Системное администрирование *

Свой VPN на одном заграничном сервере хорош, пока не открываешь российские сайты: часть из них иностранные адреса просто не пускает - банки, Госуслуги, иногда стриминг. Остальные открываются с лишним крюком и с чужим IP.

Разбираю по шагам, как собрать каскад из двух серверов на AmneziaWG: российский трафик уходит в интернет напрямую с сервера-входа, всё остальное - через сервер за границей. Одно подключение на телефоне, вся логика деления на сервере, всё переживает перезагрузку само. И отдельно - грабли: кэши Google на российских адресах, отдача ниже приёма, /32-шлюз у Hetzner.

Всем привет! Меня зовут Андрей Беляев, я бизнес-архитектор в компании «Инфосистемы Джет».

Как говорил Тирион Ланнистер в последней серии «Игры Престолов», в мире нет ничего сильнее хорошей истории. Особенно, если нужно было решить типовую задачу по сбору метрик на производстве, и ни на какую историю никто не рассчитывал. А в результате мы придумали архитектуру решения, придумали ее еще раз, поборолись с закрытой промышленной системой и сделали «мост» данных из изолированного цеха в корпоративную сеть.

Как это было, и что у нас в итоге получилось, расскажу под катом.

Тонкая настройка TLS необходима для современного веб‑сервера, обратного прокси или балансировщика с терминацией TLS. При этом тема достаточно запутанная для изучения, в сети можно найти множество устаревших материалов и откровенных мифов. В этой статье будем тестировать влияние важных настроек и вариантов TLS‑библиотек на примере веб‑сервера Angie.

Считаем, сколько компании теряют на просроченной поддержке, и при чём тут штрафы 152-ФЗ — от 3 до 15 млн ₽, а при повторе до 500 млн.

Совсем недавно я переносил работающий прод с одной впс на другую. Причина простая - новый провайдер давал в несколько раз больше ресурсов за те же деньги и с тем же SLA, но были две проблемы: Первая - сервисом пользовались круглосуточно, и даже несколько минут простоя были нежелательны. Вторая проблема - инфраструктура очень скромная, и подозреваю, знакомая многим: один сервер, docker compose, nginx как реверс прокси. Все легкие способы переезда отпадают сразу.

Не так давно число моих подписчиков в Bluesky перевалило за 20 000, о чём я даже не стал говорить. Естественно, я обратил на это внимание, но потом подумал, а в чём смысл? Далее будет пройдена очередная отметка, на которую я смогу указать, испытывая смешанные чувства. Фишка современных соцсетей в том, что они буквально засасывают тебя каким-то интересными событиями, но к концу дня это ведёт к чувству опустошённости. Возможно, именно поэтому, когда я наткнулся на топик с вопросом: «Какая твоя любимая соцсеть?», то ответил не Twitter, Bluesky и даже не Tumblr. Для меня это был форум новостных дизайнеров из середины 2000-х, который назывался Visual Editors. Честно говоря, работал он хреново. Там была удобная функция чата, которой часто пользовались дизайнеры, ожидавшие поздними вечерами корректуры своих страниц. Но сам форум постоянно и без предупреждения падал. Зато в плане коммьюнити он был выдающимся. Почему современные социальные сети не вызывают таких приятных чувств? Как вы уже поняли, сегодня я буду говорить о судьбе веб-форумов.

Рано или поздно любой “удалёнщик” открывает для себя по-настоящему крутую связку софта для удаленного управления из двух бесплатных приложений - Sunshine (серверная часть) и Moonlight (клиентская часть).

Что же такого крутого в этом софте - спросит любой давний поклонник этих Ваших “rdp,vnc, энидесков, тимьюверов, замшелой удаленной консоли” и прочих типов удаленного доступа?

Если очень коротко, то суть именно этой “связки” софта в том, что она способна идеально “выжать” из возможностей Ваших видеокарты и процессора всё, на что они способны и реально выдать вплоть до 120FPS на 4K даже на не слишком “толстом” интернет-канале. А там где интернет-канал будет совсем “тонким”, эта "связка" софта способна “выжать” такие значения FPS, которые и не снились, ни rdp, ни прочим “хитрым” вариантам умной передачи экрана. Иными словами, Вы во многих ситуациях получите удаленную сессию управления, в которой будет абсолютно полное ощущение, что Вы работаете в конкретный момент не за удаленным рабочим столом, а просто локально. При нормальном интернете Вы даже сможете смотреть (или редактировать) даже 4K видео с 60FPS в удаленной сессии, если Вам это понадобится.

