блог q00

На память пока не засрал стол

Эээээ, ну вроде как трогаем траву, но друзья у меня линуксоиды. (слева тоже дебиан)

С днем установки сертификатов от Минцифры в отдельный профиль фурифокса

на таком вайбе ща

Как-то так выглядел кластер во время сборки.

Мой новый JID - q@y2k.rest

С 1 сентября для продолжения нормального использования доменов в зонах .ru,.su и .рф придётся подтверждать личность через Госуслуги. Мне было в падлу, да и porno4free.ru спустя три года уже не кажется таким забавным доменом, поэтому я просто купил новый. И тут я вспомнил, что переезд на другой домен просто так не пройдет. На старом домене у меня уже два года жил собственный XMPP-сервер на Prosody.

Prosody я когда-то выбрал за его лёгкость. Он нормально работает на древних пк аля Sempron 2600+ с полтора гига оперативной памяти под OpenBSD и при желании его вообще можно захостить на роутере. Потом у меня появились три Dell Wyse 3040. Изначально я рассчитывал, что два из них заберут другие люди, но в итоге оба отказались, и все три компьютера остались у меня. Продавать их мне было в падлу, поэтому они просто валялись без дела.

После очередных приколов с электричеством мне захотелось собрать отказоустойчивый кластер: несколько XMPP-нод, общая база, синхронизация состояния, GeoDNS и возможность пережить падение одной машины. Prosody не подходил, потому что он не поддерживает кластеризацию, а у ejabberd кластеризация есть из коробки. Так и началась миграция. Заодно я решил исполнить мечту детства № 1337 - поднять собственные авторитативные DNS-серверы. Установил Knot DNS на три VPS, настроил базовую обвязку и оно даже начало резолвиться. Правда, тут обнаружился нюанс с GeoDNS. Обычно он видит географию рекурсивного DNS-резолвера, а не самого клиента, если резолвер не передаёт EDNS Client Subnet. Поэтому через публичный DNS пользователь может получить европейский адрес, а через DNS российского провайдера — российский. В итоге GeoDNS я всё же сделал, и в целом он работает: правда тестировал только в мобильных сетях, а в наше время, чтобы прочитать этот пост нужно использовать использовать что-нибудь страшное, так что пофиг.

В итоге получилось две ноды ejabberd, nginx, HAProxy, PostgreSQL с репликацией и автоматическим переключением, общее файловое хранилище и watchdog. Два компа в разных районах и две впски.

Конечно же, без обсеров никуда.
Самый болезненный был связан с загрузкой файлов. Её обслуживали две ноды: слот создавался на одной, а nginx мог отправить сам файл на другую ноду. В результате примерно половина файлов терялась. А может, и больше. Была также классика: несколько раз делал опечатки в конфигах. То база отваливалась, то ещё что-нибудь ломалось.
Но самый обидный затуп произошёл, когда я минут пятнадцать не мог понять, почему сообщения не синхронизируются. Оказалось, я просто смотрел не на тот аккаунт.

Стал тут недавно обладателем нишевых ноутов:

Thinkpad r50e с netbsd
Macbook pro 8.1

Софт:
Поставил Debian, потому что порох закончился для OpenBSD и прочих интересных ОС. Сетью управляет systemd-networkd, DHCP/DNS — dnsmasq, фаервол — голый nftables. Зная себя, настроил etckeeper, который бэкапит /etc на гит-сервер. Правда, если роутер сдохнет, то я на гит не попаду, но упустим этот момент.

Зоны:
Раз уж у меня 9 дырок, чего бы не накрутить зон. Сделал так:
room 192.168.10.0/24 — админю отсюда
iot 192.168.20.0/24 — китайский умный зоопарк, которому не доверяю
dmz 192.168.30.0/24 — то, что смотрит наружу, и для гостей
srv 192.168.40.0/24 — серверы

IoT появился из-за телевизора Haier: я ему не доверяю, но периодически запускаю на нём Яндекс Музыку, так что пусть ходит в тырнет, но локалку мою видеть не должен. Между зонами ходит только то, что явно разрешено в nftables. Wi-Fi раздаёт тот же Archer, но уже как тупая точка: VLAN-ы приходят транком, каждый SSID — в свою зону. Разжалован из роутеров в АП — на это его ещё хватает.

