​​Хочу рассказать вам про удобный сервис для создания документации - Gitbook. Он работает по модели SaaS с бесплатным тарифным планом. С его помощью можно вести документацию в обычном git репозитории, а затем публиковать в виде веб сайта, а так же электронной книги в формате PDF, ePub или Mobi (платные функции).

Пример подобной документации можно оценить по очень известной серии статей на тему настройки сети - Сети для самых маленьких. Они с некоторых пор живут на gitbook. Думаю, вы часто сталкивались с документацией на этом сервисе. Он популярен.

Одно время у Gitbook был опенсорсный клиент с cli, который можно было поставить на Linux. С его помощью можно было локально вести документацию и синхронизировать с сервисом. Но не так давно его перестали поддерживать и развивать, хотя он пока всё ещё работает.

Я не совсем понял, что там с оплатой. Заявлен бесплатный тарифный план для open source проектов. При этом я без проблем зарегистрировался и нигде не увидел ограничений или срок действия триала, если он активирован. Проверил очень старые проекты, где вели документацию еще несколько лет назад, они все живы, доки открываются по старым ссылкам, хотя проекты уже мёртвые и давно не обновлялись.

В общем, если ищите инструмент для ведения документации, посмотрите на Gitbook. Это удобное специализированное решение для этих целей.

Посмотреть, как всё это работает:
https://www.youtube.com/watch?v=KzOcIopMNjU

#разное

​​Давно не было публикаций на тему инструментов для бэкапа. Одно время я очень много их описал. Практически всё полезное и популярное. Их можно найти по тэгу #backup или почитать подборку на сайте. Правда, там не всё, так как были новые обзоры после выхода статьи.

В поле моего зрения попала полезная консольная утилита restic, решил её посмотреть и поделиться информацией с вами, так как она показалась мне заслуживающей внимание.

В первую очередь это open source проект и весьма популярный:
https://github.com/restic/restic. Для установки достаточно скачать бинарник из репозитория. Он написан на Go. На каких-то системах, например Debian, он есть в базовых репах. Основные возможности:

- все данные шифруются AES256, сам ключ шифруется паролем;
- нет деления на типы бэкапов: полные, инкрементные, дифференциальные, вместо этого используются снепшоты, соответственно работает дедупликация;
- различные хранилища для архивируемых данных: локальная директория, sftp, S3, HTTP REST server, OpenStack Swift, BackBlaze B2, Microsoft Azure Blob Storage, Google Cloud Storage;
- помимо прямого подключения к хранилищам, есть поддержка rclone;
- встроенная проверка целостности данных.

Restic режет данные на блоки настраиваемой длины, блоки собираются в паки. Паки хранят в себе файлы и метаданные, либо ссылки на другие блоки. Всё это выстраивается в деревья. Таким образом работают снепшоты и экономится место под бэкапы.

Покажу пример, как с помощью restic делаются бэкапы. Сначала инициализируется локальный репозиторий:
restic init -r /mnt/backup
В этот момент будет сгенерирован ключ для шифрования и создана структура каталогов репозитория. Пример для инициализации репозитория по sftp:
restic init -r sftp:user@host:/mnt/backup
Бэкапим:
restic -r sftp:user@host:/mnt/backup backup /data
Смотрим список внепшотов в репозитории:
restic -r sftp:user@host:/mnt/backup snaphots
Смотрим список файлов в снепшоте:
restic -r sftp:user@host:/mnt/backup ls -l latest
Восстанавливаем файлы:
restic -r sftp:user@host:/mnt/backup restore latest \
--target=/restore/

Для всех операций поддерживаются списки include или exclude. Есть команды для быстрого сравнения снепшотов.

Думаю, вы получили представление, как всё это работает. Утилита консольная и хорошо подойдёт для скриптов. Авторы говорят, что Restic очень быстро работает. Я тестов не проводил. Из неудобств отметил то, что Restic надо ставить на сам хост, где лежат данные. Из документации я не понял, как с одного сервера с Restic забирать данные по ssh с других серверов.

Мне Restic сильно напомнил Borg. Подозреваю, что проблемы у него будут те же. Например, как будет выглядеть листинг снепшота, где хранится 500 тысяч файлов? Но в целом выглядит интересно. Основная фишка - снепшоты и дедупликация из коробки и бесплатно. Есть хорошая документация с практическими примерами.

Сайт - https://restic.net/
Исходники - https://github.com/restic/restic
Документация - https://restic.readthedocs.io/en/latest/

#backup

​​Ранее я рассказывал про интересную обучающую платформу kodekloud-engineer.com. Подробности есть в летнем посте. Рекомендую почитать его, так как платформа необычная и интересная. Там надо выполнять задания на тему поддержки инфраструктуры на базе Linux.

На днях вспомнил про неё и решил посмотреть, что там с заданиями. Они регулярно добавляются, но так как я не захожу, все числятся просроченными. Но при этом одно задание было активно, и я решил его пройти. Вот само задание:

The system admin team of xFusionCorp Industries has noticed an issue with some servers in Stratos Datacenter where some of the servers are not in sync w.r.t time. Because of this, several application functionalities have been impacted. To fix this issue the team has started using common/standard NTP servers. They are finished with most of the servers except App Server 1. Therefore, perform the following tasks on this server:
Install and configure NTP server on App Server 1.
Add NTP server 1.my.pool.ntp.org in NTP configuration on App Server 1.
Please do not try to start/restart/stop ntp service, as we already have a restart for this service scheduled for tonight and we don't want these changes to be applied right now.

