Записки IT специалиста

Эпическая стратегия: Восхождение империи Звон сабель, грохот пушек и борьба за господство. Играй онлайн в Яндекс Играх! Узнать больше #реклама 16+ yandex.ru О рекламодателе

Caddy-Docker-Proxy Веб-сервер Caddy крайне популярен не только в виде веб-сервера, но и обратного прокси, благодаря крайне простой настройке, автоматической конфигурации TLS, включая прозрачную интеграцию с Let’s Encrypt. Также Caddy популярен как обратный прокси для Docker, который обычно принято настраивать «классически», например:

grafana.example.com {
    reverse_proxy grafana:3000
}

nextcloud.example.com {
    reverse_proxy nextcloud:8080
}

Но Docker – это в первую очередь динамические среды, контейнеры могут создаваться, удаляться, меняться, особенно в тестовых средах и каждый раз править руками конфигурацию обратного прокси – занятие утомительное. Поэтому был разработан специальный плагин Caddy-Docker-Proxy, который позволяет Caddy работать с метками Docker, автоматически подхватывая конфигурацию, как Traefik. Для этого просто используйте готовый контейнер от разработчика плагина, для этого создайте следующий docker-compose.yaml

services:
  caddy:
    image: lucaslorentz/caddy-docker-proxy:ci-alpine
    ports:
      - 80:80
      - 443:443/tcp
      - 443:443/udp
    environment:
      - CADDY_INGRESS_NETWORKS=caddy
    networks:
      - caddy
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
      - caddy_data:/data
    restart: unless-stopped

networks:
  caddy:
    external: true

volumes:
  caddy_data: {}

Затем в compose нужного сервиса добавьте:

services:
  my_app:
    image: my_app:latest
    networks:
      - caddy
    labels:
      caddy: my_app.example.com
      caddy.reverse_proxy: "{{upstreams 80}}"

networks:
  caddy:
    external: true

Теперь при запуске контейнера my_app в конфигурацию Caddy будет добавлена секция для обратного проксирования вашего сервиса.

Есть только один правильный способ провести майские тот, что нравится вам. Выбирайте, где отдохнуть, и бронируйте отели, квартиры и загородные дома под себя на Яндекс Путешествиях со скидкой по промокоду MAYSKIE. 😊 Отдохнуть за городом 😊 Скататься в другой город 😊 Умчаться туда, где тепло Забронировать #реклама special.travel.yandex.ru О рекламодателе

Жизнь и необычайные приключения DNS в одной сети Продолжая тему DNS, точнее борьбы с утечкой DNS хотим рассказать о собственном опыте, он во многом частный и субъективный, но во многом помогает понять на что надо обратить внимание и куда смотреть. Начнем со всеми любимых роутеров Mikrotik. Если мы заглянем с настройки DNS, то можем увидеть там, как доступные к редактированию поля, где записаны указанные нами значения вышестоящих серверов, так и недоступные к редактированию значения, которые берутся из настроек DHCP или коммутируемого соединения. Т.е. то, что передал нам провайдер. Они используются как дополнительные DNS, если не отвечают те, которые мы указали явно – в дело идут следующие по списку. Это не хорошо и не плохо, это нормальное поведение DNS-клиента. Далее есть еще одна тонкость, если в настройках DHCP-сервера у вас явно не указана Option 6, она же адрес(а) DNS, то ваш DHCP передаст как собственный адрес (первым), так и все внешние адреса, которые указаны в настройках вышестоящих DNS. Таким образом, если ваш роутер вдруг по какой-то причине перестал отвечать на DNS-запросы они пойдут напрямую внешним серверам. Вот так вы можете легко и непринужденно начать использовать на клиентах совсем не те DNS-сервера, которые предполагали. Но это еще не все. Проанализировав DNS-трафик в сети, мы выяснили, что мобильные устройства на Android эпизодически обращаются к DNS-серверам Google, хотя эти сервера нигде в настройках сети до этого не фигурировали. Скорее всего такое поведение зашито где-то внутри ОС и предполагает использование именно доверенных для нее серверов. Такое поведение можно понять, но с позиции наших целей, а именно защитить DNS-запросы от просмотра третьими лицами – налицо типичная утечка. Но это половина беды. От тех же мобильных устройств и телевизоров были обнаружены DNS-запросы к вообще третьим DNS-серверам, о существовании которых мы ранее не догадывались. Причем это не какие-то левые сервера, а достаточно крупные региональные сервисы или сервисы крупных хостеров, как вероятно зашитые разработчиками приложений в свои разработки. Это тоже не особо страшно и не особо плохо, но в наличии у нас имеется факт, что отдельные приложения могут также игнорировать системные настройки DNS. Вы думаете, что это все? Но нет. Отдельно порадовали два роутера Xiaomi AX3000T, которые продолжили обращаться к внешним серверам, используемыми нами до этого и серверам провайдера. При этом сетевые настройки они получают от DHCP-сервера на Mikrotik, но все настройки, кроме адреса и шлюза тупо игнорируют. В веб-интерфейсе и приложении доступа к этим настройкам также нет. Перезагрузка не помогает и приводит только к замене одного сервера на другой из списка. Есть предположение что DNS-сервера были взяты при первоначальной настройке и добавлены в некоторый конфигурационный файл, который при смене настроек DHCP не обновляется. В данном случае они работают именно как точки доступа и разрешают только свои внутренние запросы. Но все равно, данный факт показывает, что активное сетевое оборудование в вашей сети также может иметь свои собственные взаимоотношения с DNS, что может приводить к утечкам. Пока мы плотно не занялись этим вопросом, то предполагали, что основной риск утечки DNS несут пользователи, которые могут вручную поменять сервера в настройках сетевого подключения. В реальности же это оказалось далеко не так и основной риск исходит от сетевых устройств и сетевых приложений, которые могут игнорировать (и успешно это делают) системные настройки DNS.

