Администрирование

У кого на сервере крутится Xray, рано или поздно сталкивается с ошибками вerror.log: обрывы, таймауты, несовпадение SNI, исчерпанные попытки переподключения и прочая диагностика. Смотреть «хвостом» в консоли можно, но это плохо масштабируется: хочется понимать причины, динамику, кто к нам ломится — и желательно без тяжёлого стека вроде ELK на домашней VPS.

Я собрал XrayPulse — небольшой дашборд под эту задачу и залил на github, чтобы ими могли воспользоваться другие. В статье подробнее расскажу, что именно он делает, из чего состоит и какие решения мне кажутся стоящими внимания.

Я решил проверить, на что способен мой старый компьютер с Radeon RX 580 под управлением Fedora. В этой статье я пошагово разберу, как завести современный ИИ-стек (Ollama, n8n, Open WebUI) через Vulkan без боли с ROCm, и почему 15-35 токенов в секунду на железе 2017 года — это реальность, доступная каждому.

Я думаю все мы понимаем текущую ситуацию с интернетом на территории Российской Федерации. Сейчас это выходит на уровень абсурда, а VPN сервисы выходят на уровень первой необходимости, и в связи с этим я хотел бы поговорить насколько некоторые из них ну абсолютно ужасны, каким сервисам верить не стоит.

И само собой, реальный пример плохого выбора.

Настраивать оборудование можно разными способами. Можно ходить от одной железки к другой и делать всё руками, но это медленно и непродуктивно, сгодится максимум для дома. Можно использовать скрипты, но это может не всегда работать и вызывать проблемы. А можно использовать подход, который сейчас называют Infrastructure as Code, то есть описать в каком состоянии Вы хотите видеть свою инфраструктуру, а программа сделает всё сама. Вот про одну из таких программ, которая активно завоёвывает рынок, мы и поговорим, а именно об Ansible.

Я не специалист по MikroTik. Совсем. Если вы — опытный пользователь, который знает все тонкости CAPsMAN, закройте эту статью прямо сейчас: дальше будет рассказ о том, как человек, редко сталкивающийся с этой технологией, наступал по очереди кажется на все возможные грабли.

А вот если вы тоже настраиваете CAPsMAN раз в несколько лет и хотите сэкономить время — эта статья для вас.

Ручной деплой через SSH и bash-скрипты – это практика, которая рано или поздно приводит к инцидентам. В этой статье разбираем, как построить предсказуемый Continuous Delivery с помощью Ansible и GitLab CI. Обсуждаем реальный кейс миграции, пишем плейбуки, настраиваем zero-downtime rolling update и автоматические откаты.

Три недели назад я опубликовал статью про настройку прозрачного прокси-шлюза на OpenWrt-роутере: VLESS+Reality, TPROXY, AdGuard Home, сплит-роутинг. Статья собрала около сотни содержательных комментариев — и значительная их часть оказалась справедливой критикой. По следам этой критики у меня за три недели переписалась примерно половина системы.

Во второй части разбираю, что изменилось:

— Перевёрнута логика маршрутизации: с proxy-by-default на direct-by-default + явный whitelist через balancer. Защищает от утечки внешнего IP перед российскими антифрод-системами.

— Добавлена поддержка UDP с sniffing QUIC и обработкой голосового трафика.

— Монолитный config.json стал шаблоном с плейсхолдерами для подписки и пользовательских доменов.

— Появилась своя LuCI-страница для управления proxy-доменами, написанная под JS-only стек OpenWrt 25.x.

— Второй слой обработки UDP-голоса через NFQUEUE и nfqws — там, где Xray не справляется.

В статье полный разбор: конфиги, init-скрипты, nftables, JS-only LuCI с кодом. Всё проверено по живому конфигу. Отдельным блоком — честное сравнение с Podkop и PassWall2.

Первая часть: https://habr.com/ru/articles/1020866/

Разбор SLA от человека, которого подключают, когда сайт недоступен, заказы не проходят, а в чатах уже ищут виноватых. Рассказываю, как SLA помогает без лишних споров переживать такие моменты. 