Выглядит всё просто. Быстро посмотрел схему проекта, wiki с описанием серверов и зашёл на нужны хост. Смотрю, что там за система:
# uname -a
Linux stapp01.stratos.xfusioncorp.com 5.4.0-1065-gcp #69~18.04.1-Ubuntu SMP Sat Feb 12 01:39:35 UTC 2022 x86_64 x86_64 x86_64 GNU/Linux

Ага, Ubuntu. Пытаюсь поставить туда ntp:
apt install ntp
apt-get install ntp
bash: apt: command not found

Фиг вам, как говорится. Нету пакетного менеджера. Окей, думаю я, вызов принят. Не всё так просто. Смотрю, что с настройкой времени:
# timedatectl status
Помимо прочего указано:
NTP enabled: n/a

Раз пакетного менеджера нет, пробую через службу systemctl настроить:
# timedatectl set-ntp true
Failed to set ntp: NTP not supported.

Опять фиг вам. Без установленного NTP сервера это не работает. Тут я что-то подзалип. Не понял, что делать дальше. Чисто наугад зашёл в /usr/bin и решил посмотреть, что там есть. Обнаружил yum. Что за фигня. Проверяю систему:
# cat /etc/os-release 
NAME="CentOS Linux"

Система на самом деле Centos 7. Вот это поворот. Откуда упоминание Ubuntu в описании системы? Дальше делаю:
# yum install chrony
Добавляю нужный сервер в конфиг /etc/chrony.conf, не запускаю службу, так как в задании указали, что это произойдет автоматически ночью, а просто добавляю в автозагрузку:
# systemctl enable chronyd

Вроде всё ОК, сдаю задание. В результате получаю Failed. Ошибка:
- 'ntp' is not installed on App Server 1

Расстроился. Ну что за ерунда. В задании указано, установить NTP server. Chrony тоже NTP Server и обычно на Centos ставят именно его, так как он по умолчанию идёт в системе. Получается нужно было установить пакет ntp и настроить его.

В общем, от итога получил небольшое разочарование, но в целом понравилось немного поднапрячь мозги и разобраться в проблеме. Я так и не понял, с версией системы специально такую подставу сделали, или это я чего-то не понял. В Centos 7 обычно ядро типа такого 3.10.0-1160.36.2.el7.x86_64, а тут 5.4.0-1065-gcp #69~18.04.1-Ubuntu стояло.

В целом, симулятор сисадмина интересный. Рекомендую попробовать проходить задания. Немного полезно, немного интересно.

#обучение

​​Существует старая и известная программа для управления IT активами и HelpDesk система - Spiceworks. Я давно про неё знаю, да и в комментариях к тематическим заметкам иногда писали люди. Насколько я помню, это была бесплатная программа для Windows, которую отличала простота и легкость настройки. Обычный виндовый установщик и дальше управление через web интерфейс.

Дошли руки повнимательнее посмотреть на современный Spiceworks, но я немного не понял, что с ним стало. Облазил весь сайт и нигде не нашёл никакого упоминания про установщик и возможность установить систему локально у себя.

Теперь Spiceworks это облачный сервис для организации HelpDesk системы, системы для инвентаризации оборудования и лицензий ПО. Причём всё это полностью бесплатно и без ограничений. Я заинтересовался подобной моделью развития и внимательно прочитал, откуда такой аттракцион щедрости. На деле через веб интерфейс иногда показывают ненавязчивую рекламу партнёров сервиса с IT тематикой. Плюс в сообществе всякие активности со спонсорами устраивают.

Система в целом неплохая с давней историей. Я зарегистрировался и немного посмотрел, как там всё устроено. Функционал достаточно типовой и простой. Для инвентаризации можно скачать сканер, он сделает поверхностную проверку доступных хостов через локалку. Определит сам, что сможет. Можно скачать агент и установить на каждый комп, тогда он соберёт полную информацию о системе. Все данные пойдут в облако. Насколько это разумно, не мне судить. По сути тут полный SaaS, как сейчас модно. С учётом бесплатности сервиса идея так себе, как по мне. Но можно всё вручную заводить, так что это на ваше усмотрение.

HelpDesk в целом тоже типовой. Основной функционал есть - заявки, дашборды, агенты, сотрудники тех. поддержки, база знаний и т.д. Интерфейс на троечку. Не сильно старый, но и не очень современный. У некоторых рассматриваемых ранее продуктов он поприятнее.

После знакомства осталось двоякое впечатление. Вроде нормально, тем более бесплатно. Меня не смущает за это иногда рекламу посмотреть. Зато можно быстро запуститься на чужих мощностях. Но лично мне их старое self-hosted приложение нравилось больше, так как аналогов было не много. А подобных онлайн сервисов сейчас немало, в том числе и бесплатных.

Сайт - https://www.spiceworks.com

#управление #helpdesk #ITSM

В декабре 2021 года случился сбой в работе МВД.

