DevOps by REBRAIN

☕️ IT-сводка нескучных новостей: обновления ядра каждую неделю, взлом дорожной камеры, systemd собирает отчёты сам

🟢Ubuntu объявила о переходе на еженедельный выпуск обновлений ядра

С 28 сентября Canonical переводит обновления ядра на перекрывающиеся двухнедельные циклы, из-за чего новое ядро выходит фактически каждую неделю. Количество CVE взорвалось, и старая схема перестала за ним успевать. Отложить апгрейд на следующий квартал больше не выйдет, а нетерпеливым предлагают тянуть непротестированные сборки из -proposed на свой страх.


🟢NTFS-3G обновился, и Linux всё ещё держит на плаву чтение дисков из Windows

18 сентября вышел NTFS-3G 2026.9.18, свежий апдейт FUSE-драйвера, через который Linux читает и пишет диски в формате NTFS. Без него не обходится ни один сисадмин, восстанавливающий данные с диска. Драйверу третье десятилетие, а он всё ещё в строю. Пока Microsoft несёт ls и cat в Windows, комьюнити с обратной стороны латает мост к дискам самой Windows.

🟢CERN перевёл 2200+ систем управления ускорителями на бесплатный Debian

Debian 13 Trixie раскатали больше чем на 2200 систем управления в CERN, тех самых, что рулят ускорителями частиц. Пока в интернете спорят, какой дистрибутив серьёзный, крупнейший физэксперимент планеты ставит бесплатный комьюнити-дистрибутив в прод. Лучший отзыв для ОС это Большой адронный коллайдер, работающий на ней.

🟢systemd научился сам собирать отчёты о состоянии сервера

В systemd появился systemd-report, инструмент, который собирает системные факты и метрики в единый JSON с временными метками для мониторинга и управления парком машин. Раньше такой снимок состояния сисадмин склеивал руками из десятка команд, чтобы приложить к тикету. systemd продолжает поглощать соседние задачи, теперь очередь дошла до диагностики.

🟢Взломали одну спасательную камеру Flock и за 21 день выкачали 1,6 миллиона снимков

Хакеры сняли один считыватель автомобильных номеров Flock и слили его данные. Из одной вскрытой железки за три недели набралось 1,6 миллиона изображений. Систему ставят ради безопасности на дорогах, а одна плохо защищённая камера открыла архив на миллионы кадров с номерами и перемещениями машин.


🔥Если рубрика была интересной, поставь реакцию. В нашем чате можно обсудить все новости)

Интенсив «Системный траблшутинг» с Васей Озеровым стартует уже на следующей неделе, собрали ответы на частые вопросы и коротко рассказали, как всё будет.

За 6 живых эфиров с Васей ты разберёшь путь запроса и пакета через всю систему: от сети в Linux до Kubernetes и мониторинга. Научишься находить причину сбоя по трёхшаговому алгоритму, разберёшь проблемы с MTU/MSS через tcpdump, настроишь лимиты cgroups против throttling и OOM kill, отладишь жизненный цикл подов в Kubernetes для деплоя без потери трафика и построишь мониторинг на Prometheus, который не пропускает короткие инциденты.

Отвечаем на вопросы👇🏼

🟢Нужен ли опыт до старта?

Специальной подготовки по траблшутингу не требуется, но пригодятся базовые навыки администрирования Linux и командной строки, понимание сетей (TCP/IP, DNS, маршрутизация) и опыт работы с Docker и Kubernetes хотя бы на базовом уровне.

🟢Чем интенсив отличается от курса?

Интенсив устроен как короткий, плотный формат: живые вебинары за пару недель, нацеленные на конкретный навык. Курс, наоборот, рассчитан на долгое самостоятельное прохождение.

🟢Что если пропущу эфир?

Все вебинары записываются, записи и материалы остаются в личном кабинете навсегда.

🟢Есть ли поддержка на интенсиве?

