Системное администрирование *

Пайплайны редко тормозят из‑за одной большой проблемы — чаще минуты незаметно съедают неработающий кэш, тяжёлые образы, очереди и лишние зависимости между джобами.

Разберём шесть типичных ошибок в настройке GitLab Runner и посмотрим, как найти узкое место до того, как команда привыкнет ждать сборку по двадцать минут.

Remedy у вас работает, но вендор ушёл: ни патчей, ни поддержки, ни людей, кто в этом разберётся. Разбираем, как переезжать — тащить старый кастом с собой или начинать заново.

У обычной ноды Kubernetes жёсткий потолок в 110 подов (формально настраиваемый kubelet-флаг --max-pods, но поднимать его руками не рекомендуется даже апстримом: упирается в размер Pod CIDR на ноду, и выше 110 Kubernetes просто не валидируют, так что на практике это потолок дефакто), плюс налог на каждый контейнер: containerd или CRI-O (справедливости ради, у CRI-O ~20 МБ, но на хост, и около 1 МБ на под), ~20 МБ containerd-shim на каждый контейнер, а сам CRI добавляет заметный delay в операциях. На мощном железе это заставляет выбирать между недоутилизацией и гипервизорным слоем (KubeVirt, Kata) с его собственным налогом на microVM. На слабых VPS стандартный стек тяжёл ещё даже до первого workload: kubelet + containerd + kube-proxy + CNI — это уже 300-600+ МБ RSS прежде, чем в кластере появится хоть один рабочий под.

У меня была мечта: Kubernetes + systemd. Я начал свой путь не зная куда это приведет, проект за время разработки сменил 7 разных направлений, думаю я нашел главную цель: освобождение Kubernetes.

Результат на двух моих машинах (Xeon E5-2690 v4 + Intel N150): 1772 пода, 33 ноды, 2.5 миллиона запросов под нагрузкой с нулём ошибок и медианой 257 мкс. RSS демона — 365 МБ (замер от 04.04.26, сейчас уже ниже) на 1660 подов (~225 КБ на под).

Дальше расскажу, что такое Periapsis, как у меня появилась эта идея и что уже работает.

Год назад я уже делал обзор на девайс TerraMaster F8 Pro, если интересно то эта статья есть в моем профиле. Это довольно необычный NAS, полностью построенный вокруг NVMe-накопителей. Устройство получилось действительно быстрым, но после публикации обзора многие читатели задали вполне закономерный вопрос:

(про трубу в заголовке я немного зря - CF всегда были средством доставки, но любили их и за защиту; другими словами, надо бы писать про "трубу с ситечком", но в заголовок такое не ложится)

Сама новость: Cloudflare, всем нам хорошо знакомый провайдер CDN и WAF, теперь будет не просто выделять в статистике посещений ИИ-ботов, но и разделять их по категориям, разрешая одним то, что запрещено другим. Ну и да, прямо замаячила тема оплаты за доступ. Brave new world, как по мне!

Cloudflare разделила ИИ-ботов на три категории: Search, Agent и Training. Владельцы сайтов теперь могут независимо разрешать или блокировать поисковую индексацию, обращения агентов от имени пользователей и сбор данных для обучения моделей. Для каждой категории доступны три режима: разрешить, заблокировать везде или заблокировать только на страницах с рекламой.

В результате Cloudflare уже не только пропускает трафик и отфильтровывает мусор. Она начинает решать, кто и зачем может читать сайт, а следом собирается брать оплату за проход.

Современная инфраструктура во многом держится на решениях для обеспечения качества обслуживания (QoS). Один из таких инструментов — PCEF, давно стал рабочей лошадкой сетевых операторов. В материале расскажем о том, как зародилась концепция QoS, и как она воплотилась в жизнь: начиная с первых телефонных линий на заре XX века и заканчивая выяснением вопроса, а что же считать «качеством обслуживания», над решением которого бились ученые 1970-х и 1980-х.

Всем привет. Думаю, читатели моих двух предыдущих статей уже заметили одну привычку: если какую-то задачу можно хотя бы частично затащить в Obsidian, я попробую это сделать. Если нельзя, скорее всего, тоже попробую, просто потрачу больше времени.

Познакомился я с ним ещё в универе. Сначала зацепили граф связей и нормальная работа с LaTeX. Кто учил билеты по физике, тот поймёт: формулы, ссылки между темами и быстрый поиск реально спасали.

С вышматом вышло хуже. Возможностей встроенного LaTeX мне уже не хватало, поэтому часть билетов я всё равно расписывал в тетради. В общем, Obsidian с вышматом не справился. Я, если честно, тоже не сразу.