По всей стране работа ведомства приостановилась. А всё из-за коммунальной аварии и потопа в серверной. Можно ли как-то защититься от "коммунальной стихии" и избежать потери данных?

Конечно да! Облачные технологии - must have для бизнеса и госструктур в 21 веке - безотказно, безопасно и выгодно. 

Подробно рассказываем об этом на канале @cloud4y

🔸статьи экспертов
🔸новости отрасли
🔸бизнес-кейсы
и много другое.

Подпишись, у нас полезно.

#реклама

​​Есть интересный сервис под названием nginx-playground:
https://nginx-playground.wizardzines.com

С его помощью можно быстро и удобно тестировать конфиги nginx. На одной стороне окна браузера конфиг nginx, на другой стороне запрос к веб серверу с этим конфигом и ниже ответ. Прикольная и полезная идея. Особенно удобно с редиректами разбираться в такой штуке. Иногда прям запотеть приходится, чтобы правильно разрулить все редиректы в один этап. То есть не допустить множественных редиректов, когда они накладываются один на другой: http, https, слеш или без слеша на конце, верхний регистр в нижний и т.д.

Если в логе будет ошибка, сразу же увидите её. Работает вся эта штука на Go. Бэкенд забирает ваш конфиг, сохраняет в файл, запускает nginx. Далее запускает curl с запросом и выводит ответ. Уровень небольшой курсовой работы, но при этом достаточно полезно вышло.

Ну и ещё до кучи полезные сервисы для nginx:
Location match tester - https://nginx.viraptor.info/
Config Generator - https://www.digitalocean.com/community/tools/nginx
Ssl-config: https://ssl-config.mozilla.org/
Шпаргалка по безопасности - https://t.iss.one/srv_admin/1193

Забирайте в закладки.

#nginx

❗️Срочная новость. Нигде еще не видел подобной информации, поэтому пишу не откладывая. Сегодня происходит массовый взлом сайтов на движке Wordpress. Мне в руки попал лог веб сервера одного из взломанных сайтов. С его помощью по косвенным признакам я предположительно выяснил, как развивается атака.

Есть достаточно популярный плагин Mistape для отправки админам сайтов сообщений об ошибках в статьях. С помощью какой-то уязвимости в нём злоумышленник попадает в админку и заливает туда плагин UnderConstruction, с помощью которого на главную сайта выводит произвольную информацию.

В качестве информации выступает виджет из Telegram с записью и видео на тему текущих событий на Украине с интерпретацией одной из сторон.

Отключите или удалите этот плагин, если используете. Обсуждения, не относящиеся непосредственно к взлому, будут удаляться.

Плагин - https://wordpress.org/plugins/mistape/
Автор - https://profiles.wordpress.org/decollete/

​​Когда речь идёт о http запросах через консоль, в первую очередь на ум приходит утилита curl, реже wget. Но есть современный аналог, написанный на python - HTTPie. Его разработали с целью сделать взаимодействие с http сервисами через CLI максимально простым и удобным.

Основные преимущества и удобства:

◽ простой и интуитивных синтаксис
◽ поддержка json
◽ подсветка синтаксиса и форматированный вывод
◽ поддержка работы с формами и загрузка файлов
◽ позволяет менять данные запроса и заголовки

Утилита есть в базовых репозиториях популярных дистрибутивов, так что установить можно через пакетный менеджер.
# apt install httpie
# dnf install httpie

HTTPie совмещает функционал curl и wget, так что может заменить обоих. Несколько примеров:
# http example.com
Увидите заголовки и содержимое страницы. При похожем запросе curl просто покажет содержимое, а wget сохранит страницу в файл. С HTTPie удобнее, не нужны лишние ключи.

# https example.com
Запрос автоматом уходит на https протокол, не нужно отдельно указывать в url.

# http GET https://httpbin.org/headers User-Agent:'TEST 1.0'
Подставляем свой User-Agent.

# http PUT pie.dev/put X-API-Token:123 name=John
Пример с использованием метода PUT, передачи заголовка с токеном 123 и передачи данных в формате json {"name": "John"}. В этом примере наглядно видна простота и удобство синтаксиса HTTPie. В curl более громоздко такой же запрос выглядит. Примерно так:
# curl -X PUT -H "X-API-Token: 123" \
-H "Content-Type: application/json" -d '{"name":"John"}' pie.dev/put
Может конечно и проще можно, но лично я всегда примерно так писал, когда использовал curl.

Ну и так далее. Думаю идея вам ясна. Разработчики явно постарались сделать утилиту удобнее существующих. Мне показалось, что у них получилось. HTTPie поддерживает весь функционал, что и curl - авторизация, использование прокси, отправка cookies и т.д. Так что минусов я вообще не заметил. Плюс хорошая документация. Всё подробно описано с примерами.

HTTPie присутствует в виде отдельного приложения c GUI, в том числе для Windows. Получается более простой аналог Postman и подобного софта для работы с API и прочими веб сервисами.

Сайт - https://httpie.io
Исходники - https://github.com/httpie/httpie
Документация - https://httpie.io/docs/cli
Demo - https://httpie.io/cli/run

#terminal

Бесплатные онлайн-практикумы для специалистов по IT-инфраструктуре от команды REBRAIN.