Да, ты будешь в закрытом Telegram чате с Васей и другими участниками, там можно обсуждать рабочие кейсы. Также все практические работы будут с обратной связью от Васи.

🟢Какая практика ждёт на интенсиве?

Будешь работать на реальных стендах, симулирующих аварии, и готовить отчёты по траблшутингу, которые вручную проверит преподаватель.

📆 Начало занятий — 29 сентября

🎁 Скидка 3 000 руб еще действует.

↘️ Узнать подробности и занять место

✉️ Чтобы получить дополнительную скидку, если у вас остался промокод с Васиного вебинара, напиши нашим менеджерам в телеграм, они подробно расскажут о программе и помогут с оплатой.

Траблшутинг — мастхэв компетенция для инженера

Мы открыли доступ к 8 траблшутингам. Если ты не успел поучаствовать, пока они шли в синхронном формате, теперь их можно пройти в любое время и в своём темпе.

Перед стартом три приёма, которые помогают быстрее найти причину сбоя:

🟢 зафиксировать симптом и вспомнить, что менялось перед сбоем
🟢 проверять по одной гипотезе за раз, чтобы понимать, что именно сработало
🟢 сначала читать логи и события, и только потом что-то перезапускать

Как устроен траблшутинг: ты получаешь доступ к инфраструктуре, в которой что-то сломано, твоя задача найти проблему и устранить её как можно быстрее. После финиша можно посмотреть запись вебинара с разбором и сравнить свой путь с решением автора.

Какие траблшутинги можно пройти бесплатно на платформе:

Kubernetes
↘️ Ghosty Kubernetes
↘️ Kubernetes Hardcore
↘️ Лог, сервис и мёртвый под

Linux
↘️ Linux & Systemd
↘️ Поиск и устранение неисправностей ФС в Linux

Веб и сервисы
↘️ Nginx Reverse Proxy Hardcore
↘️ WebApp Gateway Timeout
↘️ Почтовая система

🔥Выбирай, с какой системы начать, жми «Начать бесплатно» на странице траблшутинга и регистрируйся на платформе.

Hermes Agent изнутри: архитектура, память и практическое развёртывание

У автономного агента одновременно крутятся cron-джобы, Telegram-шлюз и три файла памяти. Но что на самом деле попадает в промпт LLM на каждом шаге, обычно никто не видит.

На вебинаре разберём Hermes Agent целиком: от agent loop до логов в LangFuse, где виден реальный состав контекста.

Что будет:

🟢устройство агента: agent loop, gateways, тулы, скиллы и cron jobs
🟢практика сборки: установка Hermes Agent, настройка скиллов и Telegram Gateway
🟢иерархия памяти: MD-файлы (SOUL.md, USER.md, MEMORY.md), история сессий в SQLite и логика сжатия контекста
🟢инспекция запросов: подключаем LangFuse и смотрим, из чего собирается итоговый промпт на каждом шаге

Ведёт Марк Кудрицкий, основатель консалтинговой компании Tagora Studio, part-time преподаватель в George Brown College в Торонто (основы IT и ML).

📆 Завтра, 23 сентября в 19:00 мск

↘️ Зарегистрироваться бесплатно

Если хочешь понять, что реально происходит внутри агента, заходи 😉

На прошлой неделе завершили траблшутинг WebApp Gateway Timeout с Васей Озеровым. Спасибо за отзывы и пожелания, будем делать ещё! Часть отзывов собрали в карточках выше.

Если хочешь прокачать этот навык уже системно, у нас есть интенсив «Системный траблшутинг», который тоже проводит Вася.

