В статье «DokuWiki как платформа для технической документации: наш опыт» мы рассказали, почему ведем документацию на DokuWiki, и пообещали отдельно разобрать собственные плагины. Выполняем обещание. Всего на нашей вики работает около 35 плагинов, 10 из них мы написали сами. Далее расскажем, какую задачу решает каждый, как он устроен и что из этого получилось.
Meshtastic передаёт текст, а мы заставили ту же плату Heltec говорить голосом: Codec2, пакет на 39 байт каждые 80 мс, шифрование и честные замеры дальности.
В статье — как устроен пакет, почему голос нельзя пустить по mesh‑сети, во что обходится шифрование, когда на счету каждый байт, какую ошибку нашли только в поле и сколько километров получается на самом деле, а не на бумаге.
Корневых серверов DNS тринадцать, и обычно это объясняют так: четырнадцатый не влезал в 512 байт UDP-ответа. Я поднял в контейнере BIND 8.1.2 из Debian 1998 года со списком корней от 22 августа 1997-го и восстановленными по документам делегациями .com и проверил: priming-ответ держал пятнадцать серверов, а за пределом сервер молча выкидывал адреса, не ставя флаг усечения. Тринадцать получаются из бумажного расчёта с запасом под имя в вопросе, в пакетах стены на тринадцати нет.
Непальский провайдер WorldLink семь лет назад включил IPv6 и довёл его до 100% из более чем миллиона абонентов, а 70% трафика теперь идёт мимо CGNAT. Главный инженер сети рассказывает, что сломалось по дороге. После обрыва волокна домашние роутеры, которые пользовались разрешённой в RFC 8415 возможностью вести отдельный автомат на адрес и на префикс, слали по 116 SOLICIT в минуту, а функция DBOR на BNG сносила абонентам сессии по кругу. Плюс мультикастовые фильтры второго уровня, снупинг на OLT, выбор между /64 и /56 и почему внедрение IPv6 надо мерить долей трафика, а не числом абонентов с адресом.
Задача звучала скучно: собирать выдачу Google. Много, регулярно, через обычные резидентные прокси и без платных SERP API.
Первая версия честно открывала Chrome, вбивала запрос и получала капчу. Вторая получала капчу чуть реже. А потом один IP отработал 1210 запросов подряд, и Google ни разу не попросил доказать, что мы не робот. Между этими двумя точками было двадцать экспериментов и вкладка, которая съела 3 гигабайта памяти. И главный вывод: мы всё это время думали о Google неправильно.
Можно ли превратить обычный VPS в полноценный маршрутизатор MikroTik и связать его с физическим роутером через WireGuard?
Да, но установка CHR отличается от привычной настройки Linux-сервера. После записи образа RouterOS доступ по SSH исчезает, а ошибка в маршрутизации может полностью отрезать сервер от сети.
В статье разбираем установку MikroTik CHR на VPS, первый вход, настройку firewall, создание WireGuard-туннеля и маршрутизацию между двумя локальными сетями. С примерами команд для RouterOS 7, проверкой соединения и разбором ошибок, которые лучше предусмотреть заранее.
Система охлаждения — это камень преткновения для современных вычислительных систем с большим тепловыделением. Когда переход на жидкостное охлаждение невозможен, а увеличивать радиатор уже некуда, приходится искать другие способы, как не дать оборудованию перегреться.
Сегодня разработка вычислительных систем включает обязательное математическое моделирование, но на этапе проработки конструкции полноценные расчетные модели требуют огромных временных ресурсов. Упрощая геометрию и модели компонентов, можно ускорить процесс, но есть и обратная сторона: если упростить их слишком сильно, есть риск сделать неверные выводы о (не)работоспособности конструкции и «закопать» удачную идею на раннем этапе проектирования. А еще нужно понимать ограничения, которые накладывает использование упрощенных моделей, и знать, как свести их к минимуму.
Меня зовут Александр Воробьев, я ведущий инженер по моделированию в YADRO. Сегодня расскажу, как мы моделировали систему охлаждения BBU и какой подход помог ускорить этот процесс. Решения, которые я опишу, универсальны — сможете использовать их в своих проектах.
