Сети они такие, ага: LOOK, THE LATENCY FALLS EVERY TIME YOU CLAP YOUR HANDS AND SAY YOU BELIEVE. Но всем известно, что это из-за DNS.

Интересный документ с просторов Всемирного Экономического Форума, или вот сразу в PDF. Четыре принципа:

1. Protect consumers by default from widespread cyberattacks and act collectively with peers to identify and respond to known threats
2. Take action to raise awareness and understanding of threats and support consumers in protecting themselves and their networks
3. Work more closely with manufacturers and vendors of hardware, software and infrastructure to increase minimum levels
of security
4. Take action to shore up the security of routing and signalling to reinforce effective defence against attacks

Первые два пункта - думай за абонентов, третий - думай за производителя, и четвёртый - думай сам, MANRS.

Сегодня открываю отчёт Qrator Radar, а там новый открытый порт TCP 179 (BGP) у абонента. Осознаёт ли абонент опасность? Возможно там и вовсе не BGP или какое-то тестовое окружение развёрнуто, зачем вообще в общем случае абоненту на домашнем подключении BGP? И что c этим делать дальше? Не вмешиваться, следуя принципу мы дали канал, то что в канале нас не интересует? Или, как нам говорит документ выше, вмешаться и разобраться? Или превентивно заблокировать для всех?

Ладно это BGP, первый раз такое за много лет что у кого-то дома оказался BGP, с этим можно разобраться досконально. Но DNS или NTP торчит наружу очень часто у сотен абонентов если не у тысяч, это как раз те самые настройки по умолчанию домашних роутеров. Разобравшись с каждым появятся ещё тысячи. Остаётся только всех под одну гребёнку причёсывать и блокировать. Хорошо ещё SMTP свою роль потерял, все на веб перелезли.

В итоге, что опять же следует из документа, современный оператор связи это не просто канал связи, это набор правил и ограничений с ним связанных и не всегда всё что хочется в этом канале использовать заработает. Хорошо когда тех.поддержка может это что-то разрешить, но бывает что и не может или за отдельные деньги. Никаких не вмешивайся в трафик абонента больше нет, отчасти я с этим согласен - защищайся как можешь, чтобы не было ещё хуже, но есть в этом что-то неправильное.

Linux впереди планеты всей по части MPTCP и добавили в ядро поддержку первой версии, когда все остальные ещё на нулевой. Год назад с проникновением было не очень, но вроде всё движется.

Диаграмма сети с Cisco Live Barcelona 2020, пример того как делает Cisco для Cisco.
А вот общая панель мониторинга. Не знаю что это, но похоже на Network Weathermap. На мой вкус не очень, чисто визуально. Лучше смотрится когда используется символические изображения устройств, а не фотографии, на вкус и цвет как говорится.

Результаты опроса почти 300 человек об автоматизации их сетей, для некоторых вопросов есть сравнение с 2016 годом. Затронуты совершенно разные аспекты и всё выглядит вполне неплохо. В консоль, однако, оставили себе возможность заходить подавляющее большинство респондентов в дополнение к автоматизированным способам. На GitHub есть сырые данные.

Как ломаются сетевые устройства на примере Mikrotik и CVE-2018-7445. Детально про процесс от поиска возможности до реализации эксплоита. Много про программный реверс-инжиниринг и разработку на низком уровне, но есть и про SMB и работу с Wireshark. Далеко от использования и практики сетей, но близко к самым основам. А ещё можно сравнить с тем как ломаются Cisco и оценить что сложнее, искать уязвимости, исправлять их, или сети эксплуатировать.

Netnod на 400G порты переходит на Arista, а Cisco на 8000 серии тоже скоро обещает. Ждём домашние роутеры в исполнении 4x10G + WiFi.

10 лет из жизни IPv6 по странам от RIPE NCC: количество AS с анонсируемыми IPv6 префиксами. Наверное, не очень корректно сравнивать Люксебург и Бразилию в процентах, но уж как есть. Ещё интересно, что процент как растёт так и падает, вряд ли это отказ от IPv6 (хотя кто знает), скорее это рост количества AS.

Возвращаясь к написанному. Министерство обороны США похоже передумали - принятый закон 116-92 не содержит секции 1088 и вообще каких либо упоминаний про IP адреса. Интересно, могли это засекретить? Я, конечно, попытался поискать в принятых поправках ответ на вопрос "Почему?", но не сильно понял как это сделать быстро и вообще по какому признаку искать, поэтому оставил это дело. IPv6 и без них победит, судя по предыдущей картинке уже где-то победил.

Иногда нужна не стабильная сеть, а наоборот, например, для тестов. Как внести задержку, потери и другие искажения в передачу трафика, несколько примеров в статье на Habr.
Решения для tc и iptables. Почему-то не упомянут режим random для iptables, которым тоже можно внести нестабильность, скажем в 1% потерь:

sudo iptables -A INPUT -m statistic --mode random --probability 0.01 -j DROP

Нехорошие админы именно так чаще всего и развлекаются.

В новом ядре Linux решена проблема Y2038. UNIX time будет и дальше себе тикать, если не появится какая-нибудь более амбициозная система со своим началом отсчёта. Молодцы, что решили не откладывать.

Крутая визуализация Интернет - галактика ASn, как её видно из NTT.

Правила жизни сетевого (не только) инженера, реальность как она есть в профессиональных и управленческих аспектах. Хотел какие-то правила прокомментировать, но не буду, согласен с каждым на 100%.

