Лига сисадминов

Небольшая шпаргалка по Wireshark #ит_заметки #network #wireshark #cheatsheet

Резервные копии — это не просто Где-то я прочитал комментарий, который засел в памяти. Звучал он примерно так: «Есть два типа людей: те, кто уже пережил катастрофическую потерю данных, и те, кто ещё переживёт». Когда я искал источник для этой заметки, оказалось, что почти у каждого сисадмина есть своя перефразированная версия этой мысли, но суть везде одна. Потеря данных случается чаще, чем хотелось бы, и большинство из нас к ней совершенно не готово (а приходит она почти всегда в самый неподходящий момент). https://telegra.ph/Rezervnye-kopii--ehto-ne-prosto-09-18 #ит_заметки #devops #linux #backup #datastorage

От capabilities к AppArmor: что реально остановит атакующего в контейнере Представьте себе обычный контейнер с веб‑приложением. В нём есть уязвимость, злоумышленник получает возможность выполнять команды — и дальше начинается самое интересное: что именно его остановит? Не в теории, а на практике. Не в изолированном примере «вот как работает seccomp», «вот что такое capabilities» и «вот зачем нужен AppArmor», а в одной и той же рабочей нагрузке, где все эти механизмы встречаются одновременно. Cама по себе настройка механизма ещё не отвечает на главный вопрос: какую именно угрозу он закрывает и где заканчиваются его возможности? В Linux, а значит и в Kubernetes, есть три механизма, на которых здесь стоит сосредоточиться: - capabilities; - seccomp; - LSM — например, AppArmor или SELinux. Обычно их объясняют по отдельности. Иногда так же по отдельности и внедряют. Именно в этом месте часто появляются ложные ожидания: кажется, что если включить один механизм, он «закроет безопасность контейнера». На практике всё сложнее... https://telegra.ph/Ot-capabilities-k-AppArmor-chto-realno-ostanovit-atakuyushchego-v-kontejnere-09-17 #ит_статьи #devops #linux #apparmor #seccomp #capabilities

Еще чуть-чуть и нейронки окончательно заменят программмистов, но есть нюанс😏 #ит_юмор #нейросети #gpt #localhost

Как пользоваться функцией Checkpoint в NetworkManager (nmcli device checkpoint) nmcli device checkpoint позволяет создать «точку восстановления» и безопасно проверять изменения конфигурации NetworkManager. Это особенно полезно на удалённом сервере (например, по SSH): если из‑за ошибки настройки связь оборвётся, система сама вернётся к предыдущему состоянию. https://telegra.ph/Kak-polzovatsya-funkciej-Checkpoint-v-NetworkManager-nmcli-device-checkpoint-09-16 #ит_статьи #devops #linux #network #nmcli

Microsoft встроила в Windows родные Linux-контейнеры У каждого админа на Windows есть свои особые отношения с Docker Desktop. Стоит понадобиться одному-единственному контейнеру с nginx для тестов — и здравствуйте: качай несколько сотен мегабайтов, ставь, настраивай. А если вас в конторе больше двухсот пятидесяти человек — извольте ещё и платную подписку оформлять, потому что лицензия (и да, невозможность нормально эту подписку оплатить сама по себе бесплатным использование Docker Desktop не делает.). И вот Microsoft выкатила публичное превью штуки под названием WSL Containers, или просто wslc. Задача у неё донельзя простая: запускать Linux-контейнеры на Windows средствами самого WSL 2, без Docker Desktop. То есть контейнеры по-прежнему работают на Linux-ядре WSL, но отдельный сторонний container engine для этого больше не нужен. https://telegra.ph/Microsoft-vstroila-v-Windows-rodnye-Linux-kontejnery-09-15 #ит_статьи #devops #docker #windows #wsl

