Администрирование

journald умеет почти всё, что нужно для разбора проблемы на сервере: индексирует поля, фильтрует по юниту, процессу, пользователю и загрузке, ищет по времени и отдаёт записи по курсору. А смотрим мы его через journalctl, то есть одной командой за раз. Эта статья — о том, как оконный интерфейс из 1990 года оказался почти идеальной формой для этих возможностей, и о том, как устроен получившийся просмотрщик TurboJedi.

В первой статье я рассказывал, как создавал VPN-TIME и почему решил отказаться от привычной модели подписок.

С тех пор прошло немало времени, и в этой статье я хочу рассказать о некоторых технических и не совсем технических изменениях, произошедших за время развития сервиса.

Прошлый мажорный релиз i2pd с номером 2.1 состоялся в далёком 2015 году. Развитие i2pd дошло до релиза 2.61. Спустя почти 11 лет вдруг вышла 3.0. Развитие i2pd активно продолжалось всё это время, но чем примечателен последний релиз?

Заходите и узнатете про фиксы критических уязвимостей, новый клиент под Android и что-то новое про торренты в I2P.

Привет, Хабр! Меня зовут Андрей, я директор департамента внутренних систем ЮMoney. Эту статью я подготовил в соавторстве с Владиславом, руководителем группы разработки и сопровождения автоматизированной банковской системы (АБС) в ЮMoney. Недавно мы завершили один из главных этапов импортозамещения ИТ-инфраструктуры: вместе с АО «ПрограмБанк» полностью перевели нашу АБС «ПрограмБанк.АБС» на ОС Linux и СУБД PostgreSQL.

В статье расскажу о технической стороне миграции: как мы строили новую инфраструктуру и переносили данные, почему автоматической конвертации кода не хватило и как мы справлялись с падением производительности. Статья может быть полезна архитекторам, разработчикам и техническим руководителям, которым предстоит перенести нагруженную систему на другой технологический стек.

Год я закрывал монитор куском вуали на ночь после перехода на Wayland, т.к. из коробки GNOME, в отличие от KDE, не умеет управлять внешними дисплеями.

Решение нашлось в расширениях для работы с DDC/CI.

В статье я детально сравнил 4 варианта: удобство интерфейса и архитектуру под капотом (почему фоновый сервис отзывчивее вызовов CLI), популярность, активность разработки и прочее.

Также приложил сводную таблицу с плюсами и минусами и рассказал, почему в итоге стал контрибьютором одного из проектов, а не сделал форк.

Истории о том, как ИИ‑агент «натворил дел» на сервере, похожи одна на другую. Модель не злая, она уверенная. Сделать её безошибочной нельзя, а решить заранее, во что обойдётся её ошибка, можно.

В обсуждениях «ИИ снёс мне прод» сюжет почти всегда один. Агент почистил каталог, который оказался каталогом с данными. «Починил» конфиг, просто заменив его. Прогнал миграцию на боевой базе, потому что нашёл именно эту строку подключения.

Злого умысла там нет — есть уверенность. И вопрос «насколько умна модель» здесь второстепенный. Главный вопрос другой: что худшее она может сделать с теми правами, которые вы ей дали? Это и есть радиус поражения, и задаётся он задолго до первого запроса.

У меня был свой такой случай. Local Commander я разрабатываю вместе с несколькими ИИ‑агентами: каждый работает в своей копии репозитория (git worktree), а папка node_modules у всех копий общая, через ссылку. В начале октября агент убирал за собой отработанные копии. Ссылка не отцепилась, агент этого не заметил, и git worktree remove на пару минут опустошил node_modules основного проекта. Обошлось одной командой npm ci из lock‑файла — потому что откат был дешёвым заранее. После этого в правилах для агентов появилось: удалять только обычным git worktree remove без force, ссылки отцеплять отдельно и проверять состояние прямо перед удалением.

Через три дня — второй случай. Другой агент при слиянии веток молча затёр исправления безопасности из соседнего пулреквеста. Заметили по диффу и вернули трёхсторонним слиянием. Ещё один довод за пятый пункт ниже: изменения должны проходить через то, что можно прочитать.

21 октября разработчики PHP выпустили исправления для двух критических уязвимостей — CVE-2026-109618 и CVE-2026-109619, известных как PHP2Shell. Обе затрагивают сам интерпретатор PHP и при определенных условиях позволяют выполнить код на сервере без авторизации. Для атаки необязательно находить ошибку в WordPress, Laravel или другом приложении, так как проблема находится уровнем ниже.

О механике этих уязвимостей уже достаточно написано. Мы сосредоточимся на обновлении работающего сервера: что проверить до установки патча, как обновить PHP через ispmanager или пакетный менеджер Linux и убедиться, что исправленная версия действительно обслуживает сайт.

