Managed oder unmanaged VPS: Was brauchen Sie?

Verwalteter vs. nicht verwalteter VPS: die kurze Antwort

Die Entscheidung zwischen einem verwalteten und einem nicht verwalteten VPS ist eine Frage des Arbeitsaufwands, nicht des Produkts. Bei einem nicht verwalteten VPS sind Sie für Patches, die Firewall, Backups, die Überwachung und den Neustart um 2am verantwortlich. Bei einem verwalteten VPS übernimmt der Anbieter einen Teil dieser Aufgaben für Sie. Welcher Teil das ist, unterscheidet sich zwischen den Hosts erheblich. Der einzige sinnvolle Vergleich ist die Liste der Aufgaben, die Ihnen jeder Tarif abnimmt, im Verhältnis zu Ihren eigenen Arbeitsstunden.

Für den Begriff verwaltet gibt es keine einheitliche Definition. Bei einem Anbieter werden das Betriebssystem gepatcht und ein Ticket von einem Mitarbeiter beantwortet. Bei einem anderen wurde ein Control Panel installiert, und alles darüber liegt in Ihrer Verantwortung. Bei einem dritten gibt es einen schriftlichen Servicevertrag mit einer festgelegten Reaktionszeit. Zwei Tarife mit demselben Begriff können sich in allen wichtigen Punkten unterscheiden. Lesen Sie daher das Dokument zum Leistungsumfang, bevor Sie den Preis prüfen. Wenn Sie noch entscheiden, wofür die Maschine überhaupt eingesetzt werden soll, ist was Sie mit einem VPS tatsächlich tun können die bessere Frage, die Sie zuerst klären sollten.

Die Aufgaben, für die jemand verantwortlich sein muss

Jeder laufende Server bringt dieselbe Liste von Aufgaben mit sich. Bei einem nicht verwalteten Tarif liegt diese Liste bei Ihnen. Bei einem verwalteten Tarif bezahlen Sie dafür, dass Einträge daraus entfernt werden. Gehen Sie die Liste durch und schreiben Sie neben jeden Eintrag einen Namen.

• Patches für das Betriebssystem und die Neustarts, die Kernel-Updates erfordern.
• Firewall-Regeln, die beim Hinzufügen und Entfernen von Diensten korrekt gehalten werden müssen. Die Grundlagen der ufw-Firewall für einen VPS behandeln das Ausgangsregelsatz.
• SSH-Zugriff: Schlüsselverwaltung, deaktivierte Passwortanmeldung, der Widerruf eines Schlüssels, wenn jemand das Unternehmen verlässt, und eine Möglichkeit, wieder Zugriff zu erhalten, wenn Sie sich selbst aussperren.
• Backups, eine Kopie an einem anderen Standort und eine Wiederherstellung, die Sie tatsächlich durchgeführt haben.
• Monitoring. Dazu gehört, zu wissen, dass der Server erreichbar ist, auf der Festplatte ausreichend Speicherplatz vorhanden ist, der Dienst noch läuft und das Zertifikat noch nicht abgelaufen ist.
• Prüfung der Logs und die Reaktion, wenn darin etwas fehlerhaft aussieht.
• Dienstkonfiguration für den Webserver, die Datenbank, den Reverse-Proxy und die Warteschlange, falls Sie eine verwenden.
• Erneuerung des Zertifikats und die Reparatur, wenn die automatische Erneuerung nicht mehr funktioniert.
• Kapazität. Dazu gehört, zu erkennen, dass der Arbeitsspeicher erschöpft ist, bevor der Out-of-Memory-Killer (OOM-Killer) dies für Sie feststellt.
• Reaktion auf Vorfälle. Dazu gehört, zu einer von Ihnen nicht bestimmten Uhrzeit wach und erreichbar zu sein.

Die meisten dieser Aufgaben sind Routineaufgaben und können an ein Skript übergeben werden. Die Reaktion auf Vorfälle kann nicht an ein Skript übergeben werden, weil dafür eine Person benötigt wird, die eine Entscheidung treffen kann. Genau das ist die eigentliche Leistung eines verwalteten Tarifs. Deshalb beziehen sich die meisten Fragen der weiter unten stehenden Checkliste auf den Supportumfang und nicht auf das Patchen.