Wireshark это ещё и плеер - прослушать голосовой вызов можно прямо из интерфейса. Наверное, не новость для некоторых, я в меню "Телефония" первый раз перешёл.

​Порой кажется, что задача собирать и анализировать трафик сети неподъемная и очень трудоёмкая.

Причин, требующих мониторить трафик может быть множество, начиная от неправильных конфигураций, которые нагружают вашу сеть, до создания поведенческого baseline сетевой активности и анализа аномалий.

Задача поставлена, рынок спешит предложить решения, и тут они на любой вкус и цвет: пакетные анализаторы, анализаторы потоков (flow), десятки способов получения трафика: SPANы, TAP'ы, отправка различных flow и пр.

Но, что если хочется «бисплатно» и с рюшками? Тут тоже целый простор для фантазии, open-source, отодвигая кровавый энтерпрайз, тоже готов предложить массу интересных систем, например небезизвестное в широких кругах Moloch — масштабируемое решение для захвата и индексации пакетов внутри вашей сети, которое отлично дополнит IDS систему.

GitHub: https://github.com/aol/moloch
Quick Start: https://medium.com/swlh/indexing-network-traffic-with-moloch-and-elastic-931dda8a1685

А также другие решения, если вдруг захочется «а можно всех посмотреть?»:

Traffic Analysis/Inspection: https://github.com/caesar0301/awesome-pcaptools#analysis
Traffic Capture: https://github.com/caesar0301/awesome-pcaptools#capture

Прочитал на прошлой неделе "Мифический человеко-месяц" Брукса, своего рода икона в области литературы по процессам разработки программного обеспечения. Очень, даже очень многие на неё ссылаются в своих работах, но читать её сейчас не стоит. Только как исторический экскурс, потому что окружающая среда кардинально изменилась и в повествовании всё время натыкаешься на проблемы вроде аренды килобайтов памяти за тысячи долларов, что сильно мешает пониманию сути происходящего. Хотя, конечно, выйдя на сломе эпох, даже спустя столько времени чувствуется её революционный дух и видно откуда растут ноги классических, сейчас, утверждений, например не использования GOTO или перехода к высокоуровневым языкам программирования. Гораздо понятнее и ближе к текущим реалиям, но тоже уже историческая статья: "Серебряной пули нет" - вот её стоит почитать и понять что многие современные вещи родились, пусть и в качестве идей, больше 30 лет назад и не сильно изменились с тех пор.

Так вот, провозглашая программирование как творческую профессию автор уделяет очень много внимание знакам статуса технического руководителя и эксперта, а также удобству и комфортности рабочего места. Как правило многие отмечают, что мощный компьютер это важный аспект, а вот про кресло, которое должно быть не хуже кресла менеджера и кабинет с не меньшей площадью, мысль для меня интересная. Насколько важно ощущать себя на должном уровне в корпоративной иерархии, а она есть даже в очень маленьких компаниях, чтобы результат твоей работы был лучше. И наушники не спасут если сидишь в опенспейсе даже самом дальнем уголке. При том что профессия программиста или сисадмина во многом превратилась в работу клерка, но как минимум не ниже по статусу чем менеджера на телефоне, хотя порой, особенно сисадмины сами загоняют себя на дно. Хороший костюм, это важно. Быть инженером, по настоящему, как пишет Russ White это уважать себя и свою профессию, в которой, в массе своей, осталось так мало настоящего технического искусства.

Про котят и сетевые протоколы. В комментариях продолжение и толковые замечания.

Объясняй это просто, но не проще чем требуется. Простое объяснение работы OSPF, но только на его вдумчивое чтение придётся потратить, я думаю, несколько часов. Есть про типы LSA от 1 до 5, про Area, про заголовки и LSDB и про то как это всё вместе работает, с упоминанием особенностей и примерами вывода для Cisco IOS.

Повествование последовательное, так что перелистывать не стоит, но если прямо всё действительно кажется простым, то последняя часть Connecting The LSA подводит итог и на примере показывает как из данных OSPF database собирается готовый маршрут.

Собственно программирование сетей, как есть: ConQuest - гоняемся за микробёрст на скорости порта. Нужны устройства с поддержкой P4 через которые проходит трафик или на которые трафик зеркалируем. Если проходит то ещё эффективно можем на него влиять, гораздо гибче предопределённых правил QoS. Как там интересно в ближайшем будущем, будет магазин с приложениями для коммутаторов?

#dns И раз уж я начал про DNS, сделаю пост для интересующихся (ВНИМАНИЕ — по ссылкам много узкоспециализированной технической информации)

✅ DNSSEC. Руководство регистратора доменов. Декабрь 2016:
Слайды: https://www.slideshare.net/schors/dnssec-71055077
(доклада не существует)

✅ DNSSEC. Руководство оператора. Октябрь 2017:
Слайды: https://www.slideshare.net/schors/enog14-dnssec
Видео Часть 1: https://youtu.be/rrDL7ymvm0A
Видео Часть 2: https://youtu.be/I2UEGPM0_ic
Видео Часть 3: https://youtu.be/RsPEoPWuxoY
Видео Часть 4: https://youtu.be/7e1Wj1wNRaA
Видео Часть 5: https://youtu.be/1b6G4VZJOt0

✅ Безопасность DNS. Популярный обзор современных практик. Сентябрь 2018:
Слайды: https://www.slideshare.net/schors/a-popular-dns-security-overview-modern-theory-and-practice-116166410
Видео: https://youtu.be/wkN1Yqcpj2c

👍 Возможно, под шумок, кто-нибудь решит внедрить DoH, или даже DNSSEC :)