Подписывание SMB-пакетов в Samba
В нашей предыдущей заметке мы говорили о подписывании SMB пакетов в Windows.
SMB Signing это одно из средств безопасности средств протокола общего доступа к файлам SMB/CIFS. Когда оно включено, каждое SMB сообщение подписывается в заголовке цифровой подписью. Это позволяет предотвратить реализацию SMB атак типа MitM и NTLM relay.
Начиная с Windows 11 24H2 клиент будет требовать обязательного подписывания пакетов, в дальнейшем эту политику обещают распространить на все поддерживаемые ОС.
В Linux также не трудно настроить подписывание пакетов, для этого в секции
Для сервера это
▫️ auto - подписывание SMB предлагается
▫️ mandatory - подписывание SMB обязательно
▫️ disabled - подписывание SMB отключено
По умолчанию применяется значение disabled.
Для клиента используется опция
▫️ auto - подписывание SMB предлагается
▫️ mandatory - подписывание SMB обязательно
▫️ disabled - подписывание SMB отключено
Значение по умолчанию: auto.
В современных условиях оптимальными настройками будет изменение режима сервера также на auto:
Это позволит работать с современными клиентами, не снижая уровня защиты, но при этом сохраняя совместимость с клиентами не поддерживающими подписывание.
В этом плане Samba позволяет более гибко управлять настройками чем SMB в Windows, там сторона может либо требовать подписывание для всех, либо нет, режим согласования отсутствует.
В нашей предыдущей заметке мы говорили о подписывании SMB пакетов в Windows.
SMB Signing это одно из средств безопасности средств протокола общего доступа к файлам SMB/CIFS. Когда оно включено, каждое SMB сообщение подписывается в заголовке цифровой подписью. Это позволяет предотвратить реализацию SMB атак типа MitM и NTLM relay.
Начиная с Windows 11 24H2 клиент будет требовать обязательного подписывания пакетов, в дальнейшем эту политику обещают распространить на все поддерживаемые ОС.
В Linux также не трудно настроить подписывание пакетов, для этого в секции
[global] файла smb.conf потребуется указать две опции.Для сервера это
server signing, которая может принимать следующие значения:▫️ auto - подписывание SMB предлагается
▫️ mandatory - подписывание SMB обязательно
▫️ disabled - подписывание SMB отключено
По умолчанию применяется значение disabled.
Для клиента используется опция
client signing с доступными значениями:▫️ auto - подписывание SMB предлагается
▫️ mandatory - подписывание SMB обязательно
▫️ disabled - подписывание SMB отключено
Значение по умолчанию: auto.
В современных условиях оптимальными настройками будет изменение режима сервера также на auto:
[global]
server signing = auto
Это позволит работать с современными клиентами, не снижая уровня защиты, но при этом сохраняя совместимость с клиентами не поддерживающими подписывание.
В этом плане Samba позволяет более гибко управлять настройками чем SMB в Windows, там сторона может либо требовать подписывание для всех, либо нет, режим согласования отсутствует.
👍46
Курс по нейросетям. Получите самые востребованные скиллы в 2024 году.
“Основы нейронных сетей: создание и настройка" от Академии Кодебай:
- разработка продвинутых архитектур нейронных сетей и их применение в Data Science
- решение типичных проблем при обучении сетей
Курс будет полезен, если вы:
- Аналитик данных и хотите освоить продвинутые инструменты, чтобы выйти на новый уровень
- Разработчик с опытом программирования и хотите применить свои знания в новой области
- Руководитель IT-проектов и хотите лидировать современные бизнес-процессы
Старт потока: 1 июля
Пишите нам @Codeby_Academy
Подробнее о курсе
“Основы нейронных сетей: создание и настройка" от Академии Кодебай:
- разработка продвинутых архитектур нейронных сетей и их применение в Data Science
- решение типичных проблем при обучении сетей
Курс будет полезен, если вы:
- Аналитик данных и хотите освоить продвинутые инструменты, чтобы выйти на новый уровень
- Разработчик с опытом программирования и хотите применить свои знания в новой области
- Руководитель IT-проектов и хотите лидировать современные бизнес-процессы
Старт потока: 1 июля
Пишите нам @Codeby_Academy
Подробнее о курсе
👍1
Деградация данных
Деградация данных (bitrot, битовое гниение) – это достаточно актуальный в настоящее время тип разрушения цифровых данных вследствие накопления некритичных ошибок на запоминающем устройстве.
К сожалению, многие коллеги путают деградацию с выходом из строя ячеек накопителя (бед-блоки) и не придают этому вопросу серьезного значения. А зря.
С бед-блоками достаточно эффективно позволяет справляться RAID, когда в случае ошибки чтения блок заменяется резервным, а его содержимое считывается с исправной копии. Да, возможен эффект появления скрытых бед-блоков, но он решается периодическом перечитыванием содержимого массива.
Проблема битового гниения лежит глубже и именно этот термин представляется нам наиболее удачным. Как и обычное гниение он медленно и незаметно повреждает данные до тех пор, пока разрушения не перейдут в критическую фазу.
Причинами битового гниения становятся ошибки в процессе записи, не связанные с повреждением непосредственно ячеек, они могут даже произойти в оперативной памяти и при отсутствии ECC ваши данные также могут быть незаметно повреждены.
Чаще всего деградация данных происходит при длительном хранении, вследствие деградации заряда ячейки или уровня намагниченности сектора. Ошибок чтения с накопителя это не вызывает, но приводит к нарушению целостности данных.
Как правило большинство современных форматов данных имеют избыточность и изменение одного бита может быть откорректировано встроенными средствами, но для этого эти данные нужно хотя бы открыть.
В противном случае подобные ошибки могут накапливаться и в определенный момент привести к невосстановимому повреждению данных. При этом процесс битового гниения не сопровождается ошибками чтения с накопителя и может происходить на полностью исправном диске.
А так как нет никаких ошибок, то и RAID вам ничем не поможет, особенно уровни без четности. Так, например, в случае зеркала у нас могут оказаться изменены биты в произвольных местах обоих копий. И чем больше по размеру файл и реже обращения к нему – тем вероятнее такое развитие событий.
Некоторую защиту могут предоставлять массивы с четностью (RAID 5 и 6), но здесь многое зависит от контроллера или программной реализации, главное у которых – уметь производить такую проверку в фоновом режиме.
В таком случае имея одну правильную копию и целые данные четности массив может проверить целостность данных и автоматически восстановить их.
Но оптимальным решением проблемы будет вынос таких проверок на уровень файловой системы, так как это позволяет действовать наиболее эффективно и с наименьшей нагрузкой на систему.
Современные системы с контролем целостности – это ZFS, btrfs и ReFS – и именно они рекомендуются для систем хранения больших объемов информации. Каждая из них умеет в фоновом режиме проверять целостность файлов и восстанавливать поврежденные фрагменты используя контрольные суммы (при наличии избыточности, разумеется).
И именно по этой причине тот же Proxmox категорически не рекомендует использование mdadm для хранилищ виртуальных машин в производственных средах.
Деградация данных (bitrot, битовое гниение) – это достаточно актуальный в настоящее время тип разрушения цифровых данных вследствие накопления некритичных ошибок на запоминающем устройстве.
К сожалению, многие коллеги путают деградацию с выходом из строя ячеек накопителя (бед-блоки) и не придают этому вопросу серьезного значения. А зря.
С бед-блоками достаточно эффективно позволяет справляться RAID, когда в случае ошибки чтения блок заменяется резервным, а его содержимое считывается с исправной копии. Да, возможен эффект появления скрытых бед-блоков, но он решается периодическом перечитыванием содержимого массива.
Проблема битового гниения лежит глубже и именно этот термин представляется нам наиболее удачным. Как и обычное гниение он медленно и незаметно повреждает данные до тех пор, пока разрушения не перейдут в критическую фазу.
Причинами битового гниения становятся ошибки в процессе записи, не связанные с повреждением непосредственно ячеек, они могут даже произойти в оперативной памяти и при отсутствии ECC ваши данные также могут быть незаметно повреждены.
Чаще всего деградация данных происходит при длительном хранении, вследствие деградации заряда ячейки или уровня намагниченности сектора. Ошибок чтения с накопителя это не вызывает, но приводит к нарушению целостности данных.
Как правило большинство современных форматов данных имеют избыточность и изменение одного бита может быть откорректировано встроенными средствами, но для этого эти данные нужно хотя бы открыть.
В противном случае подобные ошибки могут накапливаться и в определенный момент привести к невосстановимому повреждению данных. При этом процесс битового гниения не сопровождается ошибками чтения с накопителя и может происходить на полностью исправном диске.
А так как нет никаких ошибок, то и RAID вам ничем не поможет, особенно уровни без четности. Так, например, в случае зеркала у нас могут оказаться изменены биты в произвольных местах обоих копий. И чем больше по размеру файл и реже обращения к нему – тем вероятнее такое развитие событий.
Некоторую защиту могут предоставлять массивы с четностью (RAID 5 и 6), но здесь многое зависит от контроллера или программной реализации, главное у которых – уметь производить такую проверку в фоновом режиме.
В таком случае имея одну правильную копию и целые данные четности массив может проверить целостность данных и автоматически восстановить их.
Но оптимальным решением проблемы будет вынос таких проверок на уровень файловой системы, так как это позволяет действовать наиболее эффективно и с наименьшей нагрузкой на систему.
Современные системы с контролем целостности – это ZFS, btrfs и ReFS – и именно они рекомендуются для систем хранения больших объемов информации. Каждая из них умеет в фоновом режиме проверять целостность файлов и восстанавливать поврежденные фрагменты используя контрольные суммы (при наличии избыточности, разумеется).
И именно по этой причине тот же Proxmox категорически не рекомендует использование mdadm для хранилищ виртуальных машин в производственных средах.
