ServerAdmin.ru

Я анонсировал ранее подборку сайтов IT блогеров со статьями на различные темы, связанные с настройкой и эксплуатацией IT систем. Собралось небольшое сообщество авторов. Полный список сайтов будет в конце. А пока анонс новых статей тех авторов, кто согласился участвовать и прислал свои материалы. 

❗️Напомню, что основной смысл моей инициативы - поддержать донатами тех авторов, кого вы посчитаете нужным и у кого будут возможности для этого на сайте.

⇨ Тонкая настройка .zshrc при использовании oh-my-zsh
Пример настройки популярной оболочки для Linux - ZSH. Речь идёт о расширении функциональности с помощью oh-my-zsh. Я, кстати, не любитель настраивать оболочки. Всё время пользуюсь bash, а все изменения сводятся к настройке некоторых алиасов. Я даже prompt (строка-приглашение перед вводом команды) не настраиваю, использую по умолчанию.

🔥 Передаём логи в Graylog с помощью Rsyslog
Передача на сервер Graylog логов от серверов Linux и роутеров Mikrotik. Саму установку и настройку Graylog автор рассматривал отдельно. Graylog - это альтернатива ELK Stack и Loki. Он проще в настройке, чем ELK, но под капотом там тот же elasticsearch.

⇨ Платформа для управления секретами Infisical
Установка и базовая настройка централизованной open source платформы для управления секретами.

🔥 Организация файловых бэкапов с удаленным хранилищем с помощью restic
Интересная инструкция по использованию Restic для бэкапов. В качестве сервера используется rest-server, а в качестве агентов на хостах - resticker.

⇨ Planka. Развёртывание. В Docker-контейнерах. С помощью Ansible-ролей
Инструкция по установке Planka - очень близкий аналог Trello.

🔥 Поднимаем OpenConnect SSL VPN сервер (ocserv) в docker
Очень подробная инструкция по установке, настройке и эксплуатации OpenConnect сервера. Автору и всем остальным, кто пишет публичные статьи, рекомендую не использовать слово VPN. Можно получить предупреждение и требование от РКН статью удалить. Там работает какой-то бот по ключевым словам. Вы можете получить предупреждение, даже если ваш материал никак не связан с обходом блокировок. Увы, но такова сейчас реальность.

⇨ Запуск консоли сервера 1С без прав администратора
Небольшой хак по запуску MMC-консоли в винде без прав админа.

⇨ Разворачиваем PostgreSQL кластер с помощью autobase. Часть 1
Первая статья из цикла по установке и настройке кластера PostgreSQL с помощью autobase. Это продукт на базе Patroni. Раньше репозиторий носил название postgresql_cluster, сейчас переименовали в Autobase и оформили в коммерческий продукт.

Если кто-то хочет присоединиться к этой подборке, то пишите мне в личные сообщения. Пока список выглядит так:

▪️https://r4ven.me
▪️https://wiki-it.ru
▪️https://www.gurin.ru
▪️https://sysadminhub.ru
▪️https://devopslife.ru
▪️https://bite-byte.ru
▪️https://sysadminium.ru
▪️https://desoft.ru
▪️https://www.pc360.ru
▪️https://bafista.ru
▪️https://it-experience.ru
▪️https://blogadminday.ru
▪️https://marukhin.ru

#статьи

Для управления проектами существует немало как бесплатных, так и коммерческих продуктов, а так же переходных вариантов, когда у коммерческого продукта есть бесплатная версия с ограничениями. Одним из наиболее популярных open source проектов из данной тематики является OpenProject. О нём я и расскажу.

Сразу перечислю аналоги, чтобы было понятно, о каком типе ПО идёт речь.

▪️Бесплатные: Redmine, Taiga, Asana, Plane, ZenTao.
▪️Коммерческие: Jira, YouTrack, Wrike, Битрикс24, и т.д.

OpenProject будет актуален для компаний, которые занимается разработкой. Этот продукт позволит структурировать работу команд, заняться долгосрочным планированием. В нём можно записывать работы по каждому проекту, оценивать трудозатраты в часах и деньгах, вести дедлайны, отслеживать статусы задач и проектов, планировать релизы и т.д. Одной из наиболее привлекательных фишек OpenProject - построение диаграммы Ганта. Она там насыщенная и функциональная. Дополнительно в нём можно вести документацию, форумы, трекер ошибок (bugtracker).

OpenProject написан на Ruby. Может быть установлен как из пакетов, так и в Docker контейнере. Для прода разумнее ставить из пакетов, а для теста можно запустить в Docker:

# docker run -it -p 8181:80 \
 -e OPENPROJECT_SECRET_KEY_BASE=secret \
 -e OPENPROJECT_HOST__NAME=10.20.1.36:8181 \
 -e OPENPROJECT_HTTPS=false \
 openproject/openproject:15

Учётка по умолчанию: admin / admin.

