Сетевые технологии *

Продолжение первой статьи цикла, в котором мы собираем полноценный стенд для изучения компьютерных сетей на базе Hyper-V, Ubuntu и GNS3.

Ранее мы уже собрали стенд для изучения сетей на Hyper-V.

Теперь мы изменим топологию стенда и уйдем от Default Switch в Hyper-V. Затем мы скачаем и настроим шаблон Alpine через Docker, установленный внутри GNS3 VM.

В результате получим отдельный сетевой сегмент для устройств GNS3 и заменим ограниченный VPCS на полноценный Alpine Linux.

Я работаю специалистом по кибербезопасности. По работе мне регулярно приходится анализировать сетевые взаимодействия, разбираться в устройстве различных сервисов, искать нестандартные решения и понимать, как устроены системы, о существовании которых обычный пользователь даже не задумывается.

Забавно, но именно эти профессиональные навыки неожиданно пригодились мне... при строительстве собственного умного дома.

Безопасность и приватность – главные столпы self-hosted систем. Но что делать, если критически важные камеры застройщика доступны только через облачный костыль RTSP.RU, а ссылки на потоки меняются быстрее, чем вы успеваете налить кофе? Подключать их «в лоб» во Frigate – верный способ забить CPU декодированием и ловить постоянные обрывы.

Под катом – подробный разбор того, как разобрать логику работы облачного плеера, вытащить скрытые HD/SD потоки, построить стабильный RTSP-мост и заставить Home Assistant открывать шлагбаум и выводить видеодомофон на настенную панель, используя только локальные ресурсы.

У крупных компаний редко возникает задача создать систему мониторинга с нуля. Чаще приходится дорабатывать уже существующую инфраструктуру: добавлять сигналы, подключать новые объекты и решать проблемы, которые раньше никто не предполагал.

В этой статье расскажем о двух подобных кейсах на совсем разных площадках: телеком-оператора и пассажирского перевозчика.

Когда в мае 1978 года Гэри Туерк, маркетолог из Digital Equipment Corporation, отправил 400 сотрудникам ARPANET приглашение на презентацию компьютеров DECSYSTEM-20, он не знал, что станет отцом целой индустрии email-маркетинга ненависти к спаму. 

Несмотря на это, эра спама началась не с Туерка, а с инженерного решения Эрика Оллмана, который пытался соединить три несовместимые сети в одну универсальную систему доставки почты. Под катом расскажу о том, почему sendmail привёл к эпидемии спама и какие механизмы защиты работают в почте сейчас.

В начале 2025 года Volexity опубликовала две статьи, в которых подробно описала новую тенденцию среди российских субъектов угроз: для получения доступа к учётным записям пользователей Microsoft злоумышленники атаковали организации, злоупотребляя сценариями Microsoft 365 OAuth и аутентификации по коду устройства (Device Code). Несмотря на публичное раскрытие этой активности, Volexity продолжает наблюдать, как российские субъекты угроз применяют схожие техники для интенсивных атак как на среды Microsoft, так и на среды Google.

Сами техники остаются похожими, однако меняются способы и легенды, с помощью которых злоумышленники выбирают цели и воздействуют на пользователей методами социальной инженерии.

В этой статье Volexity рассматривает две новые кампании, в которых злоумышленники использовали сценарии OAuth и Device Code для фишинга данных доступа конечных пользователей. В рамках атак создавались поддельные сайты, маскировавшиеся под реальные международные мероприятия по вопросам безопасности, проходившие в Европе. Цель состояла в том, чтобы убедить зарегистрировавшихся участников предоставить несанкционированный доступ к своим учётным записям. В кампаниях, которые наблюдала Volexity, использовались следующие реальные мероприятия:

Я Артур Валиев, разработчик EVRT

Когда мы форкнули RustDesk и начали строить EvertyDesk — корпоративный удалённый рабочий стол с поддержкой Hyper-V, Proxmox, VirtualBox и умным агентом — первое, во что упёрлись, было видео.

H.264 — стандарт де-факто. TeamViewer, AnyDesk, Windows App — все используют H.264. Он работает. Но он lossy. И вот здесь начинается проблема, о которой в статьях про remote desktop обычно не говорят.

Когда оператор смотрит на терминал с git diff или читает трейс в VSCode — один размытый пиксель в букве это уже другой символ. H.264 при любом разумном битрейте вносит артефакты в области с резким контрастом. Точно туда, где у нас весь текст. Это неприемлемо.

H.264 в lossless режиме (QP=0, lossless profile) существует, но поддержка в декодерах — через пень-колоду, а для mostly-static контента предикторы рассчитанные под видео с движением дают нулевой выигрыш над тривиальным delta-кодером.

Нам не нужен motion estimation. Нам нужно: вот предыдущий кадр, вот текущий, вот список изменившихся тайлов, сожми только их.

Мы написали EVRTCK.