В статье разбираем, как self-service подход и платформенная инженерия помогают убрать этот шлюз: автоматизировать деплой, выдачу окружений, базы данных и типовые операции так, чтобы разработчики получали автономию, а админы и DevOps занимались архитектурой, надёжностью и развитием платформы.

Я создал еще одну библиотеку SNMP на Go, но это не просто еще одна SNMP библиотека а библиотека созданная сетевым инженером, каждый день работающим с различным оборудованием.

Библиотека создавалась без оглядки на аналогичные а основной целью было написание различно ПО для мониторинга и управления оборудованием в реальных сетях.

Мне был необходим фундамент для создания:

Многоканальных сенсоров для PRTG

Утилит для сбора данных с сетевого оборудования, таких как MAC/ARP таблицы, режим работы портов, их состояние, информация о POE, информация о CDP/LLDP соседях и многое другое.

Приемника SNMP Trap/Inform сообщений версии 3 (с поддержкой смешанных трапов, как версии 2c так и 3 и с различными параметрами шифрования и аутентификации, то есть например часть оборудования шлет Trap и использует пользователя SNMPuser и использует шифрование DES, а часть использует пользователя useram и использует шифрование AES-256).

Утилит управления портами, POE и прочими функциями оборудования

Много внимания было уделено обработке ошибок и производительности.

Были изучены и учтены проблемы SNMP агентов на некотором оборудовании, с которыми мы столкнулись при использовании как gosnmp так и net-snmp и прочих библиотек.

Это вводная статья и надеюсь не последняя.

Начиная с OpenSSH 9.7, sshd умеет автоматически ограничивать на время подозрительные IP без Fail2Ban и iptables. В Ubuntu 26.04 эта функция уже включена по умолчанию — даже если в sshd_config про неё ничего не написано. Предлагаю попробовать разобраться с тем, как это работает.

Disclaimer: статья написана без использования ИИ. Нейросеть использовалась только для стилистической редактуры. Ничего не рекламирую и в ТГ-чаты не зазываю. Гараж не продаю.

Оператор техподдержки тратит 5 минут на каждый тикет, чтобы найти данные об активе. На трёх операторах это больше миллиона рублей в год — только на поиск. Считаем, откуда берётся эта цифра, и показываем формулу для ваших данных.

Контейнерный ЦОД в Марфино пережил первые реальные аварийные отключения, принял первых гостей и обзавёлся соседями — тремя дизельными электростанциями и двумя газопоршневыми установками. Рассказываем, как прошёл апрель.

Когда Kubernetes-кластеров становится больше одного, инфраструктура начинает жить по новым правилам. Один кластер развёрнут в основном датацентре, второй — в резервной площадке. Сложности начинаются в тот момент, когда этим кластерам нужно взаимодействовать друг с другом. Сервисы в одном кластере должны обращаться к сервисам в другом, приложениям требуется нормальная маршрутизация, а инженерам хочется управлять этим без набора временных решений вроде iptables и ручных DNS-записей.

В качестве сетевого слоя будем использовать Calico, а для межкластерного взаимодействия сервисов — Istio. Первый даст маршрутизацию и связность, второй — discovery, балансировку и управление трафиком на уровне приложений.

Привет, Хабр! Меня зовут Ярослав Яковкин, я младший инженер по разработке ПО в YADRO, работаю в команде TATLIN.FLEX. Еще будучи стажером, я разбирался в инструментах, которыми пользуется моя команда, и обнаружил, что система мониторинга Zabbix допускает некоторые ошибки в работе. Они не влияют на производительность, но, если их исправить, всем станет лучше.

Я погрузился и узнал, как устроен инструмент и что сделать, чтобы устранить неисправности, а опыт собрал в этой статье. Материал будет полезен тем, кто недавно работает с Zabbix, — возможно, вы найдете решение своей проблемы под катом. А опытных девопсов приглашаем в комментарии — поделитесь лучшими практиками по оптимизации Zabbix. 

У вас не открывается сайт. Браузер пишет «Не удалось установить соединение». Это всё, что он знает — и это бесполезно.

