Сетевое оборудование

«Запад тоже следит!» - главный аргумент сторонников установки отечественных сертификатов

Сегодня я на пальцах докажу, почему это сравнение некорректно. Сравним два вектора MITM-атаки:

Глобальный (АНБ): Требует взлома математики или сговора с публичным CA, который тут же спалится через логи CT

Локальный (Минцифры): Требует... просто вашего согласия на установку сертификата.

Как браузеры (Chromium-based) молча отключают строгие проверки для «ручных» сертификатов и почему Саша из Минска не нужен Трампу, но очень интересен товарищу майору.

Сетевой протокол канального уровня Spanning Tree достаточно широко распространен в современных сетях. Его используют для борьбы с закольцовыванием сетевой топологии. Однако, STP не позволяет полностью использовать каналы, к которым подключены несколько линков. Плюс к этому у STP относительно большое время сходимости и необходимость передавать трафик через корневой коммутатор, то есть единая точка отказа.

В качестве одной из альтернатив Spanning Tree можно воспользоваться MLAG. Multi-Chassis Link Aggregation (MLAG) — технология, обеспечивающая балансировку нагрузки и надежность каналов. В этой статье рассматриваются значение, важность и потенциальные варианты использования MC-LAG на различных уровнях сети.

Всем привет, меня зовут Володя. Я работаю в Yandex Infrastructure и занимаюсь развитием систем балансировки нагрузки. В статье расскажу, как развивалась наша новая система управления конфигураций с момента её создания в 2018 году, а ещё о том, как мы переходили на новый Data Plane балансировки и какие новые интересные вызовы это породило с точки зрения массовости задач и управления ресурсами. 

Опишу новые проблемы и особенности, в том числе планирование ресурсов для большого динамичного парка клиентов. Также обсудим, какие бывают долговременные негативные последствия у слишком удобных систем балансировки нагрузки и что мы планируем с этим делать.

В предыдущей моей статье разбиралась реализация подключения мобильного интернета от удаленной на 7 км не заглушенной вышки в условиях его ограничений и практически тотальной блокировки. Спустя несколько месяцев пользования оборудованием возникло естественное желание улучшить ситуацию со стабильностью интернет‑подключения.

Привет, Хабр, как уже знаете, или нет, меня зовут Сергей, я инженер-разработчик в Краснодарской компании, которая проектирует и производит камеры видеонаблюдения в России.

За годы работы я хорошо увидел, как на самом деле устроен бюджетный сегмент видеонаблюдения. И важно понимать: камеры из этого сегмента не выходят из строя «случайно» вскоре после окончания гарантии. Их проектируют так, чтобы они дожили до момента продажи и немного дольше, не больше.

Давайте разберём, почему это происходит технически, и почему, когда речь идёт о видеонаблюдении, «дешево» почти всегда оборачивается «дорого».

Привет, Хабр! Меня зовут Анна Курина, я старший инженер по тестированию в отделе бокс-тестирования базовой станции LTE в YADRO. Сегодня я расскажу, как мы проходили сертификацию базовой станции: проверяли соответствие российскому законодательству и спецификациям 3GPP. А еще мы разберемся с малознакомым для широкой аудитории QA-инженеров видом тестирования: тестированием на соответствие (conformance testing). Оно позволяет тестировщику окунуться в реальную эксплуатацию оборудования, а не просто провести тесты и забыть о «железе».

UDS (ISO 14229) (Unified Diagnostic Services) это бинарный протокол.

Обычно этот протокол гоняют поверх протокола ISO-TP в CAN шине между ECU. Подробно протокол описан в стандарте ISO 14229.

Это диалоговый протокол, то есть работает по принципу запрос-ответ. Получается что тут есть master и slave узлы. Ещё говорят клиент сервер. Где клиент - это тестировочное оборудование, а сервер - автомобильный ECU.

В этом тексте я произвел поверхностный обзор протокола UDS.

Истории из реальных аудитов, где всё пошло «чуть‑чуть не так».

Мы бываем в десятках компаний в год — от заводов и банков до IT‑стартапов. Кто‑то зовёт нас «для галочки», кто‑то «перед проверкой Роскомнадзора», кто‑то просто «посмотреть, всё ли у нас нормально».

И каждый раз мы приезжаем в уверенную, стабильную, «защищённую» компанию. Админы показывают аккуратные схемы сети, SIEM светится зелёным, политики паролей лежат в папке "ИБ_утверждено.pdf".