Подключайтесь к одному из крупнейших сообществ по IT-инфраструктуре REBRAIN, с нами уже больше 20 000 человек.
 
С нас:
◽ Более 20 бесплатных открытых практикумов каждый месяц
◽ Спикеры - профессиональные инженеры из лучших компаний ( Avito / Skyeng / AWS / Luxoft / DataArt и др.)
◽ Разбор реальных кейсов автоматизации 
◽ Самый актуальный технологический стек - Kubernetes, Docker, Ansible, Gitlab CI, Linux, Kafka , MySQL, Golang и др.
◽ Работа в консоли и ответы на вопросы в прямом эфире 

Каждый сможет найти для себя интересные практикумы по направлению и уровню компетенций.

❗️И да, всё это бесплатно! Подключайтесь.

p.s. Уже несколько лет смотрю эти практикумы сам, рекомендую 👍

#реклама

Я долго держался и не хотел писать по текущей ситуации, но молчать больше нельзя. Меня атаковали по всем каналам связи - в комментариях к заметкам, в личных сообщениях, даже в рекламе на сайтах. Люди просят и требуют не молчать. Сдерживал себя, пару раз начинал диалог в комментариях, но потом удалял все сообщения, в том числе свои. Но сейчас я понял, что молчать уже нельзя. Развернулась полноценная информационная война на уничтожение всех нас.

Судьба сложилась так, что в 2014 году я лично принимал участие в оказании помощи беженцам из Донбасса. Не где-то там кому-то что-то собирал или отправлял деньги. Непосредственно участвовал в организации приёма детей и других мероприятиях добровольцев. Люди, с которыми я был знаком лично, уезжали туда воевать. Очень основательно и доверительно общался с людьми за чашкой чая в многочасовых вечерних беседах, которые оттуда приезжали, в том числе с бойцами, которые принимали участие в боях. Я знаю о ситуации там из первых уст. Она совершенно не такая, как отражалась в медиапространстве обоих сторон. Там на 90% ложь, написанная по схожим сценариям. Но принципиального значения сейчас это уже не имеет. Важно то, что начал её не Донбасс. И люди, которые там жили и воевали, отлично знают, откуда стреляли и бомбили города. Их невозможно провести никакими роликами из интернета, но в то время их не слышали.

Горячая фаза войны началась 8 лет назад, но тогда никто не хотел этого замечать. Не собирались митинги в Киеве и в других городах. Никто не писал в личку блогерам, не требовал "не молчать". Никто не ставил хештеги "нет войне" и т.д. С молчаливого согласия всё это продолжалось целых 8 лет. Теперь мы видим кульминацию.

Моё отношение ко всему этому. Я не нахожу себе места все эти дни и очень переживаю. Чётко вижу, что эта война была спланирована, развязана и начата уже очень давно. Цель войны - стравить народ и вынудить убивать друг друга. Глобальные действия обоих сторон конфликта направлены именно на это. Война не нужна ни русским, ни украинцам. Последние 30 лет наши страны уверенно вымирают. Славян уничтожают всеми доступными средствами.

Сейчас нет опции закончить войну. Как я уже сказал, нас стравили целенаправленно и остановиться не дадут. Выйти без потерь не получится. Один человек мне прислал руководство к действию для россиян, где сказано: "Революция – вот то, что вы сейчас должны сделать." Это просто абсурд. Если рухнет Россия, то мы все утонем в крови этой междоусобицы, которая не закончится никогда. Это цель всей украинской кампании, начатой много лет назад, поэтому эту идею так раскручивают.

Как любой нормальный человек, я против войны. У меня есть родственники в Киеве, с которыми неизвестно что сейчас. Логика развития событий такова, что остановить смерти и убийства можно только одним способом - армия ВСУ сложит оружие. Никакие митинги, никакие блоггеры, никакая реклама в adsense не остановят смерть. Нет такой опции сейчас, это нужно принять и понять. Всё это рано или поздно закончится, но главная цель сейчас - людям просто выжить, потому что если не будет людей, не будет ничего. А те, кто разгоняют истерию и провоцируют людей на необдуманные поступки, хотят, чтобы это всё продолжалось как можно дольше. Уже ясно, что российские войска не уйдут. И они намного сильнее. И Украине никто не собирается помогать, только подначивают и делают заявления. Союзников у обоих наших стран нет. Всем выгодно, чтобы мы все погибли.

Если вам важно узнать за кого я, то я за славян, которых рвут на части. От нашей общей глупости и бессилия мне горестно до невозможности. И события последних дней только подтверждают это. Мы не смогли остановить и предотвратить уничтожение самих себя своими же руками. Мне одинаково жаль людей, которых убивали на Донбассе и которых сейчас убивают в Киеве и Харькове. Провоцируют, стравливают, врут и потирают ручки, делая громкие заявления из теплых и безопасных мест.

Надеюсь, я понятно пояснил свою позицию. Комментарии отключаю. Тему эту больше не поднимаю.

​​Трудно представить себе переустановку операционной системы на компьютере или ноутбуке без загрузочной флешки. Исключения тут только корпоративные системы, где это централизованно делается по сети. Во всех остальных случаях, если вы хотите с нуля установить систему, воспользуетесь загрузочной флешкой.

