Лаборатория Лиса

Я только сейчас заметил одну прикольную странность, у меня моделька серверного шкафа буквально состоит из одних лишь коммутаторов без подключений куда либо 😁

Потом переделаю.

Channel photo updated

Я уже давно рассматриваю Keycloak для своего маленького сервиса. Но все руки не доходили до просмотра более подробно что да как с ним там обстоят дела.

Для тех кто в танке, это REST приложение, которое разворачивается на сервере как СЕРВИС для авторизации, регистрации и аутентификации пользователей для чего угодно.

Но мало того, что сервис очень большой, я почитал недавние исправления ошибок и серьезных CVE что касается обхода авторизаций для изменений паролей и всякого такого прочего, например CVE-2026-18963 - БУКВАЛЬНО НОВАЯ УЯЗВИМОСТЬ, которая ну как бы немного даже глупая если честно.

Я решил все таки отказаться от этого монстра от которого можно ожидать что угодно.
Все таки я сервис буду выкатывать во внешний мир для того, что бы у моих пользователей была возможность управлять своими ресурсами и в случае чего восстановить доступ. Да и мне самому нужно это.

Я сочту правильным сделать свое решение. Кто бы что мне не говорил что то в духе "Не изобретай свою криптографию".
Все таки с крипто-примитивами я умею работать, а остальное это просто внимательность к деталям.

Мне понравился Дали с его жидкими часами =D

Кстати, представить персонажей таки забыл.

Слева направо буду называть персонажей.

Койот - Кайро
Лиса - Ультима
Лиса - Прима
Барсук - Тео
Кабан - Отто
Волк - Грей

Планируется еще 2 персонажа, но они пока что живут лишь в моей голове, еще предстоит их нарисовать.
И еще 2 заложил под то, что у меня будет рандомное вдохновение.

УРА ЧАТ ГПТ не удалил сгенерированный арт!

Это победа.

Раньше он надумывал много лишнего, от чего срабатывала система безопасности и писалось что то вроде "Извините, мы не можем генерировать вам откровенный контент", хотя его нет и небыло =D

Но картинка нравица

Тем временем команда пополнилась

Идея что я описал выше, говно.

Мне не нравится!
Я тут прошарил инфу, уже есть варианты такие как PairDrop
Там нормально работает WebRTC.

Буду кумекать кароче в этом направлении.

Минусы готовых сервисов в том, что они предлагают сразу кидать выбранный файлик, а я хочу прям брузерный проводник, как ftp или smb сервер, только без танцев с бубном для пользователя.

Это уже даже звучит прикольно, если честно =)

Иногда хочется просто быть лисо-девочкой и снимать тиктоки под песенки с ветром в голове =0

А я сижу тут и придумываю доверенный https в локальной сети...

В последнее время по локальной сети часто передаю данные с ноута на любые другие устройства через http сервер.
И тут я задумался, а ведь когда нибудь подвернется какая нибудь авантюра рано или поздно, что придется гонять такой трафик в публичном пространстве (Ну, например, университет)

И вот что я придумал:
На своем сайте по https (С доверенным сертифкатом от LetsEncrypt) публикую временный самоподписанный сертификат на айпиадрес для локальной сети, который мне выдал dhcp локальной сети)

Этот сертификат по HTTPS ставлю на целевое устройство, куда или откуда буду гонять данные, зайду на айпиадрес уже под доверенным сертификатом. И никакого MITM в этом случае не будет!

Опять же mTLS будет тоже самое.

По сути из простого, мой сайт будет доверенным посредником проверки личности

Главное, что:
1) корневой сертификат привязывать нужно к конкретному айпи адресу
2) Самоподписанный сертификат генерировать каждый запуск докер контейнера, получаем эфемерный приватный ключ на время сессии передачи файлов
3) Срок действия сделать 24 часа
4) Опционально, сделать скрипт удаления этого сертификата после использования для целевого устройства.

Отвечу сразу на вопросы зачем:
1) Гарантия отсутствия MITM атаки внутри локальной сети
2) Передача файлов не выходя за шлюзы локальных сетей
3) Да, я уже рассматривал вариант WebRTC, получается какой то шлак если честно.
4) Самоподписанного сертификата без установки корневого на целевое устройство НЕ ДОСТАТОЧНО для гарантии отсутствия MITM атаки, тут в моем канале не все шарят как правильно работает TLS и криптография в целом.

Просто мысли в слух, если у кого то есть решения по лучше, добро пожаловать в комментарии.

Wireguard Тема, но под это городить по сути тот же временный контейнер wireguard специально для этого с временными адресами вообще не кайф. Да и AES аппаратный быстрее в разы чем Wireguard с его ChaCha20

Это выглядит как какая то подготовка если честно, ибо API ВК стал платный и закрыли сторонний проект KateMobile.

