Серверная Админа | Компьютерные сети

👋 Привет, сетевой друг!

Сегодня поговорим об инструменте netshoot

🟣Что это: netshoot — это такой специальный Docker-образ с набором всех-всех нужных инструментов для сетевой отладки: tcpdump, dig, ip, nmap, traceroute, nsenter, ethtool, ss и десятки других. Работает в Kubernetes и Docker, позволяет заходить в сетевые неймспейсы других контейнеров и проводить отладку там, где ничего не установлено.

🟣Почему стоит потестить: Когда в проде «что-то не так с сетью», а установить утилиту нельзя, netshoot запускается за секунды и анализирует трафик, маршруты, DNS, NAT и сетевые баги изнутри пода или даже снаружи, заходя в чужой namespace. Умеет использовать сетевой namespace хоста - без установки софта на сам хост.

🟣Где пригодится: Kubernetes, Docker Swarm, CI/CD пайплайны, кластеры с CNI-сетями (Calico, Cilium, Flannel), edge-инфраструктура и любые DevOps-сценарии. Особенно когда есть подозрение на DNS, MTU, iptables или маршруты.

Серверная Админа | #Инструмент

Идеальный NAS на 8 NVME дисков. Обзор Terramaster F8 Plus

В статье разбор необычного NAS на 8 NVMe-дисков: у него компактный корпус, тихие вентиляторы, 10Гбитный Ethernet и процессор Intel i3 N305. Автор делится опытом, почему это решение классно подойдет для быстрых локальных задач, чем оно похоже на Mac Pro, и где вас может поджидать небольшой подвох с апгрейдом памяти 🧐

Серверная Админа | #Статья

📝 Нашёл схему, которая показывает, как маршрутизируются пакеты в разных сетевых сценариях:

🟣Shortest Path Routing — выбирается путь с наименьшей «стоимостью» (весом). Быстро и удобно, особенно для классических сетей.

🟣Strict Source Routing — отправитель чётко задаёт весь маршрут. Полный контроль, но мало гибкости.

🟣Segment Routing — указывается последовательность узлов, через которые нужно пройти. Компромисс между контролем и масштабируемостью.

🟣ECMP Routing — Equal-Cost Multi-Path: трафик распределяется по нескольким путям с одинаковой стоимостью. Отлично для балансировки нагрузки.

Серверная Админа | #network

Траблшутинг или полный рестарт?)

👨‍💻Серверная Админа | #мем

👋 Привет, сетевой друг!

Расскажу, как обновить MikroTik через консоль без Winbox.

🟣Начнем с выбора канала для обновлений. Лучше всего юзать стабильный канал current, так как он проверен и попросту надежен:

system package update set channel=current

Если хочется быть немного рискованными и потестить новые фичи, можно выбрать release-candidate. Однако, будьте осторожны, в «продакшн» системах этот вариант, точно не лучший:

system package update set channel=release-candidate

🟣Теперь проверим, доступны ли обновления:

system package update check-for-updates

Если система нашла новую версию, загружаем обновление:

system package update download

🟣Обновление будет установлено при перезагрузке устройства. Для этого просто вводим команду:

system reboot

Серверная Админа | #Mikrotik

👋 Привет, сетевой друг!

Расскажу о старом протоколе Telnet.

🟣Начало: Telnet появился в 1973 году и стал универсальным способом подключиться к удалённым хостам через командную строку. С ним работали все: системные админы, сетевики, разработчики. Это был дефолтный инструмент в арсенале.

🟣Как использовался: Telnet работал поверх TCP и позволял открывать сессию с удалённым устройством: от сервера до маршрутизатора. Без всяких лишних проверок или шифрования: IP, порт, логин, пароль - и готово.

🟣Почему устарел: Вся передача шла в открытом виде, вообще вся: даже включая пароли. С ростом интернета и увеличением атак это стало ну довольно критичным. Telnet оказался слишком уязвим, особенно для публичных и продакшен-сетей. MITM-атаки, перехват данных, автоматические сканеры - всё это сделало Telnet небезопасным.

🟣Что вместо него: SSH (Secure Shell) стал логичным преемником — шифрование, ключевая аутентификация, защита от перехвата и расширенные возможности. Сегодня SSH по сути стандарт для большинства задач.

Серверная Админа | #Telnet

👋 Привет, сетевой друг!

Сегодня разберём настройку DHCP Failover на MikroTik.

🟣Сценарий: Основной MikroTik выдаёт IP, резервный «дежурит». Если основной отвалится — резервный подхватит DHCP.