Сами разработчики в промышленной эксплуатации рекомендуют делать установку из пакетов и закрывать доступ к продукту через Reverse Proxy. В документации есть примеры файлов конфигурации для Apache и Nginx. Причём показаны настройки как для запуска на отдельном поддомене, так и в виде поддиректории /openproject к основному домену.

У OpenProject есть интеграция с Nextcloud. Его можно использовать в качестве хранилища файлов. Настраивается штатно через раздел в администрировании.

Работа в веб интерфейсе неинтутивна. Надо разбираться, дорабатывать продукт под себя: добавлять новые поля, связи и т.д. Но это относится ко всем продуктам подобного типа. С ними со всеми надо разбираться и потом болезненно переходить с одного на другой. Так что тут надо 100 раз подумать и проверить, прежде чем что-то внедрять.

В целом это один из наиболее функциональных open source продуктов, возможностей которого хватает для ведения типовых проектных работ.

⇨ 🌐 Сайт / Исходники

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

 #управление_проектами

В продолжение темы с Youtube ещё один продукт, который позволяет локально поднять условный аналог для хостинга видео - PeerTube. Насколько я знаю, это наиболее функциональная и популярная альтернатива ютубу, которую можно развернуть на своих ресурсах. Встречал публичные сервисы, которые работали на базе этого open source проекта.

По своей сути это примерно то же самое, что и Youtube. Пользователи могут регистрироваться, создавать свои каналы, загружать видео, вести онлайн трансляции. Другие пользователи могут подписываться на каналы, смотреть их. Видео могут кодироваться в разные качества, работает перемотка, ускоренное воспроизведение. В плане воспроизведения всё привычно и функционально. Можно использовать как для публичных сервисов, так и закрытых, личных.

Покажу, как быстро развернуть и попробовать PeerTube с помощью Docker. В репозитории есть docker compose файл, но с ним надо немного поработать, чтобы запустить. Сами разработчики рекомендуют запускать PeerTube напрямую на сервере без контейнеров. В целом, это логично, так как большого смысла в использовании контейнеров в данном случае нет. Есть пошаговая инструкция.

А для теста быстрее и проще запустить в контейнере. Берём docker-compose.yml из репозитория и удаляем оттуда всё, что касается веб сервера и certbot. Для теста можно обойтись без них. Мой рабочий вариант файла я прикреплю ниже к публикации. Помимо docker-compose.yml понадобится файл с переменными .env. Мой отредактированный рабочий файл тоже приложу ниже.

Запускаем docker compose, находясь в папке с docker-compose.yml и .env:

# docker compose up

Дожидаемся, когда всё запустится. В консоли должен проскочить пароль учётной записи администратора root. Если не заметили, то откройте соседнюю консоль и запустите там:

# docker compose logs peertube | grep -A1 root
peertube-1 | [10.20.1.36:9000] 2025-01-13 15:16:01.551 info: Username: root
peertube-1 | [10.20.1.36:9000] 2025-01-13 15:16:01.551 info: User password: bexufufakumozado

После того, как всё запустится, можно идти по IP адресу сервера на порт 9000 и логиниться под учёткой root. Далее создать канал, загрузить видео и посмотреть, как всё это работает. Интерфейс переведён на русский язык. Каких-то явных ляпов в переводе я не заметил. Смотрится хорошо.

Я немного поизучал этот портал. Настроек там немного. В основном касаются кодирования и различные настройки пользователей, разрешения, ограничения, права доступа и т.д. Сделано добротно, мне понравилось. Было бы время, я бы пользовался для семейных, некоторых публичных нужд, типа канал школьного класса, какого-то детского кружка. Сделал бы закрытый непубличный портал только для участников. А то сейчас всё это раскидано по чатам Telegram, WhatsApp и VK. Очень хлопотно и неудобно собирать в одно место.

🔥Отдельно отмечу, что для PeerTube можно включить импорт видео из Youtube. Можно загружать видео как по URL, так и включить синхронизацию канала на Youtube с каналом в PeerTube. Я не проверял, как это работает, так как не настраивал на тестовой машине обход замедления ютуба.

⇨ 🌐 Сайт / Исходники

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

#видео #замедление_блокировка

Короткая и актуальная на сегодняшний день заметка. Разворачиваем свой веб сервис для загрузки видео с Youtube, если не хотите зависеть от бесплатных ресурсов или ботов в Telegram, где надо либо платить, либо ждать очередь.