Split-routing — ради чего всё затевалось. RU-адреса идут напрямую через провайдера, всё остальное через VPN. Так уж вышло, что в момент пердолинга VPN-ов у меня сгорела жопа от xray-core, а позже и от sing-box, поэтому я просто купил в России VPS-ку, поднял на ней WG, а трафик с неё заворачиваю в Европу.

На роутере:
- исходящий WireGuard wg0 с Table=off;
- в nftables — сет RU-префиксов (~8600), обновляется по таймеру из списка на GitHub;
- всё, что НЕ попало в сет, метится fwmark 0x1 → ip rule шлёт помеченное в отдельную таблицу с default dev wg0;
- killswitch: oifname wan0 meta mark 0x1 drop — лёг туннель, и «зарубежка» просто падает, а не утекает мимо VPN в открытую.

Итог: YouTube идёт через VPN, банки и Госуслуги — напрямую. И наконец-то можно не долбать себе мозги с VPN-ами на устройствах в локалке.

Видать, в ближайшем квартале я эти сопли уже не уберу, поэтому сейчас расскажу про свой роутер.

Так получилось, что я теперь не живу с родителями, а боевой ASUS остался у них Спасибо камраду Чаку, что подогнал Archer C6 v2, и пару месяцев я жил как человек: 500 Мбит/с, статика и Wi-Fi 5, которого в целом хватало. Но в лучших традициях TP-Link роутер начал откидываться на ровном месте: то Wi-Fi отвалится, то шара в локалке падает, то всё вместе ведёт себя как говно. Дебаг показал, что железка просто захлёбывается под нагрузкой.

Встал вопрос замены. Если спросить знакомых, которые шарят в сетях, ответов обычно два: MikroTik или OpenWRT/pfSense/etc.
MikroTik чего-то не хочется, а от OpenWRT уже подташнивает. Да, технически это тоже Linux, но хочется не роутерную ОС, а нормальный Debian, где я понимаю, что происходит, и могу чинить это привычными инструментами.
Поэтому, в лучших традициях селфхоста, собрал роутер из старого компа. Внутри: изолированные зоны, голый nftables и split-routing.

Хочешь такой сделать бота в вк (упустим подробности)

ПОСТАВЬТЕ ПАРОЛЬ НА ВК У ВАС АККАУНТ НЕБЕЗОПАСНЫЙ!!!!
@@@
ГЕНЕРИШЬ ПАРОЛЬ В KEEPASSXC, ВСТАВЛЯЕШЬ ПАРОЛЬ И НАЖИМАЕШЬ СОХРАНИТЬ
@@@
ВЫКИДЫВАЕТ ИЗ СЕССИИ
@@@
ПЫТАЕШЬСЯ ЗАНОВО ЗАЙТИ В АККАУНТ — ПАРОЛЬ НЕ ПОДХОДИТ
@@@
ПЫТАЕШЬСЯ ВОССТАНОВИТЬ ПАРОЛЬ И ВИДИШЬ ЭТО:

Казино рулетка от яндекс — В С Е

Поздравляю всех с Днем Победы!

А ещё это, на местном компе ломали рут через докер.

docker run -v /:/mnt -it debian:latest bash

chroot /mnt

или

vi /etc/sudoers

Сходил с комрадами на хакатон. Взяли кейс от ВК: пытались оптимизировать поисковик, экспериментировали с Qdrant и крутили нейронки.

В итоге заняли 6-е место по России из 70 команд. Отдельный привет организаторам ВК за, пожалуй, самую отвратительную организацию: нам не давали логи работы контейнеров, кластер падал раз пять, а чтобы отправить софт на проверку, приходилось по 30 раз делать один и тот же запрос.

Спидранили всё за два дня: даже собрались у меня на хате и под пивко допиливали проект.

В итоге выиграл кучу мерча от Samsung и ВК, так что теперь модный у мамы.