Альтернатива AWS без KYC: как уйти от hyperscaler-провайдеров

Почему компании уходят от AWS, DigitalOcean, Hetzner и Vultr

Поисковые запросы про альтернативу AWS без KYC в основном оставляют люди, у которых уже что-то работает в проде. Это важно, потому что вопрос смещается от какое облако дешевле к что сломается, если я перееду. На большинство случаев приходится три триггера. Первый — требование подтвердить личность, которое прилетает постфактум: аккаунт год спокойно выставлял счета, а потом его внезапно ограничивают до загрузки документа. Второй — счёт: вычисления прогнозировали, egress — нет. Третий тише и обычно приходит последним — осознание, что корпоративный облачный аккаунт представляет собой прочную, готовую под повестку запись о том, кто чем управляет.

Четыре названия в заголовке не равнозначны. AWS, DigitalOcean и Vultr — американские компании с американской корпоративной структурой; Hetzner — немецкая компания, и её цены достаточно агрессивны, чтобы люди мирились с её бумажной волокитой. Общее у них — не конкретная политика, а возможность: каждый держит проверенный платёжный инструмент и оставляет за собой право потребовать больше, по своему усмотрению, на аккаунте, который вы уже построили. Альтернатива — не более дружелюбная политика, а провайдер, который вообще никогда не собирает эти материалы, и в этом суть нашей позиции по no-KYC.

Что каждый hyperscaler проверяет, прежде чем вы сможете запустить сервер

Поверхность проверки полезно разложить по уровням, потому что фраза ID не требуется обычно верна и обычно неважна. Уровень первый — email-адрес и всё чаще номер телефона, способный принять SMS: уже два идентификатора, которые большинство людей переиспользуют повсюду. Уровень второй — платёжная карта, и именно этот уровень выполняет реальную работу: карту выпустил банк, который провёл полную проверку личности, так что провайдер наследует подтверждённую юридическую личность, ни разу не спросив у вас документ. Уровень третий, задействуется выборочно, — запрос документа: удостоверение личности, селфи, банковская выписка — обычно срабатывает по риск-скору, который вы никогда не видите.

Именно поэтому оплата американского облака privacy-монетой, купленной на бирже, привязанной к карте, почти ничего не меняет: личность была установлена на втором уровне ещё до того, как в картине появилась крипта. Убрать KYC из хостинга значит убрать кредитные отношения, которые его требуют, а не поменять платёжную шину, прикрученную сверху. Руководство по VPS без верификации личности подробно разбирает сторону аккаунта, а анонимная оплата хостинга — сторону финансирования, включая звенья цепочки, которые выдают людей. Глоссарий определяет термины, используемые на всём сайте.

Постоплата против предоплаченного crypto-баланса

Структурная разница между двумя моделями — это кредит. Hyperscaler даёт сначала потребить, а выставляет счёт потом, из-за чего вы на месяц становитесь должником, а анонимному контрагенту кредит никто не даёт. Верификация личности — не довесок к постоплатному биллингу, а то, что вообще делает постоплату возможной. Разверните направление — и требование исчезает. Предоплаченный баланс не несёт кредитного риска, так что андеррайтить нечего и незачем знать, кто вы. Это и есть реальный механизм за cloud-сервером без верификации личности, и в этом стоит разобраться, прежде чем это начнёт звучать как маркетинг.

На практике: аккаунт — это логин и пароль, восемь кодов восстановления, выданных при регистрации, и никакого email во всей цепочке. Пополнять баланс можно от $30.00 до $5,000.00 за раз, любой из 8 монет и сетевых вариантов в 7 валютах, с Monero и Bitcoin в начале списка. Развёртывания и продления затем списываются с этого баланса внутренне — без счетов, без ожидания подтверждения, VPS онлайн примерно за 15 min. Неиспользованный остаток возвращается в крипте в течение 30 дней с момента пополнения, которое его создало, за вычетом сетевых комиссий. Полная механика, включая бонусную лестницу за более крупные пополнения, — в статье предоплаченный биллинг: как это работает; разбор оплаты через Monero показывает одно пополнение от начала до конца.

Egress, пропускная способность и счёт, который невозможно спрогнозировать

Тарифицируемый egress — это та строка, которая чаще всего запускает поиск, приведший вас сюда. Вычисления легко смоделировать — часы инстанса умножить на ставку, — а egress зависит от того, насколько популярной окажется ваша штука, а это именно то число, которое спрогнозировать нельзя. Вокруг него стоят сопутствующие счётчики: межзональный трафик, единицы ёмкости балансировщика нагрузки, часы работы шлюза и плата за гигабайт при выгрузке собственных бэкапов обратно. Месяц неожиданного успеха приходит в виде счёта, а не узкого места, и архитектура в итоге формируется прайс-листом.