Есть старый и давно известный софт для создания мультизагрузочных флешек с множеством ISO образов на борту, из которых можно выбрать необходимый в конкретном случае. Речь идёт о программе YUMI – Multiboot USB Creator. Её поддержка и развитие продолжаются и по сей день. Последняя версия от 30-го января 2022 года.

YUMI позволяет сделать загрузочную флешку с различными Live дистрибутивами Linux, либо установщиками в том числе и Windows. Весьма удобно собрать в одном месте все свои установщики и сервисные образы для диагностики системы. Поддерживается как BIOS, так и UEFI режим загрузки.

После создания загрузочной флешки с помощью YUMI, которая выглядит как типовая программа на Windows, вы можете добавлять новые ISO образы, просто копируя их в соответствующую папку на флешке. Вместо флешки можно использовать внешний SSD диск.

Нужно понимать, что подобный софт не всегда работает на 100%. Попадаются образы, либо системы, где конкретная загрузочная флешка или образ работать не будут. Если что-то не грузится через YUMI, попробуйте аналог, о котором я писал ранее - Ventoy. Принцип действия там такой же.

Сайт - https://www.pendrivelinux.com/yumi-multiboot-usb-creator/

🛡 В связи с обстоятельствами последних дней хочу сделать предостережение. Не обновляйте без проверки любой софт, в том числе открытый. Автообновление где бы то ни было нужно обязательно отключить. Я уже лично столкнулся с конкретными примерами.

Один из них описывал вчера. Автор плагина для Wordpress 24 февраля внёс в него изменения. Дождался, пока обновление разойдётся по пользователям и начал через несколько дней эксплуатировать занесённую туда уязвимость. Я хоть и не программист, но достаточно быстро по внесённым изменениям в код понял, в чём там смысл. При обращении к определённому урлу на сайте, пользователь получал права администратора и мог делать всё, что угодно.

Ещё одним примером со мной поделился читатель. Есть известный open source проект Tasmota. Это альтернативная прошивка для устройств на базе микроконтроллеров ESP8266 и ESP32, которые используются для различных умных вещей, которые можно программировать с помощью Arduino IDE и PlatformIO.

Недавним коммитом в Tasmota внесен новый ino файл, который проверяет координаты микроконтроллера, и если он соответствует Москве или Минску, то в логи пишется текст "Stop war, Free Ukrain". Данный коммит был внесен непосредственно автором, т. е. не является случайным. С таким же успехом туда можно внести что угодно и нарушить режимы работы устройств. Теоретически можно устроить пожар или ещё какую-нибудь неприятность, в зависимости от места использования микроконтроллера.

Способы для явного вредительства есть. Кто-то их использует для взлома (что сродни терроризму), кто-то только для информирования. В любом случае нужно быть начеку и пересматривать все свои подходы к безопасности и хранению информации. Я это уже делаю. Внёс некоторые организационные моменты. Пересмотрел подходы к используемым ОС и софту. Критические серверы с бэкапами по максимуму закрыл от внешнего доступа даже в защищённом периметре и отключил им доступ в интернет.

Я знаю, что многие любят ставить на автообновление установку критических патчей, связанных с безопасностью. Я бы сейчас это тоже отключил. Всё обновления только в ручном режиме.

#security

​​🛡 Продолжаю тему безопасности, так как она остро стоит на повестке дня сегодня. Сам всю неделю в интенсивном режиме привожу дела в порядок и доделываю хвосты, которые в обычное время вечно на потом оставлял. Собрал для вас советы по безопасности. На что нужно обратить внимание в первую очередь:

◽ Закрываем доступ извне для всего, что только можно. Понятно, что это нужно делать всегда, но если что-то оставили открытым, самое время закрыть и этот сервис.
◽ То, что осталось открытым, закройте фаерволом от лишних стран. Если используете iptables, у меня есть статья, как это сделать.
◽ Настройте логирование в какое-то отдельное недоступное место. Это важно. К примеру, взлом сайта через плагин я расследовал полностью по логу веб сервера, больше у меня ничего не было. Если бы не лог, то я вообще не представляю, как выявить уязвимое место.
◽ Используйте местные DNS серверы как для сёрфинга в интернете, так и для поддержки доменной зоны. Я часто cloudflare использовал, пришлось отказаться.
◽ Проверьте свои пароли и места их хранения. Не используйте внешние сервисы, типа lastpass. Я лично всё храню в локальном keepass и никакие автозаполнялки в браузере не использую. Делаю copy / paste постоянно. Это спорный момент, так как есть мнение, что гонять пароли через буфер обмена не безопасно. Но тут уж надо решать, кому больше доверяешь, своему буферу или софту для заполнения полей в браузере.
◽ Про обновления антивирусов и прочих средств защиты упоминаю для галочки. Было бы странно установить подобный софт и не обновлять его.
◽ Отключаем автоматическое обновление ПО везде, кроме инструментов защиты. По хорошему, это нужно было сделать ещё месяц назад. За последнюю неделю - две уже можно было хапнуть проблемных обновлений с тайм бомбами.
◽ Если у вас есть сайт с рекламой, то отключите там все сервисы от google. Я убрал и adsense, и analytics. Всё равно уже не работают, провайдер блочит.
◽ Если есть какой-то публичный сервис с tls, на всякий случай подготовьте самоподписанный сертификат для него. Если отзовут основной, хотя бы быстро перейдёте на свой и разошлёте его пользователям.
◽ Если есть возможность и для вас критично, заранее подключите защиту от DDOS. Также у себя смастерите любую защиту из подручных средств. Это поможет от простейших атак. Примеры есть у меня в статье.
◽ Откажитесь от средств удалённого подключения с работой через сервера авторов ПО, типа Teamviewer или AnyDesk. Есть полно бесплатных аналогов в том числе с возможностью использования собственного сервера для коммутации. Посмотрите у меня на канале по тэгу #remote или в статье на сайте.