Was Managed-Betrieb normalerweise nicht umfasst

Hier entstehen für Käufer die meisten Probleme. Prüfen Sie die Leistungen daher genau. Ein Managed-Vertrag umfasst normalerweise das Betriebssystem und die Software, die der Anbieter installiert hat. Die Zuständigkeit endet an der Grenze Ihrer Anwendung.

Ihr eigener Code liegt in Ihrer Verantwortung. Ein 500-Fehler Ihrer Anwendung ist kein Serverfehler. Der Anbieter bestätigt, dass der Webserver-Prozess ausgeführt wird, und gibt das Ticket an Sie zurück. Das ist eine klare Zuständigkeitsgrenze. Zugleich ist dies die größte Lücke zwischen den Erwartungen der Käufer und dem tatsächlich erworbenen Leistungsumfang.

Probleme auf Anwendungsebene sind normalerweise nicht umfasst. Eine langsame Datenbankabfrage, ein Plugin, das nach einem Update nicht mehr funktioniert, ein falsch konfigurierter Cache oder eine Mail-Warteschlange, die nicht mehr abgearbeitet wird: Diese Probleme liegen oberhalb dieser Grenze, selbst wenn der Anbieter die zugrunde liegende Software installiert hat.

Die meisten Datenwiederherstellungen sind nicht umfasst. Die Backups des Anbieters schützen dessen Abbild des gesamten Servers. Sie sind für den Fall vorgesehen, dass die Host-Hardware ausfällt. Für den Fall, dass Sie eine Zeile gelöscht, eine fehlerhafte Migration ausgeführt oder vor sechs Wochen eine Datei beschädigt und dies erst heute bemerkt haben, sind sie normalerweise nicht ausgelegt. Fragen Sie nach dem Aufbewahrungszeitraum, danach, ob eine einzelne Datei wiederhergestellt werden kann, und danach, wer die Wiederherstellung durchführt.

Von Ihnen installierte Software liegt in Ihrer Verantwortung. Wenn Sie Docker installieren, ist der Anbieter normalerweise für den Host zuständig, während Sie für alles innerhalb der Container verantwortlich sind.

Manuelle Änderungen können den Support ausschließen. In manchen Verträgen fällt eine Komponente aus dem Leistungsumfang, sobald ein Kunde ihre Konfiguration direkt geändert hat. Fragen Sie danach, wenn Sie Änderungen an der Konfiguration vornehmen möchten.

Bewerten Sie Ihre eigene Zeit im Verhältnis zur monatlichen Differenz

Nehmen Sie die beiden Angebote vor sich und notieren Sie die monatliche Differenz. Dieser Betrag ist der Preis dafür, dass der Anbieter die oben aufgeführten Aufgaben übernimmt. Bewerten Sie nun Ihren Anteil an diesem Vergleich.

• Was ist eine Stunde Ihrer Zeit wert, und wie viele Stunden pro Monat nimmt diese Liste in Anspruch, sobald sie automatisiert ist?
• Was kostet eine Stunde Ausfallzeit für den Dienst, der auf diesem Server läuft?

Ein stabiler Ubuntu-Server mit automatischen Updates und externer Überwachung benötigt nur sehr wenig regelmäßige Betreuung. In den meisten Monaten ist keine erforderlich. Regelmäßige Arbeiten sind günstig, sobald ein Skript sie übernimmt. Unterbrechungen sind der teure Teil, und genau dafür wird ein Managed-Tarif angeboten. Wenn der Server ein Hobbyprojekt betreibt, verursacht ein Ausfall keine Kosten, und ein unmanaged Server ist die naheliegende Wahl. Wenn der Server Bestellungen verarbeitet, prüfen Sie genau, ob ein Supportvertrag einen Ausfall tatsächlich verkürzt. Auch ein Managed-Anbieter muss Ihr Ticket lesen, den Fehler reproduzieren und Maßnahmen ergreifen.