Есть очень простая веб обвязка над yt-dlp - MeTube. На сегодняшний день работает нормально, видео качает. Развернуть надо там, где нет замедления Youtube. Подойдёт любая VPS в минимальной конфигурации. Достаточно установить туда Docker и запустить контейнер:

# curl https://get.docker.com | bash -
# docker run -d -p 8081:8081 -v ./downloads:/downloads ghcr.io/alexta69/metube

Порты можете выбрать любые. Сервис запустится без какой-либо аутентификации. Чтобы это исправить, достаточно закрыть его любым обратным прокси на базе Nginx, Angie, Traefik, Caddy и т.д. Вот конкретный пример, как это сделать с помощью Traefik.

Загруженные видео можно будет посмотреть или скачать через веб интерфейс, либо забрать из директории downloads. У меня yt-dlp стоит локально, но веб сервисом как-то удобнее и привычнее пользоваться. Плюс, можно сразу с кем-то поделиться.

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

#замедление_блокировка

Познакомлю вас с очень любопытной веб панелью для мониторинга и управления сайтами. Речь пойдёт про Tianji. В недавней подборке видео я добавлял ролик с обзором этой панели. Она мне показалась интересной, поэтому развернул и попробовал сам. Расскажу про неё подробнее.

Сразу отмечу, кому будет наиболее актуальна эта панель - тем, кто работает непосредственно с сайтами, с их аналитикой, и немного с поддержкой самого сервера, но не обязательно. Можно развернуть панель и отдать кому-то в пользование даже без знаний администрирования.

📌 Основные возможноcти Tianji:

1️⃣ Аналитика посещений. Условный аналог Яндекс метрики и Google Analytics. Построена на базе Umami. Размещаете небольшой js код на своём сайте и смотрите в Tianji основные метрики посещений. Может быть неплохим дополнением к публичной аналитике, которая блокируется блокировщиками рекламы. Можно изменить имя js скрипта и проходить мимо блокировщиков.

2️⃣ Мониторинг сайтов и серверов. Используется встроенная Uptime Kuma. Доступны базовые проверки ICMP, TCP, HTTP запросов и ответов.

3️⃣ Мониторинг базовых метрик серверов путём установки на них небольшого агента. В описании нигде не увидел, что за агент используется. На вид самописный на GO. Показывает имя сервера, загрузку процессора, памяти, диска, текущий и суммарный сетевой трафик на интерфейсах, время работы сервера.

4️⃣ Телеметрия. Так назван раздел, который позволяет произвольно на сайте расставлять метки для мониторинга посещаемости. Выбираете любую страницу на сайте и помещаете в код прозрачную картинку в 1 пиксель. Каждая загрузка этой картинки будет увеличивать счётчик посещений. Таким образом можно отслеживать посещаемость отдельных страниц на сайте. Собранную метрику можно расположить где-то на сайте в виде кнопки со статистикой.

5️⃣ Публичные страницы мониторинга. Вы можете создать отдельную страницу, на которую можно поместить выбранные метрики из мониторинга.

Остальные возможности показались не особо полезными и доработанными. А то, что я перечислил уже работает нормально.

Запустить эту панель можно через Docker. В репозитории лежит docker-compose.yml. Сразу скажу, что в нём нужно изменить для успешного запуска. Во-первых, удалите:

version: '3'

Это в современных версиях композа не нужно. Далее удаляем сборку образа, так как будет использоваться готовый с docker hub:

  build:
   context: ./
   dockerfile: ./Dockerfile

Указываем последнюю версию образа:

image: moonrailgun/tianji:latest

Переменную ALLOW_OPENAPI выставляем в false:

ALLOW_OPENAPI: "false"

И добавляем любой ключ в переменную OPENAI_API_KEY. Без неё контейнер будет падать с ошибкой, даже если вы OpenAI отключили :

OPENAI_API_KEY: "12333333333333333333"

После этого можно запускать. Вот моя итоговая рабочая версия. Веб панель будет доступна по IP адресу сервера и порту 12345. Учётка по умолчанию: admin / admin.

Когда будете тестировать посещаемость сайта, имейте ввиду, что по умолчанию панель работает по HTTP, соответственно, код счётчика тоже будет загружаться по HTTP. Скорее всего браузеры будут его блокировать, так как все сайты сейчас по HTTPS работают. В боевом режиме панель надо размещать за обратный прокси с HTTPS. Ну а для теста можете разместить на каком-то внутреннем сайте, работающем по HTTP.

Панель мне понравилась. Сделана удобно и добротно. Проект молодой, но в репозитории большая активность, как по обновлениям, так и по ошибкам. Она идеально подойдёт для каких-нибудь веб-мастеров и сеошников, которые сами умеют покупать хостинг и разворачивать там сайты. Панелька сильно упростить жизнь, добавив некоторые удобства. Не нужны знания системного администрирования. Развернул и добавляй свои сайты, сервера через веб панель.

