopiti ponudnik in jo podpirati v sistemu za virtualizacijo, virtualni stroj pa se mora zagnati z operacijskim sistemom in strojno programsko opremo, pripravljenima za to. Šifriranje ima tudi ceno v zmogljivosti in lahko omeji nekatere funkcije (na primer selitev v živo ali nekatere načine varnostnega kopiranja).

Če pri svojem delu potrebuješ takšno raven zaščite (na primer zaradi obdelave strogo reguliranih podatkov), pred najemom vprašaj ponudnika in zahtevaj potrdilo, da SEV-SNP na tvojem virtualnem stroju res deluje. Kjer ponudnik te funkcije uporablja, so šifrirani tudi podatki, ki se uporabljajo med izvajanjem, virtualni stroji različnih strank na istem gostitelju pa so med seboj močneje ločeni.

Ali zagotavlja popolno varnost?

Ne, popolne varnosti v informatiki ni. Raziskovalci so v zadnjih letih predstavili več napadov, ki so ciljali na posamezne različice SEV; AMD jih je odpravil s posodobitvami strojne programske opreme in mikrokode. Učinkovitost strojne zaščite je torej odvisna tudi od tega, kako posodobljena je strojna programska oprema gostitelja in kako skrbno ponudnik upravlja sistem.

V resnici večine VPS ne vdrejo s strani hipervizorja, temveč prek programske opreme, ki teče na virtualnem stroju: prek zastarelega CMS, šibkega gesla SSH ali storitve, ki je ostala odprta. Pred tem strojno šifriranje ne ščiti. Najpomembnejši koraki so še vedno:

• redno posodabljanje sistema in aplikacij;
• nastavitev požarnega zidu z odprtjem le potrebnih vrat;
• prijava SSH s ključi in varna nastavitev strežnika SSH;
• redne varnostne kopije, shranjene ločeno od strežnika.

Energijska učinkovitost in razmerje med ceno in vrednostjo

Velik del stroškov delovanja strežnikov predstavljata elektrika in hlajenje. Procesorji Epyc dajo veliko zmogljivosti na vat, zato lahko podatkovni center isto delo opravi z manj gostitelji, manj prostora in manj hlajenja. To neposredno koristi ponudniku, dolgoročno pa se pozna tudi pri cenah: ponudniki VPS lahko za enak denar ponudijo več virov, manjša poraba energije pa je boljša tudi za okolje.

Platforma, pripravljena na prihodnost

Pri izbiri VPS na to redko pomislimo, a šteje tudi, kako pripravljena na prihodnost je platforma v ozadju: graditi se splača na storitvi, ki bo konkurenčna tudi čez nekaj let in ki jo lahko ponudnik razvija naprej.

Tudi veliki ponudniki oblaka gradijo na procesorjih Epyc

Izbira velikih ponudnikov oblaka je dober kažipot na trgu strežnikov, saj kupujejo v ogromnih količinah in po temeljitih meritvah. Amazon Web Services, Microsoft Azure, Google Cloud in Oracle Cloud ponujajo virtualne stroje na osnovi AMD Epyc, v splošnih različicah, različicah, optimiziranih za pomnilnik, in različicah za visokozmogljivo računanje (HPC). Po navedbah AMD je pri velikih oblakih na voljo že več kot tisoč vrst instanc na osnovi Epyc.

Tako razširjena platforma ima tudi to prednost, da jo programska oprema, operacijski sistemi in orodja za virtualizacijo dobro podpirajo, napake in varnostne vrzeli pa se hitro odpravljajo, saj zadevajo ogromno uporabnikov.

Stalni razvoj, dolga podpora platformi

AMD na vsakih nekaj let izda novo generacijo Epyc, vsakič z več jedri, večjo učinkovitostjo in hitrejšim pomnilnikom. Četrta in peta generacija uporabljata isto podnožje SP5, zato lahko ponudniki strežnike nadgradijo brez menjave matične plošče, AMD pa je napovedal tudi naslednjo generacijo (Zen 6, »Venice«). Storitev na osnovi Epyc torej ni tehnološka slepa ulica: ponudnik lahko postopoma preide na novejšo strojno opremo, tvoj VPS pa medtem deluje naprej enako.

Komu in kdaj priporočamo AMD Epyc VPS?