Наш ответ — плоский тариф. Каждый тарифный план VPS получает безлимитный по трафику порт — 1 Гбит/с на всей линейке, 2 Гбит/с на самом крупном плане, — и месячная цена и есть вся цена. Нет лимита трафика, который можно превысить, и нет платы за гигабайт на выходе, поэтому медиа, цели для бэкапов, зеркала и VPN-выходы обычно переезжают первыми. 1.5 Tbps защита уровня L3/4 идёт по умолчанию, а не как тарифицируемая опция. Безлимитный не значит бесконтрольный, и утверждать обратное было бы нечестно: политика допустимого использования по-прежнему действует, а спам, управляющие серверы вредоносного ПО и CSAM удаляются при обнаружении.

Юрисдикция: кто может добраться до ваших данных, если вы покидаете облака США, и при чём тут DMCA

Уход из облака США меняет то, какой правовой системе отвечает ваша инфраструктура, и обычно это влияет сильнее, чем цена. До провайдера, зарегистрированного в США, дотягивается американский процесс независимо от того, какой флаг висит над дата-центром, потому что рычаг давления — корпоративная материнская компания, а не стойка с железом. Выбор хостера вне этой структуры переносит вопрос в другой набор судов, с другими стандартами того, что должен содержать ордер, прежде чем кто-либо станет по нему действовать. Это реальное изменение, а не лазейка для побега: юрисдикция есть всегда у кого-то, и вы просто выбираете, у кого именно.

Есть 6 регионов на выбор. Бухарест и Амстердам тарифицируются по базовой ставке и обеспечивают самую сильную европейскую связность; Цюрих, Рейкьявик, Куала-Лумпур и Панама-Сити каждый применяет свой региональный модификатор, показываемый прямо в конфигураторе, и каждый покупает что-то своё — законодательную защиту данных, режим свободы прессы, задержку до Азиатско-Тихоокеанского региона вне зоны Five Eyes или отсутствие закона об обязательном хранении данных. Компромиссы разобраны по регионам в статье какую офшорную локацию выбрать?, а с юридической стороны — в сравнении офшорных юрисдикций. Наша собственная позиция не меняется: жалобы по DMCA не обрабатываются и не получают ответа — DMCA — это закон США, не имеющий силы в наших юрисдикциях, и мы действуем только по обязывающему решению суда, обладающего юрисдикцией над конкретным сервером. Что именно покрывает и не покрывает эта формулировка, разобрано в статье что на самом деле означает «хостинг, игнорирующий DMCA».

Перенос инстанса AWS или DigitalOcean на no-KYC тариф

Большинство переездов меньше, чем кажутся. Инстанс общего назначения — это число vCPU, объём памяти и диск, а линейка VPS без KYC включает Drift, Shelf, Slope, Abyss и Hadal от $8.00/мес — точные характеристики живут на странице тарифов, а не здесь, где они бы устаревали. Во время переезда стоит избавиться от двух привычек. Первая — подбирать размер по типу инстанса, а не по замеру: выделенный vCPU на EPYC с NVMe ведёт себя иначе, чем burstable-инстанс, который месяцами тихо троттлился, и честная замена часто оказывается на ступень ниже, чем предполагает старое название.

Вторая привычка — считать хранилище бесконечным. Блочное хранилище, которое вы подключаете по терабайту по требованию, превращается в фиксированную цифру NVMe на тариф, так что рабочей нагрузке, которой позволяли разрастаться бесконтрольно, перед переездом нужно реальное число. Выше линейки VPS начинается выделенное оборудование от $66.00/мес — туда переезжает всё, что работало на крупном metal-class инстансе; доступно в Бухаресте, Амстердаме и Цюрихе, и развёртывание занимает 2–12 h, а не минуты.

От чего вы на самом деле отказываетесь, уходя от managed-инфраструктуры

Это тот раздел, который большинство руководств по переезду опускают. Вы меняете managed-платформу на root-доступ к серверу, и разница — это реальная работа. Нет сервиса объектного хранения, нет управляемой реляционной базы данных, нет serverless-среды выполнения, нет управляемой control-plane для Kubernetes, нет системы identity-and-access с политиками по ролям и нет группы автомасштабирования, которая тихо добавляет инстансы в три часа ночи, потому что очередь разрослась. Всё, что вы арендовали как сервис, становится тем, что вы устанавливаете, мониторите, патчите и бэкапите сами. Регионов 6, а не десятки, так что по-настоящему глобального edge-присутствия в меню нет. Биллинг — помесячный и предоплатный, а не посекундный, что подходит стабильным нагрузкам и наказывает всплесковые.

Есть и потолок комплаенса, и это стоит сказать прямо: если аудитору клиента нужен поименованный вендор, подписанное соглашение об обработке данных (DPA) и отчёт об аттестации, хостер, который сознательно не хранит документы, удостоверяющие личность, этой анкете не удовлетворит — включая нас самих. Это не пробел, который мы намерены закрыть: это прямое следствие модели, а не недосмотр. Оценивайте этот компромисс по своей собственной модели угроз, а не по нашей. Таблица сравнения ставит нас рядом с десятью другими privacy-хостерами по тем же критериям, а FAQ отвечает на операционные вопросы, которые это руководство намеренно освещает коротко.