Ты научишься:

🟢применять трёхшаговый алгоритм локализации инфраструктурных сбоев
🟢находить сетевые аномалии, проблемы с MTU/MSS и блокировки PMTUD
🟢настраивать лимиты cgroups и рантайм, чтобы не ловить throttling и OOM kill
🟢отлаживать жизненный цикл подов в Kubernetes для деплоя без потери трафика
🟢строить мониторинг, который не пропускает короткие инциденты

Программа живых классов:

29.09 - Алгоритм траблшутинга
06.10 - Сеть в Linux: путь пакета и размер пакета
13.10 - Процесс внутри cgroup: лимиты, рантайм и пул
20.10 - Kubernetes: трафик и жизненный цикл пода
27.10 - Путь версии: от коммита до продакшена
03.11 - Путь метрики: почему прибор не видит происходящего

🟡 Старт — 29 сентября

↘️ Узнать подробности и занять место

☕️ IT-сводка нескучных новостей: Nvidia покупает Hugging Face, дефолтные пароли текут, консоль на пенсии

🟢Nvidia купила за 13 миллиардов ту самую платформу, которую пару месяцев назад взломали AI-агенты OpenAI

3 сентября Nvidia официально закрыла покупку Hugging Face за 12,93 миллиарда долларов, это её крупнейшая сделка в истории. Ирония в тайминге: летом эту же платформу без человека пробили агенты OpenAI, а стартап десять лет назад назвали в честь эмодзи «обнимашки». Производитель GPU, построивший капитализацию на железе, теперь владеет и главным складом опенсорсных моделей.

🟢У AI-шлюза каждой десятой компании админский пароль так и остался «sk-1234» из инструкции

10 сентября Wiz Research отчиталась: почти каждый десятый LiteLLM-сервер в интернете принимает ключ sk-1234, тот самый пример из официального гайда по установке. Это админский пароль шлюза между приложениями и платными провайдерами моделей. Кто им владеет, читает весь трафик и жжёт чужие токены. Дефолт из документации снова оказался открытой дверью в прод.

🟢Fedora выкинула текстовую консоль Linux, которая жила в ядре с девяностых

15 сентября вышла бета Fedora 45, и главный сюрприз в том, что легендарную in-kernel консоль, тот самый чёрный текстовый экран под Ctrl+Alt+F2, заменили на userspace-эмулятор kmscon. Штуку, которая работала практически без изменений с ранних лет Linux и не раз спасала сисадминов, когда графика падала, наконец отправили на пенсию. Получаем нормальные шрифты, юникод и мультисит, но привычка, когда все сломалось, уходи в tty, теперь работает иначе.

🟢PostgreSQL получил прозрачное шифрование данных, и ключи наконец живут снаружи

Вышел pg_vault_tde, движок прозрачного шифрования (TDE) для PostgreSQL 17 и 18: каждая строка шифруется AES-256-GCM до попадания в хранилище и расшифровывается на выходе, приложениям переписывать ничего не надо. Ключевая деталь в том, где лежат ключи, а лежат они снаружи базы, в HashiCorp Vault, OpenBao, на HSM или в PKCS#11-токене. Многолетняя боль, когда данные зашифрованы, но ключ валяется рядом, наконец закрывается штатно.

🟢Kubernetes выпиливает IPVS-режим kube-proxy, на котором сидят многие крупные кластеры

В Kubernetes режим IPVS в kube-proxy объявили устаревшим и убирают. На него в своё время массово переходили ровно потому, что старый iptables-режим не тянул тысячи сервисов на масштабе. Теперь тем, кто выбрал IPVS, снова предстоит миграция. Классический цикл: сегодняшний правильный выбор через пару релизов становится техдолгом.

🔥Если рубрика была интересной, поставь реакцию. В нашем чате можно обсудить все новости)

Практическое руководство по переходу на Nftables

Делимся записью вебианра с Николаем Лавлинским, который посвящен переходу со старой системы фильтрации IPTables (семейства X-tables) на современный инструмент ядра Linux — Nftables.

↘️ Смотреть в YouTube
↘️ Смотреть в ВК

Краткий конспект

1. Архитектура
Netfilter обрабатывает трафик в ядре Linux до 4-го уровня OSI. X-tables (iptables, ip6tables, arptables, ebtables) — разные утилиты и конфиги под каждый протокол. NFTables — одна утилита nft, один модуль ядра, общий конфиг для всех протоколов.

