Системное администрирование *

Ansible — один из самых популярных инструментов автоматизации, но многие до сих пор используют его, ограничиваясь лишь командой ansible‑playbook. С 2012 года Ansible вырос из простого инструмента в мощную экосистему, решающую проблемы с зависимостями, тестированием и централизованным управлением. Если вы все еще боретесь с конфликтами версий Python на хосте или пишете Ansible‑контент без тестов — эта статья для вас.

Мы разберем современный инструментарий Ansible — от Execution Environments и Ansible Navigator до Event Driven Ansible и AWX. Вы узнаете, как эти компоненты превращают Ansible в полноценную платформу автоматизации, готовую справляться как с задачами небольших команд, так и с вызовами крупных компаний. А для начала немного истории, ведь название Ansible пришло к нам прямиком из научной фантастики...

Привет, Хабр! Представьте: нужно настроить защищенную среду для работы с документами «Для служебного пользования» на сотне ПК. Каждый раз приходится ехать в офис, сидеть полдня за компьютерами и кликать по кнопкам. Сотрудники заказчика в это время не работают, а вы потихоньку сходите с ума от рутины.

Это то, с чем мы столкнулись при внедрении Secret Net Studio. На первый взгляд, казалось, что это нельзя автоматизировать.

Но оказалось, что можно! Причем не нужны никакие сторонние инструменты. Только то, что есть в Windows из коробки, немного смекалки и помощь нейросети.

В этой статье мой коллега Даниил Куликов — старший инженер технической поддержки К2 Кибербезопасность, — подробно расскажет, как решить эту задачу с помощью батч-скриптов, планировщика задач и консольных утилит. Его подход можно адаптировать для автоматизации многих других рутинных задач в корпоративной среде. Эта статья будет полезна системным администраторам и ИБ-специалистам в госструктурах и крупных компаниях.

Привет, Хабр! На связи Иван, руководитель отдела сопровождения сервисов ИБ в Selectel.

Защита веб-приложений с каждым годом всё актуальнее. Растет число взломов крупных компаний и утечек чувствительных данных. Нужно ли говорить о том, как важно заботиться о безопасности веб-приложений, помнить о возможных атаках и их последствиях?

Неуклонно ужесточаются требования законодательства в сфере защиты персональных данных и данных, обрабатываемых в государственных информационных системах. Растущие угрозы и новые правила заставляют ответственнее подходить к выбору компонентов защиты инфраструктуры.

Я уже рассказывал о сертифицированном WAF и OpenAppSec — решении с открытым исходным кодом. Недавно российский вендор UserGate сообщил о старте продаж нового продукта — UserGate WAF. Сегодня мы рассмотрим его заявленные особенности, установим в облаке Selectel и спрячем за него защищаемое приложение.

Сервер с LLM-интерфейсом — это не просто сервер, а полноценная платформа для запуска интеллектуальных агентов. Среди прочего, они отлично справляются с задачами мониторинга, которые мы традиционно решали с помощью скриптов, демонов и специализированных программ.

Например, на VPS можно запустить агента с круглосуточным мониторингом цен на маркетплейсах: на Хабре недавно была статья об этом. Понятно, что он запускается на любом компьютере, но конкретно для целей мониторинга сайтов в интернете требуется онлайн 24/7.

Опыт Wildberries: автоматизация Ansible, стандартизация ролей, тестирование в CI и собственное решение Inventory Housekeeper. Практические подходы для повышения надежности и снижения ошибок при постоянном масштабировании.

В предыдущей части кейса мы рассказали о внедрении Службы каталогов Dynamic Directory – отечественного аналога Active Directory, который позволил заменить MS AD и решить задачи централизованного управления учетными записями и политиками. Однако для зрелой распределенной инфраструктуры этого недостаточно: необходим инструмент централизованного управления жизненным циклом рабочих станций и серверов – тот самый функционал, который в Windows‑мире обеспечивают Microsoft System Center Configuration Manager (SCCM) и Windows Server Update Services (WSUS). В этой статье речь пойдет о том, как мы в рамках пилота внедрили платформу РОСА Центр управления (РОСА ЦУ) и с ее помощью заменили WSUS и SCCM в инфраструктуре заказчика.

