Сетевые технологии *

Иногда связь нужна там, где её нет. А иногда просто хочется поэкспериментировать с передачей данных. В этот раз я решил проверить - какие пределы дальности у Bluetooth, можно ли использовать современный смартфон в качестве рации и организовать беспроводной цифровой канал связи в горах.

В теории блютус достаточно дальнобойный, но в обычной жизни связь с устройствами ограничена буквально метрами. Но зато он есть в любом телефоне, всегда под рукой, не требует дополнительного оборудования и довольно прост в программировании.

Блютус обычно воспринимается, как что-то совсем локальное и непригодное для нормальной связи. Но иногда привычные, казалось бы, технологии могут удивить (или нет).

Сколько сообщений в секунду выдерживает MQTT‑брокер? Без описания нагрузки этот вопрос почти ничего не говорит. Приём сообщений от множества устройств, доставка одного сообщения тысяче подписчиков и обслуживание сотен тысяч соединений нагружают сервер по‑разному.

Я сравнил Mosquitto, EMQX, FlashMQ, HiveMQ Community Edition и XMQ на одном AWS‑стенде. Меня интересовали доставленная скорость, задержка и потребление CPU и памяти, а также то, что происходит, когда брокер не успевает за заданной нагрузкой.

Сразу обозначу свою заинтересованность: я разработчик XMQ. Генератор нагрузки xmq_scn также входит в этот проект. Поэтому рядом с результатами нужны версии, сценарии, конфигурации и исходные отчёты: читатель должен иметь возможность проверить эксперимент.

Сразу отмечу, что fail2ban нельзя использовать как полноценный инструмент защиты доступа к управлению маршрутизатором. Доступ к службам управления по‑умолчанию должен быть закрыт фаерволом из всех сетей за исключением management. И, возможно, с адресов из локального «белого списка». Fail2ban, применяется к management‑интерфейсу на случай, когда злоумышленник уже получил доступ в подсеть управления. Либо в подсети управления оказался вирус, троян, нелояльный пользователь. Также бывали случаи, когда трафик управления мог пропускаться из‑за ошибки в правилах фаервола. Итак, fail2ban, это скорее последний уровень защиты управления маршрутизатором.

Для начала создаем скрипт, который будет выполнять работу по поиску и извлечению адреса из тела сообщения системы «$message». Помещаем скрипт в системную библиотеку скриптов /system scripts на маршрутизаторе и присваиваем скрипту название «loginfail2ban».

Всё началось с довольно бытового вопроса — выбора нового смартфона на следующие три‑четыре года. 5G, eSIM, Wi‑Fi 6 — здесь всё более‑менее понятно. Но спутниковая связь со смартфонами развивается сейчас настолько быстро, что захотелось разобраться: что сегодня реально стоит за поддержкой NTN?

Тем более что события последних недель показывают: речь уже не только о перспективных технологиях. SpaceX развивает Starlink Mobile и готовит новую спутниковую группировку, российское «Бюро 1440» разворачивает собственную инфраструктуру и уже представляет серийные абонентские терминалы, а производители чипов презентуют платформы с поддержкой NR‑NTN.

Попытка разобраться вывела меня далеко за пределы характеристик телефона — к архитектуре радиодоступа, межспутниковому транспорту, Packet Core и реальным сценариям работы спутниковых сетей, в том числе в Иране и России. И в итоге возник вопрос гораздо интереснее выбора смартфона: что меняется в архитектуре мобильной сети и точках контроля над трафиком, если первый сетевой узел после UE находится уже не на земле, а на орбите?

12 мая 2017 года компьютеры по всему миру начали блокировать доступ к файлам и требовать выкуп. Больницы отменяли приёмы, предприятия останавливали производство, а WannaCry продолжал искать новые цели. Ему не нужно было ждать, пока пользователь откроет письмо или запустит заражённый файл: один успешно заражённый компьютер мог стать началом цепочки новых заражений.

Как программа находила другие компьютеры? Почему уязвимость, для которой уже существовало обновление, всё ещё оставалась угрозой? И как регистрация одного домена помогла замедлить глобальную атаку?