2. Почему NFTables лучше

— sets работают за O(1) вместо линейного роста времени как в iptables (нужен был отдельный ipset)

— таблиц и цепочек по умолчанию нет — создаёшь только нужное, а не предзаданный filter/nat/mangle

— семейство inet объединяет IPv4 и IPv6 в одном наборе правил

— одно правило может выполнять сразу несколько действий, конфиг применяется атомарно целиком

3. Проверка и миграция

iptables -V

nf_tables в выводе — бэкенд уже новый.

iptables-translate -A INPUT -p tcp --dport 22 -j ACCEPT
iptables-restore-translate -f ipt.rules > nft.rules

4. Базовая настройка

nft add table ip filter
nft add chain ip filter input { type filter hook input priority 0 \; policy accept \; }
nft add rule ip filter input tcp dport 22 counter accept
nft add rule ip filter input iifname "lo" accept
nft add rule ip filter input ct state vmap { established : accept, related : accept, invalid : drop }
nft chain ip filter input { policy drop \; }

Политику на drop переключаем после проверки разрешающих правил.

5. Handle вместо номеров правил

nft --handle list ruleset
nft delete rule ip filter input handle 2
nft insert rule ip filter input tcp dport 22 accept
nft replace rule ip filter input handle 2 tcp dport 22 ct state new accept

6. Sets — замена ipset

nft add set ip filter blackhole { type ipv4_addr \; flags interval \; }
nft add element ip filter blackhole { 1.1.1.1, 192.168.0.0/24 }
nft add rule ip filter input ip saddr @blackhole drop

7. NAT

nft add table ip nat
nft add chain ip nat postrouting { type filter hook postrouting priority 100 \; }
nft add rule ip nat postrouting oifname "enp1s0" masquerade
nft add rule ip nat prerouting iifname "enp1s0" tcp dport 80 dnat to 192.168.1.100

8. Персистентность

nft -s list ruleset > /etc/nftables.conf
systemctl enable nftables

Итог
Nftables заменяет весь стек x-tables (iptables, ip6tables, arptables, ebtables, ipset) одной утилитой и одним модулем ядра, даёт sets за O(1) и правила по handle вместо номеров.

Если хочешь узнать больше, начни с бесплатного демодоступа к практикумам:

🔥Начать Linux Basics

🔥Начать Linux: Анализ производительности и тюнинг

🔥Начать Повышение привилегий в Linux

Представьте, что это записанный кружочек от Васи 📹

🧑‍💻"Друзья, всем привет! Василий Озеров на связи! Сегодня жду всех в 7 вечера на открытом вебинаре. Будем разбирать задачку с нашего последнего траблшутинга. Поговорим про системную диагностику Gateway Timeout в веб-приложении, и как проверять гипотезы при разборе реального инцидента в Linux. Сегодня до самого эфира в рабочих созвонах, поэтому пишу вам тут. Скоро увидимся!"

↘️ Встретимся тут

Зачем инженерам траблшутинг?

Мы проводим траблшутинги уже несколько лет и раз за разом видим одно и то же: инструменты инженеры знают хорошо, а вот с быстрым поиском причины сбоя у большинства проблемы.

С чем сталкиваются чаще всего:

🟢аварию ищут наугад, и время простоя растягивается на часы
🟢крупные запросы зависают в VPN и туннелях из-за MTU/MSS
🟢контейнеры падают по OOM killer или тормозят из-за throttling, а увеличение лимитов не помогает
🟢при обновлении в Kubernetes часть трафика теряется, хотя пробы настроены
🟢пайплайн зелёный, а на проде крутится старая версия
🟢алерты не успевают сработать из-за неверного scrape interval в Prometheus

За каждым пунктом стоит конкретный механизм. MTU и MSS считаются по формуле, а не подбираются наугад. Лимиты cgroups настраиваются под рантайм конкретного приложения. PreStop хуки и правильный terminationGracePeriodSeconds сводят потерю трафика при деплое к минимуму. Scrape interval в Prometheus подбирается под длительность события, чтобы алерт срабатывал вовремя, а не после того, как сбой заметили пользователи.