“Web 3.0” провалился с оглушительными убытками и структурной иронией: под капотом “децентрализованных” приложений почти всегда обнаруживались два-три централизованных сервера. Но что, если проблема вообще не там, где её ищут годами — не в удобстве, не в модели собственности и не в токенах? Что, если каждая следующая "Web N+1" обречена повторить тот же провал просто потому, что решает не тот вопрос?

Статья спускается на уровень ниже маркетинговых обещаний — туда, где DNS-резолверы, сертификаты и логи хостинг-провайдера годами накапливают более серьёзную проблему, чем "владение активом", которую можно выразить как "владение владельцем активов". Так же разбирается почему довод "да кому я нужен" окончательно устарел в эпоху автоматизированного анализа больших данных, и почему из всех технологий, придуманных для решения этой задачи, работает по-настоящему только одна категория — причём не та, о которой чаще всего вспоминают.

Для понимания сути вопроса - немного истории:
Жила-была CRM, частная, корпоративная - хостилась на удаленном сервере у надежного хостера, сотрудники из разных филиалов заходили в нее и работали свою работу.
Никаких тысяч серверов, никакого кровавого энтерпрайза - всё тихо, мирно, почти по-домашнему.
И работало это долго, пока враги не начали ломать интернет.

У части пользователей пропадал доступ к сайту, работать они не могли - сначала помогал VPN, но потом враги начали бороться и с VPN.
Попробовали разнести точки входа по серверам по локациям, сохранив единую базу - враги начали блокировать межсерверные соединения.
А тут еще у одного знакомого вдруг сервер отключили (другие враги, не местные) - значит, надо забирать базу локально.
У другого знакомого локальный сервер поломался - значит, нужно делать удаленную резервную площадку.

Ну ок, системы разнесли, резервы понастроили - а как к ним обращаться, если напрямую нет соединения? Ну прокинули очередной VPN, повесили на какой-то IP адрес канала - а завтра этот канал не работает и этот адрес теперь недоступен, надо менять. Утро начинается не с кофе, утро начинается с проверки "что сегодня и как заблокировали".

Привет! Меня зовут Василий Рамаданов, я ведущий инженер в отделе разработки восходящих каналов связи в YADRO. Прямо сейчас я опубликовал эту статью со смартфона. Мне не удалось бы совершить это действие без устойчивого покрытия мобильных операторов, а для него нужны базовые станции (очень много базовых станций). В крупных городах одна БС устанавливается примерно на каждые 200 метров, так что за короткую 15-минутную прогулку можно встретить 5–7 станций — конечно, если знать, куда смотреть и как они выглядят.

Получается, базовая станция — вполне себе массовый продукт. При этом ей нужно реализовывать множество вычислительно затратных алгоритмов в режиме реального времени. Напрашивается противоречие в лучших традициях ТРИЗ: нужен простой и доступный, но сложный и качественный продукт. «Отдуваться» приходится инженерам, которые эти самые станции создают.

Мы в YADRO развиваем телеком-направление с 2022 года. Об инженерных решениях, которые позволяют совмещать простоту конструкции и высокую вычислительную мощность оборудования, я и мои коллеги расскажем в цикле статей. Сегодня поговорим о специфике разработки БС в целом, а дальше разберем антенну, RU и BBU. Сохраняйте в закладки, чтобы не потерять продолжение!

В современном цифровом мире — от глобальных сетей передачи данных до логистических цепочек и систем обработки транзакций — мы постоянно сталкиваемся с необходимостью эффективного управления потоками. Как обеспечить бесперебойную работу интернет-соединений при пиковых нагрузках? Как оптимизировать маршруты доставки товаров в мегаполисе? Как спроектировать call-центр, чтобы клиенты не ждали ответа? Ответы на эти вопросы лежат в области теории массового обслуживания — математической дисциплины, изучающей системы, где заявки (пакеты данных, клиенты, транспортные средства) поступают на обслуживание, образуя очереди.

Эта статья про один баг совместимости, который меня озадачил. Обе стороны честно объявляют версию протокола «dap-18», а байты на проводе не сходятся. Это не туториал по крипте и не показ репозитория - история про то, что строка версии - это не контракт совместимости, и про то, как это чинить, когда наткнулся.

На упрощённых схемах NGFW часто изображают как последовательный конвейер: межсетевой экран, DPI, IPS, антивирус, WAF. Такая схема удобна для презентации, но создаёт неверное впечатление, будто каждый пакет проходит через все механизмы по очереди, а для усиления защиты достаточно включить больше модулей.

На практике всё зависит от конкретного потока. DNS-запрос, исходящее HTTPS-соединение, другой транзитный трафик и обращение к опубликованному веб-приложению обрабатываются разными механизмами. Поэтому модуль может быть настроен и активен, но не анализировать нужное соединение: профиль IPS не подключён к разрешающему правилу, DNS-запросы уходят через другой резолвер, HTTPS не расшифровывается, а приложение опубликовано через DNAT в обход WAF.