Ой как ужобно 😅

Я похоже превращаюсь в шизика

Я только что заметил, что в приложении ВК нельзя теперь делать скриншоты. Это фулл бредятина. Ну типа не какие то закрытые сообщества нельзя скриншотить, а вообще что угодно. Даже свой собственный пост.

Да, я планировал что тут буду выкладывать девопсину и прочую прикольную штуку, а в ВК новости по игре, но я на ВК чет забил, там никто не сидит =D

По этому ВСЕ ЕЩЕ кидаю сюда.

Новый персонаж!

- Как сильно вы любите постоянный и переменный ток?
Я: Ну...

Минимум изменений, но как отличаются, просто жесть. Все еще пробую найти героиню...

У меня ж нет как такого опыта в администрировании серверов на боевых реальных машинах, потому дохожу до всяких идей по своему.

Как мне сказала ИИшка, мой план это дефолт на серверах.

У меня ближайший план по улучшению коммутации между моими серверами таков:

1) Не обновлять текущее оборудование, слишком дорого и не нужно
2) Купить больше проводов Cat-e5
3) Купить на PCI-e по больше сетевых интерфейсов
4) Подлючить все сетевые интерфейсы в мой текущий коммутатор
5) В Линуксах настроить эти физические интерфейсы в отдельную локальную сеть без gateway
6) Радоваться что файлы будут между серваками гулять по отдельным гигабитам и не мешать шлюзовым портам!

Мой нынешний коммутатор позволяет это сделать потому что у него честная не блокирующая коммутационная матрица на 48 Гбит/с - для 24 портов это ровно 2×1 Гбит на каждый порт (приём+передача), то есть свитч физически тянет одновременную полную нагрузку сразу на всех портах без просадок. Так что не нужно покупать новый коммутатор - можно просто воткнуть в него ещё пачку линков и развести трафик логически, без апгрейда железа.

По сути получится "сеть в сети": те же провода, тот же свитч, но с отдельными IP без шлюза — и бэкапы между серверами перестанут отжирать пропускную способность у интернет-канала.

Правда не факт что я успею это реализовать... Так как у меня еще дел тут дома много

Я знаю что тут люди сидят со своими дешевыми и не очень железяками, кто тоже интересуется всякой такой лабудой, расскажите как у вас там дела =)

АФИГЕТЬ ОНО СУЩЕСТВУЕТ, Дешевый коммутатор на 2.5 Гигабита (По тестам у чувака оно выдало 2.1-2.3, но все равно круто) за стоимость 5 чашек латте в Сириусе =D

Я потратил 2 часа на перепроверку шлюза сервера, долго понять не мог, почему 100 Мбит/с показывает.

Оказалось все куда проще - У меня Lan какого то хрена плохой стал! КТО ТРОГАЛ МОИ ПРОВОДОЧКИ ДОМА?! Грррррр....

UPD: Скорее всего я буду завтра занят устранением перебоя гигабита к серверу. Это вообще не прикольно, что оно вот такие приколы делает.
Надо чинить физику

Мне нравится, когда разработчики ломают четвертую стену и добавляют современные элементы в игры, где хронологически они быть физически не могут =3

Вот буквально недавно я кидал фотку из Героев Меча и Магии 5, где стоит просто ТАНК на карте. (Кстати от туда же знаю как призвать пришельца на летающей тарелке в качестве бесплатного героя, не баг а фича, может быть потом расскажу)

Теперь кидаю АТОМНУЮ ПОДВОДНУЮ ЛОДКУ! В игре про кораблики парусной эпохи =D

Казалось бы, обычная пасхалка, но это всегда так зажигает интерес, порождает много вопросов. Откуда эта лодка, как она сюда попала и прочие такие интересные интрижки. Из за которых хочется обследовать всю карту вдоль и поперек, что бы просто увидеть и собрать еще таких пасхалок.

Это я к тому, что создавая миры, можно дать полет фантазии и даже прикола ради шутку. Иногда в своем творчестве загоняешься в формальности и очевидные вещи стоит иногда проговаривать вслух, что бы просто не забывать о них.

Задача была просто из вебморды провайдера виртуального серверв сравнить ключи шифрования для SSH которые я вписывал ручками. (Ибо доступ был оторван, а старый ключ SSH удален)

Кароче, я ничего не нашел кроме старого доброго метода, двух деревянных палочек и двух окошек с буквами просто ручками перепроверить каждую букву ключа.

Благо это был ed25519, а не RSA 😂 (У RSA ключ шифрования длиннее в 32 раз)