Потому что «не открывается» - это как минимум четыре разных истории. DNS-резолвер провайдера соврал. ISP режет пакеты по IP. ТСПУ прочитал имя хоста в открытом поле TLS ClientHello и оборвал соединение. Или вы получили честный 200 OK - и страницу-заглушку «доступ ограничен по решению Роскомнадзора». В каждом случае нужно делать разное, и без понимания, на каком слое стоит фильтр, можно тыкаться в любую сторону и не угадать.

В статье разбираю все четыре механизма по слоям - снизу вверх, от DNS до HTTP - и показываю Python CLI, который запускает probes на каждом уровне и выдаёт диагноз: TCP_RESET, TLS_BLOCK, DNS_BLOCK, HTTP_STUB. Отдельно - про то, как «TCP открылся, а TLS handshake умер» становится надёжным отпечатком DPI на SNI, и почему параллельный стриминг результатов через as_completed радикально меняет UX по сравнению с pool.map().

Это диагностический инструмент, не средство обхода. Открытый код, MIT, pip install rkn-block-checker.

Две недели назад я писал про Anthropic: Claude Desktop тихо регистрирует модуль Native Messaging сразу в семи браузерах на базе Chromium на машине пользователя. Схема там была чрезвычайно простая: запускаешь одну программу, а она без спроса прописывает себя в настройки других установленных тобой программ. То есть спокойно перелезает через некие «границы доверия» между вендорами. Ни окна согласия, ни понятного отказа в интерфейсе. Удаляешь вручную — при следующем запуске все появляется снова.

Теперь та же история всплыла у Google. Chrome без спроса кладет на диск файл локальной ИИ‑модели размером 4 ГБ. Это weights.bin в каталоге OptGuideOnDeviceModel. По сути, это веса Gemini Nano, локальной языковой модели Google. Браузер не спрашивает разрешения, никак не показывает пользователю, что сделал, а если файл удалить — просто скачивает его снова.

С юридической стороны история очень похожа на кейс Anthropic. Но у Google добавляется еще одна вещь: масштаб. Когда такой файл разъезжается по гигантской аудитории Chrome, экологическая цена уже вполне материальна. В зависимости от числа устройств речь идет примерно о 6–60 тыс. тонн CO₂-эквивалента за одну такую волну загрузок. То есть одна компания просто решает, что браузер по умолчанию для миллиардов людей раскатает по их машинам 4 ГБ бинарных данных, которых никто не просил.

На связи Илья Шуйков, руководитель продукта «Фабрика данных» компании Диасофт.

В прошлой статье мы рассказали, зачем понадобилось строить свое объектное хранилище, и как устроен S3 Архипелаг изнутри. Теперь — практика: берем дистрибутив и разворачиваем рабочее хранилище.

Обычно для базовой диагностики прокси достаточно просто заглянуть на страницу администрирования Zabbix proxy или посмотреть метрики состояния прокси. Однако бывают ситуации, когда требуется более глубокий анализ.

Сегодня мы разберём взаимодействие между Zabbix server ↔ proxy и научимся интерпретировать внутренний протокол обмена.

Всем привет! Меня зовут Ярослав Покрепов, я DevOps-инженер в Авито. 

Виртуализация — это технология создания изолированных и независимых виртуальных сред на базе физических ресурсов. Виртуализация в Авито — это неотъемлемая часть технического стека, как и во многих других IT-компаниях. На этапе основания Авито виртуализация уже была широко распространённой технологией. Проект нуждался в эффективных и гибких решениях для управления ресурсами, в возможности масштабироваться в будущем и в обеспечении стабильной работы при растущей нагрузке.

В этой статье попробую провести читателя от истоков виртуализации в Авито до современных решений и показать, как эти изменения повлияли на архитектуру и возможности компании. Описать общую хронологию развития виртуализации без полного погружения в технические детали — об этом расскажу подробнее в следующих частях.

Дисклеймер: ранняя история инфраструктуры компании восстановлена не по документации, а по воспоминаниям инженеров, которые работали в тот период. Это устная история — с допущениями, реконструкцией контекста и попыткой передать факты и логику решений.