В этой статье я хотел бы рассказать, как я нестандартно решил проблему, которая неизбежно возникает у пользователей приложений Sunshine и Moonlight, в ситуации, если на серверной стороне к удаленному устройству подключено сразу несколько мониторов в режиме “расширить рабочее пространство сразу на несколько мониторов” + сама трансляция экрана в удаленную сессию настроена через виртуальный дисплей.

Palantir выложил в X пост, который журналисты быстро стали называть «манифестом». Формально это «The Technological Republic, in brief» — промо-выжимка из книги Алекса Карпа и Николаса Замиски The Technological Republic. Если перевести с языка подрядчика для армии, разведки и крупного бизнеса на обычный русский: не отдавайте свои данные поставщикам больших языковых моделей, не считайте внедрение ИИ по расходу токенов, держите у себя модели, следы работы системы и результаты дообучения.

Но важно, кто именно это говорит. Palantir вырос не из кружка любителей открытого ПО - компания продаёт софт для соединения данных, прав доступа, предметных моделей и действий оператора; сама она описывает свой рынок как решения «from the factory floors to the front lines». По годовому отчёту за 2025 год, 54% выручки Palantir пришло от государственных заказчиков, 46% — от коммерческих. Это не декоративный раздел "прочие красивые кейсы", а почти половина бизнеса.

Поэтому, когда такая компания заводит речь про «экономию на токенах», речь не о бережливости. Речь о новом слое контроля: где живут данные, кто управляет моделью, кто видит запросы, кто получает следы работы системы и кто потом становится обязательной частью всей этой конструкции.

Недавно друг попросил помочь с настройкой VPN. Казалось бы, обычная задача. Но когда я посмотрел, что у него уже развернуто, удивился.

Для управления четырьмя vpn-клиентами использовался полноценный многопользовательский веб-сервис на PHP с MySQL, который требовал отдельного сервера.

История о том, как я перебрал популярные панели управления WireGuard и написал свою.

Хабр сегодня полон статей с гайдами по "легкой" настройке VPN на роутер, на практике же пользователю предлагается окунуться в глубины обилий параметров, консольных команд, и разного рода сложных действий которые не всегда приводят к ожидаемому результату. А если и приводят, то поддержание его в рабочем состоянии отдельная задача, не всегда описанная в исходном гайде. А тем временем роутер с VPN остается вещью довольно желанной и если его сложно сделать самому, его можно купить? Покупка готового устройства сопряжена либо с огромной переплатой за риск от надежного источника (наверняка ваш провайдер VPN предлагал подобное устройство) либо с меньшей переплатой, но от ненадежного - с неизвестным софтом внутри, программами слежки, а иногда и откровенно вредоносным софтом. А ведь сами роутеры в магазине продаются и вполне доступны - Cudy, Xiaomi и множество других...

Получается что не имея специальных знаний или надежного человека получить такое устройство довольно сложно?

Вот бы был такой способ чтобы роутер можно было настроить и поддерживать самостоятельно не погружаясь в глубины файрволлов, DHCP, DNS, SSH и прочего....

Ну возможно сегодня тот день:

Эта статья о том как вы сможете настроить и обслуживать свой роутер с VPN, раздельным туннелированием с помощью программы Re:Sputnik

Разработка безопасного программного обеспечения — одна из самых распространенных тем, связанных с ИБ, в 2026 году. Вокруг нее мы все чаще слышим слова «управление секретами», «безопасная доставка секретов» и т.д. Мы уже писали практическую статью тут, но, как показывает практика, системы управления секретами не крутятся только вокруг key-value значений или динамических секретов для database. Я Руслан Гайфутдинов, ведущий пресейл-инженер системы управления секретами StarVault в Orion soft. В этой статье предлагаю рассмотреть еще один (не забытый, а, скорее, не известный) механизм секретов LDAP. 

Привет, Хабр! Меня зовут Алексей, и я занимаюсь беспроводными технологиями. Среди прочего, компания, в которой я работаю, проводит радиоразведку, радиопланирование, проектирование новых беспроводных сетей и аудит существующих.

За последние полтора года я заметил устойчивый рост запросов именно на детализированный аудит беспроводных сетей – причём в области промышленного интернета, логистических комплексов, складов и т.д. Заказчики чаще всего приходят с конкретной задачей: «Сделайте что-нибудь, чтобы всё работало получше, но без замены железа». И, как правило, они уже обращались к кому-то за аудитом, но результат их не удовлетворил.

