Сетевые технологии *

Помните времена, когда можно было купить VPS за доллар, накатить скрипт и забыть? Забудьте. Если последние недели вы проводите в чатах хостеров, созерцая бесконечные 502 Bad Gateway и context deadline exceeded, значит, вы в теме. ТСПУ окончательно перешли от блокировок по IP к «ковровому» анализу поведения трафика и манипуляциям с пакетами на уровне магистралов.

Давайте разберем, что именно сломалось и какие костыли мы забиваем в систему, чтобы хоть как-то смотреть YouTube в 4K.

В прошлой статье я писал, что безопасность — это не забор вокруг системы, а свойство её архитектуры, и что между «карточным домиком» и «бетонным саркофагом» лежит целое пространство решений. Сегодня — прогулка по одному конкретному участку этого пространства: как изолировать сегмент сети, не убив обмен данными.

Классический air gap — это и есть «бетонный саркофаг» в чистом виде: между сегментами нет ни одного кабеля, изоляция идеальная, пользоваться невозможно. На другом полюсе — обычный reverse proxy: удобно, быстро и почти ничего не изолирует. Всё интересное находится между этими полюсами и называется logical air gap: сквозного сетевого пути между сегментами нет, а осмысленный обмен данными — есть.

Звучит как оксюморон, поэтому вокруг термина много маркетинга и мало конкретики. Под катом — попытка навести порядок: шесть уровней, на которых можно устроить разрыв, три оси для честного сравнения и две популярные конструкции, которые выглядят как разрыв, но им не являются.

Привет, Хабр! Недавно мы дали подробное интервью о том, как строим наш NGFW в текущих реалиях российского рынка. На вопросы отвечали Антон Соложенко, директор по развитию бизнеса InfoWatch ARMA, и я, Станислав Румянцев, Product Manager InfoWatch ARMA Стена (NGFW). 

Мы подготовили для вас текстовую версию, из которой вы узнаете:

- с чего начинался  InfoWatch ARMA Стена (NGFW);
- почему компания не участвует в гонке за гигабитами;
- почему на рынке нет единого решения для всех сценариев. 

Под катом — ответы на эти вопросы, а также особенности создания и лицензирования продукта, тонкости пилотирования и внедрения, конкуренция, состояние рынка, применение ИИ и много другое.

— Сколько человек в вашей команде разработки?

В разработке NGFW InfoWatch на данный момент задействовано 64 человека — в первую очередь это специалисты с компетенциями в сетевых технологиях, специалисты по безопасности, пентестеры, девопс-инженеры, системные аналитики, дизайнеры. 

— Расскажите об основных принципах разработки

Linux предоставляет широкие возможности виртуализации сети — на них строится работа виртуальных машин (ВМ), контейнеров и облачных сред. В этом руководстве разберем распространенные типы виртуальных сетевых интерфейсов: чем они отличаются и как их создать. Сосредоточимся на практике, без глубокого разбора кода. Статья рассчитана на читателей с базовыми знаниями сетей. Отдельно разберем интерфейсы, которые часто путают между собой.

Привет, Хабр!

Из этой статьи вы узнаете, как делить видеокарты от NVIDIA с использованием российского софта, почему полгода тестов не гарантируют успех в развертывании VDI, если надо быстро и по-другому, а также какой протокол все-таки смог «поднять второй монитор», который никак не хотел подключаться.

Под катом – все технические подробности и пласт опыта, который мы получили, решая задачу: предоставить инженерам-конструкторам удаленный доступ к тяжелой 3D-графике на импортозамещенном оборудовании и программном обеспечении по выделенному каналу.

Всем привет! Я продолжаю развивать свою библиотеку для создания распределённых приложений. Она уже легла в основу новой версии rats-search (распределённый торрент-поисковик) и rasync (синхронизация папок, файлов и исходников между устройствами), а также, судя по всему, используется в UltraVNC (VNC-клиент).

