Администрирование

По репозиториям на Git часто видно: вложенные пайплайны в GitLab CI остаются редкой экзотикой, а в проде в основном живут линейные сценарии. Тем не менее я убежден, что грамотные downstream'ы прекрасно связывают процессы в единый поток, снимают ручной труд с команды и добавляют архитектуре гибкости. Конечно, запутаться в многоуровневой логике может даже опытный DevOps-инженер или тимлид, но чтобы вы не блуждали в сложной структуре, я подготовил для вас практическую шпаргалку по работе с ними.

Последние несколько лет я занимался сопровождением вендорской разработки, строил CI/CD преимущественно на базе Gitlab CI и мне есть что рассказать. Помните фильм «Начало»? Сегодня он станет нашим наглядным гидом по архитектуре наследуемых пайплайнов и, надеюсь, поможет вам взглянуть на многослойный CI‑конвейер под другим углом.

Почти все причастные к разработке сталкивались с CI, и я уверен, что большинство знает про существование раннеров, на которых крутится наш CI. Но, как показывает практика, далеко не все знают о том, что раннеры бывают разных видов и что под разные сценарии DevOps в вашей команде подготовил разные окружения. Да и сами DevOps иногда оказываются в ступоре, когда на техническом интервью их спрашивают, чем docker от docker autoscaler отличается. Поэтому я решил собрать весь основной материал в виде большой шпаргалки. Сегодня разберём: какие раннеры бывают, какие плюсы и минусы у каждого, где какой лучше использовать, ну и на какие грабли вы можете наткнуться при работе.

Данная статья написана для версии GitLab / GitLab Runner 18.x. GitLab постоянно подчищает хвосты в работе раннеров, поэтому будьте внимательны, на других версиях что-то может быть деприкейтед, а что-то просто не существует.

В корпоративном реестре может числиться полторы сотни приложений, хотя реальная инфраструктура давно вышла за его пределы: сотрудники заводят личные аккаунты в SaaS, оплачивают подписки со своих карт и поднимают временные облачные ресурсы, которые продолжают работать годами. Каждый такой инструмент появляется по понятной причине — его можно запустить за несколько минут, пока согласование занимает недели, но затем он обрастает данными, доступами и интеграциями, оставаясь вне общего контура управления. 

Так формируется Shadow IT, которое обычный discovery видит лишь фрагментами. Разберём, откуда берётся этот скрытый слой инфраструктуры, во сколько он обходится компании и как вернуть его под контроль без тотальных запретов.

ИТ знает, сколько железа на складе, но не знает, во сколько оно обходится. Деньги уходят по мелочи — ремонт тут, простой там, забытая лицензия — а в конце года бюджет в минусе. Разбираем, куда утекает и как это поймать вовремя.

В мире корпоративной ИТ-инфраструктуры уже много лет существует дискуссия. На одном полюсе — проверенная временем классическая трёхуровневая архитектура (серверы, сеть, внешняя СХД). На другом — гиперконвергентная инфраструктура (HCI), которая объединяет все компоненты в единую программно-определяемую систему. Выбор между ними — это не просто вопрос "что новее", а стратегическое решение, влияющее на управляемость, масштабируемость, отказоустойчивость и совокупную стоимость владения .

Модуль ядра может собраться без предупреждений, успешно загрузиться и несколько минут выглядеть полностью исправным. А потом под нагрузкой поймать гонку, зависнуть на блокировке или уронить всю систему. Разберём пять типичных ошибок, которые не видит компилятор, но хорошо видит продакшен.

Локальный ИИ в 2026-м начинает становиться нормой для многих компаний. Причины понятные: данные не утекают в чужое облако, не нужны ни VPN, ни подписка на каждого сотрудника, всё крутится на своём железе и под контролем. Вот только перед тем как «поставить Ollama и запустить модель», всех встречает вопрос, на котором спотыкается большинство: а какое, собственно, железо под это брать?

Собрал для себя такой сервер, гоняю на нём локальные модели уже некоторое время — и ниже разберу, как выбирать конфигурацию под свою задачу и бюджет. Сбалансировано и без переплат (основано на моем опыте, не претендую на то, что это самый идеальный сервер для ИИ).