🟣Настройка основного роутера:

/ip dhcp-server
add name=dhcp1 interface=bridge lease-time=1h address-pool=dhcp_pool

Создаём DHCP-сервер на основном роутере.

/ip dhcp-server network
add address=192.168.88.0/24 gateway=192.168.88.1

Указываем подсеть и шлюз.

/ip dhcp-server lease
add address=192.168.88.10 mac-address=XX:XX:XX:XX:XX:XX comment="резервный MikroTik"

Закрепляем IP за резервным MikroTik.

🟣Настройка резервного роутера:

/ip dhcp-client
add interface=ether1 use-peer-dns=no add-default-route=no

Резервный получает IP от основного, но не трогает маршрут по умолчанию.

/ip dhcp-server
add name=dhcp2 interface=bridge lease-time=30m address-pool=dhcp_pool disabled=yes

Настраиваем DHCP, но пока отключаем — он включится только при отказе основного.

🟣Скрипт мониторинга:

/system script
add name=dhcp-failover policy=read,write,test source="
:if ([/ping 192.168.88.1 count=3]=0) do={
 /ip dhcp-server enable dhcp2
} else={
 /ip dhcp-server disable dhcp2
}"

Пингуем основной роутер. Если не отвечает — включаем резервный DHCP, иначе отключаем.

🟣Планировщик:

/system scheduler
add name=failover-check interval=1m on-event=dhcp-failover

Запускаем скрипт каждые 60 секунд.

Серверная Админа | #DHCP

XTLS Reality Steal + Shadowsocks2022. Настройка Ubuntu, Docker и масштабирование с помощью Subcriptions

В этой статье разбирается, как поднять прокси-сервер с XTLS Reality Steal и Shadowsocks2022 на Ubuntu. Всё завёрнуто в Docker, чтобы можно было развернуть за пару команд. Reality отвечает за маскировку трафика под TLS, Shadowsocks2022 — за надёжное шифрование. Осталось добавить поддержку подписок, и получим решение, которое легко масштабируется и работает «из коробки».

Серверная Админа | #Статья

👋 Привет, сетевой друг!

Сегодня поговорим об инструменте Dnsmasq

🟣Что это: Dnsmasq — это лёгкий DNS и DHCP-сервер, который можно запускать хоть на роутере, хоть в виртуалке. Он умеет работать как DNS-кеш, выдавать DHCP-аренды (IPv4 и IPv6), делать PXE-загрузку и даже разруливать DNS для VPN-доменов. И кстати, он поддерживает DNSSEC, TFTP, RA и может читать имена из /etc/hosts.

🟣Почему стоит потестить: Прост в настройке, не жрёт ресурсы, легко встраивается в любые среды: от домашних сетей до виртуализации. Поднимается за пару минут, работает месяцами. PXE и DHCP — в одном месте.

🟣Где пригодится: В домашних и тестовых сетях, на виртуалках, в офисных роутерах, на кастомных прошивках (OpenWRT, pfSense), при раздаче IP для KVM/libvirt или LXC, при автозагрузке машин по сети.

Серверная Админа | #Инструмент

Помни, админ: не смотри в оптическое волокно оставшимся глазом

👨‍💻Серверная Админа | #мем

📝 Как работает WAF по шагам

1️⃣Юзер отправляет запрос: вы заходите на сайт, кликаете по кнопке, и браузер отправляет HTTP-запрос. Но он не сразу попадает на сервер. Сначала к WAF.

2️⃣WAF перехватывает трафик: Он разбирает запрос на части: заголовки, URL, куки, тело. Это как вскрыть посылку и проверить, что внутри — прежде чем вручить адресату.

3️⃣Проверка на атаки: Сравнивает запрос с базой опасных шаблонов: SQL-инъекции, XSS, обходы авторизации и прочее

4️⃣Анализ поведения: Смотрит, как ты себя ведёшь. Если слишком часто запрашиваешь страницы, кликаешь по API, притворяешься ботом — подозрительно.

5️⃣Изучение содержимого: Просматривает тело запроса. Даже если оно закодировано — WAF его расшифрует и проверит на вредоносный код.

6️⃣Обнаружение аномалий: Даже если атака новая и не из базы WAF может заметить странную активность: резкий всплеск трафика, неожиданные параметры.

7️⃣Решение: Безопасный запрос идёт дальше - на сервер. Вредный - блокируется, а пользователь видит ошибку или капчу. Всё логируется.

8️⃣Ответ снова через WAF: Сервер формирует ответ, но и он идёт через WAF. На случай, если снаружи что-то вмешалось. Только потом тебе в браузер.

9️⃣Логи и отчёты
WAF: сохраняет все действия. Это помогает администраторам понять, что происходит, и усилить защиту, если нужно.

