Обновить
1024K+

Системное администрирование *

Лишь бы юзер был доволен

766,99
Рейтинг
Сначала показывать
Порог рейтинга
Уровень сложности

Как упорядочить работу с секретами в Kubernetes с помощью хранилища секретов

Время на прочтение8 мин
Охват и читатели4.5K

Чем больше секретов в инфраструктуре — тем сложнее ими управлять. Особенно остро эта задача стоит для контейнерных сред, в которых почти каждому контейнеру нужно предоставить доступ к определенным информационным ресурсам. Но если вы напрямую зашиваете секрет в коде и оставляете его в контейнере, возникает опасность компрометации. 

Меня зовут Даниил Рахновский, я ведущий архитектор в Orion soft. В этой статье мы поговорим о том, почему опасно доверять секреты контейнерам, рассмотрим, как упорядочить работу с секретами в Kubernetes с помощью системы управления секретами и какие встроенные инструменты в этом помогают.

Читать далее

Новости

Разделение исходящего и входящего трафика по разным IP-адресам в XRAY

Уровень сложностиСредний
Время на прочтение9 мин
Охват и читатели6.5K

В наше непростое время... Хотя, к чему все это? Все в курсе. Переходим к технической части.

Многие знают, что XRAY умеет получать запрос от клиента на один ip адрес, а отправлять ответ с другого ip адреса. Документации на этот счет в интернете крайне немного (ну или я не умею искать). Есть образцы базовых настроек в примерах на GitHub проекта XTLS и несколько упоминаний о существовании такой фишки в статьях на Хабре без подробностей реализации. Я же попробую описать здесь теорию и настройку разделения входящего и исходящего трафика подробно и с примерами.

Зачем все это нужно?

Читать далее

Что такое Apple Declarative Device Management?

Уровень сложностиСредний
Время на прочтение9 мин
Охват и читатели4.5K

В рамках WWDC 2026, а если быть точнее, то в ролике What’s new in managing Apple devices, инженер Device Management team, Cyrus Daboo, заявляет о том, что "Declarative Device Management уже здесь" и используется в продакшене для управления парками корпоративных устройств Apple по всему миру.

Что касается классического MDM, то ранее компания Apple уже обозначала некоторые команды MDM как Deprecated, например, ScheduleOSUpdate, которая отвечает за установку обновлений macOS. Информацию об этой команде уже не найти на сайте Apple Developer | Device Management , но она все еще присутствует в репозитории Device management schema data for MDM на Github Apple. В следующей macOS 27 Golden Gate эта команда точно не будет работать, и без функционала DDM установить обновления "тихо и незаметно" не получится. В системе пока еще присутствует терминальная команда softwareupdate, но там есть нюансы, о которых можно прочитать в одной из статей, опубликованной в корпоративном блоге Ринго на Хабре.

Так что же такое DDM?

Анатомия процесса загрузки Linux — от инициализации ядра до systemd

Время на прочтение11 мин
Охват и читатели8.1K

Загрузка операционной системы — процесс многоступенчатый и разнообразный. Несколько лет назад я писал о процессе загрузки сервера x86 в режимах Legacy и UEFI, но акцент тогда был именно на «железной» части.

Пришло время сместить внимание на программную составляющую. Посмотрим, какие стадии преодолевает ядро Linux, что происходит, и какие «фишки» можно выполнить на старте системы.

Читать далее →

Browser Policy Manager: распаковка

Уровень сложностиСредний
Время на прочтение19 мин
Охват и читатели10K

В предыдущих публикациях я уже рассказывал, зачем вообще появился Browser Policy Manager, почему я начал с Firefox Enterprise Policies и почему не стал делать «просто генератор policies.json». Эта статья — более техническая. Здесь я хочу разобрать, как Browser Policy Manager устроен внутри на версии 0.8.8.

Версия 0.8.8 для проекта важна тем, что в ней фактически сложилась основная архитектура продукта:

Читать далее

Свой AmneziaWG пару лет спустя: что ломается в быту и что я с этим делаю

Уровень сложностиСредний
Время на прочтение7 мин
Охват и читатели16K

Поднять свой VPN на дешёвом VPS - дело на вечер. А что начинается через месяц-другой, обычно обходят молчанием: на мобильном рвёт, надо обновлять, раздавать доступ семье, кому-то нужен раздельный выход - российские сайты напрямую, остальное за границу. Собрал по своему серверу на AmneziaWG, который держу пару лет: что реально ломается в быту и что я делаю - от тонкой настройки маскировки под мобильных операторов до каскада из двух серверов.