❗️Обязательно проверьте свои бэкапы и убедитесь, что с системы, которая бэкапится, нет доступа на удаление этих бэкапов. Нельзя допустить того, чтобы со скомпрометированной системы можно было удалить бэкапы. Подключение должен инициировать сам сервер бэкапов и забирать к себе данные.

#security

Хотите покупать оборудование не дорого как для бизнеса, так и для личного пользования? 

Тогда наши каналы для Вас⬇️⬇️⬇️
Здесь вы найдете:
✔️в первую очередь эксклюзивные предложения по различной технике как Enterprise сегмента, так и Сonsumer, а также дефицитные видеокарты и другое оборудование для майнинга;
✔️анонсы новых продуктов HP и других производителей;
✔️доступ к демо фонду и возможностям тестирования оборудования;
✔️приглашения на закрытые мероприятия с производителями.

Подпишись и экономь!

#реклама

​​▶️ Если вы ещё не изучили и не попробовали нововведения Zabbix 6.0, сейчас это можно сделать ещё проще и быстрее. Команда Zabbix сделала большой выпуск (2 часа) на русском языке на тему новой LTS версии. Очень много рассказывает сам основатель Алексей Владышев, а в конце отвечает на множество вопросов.

В видео подробно, с примерами, рассмотрены все самые значимые нововведения. Мне приходилось вручную всё изучать и проверять по обзорному пресс релизу после выхода новой версии. А тут наглядно разобрали и подсветили изменения. В общем, рекомендую посмотреть.

Содержание выпуска (метки времени активны):

00:10 Вступление - Алексей Владышев
05:01 Вступление - Александр Петров-Гаврилов
06:18 Zabbix 6.0 LTS - Основные новшества
09:12 01. Отказоустойчивый кластер (HA)
16:14 02. Мониторинг бизнес услуг
23:04 03. Новая схема журнала аудита
25:47 04. Машинное обучение
27:14 05. Мониторинг Kubernetes
29:33 06. Новые способы визуализации ваших данных
29:12 Новые виджеты панели
32:33 Геокарты
34:32 07. Zabbix агент - улучшения и новые элементы данных
34:42 Zabbix агент - новые элементы данных
36:37 Zabbix агент - улучшения
38:35 08. Пользовательские требования к сложности пароля
39:17 09. Улучшения пользовательского интерфейса
39:55 UI/UX улучшения - Раздел услуг
40:35 UI/UX улучшения - Графики
40:59 UI/UX улучшения - Последние данные
41:28 10. Новые шаблоны и интеграции
43:22 11. Другие изменения и улучшения
43:24 Улучшения мониторинга VMware
44:16 Новые исторические функции
44:57 Новые функции агрегации
45:53 Новые функции Prometheus
46:29 Новые макросы
47:45 Изменения параметров командной строки
48:44 Улучшения производительности
51:08 Другие изменения и улучшения
52:50 Вопросы и ответы. Отвечает Алексей Владышев
01:33:25 Вопросы и ответы. Отвечает Александр Петров-Гаврилов

https://www.youtube.com/watch?v=kgyL3xmzf5Q

#zabbix

​​Продолжаю тему Zabbix. Последнее время много им занимаюсь. Но до сих пор не смог победить один глюк. После обновления одного из серверов мониторинга перестали работать Web проверки. Точнее они работают, но Zabbix Server не видит проверочной строки на сайте, хотя она там есть.

По ходу разбирательства узнал одну интересную фишку, про которую не слышал ранее. Чтобы понять, как именно Zabbix видит сайт, можно увеличить уровень логирования http poller и посмотреть всю подробную информацию в логе сервера.

Повышаем уровень логирования прямо на ходу:
# zabbix_server -R log_level_increase="http poller"
После первого повышения в логе появится отладочная информация. Если повысить ещё раз:
# zabbix_server -R log_level_increase="http poller"
То увидите исходный код сайта так, как его видит Zabbix. Что самое удивительное, я в коде сайта, который отражён в логе, вижу проверочную строку, но сама проверка выдаёт ошибку с сообщением о том, что искомая строка не найдена. Я и строку менял, и цифры вместо слов ставил в проверку, и какие-то тэги разметки. Ничего не помогает.

Похоже на какой-то баг, но очень хитрый. На данном сервере мониторятся 18 сайтов с разных веб серверов и только с конкретного веб сервера не работают проверки. Точнее веб сервера два, но коннекты на них идут через общий nginx proxy. Локализовать проблему так и не получилось. Сломались эти проверки после обновления на 6.0. Раньше все работали корректно.