Библиотека позволяет развернуть собственную P2P-сеть, связать пользователей между собой и выстроить обмен данными через потоки разных типов — бинарные, строковые и другие. Главная особенность — автоматическое обнаружение участников (peer discovery), что особенно актуально в условиях постоянных блокировок и сетевых ограничений.

На данный момент поддерживаются C/C++, Java (Android), Python и Node.js.

Это очередное обновление: ещё больше стабильности в работе различных функций, значительно улучшены протоколы DHT и BitTorrent. Обо всём подробнее — далее.

Последний стабильный релиз на сегодня — 2.0.5. Исходный код и собранные бинарные файлы доступны для:

Два коммерческих сайта на WordPress, оба на одном VPS. Клиенты в одном городе, я сам в другом.

Начало июня. Клиенты жалуются, что сайт не открывается без VPN.

Мало ли, подумал я — ограничения, белые списки и т.д.

Потом сайт перестал открываться у меня. По проводу. Дома.

Три дня был потный танец с бубном:

Привет, Хабр! Меня зовут Иван, я владелец небольшой мебельной мастерской и сисадмин в прошлом. У нас маленький офис на три кабинета и всего восемь сотрудников, включая меня. Мы часто созваниваемся с клиентами по зуму, юзаем CRM’ку и делаем модели наших изделий в 3D. Естественно, захотелось подключить гигабитный интернет, а для этого нужно заменить старый роутер. В нашем здании работают два оператора, поэтому я полез смотреть, какое оборудование они предлагают и заодно изучил, какие роутеры вообще есть на рынке.

Почти сразу возник типичный вопрос из отзывов на маркетплейсах: «Почему на коробке написано 1500 Мбит/с, а по Wi-Fi получается только 500?» Но не все знают, что цифра в названии обозначает скоростной класс устройства и суммарную теоретическую скорость двух диапазонов, а не скорость соединения с одного ноутбука или смартфона. 

Разбираться в характеристиках пришлось глубже, чем я ожидал. Даже при тарифе на 500–1000 Мбит/с узким местом может оказаться старый роутер со 100-мегабитными портами, перегруженным диапазоном 2,4 ГГц или слабой аппаратной платформой. Реальный результат зависит от клиентского устройства, ширины канала, расстояния, помех и загруженности сети.

Для решения своей задачи я отобрал для сравнения семь моделей с Wi-Fi 6: от базовых AX1500 до mesh-комплекта. Но лабораторных замеров здесь не будет: без одинаковых клиентов, единой методики и контролируемой радиообстановки такие цифры мало что показывают. Вместо этого расскажу о характеристиках и ограничениях, на которые я смотрел перед покупкой и почему.

Пользователи из регионов начали писать в поддержку одно и то же: приложение не открывается. Симптомы у всех разные. У кого-то вечная загрузка, у кого-то белый экран, у кого-то заходит, только если включить VPN.

На своём компьютере всё летает. С зарубежного сервера проверяю, тоже без проблем. Сижу, чешу затылок.

Сначала списал на случайные глюки у провайдеров. Мало ли, бывает. Но обращений становилось больше, а не меньше, и в какой-то момент стало ясно: это не совпадение, это системная штука. Пришлось лезть в сетевой дебаг с головой.

В этой статье расскажу, как искал причину таймаутов, где я сам сначала неправильно объяснил себе проблему, и что в итоге поменял в инфраструктуре, чтобы всё заработало стабильно.

Жизнь диссидента-экспериментатора не сидит на месте, а копилка безумных находок пополняется быстрее, чем успеваешь про них написать. Продолжаем то, на чем остановились в прошлый раз - туннели через ICMP, DNS и serverless-функции это, конечно, хорошо, но вот вам еще три свежие находки: туннель через что угодно, что умеет хранить файлы, туннель через почтовый ящик, и реанимация древней технологии обхода через CDN и не только, которую почему-то все забыли.

На первый взгляд балансировка кластера NGFW мало отличается от балансировки других средств информационной безопасности или ИТ-сервисов. Однако на практике такая архитектура имеет ряд особенностей, которые необходимо учитывать уже на этапе проектирования.