Что такое встроенная сеть (embedded network)? Мне довольно сложно было найти подходящее название для этого явления, но я очень часто с ним сталкивался, и поэтому придумал своё. Хорошим примером может служить портативная видеостойка. Допустим, вы таскаете стойку с видео- и сетевым оборудованием, и вам нужно подключать её к сети на месте проведения мероприятия для стриминга в Интернет. Устройства в стойке должны общаться друг с другом, но вы не хотите заново конфигурировать их адреса каждый раз, когда приезжаете на новое место, потому что в нём используется другая подсеть.

Решить эту проблему очень просто! Достаточно добавить в стойку небольшой маршрутизатор, чтобы у вас была постоянная подсеть, а NAT изолирует вас от изменения IP-адресов снаружи вашей маленькой сети. Ваша стойка имеет адреса 10.0.0.0/24, потому что их легко запомнить, а маршрутизатор получает IP-адрес на месте при помощи DHCP.

Всё это замечательно работает, пока не оказывается, что публичная сеть на месте проведения мероприятия тоже находится в сети 10.0.0.0/24. У маршрутизатора внезапно появляется одна и та же подсеть на обоих интерфейсах, а адреса в стойке начинают конфликтовать с другим оборудованием.

На этом этапе часто начинают выбирать для портативного оборудования странные подсети. «Каковы шансы, что на месте будет использоваться подсеть 172.16.42.0/24 или 10.11.12.0/24?» И да, это будет работать, но однажды у вас возникнет конфликт, потому что люди попросту не очень хорошо справляются с выбором случайных чисел. На самом деле, необязательно, чтобы сеть зависела от случайности, вам просто нужны другие возможности маршрутизаторов, нечасто применяемые в стандартных потребительских моделях.

Привет, постоянные и не очень читатели!

Если вам нравятся компактные железки, вроде plug-компьютеров (розеточных), различных mini ITX форм-факторов и других Raspberry Pi и Intel NUC, то вы удачно наткнулись на этот лонгрид :)

Здесь я расскажу про некогда великий и ужасный маленький и прекрасный HPE ProLiant MicroServer. Посмотрим на путь от небольшой и любимой админами башни на базе AMD Athlon Neo до приплюснутого дорогущего сервера с внешним БП; пробежимся по всем поколениям MicroServer (от N36L до Gen11).

Из этого лонгрида вы узнаете, как эта железяка сначала покорила сердца домашних админов и энтузиастов, а потом разбила их ко всем чертям. И в конце уже традиционный опрос :-)

Приятного чтения, друзья!

В любой компании почта работает как электричество — пока она есть, никто не обращает на неё внимания… до тех пор, пока однажды не отключится.

Сначала это легкие «подёргивания» — задержки доставки, странные сбои в архивации, обновления сервера, которые превращаются в игру «угадай, что сломалось».

ИТ-служба всё чаще тратит время не на развитие, а на латание дыр. И в какой-то момент мысль о переезде в облако перестаёт быть «на будущее» — она становится планом.

Миграция корпоративной почты — вмешательство в жизненно важную систему компании, где ошибка может парализовать коммуникации. Если проводить аналогии, то это нечто среднее между трансплантацией сердца и заменой всей нервной системы.

На что обратить внимание, как подойти к задаче — подробно расскажем на вебинаре 10 сентября и в нашем сегодняшнем материале. Статью подготовили Роман Овчинников, Product Owner Офис MWS, и Станислав Старовойтов, Product Owner Корпоративная почта MWS.

Делюсь одним малоизвестным решением проблемы с перегревом, коль уж судьба заставила использовать эту редкую ОС на ноутбуке.