Kot vsak VPS tudi ta ponuja lastne, zagotovljene vire (procesor, pomnilnik, prostor), precej ceneje kot namenski strežnik. Nekaj tipičnih primerov, ko se splača.

Spletne trgovine in obiskane spletne strani

Spletna trgovina mora biti hitra tudi, ko hkrati kupuje veliko ljudi, baza izdelkov in naročil pa nenehno raste. Na deljenem gostovanju po določenem času mejo postavijo omejitve virov gostovanja: v konicah se stran upočasni, počasna stran pa pomeni izgubljene kupce.

Na VPS spletna trgovina teče z lastnimi, zagotovljenimi viri, spletni strežnik, PHP, bazo podatkov in predpomnilnik pa lahko prilagodiš njenim potrebam. Tipičen znak, da je čas za prehod: promet trgovine je narasel, omejitve virov gostovanja so redno izčrpane, upočasnitev strani pa se že pozna pri nakupih.

Razvojna in testna (staging) okolja

VPS ponuja polni dostop root, zato lahko nanj namestiš katero koli razvojno orodje, bazo podatkov ali izvajalno okolje, kar na gostovanju ni mogoče. Dobro se obnese:

• za poganjanje lastnega zalednega dela ali testne baze podatkov;
• za aplikacije, ki tečejo v vsebnikih (z Dockerjem);
• kot izvajalec CI/CD, ki izvaja tvoje teste in namestitve;
• kot testno (staging) okolje, kjer lahko spremembe preizkusiš z enakimi nastavitvami kot v produkciji.

Če testno in produkcijsko okolje tečeta na enaki vrsti VPS, rezultati testov veliko bolje napovedo, kako se bo sistem obnašal v produkciji.

Podatkovne baze

Pri večjih bazah podatkov MySQL, MariaDB ali PostgreSQL veliko delata tako procesor kot disk. Velik predpomnilnik, veliko pomnilniških kanalov in shramba NVMe pomagajo pri številnih majhnih operacijah branja in pisanja.

Umetna inteligenca in obdelava podatkov na procesorju

Za učenje in hitro poganjanje velikih jezikovnih modelov potrebuješ GPU, za to splošen VPS ni primeren. Ogromno nalog, povezanih z umetno inteligenco in obdelavo podatkov, pa teče na procesorju, zanje pa je VPS z veliko jedri dobra osnova:

• analiza podatkov in klasično strojno učenje s Pythonom, Pandas ali scikit-learn;
• poganjanje (inferenca) manjših modelov na procesorju;
• aplikacije in avtomatizacije, ki kličejo API-je storitev umetne inteligence (na primer poteki dela n8n);
• načrtovana opravila za obdelavo podatkov in pripravo poročil.

Lastne storitve in hobi projekti

Ne splača se le podjetjem. VPS je dobra izbira, če bi rad na enem mestu poganjal več lastnih projektov pod lastnimi domenami; če bi upravljal lastno shrambo v oblaku (na primer Nextcloud), VPN, poštni strežnik ali strežnik za igre; če bi se rad v resničnem okolju učil Linuxa in upravljanja strežnikov; ali če bi preizkusil programsko opremo, ki na gostovanju ne bi delovala.

Za hobi projekt pogosto zadošča že najmanjši paket: pri nas AMD VPS 1 ponuja 1 vCPU, 1 GB pomnilnika in 10 GB NVMe SSD za 4,62 € na mesec (brez DDV).

Kdaj zadošča druga, cenejša rešitev?

AMD Epyc VPS se izkaže v marsikateri situaciji, vendar ga ne potrebuješ vedno:

• Za spletne strani z majhnim in srednjim prometom, na primer za predstavitveno stran, majhen blog ali začetno spletno trgovino, povsem zadošča spletno gostovanje ali gostovanje cPanel, pri tem pa ti ni treba upravljati strežnika.
• Za statične spletne strani (HTML, CSS, JavaScript, na primer stran, narejeno z generatorjem spletnih strani) je statično gostovanje cenejše in preprostejše.
• Za programsko opremo, specifično za Windows, je bolj priročen Windows VPS z licenciranim Windows Serverjem, saj vključuje tudi licenco.

Z VPS je poleg svobode tvoja tudi odgovornost: imaš pravice root, s tem pa so na tebi tudi posodobitve, požarni zid in varnostne nastavitve. Če tega ne želiš početi sam, za strežnik v naši storitvi upravljanega VPS skrbimo mi.