Две недели назад в новости попал провайдер облака непрерывной доступности Curator, у которого впервые за десятилетие произошел сбой, приведший к полной недоступности всей сети фильтрации. Сегодня они у себя в блоге опубликовали подробный разбор этого инцидента, предварив его наглядным разбором архитектуры совей сети. Я законспектировал именно эту часть: как трафик проходит через узлы защиты, зачем нужны два контекста маршрутизации, какую роль играют BGP и watchdog.
2 октября 333 выходных узла Tor, примерно каждый десятый в сети, начали перенаправлять SSH-подключения на 12 серверов-перехватчиков. Кто входил, несмотря на предупреждение о сменившемся ключе хоста, лишался пароля, а его сервер заражали бэкдором Ebury. Автор поймал подмену на своём подключении, проверил все ~3000 выходных узлов скриптом на exitmap и передал список команде Tor: через три дня все заражённые узлы были выключены.
UDP ничего не обещает: датаграмма может не дойти, прийти дважды или обогнать соседнюю. Обычно в ответ берут TCP или пишут свой протокол с повторными запросами. Оба пути платят за потерю как минимум одним round trip, и платят именно тогда, когда сеть и так перегружена. В статье разобран другой вариант: отправитель заранее добавляет в поток избыточные пакеты, и получатель восстанавливает потерянное сам, ни о чём не спрашивая. Это прямая коррекция ошибок (FEC, forward error correction) кодом Рида — Соломона.
От обнаружения к реестру
Новый сервер, неизвестный IP-адрес, дополнительный сетевой интерфейс на рабочем компьютере — инфраструктура меняется быстрее, чем её успевают описывать вручную. Даже аккуратный реестр активов быстро теряет ценность, если данные в нём расходятся с фактическим состоянием сети.
В прошлой статье мы разбирали, зачем нужен единый источник данных об оборудовании, адресах и связях и почему мониторинг, SIEM и ITSM не должны превращаться в независимые конкурирующие реестры. Теперь следующий вопрос: как поддерживать мастер-реестр в актуальном состоянии, когда инфраструктура постоянно меняется?
Автоинвентаризация здесь полезна не как «сканер, который сам всё занесёт в CMDB». Нормальная рабочая схема выглядит иначе: собрать сведения из нескольких источников, определить, к какому активу они относятся, проверить расхождения и только после этого обновить мастер-данные. Именно такой подход заложен в исходном материале: результаты Сонара и плагина виртуализации сначала проходят через промежуточный этап проверки, а затем интегрируются в ОдинХаб.
Это важное разделение. IP-адрес может перейти другому узлу, имя — измениться, виртуальная машина — переехать или быть переименована. Поэтому совпадение по одному признаку нельзя автоматически считать доказательством идентичности объектов. Точно так же открытый TCP-порт или баннер сервиса позволяет сформировать гипотезу, но не подтверждает модель устройства, серийный номер, владельца или его физическое расположение. Официальная документация Nmap прямо описывает service/version detection как механизм определения протокола, приложения, версии, семейства ОС и типа устройства там, где это удаётся определить по ответам сервиса; полнота такой идентификации зависит от того, какую информацию сервис раскрывает.
Как обеспечить бесперебойную работу видеосервиса, который ежедневно смотрят миллионы? Команда производственной сетевой инфраструктуры Иви отвечает за то, чтобы внутренняя сеть и связь с интернетом работали как часы. В интервью её руководитель Сергей Митин рассказал о команде, масштабных проектах, курьёзных ошибках, поддержке инициатив и нестандартных экспериментах.
Привет! Я Лев, системный администратор технической поддержки в Selectel.
Все знают, любят и ненавидят контейнеры. Сейчас самым популярным инструментом для упаковки приложений со всеми их зависимостями является Docker. В этой статье рассмотрим его сетевой стек, а именно — работу сетевых неймспейсов. Разберем, почему они превращают обычный процесс в полноценный сетевой узел, как устроены и какие режимы предлагает Docker.