Привет, Хабр! Systemd — скелет современного Linux. Он управляет не только службами, но и таймерами, монтированием, логированием... Понимать его = значительно повысить эффективность администрирования системы.

Данное руководство — исключительно технические аспекты: архитектура, юниты, cgroups, работа с журналами. Только команды и конфиги.

Если вы инженер в крупной компании, а особенно если ваша организация поставляет свои услуги в виде SaaS-решений, то вам так или иначе придется решать задачу мониторинга работы всех ваших баз PostgreSQL. На них часто бывает завязан функционал, важный для компании с точки зрения финансовых рисков, поэтому крайне желательно организовать не только мониторинг, но и получение уведомлений, когда что-то идет не по плану (или пойдет в ближайшем будущем). В рамках статьи мы рассмотрим несколько способов, как это можно сделать: самостоятельно, с использованием уже привычного стека Prometheus + Grafana, либо подключая сторонние open-source специализированные решения для мониторинга PostgreSQL, либо же используя специализированные платные решения. По каждому варианту поймем все плюсы и минусы, чтобы вы cмогли более уверенно выбрать свой путь.

Платформа zVirt разработана на базе oVirt — виртуализации с открытым исходным кодом. В 2024 года она осталась без поддержки разработчика Red Hat. Он перестал развивать Open Source-проект и выпускать для него обновления по информационной безопасности. Тем не менее ИТ-сообщество продолжает пользоваться oVirt и находить в ней уязвимости. 

Регулярное обнаружение уязвимостей — признак того, что продукт популярен, им продолжают пользоваться и тестировать его. Однако многие компании на фоне произошедшего начали сомневаться в безопасности вендорских продуктов, разработанных на базе oVirt. 

Использовать «чистую» oVirt действительно рискованно. Любой продукт, который остается без техподдержки и не развивается, опасен для бизнеса. Это подтверждают в том числе и недавние примеры компаний, которые использовали Windows, Cisco и другие решения, оставшиеся без обновлений, и подверглись кибератакам. Но современные вендорские разработки — это не всегда просто локализованные версии oVirt. 

В этой статье мы расскажем о технологиях, процессах и подходах, которые обеспечивают независимость и безопасность нашей системы zVirt.

Хабр, привет! На связи Дима Унтила, product owner «Пульта» и «Графини», и Паша Мирошин, ведущий разработчик в «Лаборатории Числитель».  

Несколько недель назад мы объявили о выпуске «Графини» — первого на рынке аналога Open-Source-платформы Grafana. И тут прорвало всех: столько критики, предложений и шуток мы не получали никогда 🙂 Кто пропустил — велком сюда.

За время существования Grafana собрала вокруг себя большое мировое комьюнити. Она бесплатная, развиваемая, популярная. И первый очевидный вопрос, который мы получили от сообщества: зачем разрабатывать аналог? Только ради регистрации в реестре?

Ответы на эти вопросы, а также рассказ про архитектуру и полезные фичи — ищите под катом.

Недавно впервые занялся деплоем своих проектов и столкнулся с привычной для новичка проблемой: как аккуратно подгружать секреты для бэкенда и фронтенда. На словах всё просто: подключи .env. На деле — копипаст, дублирование, отсутствие истории и точного контроля доступа.

Решение — Bitwarden Secrets Manager + CLI. Централизованно храним ключи, раздаём доступ выборочно и автоматически подтягиваем их при деплое. В статье покажу, как настроить всё с Docker, NestJS, Vite и Coolify, чтобы деплой стал безопасным и удобным.

Привет, Хабр! Статья не входила в планы, пишу с чувством лёгкой сюрреалистичности. В воскресенье утром наш основной API-гейтвей пережил маленькую апокалиптическую битву с памятью и выиграл без моего участия. Делюсь с Вами, как небольшой скрипт, на который я не полагал абсолютно никаких надежд, отработал аварию.