⇨ 🌐 Сайт / Исходники

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

#webserver #мониторинг #сайт

Ранее я уже поднимал тему выбора размера MTU (maximum transmission unit) для VPN туннелей. Чаще всего об этом не нужно беспокоиться, принимая все параметры по умолчанию, но иногда бывают ситуации, и я с ними сталкивался, когда приходится разбираться из-за заметного уменьшения быстродействия туннеля без видимых причин.

Я вспомнил об этой теме, потому что столкнулся с реальным примером. У меня не возникло каких-то проблем с быстродействием, но получилось на практике посмотреть на эти настройки. Мне нужно было подключиться к старенькому PPTP туннелю. Клиентом выступал Mikrotik.

При создании PPTP интерфейса Mikrotik предлагает выбрать MTU 1450. Я немного погуглил, но не понял, а почему именно это значение ставить? Есть рекомендации сделать либо больше, либо меньше. Не понятно.

Взял под Windows утилиту mturoute. Это лучшее решение для быстрого определения MTU. Она отправляет нефрагментированные ICMP пакеты разного размера, определяя максимальный размер, который доходит до адресата. В настройках Mikrotik для начала указал MTU 1500, запустил туннель и выполнил проверку:

> mturoute 192.168.10.1
* ICMP Fragmentation is not permitted. *
* Speed optimization is enabled. *
* Maximum payload is 10000 bytes. *
- ICMP payload of 1472 bytes is too big.
+ ICMP payload of 92 bytes succeeded.
+ ICMP payload of 1299 bytes succeeded.
- ICMP payload of 1466 bytes is too big.
+ ICMP payload of 1463 bytes succeeded.
+ ICMP payload of 1464 bytes succeeded.
- ICMP payload of 1465 bytes is too big.
Path MTU: 1492 bytes.

В Linux можно использовать tracepath:

# tracepath 192.168.10.1
 1?: [LOCALHOST]           pmtu 1500
 1: ???                         0.586ms
 1: ???                         0.256ms
 2: 10.8.2.1                    5.685ms
 3: 10.8.0.3                    11.253ms
 4: 10.8.0.3                    14.199ms pmtu 1492
 4: 192.168.10.1                17.783ms reached
   Resume: pmtu 1492 hops 4 back 4

Обе утилиты показали максимальный размер пакета 1492. Его я и установил в настройках PPTP интерфейса. Если бы я оставил то, что предлагалось по умолчанию 1450, то проблемы бы тоже не было. Но теоретически, с 1492 скорость будет немного выше. А вот если поставить 1500, то наверняка будут проблемы, так как стандартные пакеты начнут дополнительно фрагментироваться.

Задался вопросом. А почему, собственно, рабочее MTU 1492? Ведь по идее PPTP уменьшает стандартный размер пакета как минимум на следующие заголовки: IPv4+TCP+GRE. То есть там как минимум будет уменьшение на 20+20+8 = 48 байт. MTU должно быть 1452. Дело тут скорее всего в том, PPTP для передачи данных использует отдельное соединение с помощью протокола GRE. Сначала выполняется управляющее подключение по TCP порту 1723. А потом данные передаются по отдельному GRE соединению. Если верить калькулятору, то GRE с ключом как раз забирает для своих заголовков 8 байт и MTU будет 1492.

Данный вопрос 100% актуален, если у вас используется PPPoE соединение с интернетом, а поверх него VPN туннель. Там точно нужно будет делать поправку на PPPoE. У меня есть одна точка с таким соединением. Без VPN mturoute показывает MTU 1480.

Надеюсь вам эта информация будет полезна и где-то пригодится. Писал больше для себя, чтобы разобраться. Тема с MTU сложная. Нужно хорошо понимать, как вообще устроена передача данных, из чего состоят пакеты, как передаются, фрагментируются и т.д. Я в отдельности всё это изучал, но без практики информация быстро забывается.

Написав текст, я лучше запоминаю и всегда могу к нему вернуться, если понадобится. Главное, не забыть, что об этом уже писал и разбирался 😁 Не всегда удаётся. Успокаивает то, что это не только для меня проблема. Читал недавно статью на сайте, где автор в комментариях написал, что вышел на свою статью через google. Тупо забыл, что уже сталкивался и писал об этом. У меня так тоже не раз бывало.

☝️Из этой заметки стоит сохранить на память как минимум:

◽️Visual packet size calculator, пример расчёта
◽️mturoute.exe
◽️Чем отличаются утилиты traceroute, tracert и tracepath?