Про цены. В 2026-м видеопамять и видеокарты ощутимо подорожали! Поэтому конкретные суммы ниже — ориентир на 20 июня 2026-го, перед покупкой сверяйтесь с актуальными. А вот сам подход к выбору от прайса не зависит, и именно его и разберем в статье.

И ещё одно честное замечание, чтобы не разочароваться. Локальная модель не заменит фронтир — ChatGPT, DeepSeek и им подобных — по всем фронтам. Но для внутренних документов, черновиков, кода и обработки собственных данных её хватает с запасом, и данные при этом никуда не уходят. Какую модель под какую задачу брать — разговор отдельный (разберу в следующих статьях); здесь только про железо.

Обнаружил что в скриптах сборки время от времени подвисает node-pre-gyp, который скачивает прекомпилированные бинарные библиотеки.

Начал выяснять откуда он их пытается скачать - оказывается, github.

Проверил github без VPN - оказывается, релизы с release-assets.githubusercontent.com не скачиваются. Причем из консоли еще скачиваются, из браузера не открываются. Вероятно, иногда и из консоли блокируется.

То есть частичная блокировка гитхаба все еще продолжается. Замечу, что он используется в огромном числе скриптов сборки огромного числа продуктов, и заменить его на зеркала централизовано нельзя, да и далеко не всегда известно, какой именно файл какая именно программа будет скачиваться.

Docker и хранение данных: тома, bind mount, tmpfs и не только

Разбираемся, какие способы хранения данных есть в Docker, чем они отличаются друг от друга и что выбирать в реальных сценариях. В статье — тома, подключение хост-каталогов, tmpfs, нюансы docker compose, SELinux, volume-subpath, --volumes-from, драйверы хранения и бэкап томов на практике.

Эта статья является прямым продолжением вот этой статьи про мой проект ServeHub-2, которое охватывает релиз 1.4.0 и отчасти 2.0.0, 2.1.0 (а также определенные подробности, которые не упоминались в прошлой статье). Здесь будут подробно объясняться моменты в том порядке, в котором они появлялись в проекте.

Также изначально планировалось в этой же статье рассказать про Go Wails установщик, но тогда она получается слишком большой, поэтому про это будет в следующей части.

Галочка «TLS/SSL» стояла. Замочек «горел». А почта почти 20 лет уходила в сеть открытым текстом. Разберём, как это возможно, почему всплыло только сейчас и что с этим делать прямо сегодня.

Всегда задавал себе вопрос зачем мне в Debian: Libreoffice, pidgin, irc чаты и почему загрузочный образ весит аж 3 гигабайта. Вместо вычищения готовых образов мы сделаем радикальную вещь, свой дистрибутив Debian с нужным ПО без лишних программ.

В первой части статьи мы соберем свой собственный rootfs образ Debian stable без рекомендованых и мета-пакетов

Представьте: в вашей организации сотни, а то и тысячи компьютеров под управлением Windows и разных дистрибутивов Linux. Управлять этим зоопарком классическими средствами вроде Microsoft SCCM становится невозможно, особенно с учётом тренда на импортозамещение. Здесь на сцену выходит система для централизованного управления устройствами и приложениями в гетерогенной инфраструктуре из «единого окна» Колибри-АРМ.

А теперь усложним задачу: мы не хотим держать сервер в душном серверном помещении и тратить бюджет на его железо и обслуживание. Мы хотим получить отказоустойчивую, масштабируемую и безопасную инфраструктуру в аренду за разумные деньги, что может предложить российское публичное облако Cloud.ru. В этой статье покажу, как правильно подойти к развертыванию Колибри-АРМ в облаке, избежав типичных ошибок новичков.

Когда в мае 1978 года Гэри Туерк, маркетолог из Digital Equipment Corporation, отправил 400 сотрудникам ARPANET приглашение на презентацию компьютеров DECSYSTEM-20, он не знал, что станет отцом целой индустрии email-маркетинга ненависти к спаму. 