Разберёмся, как WannaCry распространялся по сетям, какую роль сыграл EternalBlue и почему даже остановка эпидемии не означала, что её последствия исчезли.

Недавно часть наших клиентов не могла подключиться к серверам Монеты. Мы проверили межсетевые экраны, собрали трассировки с обеих сторон, но причина оказалась за пределами нашей инфраструктуры. При этом сайты самих клиентов тоже стали недоступны, а уведомления о платежах на Pay URL перестали доходить. Диагностика привела нас к участку сети, где работает ТСПУ.

На связи Евгений, инженер отдела сопровождения разработки и эксплуатации ПО (DevOps-инженер) в Монете. В статье разберу, как проверить такую гипотезу и не спутать её с другими сетевыми проблемами, какие данные собрать для обращения и что делать, если заявка в ЛК ВТС уже получила статус «Частично принята», а доступ так и не восстановился. Покажу весь путь на реальном кейсе: от curl, traceroute и nping до переписки с ЦМУ ССОП и ДЦОА — без смены хостинга и IP-адреса.

Привет, Хабр! Меня зовут Дмитрий Новожилов, я руководитель одного из направлений в онлайн-кинотеатре KION. В прошлый постах рассказал, про попадание и нормализацию контента и про управление им в сердце киносервиса — элементе Middleware. 

В этом посте я перейду к теме прохождения видеопотока: после пакетайзера «кадры» поступают на Origin, откуда и отправляются пользователям с помощью CDN.

Telegram отключал прокси с сообщением, которое выглядит как приговор конфигурации: «Подключённый Вами прокси-сервер использует некорректные настройки и будет отключён». Конфигурация при этом была в порядке — ноль ошибок в логе, ни одного перезапуска, 1 876 сессий и 933 МБ трафика за три часа.

Причина оказалась не в настройках, а в логике ретраев самого прокси: защита от мёртвой первой ступени фолбэка раз в 10 минут открывала окно, в котором клиент не получал ни одного байта. Размер окна квантуется по таймауту (4.5–8.8 с при --ws-connect-timeout 4), величина периода задаётся --ip-fail-cooldown. Лечится двумя значениями в конфиге: максимум задержки падает с 8 849 мс до 531 мс, обрывы с нулём байт — до нуля.

Внутри: как причина была найдена по логам, воспроизведена пробником, повторяющим поведение клиента Telegram, — плюс A/B на двух одинаковых сборках и инженерные выводы по конструкции этого стенда.

15 сентября Cloudflare обновил правила доступа ИИ-ботов к сайтам. Блокируя сбор данных для обучения, можно заодно закрыть поиск: некоторые боты выполняют обе задачи. Я разобрал исследование Seensure по 1 046 сайтам. После обновления запросы от имени обучающих ботов стали блокировать чаще, а поисковых — реже. Это тест с подставленными именами, поэтому он не доказывает доступ настоящих краулеров. Настройки стоит проверить по категориям, а реальный доступ — по логам запросов.

Когда я работал над своим проектом, всю информацию об инфраструктуре (серверы и их роли, хостинги, даты следующих оплат, DNS-записи...) я хранил в файлике на рабочем столе. Сначала это был обычный текстовый документ, чуть позже — таблица в LibreOffice Calc.

Пока серверов было меньше десятка, а хостингов — от силы два, мне было несложно раз в неделю сверять информацию в таблице с DNS-серверами, хостингами и собственным бэкендом.

Проблемы начались, когда количество серверов и хостингов стало стремительно расти. Поддерживать информацию в актуальном состоянии становилось всё сложнее, а при работе в команде появились и дополнительные трудности...

В этой части разберём, зачем Kubernetes понадобился Gateway API, если уже существует Ingress. На простом примере посмотрим, как Gateway и HTTPRoute разделяют точку входа и маршрутизацию, зачем нужен GatewayClass и почему такая модель удобна, когда кластер и приложения обслуживают разные команды.