Разберём эту модель на примере Ideco NGFW Novum 22: какой трафик получает каждый механизм, какие данные ему доступны и где чаще всего возникают слепые зоны.

«СХД для ИИ» - маркетинг. На деле у склада три потребителя с конфликтующими требованиями: обучение (полоса и p99 потока), инференс/RAG (хвосты латентности) и чекпоинты (burst-запись). На примере реальной HA-пары NVMe-oF/TCP и арифметики тракта данных ответим на главный вопрос.

Почему RDMA и Gen5 часто не дают эффекта?

Где микросекунды протокола реально съедают SLA?

В каком порядке апгрейдить: сначала ворота фронта, потом плазму, и только потом реликвии бэкенда?

Как одна фича сократила число системных вызовов на TUN-интерфейсе моего VPN почти вдвое — а на bulk-трафике до 44 раз.

В этой статье пойдет речь о том как работает TUN GSO, зачем нужен virtio_net_hdr, какие подводные камни встретились во время реализации и почему эта технология способна заметно снизить нагрузку на VPN-сервер. Статья будет полезна разработчикам VPN серверов и клиентов.

(про трубу в заголовке я немного зря - CF всегда были средством доставки, но любили их и за защиту; другими словами, надо бы писать про "трубу с ситечком", но в заголовок такое не ложится)

Сама новость: Cloudflare, всем нам хорошо знакомый провайдер CDN и WAF, теперь будет не просто выделять в статистике посещений ИИ-ботов, но и разделять их по категориям, разрешая одним то, что запрещено другим. Ну и да, прямо замаячила тема оплаты за доступ. Brave new world, как по мне!

Cloudflare разделила ИИ-ботов на три категории: Search, Agent и Training. Владельцы сайтов теперь могут независимо разрешать или блокировать поисковую индексацию, обращения агентов от имени пользователей и сбор данных для обучения моделей. Для каждой категории доступны три режима: разрешить, заблокировать везде или заблокировать только на страницах с рекламой.

В результате Cloudflare уже не только пропускает трафик и отфильтровывает мусор. Она начинает решать, кто и зачем может читать сайт, а следом собирается брать оплату за проход.

На поделке из предыдущей статьи вдохновение не закончилось, решил написать VPN. Был опыт разработки shadowsocks сервера, что не понравилось: под каждое TCP соединение, открываемое каким-нибудь браузеров, VPN клиент открывает отдельное TCP cоединение к серверу, а тот в свою очередь столько же до конечной точки + пришлось руками шифровать/дешифровать payload. Захотелось сделать что-то более простое + самим написать и клиент.

Я думаю, что все заметили, что в последнее время доступ к большинству зарубежным ресурсам и API оставляет желать лучшего. Для обычного человека потеря связи с любимыми или нужными ресурсами посреди рабочего дня — это очень неприятно. Полагаться на один зарубежный сервер стало неэффективно: узлы падают, скорость проседает. У меня у самого появилась это проблема, поэтому я захотел ее решить.

Что я решил сделать, рассказываю дальше

Весь мир с упорством достойным лучшего применения пытается использовать большие языковые модели, они же искусственный интеллект, в разных сферах деятельности человека. Не везде получается хорошо, но где-то отлично - например генерация кода на различных языках программирования. Злые люди поговаривают что ИИ скоро заменит программистов, но мы то тут на Хабре знаем правду.

Преамбула

У меня есть друг который работает сетевым администратором. Когда заходит разговор о том что ИИ заменит всех айтишников, он улыбается и говорит что это не про его профессию. Он говорит что ИИ плохо выполняет задачи с которыми он работает - многое надо делать руками в прямом смысле слова. У меня появилась идея проверить универсального ИИ агента - сможет ли он справиться с типовыми задачами сетевого администратора. Генерировать конфиги сетевого оборудования по промту или диагностировать проблему по логам эти задачи не выглядят как вызов для ИИ. Я выбрал задачу которая на мой взгляд более сложная - сбросить пароль на маршрутизаторе. Тут и подключение по COM-порту, работа с ROMMON и специфические тайминги. Да и ранее я не встречал решений которые автоматизируют этот процесс. 

Приветствую, коллеги! Это опять @ProstoKirReal.

Мы с вами прошли большой цикл статей про SFP-модули. Обсудили историю развития, типы модулей, скорости, DAC/AOC, оптические кабели, пассивные компоненты, а также технологии WDM, CWDM и DWDM:

Большая часть крупных российских корпоративных сетей построена на оборудовании Cisco. Миграция болезненная, дорогая и занимает месяцы. Ideco NGFW Novum 22 снимает эту проблему: теперь вы можете встроить российский NGFW в действующую Cisco-инфраструктуру, не меняя протокол динамической маршрутизации с EIGRP на OSPF.