Сетевое оборудование

Отсутствие интернета, частые разрывы и высокая задержка — норма в современных поездах по всему миру. На британских железных дорогах медианная скорость загрузки едва превышает один мегабит в секунду. В статье поговорим о том, почему вообще в поездах не задалось со связью, при чем тут остекление вагонов и как специалисты по всему миру пытаются исправить ситуацию — в том числе, с помощью реконфигурируемых интеллектуальных поверхностей, ИИ и технологий из автоспорта.

Сразу отмечу, что fail2ban нельзя использовать как полноценный инструмент защиты доступа к управлению маршрутизатором. Доступ к службам управления по‑умолчанию должен быть закрыт фаерволом из всех сетей за исключением management. И, возможно, с адресов из локального «белого списка». Fail2ban, применяется к management‑интерфейсу на случай, когда злоумышленник уже получил доступ в подсеть управления. Либо в подсети управления оказался вирус, троян, нелояльный пользователь. Также бывали случаи, когда трафик управления мог пропускаться из‑за ошибки в правилах фаервола. Итак, fail2ban, это скорее последний уровень защиты управления маршрутизатором.

Для начала создаем скрипт, который будет выполнять работу по поиску и извлечению адреса из тела сообщения системы «$message». Помещаем скрипт в системную библиотеку скриптов /system scripts на маршрутизаторе и присваиваем скрипту название «loginfail2ban».

Недавно часть наших клиентов не могла подключиться к серверам Монеты. Мы проверили межсетевые экраны, собрали трассировки с обеих сторон, но причина оказалась за пределами нашей инфраструктуры. При этом сайты самих клиентов тоже стали недоступны, а уведомления о платежах на Pay URL перестали доходить. Диагностика привела нас к участку сети, где работает ТСПУ.

На связи Евгений, инженер отдела сопровождения разработки и эксплуатации ПО (DevOps-инженер) в Монете. В статье разберу, как проверить такую гипотезу и не спутать её с другими сетевыми проблемами, какие данные собрать для обращения и что делать, если заявка в ЛК ВТС уже получила статус «Частично принята», а доступ так и не восстановился. Покажу весь путь на реальном кейсе: от curl, traceroute и nping до переписки с ЦМУ ССОП и ДЦОА — без смены хостинга и IP-адреса.

В этой статье будет разбираться построение многосегментного Linux-маршрутизатора на базе Ubuntu 24.04, Netplan и nftables на основе моего лабораторного стенда. Стенд состоит из 7 виртуальных машин и нескольких изолированных сетевых сегментов: LAN, DMZ и MGMT, а также имитирует провайдерский маршрутизатор и внешнего клиента. Все виртуальные машины разворачиваются с помощью Vagrant и VirtualBox, в качестве альтернативы, если вам хочется, такую схему также можно развернуть на облачных серверах. Для этого подойдет хостинг Timeweb Cloud, в таком случае Vagrantfile писать будет не нужно.

Сам стенд можно посмотреть в моем Github. В папке docs/ есть команды с краткими комментариями по шагам, однако все самое важное будет объясняться здесь.

Всего будет 12 этапов. Для каждого этапа я подготовил пошаговый разбор конфигураций, правил файрвола и команд диагностики. Мы с нуля настроим адресацию, включим IP forwarding, разберем работу stateful-фильтрации через conntrack, организуем SNAT/DNAT, развернем локальный DNS и изолируем критические сегменты и многое другое.

Всем привет! Меня зовут Кирилл, я сетевой инженер и автор технических статей. Остальные мои материалы можно найти в профиле @ProstoKirReal.

Представим обычную корпоративную сеть. Все интерфейсы находятся в состоянии up, ping проходит, сотрудники открывают рабочие системы, а мониторинг не показывает ничего подозрительного. Со стороны сетевого инженера всё работает. В этот момент ИБ-специалисты просят установить новый межсетевой экран, подключить систему анализа трафика, ограничить использование флешек и не пускать в сеть неизвестные устройства.

Возникает логичный вопрос: зачем всё это нужно, если сеть и так работает?

Эту проблему хорошо показывает сцена из фильма Оливера Стоуна «Сноуден». Главный герой копирует секретные документы на microSD-карту, прячет её внутри кубика Рубика и проходит через охрану. На входе его проверяют, вокруг закрытый объект, компьютеры работают в изолированной инфраструктуре, а данные всё равно оказываются снаружи.

