Серверная Админа | Компьютерные сети

👋 Привет, сетевой друг! Продолжаем разбираться с API. В прошлый раз говорили, что это способ общения программ. Сегодня расскажу, как происходит этот "разговор" на практике. 🟣Из чего состоит запрос: почти любой API использует четыре вещи: адрес (URL), метод, заголовки и, при необходимости, тело запроса. Например: curl -X GET https://router/api/interfaces \ -H "Authorization: Bearer TOKEN" Здесь GET - метод, /api/interfaces - нужный ресурс, а токен в заголовке подтверждает, что у нас есть право получить информацию. 🟣Что приходит в ответ: чаще всего - JSON. Его легко читать человеку и ещё проще обрабатывать программами. { "name": "Gi0/1", "admin_state": "up", "oper_state": "up", "speed": "1G" } После этого Python, Ansible или даже Bash могут сразу использовать эти данные без парсинга CLI. 🟣Коды ответа тоже важны: 200 — всё успешно 201 — объект создан 400 — ошибка в запросе 401 — нет авторизации 403 — доступ запрещён 404 — объект не найден 500 — проблема на стороне сервера По одному статус-коду часто уже можно понять, где искать проблему. 🟣Полезные команды: # Красиво вывести JSON curl https://device/api/interfaces | jq # Посмотреть только HTTP-заголовки curl -I https://device/api # Посмотреть полный обмен curl -v https://device/api Последняя команда особенно полезна при отладке - видно, какие заголовки отправились, какой код вернул сервер и не возникло ли проблем с TLS. Серверная Админа | Zeroday | #API

В экосистеме CURATOR появился новый сервис — CURATOR.SCANNER. ✨ CURATOR.SCANNER регулярно сканирует внешний периметр организации, помогая выявлять уязвимости, ошибки конфигурации и устаревшее ПО. Он расширяет набор решений CURATOR, в который уже входят сервисы защиты от DDoS-атак, WAF и защиты от ботов. ✨ Это облачный сервис, который не требует развертывания дополнительных инструментов на стороне клиента и доступен в едином личном кабинете CURATOR. ✨ Благодаря этому регулярное сканирование внешнего периметра можно подключить без дополнительных затрат времени, дополнив существующий набор решений для защиты инфраструктуры. 👉 Подробности — по ссылке.

👋 Привет, сетевой друг! Сегодня расскажу про протокол UDLD, который ловит одну из самых противных неисправностей в Ethernet: когда линк вроде бы живой, а трафик идёт только в одну сторону. 🟣Что это: бывает, что одно волокно в оптической паре повредилось. Один коммутатор продолжает видеть соседа, интерфейс горит зелёным, а вот ответы обратно уже не приходят. Для Ethernet всё выглядит нормально - порт up/up, хотя связь фактически сломана. 🟣Как это работает: устройства регулярно обмениваются UDLD-пакетами, в которых сообщают, кто они и через какой порт подключены. Если коммутатор перестал получать такие пакеты от соседа, но физический линк всё ещё поднят, он понимает: это не обычный обрыв, а однонаправленная связь. 🟣Почему это опасно: в такой ситуации могут начать странно работать STP, EtherChannel и даже обычная коммутация. Где-то появится blackhole, где-то зависнет агрегированный канал, а поиск причины легко может затянуться на часы - ведь интерфейс продолжает выглядеть полностью рабочим. 🟣Базовая настройка (Cisco): udld enable interface TenGigabitEthernet1/0/1 udld port Если нужен более жёсткий контроль: udld aggressive В этом режиме устройство несколько раз пытается восстановить обмен, а если ничего не меняется - автоматически переводит порт в err-disabled, чтобы неисправный линк не успел натворить проблем. 🟣Что посмотреть при диагностике: show udld show udld interface show interfaces status err-disabled Если порт отключился именно по UDLD, первым делом стоит проверить SFP-модули, патч-корды и оптические волокна. Очень часто проблема оказывается не в настройках сети, а в физике. Серверная Админа | Zeroday | #Network