👍52
Доверять мало, надо еще и проверять, причем постоянно
Все мы используем различные проекты с открытым исходным кодом, которые, в теории, более безопасны чем закрытое ПО, но в любом случае наши отношения с авторами строятся на доверии.
Но доверие – вещь такая, что ее нужно постоянно контролировать, особенно в случае смены владельца. Так и произошло с библиотекой Polyfill, это открытая JavaScript-библиотека, предназначенная для обеспечения совместимости для старых версий браузеров.
Особенность данного скрипта, что он динамически генерируется на основании User Agent и генерирует функции с реализацией недостающих методов, свойств и API в зависимости от типа и версии браузера. Поэтому его невозможно было использовать в виде локальной версии и он всегда подгружался с официального CDN разработчика.
В феврале этого года проект Polyfill был продан китайской компании Funnull. Через несколько месяцев новый владелец решил альтернативно модернизировать проект и начал выполнять при помощи библиотеки автоматическое перенаправление пользователей на сомнительные сайты, такие как букмекерские конторы или казино.
При этом библиотека отслеживала куки и если обнаруживала сессию администратора сайта, то редирект не выполнялся, при обнаружении систем веб-аналитики переход задерживался, чтобы не попадать в статистику.
Таким образом реальный владелец сайта мог долгое время находиться в неведении, а пользователи могли подумать, что перенаправление инициативой именно владельца сайта.
Также новый владелец старательно удаляет из GitHub жалобы на подобное поведение, чтобы дольше создавать у пользователей видимость непричастности библиотеки к нежелательному поведению сайта.
По предварительным оценкам пострадало более 110 тыс. сайтов, но на самом деле их может быть значительно больше.
Как быть в такой ситуации? Никакого разумного выхода здесь нет, вы или доверяете владельцу проекта или не доверяете. Но вы никак не застрахованы от его деструктивных действий (либо его преемника).
Небольшую страховку дает использование открытых проектов через посредников, например, получать пакет не из репозитория разработчика, а из репозитория дистрибутива, желательно LTS. Что оставляет вас на более старых версиях, но в тоже время страхует от подобных угроз. Как пример – недавняя уязвимость в XZ Utils.
При использовании же динамически подключаемых библиотек вам только остается доверять разработчику и время от времени контролировать состояние дел проекта, по мере сил и возможностей.
Все мы используем различные проекты с открытым исходным кодом, которые, в теории, более безопасны чем закрытое ПО, но в любом случае наши отношения с авторами строятся на доверии.
Но доверие – вещь такая, что ее нужно постоянно контролировать, особенно в случае смены владельца. Так и произошло с библиотекой Polyfill, это открытая JavaScript-библиотека, предназначенная для обеспечения совместимости для старых версий браузеров.
Особенность данного скрипта, что он динамически генерируется на основании User Agent и генерирует функции с реализацией недостающих методов, свойств и API в зависимости от типа и версии браузера. Поэтому его невозможно было использовать в виде локальной версии и он всегда подгружался с официального CDN разработчика.
В феврале этого года проект Polyfill был продан китайской компании Funnull. Через несколько месяцев новый владелец решил альтернативно модернизировать проект и начал выполнять при помощи библиотеки автоматическое перенаправление пользователей на сомнительные сайты, такие как букмекерские конторы или казино.
При этом библиотека отслеживала куки и если обнаруживала сессию администратора сайта, то редирект не выполнялся, при обнаружении систем веб-аналитики переход задерживался, чтобы не попадать в статистику.
Таким образом реальный владелец сайта мог долгое время находиться в неведении, а пользователи могли подумать, что перенаправление инициативой именно владельца сайта.
Также новый владелец старательно удаляет из GitHub жалобы на подобное поведение, чтобы дольше создавать у пользователей видимость непричастности библиотеки к нежелательному поведению сайта.
По предварительным оценкам пострадало более 110 тыс. сайтов, но на самом деле их может быть значительно больше.
Как быть в такой ситуации? Никакого разумного выхода здесь нет, вы или доверяете владельцу проекта или не доверяете. Но вы никак не застрахованы от его деструктивных действий (либо его преемника).
Небольшую страховку дает использование открытых проектов через посредников, например, получать пакет не из репозитория разработчика, а из репозитория дистрибутива, желательно LTS. Что оставляет вас на более старых версиях, но в тоже время страхует от подобных угроз. Как пример – недавняя уязвимость в XZ Utils.
При использовании же динамически подключаемых библиотек вам только остается доверять разработчику и время от времени контролировать состояние дел проекта, по мере сил и возможностей.
👍23🔥5🤯5
Хотите быстро улучшить свой английский? Актуальная лексика, понятные разборы грамматики, квизы и другие полезные материалы на канале «Гапонова и её английский»:
🔹Планы на выходные: подборка бесплатных материалов, чтобы заняться английским уже сейчас
🔹Что посмотреть и послушать на youtube
🔹Что делать, если застрял на среднем уровне и не видишь результатов?
Ещё больше английского для жизни и работы на канале Лены Гапоновой — преподавателя английского и автора курсов Gaponova School.
✅Подписывайтесь на @gaponova
erid: LjN8JyLdD
🔹Планы на выходные: подборка бесплатных материалов, чтобы заняться английским уже сейчас
🔹Что посмотреть и послушать на youtube
🔹Что делать, если застрял на среднем уровне и не видишь результатов?
Ещё больше английского для жизни и работы на канале Лены Гапоновой — преподавателя английского и автора курсов Gaponova School.
✅Подписывайтесь на @gaponova
erid: LjN8JyLdD
Можно ли восстановить данные с SSD
Несмотря на то, что твердотельные накопители давно используются в качестве основных среди пользователей и коллег до сих пор присутствуют неверные взгляды на возможность восстановления данных с таких дисков.
Поэтому предлагаем вам освежить знания на основе нашего практического материала, материал не новый, но свой актуальности он не потерял, так как заблуждений меньше не становится.
https://interface31.ru/tech_it/2022/05/mozhno-li-vosstanovit-dannye-s-tverdotel-nogo-nakopitelya-ssd.html
Несмотря на то, что твердотельные накопители давно используются в качестве основных среди пользователей и коллег до сих пор присутствуют неверные взгляды на возможность восстановления данных с таких дисков.
Поэтому предлагаем вам освежить знания на основе нашего практического материала, материал не новый, но свой актуальности он не потерял, так как заблуждений меньше не становится.
https://interface31.ru/tech_it/2022/05/mozhno-li-vosstanovit-dannye-s-tverdotel-nogo-nakopitelya-ssd.html
👍30
Настраиваем динамическое обновление DNS-сервера BIND 9 при помощи Kea DHCP
По мере роста любой сети возникает необходимость перехода от обращения к узлам с IP адресов на FQDN, что позволяет полностью отвязаться от IP-адресации и использовать постоянные и удобные для запоминания доменные имена.
А задачу преобразования доменных имен в IP-адреса берет на себя DNS-сервер.
Но как быть с узлами, которые получают IP-адрес по DHCP?
Все просто - необходимо настроить динамическое обновление записей DNS-сервера и сегодня мы расскажем, как сделать это для DHCP-сервера Kea.
https://interface31.ru/tech_it/2024/06/nastraivaem-dinamicheskoe-obnovlenie-dns-servera-bind-9-pri-pomoshhi-kea-dhcp.html
По мере роста любой сети возникает необходимость перехода от обращения к узлам с IP адресов на FQDN, что позволяет полностью отвязаться от IP-адресации и использовать постоянные и удобные для запоминания доменные имена.
А задачу преобразования доменных имен в IP-адреса берет на себя DNS-сервер.
Но как быть с узлами, которые получают IP-адрес по DHCP?
Все просто - необходимо настроить динамическое обновление записей DNS-сервера и сегодня мы расскажем, как сделать это для DHCP-сервера Kea.
https://interface31.ru/tech_it/2024/06/nastraivaem-dinamicheskoe-obnovlenie-dns-servera-bind-9-pri-pomoshhi-kea-dhcp.html
👍19🔥1
Непонятное поведение принтера по умолчанию в Windows 10 и 11
После очередных обновлений к нам стали поступать жалобы пользователей на непонятное поведение принтера по умолчанию в Windows 10 и 11. А именно принтер по умолчанию начал произвольно меняться.
Что вызывало массу неудобств и разных нехороших ситуаций, когда какой-нибудь второстепенный отчет на много листов уходил на дорогой цветной принтер или струйник с фотобумагой.
Выяснилось, что теперь в Windows возникла новая возможность, а именно автоматическое управление принтером, используемым по умолчанию.
Согласно этой политике, если она включена (а по умолчанию она включена) принтером по умолчанию становится тот принтер, на котором пользователь успешно печатал последний раз в текущем местоположении.
В целом идея здравая и удобна для мобильных пользователей, которые перемещаются между сетями, теперь дома система будет автоматически печатать на домашний принтер, а в офисе – на рабочий.
Но все меняется, если принтеров в текущем местоположении становится более одного. В этом случае такая функция вносит только хаос и запутывание, так как все время нужно проверять на какой ты принтер печатаешь.
К счастью, отключается эта функция достаточно просто, достаточно в приложении Параметры в разделе Принтеры и сканеры выключить параметр. Разрешить Windows управлять принтером, используемым по умолчанию.
Либо в разделе реестра:
Найти параметр LegacyDefaultPrinterMode и установить для него значение 1.
В любом случае основной претензией к Microsoft является то, что подобные функции включаются автоматически и без предупреждения. Это приводит к поведению отличному от ожидаемого с возможными неприятными последствиями, что закономерно вызывает у пользователей негатив и неприятие.
Хотя, сама новая функция в ряде сценариев будет полезной и удобной.
После очередных обновлений к нам стали поступать жалобы пользователей на непонятное поведение принтера по умолчанию в Windows 10 и 11. А именно принтер по умолчанию начал произвольно меняться.
