Beste Europese alternatieven voor AWS CloudFront

Waarom mensen AWS CloudFront verlaten

We beginnen met het ongemakkelijke deel, want de meeste vergelijkingspagina's slaan dat over. CloudFront bevat een permanent gratis tegoed van één terabyte aan uitgaand dataverkeer en tien miljoen verzoeken per maand. Een site die daaronder blijft, betaalt helemaal niets, en dezelfde terabyte bij Bunny.net kost ongeveer tien dollar. Onder die drempel is „een Europees CDN is goedkoper” gewoon onwaar.

Daarboven keert de rekensom hard om. De volgende negen terabyte kost in Europa $0.085 per gigabyte, met HTTPS-verzoeken voor $0.0120 per tienduizend, en er zijn nu ook vaste abonnementen: Free, Pro voor $15 per maand, Business voor $200 en Premium voor $1,000, zonder kosten voor overschrijding. Bij $0.085 betaal je ongeveer acht en een half keer het gepubliceerde tarief van Bunny.net voor dezelfde bytes.

Maar de echte reden om deze pagina te lezen, is niet de rekening. Het enkel vervangen van CloudFront door een Europees CDN verandert op zichzelf niets aan de jurisdictie. Als je origin een S3-bucket en een load balancer is, dan heeft Amazon Web Services, Inc. nog steeds de objecten, de database en de logs. Je hebt dan de cache verplaatst en het bedrijf gehouden.

• Het CDN is het onderdeel dat het makkelijkst te verlaten is en het minst uitmaakt CloudFront is een cache die voor iets anders staat. Als dat iets in AWS blijft, voegt een Europees CDN alleen een Europese tussenstap toe aan een Amerikaanse omgeving en beantwoordt het geen enkele vraag die een gegevensbeschermingseffectbeoordeling werkelijk stelt. Dit is de stap in deze lijst die het vaakst om de verkeerde reden wordt gezet, en als je alleen dit doet, is het best te omschrijven als decoratie.
• Een wereldwijde dienst die vanuit Noord-Virginia wordt beheerd CloudFront wordt gepresenteerd als regio-onafhankelijk, maar het beheer is dat niet. De AWS-documentatie is duidelijk: een certificaat dat wordt gebruikt tussen bezoekers en CloudFront moet worden aangevraagd of geïmporteerd in de regio US East (N. Virginia). Het controlevlak voor het onderdeel dat TLS in Frankfurt beëindigt, staat in us-east-1, een nuttige herinnering aan waar het product daadwerkelijk wordt beheerd.
• Na de gratis terabyte is het tarief het dure deel Bij $0.085 per gigabyte in Europa voor het niveau boven het gratis tegoed betaalt een site die er tien terabyte per maand levert, enkele honderden dollars alleen al voor de levering. De vaste abonnementen beperken dat zonder kosten voor overschrijding, wat een echte verbetering is, maar Premium voor $1,000 per maand zit nog ver van een cent per gigabyte. CloudFront is goedkoop onderaan en duur in het midden.
• De distributie is aan het account gekoppeld, niet aan de site Origin access controls die alleen CloudFront toestaan de bucket te lezen, functies die aan de edge draaien, certificaten die in ACM staan, firewallregels die op globaal niveau zijn aangemaakt, logbezorging naar S3 en metrics naar CloudWatch: niets daarvan is in de gewone zin CDN-configuratie. Het is AWS-configuratie, en daarom raakt een CloudFront-migratie meer teams dan iemand schat.

Wat je moet vervangen, niet alleen evenaren

Bepaal eerst of je een CDN vervangt of begint met het verlaten van een cloud, want de twee projecten hebben vrijwel niets gemeen.

Gaat het alleen om het CDN, dan gaat het om levering, certificaten, cachegedrag en eventuele edge-functies, en elke aanbieder hier kan dat binnen een week aan. Gaat het om de hele omgeving, dan telt de volgorde: eerst origin-opslag, dan compute, dan de cache ervoor, want als je eerst de cache verplaatst, draai je een Europees CDN voor een Amerikaanse bucket en betaal je Amazon daar nog egress voor.

Twee aanbieders hier kunnen zowel de origin als de cache overnemen. Bunny.net heeft Edge Storage, dat de bestanden opslaat op hetzelfde netwerk dat ze levert. Gcore heeft objectopslag, virtuele machines en Kubernetes in EU-regio's. KeyCDN en Myra Security zijn respectievelijk levering en bescherming, en beide gaan ervan uit dat je origin al ergens staat waar je tevreden mee bent.

De alternatieven vergeleken

Hoe elk alternatief zich verhoudt tot AWS CloudFront

Wat er echt stukgaat als je overstapt

Toegang tot de bucket breekt het eerst en is het makkelijkst om slecht te laten breken. Origin access control zorgt ervoor dat de bucket alleen op CloudFront reageert, dus een nieuwe aanbieder krijgt 403's totdat je de policy aanpast, en de onzorgvuldige versie van die aanpassing maakt de bucket wereldwijd leesbaar. Gebruik een ondertekende regeling of een aparte credential, en controleer de bucket vanuit een niet-geauthenticeerde client voordat je verkeer verplaatst.

Ondertekende URL's en edge-functies zijn de tweede. Alles wat CloudFront-ondertekende URL's of cookies uitgeeft, moet opnieuw worden uitgegeven volgens het schema van een andere aanbieder, wat meestal betekent dat je applicatiecode aanpast in plaats van configuratie. CloudFront Functions en Lambda@Edge draaien nergens anders; de runtime van Gcore neemt de eenvoudige over en de rest moet worden herschreven.