1️⃣0️⃣Где работает WAF: Он может быть «в облаке», прямо на сервере или на границе сети. Главное встать между пользователем и приложением.

Серверная Админа | #WAF

👋 Привет, сетевой друг!

Сегодня разберём, как с помощью BBR можно прокачать скорость твоих TCP-соединений.

🟣BBR — это современный алгоритм, который оптимизирует использование пропускной способности и прямо заметно уменьшает задержки, классно подходящий для серверов с нестабильными сетями.

🟣Включаем BBR на сервере Linux: Не теряем время и включаем BBR за пару команд:

sysctl -w net.ipv4.tcp_congestion_control=bbr

Как проверить, что BBR активен:

sysctl net.ipv4.tcp_congestion_control

🟣Что происходит в TCP: команда покажет, сколько пакетов отправлено, потеряно или повторно передано.

netstat -s | grep "TCP"

🟣Настройка буферов для макс. скорости. Делаем это так:

sysctl -w net.ipv4.tcp_rmem="4096 87380 16777216"
sysctl -w net.ipv4.tcp_wmem="4096 87380 16777216"

Увеличиваем максимальное количество подключений:

sysctl -w net.core.somaxconn=1024

🟣Делаем BBR главным: Иногда на сервере работают несколько алгоритмов, и нужно убедиться, что только BBR используется для управления трафиком:

sysctl -w net.ipv4.tcp_available_congestion_control="bbr"

Теперь все остальные алгоритмы, как Cubic или Reno, могут быть отключены, и твой сервер будет работать только с BBR.

🟣Мониторим работу BBR: Не забываем следить за тем, как работает BBR. Смотрим, сколько соединений используют BBR для обработки запросов.

ss -t -o state established '( sport = :http or sport = :https )'

Что делать, если нужно выключить BBR:

sysctl -w net.ipv4.tcp_congestion_control=cubic

Теперь сервер снова будет использовать Cubic, как по умолчанию.

Серверная Админа | #BBR

👋 Привет, сетевой друг!

Сегодня поговорим о 5 лайфхаках, которые помогут сэкономить время при работе в командной строке Cisco IOS.

🟣exec-timeout 0 0: Устранение таймаутов для сессий на консоли и VTY. Ставите на ноль, и больше не паритесь о потерянных соединениях. Только для лабораторий — в продакшн-среде это не самый лучший выбор…

🟣logging synchronous: вас когда-нибудь отвлекали сообщения Syslog, прерывая ввод команды? Вот эта команда решит проблему. Теперь вывод Syslog будет только после завершения ввода, а не во время его набора.

🟣no ip domain-lookup: Отключите ненужный DNS-lookup при ошибках в командах. IOS больше не будет пытаться интерпретировать опечатки как DNS-запросы.

🟣alias exec: Часто используете длинные команды? Создайте для них псевдонимы🤔 Например, alias exec src show run | s router — теперь вместо длинной команды вводите просто src.

🟣Сохраненная начальная конфигурация: Вместо того чтобы каждый раз вводить стандартные настройки после сброса, просто сохрани их в файл и вставляйте в консоль при старте устройства.

Вот например такой конфиг:

conf t
line con 0
exec-timeout 0 0
logging synchronous
exit
line vty 0 15
exec-timeout 0 0
logging synchronous
exit
no ip domain-lookup
alias exec src show run | s router
alias exec sib show ip interface brief
end

Серверная Админа | #Cisco

Побег от WSL или как превратить старый ноутбук в домашний сервер для хранения данных и удаленной работы

В этой статье автор делится личным кейсом побега от тормозящего WSL на основном ноуте: старенький ASUS превратился в домашний Linux-сервер с Ubuntu Server 24.04, XFCE и удалённым доступом по RDP. Что внутри? Docker с Superset и JupyterLab, Samba-папка для всей семьи и автоматические бэкапы в облако. Получился лёгкий, автономный и надёжный мини-сервер, который работает тихо, стабильно и не мешает основной машине.

Серверная Админа | #Статья

👋 Привет, сетевой друг!

Сегодня поговорим об инструменте pmacct

🟣Что это: pmacct может собирать NetFlow, sFlow, IPFIX, BGP, BMP, Telemetry и даже делать GeoIP. Он умеет очень и очень многое: от простого учёта трафика до глубокого анализа маршрутов и туннелей. Хочешь обогатить флоу данными BGP? Да без проблем. Надо писать в PostgreSQL, Kafka или даже в RabbitMQ? Не вопрос.