Что вызывало массу неудобств и разных нехороших ситуаций, когда какой-нибудь второстепенный отчет на много листов уходил на дорогой цветной принтер или струйник с фотобумагой.
Выяснилось, что теперь в Windows возникла новая возможность, а именно автоматическое управление принтером, используемым по умолчанию.
Согласно этой политике, если она включена (а по умолчанию она включена) принтером по умолчанию становится тот принтер, на котором пользователь успешно печатал последний раз в текущем местоположении.
В целом идея здравая и удобна для мобильных пользователей, которые перемещаются между сетями, теперь дома система будет автоматически печатать на домашний принтер, а в офисе – на рабочий.
Но все меняется, если принтеров в текущем местоположении становится более одного. В этом случае такая функция вносит только хаос и запутывание, так как все время нужно проверять на какой ты принтер печатаешь.
К счастью, отключается эта функция достаточно просто, достаточно в приложении Параметры в разделе Принтеры и сканеры выключить параметр. Разрешить Windows управлять принтером, используемым по умолчанию.
Либо в разделе реестра:
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
Найти параметр LegacyDefaultPrinterMode и установить для него значение 1.
В любом случае основной претензией к Microsoft является то, что подобные функции включаются автоматически и без предупреждения. Это приводит к поведению отличному от ожидаемого с возможными неприятными последствиями, что закономерно вызывает у пользователей негатив и неприятие.
Хотя, сама новая функция в ряде сценариев будет полезной и удобной.
👍36🤣8👀3❤1🤬1
Из пункта A в пункт Б
Как показывает практика – маршрутизация всегда была непростым вопросом, особенно если речь идет о маршрутизации между сетями. И чаще всего бывает так – я все сделал по инструкции, но ничего не работает.
Как быть, что делать, куда бежать? А бежать никуда не надо, надо просто взять в руки два простых инструмента и заняться диагностикой. Эти инструменты всем известны: пинг и трассировка.
Но прежде посмотрим на схему внизу материала. Где:
🔹 A и F – конечные устройства в разных сетях
🔹 B и E – внутренние интерфейсы VPN-серверов (роутеры)
🔹 С и D – стороны туннеля
🔹 X и Y – внешние адреса серверов
Итак, наша задача попасть из пункта A в пункт F и для начала мы посмотрим, как должна выглядеть правильная трассировка. Нам должны ответить по очереди следующие узлы:
1️⃣ B
2️⃣ D
3️⃣ F
И никакие другие. Почему? Потому что пакет по дороге совершает три прыжка: от компьютера-источника A на VPN-сервер B, с него на противоположный конец туннеля – D и оттуда в пункт назначения F, интерфейсы С и E в передаче пакета не участвуют (точнее используются только как интерфейсы выхода).
Если у вас в трассировке появились другие узлы – следовательно вы неправильно настроили маршрутизацию.
Теперь начнем диагностику. Если наша трассировка не доходит даже до первого промежуточного узла B, то берем ping и проверяем его доступность. Если он недоступен – то тут все понятно.
Но может ли быть так, что узел B пингуется, а трассировка не проходит? Может, в том случае, если VPN-сервер не является основным шлюзом сети и это означает что у вас не работает локальная маршрутизация.
В этом случае следует прописать маршрут к удаленной сети через узел B либо непосредственно на узле А, либо на основном шлюзе сети.
Здесь разобрались, идем дальше. Если у нас недоступен следующий узел трассировки – D, то это означает что пакет не удалось отправить на другую сторону туннеля.
В этом случае проверяем доступность (пингом) узла C, что покажет нам поднят ли туннельный интерфейс и отвечает ли он на наши запросы.
Если интерфейс поднят, но не отвечает на пинг, то проверяем включена ли маршрутизация на VPN-сервере и не блокирует ли данные соединения брандмауэр.
Интерфейс поднят и отвечает. Отлично. Теперь самое время разобраться в типе нашего VPN-подключения. Соединения на основе PPP, OpenVPN или AnyConnect строятся по клиент-серверной схеме.
Если с вашей стороны клиент, то доступность туннельного интерфейса означает что туннель поднят и работает, за редкими исключениями. Например, в OpenVPN при неправильно выставленных настройках сжатия туннель поднимается, но не работает.
Поэтом пробуем пропинговать точку D непосредственно с сервера. Если пинг проходит, то смотрим маршруты непосредственно на VPN-сервере (на самом деле клиенте) или проверяем брандмауэр на другой стороне.
Если мы сами сервер – то в первую очередь проверяем подключен ли к нам клиент со стороны D, далее точно также – маршруты и брандмауэр.
Другое дело stateless туннели, это GRE, IP-IP и WireGuard. Они ничего не знают о состоянии другой стороны и всегда подняты. В этом случае проверяем доступность узла противоположной стороны – Y, проверяем параметры туннеля с обоих сторон, правильность настроек.
Потому что в случае неправильных настроек туннельные интерфейсы с обоих сторон все равно будут подняты, также они будут подняты даже если узлы X и Y будут недоступны.
Если же трассировка прерывается на последнем этапе, то переходим к этапу 1, только с другой стороны. Мало доставить пакет от узла A к узлу F, надо еще чтобы узел F сумел доставить нам ответ.
В этом случае проверяем, включена ли маршрутизация на VPN-сервере с другой стороны, смотрим, не блокирует ли нас брандмауэр, а после этого смотрим, умеет ли узел F отправлять пакеты в сеть узла A. Для этого лучше всего выполнить встречную трассировку.
Ну и конечно же убедитесь, что все конечные и промежуточные узлы могут отвечать на пинг, например, Windows с настройками брандмауэра по умолчанию этого не делает.
Как показывает практика – маршрутизация всегда была непростым вопросом, особенно если речь идет о маршрутизации между сетями. И чаще всего бывает так – я все сделал по инструкции, но ничего не работает.
Как быть, что делать, куда бежать? А бежать никуда не надо, надо просто взять в руки два простых инструмента и заняться диагностикой. Эти инструменты всем известны: пинг и трассировка.
Но прежде посмотрим на схему внизу материала. Где:
🔹 A и F – конечные устройства в разных сетях
🔹 B и E – внутренние интерфейсы VPN-серверов (роутеры)
🔹 С и D – стороны туннеля
🔹 X и Y – внешние адреса серверов
Итак, наша задача попасть из пункта A в пункт F и для начала мы посмотрим, как должна выглядеть правильная трассировка. Нам должны ответить по очереди следующие узлы:
1️⃣ B
2️⃣ D
3️⃣ F
И никакие другие. Почему? Потому что пакет по дороге совершает три прыжка: от компьютера-источника A на VPN-сервер B, с него на противоположный конец туннеля – D и оттуда в пункт назначения F, интерфейсы С и E в передаче пакета не участвуют (точнее используются только как интерфейсы выхода).
Если у вас в трассировке появились другие узлы – следовательно вы неправильно настроили маршрутизацию.
Теперь начнем диагностику. Если наша трассировка не доходит даже до первого промежуточного узла B, то берем ping и проверяем его доступность. Если он недоступен – то тут все понятно.
Но может ли быть так, что узел B пингуется, а трассировка не проходит? Может, в том случае, если VPN-сервер не является основным шлюзом сети и это означает что у вас не работает локальная маршрутизация.
В этом случае следует прописать маршрут к удаленной сети через узел B либо непосредственно на узле А, либо на основном шлюзе сети.
Здесь разобрались, идем дальше. Если у нас недоступен следующий узел трассировки – D, то это означает что пакет не удалось отправить на другую сторону туннеля.
В этом случае проверяем доступность (пингом) узла C, что покажет нам поднят ли туннельный интерфейс и отвечает ли он на наши запросы.
Если интерфейс поднят, но не отвечает на пинг, то проверяем включена ли маршрутизация на VPN-сервере и не блокирует ли данные соединения брандмауэр.
Интерфейс поднят и отвечает. Отлично. Теперь самое время разобраться в типе нашего VPN-подключения. Соединения на основе PPP, OpenVPN или AnyConnect строятся по клиент-серверной схеме.
Если с вашей стороны клиент, то доступность туннельного интерфейса означает что туннель поднят и работает, за редкими исключениями. Например, в OpenVPN при неправильно выставленных настройках сжатия туннель поднимается, но не работает.
Поэтом пробуем пропинговать точку D непосредственно с сервера. Если пинг проходит, то смотрим маршруты непосредственно на VPN-сервере (на самом деле клиенте) или проверяем брандмауэр на другой стороне.
Если мы сами сервер – то в первую очередь проверяем подключен ли к нам клиент со стороны D, далее точно также – маршруты и брандмауэр.
Другое дело stateless туннели, это GRE, IP-IP и WireGuard. Они ничего не знают о состоянии другой стороны и всегда подняты. В этом случае проверяем доступность узла противоположной стороны – Y, проверяем параметры туннеля с обоих сторон, правильность настроек.
Потому что в случае неправильных настроек туннельные интерфейсы с обоих сторон все равно будут подняты, также они будут подняты даже если узлы X и Y будут недоступны.
Если же трассировка прерывается на последнем этапе, то переходим к этапу 1, только с другой стороны. Мало доставить пакет от узла A к узлу F, надо еще чтобы узел F сумел доставить нам ответ.
В этом случае проверяем, включена ли маршрутизация на VPN-сервере с другой стороны, смотрим, не блокирует ли нас брандмауэр, а после этого смотрим, умеет ли узел F отправлять пакеты в сеть узла A. Для этого лучше всего выполнить встречную трассировку.
Ну и конечно же убедитесь, что все конечные и промежуточные узлы могут отвечать на пинг, например, Windows с настройками брандмауэра по умолчанию этого не делает.
👍38🔥6
А зачем нам DNS если у нас нет домена?
Довольно часто встречаемся с этим вопросом, особенно когда поднимаем службу DNS в сравнительно небольших сетях. Почему-то у многих коллег DNS прочно ассоциируется с Active Directory. Может быть что и там, и там домен?