Как передать приложению настройки и пароли, не пересобирая Docker-образ? Разбираем ConfigMap и Secret на примере shop-api: переменные окружения, файлы внутри контейнера, обновление конфигурации и почему Base64 — не шифрование.
В RouterOS из коробки есть WireGuard, OpenVPN, SSTP и IPsec, но нет SoftEther и OpenConnect-сервера. Начиная с RouterOS 7 в MikroTik можно запускать контейнеры, и этого хватает, чтобы поднять оба VPN прямо на маршрутизаторе, без отдельной Linux-машины. Разбираем установку SoftEther с SecureNAT и каскадом, ocserv с маршрутами для клиентов и грабли, на которые пришлось наступить по пути.
Привет, Хабр! Вновь на связи команда техподдержки РТК-Сервис, и сегодня мы завершаем цикл статей про рамановские усилители. Финальным аккордом станет DWDM Surpass hiT 7300 Coriant. А в конце вас ждет сюрприз от наших инженеров.
Поехали!
Когда в августе появилась информация о новом варианте проксирования в Telegram, эта новость заинтересовала меня, но не было свободного времени, чтобы разобраться, как оно устроено. Наконец, время нашлось, и расскажу, что удалось выяснить по теме.
На Хабре вышла статья, в которой описана теория устройства нового прокси. Вроде, с web я знаком и про прокси слышал, но в чём принципиальное отличие новой реализации, не было понятно. Итак, это все тот же MTProxy, но завёрнутый в HTTPS/WebSocket‑соединение. Telegram-клиент открывает страницу в webview, со стороны это выглядит как обычное взаимодействие «клиент‑сервер» через HTTP+WSS. В комментариях к статье (спасибо @Mustard) приведена ссылка на реализацию прототипа такого web-proxy. Из описания ясно, что реализуется это всё через набор сервисов, написанных на Go, поверх Caddy, который громко заявил о себе.
Каюсь, так и не довелось мне воспользоваться этим чудо web-сервером, в моём pet-проекте nginx шуршит себе, есть не просит. Тысячами мне хосты создавать не требуется, так что прецедента перехода на Caddy у меня пока не случилось. Инсталляция tproxy-server предлагает установку Caddy с нуля, при этом требует наличия действующей страницы с HTTPS, что выглядит как небольшое противоречие. На моём сервере достаточно сильно разросшаяся конфигурация nginx c достаточно большим количеством используемых портов, свой мини-зоопарк, только Caddy там и не хватало. Поэтому захотелось такой же tproxy-server, но с перламутровыми пуговицами. Приключение начинается.
С давних времён для авторизации в различных сервисах и приложениях используются пароли. На смену им сначала пытались прийти электронные ключи (токены), но они не получили широкого распространения. Позже появился Passkey, но он скорее стал продвинутыми куки, а не тем, что сможет надолго сохранить ваш доступ в нужный сервис. В результате до сих пор не получилось полноценно заменить пароль.
Развитие вычислительных мощностей ставит жёсткие требования к современным паролям. Для обеспечения надёжной защиты в 256 бит нужен пароль длиной 40 символов! Я разработал современную замену паролю — бумажный ключ PaperKey. Это простой, но в то же время надёжный ключ, про него я расскажу в этой статье.
Всем привет! Меня зовут Пименова Анжелика, я окончила МГТУ им Н.Э. Баумана кафедра информационной безопасности, работала в отделе реагирования SOC в НСПК, в области ИБ около 8 лет, а сейчас занимаюсь развитием бизнеса в компании Спикател.
Так для чего вообще нужен такой класс решений как NDR.
При изучении этой технологии мне понравилась относительная простота реализации базовой станции на универсальных цифровых сигнальных процессорах (DSP) Texas Instruments. К тому же документация на станцию открыта, и в ней хорошо описана её структура — от плат до программных модулей. Мне как и многим инженерам нравится заглядывать внутрь железа. Я купил и разобрал базовую станцию, предлагаю вместе поглубже окунуться в эту историю.
