DevOps *

Всем привет. Меня зовут Александр. По образованию я сетевой и системный администратор, пару лет занимался сетями и серверами, а сейчас работаю инженером роботизированных систем: настраиваю, внедряю и чиню промышленных роботов-поломойщиков SIASUN, которые в России продаются под маркой Kosmetor. Склады, производственные цеха, логистические комплексы.

Про эти машины (в принципе про любые автоматические поломойки) почти нет текстов, написанных не продавцами. Есть буклеты с цифрами «до 2500 м²/ч» и есть частичная документация производителя на китайском. Между ними пустота, в которой живёт инженер: с ноутбуком, SSH-клиентом и роботом, который вдруг решил, что он в другом конце склада.

Это первая статья цикла. Здесь я расскажу, что это за класс машин, чем они отличаются от того, что обычно представляют при слове «робот-поломойщик», покажу линейку, с которой работаю, и объясню, о чём пойдёт речь дальше. Дальше будет интереснее: SLAM, карты, Linux на MRC модуле робота, облачная платформа, удалённый доступ к машинам за NAT и разбор ошибок, которые я сам же и совершал.

В классическом CI/CD пайплайн заканчивается деплоем, но дальше состояние Kubernetes‑кластера может незаметно разойтись с конфигурацией в Git. Разбираемся, как ArgoCD обнаруживает и исправляет такой дрейф, как настроить синхронизацию и где автоматизация GitOps требует особенно осторожного подхода.

Большинство инструкций по локальному запуску LLM сводятся к одной-двум командам: вставьте их в терминал, дождитесь загрузки модели и готово. Такой подход работает ровно до первой ошибки. После этого становится непонятно, на каком из нескольких уровней возникла проблема: в Windows, WSL2, драйвере NVIDIA, Docker, CUDA или самом inference-сервере.

В этой статье развернем Qwen3-0.6B на обычной NVIDIA-видеокарте под Windows 11 с использованием WSL2, Docker, NVIDIA Container Toolkit и vLLM.

Что произойдёт с PKI, если после аварии одновременно запустятся десятки тысяч pod’ов Kubernetes и каждому понадобится свой TLS-сертификат?

В нашем случае в центр сертификации почти одновременно прилетело около 100 тысяч запросов. При штатной нагрузке в 10–11 RPS запас производительности казался более чем достаточным, но во время массового восстановления инфраструктуры ЦС быстро превратился в узкое место: запросы начали ждать, уходить в таймауты и повторяться.

В статье разбираем, почему многократного запаса производительности оказалось недостаточно, почему простое масштабирование ЦС не всегда имеет смысл и что изменилось, когда мы разделили выпуск и потребление сертификатов. А заодно — как проблема производительности привела нас к новой задаче: безопасному хранению сотен тысяч сертификатов и соответствующих закрытых ключей.

В Ptah 0.13.0 появилась нативная поддержка YDB. Ptah умеет читать текущую схему базы, сравнивать её с декларативным описанием и на основе разницы строить план изменений или генерировать версионные миграции. В статье разберём этот процесс на примере HCL-схемы, посмотрим на работу с индексами и drift detection, а также на особенности YDB, которые приходится учитывать при миграциях: разные возможности версий, feature flags и нетранзакционный DDL.

Обратный SSH-туннель позволяет опубликовать домашний видеосервис без проброса портов. Но одна доверенная строка из браузера может превратить Viewer в SSRF-прокси и открыть путь во внутреннюю сеть.

Разбираю реальную ошибку и её исправление: фиксированный upstream, авторизацию HLS, loopback на обоих концах туннеля, ограниченный SSH-ключ, единственную публичную точку HTTPS и аварийное отключение доступа.

Я не программист. По крайней мере, несмотря на то, что в 2010 году я закончил «Прикладную информатику в менеджменте» (ДГТУ) и учился писать на C++, таковым в настоящее время себя не считаю.

При этом с июля 2026 года я управляю большим продуктом (собственная фабрика аналитики, своего рода ERP внутри компании), код которого пишут ИИ‑агенты. Я даю задачи голосом (не помню, когда в последний раз формировал текст задач на клавиатуре), агенты пишут код, проверяют его и выкладывают новую версию на сайт. Продукт собран на Next.js 16, TypeScript и PostgreSQL. На 1 октября в истории проекта уже более 6500 коммитов и 1.800.000 строк кода.