Но тем не менее DNS-это одна из важнейших сетевых служб, даже для небольших сетей и хороший задел на будущее.
Но начнем мы немного издалека. Еще в начале нулевых, когда сети стали не роскошью, а средством взаимодействия компьютеров пришло понимание, что бегать и прописывать статику по узлам сети контрпродуктивно и самое широкое внедрение нашли службы DHCP.
Сегодня представить сеть без нее невозможно. Статика осталась только на серверах, да и то не на всех, а только на ключевых, где без нее никуда. А для клиентских узлов DHCP стало нормой жизни. Все привыкли, что достаточно подключить ПК к сети, а там он как-то сам справится.
А дальше? А дальше коллеги пытаются жить среди плоских имен и IP-адресов, но ни то, ни другое не доставляет хорошего настроения.
Плоские имена, это имена, не являющиеся полностью определенным доменным именем (FQDN), например, PC-02. Разрешение данных имен осуществляется через широковещательные протоколы и действует только внутри широковещательного домена (сегмента сети).
Если у вас появляются филиалы, соединенные с основной сетью через VPN, то обращаться к удаленным компьютерам по именам вы не сможете. Плюс широковещание также не всегда хорошо работает и в пределах одного сегмента, например, на конечном узле может быть выключено сетевое обнаружение.
Поэтому многие не заморачиваются и используют IP- адреса, чем закладывают себе мину замедленного действия. Пока сеть небольшая и администратор держит в голове всю адресацию, то такая идея может даже показаться неплохой.
Но IP-адреса тяжело использовать пользователям, особенно если приходится диктовать их по телефону. Поди объясни, где там точки, где еще чего.
Но это все ерунда, по сравнению с тем, когда IP-адреса используются в настройках программ и сервисов, ярлыках пользователей и т.д. и т.п.
Почему? Потому что сеть имеет свойство расти и наступает момент, когда возникает потребность навести порядок в адресации или вынести узлы в отдельные сегменты сети.
И вот тут возникает занимательный квест: найди все места, где были забиты IP-адреса и поменяй их. Как показывает опыт – с первого раза его еще никто не проходил.
Отдельная песня – мобильные пользователи, мы ни раз и ни два видели наборы ярлыков «Общая папка офис», «Общая папка из дома» и т.д. и т.п. Связанные с тем, что в разных расположениях один и тот же сервис имел разную IP-адресацию.
Какой выход напрашивается из всего этого? Не использовать IP-адреса для обращения к узлам сети, они для этого не предназначены, для обращения к узлам следует использовать имена.
А поможет нам с этим служба DNS. Для того, чтобы узел понимал к какому домену он относится достаточно распространить через DHCP доменный суффикс, а разрешением имен займется локальная служба DNS.
Теперь вам не нужно вспоминать какой адрес имеет тот или иной узел, достаточно знать его имя, плоское. Система сама дополнит его до FQDN при помощи доменного суффикса и разрешит имя в адрес при помощи DNS-сервера.
Но это потребует определенного порядка и системы в наименовании узлов, потому как если компьютеры у вас называются как-то вроде DESKTOP-7GRSBHN, то толку от перехода на обращение по именам будет немного.
Если же сделать все по уму, то вам больше не придется каждый раз лазить в записи, чтобы посмотреть какой адрес у принтера на втором этаже в отделе кадров в 214 кабинете, вы всегда знаете, что это PRINTER-214.
После чего у вас полностью развязываются руки в плане IP-адресации, вы можете наводить в ней порядок, менять, переносить узлы из сегмента в сегмент – главное, чтобы это все отражалось на DNS-сервере.
Также это поможет и для удаленных пользователей, достаточно организовать двойной горизонт DNS, когда в офисе и за его пределами для одного и того же ресурса DNS-сервера будут выдавать различные IP-адреса.
Довольно часто встречаемся с этим вопросом, особенно когда поднимаем службу DNS в сравнительно небольших сетях. Почему-то у многих коллег DNS прочно ассоциируется с Active Directory. Может быть что и там, и там домен?
Но тем не менее DNS-это одна из важнейших сетевых служб, даже для небольших сетей и хороший задел на будущее.
Но начнем мы немного издалека. Еще в начале нулевых, когда сети стали не роскошью, а средством взаимодействия компьютеров пришло понимание, что бегать и прописывать статику по узлам сети контрпродуктивно и самое широкое внедрение нашли службы DHCP.
Сегодня представить сеть без нее невозможно. Статика осталась только на серверах, да и то не на всех, а только на ключевых, где без нее никуда. А для клиентских узлов DHCP стало нормой жизни. Все привыкли, что достаточно подключить ПК к сети, а там он как-то сам справится.
А дальше? А дальше коллеги пытаются жить среди плоских имен и IP-адресов, но ни то, ни другое не доставляет хорошего настроения.
Плоские имена, это имена, не являющиеся полностью определенным доменным именем (FQDN), например, PC-02. Разрешение данных имен осуществляется через широковещательные протоколы и действует только внутри широковещательного домена (сегмента сети).
Если у вас появляются филиалы, соединенные с основной сетью через VPN, то обращаться к удаленным компьютерам по именам вы не сможете. Плюс широковещание также не всегда хорошо работает и в пределах одного сегмента, например, на конечном узле может быть выключено сетевое обнаружение.
Поэтому многие не заморачиваются и используют IP- адреса, чем закладывают себе мину замедленного действия. Пока сеть небольшая и администратор держит в голове всю адресацию, то такая идея может даже показаться неплохой.
Но IP-адреса тяжело использовать пользователям, особенно если приходится диктовать их по телефону. Поди объясни, где там точки, где еще чего.
Но это все ерунда, по сравнению с тем, когда IP-адреса используются в настройках программ и сервисов, ярлыках пользователей и т.д. и т.п.
Почему? Потому что сеть имеет свойство расти и наступает момент, когда возникает потребность навести порядок в адресации или вынести узлы в отдельные сегменты сети.
И вот тут возникает занимательный квест: найди все места, где были забиты IP-адреса и поменяй их. Как показывает опыт – с первого раза его еще никто не проходил.
Отдельная песня – мобильные пользователи, мы ни раз и ни два видели наборы ярлыков «Общая папка офис», «Общая папка из дома» и т.д. и т.п. Связанные с тем, что в разных расположениях один и тот же сервис имел разную IP-адресацию.
Какой выход напрашивается из всего этого? Не использовать IP-адреса для обращения к узлам сети, они для этого не предназначены, для обращения к узлам следует использовать имена.
А поможет нам с этим служба DNS. Для того, чтобы узел понимал к какому домену он относится достаточно распространить через DHCP доменный суффикс, а разрешением имен займется локальная служба DNS.
Теперь вам не нужно вспоминать какой адрес имеет тот или иной узел, достаточно знать его имя, плоское. Система сама дополнит его до FQDN при помощи доменного суффикса и разрешит имя в адрес при помощи DNS-сервера.
Но это потребует определенного порядка и системы в наименовании узлов, потому как если компьютеры у вас называются как-то вроде DESKTOP-7GRSBHN, то толку от перехода на обращение по именам будет немного.
Если же сделать все по уму, то вам больше не придется каждый раз лазить в записи, чтобы посмотреть какой адрес у принтера на втором этаже в отделе кадров в 214 кабинете, вы всегда знаете, что это PRINTER-214.
После чего у вас полностью развязываются руки в плане IP-адресации, вы можете наводить в ней порядок, менять, переносить узлы из сегмента в сегмент – главное, чтобы это все отражалось на DNS-сервере.
Также это поможет и для удаленных пользователей, достаточно организовать двойной горизонт DNS, когда в офисе и за его пределами для одного и того же ресурса DNS-сервера будут выдавать различные IP-адреса.
👍53❤1🤔1
Используете ли вы DNS в небольших сетях?
Anonymous Poll
47%
Да, обязательно
9%
Да, если сеть крупная
11%
Иногда использую
1%
Использовал, теперь нет, лишняя нагрузка
7%
Не использовал, но собираюсь
7%
Нет, не задумывался
6%
Нет, не вижу смысла
6%
Какие еще DNS? Тут если роутер дороже 1000 рублей купили - и то хорошо.
2%
Что делай, что не делай, все равно будут ходить по IP
4%
Ничего не понятно, но очень интересно
🧠 Тайны пользователей — открытый вебинар для тех, кто только начал свой путь в изучении Linux
👉 Ждём вас на открытом практическом уроке от OTUS, где мы:
- поговорим о типах пользователей;
- узнаем, где хранится информация о локальных пользователях;
- выясним, для чего нужны sudo и su.
🏆 Спикер Андрей Буранов — системный администратор в VK, входит в топ-3 лучших преподавателей образовательных порталов.
⏰ Встречаемся 11 июля в 20:00 мск в преддверии старта курса «Administrator Linux.Basic». Все участники вебинара получат специальную цену на обучение!
Регистрируйтесь для участия: https://otus.pw/3oGr/?erid=LjN8JyK2X
👉 Ждём вас на открытом практическом уроке от OTUS, где мы:
- поговорим о типах пользователей;
- узнаем, где хранится информация о локальных пользователях;
- выясним, для чего нужны sudo и su.
🏆 Спикер Андрей Буранов — системный администратор в VK, входит в топ-3 лучших преподавателей образовательных порталов.
⏰ Встречаемся 11 июля в 20:00 мск в преддверии старта курса «Administrator Linux.Basic». Все участники вебинара получат специальную цену на обучение!
Регистрируйтесь для участия: https://otus.pw/3oGr/?erid=LjN8JyK2X
👍1
Сертификаты плотно вошли в нашу жизнь и сегодня трудно представить себе рабочую систему, использующую незащищенные коммуникации.
Но несмотря на это тема использования сертификатов все еще вызывает затруднения у многих коллег, особенно когда они сталкиваются с тем, что разные системы и приложения могут требовать различных форматов сертификата.
