Патчкорд

Рабочие будни, как-то так и до вас Интернет добирается. А как выглядит пожар из тёплого офиса я уже писал.

Поднимаем SRv6 в Kubernetes, целая научная публикация на arxiv.org. Есть ещё инструкция по шагам, чуть менее формальная и чуть более привычная, с конфигурациями и выводом консоли.

JavaScript для DOS - DOjS, если очень хочется или очень надо.

FreeRADIUS топит за PAP, говорит безопаснее чем CHAP и не только. В целом, они смотрят со своей колокольни, на обмен NAS, RADIUS сервера и БД, а если кто-то влез в PPP напрямую, то тут уж ничто вас не спасёт. И застав те времена, когда подняв в локалке провайдера PPPoE концентратор сразу ловилось десяток соединений, могу сказать, что PAP что CHAP в этом случае без разницы, тем более когда клиенты сами легко переключались в PAP, если по CHAP не получалось, отдавая все свои пароли.

DNS - это не только про имена, можно сразу смотреть презентацию с 7 слайда. Наверное, что-то вы не видели, но что-то наверняка. Собрано много всего от PTR для красивых трассировок, утилит поверх DNS, вроде погоды и времени, а в самом конце более крупные формы, плюс ссылки на всё.

Если для вас сетевая автоматизация ещё не стала рутиной, то вот наглядное сравнение Netmiko, NAPALM и Nornir. Собственно, это не весь возможный выбор, можно и без программирования обойтись.

О том к чему надо быть готовым. Это вам не Новый год, где всё совсем наоборот. https://www.msk-ix.ru/traffic/

Больше NAT64, DNS надо тоже этому научить, а кто-то уже научил. Я думаю что этому придётся научить не только DNS, найдутся ещё протоколы где IPv4 возникают на уровне приложений и что-то с этим придётся делать в чистых IPv6 сетях, которых всё больше и больше. Собственно это говорит о том, что наконец-то мы по настоящему вступили в эпоху перехода.

В продолжении истории 20-летней давности, про инструменты которые боролись с внезапной проблемой и подходы к проектированию сетевых устройств, IDS/IPS в данном случае.

Это не заря Интернета, а скорее юность его всеобщего охвата - история одного червя из 2003 года. Автор оптимистичен, но я бы не сказал что ситуация сильно поменялась. Даже в 2006 году, единственный абонент в сети провайдера с легкостью укладывал 90Мбит/c подключение к Интернет, рассчитанное на целый город, что я видел с завидной регулярностью, уж очень несопоставимые были скорости в локальной и глобальных сетях. Сейчас скорости подравнялись, что с одной стороны спасло клиентов, но с другой позволяет генерировать гигантские объёмы трафика этими же клиентами, если забыть про фильтрацию. Да, провайдер для домашних подключений должен позаботиться о фильтрации в обе стороны, по другому никак - 1434 всё что касается Windows протоколов, всё что касается локальной сети, DNS, NTP, SNTP, SNMP, BGP - если не вирусы, то мультипликаторы атак до вас и ваших абонентов обязательно доберутся.

IPv4 не кончились пока их можно купить - цены сильно подросли в 2021 году и большие блоки стали торговаться в пересчёте на один адрес дороже. Всё это, наверное, говорит что адреса стали нужнее чем раньше с прицелом на ближайшее будущее, так как в любом случае за большой блок надо сразу отдать много средств, которые не у всех ещё есть, чем за маленький, хоть и выходило это дороже в пересчёте на адрес. В статье ещё ссылаются и на сложившуюся глобальную экономическую ситуацию. Главное на этом рынке не пропустить момент фазового перехода, когда у всех IPv6, а IPv4 хоть на свалку выкидывай.

Akamai предлагает банить AS целиком. Нет, конечно они всех сначала проранжировали по степени опасности и количеству маршрутизируемых IP адресов, но потом всё же предложили банить.

Клиентские настройки в сети Orange во Франции - GPON, IPv6 /56 PD, DHCP Option 90 (RFC3118) и, насколько я понимаю, в таком виде последние 5 лет. RFC3118 интересно, у нас такого не встречал.

DNS от Евросоюза с GDPR, детским Интернетом, IPv6 и DNS over всё на свете. Используем 193.110.81.0 или 185.253.5.0, 2a0f:fc80:: или 2a0f:fc81::

Возможное будущее Интернета, но скорее нет. Я не думаю что какой-либо из глобальных механизмов с непосредственным взаимодействием более чем двух участников потенциально возможен. Авторы разрабатываемого сквозного резервирования ресурсов в большом Интернете сначала тоже питали надежды, но потом умерили пыл и свели всё только к двум участникам предложив концепцию Flyover Reservation. И про новую архитектуру Интернета - SCION, тоже почитайте.

Используйте разные ключи для разных целей: для подписи коммитов, для авторизации в SSH, для подписи сообщений, разные ключи для разных серверов - если не хотите чтобы про вас узнали ещё больше. С другой стороны, публичный ключ на то и публичный чтобы про него знали, главное об этом помнить.

Azure тоже свой отчёт опубликовали VSG1-B90, здесь цепочку событий запустил инженер меняющий настройки в Мадриде (Кто спросил: "Где автоматизация?"). А дальше похоже - IGP перестраивается, BGP не сходится, а сеть большая, поэтому на всё про всё несколько часов.

Что случилось в Yandex на прошлой неделе:

В ходе инцидента мы столкнулись с рядом нетривиальных проблем, которые мы смогли быстро детектировать и локализовать.

Мы приняли ряд мер, которые не позволят подобному инциденту произойти вновь.

Не оставляйте ничего сломанным, даже если это и был резерв и конечно любая крупная авария не имеет одной причины.

А ещё у Juniper есть целый раздел с книгами разной степени глубины по очень разным темам, из недавних про SRv6.

Как работает TTL и eBGP multihop в Juniper для непосредственно подключенных маршрутизаторов использующих Loopback. В общем случае TTL можно задать любого допустимого размера и ожидать только такие пакеты, установка подобных соединений зависит не от этого. В Cisco TTL можно вообще не трогать, а использовать команду disable-connected-check.