Вернуть уровень логирования на место можно так:
# zabbix_server -R log_level_decrease="http poller"
# zabbix_server -R log_level_decrease="http poller"
Не забудьте это сделать, иначе лог будет очень быстро расти в размерах, особенно если веб проверок много.

#zabbix #ошибка

​​Просмотр трафика в Linux

На днях надо было внимательно посмотреть на сетевой трафик на одном из серверов Linux. Начал вспоминать, что там есть из инструментов. Начал свои записи здесь же перебирать. Вопрос в итоге закрыл и решил сделать небольшую подборку наиболее полезных и информативных утилит по этой части.

- Iftop - писал о ней ранее. Эту утилиту ставлю по дефолту почти на все сервера. Показывает только скорость соединений к удалённым хостам без привязки к приложениям. Главный минус, который очень не нравится - иногда неадекватно делает масштаб оси с трафиком. Визуально становится невозможно сделать оценку.

- NetHogs - немного похожа по внешнему виду на iftop, только разбивает трафик не по направлениям, а по приложениям. В связке с iftop закрывает вопрос анализа полосы пропускания сервера. Можно оценить и по приложениям загрузку, и по удалённым хостам. Я для себя остановился именно на этой связке.

- Iptraf - показывает более подробную информацию, в отличие от первых двух утилит. Плюс, умеет писать информацию в файл для последующего анализа. Трафик разбивает по удалённым подключениям, не по приложениям. Тоже писал ранее об этой утилите.

- Bmon - ещё одна утилита, которая показалась полезной. Особенность в том, что показывает трафик сразу на нескольких сетевых интерфейсах с разбивкой по ним, можно сравнить. Так что если интерфейсов несколько, то имеет смысл добавлять и bmon к связке с iftop и nethogs. Bmon может быть полезен на гипервизорах, оценить трафик на бриджах.

Все перечисленные утилиты есть в стандартных репозиториях основных систем. Если знаете ещё что-то полезное и информативное со схожим функционалом, делитесь в комментариях.

❗️Пост имеет смысл забрать в закладки.

#terminal #perfomance #network

❗️Важное предостережение. Ко мне уже 2 человека обращались с одной и той же проблемой. На сервере сносят все файлы подчистую. Симптомы такие. Сервер становится недоступен. Его перезагружают, но ничего не поднимается, ОС не грузится.

На один такой сервер я подключился сам. Заказал KVM, подмонтировал через внешний iso rescue disk и посмотрел. Данные с дисков просто удалены полностью. И с корня, и с /boot раздела. Софтом для восстановления я прошёлся, увидел список файлов, что там были, но восстановить не получилось. Они все пустые были. Похоже прошлись какой-то командой с гарантированным удалением.

Обслуживали сервер у этого заказчика украинцы, которые много лет получали деньги за свои услуги. А теперь решили изменить условия сотрудничества. Комментировать подобное не буду. Что тут можно сказать. Думаю, адекватные люди и так всё понимают.

Будьте аккуратны и храните свои бэкапы очень внимательно. Никому не доверяйте к ним доступ. Тут бэкапы есть, сайты восстанавливают уже в другом месте. Распространите эту инфу по знакомым. Ситуация массовая. О первом случае мне приватно рассказал сотрудник тех. поддержки одного провайдера, но попросил не распространяться об этом. Так что просто предупреждаю. Похоже есть готовая инструкция на тему того, как можно максимально испортить жизнь обычным людям.

#security

​​Существует простая по своей идее и в то же время достаточно эффективная система повышения безопасности локальной сети с помощью технологии honeypot. Я раньше прохладно относился к этой идее, думал что это что-то замороченное, чем пользуются в основном безопасники или другие специалисты, специализирующиеся в основном на защите.

Но на самом деле Honeypots могут помочь любому сисадмину, который старается защитить свои системы от взлома. Идея там простая. Вы ставите в локальной сети некое ПО, которое смотрит открытыми портами в сеть. Например, там могут быть открыты порты SSH, SMTP, SIP и т.д. Как только кто-то стукнется на любой из этих открытых портов, вы получите оповещение.

В нормальной ситуации вряд ли кто-то в вашей локалке будет сканить и стучаться на порты неизвестной ему машины. Если это происходит, значит надо обратить внимание и посмотреть, кто там такой любопытный. Возможно завёлся какой-то червь или просто любопытный сотрудник решил посмотреть, что тут интересного в локалке. В любом случае, надо что-то предпринять. Есть и другой вариант. Например, ставите рабочий VOIP сервер на внешний IP и рядом на соседний IP Honeypot. Всех, кто стучится на Honeypot, баните на обоих серверах. 

Одним из вариантов реализации honeypot может служить T-Pot. Это готовый инструмент, который ставится в автоматическом режиме и дальше управляется через веб интерфейс. Для установки нужен будет дистрибутив Debian 10 (на 11 не встанет). А вот и вся установка:
# git clone https://github.com/telekom-security/tpotce
# cd tpotce/iso/installer/
# ./install.sh --type=user

После установки вас отключит от ssh, так как на родном порту 22 будет запущен honeypot. Подключаться надо на порт 64295. Управление осуществляется через браузер по ip адресу сервера и порт 64297.