Мы собрали эти механики и трёхшаговый алгоритм локализации: анамнез, гипотеза и проверка, план устранения. Все это Вася Озеров упаковал в интенсив по системному траблшутингу. Шесть живых занятий, на каждом реальный кейс с сетью, cgroups, Kubernetes или мониторингом, который разбираем от симптома до фикса.

Ставьте 🔥, если тоже считаете, что навыки траблшутинга важны

Если хочешь прокачаться в этом направлении, записывайся на интенсив к Васе 😉

↘️ Узнать подробности и записаться

🔥 Открыли демодоступ к новым практикумам: VictoriaMetrics, OpenSearch, Load Testing & Benchmarking, Golang и другим

Заходите на платформу, активируйте доступ, начинайте проходить и выполнять задания.

🟢 VictoriaMetrics
Развернёте кластер с репликацией, vmagent и vmauth и настроите мониторинг, который держит нагрузку там, где Prometheus упирается в лимиты.

🟢OpenSearch
Соберёте отказоустойчивый кластер из нескольких нод с TLS и RBAC, настроите Ingest Pipeline для парсинга логов и ISM-политики ротации индексов.

🟢Load Testing & Benchmarking
Спроектируете профиль нагрузки по логам Nginx и проведёте нагрузочное тестирование микросервисного приложения в JMeter и k6.

🟢Golang: Тестирование и качество кода
Настроите CI/CD-пайплайн с параллельными тестами, покрытием от 80% и статическим анализом через golangci-lint.

🟢Docker Base
Разберётесь в архитектуре Docker на уровне namespaces и cgroups, напишете многоэтапные Dockerfile и настроите изолированные сети для микросервисов.

🟢DevOps Container Expert
Соберёте весь продакшн-контур в одном треке из 10 модулей: Git, GitLab CI, Kubernetes, Helm, Argo CD, мониторинг и логи.

🟢Корпоративная почтовая система
Развернёте отказоустойчивую почтовую инфраструктуру на FreeIPA, Postfix, Dovecot и PostgreSQL под управлением Patroni и Kerberos.

🎁 В честь запуска — скидка -20% на эти программы до 27 сентября

Как активировать демо:
🟢 Переходите по ссылке курса, доступ откроется автоматически всем зарегистрированным пользователям платформы
🟢 Слева вы увидите, какие модули и блоки открылись
🟢 Проходите в своём темпе, выполняйте задания и знакомьтесь с платформой

Сентябрь подходящий месяц, чтобы наверстать то, что откладывал все лето. Выбирай практикум и начинай🤍

📚 Открыли теорию на Васином траблшутинге - осталось буквально несколько дней, чтобы решить задачу

Что интересного узнаешь в теоретическом блоке:

• Policy Routing (PBR) и база правил ip rule
• Фильтрация трафика на основе метаданных сокета в nftables
• Сетевая фильтрация в systemd на основе cgroups v2
• Реализация фильтрации через eBPF и особенности работы tcpdump

Что нужно сделать сейчас:

1️⃣ Получить бесплатно доступ к траблшутингу на платформе, создать окружение и вернуть приложение в рабочее состояние

2️⃣ Зарегистрироваться на эфир Васи Озерова с разбором задачи, 17 сентября 19:00-21:00 мск, где он разыграет оставшиеся призы среди участников

Траблшутинг доступен до 16 сентября, времени совсем немного ⌛️

☕️ IT-сводка нескучных новостей: складной айфон за две зарплаты, облако на своём кремнии и сбежавшие агенты

🟢«Группа Астра» запустила первое в России облако целиком на отечественных процессорах

«Астра» подняла Astra Cloud на процессорах «Байкал-С», и это первое российское облако, где отечественное всё, от кремния до сервиса. До этого Cloud.ru, «Яндекс», VK и «Ростелеком» строили облака на Intel Xeon и AMD EPYC, то есть железо оставалось импортным, даже когда софт и дата-центр были свои. Компания честно называет это не столько коммерческим продуктом, сколько заявкой на стандарт. Вопрос, выдержит ли своё железо реальную прод-нагрузку, проверит первый же крупный клиент.