Читать далее

Как закрыть пробелы в Linux, Docker, Kubernetes, CI/CD и сетевой безопасности

Уровень сложностиПростой
Время на прочтение5 мин
Охват и читатели15K

Инфраструктура обычно ломается не в одном месте. За «просто поправить деплой» быстро подтягиваются лимиты Linux, настройки контейнеров, CI/CD, безопасность, маршрутизация, Kubernetes, базы данных и сети ЦОД. Чем больше сервисов и команд, тем важнее видеть не только отдельные инструменты, но и связи между ними.

В этом дайджесте собрали открытые уроки, статьи и курсы по Linux, Docker, Kubernetes, CI, PostgreSQL, сетям и безопасности. Подборка будет полезна тем, кто отвечает за стабильность сервисов и хочет системно закрывать инфраструктурные пробелы.

Изучить подборку

Месяцы, а не годы: как Ideco готовится к ИИ-угрозам, о которых предупредили Five Eyes

Уровень сложностиПростой
Время на прочтение4 мин
Охват и читатели7.2K

22 июня 2026 года киберагентства альянса Five Eyes заявили: передовые ИИ-модели изменят наступательные возможности в киберпространстве «не за годы, а за месяцы». Рассказываем что именно меняется – и как мы в Ideco отвечаем на эти вызовы: скоростью патчинга, новейшими NGFW-модулями ML IPS и DNS Security на базе ИИ, ZTNA и микросегментацией на производительной архитектуре.

О чём предупредили Five Eyes

22 июня 2026 года агентства по кибербезопасности альянса Five Eyes – США, Великобритании, Канады, Австралии и Новой Зеландии – выпустили совместное заявление «The AI shift in cyber risk: why leaders must act now» (ASD’s ACSC, UK NCSC).

Главный тезис:

«Ожидается, что передовые модели ИИ превзойдут текущие ожидания отрасли и фундаментально трансформируют как наступательные, так и оборонительные кибервозможности. Горизонт – не годы, а месяцы».

Суть не в новых типах угроз, а в скорости: ИИ снижает барьеры для атакующих и сжимает окно между обнаружением уязвимости и её эксплуатацией. Предположения о киберрисках теперь устаревают за месяцы, а не за годы.

Новые модели обладают мощными наступательными кибервозможностями. По данным The Economist, сенатор Марк Уорнер сообщил, что модель Mythos 5 от Anthropic получила доступ почти ко всем засекреченным системам АНБ США «не за недели, а за часы» (The Moscow Times / The Economist). Заголовок, конечно чуть отдает желтизной: единственный источник, официальных подтверждений этому нет. Но факт – Mythos и Fable исключили из свободного доступа.

Класс новых инструментов для быстрого создания эксплойтов – уже не гипотеза. Это меняет требования к защите. И мы подготовились.

Читать далее

Как с помощью ИИ-агентов собрать живую инфраструктуру — без Kubernetes и DevOps

Уровень сложностиСредний
Время на прочтение7 мин
Охват и читатели9.4K

Привет! Меня зовут Руслан Мамлеев, я эксперт курса «Архитектор ПО» в Практикуме и технический директор (CTO) в GetFloorPlan. 

Недавно на фоне кризиса и сокращения бюджетов у нас ушёл DevOps. А вместе с ним исчезла и целостная картина инфраструктуры — только он понимал, какие серверы, домены и прокси у нас есть, где что живёт, какие доступы выданы, что мониторится, а что нет. Два месяца провели в хаосе. 

Нанимать нового специалиста было рискованно — это дополнительный бюджет, поиск и онбординг. Не нанимать — тоже, потому что инфраструктура бы никуда не делась. Поэтому я пошёл по третьему пути — и за три недели переосмыслил сам подход к инфраструктуре.