Подключить n8n к локальной языковой модели можно минут за десять: Ollama в соседнем контейнере, один HTTP-запрос, и n8n уже пишет резюме заявок, ничего не отправляя в облако. А вот с приватностью всё не так быстро. К этому моменту текст заявки успел осесть в истории запусков n8n, в журналах контейнеров и в бэкапе базы, а любой неосторожно добавленный узел может унести его наружу.

Пример ниже собран на n8n 2.43.5 и Ollama 0.40.4. Названия узлов, формат credentials и совместимость API от версии к версии меняются, так что стриминг, structured output и вызов инструментов придётся проверить на своей связке.

Как n8n вызывает локальную модель через API?

Узел HTTP Request отправляет POST на адрес Ollama с моделью, текстом и параметрами генерации, а следующий узел достаёт ответ из JSON. Подойдёт нативный /api/chat или OpenAI-совместимый /v1/chat/completions. Адрес должен открываться именно из контейнера n8n, а формат ответа и стриминг проверяют для выбранного маршрута.

Установка Docker на VPS обычно заканчивается на hello‑world: приветствие напечаталось, значит, всё работает. Для движка так и есть. Другие вопросы всплывают через месяц: какие порты сервер теперь отдаёт в интернет, куда пропали данные после обновления образа и почему у пользователя из группы docker фактически есть root. Их проще закрыть сразу, пока на сервере нет базы.

Ниже весь путь от чистого VPS с Ubuntu 24.04 LTS до веб‑сервиса в Compose с отдельным томом. Нужны виртуальная машина, доступ по SSH и sudo. На Ubuntu 26.04 команды те же, отличается только кодовое имя в версиях пакетов. У Debian и других дистрибутивов свой репозиторий Docker, и смешивать инструкции не стоит.

Привет, Хабр! Я занимаюсь разработкой и продвижением сайтов с 2017, и последний год размышлял, что мне нужен NAS. Долго выбирал и приценивался к готовым решениям на рынке по типу Synology и TerraMaster, но жаба взяла своё. В итоге вспомнил, что у меня в шкафу пылится домашний сервер на винде, который я собирал под ZennoPoster с таким конфигом...

Привет, Хабр!

На связи – команда центра компетенций VMware.

Сегодня с решениями VMware многие придерживаются принципа «работает - не трогай». Рабочий подход, но только не для критичной инфраструктуры. Потому что риски могут накапливаться сами по себе: истекают сертификаты, заполняются файловые системы, нарушается синхронизация времени. Добавьте к этому обычный человеческий фактор:

• временно отключили HA и забыли включить обратно
• изменили настройки кластера и не задокументировали это
• устранили аварию, но не вернули систему в исходное состояние.

По отдельности такие изменения редко приводят к серьезным последствиям. Но именно их сочетание становится причиной сбоев или даже полной остановки инфраструктуры. За годы эксплуатации (30+лет в сервисе ИТ) мы убедились: большинство серьезных аварий не возникают внезапно. Им почти всегда предшествуют небольшие отклонения, которые месяцами остаются незамеченными. Количество по-прежнему переходит в качество (с).

Мы бы звучали очень самоуверенно, если бы предложили универсальный стандарт аудита. Но чек-лист, который позволяет обнаружить большинство отклонений задолго до того, как они превратятся в реальную проблему, за годы работы с крупными и сложными заказчиками, у нас появился.

Пользуйтесь!

Итак ключевая мысль: Аудит – это не проверка ради проверки, а поиск ранних признаков будущих проблем (с) отчасти авторство принадлежит Конфуцию.

В какой бы автоматизированный и удобный сервис вы ни зашли, вам все равно придется настраивать много конфигураций руками. А для этого нужно понимать, что как устроено и какие функции (и в каком объеме) могут закрыть ваши задачи. Разве что внедрить в сервис толкового ИИ-ассистента, который все объяснит, да еще и в режиме агента сделает работу за вас.

Я давно мечтал, чтобы в MWS Tables появилось нечто подобное. Хочется, чтобы ИИ-машина оперировала существующими данными, создавала таблицы и связи между ними, писала формулы, собирала представления и отвечала на вопросы по содержимому пространства. 

Так вот, в обычный рабочий день я зашел в MWS Tables и внизу интерфейса обнаружил волшебную кнопку со звездочками. И это могло значить только одно: вы читаете новый обзор на свежую функцию.

Проверим же, насколько она полезна.

Привет, Хабр! В связи с последними событиями бизнес крепко задумался — где безопасно разворачивать ИТ-системы, чтобы они стабильно работали? Популярность набирают самые разные идеи, от подземных ЦОДов до полного и окончательного on-premise. А что если бэкапиться в облаке, но вынести данные далеко-далеко, за тридевять земель — за границу… Законно ли это? И как все обустроить?