Но чем глубже смотришь - сервера, забытые VPN, бэкапы, которые съедают прод, и принтеры, через которые можно войти в почту директора.

И самое поразительное - почти никогда нет злого умысла. Только спешка, удобство и уверенность, что «оно же работает, зачем трогать».

Мы собрали несколько историй, которые особенно запомнились. Все они реальные, из аудитов последних месяцев. Ошибки — неочевидные, но каждая могла обернуться катастрофой.

1. История про Wi-Fi, который слышал всё

Обычный корпоративный Wi-Fi. Для сотрудников — одна сеть, для гостей — другая, через VLAN. На бумаге всё идеально.

Но когда мы посмотрели arp -a, внезапно появился контроллер домена.

Трассировка показала, что гостевая сеть идёт тем же маршрутом, что и внутренняя. А DNS-запросы обслуживает корпоративный DNS с SRV-записями Kerberos.

Любой гость с ноутом в переговорке мог поднять responder, перехватить NTLM-хэши и начать брутить офлайн.

Когда разговор заходит о безопасности на уровне сети, то все обычно в первую очередь вспоминают о защите периметра, ведь именно из Интернета в локальную сеть ломятся всевозможные вредоносы. Затем вспоминают про защиту конечных узлов: серверов и пользовательских машин. При этом, многие забывают о том, что злоумышленники могут эксплуатировать уязвимости в настройках сетевого оборудования. В этой статье мы хотим вспомнить про канальный уровень и поговорить об атаках и мерах защиты, которые можно использовать на коммутаторах.

Моя работа связана с телефонией. Однажды на известной торговой площадке я наткнулся на объявление о продаже бесплатно! телефонного аппарата Cisco SPA504g (на самом деле — aka Linksys/Sipura). Цена была обусловлена одной «досадной» мелочью — аппарат был «запаролен» оператором, который предоставляет услуги телефонии, отдавались они на запчасти. Аппаратов было много, прямо несколько десятков, для обучения даже такие бы пригодились. Поскольку таких аппаратов мне встречалось не мало, опыт сброса/разблокировки и даже «раскирпичивания» был, я с радостью согласился. Даже, на худой конец, на запчасти. Бородач, который выкатил тележку с горой аппаратов, без сожаления отдал её со словами типа «не охота паять». Но я то считал себя спецом! Что с этого вышло — ниже.

Аппарат, как уже отмечалось, имеет корни от Linksys (весьма важное замечание, о котором не все догадываются), которые\ ранее были вообще Sipura. На заре своего погружения в VOIP я их даже путал.

В наших текущих реалиях требования к роутеру могут быть очень высокими, недостаточно просто «выпускать устройства в интернет». Я хотел выделить сервера в отдельную подсеть, поднять VPN для доступа к устройствам за пределами дома, срезать рекламу на обделенных адблоком устройствах, а дальше хотелки только росли.

Примерно оценив количество хотелок, прикинув количество ресурсов с учетом запаса на будущее и моей недальновидности, а также увидев цены на MikroTik hAP ax³, я подумал: «а почему бы не взять пассивный мини‑пк за ту же сумму и получить в разы более мощное железо?», а следующая мысль была «а чего это железо такое мощное будет пустовать? Пусть еще виртуальную мелочевку на себе тащит, ресурсов хватит».

Приветствую, коллеги! Это снова @ProstoKirReal. В прошлой статье я с вами обсуждал историю развития SFP модулей, их типы и иерархию скоростей, а также из чего они состоят.

В данной статье хотел бы с вами обсудить все, что касается оптических кабелей. От основ их устройства до практических рекомендаций по выбору.

Asus представила ROG Rapture GT-BE19000AI — первый роутер в геймерской линейке со встроенным искусственным интеллектом. Стоит он как хороший ноутбук — $899. За эти деньги пользователь получает систему, внутри которой четырехъядерный процессор на 2,6 ГГц, 4 ГБ оперативной памяти и 32 ГБ хранилища.

Девайс раздает Wi-Fi 7 на 19 Гбит/с суммарно и поддерживает контейнеры Docker, чтобы запускать приложения вроде Home Assistant без дополнительного оборудования. Когда дома множество устройств — от консолей до датчиков — такая модель избавляет от лишних коробок и ручной настройки, делая сеть стабильной и удобной. В общем, много всего интересного! Давайте попробуем разобраться. 