Читать далее

Как быстро восстановить сайты, если нет бэкапов

Уровень сложностиПростой
Время на прочтение12 мин
Охват и читатели6.4K

Сайты перестали работать: серверы, на которых всё лежало, разом пропали из сети — без предупреждений и без шанса скачать бэкапы. А самих бэкапов у меня к тому моменту не осталось ни одного — по иронии судьбы я потерял их все буквально за пару недель до аварии.

Пришлось в авральном режиме поднимать хотя бы HTML-версию. Рассказываю, как вытащить сайт из веб-архивов, когда копий нет нигде, — и за несколько часов вернуть его в строй.

Читать далее

Легаси-ОС как тормоз виртуализации: что меняет современный стек РЕД ОС в VK Cloud

Уровень сложностиПростой
Время на прочтение11 мин
Охват и читатели7.3K

Представьте гиперноду облака. Гипернода — это физический сервер с запущенным гипервизором, на котором работают виртуальные машины клиентов. Под дисками этих машин лежит программно определяемое хранилище Ceph: распределенная система, где данные размазаны по многим серверам с копиями, без отдельного дискового массива. Меняем на ноде одну переменную — операционную систему. Виртуальные машины не пересобираем, кластер хранения не трогаем, диски и сеть те же. Ни одной новой железки, ни строчки нового кода в приложении. После переключения дисковая подсистема ВМ ведет себя ощутимо иначе.

VK Cloud активно использует РЕД ОС от РЕД СОФТ — в том числе в VK Secure Cloud, аттестованном контуре для значимых объектов критической информационной инфраструктуры (ЗОКИИ). На ее примере покажу, как поднять производительность гипервизора, просто обновив легаси и не трогая железо. Вместе с дистрибутивом на ноду приезжает свежий стек целиком: ядро, эмулятор, клиент хранилища, системные библиотеки. Каждый слой подтягивает свой кусок. А для тех, кто застрял на CentOS, ушедшем в EOL, у истории есть вторая часть: обновление закрывает технический разрыв и регуляторику одним движением. Ниже разберу механику по слоям с командами, которые можно выполнить на своей системе.

Читать далее

Как я подключил Obsidian к Claude и Codex: домашний сервер, CouchDB, MCP и баг, который съедал заметки

Уровень сложностиСредний
Время на прочтение11 мин
Охват и читатели9.7K

Статья про то, как я связал Obsidian с Claude и Codex через домашний сервер, CouchDB и MCP, а по дороге поймал баг, который тихо съедал куски заметок.

🔧 Это не про «как всё стало умным», а про нормальную историю с self-hosted, авторизацией, странностями LiveSync, мобильными клиентами, CORS, OAuth 2.1.

Внутри выводы о том, как давать AI доступ к базе знаний и не потерять эти самые данные.

Заходите, читайте и делитесь своим опытом ❤️

Читать далее

Как reload ingress-nginx уронил прод. История про pids.max, threads-max и виртуалку, которая подросла

Уровень сложностиСредний
Время на прочтение4 мин
Охват и читатели6.4K

Схема входящего траффика в кластер Kubernetes простая: web → Envoy Gateway → Ingress Nginx → backend. За Ingress Nginx, помимо обычного HTTP, живут долгоживущие WebSocket-соединения. Штатная нагрузка - около 100 RPS. Ничего экзотического.

В один прекрасный день всё в кластере легло. Клиенты получают 503/500. В логах Envoy - флаг UF и upstream_reset_before_response_started{connection_timeout}. То есть ingress-nginx просто перестал отвечать.

Дальше - два часа разбора и довольно красивая цепочка причин, которая началась с банального reload, а закончилась на том, как ядро считает лимит потоков при старте виртуалки.

Читать далее

Ближайшие события

Уволен, но не ушёл: два слоя защиты от инсайдера

Уровень сложностиСредний
Время на прочтение10 мин
Охват и читатели6.4K

Класс угроз в корпоративной безопасности «Insider threat» подразумевает два сценария: кто ушёл, но остался в системе — и кто ещё здесь, но уже уходит. Это разные угрозы, и они требуют разных инструментов. Два кейса из AI Innovation Lab — о том, как AI закрывает оба.

