All streams
Search
Write a publication
Pull to refresh
-3
0
Сергей Крашевич @svk

User

Send message
А внутри своей сети с помощью функционала reverse path check на сетевом оборудовании можно почти полностью исключить возможность спуфинга IP-адресов.
А зачем разрешать слать на сислог сообщения всем кому ни попадя? Только доверенной сети, где и живет инфраструктура.
У нас вот так создает. Плюс надо права на каталог проверить:
$Umask 0022
$DirOwner root
$DirGroup syslog
$dircreatemode 0755
$FileOwner root
$FileGroup syslog
$filecreatemode 0644
$template RemLogs,"/var/log/remote/%$YEAR%/%$MONTH%/%$DAY%/%FROMHOST%.log"
*.* ?RemLogs
Откуда сины, если syslog работает по udp?
Это мало. У меня 6000 прилетает за 4 секунды:

# time /usr/sbin/tcpdump -n port syslog -c 6000 > /dev/null
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
6000 packets captured
6000 packets received by filter
0 packets dropped by kernel

real 0m4.047s
user 0m0.052s
sys 0m0.023s
Грейлог загибается под нагрузками только в путь.
Да, мучают аналогичные проблемы.
А в случае каких-то нештатных ситуаций бывает вообще до 90 Гб логов за сутки от одного сервера.
Везет вам, 6.5 Гб за 7 месяцев. У меня зачастую столько в сутки бывает на центральном сислоге.
Даже не нужно базу останавливать. Многие СУБД имеют функционал, который позволяет уложить бэкап (а уж тем более снапшот) в одно транзакционное окно.
Совсем забыли написать про централизованную аутентификацию на серверах. Когда на 100+ серверах зоопарк учетных записей это ужасно с точки зрения безопасности.

А вот про системы контроля и распространения конфигураций не соглашусь. У меня в ведении много серверов и ни разу нужны в них не было. В отделе есть сектор развития, который готовит внедренческую документацию, типовые решения и т.д., а также сектор эксплуатации, который по этой документации настраивает реальное оборудование. Получается проще и надежнее, нежели городить единый центр конфигурирования с псевдо-языком. Плюс представьте что его скомпрометируют — можно смело переставлять ОС на всем парке оборудования.
А есть в природе готовые средства для мониторинга изменений в динамических протоколах маршрутизации? Навскидку на ум приходят только BGPMon — но он, как и следует из названия, только для BGP, отмониторить изменения в IGP-протоколах с его помощью не выйдет. Нужели остается только ставить кваггу и крутить к ней костыли?
У нас после перевода ex-Inetera на стандарты НБН по большей части общий пул IP-адресов для Москвы и ЦФО. Из вне никак не различить, откуда вы.
Могу сделать фотосессию мест, разбросанных по всей республике Татарстан. От ее западных границ до восточных.
А Королев и Долгопрудный — оба 50.
К сожалению, такой подход не обеспечивает уникальности в наименовании. В пределах одного региона может быть много повторяющихся адресов, различающихся лишь именем населенного пункта.
Посмотрите на датацентр в московском ИКИ РАН — одна из 3х гермозон тоже с окнами. Вечнозаклеинными :)
2% — вывести яндекс в нал. Дальше уже как выйдет загнать нал в вебмани, тут я не заморачивался никогда.
Немасштабируемо :(
01011001100101101010010110011001011001000100110010010110100001011001100101100010
декодируй плиз)
Nokia N95 — перевела молча
Win7 — перевел, правда в некотором ПО вылезли глюки из-за этого
BMW e90 — не перевела :(
Проголосовал за другой способ. Так как работаю в провайдере, сделал себе домой блок прямых ipv6 айпишников.
Ничего интересного в этом ipv6-интернете нет! :)

Information

Rating
Does not participate
Location
Россия
Registered
Activity