Поэтому снова возвращаемся к напечатанному и советуем освежить свои знания при помощи нашей статьи
Форматы сертификатов X.509 (SSL) и преобразования между ними
Но несмотря на это тема использования сертификатов все еще вызывает затруднения у многих коллег, особенно когда они сталкиваются с тем, что разные системы и приложения могут требовать различных форматов сертификата.
Поэтому снова возвращаемся к напечатанному и советуем освежить свои знания при помощи нашей статьи
Форматы сертификатов X.509 (SSL) и преобразования между ними
🔥23👍6
Самоподписанные сертификаты. Мифы и реальность
Вокруг самоподписанных сертификатов каких только мифов не собрано. Если не вдаваться в подробности, то все они сводятся к тому, что самоподписанный сертификат не безопасен и не предоставляет надежного шифрования. И ставить его в продакшен – ну такое…
Но стоит начать задавать уточняющие вопросы как выясняется, что редко кто может толком пояснить чем же небезопасен самоподписанный сертификат и что в нем такого ненадежного.
Начнем с того, что надежность шифрования не зависит от сертификата, сертификат нужен нам для формирования ключей шифрования, а надежность шифрования зависит от применяемого набора шифров.
Мы вполне можем использовать «настоящий» сертификат и слабые шифры и это будет менее надежно, чем самоподписанный сертификат и сильные шифры.
Так в чем же тогда проблема? В доверии. Вся инфраструктура открытых ключей (PKI) строится на вопросе доверия, ключевым звеном в вопросе доверия является удостоверяющий центр (CA), которому мы однозначно доверяем.
После того, как мы поместим корневой сертификат CA в хранилище доверенных корневых сертификатов мы можем проверить любой выданный этим удостоверяющим центром сертификат и убедиться в том, что он действителен.
Также мы можем проверить сертификат на отзыв, при помощи все того же удостоверяющего центра.
Если нам нужно выпускать собственные сертификаты, то мы можем создать собственный CA и распространив его корневой сертификат внутри своей инфраструктуры обеспечим доверительные отношения к любым выпущенным им сертификатам.
Корневой сертификат удостоверяющего центра не является секретным, но перед его установкой нам следует убедиться, что мы устанавливаем именно тот сертификат, который нам нужен.
Для этого нужно сравнить цифровой отпечаток с предоставленным вам по надежным каналам владельцем сертификата или с опубликованным в официальном источнике.
А теперь перейдем к самоподписанным сертификатам. При его создании не используется никакой удостоверяющий центр и сертификат подписывает себя самостоятельно собственной сигнатурой.
Таким образом мы не можем проверить действительность сертификата и установить с ним доверительные отношения. Нам остается только поверить или проверить его цифровой отпечаток запросив его у владельца сертификата.
Вариант «поверить» на практике выливается в постоянное игнорирование предупреждения о доверии сертификату, что притупляет бдительность и дает прекрасную возможность осуществить атаку MitM, перехватив трафик и предоставив поддельный сертификат. Все равно его никто не проверяет.
Вариант «проверить» также связан с определенными сложностями, вам нужно получить от владельца сертификата по заслуживающему доверию каналу его цифровой отпечаток и сравнить его с тем, который предоставляет удаленный узел.
Хорошо, проверили и убедились, что это действительно реальный сертификат узла, но не будем же мы это делать каждый раз? Не будем, чтобы избежать постоянного предупреждения такой сертификат также нужно добавить в хранилище корневых доверенных сертификатов.
Подводя итог, скажем следующее, самоподписанные сертификаты ничем не отличаются от любых других и их использование не несет никаких технических угроз безопасности.
Основная проблема самоподписанного сертификата – это вопрос доверия, точнее крайняя сложность в установлении доверительных отношений, если только вы сами не являетесь стороной выпустившей такой сертификат.
Кроме того, такой сертификат нельзя отозвать, нет, вы можете выпустить новый самоподписанный сертификат, но старый останется действительным до конца срока действия, что может привести к нежелательным последствиям в случае его компрометации.
Так можно ли использовать такие сертификаты? Можно, если вы представляете все сопутствующие проблемы и риски и готовы их решать. Но лучше все таки создать собственный удостоверяющий центр и выпускать сертификаты с его помощью, что позволит вам более гибко управлять процессом и уменьшит количество потенциально опасных ситуаций связанных с доверием.
Вокруг самоподписанных сертификатов каких только мифов не собрано. Если не вдаваться в подробности, то все они сводятся к тому, что самоподписанный сертификат не безопасен и не предоставляет надежного шифрования. И ставить его в продакшен – ну такое…
Но стоит начать задавать уточняющие вопросы как выясняется, что редко кто может толком пояснить чем же небезопасен самоподписанный сертификат и что в нем такого ненадежного.
Начнем с того, что надежность шифрования не зависит от сертификата, сертификат нужен нам для формирования ключей шифрования, а надежность шифрования зависит от применяемого набора шифров.
Мы вполне можем использовать «настоящий» сертификат и слабые шифры и это будет менее надежно, чем самоподписанный сертификат и сильные шифры.
Так в чем же тогда проблема? В доверии. Вся инфраструктура открытых ключей (PKI) строится на вопросе доверия, ключевым звеном в вопросе доверия является удостоверяющий центр (CA), которому мы однозначно доверяем.
После того, как мы поместим корневой сертификат CA в хранилище доверенных корневых сертификатов мы можем проверить любой выданный этим удостоверяющим центром сертификат и убедиться в том, что он действителен.
Также мы можем проверить сертификат на отзыв, при помощи все того же удостоверяющего центра.
Если нам нужно выпускать собственные сертификаты, то мы можем создать собственный CA и распространив его корневой сертификат внутри своей инфраструктуры обеспечим доверительные отношения к любым выпущенным им сертификатам.
Корневой сертификат удостоверяющего центра не является секретным, но перед его установкой нам следует убедиться, что мы устанавливаем именно тот сертификат, который нам нужен.
Для этого нужно сравнить цифровой отпечаток с предоставленным вам по надежным каналам владельцем сертификата или с опубликованным в официальном источнике.
А теперь перейдем к самоподписанным сертификатам. При его создании не используется никакой удостоверяющий центр и сертификат подписывает себя самостоятельно собственной сигнатурой.
Таким образом мы не можем проверить действительность сертификата и установить с ним доверительные отношения. Нам остается только поверить или проверить его цифровой отпечаток запросив его у владельца сертификата.
Вариант «поверить» на практике выливается в постоянное игнорирование предупреждения о доверии сертификату, что притупляет бдительность и дает прекрасную возможность осуществить атаку MitM, перехватив трафик и предоставив поддельный сертификат. Все равно его никто не проверяет.
Вариант «проверить» также связан с определенными сложностями, вам нужно получить от владельца сертификата по заслуживающему доверию каналу его цифровой отпечаток и сравнить его с тем, который предоставляет удаленный узел.
Хорошо, проверили и убедились, что это действительно реальный сертификат узла, но не будем же мы это делать каждый раз? Не будем, чтобы избежать постоянного предупреждения такой сертификат также нужно добавить в хранилище корневых доверенных сертификатов.
Подводя итог, скажем следующее, самоподписанные сертификаты ничем не отличаются от любых других и их использование не несет никаких технических угроз безопасности.
Основная проблема самоподписанного сертификата – это вопрос доверия, точнее крайняя сложность в установлении доверительных отношений, если только вы сами не являетесь стороной выпустившей такой сертификат.
Кроме того, такой сертификат нельзя отозвать, нет, вы можете выпустить новый самоподписанный сертификат, но старый останется действительным до конца срока действия, что может привести к нежелательным последствиям в случае его компрометации.
Так можно ли использовать такие сертификаты? Можно, если вы представляете все сопутствующие проблемы и риски и готовы их решать. Но лучше все таки создать собственный удостоверяющий центр и выпускать сертификаты с его помощью, что позволит вам более гибко управлять процессом и уменьшит количество потенциально опасных ситуаций связанных с доверием.
👍61
Подборка наших статей про BIND, ISC DHCP и Kea
▫️ Настраиваем отказоустойчивый DHCP-сервер на базе ISC DHCP
▫️ Настраиваем отказоустойчивый DNS-сервер на базе BIND 9
▫️ Настраиваем динамическое обновление DNS-сервера BIND 9 при помощи ISC DHCP
▫️ Установка и базовая настройка DHCP-сервера Kea
▫️ Настраиваем динамическое обновление DNS-сервера BIND 9 при помощи Kea DHCP
▫️ Настраиваем отказоустойчивый DHCP-сервер на базе ISC DHCP
▫️ Настраиваем отказоустойчивый DNS-сервер на базе BIND 9
▫️ Настраиваем динамическое обновление DNS-сервера BIND 9 при помощи ISC DHCP
▫️ Установка и базовая настройка DHCP-сервера Kea
▫️ Настраиваем динамическое обновление DNS-сервера BIND 9 при помощи Kea DHCP
👍22
Маршрутизация в OpenVPN
OpenVPN является одним из самых популярных решений для создания корпоративных VPN-сетей и одним из самых функциональных.
А если мы говорим о сетях, то никак нельзя забывать про маршрутизацию, тем более что OpenVPN предоставляет для этого мощные инструменты.
Основная задача VPN – соединить сети, а значит нам нужно каким-то образом направить нужный трафик в туннель. Для этого предназначена опция конфигурационного файла route, она может использоваться как на сервере, так и на клиенте и создает локальные маршруты при поднятии туннельного интерфейса.
Например, если у нас за VPN доступно несколько сетей, то просто пропишем в конфигурационный файл:
Однако маршрутная информация не является чем-то незыблемым и постоянным, она может меняться и поэтому прописывать подобные директивы в конфигурацию клиента считается плохой практикой, лучше отправить их с сервера, для этого в серверную конфигурацию добавьте:
Директива push означает, что указанная в кавычках опция должна быть отправлена клиенту и аналогична ее добавлению в клиентский конфигурационный файл.