Всем привет! Команда техподдержки РТК-Сервис на связи. Мы уже познакомили вас с усилителями от Т8, Huawei и Nokia (Alcatel Lucent). Сегодня разбираем DWDM от производителя ECI.

Будет познавательно. Поехали!

Роутеры с Wi-Fi 7 за последний год подешевели настолько, что вопрос, брать или нет, перестал быть праздным. Если раньше это были в основном коммерческие приборы за 40 тысяч с антеннами как клешни у камчатского краба, то сейчас они представляют собой вполне себе одомашненные устройства за 10к рублей. То есть берут их уже просто потому, что пришло время менять старый роутер. Однако дальше происходит вот что. На коробке написано 46 Гбит/с, в описании – про одновременную работу в трех диапазонах, в обзорах – про революцию в задержках. Человек приносит роутер домой, подключается и видит ровно то же самое, что было на Wi-Fi 6. И знаете, что самое интересное? Так и должно быть.

Внеполосный канал Windows ↔ Linux через звуковые разъёмы. Без IP, без PPP, без «модема поверх звука».

Сервер стоит в двух метрах от меня. На нём вроде бы всё есть: Wi‑Fi, VPN, sshd. А достучаться с ноутбука я не могу Ethernet без линка, дефолтный маршрут уехал в туннель, DNS пустой, nftables режет то, что осталось.

Нужен канал, который не является сетью. Не тоннель через сломанный стек, а отдельный провод, которого брандмауэр не видит.

Я сделал консоль по двум аудиокабелям: с ноутбука уходят нажатия, обратно приходит текстовая сетка терминала 24×80 — то, что оператор видел бы на мониторе. Пакет xconn_channel 1.0.0 принят на живом железе.

Привет, меня зовут Александр Шереметьев, я старший инженер по разработке ПО для коммутатора KORNFELD в YADRO. Мы привыкли, что Ethernet — среда с доставкой по мере возможности. Если возник затор, пакет дропается, а Transmission Control Protocol  потом разбирается сам. Но сегодня мы строим сети для AI-кластеров и распределенных систем хранения, где задержка в несколько миллисекунд на ретрансмит пакета — это катастрофа, которая просаживает производительность всей системы на 30–40%.

Сегодня мы разберем, как «прокачать» Ethernet до уровня Lossless, чтобы по надежности он не уступал Fibre Channel, но оставался гибким и быстрым. Мы залезем «под капот» коммутатора и посмотрим, как математически рассчитываются буферы и почему настройка одной лишь технологии PFC — это только верхушка айсберга.

Привет, Хабр! Это снова техподдержка РТК-Сервис. Продолжаем разбираться с рамановскими усилителями. В предыдущих постах мы поговорили о Т8 и Huawei. Сегодня на очереди вендор Nokia \ Alcatel Lucent.

Поехали!

Хаотичная IP‑адресация редко мешает сети на старте, но со временем превращается в проблему: появляются пересечения подсетей, сложная маршрутизация и зависимость от знаний отдельных инженеров. В статье разбираем, как выстроить адресный план, который позволит инфраструктуре масштабироваться без постоянных переделок.

Всем привет! На связи команда техподдержки РТК-Сервис, и мы продолжаем разбор рамановских усилителей. Сегодня рассмотрим вендора Huawei. Почитать про раманы от Т8 можно тут.

Итак, рамановские усилители производства Huawei.

В этой короткой статье я хочу описать, как можно гибко фильтровать трафик на коммутаторах Huawei, на примере стека из двух S6730.

Задача из тестовой сети:

10.0.18.0/24

Запретить доступ на сети:

10.177.1.0/24 10.0.177.0/24

Разрешить весь остальной трафик, но при этом временно разрешать трафик на некоторые хосты из сетей 10.177.1.0/24 и 10.0.177.0/24
и плюс к этому, еще одновременно к ним же запрещать и разрешать доступ из некоторых других сетей.

Если бы у нас были Object-Group, но у нас нет Object-Group.
А что делать, и как это сделать гибко читайте в статье.

Друзья, команда техподдержки РТК-Сервис стартовала серию разборов рамановских и гибридных усилителей разных поколений и производителей. Рассмотрим основные технические и прочие характеристики от популярных отечественных и западных вендоров.

Если хотите освежить память, что за зверь такой Раман, вам сюда.