👋 Привет, сетевой друг! Сегодня разберём ещё 5 полезных фишек для Cisco IOS, которые реально экономят время и нервы. 🟣TCP Fast Open (TFO) - отправляем данные уже во время SYN, не дожидаясь завершения трёхстороннего рукопожатия: sysctl -w net.ipv4.tcp_fastopen=3 sysctl net.ipv4.tcp_fastopen Клиент может передать первые данные ещё на этапе установки соединения, сокращая задержку на один RTT. Особенно полезно для часто повторяющихся коротких подключений. 🟣TCP MTU Probing - автоматически подбираем рабочий MTU, если ICMP режется где-то по пути: sysctl -w net.ipv4.tcp_mtu_probing=1 sysctl -w net.ipv4.tcp_base_mss=1024 Помогает при PMTU Black Hole, когда пакеты теряются из-за слишком большого MTU, а ICMP Fragmentation Needed не проходит. 🟣BBR вместо CUBIC - меняем алгоритм контроля перегрузки: sysctl -w net.core.default_qdisc=fq sysctl -w net.ipv4.tcp_congestion_control=bbr BBR оценивает пропускную способность и RTT, а не реагирует только на потери. На каналах с высокой задержкой часто даёт более стабильную скорость. 🟣TCP SYN Cookies - защита от переполнения очереди SYN: sysctl -w net.ipv4.tcp_syncookies=1 sysctl net.ipv4.tcp_syncookies При SYN Flood ядро перестаёт хранить состояние для полуоткрытых соединений и кодирует его прямо в SYN-ACK, сохраняя работоспособность сервиса. 🟣Просмотр TCP-сокетов через ss - получаем гораздо больше информации, чем через netstat: ss -ti ss -o state established Можно увидеть congestion control, RTT, congestion window, retransmits, таймеры и другие параметры конкретного соединения - очень полезно при разборе проблем с производительностью. Серверная Админа | Zeroday | #Cisco

👋 Привет, сетевой друг! Сегодня про инструмент bgscan. Это быстрый многопротокольный сканер, который умеет строить целые цепочки проверок: например, ICMP → TCP → HTTP. 🟣Зачем он: обычно сначала пингуют сеть, потом отдельно сканируют порты, затем вручную проверяют веб-сервисы. bgscan позволяет собрать всё это в один pipeline, чтобы на следующий этап попадали только хосты, прошедшие предыдущий. 🟣Как работает: каждый протокол - отдельный модуль. Сначала можно найти живые узлы по ICMP, затем проверить открытые TCP-порты и только после этого отправить HTTP/HTTPS-запросы. Есть три режима работы: Streaming (результаты сразу передаются дальше), Sequential (этап за этапом) и Batch (пакетами). 🟣Установка: curl -fsSL https://raw.githubusercontent.com/MohsenBg/bgscan/refs/heads/main/scripts/install.sh | bash или собрать из исходников: git clone https://github.com/MohsenBg/bgscan.git cd bgscan go run ./cmd/bgscan/ 🟣Что умеет: ICMP — поиск живых хостов TCP — проверка портов HTTP/1-3 — тест веб-сервисов TLS — анализ TLS DNS — проверка резолверов Xray — валидация прокси 🟣Чем крут: после каждого этапа результаты автоматически сохраняются в CSV и могут стать входными данными для следующего запуска. Например, сначала просканировали миллион адресов по ICMP, затем взяли только ответившие и проверили TCP, а потом - только узлы с открытым 443-м портом на поддержку HTTP/3 или TLS. 🟣Приятная мелочь: вместо десятков параметров в командной строке здесь полноценный терминальный интерфейс на BubbleTea - запуск сканирования, просмотр прогресса, управление результатами и настройками выполняются прямо из TUI, без браузера и веб-панелей. Серверная Админа | Zeroday | #Инструмент