Но таким образом мы распространим маршрут на всех клиентов, а как быть если нужно выборочно задать маршруты? Для этого следует использовать client-config-dir, технологию позволяющую назначить каждому клиенту специфические опции.
Мы не будем подробно на ней останавливаться, надеемся, что читатели про нее знают.
Таким образом мы можем отправить каждому клиенту собственный набор маршрутов, например первому:
И второму
Отлично, запускаем клиентов, проверяем таблицы маршрутизации – все маршруты добавлены. Но ничего не работает… Как же так?
Все просто. Мы настроили только внешнюю маршрутизацию, которая предписывает отправлять в туннель все пакеты к указанным сетям. Но OpenVPN не использует по умолчанию топологию точка-точка, вместо этого используется внутренняя подсеть и поэтому она не знает какому узлу внутренней сети отправлять тот или иной пакет.
Для настройки внутренней маршрутизации предназначена директива iroute (internal route) и она используется только в ccd-конфигурациях. В данной директиве указываем ту сеть, которая расположена за клиентом:
Таким образом для первого клиента ccd-конфигурация будет:
Для второго:
А на сервере будет достаточно:
Здесь внимательный читатель спросит, а почему нет отдельного внутреннего маршрута для сетей за сервером. Здесь все просто, такой маршрут не нужен, так как внутри OpenVPN сети сервер является шлюзом по умолчанию и все пакеты для которых нет отдельного внутреннего маршрута будут направлены ему.
OpenVPN является одним из самых популярных решений для создания корпоративных VPN-сетей и одним из самых функциональных.
А если мы говорим о сетях, то никак нельзя забывать про маршрутизацию, тем более что OpenVPN предоставляет для этого мощные инструменты.
Основная задача VPN – соединить сети, а значит нам нужно каким-то образом направить нужный трафик в туннель. Для этого предназначена опция конфигурационного файла route, она может использоваться как на сервере, так и на клиенте и создает локальные маршруты при поднятии туннельного интерфейса.
Например, если у нас за VPN доступно несколько сетей, то просто пропишем в конфигурационный файл:
route 192.168.101.0 255.255.255.0
route 192.168.102.0 255.255.255.0
Однако маршрутная информация не является чем-то незыблемым и постоянным, она может меняться и поэтому прописывать подобные директивы в конфигурацию клиента считается плохой практикой, лучше отправить их с сервера, для этого в серверную конфигурацию добавьте:
push "route 192.168.100.0 255.255.255.0"
Директива push означает, что указанная в кавычках опция должна быть отправлена клиенту и аналогична ее добавлению в клиентский конфигурационный файл.
Но таким образом мы распространим маршрут на всех клиентов, а как быть если нужно выборочно задать маршруты? Для этого следует использовать client-config-dir, технологию позволяющую назначить каждому клиенту специфические опции.
Мы не будем подробно на ней останавливаться, надеемся, что читатели про нее знают.
Таким образом мы можем отправить каждому клиенту собственный набор маршрутов, например первому:
push "route 192.168.100.0 255.255.255.0"
push "route 192.168.102.0 255.255.255.0"
И второму
push "route 192.168.100.0 255.255.255.0"
push "route 192.168.101.0 255.255.255.0"
Отлично, запускаем клиентов, проверяем таблицы маршрутизации – все маршруты добавлены. Но ничего не работает… Как же так?
Все просто. Мы настроили только внешнюю маршрутизацию, которая предписывает отправлять в туннель все пакеты к указанным сетям. Но OpenVPN не использует по умолчанию топологию точка-точка, вместо этого используется внутренняя подсеть и поэтому она не знает какому узлу внутренней сети отправлять тот или иной пакет.
Для настройки внутренней маршрутизации предназначена директива iroute (internal route) и она используется только в ccd-конфигурациях. В данной директиве указываем ту сеть, которая расположена за клиентом:
Таким образом для первого клиента ccd-конфигурация будет:
push "route 192.168.100.0 255.255.255.0"
push "route 192.168.102.0 255.255.255.0"
iroute 192.168.101.0 255.255.255.0
Для второго:
push "route 192.168.100.0 255.255.255.0"
push "route 192.168.101.0 255.255.255.0"
iroute 192.168.102.0 255.255.255.0
А на сервере будет достаточно:
route 192.168.101.0 255.255.255.0
route 192.168.102.0 255.255.255.0
Здесь внимательный читатель спросит, а почему нет отдельного внутреннего маршрута для сетей за сервером. Здесь все просто, такой маршрут не нужен, так как внутри OpenVPN сети сервер является шлюзом по умолчанию и все пакеты для которых нет отдельного внутреннего маршрута будут направлены ему.
👍36❤4
Сам себе директор
Многие из наших коллег время от времени работают на стороне и рано или поздно встает вопрос легализации подобного вида деятельности.
Причин тут может быть несколько и основная из них – желание заказчика платить в белую. Обычно оно возникает при росте сумм выставляемых счетов, потому как одно дело отдать неучтенной «наличкой» тысячу-другую, а совсем другое если вопрос исчисляется уже десятком тысяч.
Другая причина – это необходимость показать официальный доход, которая нужна если вы планируете крупные покупки в кредит, например, ипотеку.
Часто в списке причин указываются также возможные проблемы с налоговой, но будем честны – мелкие доходы физических лиц налоговую не интересуют в принципе, не тот масштаб.
А вот получить проблемы в банке – это уже гораздо легче, особенно если у вас есть крупные регулярные поступления от одних и тех же физических лиц. Но здесь все зависит от банка, в небольших банках к этому относятся гораздо стороже, чем в крупных.
В общем вы решили вывести свои подработки на белый свет. Как лучше это сделать? Оптимальный вариант – это стать самозанятым. Это просто, быстро и не требует дополнительных финансовых и административных затрат. Все делается через приложение «Мой налог».
Существенный минус самозанятого – он не имеет права перепродавать товары. Но в случае оказания услуг по администрированию или программированию это не является серьезным препятствием. Покупать и использовать в своей деятельности материалы и запчасти вам никто не мешает.
Если же нужно официально перепродавать оборудование, то придется регистрироваться как ИП. Сегодня это не сложно и вполне можно сделать онлайн. Но сопровождение ИП уже потребует финансовой (страховые взносы) и административной нагрузки (ведение учета, сдача отчетности).
Ничего страшного в этом нет. Сейчас есть много сервисов, помогающих вести учет ИП, или можно купить Бухгалтерию Базовую и полностью закрыть этот вопрос своими силами.
Основа учета ИП – это Книга учета доходов и расходов в которой предприниматель отражает все полученные доходы и все понесенные расходы (если использует режим налогообложения требующий учет расходов).
Учет ведется кассовым методом, т.е. по факту получения дохода или понесенных расходов. И если с расходами есть отдельные тонкости, то с доходом все просто и понятно.
Отчетность сдается один раз в год и если вы вели все это время элементарный учет, то она без проблем формируется автоматически в учетной системе.
И вот здесь мы подходим к основному вопросу – выборе системы налогообложения, так как именно от этого зависит финансовый результат нашей деятельности.
По факту у нас есть выбор без выбора. Так самозанятый платит 6% от полученных доходов от юридических лиц. Предприниматель на Упрощенной системе налогообложения с объектом налогообложения доходы платит также 6%, фиксированные страховые взносы + 1% с суммы доходов превысивших 300 тыс. руб.
Упрощенную систему с объектом доходы минус расходы мы рассматривать не будем, так как ее применение для типичной деятельности администратора или программиста финансово невыгодно.
Чтобы не быть голословными сделаем небольшой расчет. Примем ежемесячный доход на уровне 100 тыс. руб. или 1,2 млн. руб. в год.
🔹 Самозанятый заплатит:
1. Налог на профессиональный доход: 62 000 руб.
При этом будет иметь право на налоговый вычет в 10 000 руб.
Налоговая нагрузка составит: 5,17 %
🔹 Предприниматель на УСН (доходы) заплатит:
1. Страховые взносы: 58 500 руб.
1.1. По единому тарифу 49 500 руб.
1.2. В ПФР за себя (с доходов) 9 000 руб.
2. Налог УСН: 13 500 руб.
2.1. Налога начислено 72 000 руб.
2.2. Вычет страховых взносов 58 500 руб.
3. Итого к уплате (налоги и взносы): 72 000 руб.
Налоговая нагрузка, %: 6,00%
‼️ Что касается применения УСН (доходы-минус расходы) то налоговая нагрузка примерно сравняется с УСН (доходы) при расходах свыше 1 млн. рублей, что нам абсолютно не подходит.
☝️ Таким образом для легализации собственных доходов в первую очередь следует рассмотреть самозанятость, а потом ИП на упрощенке.
Многие из наших коллег время от времени работают на стороне и рано или поздно встает вопрос легализации подобного вида деятельности.
Причин тут может быть несколько и основная из них – желание заказчика платить в белую. Обычно оно возникает при росте сумм выставляемых счетов, потому как одно дело отдать неучтенной «наличкой» тысячу-другую, а совсем другое если вопрос исчисляется уже десятком тысяч.
Другая причина – это необходимость показать официальный доход, которая нужна если вы планируете крупные покупки в кредит, например, ипотеку.
Часто в списке причин указываются также возможные проблемы с налоговой, но будем честны – мелкие доходы физических лиц налоговую не интересуют в принципе, не тот масштаб.
А вот получить проблемы в банке – это уже гораздо легче, особенно если у вас есть крупные регулярные поступления от одних и тех же физических лиц. Но здесь все зависит от банка, в небольших банках к этому относятся гораздо стороже, чем в крупных.
В общем вы решили вывести свои подработки на белый свет. Как лучше это сделать? Оптимальный вариант – это стать самозанятым. Это просто, быстро и не требует дополнительных финансовых и административных затрат. Все делается через приложение «Мой налог».