T-Pot в своей основе использует Docker для запуска всех своих служб. Система достаточно замороченная и многокомпонентная. Для хранения и визуализации данных использует ELK, так что ресурсов надо не мало. Хотя бы 4 гига памяти, а лучше 8. Процессора 2-4 ядра.

У T-Pot неплохая документация и обширный функционал. Всё управление через веб интерфейс, так что каких-то особых знаний, чтобы просто запустить и попробовать не требуется. Достаточно базовых знаний Linux. Разбираться в Docker или ELK не обязательно.

Исходники - https://github.com/telekom-security/tpotce

#security #honeypot

​​Сейчас как никогда стали актуальны бэкапы. В очередной раз решил написать про них после истории, которую мне рассказали на днях. Был сервер, который умер. Были бэкапы, которые вроде как регулярно делались, но не проверялись. Сейчас стали доставать бэкапы, оказалось, чтобы скачать их, надо больше суток времени. Скорость отдачи хранилища не очень высокая, а объём большой.

Скачали или нет, не знаю. Не факт, что из этих бэкапов потом что-то развернуть получится. Могли и заливаться битыми, и во время загрузки побиться могут. Подобные бэкапы делаются для галочки, типа они есть. А по факту считай, что их нет.

Я в своё время собрал подборку комментариев во время падения одного очень известного хостера. Тема комментов - отсутствие бэкапов. Оказывается до сих пор толпы людей ничего не бэкапят, а потом очень расстраиваются. Читаем про них тут.

Также у меня есть статья с теорией на тему того, как должны делаться и проверяться бэкапы. Основное оттуда:
◽ Бэкапы нужно обязательно разворачивать и проверять
◽ Backup должен быть в другом дата центре у другого юр. лица
◽ С самого сервера с данными не должно быть доступа к бэкапам
◽ Бэкапы должны быть максимально полные и подробные
◽ Проверяйте скорость восстановления данных
◽ Бэкап должен быть как на уровне виртуальных машин, так и данных

Отдельно напомню, что у вас должен быть план по разворачиванию. Лично сталкивался с ситуацией, когда администратор делал бэкапы, но не разворачивал их. Когда случилась поломка, оказалось, что оперативно запустить работу систем из бэкапов не получается. Он просто не знал, как это сделать. Наняли меня на помощь.

#backup

Я время от времени настраиваю сервера 1С для небольших организаций на основе файловых баз с публикацией в веб. Получается удобное, безопасное и законченное решение, которое почти не требует обслуживания и участия со стороны IT специалиста. Расскажу, как это всё выглядит на практике.

Арендуется выделенный сервер в Selectel. Последний из заказанных серверов стоил 5200р. и имел конфигурацию i7, 64 гига оперативы и 2 SSD диска по 480Гб. На таком сервере файловая 1С работает очень шустро. Для двух-трех человек в базе нормальный вариант. Баз может быть много.

Далее на сервер ставится гипервизор Proxmox на софтовый RAID1 mdadm. На нём настраиваются 3 виртуальные машины:
1. Windows, где будет работать 1С.
2. Debian 11 для Nginx и Apache Guacamole.
3. Debian 11 для локальных бэкапов.

Первым делом настраивается сам гипервизор и фаервол на нём. Максимально закрывается доступ, настраиваются пробросы к виртуальным машинам. Весь доступ к инфраструктуре будет через Apache Guacamole, так что пробрасываем порты к нему и открываем 80 и 443 порты к виртуалке с Nginx. Всё остальное закрываем.

Следующим этапом настраивается Nginx, который будет проксировать запросы на 1С. Я закрываю туда доступ через Basic Auth. И тут же настраиваем Apache Guacamole для доступа к виртуальным машинам через браузер. Особенно это актуально для доступа к Windows машине, так как проброс RDP порта с полным доступом из интернета делать нельзя. Дополнительно при желании через Nginx можно закрыть паролем доступ к самому Guacamole и веб интерфейсу Proxmox. В данном случае Apache Guacamole заменяет нам VPN, обеспечивая дополнительную безопасность и возможность получить прямой доступ к серверам напрямую через интернет. Пользователям ничего у себя настраивать не надо.

На Windows сервере устанавливается как обычно платформа 1С и веб сервер Apache. Делается публикация баз. Тут никакой экзотики, всё стандартно.

На третьем сервере настраивается Samba, создаётся сетевой диск с доступом только на чтение. Этот диск подключается к Windows машине. В этот сетевой диск ежедневно делаются бэкапы файловых баз, старые удаляются. Работает скрипт на самом сервере с бэкапами. Монтирует папку с Windows сервера и забирает файлы к себе, а отдаёт их уже только в режиме чтения. Это сделано, чтобы был оперативный доступ к бэкапам с Windows машины, но при этом их нельзя было удалить с неё. С самого бэкап сервера базы копируются куда-то во вне в зависимости от имеющихся ресурсов для хранения. Это может быть и обычный Яндекс.Диск.

Схема получается гибкая. Вместо файловых баз можно настроить и клиент-серверную архитектуру на базе MSSQL или PostgreSQL. А сам внешний доступ будет такой же.

Если хотите настроить что-то подобное, можете заказать настройку у меня. Готовых инструкций с подобной настройкой в сети нет.

#1C