Na kaj paziti, preden najameš AMD Epyc VPS?

Procesor je pomemben, vendar njegova prednost pride do izraza le, če mu sledijo tudi drugi deli. Pri dobri ponudbi VPS preveri tudi:

• ali dobiš pravo virtualizacijo KVM z lastnim jedrom;
• ali VPS teče na PCIe NVMe SSD (SATA SSD je bistveno počasnejši);
• kako hitra je omrežna povezava in ali obstaja omejitev prometa;
• ali se izdeluje dnevna varnostna kopija in ali lahko narediš posnetek stanja (snapshot);
• ali je na voljo zaščita pred napadi DDoS;
• ali lahko pozneje preideš na večji paket brez selitve na nov strežnik.

Praktični vodnik: tako začneš

1. Izberi paket. Za manjši projekt ali preizkušanje zadošča tudi paket z 1–2 GB pomnilnika, za spletno trgovino ali več spletnih strani pa je bolj priporočljivo 4–8 GB. Če nisi prepričan, začni z manjšim in preidi na večjega, ko bo treba (glej: Kako izbrati pravi paket VPS?).
2. Izberi operacijski sistem. Za Ubuntu in Debian obstaja največ navodil, AlmaLinux in Rocky Linux pa sta sistema z dolgo podporo, združljiva z Red Hat.
3. Prijavi se prek SSH in posodobi sistem (glej: Kako se povežem s svojim VPS prek SSH?).
4. Zaščiti strežnik: lasten uporabnik namesto root, prijava SSH s ključi, požarni zid le s potrebnimi vrati, samodejne varnostne posodobitve.
5. Namesti potrebno programsko opremo, na primer spletni strežnik, PHP in bazo podatkov, ali, če bi strežnik upravljal prek spletnega vmesnika, nadzorno ploščo.
6. Poskrbi za varnostne kopije: poleg dnevne varnostne kopije pred vsako večjo spremembo naredi posnetek stanja.

Pogosta vprašanja

V čem se AMD Epyc VPS razlikuje od katerega koli drugega VPS?

Pojem VPS je enak: ločen virtualni stroj, ki teče na fizičnem strežniku. Razlika je v procesorju gostitelja, ki vpliva na zmogljivost, obvladovanje vzporedne obremenitve in razpoložljive varnostne funkcije.

Zakaj je veliko jeder dobro za VPS?

Ker lahko gostitelj streže več virtualnih strojev, ne da bi ti tekmovali za procesorski čas. Zmogljivost vCPU tvojega VPS je tako bolj predvidljiva.

Ali AMD SEV deluje na vsakem VPS z Epyc?

Ne. Vklopiti ga mora ponudnik, podpirati pa ga mora tudi gostujoči operacijski sistem. Če ga potrebuješ, pred najemom vprašaj.

Intel Xeon ali AMD Epyc?

Oba sta sodobni družini strežniških procesorjev. Epyc praviloma ponuja več jeder, več pomnilniških kanalov in linij PCIe, zato je močan pri vzporedni, virtualizirani obremenitvi. Nekateri modeli Xeon so lahko v nekaterih posebnih nalogah (na primer pri delu, ki izkorišča vgrajene pospeševalnike umetne inteligence) v prednosti. Pri VPS za splošno rabo viri paketa, shramba in zanesljivost ponudnika štejejo več kot znamka procesorja.

Povzetek

AMD Epyc z veliko jedri, velikim predpomnilnikom, veliko pomnilniškimi kanali, hitrim V/I in zgradbo, zasnovano za virtualizacijo, daje VPS stabilno, predvidljivo in dobro razširljivo osnovo, njegove strojne varnostne funkcije pa zagotavljajo močnejšo ločitev povsod, kjer jih ponudnik uporablja. Naši paketi AMD Epyc KVM VPS so na voljo s procesorjem 3,8 GHz, shrambo PCIe NVMe SSD, povezavo 2 Gbps, neomejenim prometom, dnevno varnostno kopijo in zaščito pred napadi DDoS, od 1 vCPU do 16 vCPU in od 1 GB do 32 GB pomnilnika, od 4,62 € na mesec (brez DDV).

• vps
• virtualizacija
• nvme
• skaliranje
• kibernetska varnost
• izbira gostovanja