Die Differenz wächst außerdem mit der Anzahl der Server. Managed-Gebühren werden normalerweise pro Server berechnet, während die Automatisierung einmal geschrieben und anschließend kopiert wird. Beim zweiten Server halbieren sich die effektiven Kosten des Skripts, das Sie für den ersten Server geschrieben haben. Lesen Sie daher wie Sie mehrere Linux-Server verwalten, bevor Sie sich auf eine Gebühr pro Server festlegen. Für die Ausgangswerte auf beiden Seiten des Vergleichs legt was ein VPS tatsächlich pro Monat kostet die Untergrenze fest. Der Vergleich zwischen VPS und dediziertem Server wird relevant, sobald die Arbeitslast groß genug ist, dass der Aufpreis für den Managed-Betrieb kaum noch ins Gewicht fällt.

Fragen, die Sie einem Host vor der Buchung eines Managed-Premium-Tarifs stellen sollten

Fragen Sie, bevor Sie bezahlen, und lassen Sie sich die Antworten schriftlich geben. Eine Verkaufsseite ist keine Leistungsbeschreibung.

1. Welche Leistungen sind enthalten, aufgeschlüsselt nach einzelnen Aufgaben? Bitten Sie um eine Liste, nicht um eine Broschüre.
2. Umfasst der Support auch von mir installierte Software oder nur von Ihnen installierte Software?
3. Installieren Sie Patches automatisch, und führen Sie bei Kernel-Updates ohne vorherige Rückfrage einen Neustart durch?
4. Wer ist verantwortlich, wenn ein von Ihnen installierter Patch meine Anwendung beschädigt?
5. Erstellen Sie Backups? Wo werden sie gespeichert, wie lange werden sie aufbewahrt, und wer führt eine Wiederherstellung durch?
6. Haben Sie kürzlich den Server eines Kunden wiederhergestellt, und wie lange hat das gedauert?
7. Wie lang ist die Antwortzeit für Tickets, und unterscheidet sie sich am Sonntag um 03:00?
8. Behalte ich root-Zugriff, und schränkt seine Nutzung den von Ihnen geleisteten Support ein?
9. Wird die Gebühr pro Server oder pro Konto berechnet?
10. Was nehme ich beim Anbieterwechsel mit? Eine Konfiguration, die innerhalb eines proprietären Control Panels gespeichert ist, kann sich nur schwer exportieren lassen.

Frage 5 entscheidet über die meisten anderen Fragen. Ein Host, der sie präzise beantwortet, zeigt damit, dass er eine Wiederherstellung bereits durchgeführt hat. Eine vage Antwort bedeutet, dass die Wiederherstellung nie getestet wurde. Ein nicht getestetes Backup ist nur eine Kopie. Bei Frage 5 geht es außerdem um den Speicherort: Wo die Kopien physisch liegen, ist ebenso eine rechtliche wie eine technische Frage, und was bei der Auswahl eines Hosting-Landes tatsächlich wichtig ist geht darauf ein.

Der Mittelweg: unmanaged plus Automatisierung

Die meisten technisch versierten Leser wollen keines der beiden Extreme. Sie wollen einen unmanaged Plan, bei dem die Routinearbeit die Maschine übernimmt und ihre eigene Aufmerksamkeit für Dinge frei bleibt, die eine Maschine nicht beurteilen kann. Richten Sie das am ersten Tag ein. Die ersten zehn Minuten auf einem neuen VPS ist der praktische Ausgangspunkt für alle, die unmanaged wählen, und SSH-Zugriff absichern gehört in dieselbe erste Sitzung.

Automatische Sicherheitsupdates

sudo apt update && sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure --priority=low unattended-upgrades
cat /etc/apt/apt.conf.d/20auto-upgrades

Diese Datei sollte jetzt APT::Periodic::Update-Package-Lists "1"; und APT::Periodic::Unattended-Upgrade "1"; enthalten. Eine fehlende Datei oder ein 0 in einer der beiden Zeilen bedeutet, dass nichts ausgeführt wird und Sie keine Benachrichtigung erhalten.