Крастерский маршрутизатор на FreeBSD из старого компа В статье автор показывает, как заменил обычный домашний роутер старым ПК с FreeBSD. По пути он разбирается с PF, NAT, DHCP, PPPoE и приоритизацией трафика, настраивая всё с нуля. Получился честный рассказ о том, как за несколько дней собрать собственный маршрутизатор, попутно набив шишки и глубже разобраться в сетевых технологиях. Серверная Админа | Zeroday | #Статья

👨‍💻Серверная Админа | #мем

👋 Привет, сетевой друг! Сегодня разберу RPKI (Resource Public Key Infrastructure) - механизм, который защищает BGP от одной из самых старых проблем интернета: когда кто-то случайно или специально объявляет чужие IP-префиксы. 🟣Зачем он: BGP исторически доверяет соседям. Если AS64500 объявит: 203.0.113.0/24 интернет может начать отправлять туда трафик, даже если этот префикс принадлежит другой организации. RPKI добавляет проверку: имеет ли конкретная автономная система право объявлять этот маршрут. 🟣Как работает: владелец сети создаёт ROA (Route Origin Authorization): Prefix: 203.0.113.0/24 Origin AS: 64500 Max Length: /24 Эти данные подписываются криптографически и публикуются в RPKI-хранилищах. Маршрутизатор получает список ROA и проверяет BGP-анонс: Prefix: 203.0.113.0/24 Origin AS: 64501 Результат: VALID - AS имеет право объявлять сеть INVALID - AS не соответствует ROA UNKNOWN - ROA для сети нет 🟣Проверка маршрутов на MikroTik: Добавляем валидатор RPKI: /routing rpki add group=rpki-cache address=192.0.2.10 port=8282 Проверяем состояние: /routing rpki print 🟣Добавляем фильтр BGP: Например, запрещаем INVALID-маршруты: /routing filter rule add chain=bgp-in rule="if (rpki invalid) { reject }" Теперь маршруты с неправильным origin AS не попадут в таблицу маршрутизации. 🟣Диагностика: Проверяем статус маршрута: /ip route print detail И смотрим BGP-анонсы: /routing bgp advertisements print 🟣Почему это нужно: BGP работает между десятками тысяч автономных систем, и одна ошибка в конфигурации может отправить большой кусок интернета не туда. RPKI не заменяет BGP-фильтры, но добавляет ещё один уровень проверки - уже на уровне криптографического подтверждения права владения маршрутом. Серверная Админа | Zeroday | #RPKI

🇷🇺 Разбираешься в радиочипах, оптике и связи? Забери до 1 000 000 рублей за свои инженерные навыки на турнире «Дронкон» 🇷🇺 «Сталинские Соколы» открывают регистрацию на 4-й Всероссийский турнир «Дронкон», который пройдет с 22 по 26 августа. Турнир пройдет по направлению: - Инженерное дело: навыки программирования, сборка электронного оборудования, беспроводная связь, оптические системы + стратегия «Битва Дронов»; Призовой фонд для победителей: 🥇место – 1 000 000 рублей 🥈место – 700 000 рублей 🥉место – 500 000 рублей Награда за 4-8 места - 100 000 рублей Пройди заочный онлайн-этап и получи путевку на очный этап турнира в Республику Татарстан! Перелет, питание, проживание - за счет организаторов. 🇷🇺 Подать заявку и узнать подробности 🇷🇺

❗ Распространите ❗ Если метод проб и ошибок в карьере системного администратора перестал работать, пора выбрать новую стратегию. Академия Selectel как раз выпустила подборку из 30+ бесплатных курсов для разработчиков и сисадминов. Вы научитесь самостоятельно выстраивать эффективную работу с ИТ-инфраструктурой на базе операционной системы Linux, а также получите сертификат о прохождении. Эксперты регулярно делятся полезными материалами и новостями про администрирование и компьютерные сети в канале Академии Selectel. Подпишитесь 👉 https://t.me/+97cKUuQZQX9iNzRi Реклама. АО "Селектел". erid:2W5zFG33QgZ