А мы начнем с российского DWDM-оборудования Т8.

Привет Хабр! На связи команда техподдержки РТК-Сервис.

В одном из прошлых постов мы рассказали про восстановление важной DWDM-линии на 25 каналов (10G, 40G, 100G), где используются чувствительные к качеству оптики усилители RAMAN. Возможно, вы прямо сейчас готовитесь к проведению аварийно-восстановительных или пуско-наладочных работ на линии с рамановскими усилителями, тогда рекомендуем освежить знания по этой теме прямо сейчас: мы запускаем серию постов про это оборудование – сравним основные технические характеристики рамановских и гибридных усилителей разных поколений и производителей, обсудим аппаратную и программную защиту данных устройств.

Но для начала немного поговорим об эффекте Рамана.

Эта статья родилась из профессионального опыта и многочисленных обсуждений вокруг проектов по NGFW: из технических заданий, вопросов и ситуаций, которые хорошо знакомы тем, кто хоть раз участвовал в выборе и внедрении подобных решений. Здесь не будет рейтинга вендоров или ответа на вопрос, какой NGFW «самый лучший». Это не столько про технологии, сколько про наш повседневный опыт, архитектурные компромиссы и попытки вместе с заказчиком ответить на главный вопрос: «а что действительно нужно?» Рекомендуем читать с чувством юмора. Все совпадения с реальными проектами случайны.

TL;DR: После миграции отказоустойчивого DHCP-сервера из «брони» QinQ-туннеля в «плоский» VLAN ответы от бэкап-ноды начали бесследно исчезать. Пакет физически покидал хост, но до адресата не доходил, при этом коммутаторы клялись, что их счетчики дропов равны нулю. 

Вооружившись tcpdump, тотальным port mirroring и дзен-терпением, мы раскрыли заговор: dhcp snooping молча уничтожал пакеты на уровне аппаратного ASIC. Самое пикантное: стек M-LAG с идентичной прошивкой вел себя радикально иначе, чем одиночный коммутатор в той же сети.

Добро пожаловать в мир сетевой магии, где порт 67 (six-seven) — это не просто абсурдный вирусный мем, а реальная причина, по которой инфраструктура вдруг решила сыграть в прятки.

Привет! Меня зовут Иванов Владимир, я системный администратор отдела выделенных серверов в Selectel. Статья будет полезна тем, кто сталкивался с ситуацией, когда пакет «в провод уходит, но не приходит», а сетевое оборудование клянется, что ничего не дропает.

Почему iperf никогда не покажет скорость из свойств подключения Wi‑Fi? Разбираем популярный миф о том, что максимальная Data Rate достижима в лаборатории. На конкретных примерах и формулах заглянем под капот физического уровня и докажем, почему канальная скорость математически недостижима для полезных данных ни при каких условиях.

Промышленная автоматизация десятилетиями жила с четким разделением: на верхних уровнях управления царил Ethernet, а на нижнем — полевые шины и аналоговые интерфейсы 4–20 мА. Этот рубеж долгое время казался непреодолимым: Ethernet требовал четырех пар проводов, имел ограничения по дальности и не мог использоваться во взрывоопасных зонах.

Сегодня ситуация кардинально меняется. Две технологии — Single Pair Ethernet (SPE) и Ethernet‑APL — делают возможным то, о чем раньше можно было только мечтать: единую IP‑сеть от центра управления до самого простого датчика. В этой статье мы рассмотрим обе эти технологии подробнее.

Address Resolution Protocol или ARP появился еще в 1982 году, но до сих пор остается важной частью IPv4-сетей на базе Ethernet.

Представьте школьную перекличку на уроке физкультуры. Учитель называет фамилию, кто-то отзывается. В журнал ставится точка – ученик на месте.

ARP работает похожим образом. Хост спрашивает локальную сеть: «У кого адрес 192.168.1.1?» Кто-то отзывается «Я» и называет свой MAC. Источник запроса сохраняет пару IP-MAC в ARP-кэше и теперь знает, куда отправлять кадры.

В статье пошагово разберем работу ARP на Ubuntu, Eltex и Cisco. Посмотрим, как устройства находят друг друга, как формируются и меняются записи в ARP-таблице и чем отличаются состояния и временные параметры записей на разных платформах.

Начнем с вопроса, который я часто слышу от студентов:

- зачем нужен ARP, если у каждого устройства есть IP-адрес?