Существенный минус самозанятого – он не имеет права перепродавать товары. Но в случае оказания услуг по администрированию или программированию это не является серьезным препятствием. Покупать и использовать в своей деятельности материалы и запчасти вам никто не мешает.
Если же нужно официально перепродавать оборудование, то придется регистрироваться как ИП. Сегодня это не сложно и вполне можно сделать онлайн. Но сопровождение ИП уже потребует финансовой (страховые взносы) и административной нагрузки (ведение учета, сдача отчетности).
Ничего страшного в этом нет. Сейчас есть много сервисов, помогающих вести учет ИП, или можно купить Бухгалтерию Базовую и полностью закрыть этот вопрос своими силами.
Основа учета ИП – это Книга учета доходов и расходов в которой предприниматель отражает все полученные доходы и все понесенные расходы (если использует режим налогообложения требующий учет расходов).
Учет ведется кассовым методом, т.е. по факту получения дохода или понесенных расходов. И если с расходами есть отдельные тонкости, то с доходом все просто и понятно.
Отчетность сдается один раз в год и если вы вели все это время элементарный учет, то она без проблем формируется автоматически в учетной системе.
И вот здесь мы подходим к основному вопросу – выборе системы налогообложения, так как именно от этого зависит финансовый результат нашей деятельности.
По факту у нас есть выбор без выбора. Так самозанятый платит 6% от полученных доходов от юридических лиц. Предприниматель на Упрощенной системе налогообложения с объектом налогообложения доходы платит также 6%, фиксированные страховые взносы + 1% с суммы доходов превысивших 300 тыс. руб.
Упрощенную систему с объектом доходы минус расходы мы рассматривать не будем, так как ее применение для типичной деятельности администратора или программиста финансово невыгодно.
Чтобы не быть голословными сделаем небольшой расчет. Примем ежемесячный доход на уровне 100 тыс. руб. или 1,2 млн. руб. в год.
🔹 Самозанятый заплатит:
1. Налог на профессиональный доход: 62 000 руб.
При этом будет иметь право на налоговый вычет в 10 000 руб.
Налоговая нагрузка составит: 5,17 %
🔹 Предприниматель на УСН (доходы) заплатит:
1. Страховые взносы: 58 500 руб.
1.1. По единому тарифу 49 500 руб.
1.2. В ПФР за себя (с доходов) 9 000 руб.
2. Налог УСН: 13 500 руб.
2.1. Налога начислено 72 000 руб.
2.2. Вычет страховых взносов 58 500 руб.
3. Итого к уплате (налоги и взносы): 72 000 руб.
Налоговая нагрузка, %: 6,00%
‼️ Что касается применения УСН (доходы-минус расходы) то налоговая нагрузка примерно сравняется с УСН (доходы) при расходах свыше 1 млн. рублей, что нам абсолютно не подходит.
☝️ Таким образом для легализации собственных доходов в первую очередь следует рассмотреть самозанятость, а потом ИП на упрощенке.
👍26
Интересно ли вам получать больше материалов по теме самозанятости/ИП для IT-специалистов?
Anonymous Poll
65%
Да
17%
Нет
18%
Все равно
Нужен ли сторонний софт для распознавания текста в Windows 11?
Windows 11 уже привыкли ругать, в первую очередь за откровенно неудачный интерфейс, хотя компания уже исправила многие огрехи, в той мере в которой их можно исправить.
Но при этом сама система получила множество новых функций и улучшений. Одно из самых значимых из них как-то незаметно прошло мимо – это оптическое распознавание символов.
Да, вы не ослышались, теперь, чтобы распознать текст с изображения вам не нужен ломаный FineReader или иное программное обеспечение, все это можно сделать стандартными средствами.
Новая возможность появилась в приложении Ножницы, которое многие используют для снятия скриншотов. В Windows 11 это приложение не только стало лучше и удобнее, но и обзавелось новой полезной функцией.
Чтобы распознать текст не нужно даже снимать скриншот картинки, достаточно ее просто открыть в приложении и нажать отмеченную на скриншоте кнопку.
Ножницы уверенно и без ошибок распознали текст даже на повернутом изображении. Но здесь есть нюанс – приложение посчитало началом документа его левый край и при копировании расставило абзацы в обратном порядке, поэтому документы перед распознаванием все-таки лучше поворачивать правильно.
Понятно, что это далеко не полноценный OCR со всеми его возможностями, но для прикладных задач быстро распознать текст с изображения его возможностей более чем достаточно.
Windows 11 уже привыкли ругать, в первую очередь за откровенно неудачный интерфейс, хотя компания уже исправила многие огрехи, в той мере в которой их можно исправить.
Но при этом сама система получила множество новых функций и улучшений. Одно из самых значимых из них как-то незаметно прошло мимо – это оптическое распознавание символов.
Да, вы не ослышались, теперь, чтобы распознать текст с изображения вам не нужен ломаный FineReader или иное программное обеспечение, все это можно сделать стандартными средствами.
Новая возможность появилась в приложении Ножницы, которое многие используют для снятия скриншотов. В Windows 11 это приложение не только стало лучше и удобнее, но и обзавелось новой полезной функцией.
Чтобы распознать текст не нужно даже снимать скриншот картинки, достаточно ее просто открыть в приложении и нажать отмеченную на скриншоте кнопку.
Ножницы уверенно и без ошибок распознали текст даже на повернутом изображении. Но здесь есть нюанс – приложение посчитало началом документа его левый край и при копировании расставило абзацы в обратном порядке, поэтому документы перед распознаванием все-таки лучше поворачивать правильно.
Понятно, что это далеко не полноценный OCR со всеми его возможностями, но для прикладных задач быстро распознать текст с изображения его возможностей более чем достаточно.
👍42🔥5❤3👎2
Выбор ОКВЭД для открытия ИП
Стать самозанятым просто, вести деятельность ненамного сложнее, разрешена любая деятельность кроме явно запрещенной.
А вот открывая ИП вы столкнетесь с необходимостью выбора вида деятельности или как их еще называют кодов ОКВЭД.
Общероссийский классификатор видов экономической деятельности (ОКВЭД) – это специальный справочник, в котором отражены все возможные виды экономической деятельности, и вы должны выбрать из него один или несколько кодов.
В целом никто не мешает выбрать кодов побольше, нет никакого запрета на выбор и использование кодов, по которым вы не ведете деятельности. Но будьте осторожны, некоторые коды требуют обязательного лицензирования, другие делают невозможным применение налоговых спецрежимов или предъявляют особые требования к исполнителю.
Но есть и другой момент, нормальной деловой практикой является изучение нового контрагента, в частности заявленных им видов деятельности и если у одного и того же ИП стоят там самые разноплановые коды, то выглядеть в глазах потенциального контрагента он будет подозрительно.
Почему? Да потому что такие коды чаще всего встречаются у фирм однодневок и прочих прокладок, занимающихся сомнительной экономической деятельностью.
Один из кодов ОКВЭД следует указать основным, но это совсем не значит, что вы должны показывать по нему основную выручку, хотя крайне желательно чтобы он отражал ваш основной вид деятельности. Это сделает ваше ИП более привлекательным в глазах контрагентов.
Бытует мнение, что коды ОКВЭД «только для галочки» и вполне можно вести деятельность по другим направлениям. К сожалению, это не так. При заключении договора на вид деятельности отсутствующий в указанных кодах ОКВЭД вы должны в течении 3 дней уведомить об этом налоговую (т.е. добавить код).
Если этого не сделать, то грозит штраф от 5 000 до 10 000 руб. Если сделать с опозданием, то штраф в 5 000 руб. При этом отдельный штраф выписывается на каждый код ОКВЭД.
Однако правоприменительная практика сложилась таким образом, что применить такие санкции можно только в том случае, если такая деятельность велась более двух месяцев.
Таким образом разовые работы или услуги не по ОКВЭД вполне допустимы, особенно если они имеют экономический смысл и тесно связаны с оказываемыми вами услугами. Например, разовый монтаж ЛВС. Никаких вопросов на практике в таких случаях не возникает.
Иное дело применение патентной системы налогообложения, патент выдается на определенный вид деятельности и инспекция вполне может контролировать (и контролирует) соответствие осуществляемой деятельности заявленной.
Поэтому все договора и акты выполненных работ по патенту не должны содержать никаких разночтений и двоякого трактования, позволяющих вывести договор или его часть из-под ПСН.
Чаще всего ПСН применяется для разработки ПО (код 62.01) и если вы заключаете договор на разработку и внедрение какого-либо продукта, то эти два этапа следует четко разделить, а еще лучше оформить разными договорами.
Потому как разработка ПО не вызывает вопросов по данному коду, а вот уже внедрение вполне может быть отнесено на код 62.02 при условии некоторых оговорок.
Также крупные разовые работы без ОКВЭД могут выйти боком контрагенту потому как услуги на IT (и т.п. нематериальные услуги) при определенных условиях вызывают пристальное внимание налоговой, если она имеет основания полагать уменьшение контрагентом налоговой базы таким образом.
Отсутствие у исполнителя нужного ОКВЭД может послужить основанием признать такую сделку мнимой или не имеющей экономического обоснования.
Кроме того, в случае ИП инспекция может переквалифицировать такую сделку в договор ГПХ, заставив вашего заказчика доплатить НДФЛ и страховые взносы.
А еще подобные фокусы не очень любят банки, что может повлечь от них вопросы по 115ФЗ с последующей блокировкой счетов.
Поэтому с кодами ОКВЭД лучше не шутить, тем более что внести изменения в их список можно в течении нескольких минут, не выходя из дома, вам потребуется только электронная подпись.
Стать самозанятым просто, вести деятельность ненамного сложнее, разрешена любая деятельность кроме явно запрещенной.
А вот открывая ИП вы столкнетесь с необходимостью выбора вида деятельности или как их еще называют кодов ОКВЭД.