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

#network

▶️ Очередная подборка авторских IT роликов, которые я лично посмотрел и посчитал интересными/полезными. Как обычно, ниже те видео из моих подписок за последнее время (обычно беру период в 2 недели), что мне показались интересными и полезными.

🔥Путь в DevOps: полное руководство для новичков с НУЛЯ - 2025
Интересный материал от Дениса Астахова. Автор составил свой список технологий и продуктов, которые по его мнению стоит изучать для движения в сторону DevOps. В целом, ничего особенного, но было интересно послушать Дениса. Там и курсы, и книги, и экзамены, и его видео перечислены. Прям самая что ни на есть конкретика. Неплохо было бы это видео в текст перевести.

⇨ Как я проходил собеседование DevOps
Интересная личная информация автора о том, как он искал себе работу. Для себя можно сделать соответствующие выводы о том, как и что лучше рассказывать. Например, тему здоровья поднимать не надо вообще. Везде, где она затрагивалась, автор получил отказы. А вообще, мне не так давно пришла в голову одна простая мысль - ведение публичной деятельности снижает твои шансы получить работу. Не всем захочется получить в коллективе человека, которые если что, может какую-то информацию вольно или невольно вывести в публичную плоскость на широкую аудиторию. Имейте это в виду, кто активно развивает свои публичные ресурсы. Следите за тем, что вы там пишите.

⇨ Настройка Authentik. Часть 1. Теория
Начало цикла по настройке и использованию Authentik. В данном видео только теория.

⇨ I created a Custom Docker Server Dashboard! Download Now!
Автор написал свою панель отображения информации о Docker контейнерах, как дополнение к Portainer или Komodo. Панель выглядит топорно, но может в едином дашборде объединять несколько хостов и выводить столбцы с дополнительной информацией, которой нет в других панелях.

⇨ Tianji: All-in-One Docker Service for Analytics, Monitoring, and More!
Интересная система сбора статистики посещаемости сайта и одновременно простенький мониторинг на базе Uptime Kuma и Umami - Tianji. Надо будет попробовать. Запускается в Docker контейнере. Есть интеграция с aaPanel.

⇨ HomeLab Hardware Tour (Early 2025)
Обзор домашней серверной от известного блогера Techno Tim. Там, конечно, всё дорого-богато. Можно только позавидовать.

⇨ Почему wireguard — самый простой способ настроить vpn
Краткий ликбез на тему WireGuard от Романа Козлова. Сначала не понял, что он делает на канале Слёрм, а потом вспомнил, что он один из авторов курса по сетям там. Это к вопросу о том, в какой школе хорошие курсы. Указанный курс, кстати, бесплатный.

⇨ PDM. Yовый продукт proxmox - Datacenter Manager
Очередной обзор на Proxmox Datacenter Manager. Этот самый информативный из всех, что я видел. Так что если ещё не смотрели, можете глянуть.

⇨ Сравнение Synology DSM и TerraMaster TOS
Сравнение ОС от двух популярных производителей NAS. TerraMaster последнее время очень сильно вкладывается в маркетинг. Видел кучу обзоров и рекламы от блогеров. Судя по всему, хочет подвинуть Synology на рынке домашних и полупрофессиональных NAS.

#видео

Вчера в комментариях ВК один человек прислал ссылку на роутер российской фирмы Kroks, как аналог Mikrotik. Удивился, так как вообще впервые увидел этот бренд. Решил посмотреть, что это за роутеры. Реально ни разу их не видел и даже не слышал.

Под капотом там OpenWRT. Посмотрел отзывы в ютубе. Ничего особо хорошего, как и сильно плохого не увидел. По ценам что-то среднее, но в лоб сравнить трудно, так как у этих устройств акцент на встроенные LTE модемы с внешними антеннами. Я в этом сегменте вообще не разбираюсь.

У меня есть комплект MIMO антенна + переходники + USB модем. Как раз его недавно думал заменить на какой-то полноценный роутер. Хотел сначала Микротик взять, но не стал торопиться. Хотел попробовать что-то другое. А тут как раз в тему узнал про Kroks. К нему эта антенна подойдёт. Они отдельно продаются, а у меня уже есть.

У кого-то есть опыт работы с этими роутерами? Меня привлекает именно OpenWRT. Не нужно колхозить и подбирать прошивки под устройство. Уже все готово, только обновляй. Я этой системой несколько лет пользовался на разных роутерах до замены их на Микротики. Прошивка функциональная, я её знаю, разбираться не придётся.

Роутер нужен исключительно как LTE модем с сим картами. Wifi раздаёт другое устройство, как и выполняет функции роутинга. Что-то можете посоветовать для этого? Мне бы по идее подошёл один из бюджетных Kroks, но когда внимательнее присмотрелся к характеристикам, заметил, что на всех начальных моделях LAN только 100 мегабит. LTE бывает и быстрее, а тут выходит, что 100 мегабит это будет потолок. Купить не проблема, на Озоне полно разных моделей в наличии.