Меня зовут Саша Шилкин, я работаю в Yandex Infrastructure и занимаюсь автоматизацией сети. Сегодня расскажу про обновление конфигурации сетевых устройств и про то, как мы его делаем в нашей команде: как начинали, как менялась конфигурация, какие для этого были предпосылки. 

Мы уже рассказывали о задаче автоматического обновления конфигурации на масштабах сети всего Яндекса. В своей статье я поделюсь опытом, как мы решаем эту задачу именно для облачной платформы. Мы обращаемся к накопленному опыту коллег, однако наши сети хоть и похожие, но отличаются в некоторых местах, особенно процессно. 

Все инструменты, о которых пойдёт речь, выложены в опенсорс. Если у вас возникнет желание попробовать то, о чём я рассказываю, многое вы сможете повторить самостоятельно. Ну и поскольку в каких‑то деталях наша адаптация инструментов имеет свои особенности — мой рассказ будет интересен всем, кто хочет внедрить ту самую Аннушку из опенсорса с учётом своей ситуации. 

Статья написана по материалам моего выступления на nexthop, конференции по сетевым технологиям, — с небольшими дополнениями, которые произошли за год.

В этом году на nexthop 2025 я также расскажу об автоматизации масштабируемой сети для BareMetal‑серверов — так что, если эта тема интересна, заглядывайте к нам 19 ноября.

Промышленные сети предъявляют повышенные требования к сходимости и скорости работы. Мы не можем позволить себе недоступность в работе сети даже на несколько секунд. Именно поэтому многие протоколы, такие как Spanning Tree, активно используемые в корпоративных сетях, здесь не применимы. В качестве замены различные вендоры предлагают свои решения адаптированные для работы в промышленных сетях.

В этой статье мы поговорим о разработанном Cisco протоколе REP (Resilient Ethernet Protocol). Несмотря на то, что официально этот вендор не работает в России, на многих предприятиях до сих пор используется их сетевое оборудование, прежде всего коммутаторы и поэтому использование данного протокола является по прежнему актуальным.

В этом тексте я произвел обзор Си-шной реализации протокола iso-15765 (он же ISO-TP), которую можно свободно скачать с сайта github в репозитории DevCoons.

Определил достоинства и недостатки данной реализации ISO-TP протокола.

Представьте: обычный вторник, и вдруг в корпоративном чате паника — CRM лежит, бухгалтерия не может отправить платежи, сайт не открывается. Где-то в серверной тихо погас светодиод на ключевом коммутаторе. Или, что хуже — весь ЦОД оказался в зоне коммунальной аварии. 

Но что еще хуже — вместе с частью инфраструктуры вышли из строя защитные решения, и появился риск получить вдобавок к аварии еще и кибератаку. Чтобы этот страшный сон не стал явью, инженеры придумали «подложить соломки» при помощи кластеризации.

Сегодня поговорим о том, как превратить точку отказа в отказоустойчивую систему на примере российского NGFW-решения UserGate. Разберем не только техническую сторону (протокол VRRP, режимы Active/Passive и Active/Active, синхронизацию сессий), но и практические моменты: сколько это стоит, как долго настраивать, какие подводные камни ждут на каждом этапе.

Статья будет полезна системным администраторам, которые планируют внедрение отказоустойчивого периметра, и техническим руководителям, которым нужно понимать, во что они ввязываются.

Всем привет! Я руковожу группой технической поддержки и сопровождения в компании «Онланта». Мы занимаемся поддержкой оборудования различных вендоров. Сегодня расскажу о кейсе по решению проблемы с СХД Dell: система не определяет SFP.

Эта статья - вторая по счету на тему open source модуля для роутеров ASUS на базе прошивки MerlinWRT. Предыдущая версия была написана почти год назад, и с того времени произошло множество изменений в модуле. Я хочу несколько осветить их в новой статье, поскольку модуль обзавелся множеством фич и полезных функций. Для базового понимания, все же стоит ознакомиться с изначальной статьей.

Сейчас сложно найти человека, которому неизвестно то чувство, которое испытываешь, когда любимый бренд внезапно исчезает с прилавков. Особенно неприятно, когда речь идет о сетевом оборудовании, которое работает годами без нареканий. Именно это и происходит сейчас с роутерами Keenetic — их больше не будет в российских магазинах. Вместо них на полках появятся новые устройства, которые заменят их. Если вы думаете, что это рекламная статья какого-то конкретного бренда, то это не так. Все куда интереснее, чем кажется на первый взгляд. Тем более что фанаты Keenetic ничего не потеряют.