Но к тому моменту программа уже прижилась.

Позже я написал для неё отдельный плагин, который разбирал накопившееся хранилище: искал сиротские заметки, проблемы со структурой и неиспользуемые теги. Это было скорее про личную базу знаний и попытку разобраться, зачем я несколько лет складывал заметки куда придётся.

Теперь захотелось проверить, можно ли приспособить Obsidian ещё и к работе.

Привет, Хабр! Меня зовут Роман Ананьев из команды DBA в Авито. В этой статье я расскажу о поиске альтернативы для многошардовых инсталляций MongoDB. Основная цель исследования — найти базу данных с поддержкой автошардирования, которая упростит эксплуатацию и лучше утилизирует ресурсы.

Когда проект вырастает из уютных нескольких шардов MongoDB и превращается в огромную систему на сотни узлов, стандартные подходы к масштабированию начинают пожирать железо и время инженеров. Здесь продуктовый инженер упирается в ресурсы, и у него начинается головная боль, как перелить данные из одних шардов в другие.

Это текст не про то, что MongoDB плохая, она — прекрасный стандарт рынка, в топ-5 движков БД. Я расскажу про то, что происходит, когда у стандартной технологии заканчивается запас прочности на нужном масштабе, и про то, как мы в Авито перебрали множество NoSQL и NewSQL кандидатов, чтобы найти одного подходящего.

В статье я разберу результаты технического исследования, проведённого командой DBA. Мы сравнили производительность, утилизацию ресурсов и архитектурные грабли Cassandra 5, FoundationDB и других БД. Также объясню, почему погоня за низкой latency в случае с FDB обернулась трёхкратным перерасходом дискового пространства.

Одна из самых частых задач FinOps-специалиста — понять, кому принадлежит конкретный ресурс и к какому центру затрат его отнести. На зрелых платформах это решается тегированием на уровне политик и шаблонов создания ресурсов. Но что делать, если такие политики еще не внедрены, а разметить уже существующий парк ресурсов нужно здесь и сейчас?  

На помощь может прийти информация из логов облачных операций. Однако логи — тема деликатная. В них может содержаться чувствительная информация, они критически важны для комплаенса, а неаккуратная настройка их хранения и обработки может сама по себе влететь компании в копеечку.

В этой статье мы разберем подход, как можно решить задачу автоматической разметки владельцев ресурсов в Yandex Cloud, используя собственные сервисы платформы без привлечения других команд. Ведь в конечном итоге FinOps-специалистам метки нужны для того, чтобы привязывать данные биллинга к центрам затрат или проектам.

Если вы последние пару лет следили за развитием сетевой подсистемы Kubernetes, то наверняка заметили, что вокруг Gateway API сложился странный консенсус: «все согласны, что это будущее, но почти никто толком не понимает, какую именно реализацию брать и зачем уходить от привычного Ingress». В этой статье я попробую рассказать про ключевые отличия Gateway API от Ingress (на примере самого популярного — NGINX Ingress Controller), сравнить между собой основные реализации Gateway API и поговорить о нюансах кастомизации, интеграции и производительности.

В блоге Beeline Cloud мы любим рассказывать о необычных DIY-проектах вроде кастомной «беззеркалки», которую могут собрать все желающие, или домашней селфхостинг-лаборатории в стиле скандинавской мифологии. Сегодня речь пойдет о миниатюрном веб-хостинге, в том числе серверах размером со спичечную головку.

Привет! На связи Антон Дятлов, инженер по защите информации в Selectel. В инфраструктуре из 1000 серверов и 100 администраторов счет активным SSH-ключам может идти на тысячи. По умолчанию они не имеют срока действия, поэтому со временем накапливаются и устаревают.

Исследования показывают, что в крупных компаниях до 90% ключей не используются и не администрируются, а часть оставшихся предоставляет доступ на уровне root. Отсутствие централизованного управления усугубляет проблему: при увольнении сотрудника его доступы могут забыть удалить, сохранив за ним возможность подключаться к системам.

В итоге администраторы оказываются перед трудоемкой задачей контроля и актуализации авторизационных данных.

Мы небольшая компания с распределенной сетью торговых точек. На каждой точке обычно есть одна касса и один ПК. Где‑то стоит MikroTik, но на большинстве точек используется мобильная SIM‑карта в роутере или USB‑модем.

Главная проблема такого подхода, на мой взгляд, в том, что для сложных задач приходится писать слишком много кода на BAT, PowerShell или Python. Хотелось добавить IaC‑подход, и первым кандидатом стал Ansible.