Testen Sie dies, ohne das System zu ändern. Beachten Sie, dass das Paket unattended-upgrades heißt, während der Befehl im Singular steht:

sudo unattended-upgrade --dry-run --debug

Die Ausgabe listet jedes berücksichtigte Paket auf und endet mit einer Zeile wie No packages found that can be upgraded unattended, wenn keine Updates ausstehen. Tatsächliche Ausführungen werden in /var/log/unattended-upgrades/unattended-upgrades.log protokolliert. Prüfen Sie daher dort, statt zu raten.

Ein Kernel-Update ändert erst nach einem Neustart etwas, weil der laufende Kernel beim Systemstart geladen wurde. Die Datei /var/run/reboot-required wird angelegt, wenn ein Neustart aussteht. Überwachen Sie entweder diese Datei oder lassen Sie die Maschine den Neustart in /etc/apt/apt.conf.d/50unattended-upgrades durchführen:

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-WithUsers "false";
Unattended-Upgrade::Automatic-Reboot-Time "02:00";

Automatic-Reboot-WithUsers "false" verhindert den Neustart, solange jemand angemeldet ist. Das ist auf einer interaktiv verwendeten Maschine sicherer und auf einer Maschine, an der sich niemand anmeldet, wirkungslos. Die vollständige Einrichtung unbeaufsichtigter Upgrades unter Ubuntu behandelt die Syntax der Blocklist und die E-Mail-Optionen.

Überwachung, die an einem anderen Ort läuft

Ein auf dem Server laufender Monitor kann Ihnen nicht mitteilen, dass der Server ausgefallen ist, weil er dann ebenfalls ausgefallen ist. Führen Sie die Prüfung auf einem zweiten Host oder bei einem externen Dienst aus. Uptime Kuma zur Statusüberwachung ist die übliche selbst gehostete Lösung und sollte auf einer anderen Maschine als der überwachten laufen.

Überwachen Sie mindestens vier Dinge: Erreichbarkeit, Festplattennutzung, ob die Anwendung an ihrem tatsächlichen Port antwortet, und den Ablauf des Zertifikats. Die Festplatte wird oft übersehen. Eine Logdatei oder Datenbank, die jeden Tag ein wenig wächst, kann die Maschine zu einem Zeitpunkt außer Betrieb setzen, den nichts anderes vorhersagt. Das erste Symptom ist häufig ein Dienst, der nicht mehr schreiben kann und beendet wird.

df -h
sudo du -xh --max-depth=1 /var | sort -h
journalctl --disk-usage

Richten Sie außerdem einen Heartbeat ein. Ein Timer auf dem Server ruft nach jeder erfolgreichen Sicherung oder Zustandsprüfung eine URL auf. Der Monitor löst einen Alarm aus, wenn dieser Aufruf ausbleibt. Ein stiller Server erzeugt dann selbst einen Alarm. Das kann eine reine Pull-Prüfung nicht leisten, wenn die Netzwerkverbindung die Ursache des Ausfalls ist.

Backups, die Sie mindestens einmal wiederhergestellt haben

sudo apt install -y restic
sudo sh -c 'umask 077; printf %s "a-long-random-passphrase" > /root/.restic-pass'
export RESTIC_REPOSITORY=sftp:backup@backup.example.com:/srv/restic/web01
export RESTIC_PASSWORD_FILE=/root/.restic-pass
sudo -E restic init

restic init gibt created restic repository <id> at sftp:... einmal aus. Die Ausführung gegen ein bereits vorhandenes Repository schlägt fehl, statt es zu überschreiben. Das ist das gewünschte Verhalten. Bewahren Sie eine Kopie dieser Passphrase außerhalb des Servers auf. Ohne sie ist das Repository nicht lesbar, und es gibt keinen Wiederherstellungsweg.

sudo -E restic backup /etc /home /srv
sudo -E restic snapshots
sudo -E restic forget --keep-daily 7 --keep-weekly 4 --keep-monthly 6 --prune
sudo -E restic check

restic snapshots sollte die gerade ausgeführte Sicherung mit dem heutigen Datum auflisten. restic check überprüft die Repository-Struktur und gibt no errors were found aus. Führen Sie nun den Teil aus, den die meisten überspringen:

sudo -E restic restore latest --target /tmp/restore-check
ls /tmp/restore-check/etc