Именно такому зпросу и будет посвящена данная статья. В виде пошагового руководства я распишу, как провести аудит беспроводной сети промышленного или логистического объекта, диагностировать проблемы и найти решения. Статья будет полезна специалистам по аудиту, коллегам на предприятиях, которые хотят попробовать решить проблемы своими силами, руководителям которые выбирают подрядчика для аудита.

Когда на графиках мониторинга появляется аномальный всплеск трафика, ваш первый порыв — сразу врубить фильтры и блокировать всё подозрительное, но на практике именно подобное чаще всего приводит к ошибкам.

На самом деле DDoS-защита начинается не с выбора сервиса и не с настройки правил — она начинается с диагностики. В этой статье мы разберём полный цикл: от момента появления алерта до выбора между Always-On и On-Demand моделями защиты.

Уволенный уносит ноутбук. Новичок выходит без ноутбука. Между ними — «серая зона» из техники, которая числится за людьми только на бумаге. Считаем, сколько это стоит компании в год.

Отказоустойчивость в промышленном Ethernet не всегда означает предсказуемость. Даже при рабочем резервировании асимметрия задержек может сбить синхронизацию, исказить расчеты PTP и привести к ошибкам в управлении.

Разбираем, откуда берется эта проблема и как учитывать ее при проектировании сети.

Пятница, 23:47. prod-db-07 лежит, авторизация мобилки не работает, 40 000 пользователей не могут войти. В поле «владелец» — прочерк, последний ответственный уволился в ноябре. Чинят под паролем root/root из письма двухлетней давности.

Когда серверы bare-metal, гипервизоры, облачные решения и десятки Kubernetes-кластеров живут вместе, навести порядок в ИТ-инфраструктуре становится задачей со звёздочкой. К тому же к гибридной инфраструктуре добавляется организационный слой: десятки автономных команд — backend, UI, data engineering, ML, platform — и у каждой свой бэкграунд, уровень зрелости и разный подход к описанию инфраструктуры через код (IaC).

Кто-то всегда пишет на HCL, кто-то предпочитает Python и JS, а кто-то привык работать с docker compose up –d. Задача инженера платформы в такой обстановке не в том, чтобы навязать «серебряную пулю», а в том, чтобы найти инструмент, который обеспечит контроль над состоянием инфраструктуры, позволит стандартизировать базовые паттерны, предсказуемо реагировать на изменения, которые внесли вручную, а еще не будет ломать уже существующие процессы.

Привет, Хабр! Меня зовут Вячеслав Швецов, я архитектор в команде MWS B2B Store. Это первый материал из цикла о построении инженерной платформы в гетерогенной среде. Мы будем разбирать инструменты, антипаттерны и ограничения при эксплуатации. В этом выпуске сравним подходы Terraform и Pulumi, а также рассмотрим управление состоянием, детекцию дрейфа инфраструктуры и практику управления инфраструктурой как кодом.

В прошлой статье мы устанавливали OpenClaw на VPS, но есть ещё один интересный агент. Это Hermes от компании Nous Research.

Главный недостаток OpenClaw по сравнению с Hermes — он по сути статичный: вы даёте команду, он выполняет — и всё. Каждый навык нужно устанавливать вручную, каждый сценарий прописывать заново. Hermes подходит иначе. Он не просто следует инструкциям, а запоминает удачные решения, автоматически превращает их в новые навыки и становится умнее с каждым днём, то есть как бы автоматически самообучается.

Реальный кейс: как из ручного хаоса с флешками и «у кого что скачалось» выросла централизованная система обновления игрового контента, во что она обошлась на облачном хранилище, и как одно инфраструктурное изменение убрало эту статью расходов практически в ноль.

Привет, Habr! Меня зовут Валентин, я DevOps-инженер команды Platform V Kintsugi. Мы занимаемся развитием облачного сервиса и на практике регулярно сталкиваемся как с архитектурными задачами построения распределённых систем, так и с вопросами обеспечения их безопасности.

В предыдущей части мы подробно разобрали механизм делегирования TLS-соединения на уровень Service Mesh и показали, как Egress Gateway может выступать полноценным участником PostgreSQL handshake. Однако этот сценарий рассматривался в упрощённой конфигурации — один сервис, один сертификат, одно подключение.