Несмотря на это, эра спама началась не с Туерка, а с инженерного решения Эрика Оллмана, который пытался соединить три несовместимые сети в одну универсальную систему доставки почты. Под катом расскажу о том, почему sendmail привёл к эпидемии спама и какие механизмы защиты работают в почте сейчас.

Нагрузка в кластере растёт, PV распухают, IaC-инструменты перестают справляться. В какой-то момент всё начинает тормозить так, что уже мешает нормально работать.

Команда Cloudflare столкнулась с такой ситуацией и нашла решение — изменить одну маленькую дефолтную настройку в Kubernetes.

В статье — шаги по аудиту кластера и изменению настроек. Особенно пригодится тем, у кого есть кластеры с крупными PV.

Привет, Хабр! Я Олег Ассур, технический директор SafeMobile. Управление мобильными устройствами или MDM – тема, мимо которой проходят не только лишь все, пока в компании не появляется сто, тысяча или пятьдесят тысяч корпоративных телефонов, которыми вдруг надо управлять централизованно. Я в ней с 2012 года: писал MDM клиент для джейлбрейкнутых iOS, поднимал управление iOS, Android и Windows, прошёл с заказчиками все пять стадий принятия российского ПО и дорос от разработчика до технического директора.

Эта статья выросла из моего прошлогоднего доклада на SysAdminConf (видеозапись будет в конце), но это не расшифровка, а отдельный разбор: как устроено управление телефонами под капотом, кто и зачем придумал нынешние технологии, почему все они до сих пор работают по правилам, заданным Apple в 2010, и почему собирать свой MDM в России в 2026 – затея на любителя. Если интересно, что происходит между «раздали сотрудникам телефоны» и «теперь ими кто-то управляет» – добро пожаловать под кат.

Я Артур Валиев, разработчик EVRT

Когда мы форкнули RustDesk и начали строить EvertyDesk — корпоративный удалённый рабочий стол с поддержкой Hyper-V, Proxmox, VirtualBox и умным агентом — первое, во что упёрлись, было видео.

H.264 — стандарт де-факто. TeamViewer, AnyDesk, Windows App — все используют H.264. Он работает. Но он lossy. И вот здесь начинается проблема, о которой в статьях про remote desktop обычно не говорят.

Когда оператор смотрит на терминал с git diff или читает трейс в VSCode — один размытый пиксель в букве это уже другой символ. H.264 при любом разумном битрейте вносит артефакты в области с резким контрастом. Точно туда, где у нас весь текст. Это неприемлемо.

H.264 в lossless режиме (QP=0, lossless profile) существует, но поддержка в декодерах — через пень-колоду, а для mostly-static контента предикторы рассчитанные под видео с движением дают нулевой выигрыш над тривиальным delta-кодером.

Нам не нужен motion estimation. Нам нужно: вот предыдущий кадр, вот текущий, вот список изменившихся тайлов, сожми только их.

Мы написали EVRTCK.

Привет! Меня зовут Александр Титов. Я директор Ассоциации профессионалов индустрии облачно-ориентированных технологий «АОТ», организатор сообщества DevOps Moscow и генеральный директор «Фланта». В этом посте я расскажу, как получилось так, что я не только занимаюсь предпринимательством, но и руковожу некоммерческой ассоциацией, которая развивает облачно-ориентированные технологии в России, и почему, на мой взгляд, сегодня отрасли нужна именно такая форма работы.

Хабр, привет в очередной раз! Ситуация с работой интернета в стране начинает напоминать какую-то лотерею, в которой невозможно выиграть. Мобильный интернет по "белым спискам", стационарный с блокировкой всех основных мессенджеров "ради нашей с вами безопасности". И даже совсем стандартная задача - оперативный мониторинг серверов, находящихся в RU сегменте Интернета, превращается в лотерею. Придет алерт о недоступности какого либо сервиса или не придет? Главный вопрос многих админов сегодня. Есть разные решения данной проблемы, под катом - как эту проблему решал я и почему выбрал именно такой путь.

Сервер числится сразу за несколькими отделами. Каждый уверен, что у него всё в порядке. А когда железка ломается, выясняется, что она ничья. Опросили сотню компаний — картина одинаковая. Показываем, что с этим делать.