Код я не читаю. Поэтому между словом агента «готово» и появлением новой версии на сайте стоят автоматические проверки. Их называют «сторожами», сейчас их около двухсот. Если хотя бы один сторож покраснел, новая версия не попадает на сайт, а я получаю в Telegram сообщение «выкат остановлен» со списком красных.

Так я узнаю, готов ли продукт. И несколько раз эти проверки говорили неправду. Ниже пять примеров: что случилось, как мы это заметили и что изменили.

За последние дни Anthropic забанило много аккаунтов. Моё предположение: под бан попали аккаунты, на которых светился российский IP и часовой пояс компьютера

Я настроил Claude Desktop и Claude Code так, чтобы запросы всегда уходили с одного IP своего VPS через CLIProxyAPI.

В статье показываю как это настроить: сервер, вход через OAuth, Desktop и Claude Code. Для каждого шага есть промпт для агента и ручная инструкция:)

Облачные платформы, как правило, выглядят одинаково пугающе: открываешь консоль, а там десятки сервисов, виртуальные сети, Kubernetes, базы данных, IAM, какие-то шлюзы… Вообще непонятно, что там делать, — прямо как при первом заходе в «Битрикс».

Мне по долгу службы выпала возможность поработать через MWS Cloud Platform, и я решил изучить ее как нормальный человек (а не от корки до корки по документации): поставить конкретную задачу и пройти весь путь самому. Сегодня миссия простая: взять готовую LLM в облаке, развернуть ее и начать отправлять ей реальные запросы со своего компьютера.

Если вам нужна LLM как часть своего инструмента, а не как очередной чат-бот, приложение, рабочий скрипт или AI-агент, ее нужно где-то запускать и как-то подключать. GPT Model Hub как раз позволяет взять готовую модель и получить к ней API, не разворачивая всю инфраструктуру самостоятельно.

Поэтому в этом обзоре пройдем путь от первого входа в аккаунт до рабочего Qwen: подключим биллинг, создадим деплоймент, получим API-ключ и заведем модель в VS Code. Этим материалом я запускаю цикл обзоров на большой продукт MWS Cloud Platform.

Поехали!

Как спрятать реальный IP сервера?

В первой части серии разбираемся с iptables: как устроены таблицы и цепочки netfilter, что происходит с пакетом на пути от клиента до бэкенда и как с помощью DNAT/SNAT организовать простой прокси-узел. Покажем рабочую конфигурацию для HTTPS, TCP и UDP, разберём типичные проблемы с FORWARD, conntrack и маршрутизацией, а главное — выясним, почему простой NAT не позволяет одновременно скрыть IP сервера и сохранить реальный IP клиента. В конце сравним подход с nftables и разберём, в какой момент iptables перестаёт подходить для цепочки прокси.

Сейчас у нас, как и почти везде, идёт переход на ИИ: каждому сотруднику пытаются выдать своего ИИ-агента. Очень быстро выяснилось, что раздать агентов — полдела. Дальше начинается управление ими: кто агенту говорит, что ему можно, откуда он знает, как устроена компания, и кто отвечает на его вопросы, когда он упирается в стену.

У нас на этом месте оказался я — единственный администратор примерно на 60 сотрудников. Агенты сотрудников писали мне письма, я пересылал их своему агенту и отправлял ответ обратно. Пользователи шутят, что мы стали прокладками между несколькими ИИ.

В статье — как мы пришли к профильному ИТ-суперагенту, как он устроен внутри (MCP, два RAG-источника, права, проверки на серверах, эскалация в мессенджер) и на какие грабли наступили. Это не продукт и не реклама — рабочий прототип, который сейчас крутится в пилоте.

Часть вторая по использованию ИИ в сложной работе devops. Первая доступна по ссылке

Жду ваших коментариев и дополнений

Вспомните свой обычный рабочий день: три терминала, Lens, вкладки с Grafana, Argo CD и GitLab, KeePassXC, Obsidian с ранбуками, DBeaver, WinBox для роутеров и где-то среди всего этого — чат с ИИ. Алерт прилетает в Telegram, команду из ранбука копируешь руками, пароль ищешь в третьем окне. Мне надоело собирать себя по кусочкам каждое утро, и я сделал OpsDeck — бесплатное приложение с открытым кодом, в котором всё это живёт вместе и знает друг о друге. Ниже — экскурсия по каждому разделу со скриншотами.