Мы собрали пять вопросов, которые чаще всего задают про резервирование за рубежом, и попросили ответить наших экспертов: ИТ-директора OXYGEN Александра Будкина и эксперта по работе с госорганами Филиппа Новикова. Какие данные можно отправить за рубеж уже сейчас, что делать с ПДн, сколько времени займет бэкап данных в условный Узбекистан? Разбираемся!

У нас перестали загружаться четыре файла в резервную копию. Дамп PostgreSQL при этом продолжал загружаться. Использовались тот же S3-совместимый сервис, тот же сервисный аккаунт и та же команда aws s3 cp.

Ошибка выглядела достаточно определенно:

Корневых серверов DNS тринадцать, и обычно это объясняют так: четырнадцатый не влезал в 512 байт UDP-ответа. Я поднял в контейнере BIND 8.1.2 из Debian 1998 года со списком корней от 22 августа 1997-го и восстановленными по документам делегациями .com и проверил: priming-ответ держал пятнадцать серверов, а за пределом сервер молча выкидывал адреса, не ставя флаг усечения. Тринадцать получаются из бумажного расчёта с запасом под имя в вопросе, в пакетах стены на тринадцати нет.

В Zabbix 8 появилась штатная возможность хранить историю элементов данных в ClickHouse. Это позволяет вынести поток измерений в отдельное хранилище, сохранив привычные механизмы сбора данных, обработки значений и проверки триггеров.

При проектировании такой системы нужно учитывать важную особенность: для числовых данных, история которых направлена в ClickHouse, Zabbix не рассчитывает новые штатные тренды. Пока что так.

Меня зовут Антон Касимов, я работаю в Gals Software, веду телеграм‑канал Zabbix Recipes, посвященный Zabbix, где делюсь своим опытом. В этой статье поговорим об особенностях работы Clickhouse с новой версией Zabbix.

В обычной установке Zabbix реляционная база обслуживает разные задачи: хранит конфигурацию мониторинга, пользователей, события, историю измерений и часовые агрегаты. С подключением ClickHouse эти обязанности разделяются. Основная PostgreSQL/MySQL остаётся необходимой, а историю выбранных типов значений можно направить в ClickHouse или ElasticSearch. Но в статье мы будем говорить только о ClickHouse.

Эта статья описывает по шагам, как включить Secure Boot в Arch Linux с загрузкой через UKI, не заменяя и не задевая другие ключи в UEFI. Если вы новичок в Arch, которому руководство по Secure Boot на Arch Wiki кажется страшным и непонятным, и вы боитесь задевать зашитые заводские ключи, или имеете другие причины их не менять, то, возможно, этот способ вам подойдет.

Непальский провайдер WorldLink семь лет назад включил IPv6 и довёл его до 100% из более чем миллиона абонентов, а 70% трафика теперь идёт мимо CGNAT. Главный инженер сети рассказывает, что сломалось по дороге. После обрыва волокна домашние роутеры, которые пользовались разрешённой в RFC 8415 возможностью вести отдельный автомат на адрес и на префикс, слали по 116 SOLICIT в минуту, а функция DBOR на BNG сносила абонентам сессии по кругу. Плюс мультикастовые фильтры второго уровня, снупинг на OLT, выбор между /64 и /56 и почему внедрение IPv6 надо мерить долей трафика, а не числом абонентов с адресом.

OpsDeck за три недели: ИИ-агент, который сам ходит на хосты, и ещё восемь релизов

Три недели назад я писал здесь про OpsDeck — бесплатное открытое приложение, в котором DevOps-инженер держит в одном окне терминал, Kubernetes, SSH, базы, заметки и прочее, по чему обычно разложены пять вкладок и три консоли. С тех пор вышло девять релизов, в репозитории появились внешние контрибьюторы, а приложение заметно изменилось — настолько, что отдельный рассказ назрел.

Коротко о главном: локальный ИИ перестал быть подсказчиком команд и научился сам ходить на хосты — по правилам, которые вы ему задаёте, и с вашим разрешением на любое изменение. Об этом — первая половина поста. Дальше — что ещё появилось и чему меня научили ваши баг-репорты.

Однажды мне надоело платить за VPS, ресурсов которого едва хватало для запуска Chrome. В поисках альтернативы я вспомнил про без дела лежащий CMF Phone 1 и решил превратить его в полноценный сервер для личных сервисов. Рассказываю, как удалось запустить Linux-приложения на Android, автоматизировать развёртывание и обеспечить доступ из любой сети — и с какими неожиданными проблемами столкнулся в процессе.