Читать далее

Как превратить один VPS в платформу для деплоя нескольких проектов без боли и Kubernetes

Уровень сложностиСредний
Время на прочтение17 мин
Охват и читатели6.1K

Как держать несколько проектов на одном VPS так, чтобы каждый работал на своём домене с HTTPS, а все порты были закрыты снаружи — без Kubernetes и ручных конфигов Nginx. Nginx Proxy Manager, Docker-сети и три реальных проекта на практике.

Читать далее

Как навести порядок в паролях. Локальный менеджер паролей: KeePassXC, Syncthing и бэкапы

Уровень сложностиПростой
Время на прочтение11 мин
Охват и читатели8.2K

Пароли часто живут где угодно: в браузере, заметках, скриншотах, старом телефоне и переписке с самим собой. В статье — спокойная лестница от простых решений до более контролируемой схемы

Читать далее

ADC как код: наш опыт автоматизации F5 с помощью GitOps

Уровень сложностиСредний
Время на прочтение15 мин
Охват и читатели7.7K

Автоматизация балансировщиков давно выглядит логичным следующим шагом для инфраструктурных команд. Но на практике ADC по-прежнему остаются зоной ручных изменений, согласований через тикеты и осторожных ночных окон. Поэтому мы решили не ждать идеального кейса, а самостоятельно спроектировать и протестировать возможности автоматизации ADC в лабораторном контуре. 

Наша задача была достаточно прагматичной: понять, можно ли сократить время доставки конфигураций до минут, сохранив при этом контроль изменений, аудит и предсказуемость откатов. Пилот показал: подход работает. Но отсутствие полноценного dry-run и каскадные зависимости внутренних объектов вендора заставили нас попотеть. Под катом — разбор архитектурного подхода, а не инструкция «как перевести всё на GitOps за выходные». 

Читать далее

DeepSeek‑V4‑Flash на двух DGX Spark: как мы убрали очередь и получили multi‑user

Уровень сложностиСредний
Время на прочтение11 мин
Охват и читатели8.2K

Подняли DeepSeek‑V4‑Flash на двух GB10, упёрлись в потолок consumer Blackwell, прошли три тупика со спекулятивным декодингом — и в итоге получили параллельную работу ресёрч-агента и длинной генерации без очереди. Цифры из Grafana.

Читать далее

cfzt: как я обернул Zero Trust Cloudflare Tunnel в одну команду и зачем туда пришлось добавить вотчдог для QUIC

Время на прочтение9 мин
Охват и читатели7.3K

В домашней инфраструктуре у меня крутится десяток сервисов: Grafana, Zabbix, n8n, Navidrome, ollama, БД, пара дашбордов и тестовых API. Каждый раз, когда нужно было выставить новый сервис наружу, я открывал дашборд Cloudflare и руками проходил один и тот же путь: создать туннель, прописать ingress‑правило, добавить DNS записи, настроить Zero Trust Access. Минут пятнадцать, если без ошибок. С ошибками — больше, потому что один неверно скопированный tunnel ID ломает всю цепочку и приходится откатывать вручную.

На какой‑то раз стало понятно, что это рутина, которую можно свернуть в одну команду. Так появился cfzt — CLI на Go, который сейчас умеет:

zt up grafana 3000

И через несколько секунд grafana.domain.com смотрит на localhost:3000 через Cloudflare Tunnel, с настроенным Zero Trust Access и systemd сервисом, который переживет ребут.

Полюбопытствовать

IncidentRelay месяц спустя: от маршрутизации алертов к полноценному on-call workflow

Уровень сложностиПростой
Время на прочтение4 мин
Охват и читатели6.2K

Чуть больше месяца назад я впервые рассказал об IncidentRelay, open-source и self-hosted системе для дежурств, маршрутизации алертов и эскалаций.

В первой версии основная цепочка уже работала:

Monitoring -> Route -> On-call -> Notification -> ACK / Resolve

С тех пор проект добрался до v1.0.21-beta. Цепочка стала длиннее, но пользоваться системой стало проще. В отличие от некоторых корпоративных процессов, здесь усложнение действительно пошло на пользу.

Не буду пересказывать весь changelog. Расскажу о нескольких изменениях, которые сильнее всего повлияли на продукт.

Читать далее
1
23 ...