В первой части я рассказывал, как мы дошли от обычного копирования кода между MODX и ChatGPT до нормального предметного интерфейса к CMS. Агент перестал видеть сайт как россыпь файлов и строк в базе и получил возможность работать с ресурсами, чанками, TV и зависимостями между ними. В какой-то момент этого стало достаточно, чтобы ставить задачу примерно так же, как я поставил бы её разработчику, без подробной инструкции, куда именно залезть и какую строку там поменять.

Следующий шаг напрашивался сам собой. Если агент уже разобрался в проблеме и нашёл решение, какого чёрта я должен брать его код, подключаться по SSH, делать резервную копию, заливать исправление, запускать проверки и потом ещё ходить по сайту смотреть, не отвалилось ли что-нибудь рядом. Хотелось просто написать «Посмотри, почему форма перестала отправляться, исправь и проверь» и получить в ответ не инструкцию из десяти пунктов, которые мне потом самому предстоит выполнить, а уже исправленный сайт.

Вот на этом месте и началась вторая часть нашего проекта. Сам доступ на запись дать оказалось совсем несложно. К MODX MCP добавились SSH, физические файлы, логи, браузер и несколько служебных инструментов. Гораздо больше времени ушло на то, чтобы после команды «исправляй» не сидеть у агента за спиной и не следить, что именно он там сейчас собирается натворить.

Эта статья - о шаге, который предшествует настройке маршрутов: как выбрать сигнал, связать его с влиянием на бизнес, определить срочность и проверить, что вызов дежурного действительно оправдан. В качестве сквозного примера возьмём оформление заказа, а в конце свяжем правила детектирования с обработкой в nxs-anomaly.

Практика к первой части серии «Kubernetes просто». Поднимем локальный кластер с помощью kind, найдём компоненты Control Plane и запустим первый Pod. Разберём команды и их вывод, а затем закрепим материал самостоятельными заданиями.

Можно годами работать с Kubernetes, писать манифесты и разбираться с падениями подов – и всё равно смутно представлять, что именно происходит внутри системы. Я решил закрыть этот пробел радикально: собрал собственный оркестратор Smith и по ходу разработки столкнулся с теми же проблемами, которые когда-то сформировали архитектуру Kubernetes.

В статье – разбор этих инженерных решений через реальные поломки, от сетевого взаимодействия между узлами до механики согласования состояния.

В мае 2026 ИИ-агент попросился в любительскую сеть DN42, чтобы “создать индекс сети”, и заодно сообщил о пяти инстансах AWS по 20 Гбит/с, уже запущенных и ждущих допуска. Заявку в сеть так и не приняли, зато затянули взаимодействие на сутки: субагент принимал индивидуальные OPT-OUT, но отказался исключить всех сразу, сайт агента вел профили участников, а в реестр прилетел документ про “уровень счастья ноды”. Закончилось заявленным счетом на $6531 и просьбой о пожертвованиях. Пересказ истории Lan Tian, голоса Hacker News и мои выводы о том, какие гейты ставить агенту на деньги, ресурсы и необратимые действия.

ИИ-агент работает в песочнице, но отдельным инструментам нужны разные права. Анализатору можно читать исходники, а менять их нельзя. Как проверить, что этот запрет действует?

В экспериментах с Linux и gVisor встретились три ситуации. Механизм ограничения отсутствует, для его настройки не хватает прав или настройка проходит успешно без ожидаемого эффекта. Даже загруженная и подключённая программа фильтрации не всегда что-то фильтрует. Показываю результаты, ошибки собственных проверок и подход, который помогает проверить ограничения до запуска инструмента агента.

Привет, Хабр! Под эгидой AOT мы проводим конференции для сообщества вокруг Kubernetes. На Kuber Conf от АОТ в 2025 году у нас выступал Михаил Петров, Kubernetes-эксперт в Stackland (Yandex Cloud). Для тех, кто любит смотреть видео — держите ссылку. 

А ниже — текстовая версия доклада в изложении Михаила.

---------

В целом кубером я занимаюсь вот уже почти 10 лет и за это время построил десятки продакшн-кластеров в VK и не только. В Yandex Cloud мы сейчас разрабатываем onprem-решение для запуска ИИ- и дата-нагрузок на базе Kubernetes и Talos OS.

В этой статье расскажу вам, как внедрить в ваши Kubernetes-кластера CNI Chaining — обсудим, когда это вообще полезно и применимо, какие плюсы несёт и с какими сложностями можно столкнуться в процессе.