🟣Почему стоит потестить: Это не тупо парсер, а целая платформа: модульная архитектура, поддержка DPI через nDPI, встроенная поддержка RPKI и даже IS-IS. Работает стабильно на Linux и BSD, можно встраивать в большие сетевые пайплайны.

🟣Где пригодится: ISP, дата-центры, облака, SDN, CDNs, IXP — везде, где трафика много и нужен порядок. pmacct легко встраивается в мониторинг, биллинг, форензику и визуализацию.

Серверная Админа | #Инструмент

Когда опять не пришел ACK…

👨‍💻Серверная Админа | #мем

📝 Нашёл схему, которая показывает, как развивались сетевые технологии за последние 50 лет

🟣1969 — ARPANET
Начало всему — первый предок интернета, запущенный в рамках проекта Минобороны США.

🟣1983 — DNS
Появление системы доменных имён. До этого IP-адреса приходилось запоминать вручную.

🟣1989 — Протокол BGP
Позволил объединять автономные системы. Без него глобального интернета не было бы.

🟣1993 — Mosaic
Первые шаги в веб-сёрфинге. Именно этот браузер сделал интернет доступным обычным пользователям.

🟣1998 — IPv6
Ответ на нехватку IPv4. Несмотря на появление более 25 лет назад, до сих пор внедряется не везде.

🟣2006 — AWS и облака
Amazon запускает облачные сервисы — с этого момента IT-инфраструктура начинает активно уходить в «облако».

🟣2021 — Starlink
Низкоорбитальный спутниковый интернет от SpaceX — шаг к глобальному покрытию даже в самых глухих уголках планеты.

Серверная Админа | #network

👋 Привет, сетевой друг!

Сегодня расскажу про 5 полезных фильтров Wireshark, которые могут упростить твою диагностику сетевых проблем.

🟣ip.addr == 10.0.0.1: Покажет весь трафик, где 10.0.0.1 — это либо источник, либо получатель. Отлично для отслеживания активности на конкретном IP.

🟣ip.src == 10.0.0.1 && ip.dst == 10.0.0.2: Фильтрует трафик только между двумя конкретными адресами — идеальный фильтр для анализа связи между двумя устройствами.

🟣icmp.type == 3: Покажет все ICMP-пакеты с типом “destination unreachable”. Полезно, когда нужно диагностировать проблемы с маршрутизацией или доступностью.

🟣tcp.flags.syn == 1: Отфильтрует только TCP-пакеты с установленным флагом SYN, что поможет понять, кто пытается установить соединение, и где могут быть проблемы с подключением.

🟣http.response.code == 404: Покажет все HTTP-пакеты с кодом ошибки 404. Это поможет выявить страницы, которые не существуют на сервере, и исправить их.

Серверная Админа | #network

👋 Привет, сетевой друг!

Сегодня поговорим, как найти и исправить проблемы с очередями TCP на сервере с помощью sysctl и netstat.

🟣Проблемы с очередями TCP? Это может быть связано с перегрузкой буферов или неправильными настройками очередей на сервере.

🟣Как диагностировать: Первым шагом используем команду netstat -s для анализа статистики TCP-соединений. Она покажет, сколько пакетов было потеряно из-за переполнения очереди или других проблем:

netstat -s | grep "TCP"

Ищем такие строки, как:
• TCP OutRsts — количество сброшенных соединений,
• TCP RetransSegs — количество повторных сегментов, что может указывать на проблемы с производительностью.

🟣Что еще проверим? Используем sysctl для анализа текущих параметров TCP. Выполняем команду:

sysctl -a | grep tcp

🟣Как исправить: Если видим проблемы, можно скорректировать настройки с помощью sysctl. Для увеличения размера очередей и буферов используем:

sysctl -w net.ipv4.tcp_rmem="4096 87380 16777216"
sysctl -w net.ipv4.tcp_wmem="4096 87380 16777216"

Эти параметры увеличивают размеры буферов для входящих и исходящих данных, что особенно полезно на серверах с высокоскоростными каналами. При этом:
• 4096 — минимальный размер буфера,
• 87380 — идеальный размер для большинства ситуаций,
• 16777216 — максимальный размер буфера.

🟣Что еще можно: Если сервер обрабатывает большое количество соединений, стоит обратить внимание на параметр net.core.somaxconn, который задает максимальное количество очередей для входящих соединений:

sysctl -w net.core.somaxconn=1024

🟣Что еще можно сделать: Чтобы увидеть, сколько очередей работает на сервере, используем:

netstat -anp | grep :80

Это покажет активные TCP-соединения на порту 80, если это веб-сервер. Смотрим на количество соединений и задержек.

Серверная Админа | #TCP #sysctl