Патчкорд

Что не так с Certificate Transparency в двух частях: сложно и не решает тех проблем которые задумывался решать, являясь костылём к базовой системе доверия сертификатам в вебе. В какой-то мере это, конечно, помогает, но в итоге вы всё равно остаётесь наедине с доверием между вами, вашим браузером, центрами сертификации и прозрачности.

Кажется, ребята играют не в ту сторону, но с другой стороны, предупреждён значит вооружён. Суть простая, если мы знаем что внутри секретного канала, а внутри у нас часто TLS handshake, то применив магию статистики, понять это можно с очень большой вероятностью, и shadowsocks и другие уже не помогут. Натурные испытания по обнаружению на настоящем провайдере присутствуют в полном объёме.

Всё равно или самому ехать или кого-то отправлять менять патчи и порты, и измерять потери на трассе, не взирая на то локальный это сбой или удалённый.

Центральный узел местного провайдера . Подвал гаража.👍😳

Настоящий, ламповый домонет, даже тауэры стоят.

Бен Кокс же тем временем сделал интересную попрефиксную карту Интертета.

Тоже весьма залипательно.

https://map.bgp.tools/

Это не просто круто, а очень круто. Масштаб, поиск конкретного префикса вплоть до /32, цветом отмечаются отвечающие на пинг узлы, что позволяет, буквально одним взглядом, оценить что в твоей сети доступно из Интернет. Для IPv4 кривые Гильберта подошли просто идеально, а кто придумает как визуально сделать так же красиво, только для IPv6, будет несомненным героем.

В Нидерландах очень сильно переживают что отстают по внедрению IPv6, говорят что без IPv6 никакого экономического развития. Вот только достоверную статистику по тому насколько IPv6 внедрён, получить очень сложно, в ощущениях одно, а на практике многие сервисы показывают разное или вообще странное. Это к вопросу о доверии всему о чём пишут в Интернете и с какой стороны на это смотреть, сервисов, кстати, много перечисили.

Опыт конкретного человека в конкретной компании-стартапе по выбору инструментов, удачный и неудачный. Можно сравнить со своим, или найти что-то новое, про облака, автоматизацию и всё что вокруг.

Тем временем NTT и Cogent разорвали пиринг в Европе.

https://benjojo.co.uk/u/benjojo/h/vNV8Xp5W4td6hy4pMW

Описание организации (подразумевается IT компания, но описание универсальное) как параллельной системы, в которой действующим элементом является сотрудник. А дальше, используя подходы к управлению параллельных систем и их ограничений, теорию очередей, выводятся принципы функционирования организации и даются советы по обеспечению эффективности этого функционирования.

Лучший результат - линейный рост производительности с линейным ростом сотрудников - недостижим, по причине необходимости взаимодействия между сотрудниками, частями системы, поэтому производительность каждого сотрудника, с ростом их числа, должна увеличиваться, чтобы организация сохраняля свою эффективность. Другие советы тоже вполне логичны: больше локальной свободы, маленькие команды, максимально независимые задачи (есть критический кивок в сторону микросервисов).

Нюансы как всегда в мелочах, даже в технических решениях не может быть ничего идеального, а с людьми тем более - пределы ускорения, конвейеризации, специализации и распараллеливания задач в коллективе настолько индивидуальны, насколько успех и неудача каждой отдельной компании индивидуальна о чём автор и говорит в самом начале, умоминая что нет инструмента и подхода, вроде Agile, к успешности, но потом находит свои факторы, определённо значимые и правдивые, но не гарантирующие успех.

Новый инструмент для наблюдения за инцидентами BGP - BGP Watch и презентация его возможностей в блоге APNIC.

На некоторые Nexus завезли возможность дампить трафик который попал под фильтры CoPP, чтобы достоверно определить что, всё-таки, вызывает проблему, не гадая только по количеству дропов.

Иcтория Juniper от Pradeep Sindhu сооснователя Juniper (pdf) через изобретение пакетных процессоров и осознанного выбора IP и Интернет - ода инженерам.

Презентация нового инструмента на OARC 42 для определения версии DNS сервера. Проверить насколько хорошо получается, можно скачав всё нужное с Github.

240.0.0.0/4 ещё не оставляют надежды откопать, кто-то это уже сделал. Слишком поздно, будущее не только наступило, оно уже прошло для этого блока, при том что IPv6 продолжает тихо плакать в сторонке.

На прикреплённой картинке видно что интерес к этому есть - это просмотры моей статьи на Habr про НСДИ, не самой интересной и понятной, но технической, в моменте набравшей по просмотрам больше чем за предыдущие три года, что вывело её на первое место в поисках по запросу "НСДИ", кстати, есть и продолжение. При том проблема была вообще не с НСДИ, просто этот термин упомянули.

Из того что можно вычленить - на Пиринговом форуме регулярно поднимают тему DNS в России, в позапрошлый раз прямо можно было увидеть панели мониторинга и услышать как это устроено в докладе Павла Храмцова и видео. А на ЦМУ ССОП есть раздел с отчётами, где каждый месяц публикуют много и подробно, про национальную систему доменных имён в том числе, за Январь пока ещё не выложили.

Аварии случаются и в этом нет ничего необычного, но хорошо бы чтобы опыт из них извлекаемый, был полезен всем кто хочет на нём учиться, а не только тем кто на нём уже научился.

Знаете что меня больше всего расстраивает во всей это истории с DNSSEC в RU и не только с DNSSEC - это невозможность получить объективную, технически грамотную и полную информацию о том как всё это устроено и если что-то происходит, о том что произошло. Да любую информацию: на ТЦИ нет вообще новостей про то что случилось, на ЦМУ ССОП только сам факт аварии и что всё починили.

Кто занимается расследованием, ведётся ли оно, будет ли отчёт? В РБК говорят, что он уже есть и разослан по регистраторам, но техническое сообщество, и людей которые в будущем его могут пополнить, и которые зависят от Интернета - гораздо больше, и чем больше информации доступно, надо признать не по самой популярной теме, тем больше вероятность, что это сообщество продолжит оставаться профессиональным и дальше, а для этого надо информацией делиться.

DHCPv6 PD, настройки со стороны абонента и провайдера. На cisco.com про то же, но чуть более формально и без дампов.

"Заставь дурака Богу молиться, он и лоб расшибёт" - от 8% до 10% всех BGP UPDATE это изменения community после проверки ROV у крупных Интернет игроков. Проект с пылу с жару, возможно, будущего BCP, что так делать категорически нельзя, с выводами, мотивацией и примерами. Хочешь проверять префиксы по RPKI - делай это сам, не надеясь на чужой труд. А то что во всём нужна мера и понимание что мы от этого хотим, касается не только этого случая и BGP, а вообще всего. И на всякий случай проверить границу свой сети, чтобы внутренние community наружу не улетали.