Сетевые технологии *

KeeneticOS из коробки закрывает большинство бытовых задач, но как только появляется требование рулить трафиком по-своему, быстро упираешься в нюансы. Я собрал рабочую схему на Keenetic Hopper: Entware + Xray-core (TUN) + policy-based routing через fwmark и отдельную таблицу маршрутизации. Главный фокус на эксплуатации, я покажу минимальный чек-лист диагностики, и как сделать конфигурацию самовосстанавливающейся, чтобы больше никогда не залазить руками. Статья - практическая инструкция: команды, конфиги и понятные критерии.

В конце ноября 2025г. у части интернет провайдеров в Сибирском и Дальневосточном округах появились проблемы с использованием TLS прокси. Блокировка появлялась после активации прокси для всей системы, но не при проксировании отдельных сайтов.

Читайте далее чтобы узнать что я обнаружил.

Этап "давайте сначала изучим стандарты" при обучении веб‑разработке иногда сразу пропускают (или рассматривают буквально в двух словах), переходя к фреймворкам, абстракциям и решениям, которые за тебя уже приняли авторы этих фреймворков.

В этой статье мы разберем все 9 методов HTTP-запросов, опираясь на тексты документов, которыми эти методы определены (RFC 9110 и RFC 5789).

Статья подойдёт тем, кто делает первые шаги в веб-разработке и хочет понять HTTP глубже, чем это позволяют туториалы фреймворков.

В данной статье мы подробно поговорим об устройстве RPC. Также для лучшего понимания применим знания на практике и напишем свое RPC-приложение под Windows.

Пошаговый разбор того, как ТСПУ анализирует трафик — от первого SYN до поведенческого ML. С конкретными числами, реальными алгоритмами и объяснением почему одни протоколы умирают на первом байте, а другие живут месяцами

Большинство объяснений про DPI звучат так: «система смотрит на пакеты и блокирует плохие». Это примерно как объяснить работу компилятора словами «берёт код и делает программу».

Давай пройдём по тому, что реально происходит с пакетом от момента выхода с твоего устройства до момента когда ТСПУ принимает решение. Пошагово, с числами, без абстракций.

Задача на 30 секунд — ssh root@192.168.31.197 — превратилась в расследование: VPN перехватывает локальный трафик, индексы интерфейсов тасуются при перезагрузке, два WiFi-адаптера в одной подсети создают хаос. Разбираю таблицу маршрутизации Windows, longest prefix match и split tunneling на живом примере.

Когда сеть разрастается до нескольких сегментов с пересекающейся адресацией, нескольких арендаторов или нескольких зон с разными требованиями к безопасности, возникает вопрос: как обеспечить изоляцию на уровне межсетевого экрана, не покупая отдельное устройство под каждую задачу?

Один из ответов на этот вопрос — виртуальные контексты. В Ideco NGFW эта технология реализована под названием VCE (Virtual Context Engine). В этой статье разберём, что это такое архитектурно, как работает изнутри и в каких сценариях это имеет практический смысл.

Представьте: вы закрыли периметр межсетевыми экранами, поставили антивирусы на все хосты, но вдруг понимаете, что любой человек с ноутбуком может прийти в офис, воткнуться в розетку и оказаться в вашей внутренней сети. Или сотрудник возвращается из командировки с просроченными обновлениями Windows, становясь идеальным вектором для атаки. Контроль доступа (NAC) закрывает именно эти бреши в защите сети. 

Тема NAC сейчас сильно актуализировалась. Его ставят уже не только для защиты Wi-Fi (как наиболее уязвимой среды), но и в проводных сетях. А значит пришло время обновить наш первый обзор российских NAC-решений. 

За это время ведущие российские NAC не просто догнали западных предшественников, но и местами ушли вперед. На рынке появились новые игроки, новые фичи и мощная конкуренция. Все изменения мы собрали в обновленной сравнительной таблице — ищите её в конце материала.

У автомобилистов есть пословица: «Если не знаешь, какой автомобиль купить – купи фольксваген». У ИБ специалистов тоже есть похожее: «Если не знаешь, как обеспечить безопасность облачной системы – поставь WAF (Web Application Firewall – фаерволл веб-приложений)». Который призван эффективно отсекать атаки злоумышленников на подступах к облачным приложениям и заранее распознавать потенциальные угрозы путем сигнатурного и поведенческог�� анализа входящего трафика.

Когда сервер с конфигом заблокировали — клиент отвалился. Разбираем способ доставки который сломать сложнее чем сам интернет

У любого прокси-сервиса есть слабое место которое не связано с протоколом. Сервер переехал, IP сменился, конфиг устарел — и пользователь сидит без связи пока не получит обновление вручную. Чем больше пользователей, тем острее проблема.