Die erwartete Datei ist entweder vorhanden oder nicht. Das jetzt festzustellen kostet zehn Minuten. Planen Sie die Ausführung anschließend mit einem Timer, damit sie nicht von Ihnen abhängt. Schreiben Sie /etc/systemd/system/restic-backup.service:

[Unit]
Description=restic backup
After=network-online.target
Wants=network-online.target

[Service]
Type=oneshot
Environment=RESTIC_REPOSITORY=sftp:backup@backup.example.com:/srv/restic/web01
Environment=RESTIC_PASSWORD_FILE=/root/.restic-pass
ExecStart=/usr/bin/restic backup /etc /home /srv
ExecStart=/usr/bin/restic forget --keep-daily 7 --keep-weekly 4 --keep-monthly 6 --prune

Und /etc/systemd/system/restic-backup.timer:

[Unit]
Description=Run restic backup daily

[Timer]
OnCalendar=daily
RandomizedDelaySec=30m
Persistent=true

[Install]
WantedBy=timers.target

sudo systemctl daemon-reload
sudo systemctl enable --now restic-backup.timer
sudo systemctl start restic-backup.service
journalctl -u restic-backup.service -n 30 --no-pager
systemctl list-timers restic-backup.timer

list-timers zeigt die nächste Ausführung und die verbleibende Zeit an. Eine leere Ausgabe bedeutet, dass Sie den Dienst statt des Timers aktiviert haben. Das ist hier der häufigste Fehler. Persistent=true führt einen verpassten Job nach dem nächsten Systemstart aus. Eine Maschine, die über Nacht ausgeschaltet war, erhält dadurch trotzdem ihr Backup. Restic-Backups auf einem VPS behandelt Repository-Aufbau und Aufbewahrung ausführlicher, und systemd-Dienste und Timer erklärt die Unit-Dateien Zeile für Zeile.

Was Automatisierung nicht leistet

Sie ersetzt kein Urteilsvermögen. Ein automatischer Neustart um 02:00 erfolgt unabhängig davon, ob Ihre Anwendung danach sauber wieder startet. Prüfen Sie daher, dass jeder Dienst selbstständig startet, und führen Sie anschließend bewusst einen Neustart durch, während Sie wach sind:

systemctl is-enabled nginx docker
sudo reboot

Ein unbeaufsichtigtes Upgrade kann außerdem ein Paket installieren, das Ihre Anwendung beschädigt. Kein Schritt in der Pipeline erkennt automatisch, dass dies geschehen ist. Ihr Monitor erkennt es. Deshalb ist der Monitor unverzichtbar, sobald die Updates automatisch erfolgen. Die Maschine übernimmt die Routine. Der Vorfall bleibt Ihre Verantwortung.

Wann sich Managed finanziell lohnt

Die Managed-Variante sollte fair bewertet werden. In vier Situationen ist sie die richtige Wahl.

• Niemand im Team arbeitet mit Linux, und die Einstellung einer entsprechenden Person ist nicht vorgesehen.
• Eine Compliance-Anforderung benennt eine für das Patchen verantwortliche Partei, und Sie können diese Verantwortung nicht übernehmen.
• Der Stack gehört zu den Systemen, auf die der Host spezialisiert ist. Der Support hat daher möglicherweise bereits einen Fehler wie Ihren bearbeitet.
• Die Person, die die Arbeit sonst erledigen würde, ist Ihr teuerster Mitarbeiter, und eine ihrer Arbeitsstunden kostet mehr als ein Monat des Aufpreises.

Managed ist nicht automatisch sicherer. Managed-Tarife patchen schneller als ein unaufmerksamer Betreiber. Das ist ein echter Vorteil. Sie installieren jedoch häufig auch ein Control Panel. Dabei handelt es sich um eine große, aus dem Netzwerk erreichbare Anwendung mit einer Anmeldeseite und einer eigenen Historie von Sicherheitslücken. Das kann ein vertretbarer Kompromiss sein. Es bleibt dennoch ein Kompromiss.