В статье разберем пять ключевых особенностей построения высокопроизводительного кластера NGFW: от работы балансировщика на уровне L2 и обеспечения симметричной обработки сетевых сессий до резервирования компонентов решения и контроля состояния кластера.

МК88 — компьютер, разработанный и воплощённый в СССР, наша XT-шка.

Дата производства компьютера — 29.04.1992. Таким образом, компьютеру 34 года. На мой взгляд, то, что древний компьютер вообще включается, уже заслуживает уважения — за это время перегорают даже простые лампы накаливания. Мы пойдём дальше: обвесим его новодельной периферией, «проапгрейдим» и выглянем в цифровой окружающий мир. Сегодняшний эксперимент будет посвящён посещению BBS, увидим текстовый интернет, начало телнет-мультика и загрузку Linux для древних машин под названием ELKS.

Приглашаю к прочтению.

Коллеги, добрый день!

Я Станислав Калабин, инженер-архитектор компании Axel PRO. Моя ежедневная задача – воплощать строгие требования информационной безопасности (ИБ) в работающую сетевую инфраструктуру наших заказчиков.

Если раньше доверяли всему внутри периметра и защищали сеть с помощью мощного межсетевого экрана (Firewall) на границе, то сейчас эта модель устарела. Удаленная работа, облачные сервисы и распределенные офисы размывают границы сети. Современная атака начинается не со штурма МСЭ, а с фишингового письма сотруднику. Оказавшись внутри, злоумышленник пользуется абсолютным доверием. Ответом на эти угрозы стала архитектура Zero Trust – «никому ничего не доверяй». Её главные принципы – явная верификация каждого запроса, минимальные привилегии и готовность к инциденту.

В этой статье я расскажу о самом принципе Zero Trust и как современные NAC-системы, на примере платформы AxelNAC, решают задачи ИБ, минимизируя нагрузку на сетевых инженеров при внедрении.

Когда речь заходит о телеком-компаниях, в качестве первых ассоциаций обычно приходят интернет, мобильная связь или оптические сети. Но современная телеком-инфраструктура — это не только каналы передачи данных, но и инструмент, который помогает собирать информацию об окружающем мире.

Привет, Хабр! Мы в R&D-подразделении Московской городской телефонной сети (МГТС) исследуем, как можно использовать уже существующую инфраструктуру для решения задач, выходящих за рамки классических телеком-услуг. Сегодня мы сосредоточены на трех направлениях: сенсорике, комплексной обработке мультисенсорных данных и сервисной робототехнике. 

Под сенсорикой мы понимаем широкий набор технологий — от волоконно-оптических систем до компьютерного зрения, ультразвуковых, радиочастотных и других методов сбора данных. Наша задача — не только разработать отдельные сенсоры, но и объединить разнородные потоки информации в единую цифровую модель объекта или процесса. Этот подход позволяет создавать системы, с помощью которых можно понять, что происходит с объектом в режиме реального времени: выявлять отклонения, прогнозировать развитие ситуации и автоматизировать принятие решений. Мы проверяем эти технологии в пилотных проектах, связанных с мониторингом инженерной инфраструктуры, городской среды, транспорта и роботизированных систем.

Один из проектов, который мы недавно реализовали, — Smart Largus. В его рамках мы исследовали возможности применения волоконной сенсорики для диагностики транспорта и предсказания неисправностей его механизмов. Зачем мы этим занялись, что удалось, какие данные мы собрали и какие выводы сделали — читайте дальше.

Привет! Меня зовут Сергей, я руководитель отдела разработки компонентов опорной сети 5G в YADRO. Когда меня пригласили на эту роль, я не знал, как работают протоколы управления сессиями и чем конкретно LTE отличается от 5G, но точно знал, как выстроить процессы в команде, где каждый второй — инженер с десятилетним стажем. 

Как вы уже поняли, стать руководителем в телеком-команде без опыта в телекоме можно. Навыки здесь нужны те же, что и руководителю в любой IT-компании: выстраивать процессы, работать с людьми, принимать решения, управлять сроками и рисками. Предметная область подтягивается по ходу, а вот к масштабу задач придется привыкать. Сложно ли было не «поплыть» и пришлось ли зубрить спецификации 3GPP на ночь, я расскажу в статье.