Новости информационной безопасности за неделю с 30 сентября по 6 октября, в одну строку с ссылками на источник. Темы: ИИ, Уязвимости, Атаки и утечки, Исследования, Рынок, Регулирование, Медиа

Мы привыкли воспринимать слово «локализация» позитивно почти на автомате. В узких кругах считается, что раз локализовали производство оборудования, то значит сделали его своим. Останется только добавить немного российских компонентов, слегка адаптировать под свои условия, выполнить несколько операций внутри страны и зависимость вроде бы уменьшается, а жить мысленно становится легче. У меня же слово «локализация» давно вызывает более сложную реакцию. А окончательно задуматься о нем заставило довольно неожиданное место.

В какой момент мы начали чаще выбирать внедрение кем‑то созданной технологии вместо пути собственной разработки?

На фоне усложнения корпоративной сетевой инфраструктуры происходит рост интереса к обучению сетевым технологиям. По данным исследования К2Тех, 36% опрошенных ИТ-руководителей и сетевых инженеров называют дефицит компетенций главной проблемой при эксплуатации сетей. Ещё 33% отмечают, что управление инфраструктурой существенно усложнилось из-за одновременного использования оборудования разных производителей. В исследовании, проведённом в марте 2026 года, участвовали более 200 представителей крупных российских компаний.

Переход на новый технологический стек не требует от опытного инженера начинать профессиональный путь заново. Фундаментальные принципы построения сетей сохраняются, однако специалисту необходимо освоить особенности настройки и диагностики конкретных решений. На практике именно этот зазор между общими знаниями и работой с новым оборудованием может замедлять внедрение и усложнять дальнейшую эксплуатацию инфраструктуры.

При разработке веб-проектов неизбежно поднимается вопрос их размещения в интернете. Разворачивать отдельную виртуальную машину для каждого маленького сервиса иногда избыточно и экономически нецелесообразно. 

Давайте пристальнее взглянем на проблему размещения множества веб-сервисов на одном виртуальном сервере и познакомимся с элегантным решением — Nginx Proxy Manager.

Ошибки в настройке Kerberos могут поставить под угрозу безопасность всего домена, поэтому специалисту по ИБ важно понимать, что происходит внутри протокола после ввода учётных данных. Разбираем путь от аутентификации и выдачи TGT до сервисных билетов и ключей Kerberos, а также смотрим, какие механизмы становятся точками интереса для атакующего.

Домашний роутер за 3 тысячи рублей: российские сайты открываются напрямую, остальное идёт через VLESS + Reality, а когда провайдер VPN среди ночи меняет адреса серверов, роутер сам находит новые и чинится — без моего участия. Рассказываю, как это устроено на OpenWrt и sing-box: раздельный DNS, сторож, безопасные перезапуски и грабли, на которые я наступил. В конце — репозиторий и инструкция, проверенная сборкой с нуля.

Обратный SSH-туннель позволяет опубликовать домашний видеосервис без проброса портов. Но одна доверенная строка из браузера может превратить Viewer в SSRF-прокси и открыть путь во внутреннюю сеть.

Разбираю реальную ошибку и её исправление: фиксированный upstream, авторизацию HLS, loopback на обоих концах туннеля, ограниченный SSH-ключ, единственную публичную точку HTTPS и аварийное отключение доступа.

Получив на этот и остальные вопросы утвердительный ответ, я принял оффер. 

Каково же было мое удивление в первый день работы, когда мне дали RDP‑доступ к Windows‑тачке — вся работа организовывалась через нее. Маленькое отступление: последний раз я работал на Windows в 2011 году, еще на XP.

Для читателей (да и для меня в какой‑то момент) самым простым и логичным вариантом было бы продолжить поиск работы, но работа на непривычной для меня операционной системе по факту была единственным моментом, который показался неподходящим. После некоторых попыток обустроить быт, выяснилось, что даже WSL там сильно порезанный, с собственными репозиториями и старыми операционками. Естественно, с личных устройств до удаленной машины заблокировано примерно все.

В БКС есть направление прямого доступа к бирже: мы подключаем клиентов к шлюзам Московской биржи, помогаем с роботами и инфраструктурой. Часто разговор начинается с вопроса про FIX (Financial Information eXchange) — и почти всегда за ним стоят разные вещи. Этот текст — ответ, который мы обычно даём клиентам, только подробнее: с маршрутами заявки, требованиями и примером сообщения.