#железо

В праздники наконец-то появилась возможность поиграться с контейнерами в Mikrotik hAP ax³, который недавно приобрёл. У него, кстати, WiFi намного мощнее, чем в моём старичке RB951G-2HnD. Последний с трудом добивал до дальних частей комнат, удалённых от коридора, где он висел. Новый без проблем достаёт везде. Мне кажется, что у RB951G в какой-то момент мощность сигнала деградировала. Он уже 10+ лет в квартире трудится, но только последние год-два стал замечать, что в некоторых углах при закрытых дверях связь плохая.

В контейнере я в первую очередь хотел видеть Pi-hole, чтобы порезать некоторую рекламу у домашних пользователей интернета в виде жены и детей. Мне без надобности, так как блокировки на уровне DNS не очень удобны. Я предпочитаю у себя на компе сам всем этим управлять. А остальным всё равно. Им будет в любом случае полезно.

Особых трудностей с настройкой нет. Всё сделал по инструкции от самого производителя. Но лично я промучался в итоге долго из-за проблемной флешки, о чём узнал позднее. Взял самую маленькую, которая как затычка. Воткнул в ноут, посмотрел, вроде работает. А на деле работает с проблемами. Иногда она тупо зависала и не позволяла ничего на себя писать. Контейнер либо не запускался, либо запускался, но работал с ошибками. Логов по контейнерам в Микротике почти нет. Никаких значимых ошибок не видел. Уже потом сам догадался, что флешка глючит.

В итоге всё настроил. Можно самому Микротику указать в качестве основного DNS сервера IP адрес контейнера с Pi-Hole, но будет не очень удобно, так как во всех логах будет фигурировать один IP адрес клиента - сам Микротик. Я сделал по-другому. Пробросил в Firewall все запросы от клиентов по 53-м портам в контейнер. В итоге в админке Pi-Hole увидел IP адреса клиентов и сделал исключения для личных устройств.

В целом, всё работает нормально. Работу одного контейнера hAP ax³ тянет вообще без каких-либо напрягов. Можно ещё парочку аналогичных запустить, но мне особо ничего не нужно. Не придумал, что ещё там запускать.

Получилось удобно. Нет нужды какую-то другую железку запускать для этих задач. Микротик сам всё это тянет, работает бесшумно, не греется. Так что удобное решение, рекомендую.

❗️Удивил старый телевизор Samsung. Ему лет 15, подключен к локалке, чтобы смотреть на нём фильмы с DLNA сервера. Он больше всех DNS запросов наотправлял для резолва домена samsung com. Интересно, какие данные он туда передаёт. Надо будет закрыть ему доступ в интернет.

#mikrotik

Всем привет. Поздравляю с окончанием праздников. Наконец-то можно снова заняться полезными и интересными делами. Как у вас, без происшествий прошли выходные? У меня было ровно одно небольшое событие, которое потребовало моего участия. Решил сразу рассказать, пока не забыл.

Разом отвалились постоянно подключенные клиенты одного OpenVPN сервера. Сразу подумал на протухшие сертификаты либо клиентов, либо самого сервера. Не раз такое случалось. При генерации значения по умолчанию обычно год-два, редко больше. Если специально не изменишь, то потом перевыпускать придётся.

Проверил сначала клиентов, всё ОК. Немного удивился. Ожидал увидеть, что просрочены они. В логах самих клиентов не было подробностей, только невозможность установить TLS соединение. Проверил сертификат сервера, с ним тоже всё в порядке.

Тут уже немного повнимательнее стал смотреть. Проверил лог сервера. Там ошибка прямым текстом указана. Надо было с него начинать:

TLS: Initial packet from [AF_INET]1.2.3.4:40564
VERIFY ERROR: depth=0, error=CRL has expired
OpenSSL: error:1417C086:SSL routines:tls_process_client_certificate:certificate verify failed
TLS_ERROR: BIO read tls_read_plaintext error
TLS Error: TLS object -> incoming plaintext read error
TLS Error: TLS handshake failed

Основное тут: CRL has expired. Файл со списками отозванных сертификатов оказался просрочен. Сколько лет использую OpenVPN, в том числе с CRL (Certificate Revocation List), а первый раз с таким сталкиваюсь (поправочка, 7 лет назад уже сталкивался, но забыл).

Файл crl.pem был сгенерирован с помощью набора скриптов easy-rsa. В них по умолчанию параметр EASYRSA_CRL_DAYS выставлен в 180 дней. Если за этот срок не будет нового отзыва и пересоздания файла crl.pem, то сервер OpenVPN перестанет принимать соединения с указанной выше ошибкой.