Влагозащищенный и пыленепроницаемый DECT-телефон Gigaset R700H PRO со степенью защиты IP65 — это надежное и многофункциональное устройство, которое стабильно работает под прямым потоком воды (под дождем), в условиях повышенной влажности или в пыльных производственных помещениях.

VDS/VPS берут в том случае, когда нужен контроль над сервером и гарантированные ресурсы. Но сценарии использования всегда различаются — кому-то нужен интернет-магазин, кому-то почтовый или игровой сервер, а кто-то вовсе хранит там архив с фото своего кота. Под катом я собрал типичные кейсы и советы о том, на что смотреть при выборе VDS под конкретные задачи. Приглашаю. 

Протокол SNMP, что нужно знать для начала.

Как системные администраторы узнают, что какой-то сервер не отвечает? или на нем зависла отдельная служба? греется процессор от неисправной системы отвода тепла? либо он уже второй день обрабатывает запросы от жителей целых ЖК, будучи доступным только по одному провайдеру сети интернет, так как на резервном перегорел SFP трансивер. Они не обновляют страницы состояния инфраструктуры, не читают каждые 10 минут логи и не сидят круглосуточно перед десятками консолей. За них это делает верный и чуткий помощник, мимо которого не проскочит не замеченной ни одна проблема в инфраструктуре. Вашему вниманию протокол SNMP (Simple Network Management Protocol) разработанный еще в 1988 году этот парень остается крутым в своем деле. Если вы только начинаете с ним знакомиться, то в этой статье я постараюсь расписать все, что о нем знаю (в рамках объяснения) сделаем пару практических примеров и составим хороший фундамент, для дальнейшего продвижения в этой большой сфере Мониторинга, обнаружения ошибок в инфраструктуре.

Первое, с чего хочется начать, это структура протокола, он состоит из двух частей:

Менеджер - это система запроса, обработки, хранения и отображения информации, полученной от проверяемых хостов, что и как спрашивать он узнает из специально подготовленной и бесплатно нам предоставленной базы MIB (Management Information Base) мы не будем его открывать и читать, потому что во первых испугаемся, во вторых нам это не нужно, оно само работает без нашего участия;

Агент: - знает все, о хосте и готов ответить на любые "вопросы" заданные менеджером (как в реальной жизни да? отправил агента - получаешь информацию по запросу) вопросы, он получает на особом "языке" OID (Object Identifier) читать их тоже не надо, за нас это сделает агент, они уже готовые и заранее записанные в MIB.

Наверно, вы сейчас подумаете "ну ничего себе симпл, что ты еще там предложишь? объекты да интерфейсы писать и соединять их в систему мониторинга?" нет, со сложностями мы закончили, дальше будем все вышеописанное, обсуждать на понятном языке. Менеджер, уже рассмотренный нами, работает в составе решений мониторинга, самые известные из них: Zabbix, Nagios и даже новомодный Prometheus через свой прокси, но чтобы не нагружать вас сразу всеми существующими технологиями, обойдемся обычными запросами с самого сервера, где и будем смотреть полученную информацию, то есть да, будем отправлять запросы из менеджера вручную, чтобы было понимание как оно работает "под капотом".

Но, как бы хорошо мы не знали ту или иную технологию, нам не удастся объяснить ее на пальцах и наш случай не исключение, поэтому нам понадобится полигон для наших тестов, им будет машина с установленным самым обычным Linux Debian. Давайте установим саму систему мониторинга, а также саму базу MIB, обновим список доступных для установки пакетов: apt update и выполним саму установку apt install snmp snmp-mibs-downloader

Когда я только начинал работать, 100% аптайма казались мне священным граалем. Казалось: если сервис никогда не падает — пользователи счастливы, бизнес доволен, инженеры спят спокойно. Но реальность быстро показала: каждая дополнительная «девятка» стоит всё дороже, а выгоды становятся всё менее заметными. В статье делюсь опытом: почему гонка за идеальной надёжностью — тупик, как помогает концепция Error Budget и почему лучше найти баланс между стабильностью и развитием.