Большая часть крупных российских корпоративных сетей построена на оборудовании Cisco. Миграция болезненная, дорогая и занимает месяцы. Ideco NGFW Novum 22 снимает эту проблему: теперь вы можете встроить российский NGFW в действующую Cisco-инфраструктуру, не меняя протокол динамической маршрутизации с EIGRP на OSPF.

Продолжаю серию подборок. До этого рассказывал про инструменты для первого виртуального сервера и 10 онлайн-сервисов для сетевиков. А сегодня собрал утилиты, которые помогут найти, куда делось место, протестировать скорость диска и отследить, что именно его грузит. Интересно? Заходите под кат. 

Разбираем на реальных кейсах, что AI-агент уже умеет делать в сетевой безопасности – аудит правил межсетевого экрана, разбор логов IPS и DNS, ред-тиминг – где он экономит часы работы, а где остаётся источником риска. И почему ограничивать нужно не сам AI, а данные, права и действия агента.

Матч, который уже идёт

Пока мир смотрит чемпионат мира по футболу, в кибербезопасности идёт свой чемпионат – AI против AI. С одной стороны поля агенты атакующих: они ускоряют разведку, генерируют эксплойты, двигаются внутри сети. С другой – агенты защитников, которые читают конфигурации, разбирают журналы и помогают специалисту принимать решения быстрее.

Мы в Ideco последние месяцы гоняли AI-агентов на реальных задачах службы ИБ и собрали результаты первых двух десятков аудитов. Сразу зафиксируем главный тезис, чтобы снять лишние ожидания: мы не продаём магическую автоматизацию «без человека». Ценность появляется ровно там, где специалист задаёт агенту контекст, правила, доступы и критерии проверки. Агент ускоряет работу, но безопасность обеспечивают правильно настроенные средства защиты, процесс контроля и экспертная валидация.

Эта статья – практический разбор. Мы показываем конкретные кейсы на Ideco NGFW Novum, но всё описанное переносится на любое средство защиты с нормальным машинным интерфейсом. Речь не про конкретный продукт, а про новый слой автоматизации, который меняет работу безопасника.

От чат-бота 2022 года до автономного агента 2026-го

Чтобы понять, почему агенты «выстрелили» именно сейчас, полезно вспомнить короткую хронологию.

Выгрузил железо из 1С, рядом положил список из ITAM — цифры разные. Полдня искал, кто накосячил, и не нашёл: косячить некому. 1С и ITAM и не должны сходиться — они про разное. Одна считает деньги, другая — что реально стоит и работает. Рассказываю, как перестал сверять их руками и развёл раз и навсегда.

Современный пользователь всё чаще сидит внутри интерфейса чат-бота. ИИ сам анализирует тонны информации, посещая сайты по нужной теме, выжимает из них самую суть и выдает емкий ответ. Удобно? Да! Полезно для владельцев сайтов? Спорно..

Блокировать ИИ ботов или, наоборот, разрешать вход и получать с этого трафик и выгоду?

Делюсь своим исследованием и полученным опытом, надеюсь материал будет кому-то полезным и Вы примените этот опыт на своих ресурсах.

Представьте: ночью у клиента случается критический сбой сервера. Инженер уже занимается инцидентом, но клиент об этом не знает. Он видит только молчание системы и пустой экран портала. Через час начинаются тревожные звонки, еще через час - письма руководству. К утру проблема решена, но доверие к сервисному партнёру уже под вопросом. Это не история про плохих инженеров. Это история про «чёрный ящик»: пока всё работает, поддержка почти незаметна. Но если процессы непрозрачны, даже качественная работа может выглядеть как провал.

Привет! Я Наташа Сляднева, руководитель центра экспертизы по комплексному сервису К2Тех. На нашем примере покажу, как сделать сопровождение прозрачным: от двухуровневого управления и работы с обратной связью до портала, Telegram-ботов и Problem Management. Статья будет полезна тем, кто отвечает за сервис, поддержку и клиентский опыт и хочет повысить прозрачность и доверие.

Привет, Хабр! На связи Дмитрий, инженер по инфраструктурным решениям в компании РЕД СОФТ. Сегодня будем расширять парольные политики в РЕД АДМ — минимум теории, больше практики. Покажу, как подготовить инфраструктуру, создать и применить расширенную политику, а также расскажу, какие нюансы стоит учитывать при работе со схемой. Даже самый требовательный офицер безопасности будет вами гордиться.