Die Entscheidung läuft jedes Mal auf dieselbe Liste hinaus. Schreiben Sie die zehn Aufgaben auf. Halten Sie für jedes Angebot fest, wer dafür verantwortlich ist. Vergleichen Sie anschließend die Lücke mit dem Wert einer Stunde Ihrer eigenen Aufmerksamkeit. Die meisten technisch versierten Leser entscheiden sich danach für Unmanaged und überlassen die Routine einem Timer. Das ist eine vertretbare Entscheidung und nicht lediglich die billigere.

FAQ

Was ist der Unterschied zwischen einem verwalteten und einem nicht verwalteten VPS?

Ein nicht verwalteter VPS stellt Ihnen nur die Maschine bereit. Sie sind daher für Patches, die Firewall, Backups, das Monitoring und den Neustart nach einem Kernel-Update verantwortlich. Bei einem verwalteten VPS übernimmt der Anbieter einen Teil dieser Aufgaben. Dazu gehören normalerweise die Betriebssystemebene und die von ihm installierte Software. Die genaue Abgrenzung legt jeder Anbieter selbst fest. Sie ergibt sich nicht automatisch aus dem Begriff. Lassen Sie sich daher den Leistungsumfang für jede einzelne Aufgabe schriftlich bestätigen, bevor Sie zwei Preise vergleichen.

Bedeutet ein verwalteter VPS, dass ich keine eigenen Backups brauche?

Nein. Anbieter-Backups schützen normalerweise das Abbild des gesamten Servers beim Anbieter. Sie sind für den Fall gedacht, dass der Host ausfällt. Sie helfen selten, wenn Sie eine Datei gelöscht, eine fehlerhafte Migration ausgeführt oder Daten vor Wochen beschädigt und dies erst heute bemerkt haben. Fragen Sie, wie lange Snapshots aufbewahrt werden, ob eine einzelne Datei wiederhergestellt werden kann und wer die Wiederherstellung durchführt. Bewahren Sie anschließend mit einem Tool wie restic eine eigene Kopie an einem anderen Standort auf. Testen Sie sie mit restic restore latest --target /tmp/restore-check, damit Sie wissen, dass sie funktioniert.

Ist ein verwalteter VPS sicherer als ein nicht verwalteter?

Nicht automatisch. Ein verwalteter Tarif installiert Patches schneller als ein Besitzer, der sich nie anmeldet. Das senkt das Risiko tatsächlich. Viele verwaltete Tarife installieren außerdem ein Control Panel. Ein Control Panel ist eine große, aus dem Netzwerk erreichbare Anwendung mit einer eigenen Anmeldeseite und einer eigenen Historie von Sicherheitslücken. Ein nicht verwalteter Server mit automatischen Sicherheitsupdates, einer geschlossenen Firewall, SSH nur mit Schlüssel und ohne zusätzliche lauschende Dienste ist ein kleineres Ziel als ein verwalteter Server mit Control Panel.

Kann ich nicht verwaltet beginnen und später zu einem verwalteten Tarif wechseln?

Normalerweise ja. Der Wechsel erfolgt jedoch selten per Checkbox. Anbieter prüfen oder erstellen einen Server häufig neu, bevor sie die Verantwortung dafür übernehmen. Sie unterstützen keine Konfiguration, die sie nicht überprüfen können. Fragen Sie, was die Einrichtung umfasst, ob eine Neuinstallation erforderlich ist und ob danach etwas, das Sie selbst konfiguriert haben, vom Leistungsumfang ausgeschlossen bleibt.

Behalte ich bei einem verwalteten VPS den root-Zugriff?

Bei den meisten verwalteten VPS-Tarifen behalten Sie ihn. Der root-Zugriff und der Supportumfang stehen jedoch in Zusammenhang. Manche Anbieter schränken den Support für eine von Ihnen manuell bearbeitete Komponente ein oder schließen ihn dafür aus. Andere erstellen den Server aus ihrer eigenen Vorlage neu, wenn ein Supportfall weit genug untersucht werden muss. Lassen Sie sich diese Regel schriftlich bestätigen, bevor Sie Änderungen vornehmen. Bewahren Sie Ihre Konfigurationsdateien außerdem in einer Versionsverwaltung auf. Dann dauert eine Neuerstellung eine Stunde statt eines ganzen Wochenendes.