Стандартное решение — раздавать конфиги через HTTPS. Удобно, пока URL не попал в реестр. После этого тысяча человек одновременно пишет в поддержку.

DNS TXT-записи решают эту проблему не через обход блокировок, а через выбор канала который блокировать политически сложно.

Разбор методов детекции, которые работают прямо сейчас. JA3/JA4-отпечатки, поведенческий анализ и архитектура XHTTP, которая закрывает именно эти дыры

Если твой VLESS+Reality сервер лёг в последние месяцы — ты не один. В сообществах фиксируют волны блокировок, которые раньше не достигали хорошо настроенных Reality-серверов. Что конкретно изменилось, как это устроено на уровне алгоритмов — и почему XHTTP сейчас выглядит как правильный следующий шаг.

Решения, которые являются фундаментом любой сетевой архитектуры - это системы оптического уплотнения DWDM (Dense Wavelength Division Multiplexing).

У нас в ИТС была возможность изучить в лаборатории решение, которое предлагает Булат и в данном обзоре мы расскажем про две линейки оборудования, основные характерискики, поделимся своими ощущениями после тестирования в лаборатории.

Обзор расчитан на специалистов, которые уже сталкивались с подобными решениями, так же обзор содержит довольно много изображений, поэтому осторожно - траффик.

OSPF, BGP, VLAN, ACL — вы знаете их как свои пять пальцев. А потом приходит Kubernetes и предлагает «просто описать желаемое состояние в YAML». Звучит как магия? На самом деле под капотом K8s работают всё те же сетевые протоколы, просто теперь их настраивает не инженер с консолью, а код в репозитории. Эта статья — мост между классической сетевой инженерией и миром контейнеров. Без маркетинга, только факты: veth-пары, BGP-пиринги Calico, DNAT в iptables и почему ClusterIP не пингуется.

10 марта 2026 года наш мультисервисный ханипот зафиксировал необычную активность. Один IP-адрес за 10 минут методично прошёлся по 8 сервисам — SSH, Telnet, HTTP/HTTPS, MySQL, Docker API, Memcached, Winbox — и среди прочего отправил JSON-RPC запрос инициализации Model Context Protocol (MCP). Это первый задокументированный нами случай, когда MCP-сканирование выступает не как исследовательский инструмент, а как мод��ль в составе мультипротокольного сканера.

Статья содержит разбор пойманного пейлоада, IOC, Suricata-сигнатуру и Shodan/Censys-дорки для детекции MCP-сканирования.

Разбор архитектуры, Brutal-алгоритма, Salamander-обфускации и честный ответ — почему это работает в 2026-м и при каких условиях падает.

Большинство статей про Hysteria 2 написаны по одному шаблону: «быстро, просто, ставится за 5 минут, вот конфиг». Это не такая статья.

Я хочу разобрать что именно происходит на уровне протокола, почему выбранные инженерные решения работают против современных DPI-систем, и где у этого протокола настоящие слабые места — которые вендор в документации деликатно обходит стороной.

Если тебе нужен гайд «скопируй конфиг и запусти» — закрывай вкладку. Если интересно почему это работает — читай дальше.

Эта статья не о том, что Puppeteer плохой инструмент. Puppeteer — отличны��. И грамотный TLS-фингерпринтинг вынесет большинство защит. Но есть класс задач, где даже идеальный сетевой стек не спасает — потому что детект давно приземлился на уровень поведения рендеринг-движка. Разберём, как Cloudflare и Akamai палят вас через WebGL и Canvas, и почему "чистый" код больше не работает.

Небольшой рассказ - туториал о том, как на MikroTik реализовать удобное управление большим количеством VPN профайлов.

В общем, то, о чем долго говорили в регионах, наконец-то полноценно пришло в Москву (в Питере уже давно). Если раньше мобильный интернет в столице был относительным «островком стабильности», то последние события в ЮАО и массовые отчеты из Петербурга показывают — систему белых списков и фильтрацию трафика включили на полную мощь.

Я решил немного пореверсить ситуацию, так как обычные жалобы на «плохую связь» уже не обьясняют того, что происходит на сетевом уровне. Это не технический сбой операторов (они, кстати, сами в шоке и разводят руками), а целенаправленная работа ''Продвинутого DPI''.

Многие, наверное, хотели сделать конфигурацию чтобы и рабочие ресурсы через WireGuard, и российские сайты напрямую, и заблокированные — через VLESS, а доступные только из РФ сервисы — через RU-прокси. В статье покажу, как собрать такую схему без единой строчки JSON и почему Sing-Box Launcher постепенно превратился в GUI-оркестратор конфигураций sing-box.

Снова привет, Хабр.... добро пожаловать в 2026

О белых списках, Yggdrasil и о том как мы достигли нового уровня блокировок