Просто пересоздал файл, увеличив срок жизни файла до 10 лет. В своём случае не вижу смысла ограничивать срок жизни этого файла. К тому же последнее время обхожусь без него. Для тех, кто не знает, напомню, что нежелательных клиентов OpenVPN сервера можно отключать с помощью настройки сервера ccd-exclusive.

Если указана эта настройка, то для того, чтобы подключение клиента состоялось, для него должен существовать файл с настройками в client-config-dir. Если его там нет, он не подключится. Я всегда пользуюсь этими настройками, так что файлы конфигураций для клиентов есть. Если надо кого-то отключить, то достаточно просто удалить этот файл. И клиент не сможет подключиться.

Это не отменяет процедуры отзыва сертификатов. Сертификаты неактивных клиентов на всякий случай лучше отзывать. Но можно это делать по плану в какой-то определённый день, а не сразу после принятия решения об отключении. Для этого надо отозвать сертификат, сформировать новый список CRL, заменить существующий и перезапустить службу OpenVPN. Просто удалить файл конфигурации быстрее и проще.

📌 Полезные материалы по теме OpenVPN:

▪️Одновременный запуск нескольких клиентов OpenVPN
▪️Маршруты для клиента на основе url, а не ip адреса
▪️Запуск OpenVPN сервера на разных внешних IP адресах
▪️Диагностика низкой скорости через OpenVPN
▪️Запускаем OpenVPN сервер за 443 портом веб сервера
▪️Бесплатная веб панель для управления сервером
▪️Создание туннелей с коррекцией ошибок (Forward Error Correction)

На всякий случай уточню, что ни в заметке, ни в ссылках, нет никакой информации об обходе блокировок сайтов. Это описание использования OpenVPN для обеспечения сетевой связности распределённых сетей.

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

#openvpn

🎄Поздравляю всех с наступающим Новым годом. В наши дни это особенный праздник, который оброс множеством ритуалов, особенно если у вас есть дети. И особенно, если их много. Мне кажется, я уже недели две отмечаю новый год. Посетил кучу различных концертов и ёлок, в том числе с участием своих детей. Получил и вручил подарки, подготовленные силами супруги. Самому некогда этим заниматься.

Хочу вам сделать небольшое пожелание, которое прозвучит банально, но кто знает, может быть такое же пожелание однажды изменило мою жизнь. Ниже расскажу эту историю. Я желаю каждому из вас, если вы ещё не нашли своё место в жизни и не поняли, чего вы на самом деле хотите, понять это. И начать действовать в направлении, которое приведёт вас к вашему личному счастью.

Теперь про меня. До 27 лет я был один. Проживал обычной холостяцкой жизнью и особо не задумывался о том, чего вообще хочу и к чему стремлюсь. Зарабатывал нормально, одному хватало. Купил машину, потом квартиру в ипотеку. Ездил отдыхать заграницу, по выходным где-то с друзьями отдыхал, пьянки-гулянки. Вспомнил обо всём этом на днях, когда старые фотографии просматривал. Некоторые, кстати, не открывались (привет, bit rot). Вроде так посмотришь со стороны, весёлая жизнь была, но не могу сказать, что я был счастлив.

В очередной новый год я поехал отдыхать с друзьями в Нидерланды, Амстердам. Там посетил основные злачные места, которыми славится этот город. Побухал, попробовал марихуану. Там её можно было купить и курить в специальных кафе. Вообще не понравилось. Это был первый и последний раз. И вот как-то утром после бурной ночи я проснулся, голова болит, настроение хреновое. И тогда я понял, что мне вообще вот это всё не нравится и я так жить не хочу.

Попил водички, умылся, переоделся в спортивную форму и пошёл на пробежку по Амстердаму. В тот день я понял, что все те развлечения, что у меня есть, и моя жизнь в целом, мне не нравятся. Это навязанный извне образ жизни, который претит и не делает счастливым. Понял, что я хочу нормальную семью, где будет много детей.

Вернулся в Москву и начал потихоньку действовать. По неопытности наломал дров. Первый брак был неудачный. Обижаться, как любят многие обжёгшиеся, ни на кого не стал. Ни на женщин, ни на законы, ни на государство, ни на "матриархат", ни на жизнь, хотя через МДшное движение прошёл, материалы изучил. Принял, чтобы был виноват сам, ошибся. Сделал работу над ошибками и попробовал второй раз. Параллельно завязал с вредными привычками, сменил работу.

В итоге получил то, что по-настоящему захотел. Путь был труден, но понятен и ясен. Ощущаю себя счастливым, получившим ровно то, что сам заслужил. Винить некого. Что захотел, к чему шёл, то и получил.