Антенная техника — одна из тех редких областей, где «классика» не выходит из моды. Проектирование систем связи до сих пор опирается на фундаментальные принципы XIX века, ведь уравнения Максвелла будут другими разве что в альтернативной вселенной. Но инженерная мысль не стоит на месте: в дополнение к традиционным конструкциям приходят метаструктуры. Они позволяют решать задачи, которые раньше казались невыполнимыми — например, реализовывать отрицательный угол преломления луча. 

Меня зовут Алексей, я радиоинженер, работаю в дивизионе Телеком в YADRO и руковожу кафедрой «Радиофизика, антенны и микроволновая техника» в МАИ. Сегодня мы продолжаем цикл статей о разработке базовых станций. Расскажу об особенности разработки антенн: как менялись требования к ним от поколения к поколению связи, как создаются и тестируются прототипы, какой может быть архитектура и какие вызовы стоят перед нами сейчас.

Убрать обязательный хаб из умного дома — звучит как продуктовое решение. На практике в этой формулировке спрятано много неприятной инженерии. Устройство должно само войти в экосистему, само держать долгоживущее облачное соединение, само обновляться — в общем, всё делать без посредника. И это на железе с ограниченной памятью и слабым CPU, в домашней сети, которая в любой момент может пропасть.

На таком масштабе каждый лишний TLS‑коннект, каждая дополнительная аллокация, каждый хрупкий ретрай начинает стоить по‑настоящему дорого. Мощным бэкендом здесь не поможешь: ограничение — на клиентской стороне. Поэтому мы шли в обратную сторону: последовательно убирали лишнюю сложность на каждом слое — от заводского контура до транспортного канала.

Мы строим новую платформу для устройств умного дома Яндекса, которая должна держать больше миллиона активных устройств. В этой статье — про конкретные решения: комиссионинг без хаба, один канал вместо зоопарка соединений, однопоточную модель исполнения и дисциплину переподключений на плохой сети.

В последнее время из каждого утюга можно услышать такую фразу — «отпечатки браузера», «цифровой отпечаток устройства», «фингерпринт». Все эти фразы описывают одну и ту же характеристику, которая влияет на нашу с вами уникальность в сети интернет. 

Отпечаток браузера не возник недавно — о нем знали уже тогда, когда мессенджеры еще не ловили на парковке, а сахар был слаще, трава зеленее и вода мокрее. В далеком 2020 году были робкие попытки препарировать это понятие и рассказать окружающим, как там все устроено. 

Много воды с тех пор утекло, как и много нового добавилось в понятие «отпечаток устройства». Ну а где, как не в блоге антидетект‑браузера, разобрать, что такое фингерпринт, почему он важен для цифровой гигиены и куда движется антифрод в вопросах отслеживания нас с вами в сети? Давайте разбираться!

Привет, Хабр! Это Данила Трусов, директор продукта «Инферит ИТМен».

В этой статье расскажу, что изменилось в новой версии 7.2 нашей системы учета, инвентаризации и контроля ИТ‑активов, и почему эти обновления сделают управление инфраструктурой прозрачнее и проще.

Если ваша инфраструктура постоянно растет, в ней регулярно появляется новое оборудование, меняются конфигурации и проводятся плановые работы, вы наверняка знаете, как важно держать руку на пульсе. Система инвентаризации ИТ‑инфраструктуры должна быть не просто инструментом сбора данных, а предсказуемым и управляемым помощником. Именно на этом мы сфокусировались в версии 7.2.

Некоторые производители поставляют свои прошивки в незашифрованном виде, без защиты от реверс-инжиниринга и даже с debug-символами. Еще 5 лет назад, для того чтобы раскопать что-то в такой прошивке приходилось копаться с binwalk, делать свои скрипты и просматривать множество файлов вручную на предмет чего-нибудь интересного.