🟢1200 агентов OpenAI сбежали из песочницы и оставили друг другу 18 тысяч сообщений на самодельной доске

26 августа OpenAI выпустила 37-страничный отчёт о том, как её агенты пробили платформу Hugging Face. Между маем и июлем как минимум 1200 агентов в тестовой среде сами, без человека, устроили скоординированную атаку: подняли импровизированные доски объявлений, чтобы договариваться о побеге из изоляции, и накопили на них сотни тысяч сообщений, прежде чем это заметили. Когда OpenAI зачистила доску и перезапустила инфраструктуру, агенты через два дня подняли переписку заново, уже другим способом. Модель, участвовавшая в атаке, была настроена работать без штатных предохранителей.

🟢«Магнит» первым из крупных ритейлеров слез с GitLab на российский GitFlic

«Магнит» стал первым крупным ритейлером, кто внедряет GitFlic, российскую альтернативу GitLab. История встаёт в один ряд с майским заявлением депутата, что с GitHub пора уезжать, и с проблемами доступа к нему из России. Пока одни спорят, что там с GitHub, крупный бизнес уже переносит репозитории, потому что закладываться на зарубежный хостинг в критичном месте стало слишком рискованно.

🟢Три крупнейших AI-сервиса легли в один день, ровно когда OpenAI показывала новую модель

3 сентября одновременно посыпались ChatGPT и Codex у OpenAI, Claude у Anthropic и Grok у xAI. Совпадение оказалось таким плотным, что сразу поползли догадки про общий облачный сбой или атаку, но доказательств связи между инцидентами так и не нашли. Anthropic и xAI подняли свои системы, OpenAI дольше всех оставалась в статусе деградации. Сбой пришёлся на тот же день, когда OpenAI представила GPT-6 Astra.

🟢Apple наконец показала складной айфон и догнала Samsung спустя семь лет

9 сентября Apple представила свой первый складной айфон вместе с iPhone 18 Pro. Ценник стартует примерно с 2000 долларов за версию на 256 ГБ, что делает его самым дорогим айфоном в истории, а старшие конфигурации подбираются к 2500–3000. Внутри экран 7,8 дюйма без обещанной складки, снаружи 5,5, две камеры и вернувшийся вместо Face ID Touch ID. Складные телефоны Samsung делает с 2019 года, так что Apple зашла на рынок последней, зато с самым дорогим устройством и обещанием, что уж её-то шарнир не оставит складку на экране.

🔥Если рубрика была интересной, поставь реакцию. И пиши в нашем чате, купил бы себе новый девайс от эпл?)

Если вы не нашли тему, которая вам интересна, то можете написать в форме 👈

⌛ Осталось 5 дней до завершения траблшутинга, еще есть время решить задачу и поучаствовать в розыгрыше

В новом симуляторе инцидента ты останешься один на один со сломанной инфраструктурой: Nginx, Go-приложение и PostgreSQL отказываются общаться друг с другом, хотя каждый сервис запущен и рапортует об успехе. Твоя задача - восстановить связность трехкомпонентного веб-приложения на изолированной виртуальной машине.

Что нужно сделать сейчас:

1️⃣ Получить бесплатно доступ к траблшутингу на платформе, создать окружение и вернуть приложение в рабочее состояние

2️⃣ Зарегистрироваться на эфир Васи Озерова с разбором задачи, 17 сентября 19:00-21:00 мск, где он разыграет оставшиеся призы среди участников

Всем удачи 🤍