En let op de egress waar je niet op had gerekend. Een CDN buiten AWS haalt via het internet op bij een AWS-origin, en Amazon rekent standaard uitgaand dataverkeer voor elke cachemiss. Bij een hoge hitratio is dat verwaarloosbaar; bij veelvuldige purges of een lange staart van zelden opgevraagde objecten kan het de besparing volledig tenietdoen. Meet eerst je hitratio, want dat ene getal bepaalt of deze verhuizing de moeite waard is voordat de origin verhuist.

Is een Europees CDN echt goedkoper dan CloudFront?

Dat hangt af van aan welke kant van één terabyte je zit, en het eerlijke antwoord verrast mensen. CloudFront bevat elke maand een terabyte uitgaand dataverkeer en tien miljoen verzoeken zonder kosten, voor altijd en niet als proefperiode van twaalf maanden. Een brochuresite, een documentatieportaal of een kleine applicatie blijft nooit binnen dat tegoed en betaalt daarom ook nooit iets.

Bunny.net rekent een cent per gigabyte, dus diezelfde terabyte kost ongeveer tien dollar. Goedkoper dan gratis bestaat niet, en elke pagina die je anders vertelt, heeft de prijzen niet gelezen.

Zodra je de drempel overschrijdt, keert het direct om. De volgende negen terabyte kost $0.085 per gigabyte in Europa, dus tien terabyte per maand kost enkele honderden dollars, waar Bunny.net er minder dan honderd zou rekenen. De vaste abonnementen veranderen de vorm van de rekening, niet het tarief: Business voor $200 zonder kosten voor overschrijding is een redelijke deal tegenover een variabele AWS-factuur, en een slechte tegenover een Europese aanbieder die op verbruik rekent.

Lost verhuizen weg van CloudFront mijn AVG-probleem op?

Alleen als de origin meeverhuist. CloudFront slaat op en levert wat iets anders produceert, en dat iets anders is meestal een S3-bucket, een Application Load Balancer of een API Gateway. Die horen bij Amazon Web Services, Inc. uit Seattle, en een Amerikaans openbaarmakingsbevel bereikt het bedrijf dat ze bezit, welk netwerk er ook voor staat.

Wat een Europees CDN wel verandert, is wie TLS beëindigt en wie de verzoeklogs bewaart: welke bezoeker welke pagina heeft geladen, vanaf welk adres, op welk moment. Dat is een echte categorie persoonsgegevens, en het verplaatsen ervan naar een Europese exploitant is een echte verbetering. Het is alleen niet hetzelfde als vertrekken.

De variant die werkt, verloopt in volgorde: verplaats de objecten naar Europese opslag, verplaats de compute, en zet dan een Europees CDN ervoor. In die volgorde is het een echte migratie. Omgekeerd is het een Europese cache voor een Amerikaanse origin, met egresskosten tussen aanbieders als beloning.

Wat bindt ons eigenlijk aan CloudFront?

Zelden de caching zelf. Het zijn de integraties aan beide kanten ervan. Origin access control zorgt ervoor dat de S3-bucket alleen op CloudFront reageert en zorgvuldig opnieuw moet worden opengezet. Certificaten staan in ACM en moeten zijn uitgegeven in de regio N. Virginia. Firewallregels die aan de distributie zijn gekoppeld, worden op globaal niveau aangemaakt. Logs komen terecht in S3 en metrics in CloudWatch, en de alerting van iemand hangt van beide af.

Dan is er edge-code. CloudFront Functions en Lambda@Edge doen voor veel omgevingen verzoekherschrijving, authenticatie en headermanipulatie, en geen van beide draait ergens anders. De edge-runtime van Gcore dekt de gangbare patronen; alles met de AWS SDK binnen een Lambda@Edge-functie is een herschrijving.

Tel die vijf dingen eerlijk op voordat je iets inplant. De omschakeling van de levering duurt een dag; het integratiewerk is het project.

Moeten we eerst het CDN verlaten of eerst de origin?

Bijna altijd de origin. Objecten en compute zijn het trage, dure en riskante deel, en zodra die zijn verhuisd, wordt de CDN-beslissing triviaal: je wijst een Europese aanbieder naar een Europese origin en het hele pad valt onder één wet.

Eerst het CDN doen heeft naast het feit dat het niets oplost nog een specifieke kostenpost: je nieuwe CDN haalt via het publieke internet uit S3, en AWS rekent egress voor elke cachemiss. Een koude cache na een purge wordt een factuur van de aanbieder die je probeerde te verlaten.

De uitzondering is wanneer het CDN het enige onderdeel van de omgeving is dat bezoekersgegevens verwerkt en al het andere al Europees is. In dat geval is de cache het hele probleem, en het verplaatsen ervan is de hele oplossing.

Welke kies je

Zit je onder een terabyte per maand en heeft niemand een harde vraag gesteld over bezoekerslogs, blijf dan. CloudFront is op die omvang gratis, en verhuizen naar een Europese aanbieder die op verbruik rekent om een punt te maken, kost geld en levert weinig op.

Verlaat je echt AWS, doe dan eerst de origin en laat het CDN volgen. Gcore is de enige leverancier hier die compute, opslag en levering samen kan overnemen, en Bunny.net is het goedkope antwoord als de origin bestanden zijn in plaats van een applicatie.

Draait je site al in Europa en is CloudFront het laatste Amerikaanse onderdeel in het pad, dan maakt KeyCDN de klus af voor vier cent per gigabyte en zonder cloudaccount.

En komt de eis van een toezichthouder in plaats van van een financieel team, dan is Myra Security het alternatief dat de audit doorstaat. Besef dan wel dat je een beveiligingsleverancier koopt, geen goedkopere cache.