Общероссийский классификатор видов экономической деятельности (ОКВЭД) – это специальный справочник, в котором отражены все возможные виды экономической деятельности, и вы должны выбрать из него один или несколько кодов.
В целом никто не мешает выбрать кодов побольше, нет никакого запрета на выбор и использование кодов, по которым вы не ведете деятельности. Но будьте осторожны, некоторые коды требуют обязательного лицензирования, другие делают невозможным применение налоговых спецрежимов или предъявляют особые требования к исполнителю.
Но есть и другой момент, нормальной деловой практикой является изучение нового контрагента, в частности заявленных им видов деятельности и если у одного и того же ИП стоят там самые разноплановые коды, то выглядеть в глазах потенциального контрагента он будет подозрительно.
Почему? Да потому что такие коды чаще всего встречаются у фирм однодневок и прочих прокладок, занимающихся сомнительной экономической деятельностью.
Один из кодов ОКВЭД следует указать основным, но это совсем не значит, что вы должны показывать по нему основную выручку, хотя крайне желательно чтобы он отражал ваш основной вид деятельности. Это сделает ваше ИП более привлекательным в глазах контрагентов.
Бытует мнение, что коды ОКВЭД «только для галочки» и вполне можно вести деятельность по другим направлениям. К сожалению, это не так. При заключении договора на вид деятельности отсутствующий в указанных кодах ОКВЭД вы должны в течении 3 дней уведомить об этом налоговую (т.е. добавить код).
Если этого не сделать, то грозит штраф от 5 000 до 10 000 руб. Если сделать с опозданием, то штраф в 5 000 руб. При этом отдельный штраф выписывается на каждый код ОКВЭД.
Однако правоприменительная практика сложилась таким образом, что применить такие санкции можно только в том случае, если такая деятельность велась более двух месяцев.
Таким образом разовые работы или услуги не по ОКВЭД вполне допустимы, особенно если они имеют экономический смысл и тесно связаны с оказываемыми вами услугами. Например, разовый монтаж ЛВС. Никаких вопросов на практике в таких случаях не возникает.
Иное дело применение патентной системы налогообложения, патент выдается на определенный вид деятельности и инспекция вполне может контролировать (и контролирует) соответствие осуществляемой деятельности заявленной.
Поэтому все договора и акты выполненных работ по патенту не должны содержать никаких разночтений и двоякого трактования, позволяющих вывести договор или его часть из-под ПСН.
Чаще всего ПСН применяется для разработки ПО (код 62.01) и если вы заключаете договор на разработку и внедрение какого-либо продукта, то эти два этапа следует четко разделить, а еще лучше оформить разными договорами.
Потому как разработка ПО не вызывает вопросов по данному коду, а вот уже внедрение вполне может быть отнесено на код 62.02 при условии некоторых оговорок.
Также крупные разовые работы без ОКВЭД могут выйти боком контрагенту потому как услуги на IT (и т.п. нематериальные услуги) при определенных условиях вызывают пристальное внимание налоговой, если она имеет основания полагать уменьшение контрагентом налоговой базы таким образом.
Отсутствие у исполнителя нужного ОКВЭД может послужить основанием признать такую сделку мнимой или не имеющей экономического обоснования.
Кроме того, в случае ИП инспекция может переквалифицировать такую сделку в договор ГПХ, заставив вашего заказчика доплатить НДФЛ и страховые взносы.
А еще подобные фокусы не очень любят банки, что может повлечь от них вопросы по 115ФЗ с последующей блокировкой счетов.
Поэтому с кодами ОКВЭД лучше не шутить, тем более что внести изменения в их список можно в течении нескольких минут, не выходя из дома, вам потребуется только электронная подпись.
👍25
Выбор ОКВЭД для открытия ИП
В одну заметку все не поместилось, поэтому продолжим.
Какие именно коды можно выбрать для своей деятельности? Начнем непосредственно с рекомендуемых для IT кодов:
▫️ 62.01 Разработка компьютерного программного обеспечения
▫️ 62.02 Деятельность консультативная и работы в области компьютерных технологий
▫️ 62.03 Деятельность по управлению компьютерным оборудованием
▫️ 62.09 Деятельность, связанная с использованием вычислительной техники и информационных технологий, прочая
▫️ 63.11 Деятельность по обработке данных, предоставление услуг по размещению информации и связанная с этим деятельность
▫️63.11.1 Деятельность по созданию и использованию баз данных и информационных ресурсов
▫️63.11.9 Деятельность по предоставлению услуг по размещению информации прочая
▫️ 47.41 Торговля розничная компьютерами, периферийными устройствами к ним и программным обеспечением в специализированных магазинах
▫️ 47.91.2 Торговля розничная, осуществляемая непосредственно при помощи информационно-коммуникационной сети Интернет
▫️ 95.11 Ремонт компьютеров и периферийного компьютерного оборудования
▫️ 70.22 Консультирование по вопросам коммерческой деятельности и управления
▫️ 73.11 Деятельность рекламных агентств
▫️ 73.20 Исследование конъюнктуры рынка и изучение общественного мнения
Обратите внимание, что код 63.11 содержит вложенные коды. Выбор общего кода обозначает автоматическое применение вложенных. Смысл выбора более узкого кода может быть обусловлена нежелательностью применения сразу всех кодов группы.
Код 73.11на первый взгляд к IT никаким боком, однако он пригодится если у вас есть свой сайт или телеграм-канал, и вы получаете средства за размещение рекламы.
Сюда же относится и 73.20, так как некоторые виды партнерских программ могут попадать под данный вид деятельности.
Также с осторожностью следует применять 47.41, особенно без наличия этого самого специализированного магазина. Причем проблемы здесь чаще возникают не от налоговой, а от банков, которые крайне нервно относятся к работе по этому коду без наличия реальной торговой точки.
Кстати, оба приведенных «торговых» кода относятся к розничной торговле. А розничная торговля подразумевает продажу товара, предназначенного для личного, семейного, домашнего или иного использования, не связанного с предпринимательской деятельностью.
И если продажа запасных частей или комплектующих формально подходит под понятие розничной сделки, то продажу оборудования, особенно явно коммерческого применения сюда уже не подведешь, поэтому лучше указать дополнительные «оптовые» коды:
▫️ 46.51 Торговля оптовая компьютерами, периферийными устройствами к компьютерам и программным обеспечением
▫️ 46.51.1 Торговля оптовая компьютерами и периферийными устройствами
▫️ 46.51.2 Торговля оптовая программным обеспечением
Ну а в том случае если вы на регулярной основе занимаетесь монтажом компьютерных сетей, то не поленитесь добавить еще один код:
▫️ 43.21 Производство электромонтажных работ
Данный список не претендует на полноту и не является исчерпывающим, но на наш взгляд он содержит все основные коды которые могут пригодиться вам при регистрации своего ИП.
В одну заметку все не поместилось, поэтому продолжим.
Какие именно коды можно выбрать для своей деятельности? Начнем непосредственно с рекомендуемых для IT кодов:
▫️ 62.01 Разработка компьютерного программного обеспечения
▫️ 62.02 Деятельность консультативная и работы в области компьютерных технологий
▫️ 62.03 Деятельность по управлению компьютерным оборудованием
▫️ 62.09 Деятельность, связанная с использованием вычислительной техники и информационных технологий, прочая
▫️ 63.11 Деятельность по обработке данных, предоставление услуг по размещению информации и связанная с этим деятельность
▫️63.11.1 Деятельность по созданию и использованию баз данных и информационных ресурсов
▫️63.11.9 Деятельность по предоставлению услуг по размещению информации прочая
▫️ 47.41 Торговля розничная компьютерами, периферийными устройствами к ним и программным обеспечением в специализированных магазинах
▫️ 47.91.2 Торговля розничная, осуществляемая непосредственно при помощи информационно-коммуникационной сети Интернет
▫️ 95.11 Ремонт компьютеров и периферийного компьютерного оборудования
▫️ 70.22 Консультирование по вопросам коммерческой деятельности и управления
▫️ 73.11 Деятельность рекламных агентств
▫️ 73.20 Исследование конъюнктуры рынка и изучение общественного мнения
Обратите внимание, что код 63.11 содержит вложенные коды. Выбор общего кода обозначает автоматическое применение вложенных. Смысл выбора более узкого кода может быть обусловлена нежелательностью применения сразу всех кодов группы.
Код 73.11на первый взгляд к IT никаким боком, однако он пригодится если у вас есть свой сайт или телеграм-канал, и вы получаете средства за размещение рекламы.
Сюда же относится и 73.20, так как некоторые виды партнерских программ могут попадать под данный вид деятельности.
Также с осторожностью следует применять 47.41, особенно без наличия этого самого специализированного магазина. Причем проблемы здесь чаще возникают не от налоговой, а от банков, которые крайне нервно относятся к работе по этому коду без наличия реальной торговой точки.
Кстати, оба приведенных «торговых» кода относятся к розничной торговле. А розничная торговля подразумевает продажу товара, предназначенного для личного, семейного, домашнего или иного использования, не связанного с предпринимательской деятельностью.
И если продажа запасных частей или комплектующих формально подходит под понятие розничной сделки, то продажу оборудования, особенно явно коммерческого применения сюда уже не подведешь, поэтому лучше указать дополнительные «оптовые» коды:
▫️ 46.51 Торговля оптовая компьютерами, периферийными устройствами к компьютерам и программным обеспечением
▫️ 46.51.1 Торговля оптовая компьютерами и периферийными устройствами
▫️ 46.51.2 Торговля оптовая программным обеспечением
Ну а в том случае если вы на регулярной основе занимаетесь монтажом компьютерных сетей, то не поленитесь добавить еще один код:
▫️ 43.21 Производство электромонтажных работ
Данный список не претендует на полноту и не является исчерпывающим, но на наш взгляд он содержит все основные коды которые могут пригодиться вам при регистрации своего ИП.
👍37