Рассказал эту историю не для того, чтобы кто-то повторил и сделал так же. Думаю, что большинство людей, увидев как я живу, открестятся и скажут, что мне такого счастья не надо. Это нормально, так и должно быть. Все люди разные. У каждого своя жизнь, своя судьба, своё счастье. Важно найти то настоящее, что тебе действительно хочется и нужно. Как это наверняка сделать, я не знаю. Мне пришёл ответ внезапно откуда-то. Не знаю откуда. Просто пришёл и всё. Может пожелал кто-то и так помог. Мысли и пожелания имеют свою силу.

Рассказал эту историю для того, чтобы кто-то может быть задумался о своей жизни и принял решение её поменять. Новый год - отличное время для этого. У меня всё с очередного нового года и началось. Так что желаю перемен к лучшему всем тем, кто их искренне желает. А если не желает, то желаю пожелать. С Новым Годом 🎄

#разное #мысли

🎄🔝 Под конец года осталось закрыть один технический момент. Подготовил список наиболее популярных публикаций в этом году. Надеюсь, вам будет интересно после праздников его посмотреть и найти что-то для себя полезное. Потратил несколько часов, чтобы его составить. В прошлом году это была практически самая просматриваемая публикация.

🙏🏻 Благодарю всех, кто читает и проявляет активность на канале. Очень ценю это и отдаю себе отчёт, что канал и моя деятельность на нём есть только благодаря вам. Всегда стараюсь писать максимально интересно и полезно, не считаясь с затраченным временем. Если внимательно присматриваться к некоторым скриншотам, то там можно увидеть ночное время. Пока всё не проверю и не вычитаю текст, не публикую. Не делаю проходных публикаций только для того, чтобы сделать. Всю информацию насыщаю чем-то своим, лично проверяю большую часть того, о чём пишу.

Благодаря этому у меня есть возможность публиковать только тематическую рекламу, выбирать рекламодателей и не публиковать то, что мне самому не нравится. Рекламодатели положительно отзываются на отклик на свои публикации и возвращаются вновь. Так что стабильный поток рекламы - это ваша заслуга 😁

До 9-го января я буду отдыхать, больше тематических публикаций в этом году не будет, кроме завтрашнего небольшого пожелания и поздравления.

📌 Больше всего пересылок:
◽️Подборка заметок по консольным утилитам Linux (1212)
◽️Бесплатные курсы от Postgres Professional (1139)
◽️Топ-10 артефактов Linux для расследования взлома (1118)
◽️Подборка команд и полезных ссылок для Docker (1100)
◽️Готовые профили для Wireshark (1017)
◽️Создание TLS сертификатов через свой CA (958)
◽️Терминальный сервер на базе Windows 10,11 (904)
◽️Бесплатные курсы по Ansible (878)
◽️Шпаргалка по поиску свободного места в Linux (864)
◽️Система управления инфраструктурой OpenRPort (786)

📌 Больше всего комментариев:
◽️Массовый BSOD на Windows (362)
◽️Баг с переключением раскладки в Windows (324)
◽️Как найти работу в ИТ после 45 лет? (294)
◽️Тайная жизнь современных ОС (235)
◽️Моя покупка Mikrotik hAP ax³ (232)
◽️Настройка NFS сервера (224)
◽️Проблемы со спиной от сидячей работы (218)
◽️Гипервизор для одной виртуальной машины (210)
◽️Утро на удалёнке (209)
◽️Новость с исключением русских мэйнтейнеров (208)

📌 Больше всего реакций:
◽️Следы на сервере после подключения по SSH (802)
◽️Заметка про мой распорядок дня (538)
◽️Заметка ко дню победы на 9-е мая (416)
◽️Шпаргалка по tcpdump (370)
◽️Терминальный сервер на базе Windows 10,11 (336)
◽️Комбинация Alt+Shif+3 в терминале bash (325)
◽️Мем - Позовите системного администратора (310)
◽️Мем про интернет по карточкам (300)
◽️Настройка default_server в Nginx (298)
◽️Взлом СДЕК (292)

📌 Больше всего просмотров:
◽️Список IP адресов Youtube для ускорения (17700)
◽️Бесплатные курсы от Postgres Professional (16700)
◽️Подборка заметок по консольным утилитам Linux (15500)
◽️Бесплатные курсы по Ansible (14700)
◽️Готовые профили для Wireshark (14700)
◽️Grafana+Influxdb+K6 для нагрузочного тестирования (14500)
◽️Браузер Mypal68 для Windows XP (14300)
◽️Шпаргалка по поиску свободного места в Linux (14200)
◽️Клиент для WireGuard TunnlTo (13900)
◽️Подборка авторских IT роликов (13700)

#топ