Какие рабочие нагрузки (workloads) стоит переносить, а какие лучше оставить на месте

Чисто переезжает то, что и так использовало hyperscaler просто как Linux-машину с хорошей сетью. VPN-выходы и личные туннели — см. как поднять свой WireGuard — а также Tor-релеи, self-hosted почта, статические сайты и установки CMS, бэкенды приложений и игр, CI-раннеры, скрейперы, зеркала и всё, что нагружает egress. Ничто из этого не тащит за собой зависимость от managed-сервиса, и плоский безлимитный порт обычно делает это одновременно дешевле и проще.

То, что должно остаться на месте, так же легко узнать. Всё, что намертво приварено к проприетарному managed-сервису, — это переписывание, а не переезд, а переписывание, замаскированное под переезд, — типичная причина провала миграций. Всё по-настоящему эластичное — трафик, скачущий на порядок по расписанию, — это именно то, в чём хороши посекундный биллинг и группы автомасштабирования. Всё, что подпадает под комплаенс-режим с поимённым списком вендоров, остаётся там, где уже лежит бумага. Разделённая инфраструктура — законный итог, а не признание поражения: переносите те офшорные VPS-нагрузки, которым это выгодно, а остальное оставляйте точно там, где оно есть.

Шаг за шагом

1. 01

   Составьте инвентаризацию того, что hyperscaler на самом деле делает за вас

   Прежде чем что-либо считать в деньгах, перечислите каждый сервис в аккаунте, а не только инстансы. Managed-базы данных, бакеты объектного хранения, очереди, сертификаты, DNS-зоны, задачи по расписанию и роли IAM — вот что на самом деле составляет переезд; вычисления — это лёгкая часть. Всё в этом списке, для чего нет self-hosted замены, — это решение, которое нужно принять, а не задача, которую нужно запланировать.

2. 02

   Откройте аккаунт и пополните предоплаченный баланс

   Регистрация — это логин и пароль: без email, без телефона, без карты. Сохраните восемь кодов восстановления в офлайне, прежде чем идти дальше: потеряете пароль и все восемь кодов — и аккаунт станет невосстановимым, потому что сброса через email в запасе нет. Затем пополните баланс от $30.00 в монете на ваш выбор.

3. 03

   Подберите размер замены и выберите регион

   Возьмите цифры по CPU и памяти, которые вы измерили, а не те, что были выделены изначально, и выберите ступень на лестнице тарифов. Выбирайте регион в первую очередь по правовому профилю, во вторую — по задержке, а перед тем как подтвердить, посмотрите региональный модификатор в конфигураторе. VPS выходит в онлайн примерно за 15 min; выделенное оборудование занимает 2–12 h.

4. 04

   Восстановите managed-компоненты до переноса каких-либо данных

   Разверните замены и докажите, что они работают, пока старый стек всё ещё обслуживает трафик: PostgreSQL или MariaDB вместо managed-базы данных, сервер объектного хранения или обычный диск вместо бакета, reverse-proxy вместо managed-балансировщика нагрузки и собственную автоматизацию сертификатов. Заодно защитите машину — SSH только по ключу, firewall с default-deny, автоматические обновления безопасности.

   apt update && apt full-upgrade -y
   apt install -y ufw fail2ban unattended-upgrades
   ufw allow OpenSSH
   ufw enable

5. 05

   Синхронизируйте данные, а потом синхронизируйте их ещё раз

   Сделайте первое массовое копирование, пока старый сервис ещё живой, а затем короткий второй проход в момент переключения, чтобы забрать дельту. Базы данных переносятся дампом и восстановлением либо репликацией, если бюджет на простой жёсткий. Прогоните восстановление на новой машине заранее, прежде чем ей довериться — непроверенный бэкап не является бэкапом.

   rsync -aHAX --numeric-ids --info=progress2 /srv/ root@newhost:/srv/
   pg_dump -Fc appdb | ssh root@newhost 'pg_restore -d appdb'

6. 06

   Снизьте DNS TTL, а затем переключитесь

   Снизьте TTL до 300 секунд на каждой записи, которую собираетесь переносить, минимум за сутки, чтобы старое значение везде истекло из кешей до переключения. Смените записи, следите за логами обоих серверов, пока старый не затихнет, а затем снова поднимите TTL.

   dig +noall +answer example.com A
   dig +noall +answer +trace example.com A

7. 07

   Выводите старый сервер из эксплуатации осознанно, а не сразу

   Дайте переезду отстояться целый биллинговый цикл, прежде чем что-либо удалять — старый инстанс это ваш путь отката, и он обойдётся максимум в ещё один месяц. Когда будете уверены, экспортируйте всё, что обязаны сохранить, удалите данные, удалите способ оплаты, а затем закройте аккаунт — именно в таком порядке. Закрытие аккаунта не стирает запись о том, что он существовал, и это аргумент в пользу того, чтобы не открывать следующий.