Патчи пришли тихо: без звука, без RDP и без Ctrl+V Был сентябрь, был вторник. В Редмонде закрыли очередную пачку дыр, а взамен раздали три подарка: мёртвый RDP, пропавший звук и Excel без вставки. Microsoft официально признала все три проблемы, так что спорить не с кем. Разбираем подарки. Первый подарок: RDP. Соединение устанавливается и живёт несколько минут. Через несколько минут обрыв. Сервер в это время висит на «Please wait for the Remote Desktop Configuration» и не уточняет, сколько ждать. Следом перестают отвечать MMC, RDS Licensing Diagnoser и Проводник. Страница Windows Update крутит индикатор бесконечно, так что откатиться через настройки сходу не выйдет. Зоопарк пострадавших широкий: от Windows 11 26H1 до Windows Server 2012. Есть версии, кто виноват. Самая правдоподобная — накопительное обновление KB5124008: его называют на форумах. Официального подтверждения номера нет. Обходной путь официально один, зато надёжный: виртуалку надо остановить, деаллоцировать и запустить заново. Выключить и включить. Древнейший из известных ритуалов системного администрирования. У Windows Server 2012 свой сюжет: 13 октября он выходит из программы расширенных обновлений. Уходит на пенсию. С восхитительным прощальным подарком. Следом пропал звук. На Windows 11 24H2, 25H2 и 26H1 отваливается поддержка части устройств USB Audio Class 1.0. Это стандарт конца девяностых. Он пережил три десятилетия прогресса и не пережил один вторник. Симптомы: звук пропадает целиком, настройки звука и ползунки громкости ломаются, многоканальный режим глючит. Некоторым помогло принудительное переключение в двухканальный режим. Звук возвращается в сокращённом составе. Фикс обещают. Сроков не называют (в Редмонде любят интригу). И король сезона: Excel. Патч закрывал уязвимости удалённого выполнения кода и раскрытия информации в Excel 2016, 2019, 2021 и 2024. Заодно закрыл Ctrl+V. Теперь вставка может не сработать. Источник остаётся выделенным, приёмник не меняется, сообщений об ошибке нет. Формулировка Microsoft достойна цитатника: «The paste operation might fail silently». Любимое слово в цитате — «might». Вставка не падает и не ругается. Она может просто не сработать, молча. Обнаружится это, когда будет поздно. Обходного пути нет. На форумах лечатся переустановкой Office или сносом самого обновления. Со сносом обновления тоже есть нюанс: вместе с ним уходят и закрывавшиеся им дыры. Придётся выбирать между потерей данных и открытыми уязвимостями. У кого автообновления включены, тем выбирать не пришлось: патч уже стоит. Фон у истории богатый. Весь год Microsoft рассказывает, что качество обновлений — приоритет. В феврале Наделла лично постановил: компании нужен «царь качества». Судя по сентябрьскому списку известных проблем, царь пока знакомится с территорией. На Hacker News под новостью набралось 236 пунктов и 151 комментарий. Спрашивают, сколько человек написали LGTM на том security-патче. Советуют выдерживать патчи месяц, прежде чем ставить. И шутят: корпорация не устаёт хвастаться, будто код у неё теперь пишет ИИ. #ит_заметки #update #kb #windows

Как разблокировать LUKS-корень ALT Linux по SSH Не так давно наткнулся на статью Red Hat про разблокировку LUKS-шифрования по SSH. Суть там простая: сервер с зашифрованным корнем перезагружается, замирает в initramfs и ждёт парольную фразу на консоли, за которой никто не сидит. Решение у редхатовцев выглядит довольно простым: поставить пакет dracut-sshd, включить модуль NetworkManager в initramfs, дописать параметры ядра. Несколько команд, и застрявшая машина открывается по SSH с вашего дивана. И стало мне интересно: а как та же задача решается, если у меня на серваках крутится не RHEL, а Альт? Копировать редхатовский рецепт вслепую смысла нет: у Альта собственная система сборки initramfs и свои механизмы ранней загрузки. Тем любопытнее посмотреть, как всё устроено здесь. TL;DR. Сделать можно. Проверил это на живой виртуалке. Рецепт в итоге вышел на удивление прямолинейный, но с двумя-тремя особенностями, о которых лучше узнать из статьи. https://telegra.ph/Kak-razblokirovat-LUKS-koren-ALT-Linux-po-SSH-09-14 #ит_статьи #linux #kernel #initrd #luks2 #rhel #alt

🎤Как позвонить в 40к+ домофонов. Одновременно Описание Начнём с Asterisk и Kamailio и посмотрим, как далеко на них можно масштабировать массовый обзвон. Затем разберём переход к собственному SIP- и RTP-серверу на Go, оптимизацию UDP-трафика и генерации RTP. Отдельно обсудим, почему FFmpeg плохо подходит для большого числа медиапотоков, как перейти к репликации RTP и в каких случаях имеет смысл использовать eBPF/XDP. По ходу разберём устройство SIP- и RTP-пакетов, диалоги, транзакции, CSeq, теги, контрольные суммы и хранение метаданных в AVL-деревьях. Главный вопрос — какие части стандартного SIP-стека действительно нужны, а от каких можно отказаться ради производительности. Тезисы - Массовый обзвон порядка 40 000 устройств. - Масштабирование Asterisk и Kamailio и их пределы. - SIP- и RTP-сервер на Go. - Генерация и репликация RTP, ограничения FFmpeg. - Оптимизация UDP, ptime, параметры ядра. - eBPF/XDP для высокопроизводительной работы с пакетами. - SIP и RTP изнутри: заголовки, транзакции, диалоги, CSeq, checksum. - AVL-деревья для хранения метаданных диалогов. - Когда можно упростить SIP-модель ради производительности. Купить билет на конференцию AsterConf

Как работает bind mount в Linux Команды mount и umount используются для монтирования/размонтирования устройств в Linux. Однако существует и другой тип монтирования, называемый bind mount. В этом материале мы поговорим о том, что это такое, а также рассмотрим несколько примеров применения bind mount. https://telegra.ph/Kak-rabotaet-bind-mount-v-Linux-09-14 #ит_статьи #linux #mount #bind_mount