Парфюм Attar Moon Blanche STYLAR: брендовая одежда, обувь и аксессуары ✅ Премиальные бренды, которые ты знаешь — без лишних наценок и напрямую от поставщиков. Работаем уже более 5 лет! ⚡ Tom Ford, EA7, Burberry, Premiata, Moncler, Chrome Hearts, Loro Piana, Prada, Brunello Cucinelli, Hugo Boss, LV, Tommy Hilfiger, D&G, Polo Ralph Lauren, Hermes и др. 🚗 Доставка с примеркой по Москве, в другие города России и СНГ — быстро, надёжно и без задержек. 💰 Скидки до -80% в нашем дисконт Telegram-канале. ❤️ Тысячи моделей в наличии, новинки каждый день — без переплат и лишней суеты! Посмотреть каталог #реклама О рекламодателе

psistat – монитор Pressure Stall Information (PSI) в Linux Про метрики Pressure Stall Information мы уже рассказывали в материале про новые возможности Proxmox VE 9. Но это универсальные Linux метрики, которые появились в ядре 4.20 и показывают процент времени, в течении которого процессы ожидают освобождения критичных ресурсов: процессора, памяти, ввода-вывода. 👉 У данных метрик есть две основные категории: 🔹 some — показывает время, когда хотя бы один процесс ожидает освобождения ресурсов 🔹 full — показывает время, когда все активные процессы ожидают освобождения ресурсов Про интерпретацию их значений мы повторяться не будем, все это можно прочитать в заметке по ссылке. Сегодня мы расскажем про инструмент их контроля в реальном времени – psistat. Он написан на python и для его установки вам сначала потребуется pipx:

apt install pipx

Затем:

pipx install psistat

Он установит утилиту в ~/.local/bin и если вы хотите, чтобы утилита была доступна без указания полного пути, выполните:

pipx ensurepath

После чего выйдите и снова войдите в систему. Затем просто запустите:

psistat

Вы увидите интерактивный текстовый интерфейс как на скриншоте, метрики со средними значениями в 60 и 300 секунд предоставляются ядром и доступны сразу, метрики за 1, 3 и 10 секунд рассчитываются утилитой на основе накопленных данных и появляются не сразу. Управление происходит при помощи клавиш: ▫️ t – задает порог превышения метрики, по умолчанию 5% ▫️ i – интервал превышения, по умолчанию 10 сек Теперь любое событие, значение которого превысит 5% за 10 секунд появится в таблице ниже. Остальные клавиши управляют отображением этой таблицы: ▫️ b – ограничивает ее размером экрана, остальные события вытесняются, иначе доступен полный список ▫️ d – дамп, прерывает интерактивный режим и выводит список событий в консоль, чтобы вы могли его скопировать, после чего переходит в режим нормальной работы. Инструмент крайне интересный и полезный, потому что сегодня мало интерактивных инструментов для Pressure Stall Information, в то время как это один из важнейших показателей при анализе проблем с производительностью.

Наши новые вакансии в разные RnD-команды QA Lead в Отелло

Определение стратегии тестирования, улучшение процессов, управление командой, развитие тестовой инфраструктуры и автоматизации.

Kotlin-разработчик

Большая часть кода всех сервисов команды World Match&Load написана на Kotlin, но мы готовы рассматривать кандидатов с Java.

CV-разработчик

Из больших задач — научиться ставить дорожные знаки на карту ещё точнее за счёт классических методов 3D-реконструкции сцены (SfM, SLAM) и нейросетевых подходов.

Администратор баз данных

Всё про управление и обслуживание кластеров MS SQL Cluster и AlwaysOn Cluster.

Platform Engineer (Infrastructure & Operations)

Поддержка и развитие инфраструктуры, помощь командам разработки в оптимизации рабочих процессов.

Откликайтесь сами или рекомендуйте друзьям🔥 Другие инженерные инсайты от 2ГИС → в Telegram-канале RnD

И снова одно и тоже... Выключился свет, бесперебойник погас, сервера упали... А теперь... В общем - беда, да еще и вечером. А надо было всего-лишь подстелить соломки... Настраиваем централизованное управление электропитанием в сети при помощи NUT Всем известно, что для защиты от сбоев электропитания нужно купить бесперебойник. Но сам по себе источник бесперебойного питания не решает проблему, а только отсрочивает негативные последствия. Действительно, если питание пропадет надолго, то после разрядки батарей ИБП ваши системы аварийно завершат работу. Избежать этого позволяют модели, имеющие обратную связь, но, чтобы использовать эти возможности нам потребуется система управления электропитанием и сегодня мы расскажем об открытом и бесплатном продукте - NUT (Network UPS Tools). ✅ Читать далее

Участвуй в конкурсе статей — получи комплект из 3D-принтера, платы и цифрового осциллографа Конкурс лучших статей Хабра «Технотекст» в разгаре. Уже третий год компания YADRO выступает хранителем номинации «Железо: проектирование и технологии производства». Подать заявку можно до 26 апреля включительно. В статье на Хабре рассказали, с какими текстами можно участвовать в номинации и какие призы ждут победителей. Там же — разбор статей-победителей прошлого года. На их примере можно усилить свой текст и повысить шанс на победу. Подать на конкурс можно как вышедшую в 2025 году статью, так и совсем свежий текст, опубликованный до срока приема заявок. Так что самое время побороться за призы! Подробности →

Интересная статья на Хабре Как я за 15 лет устал диагностировать серверы руками и сделал инструмент, который делает это за 60 секунд Предыстория: Я работаю с Linux больше 15 лет. Начинал с хостинга, где «сервер тормозит» означало зайти по SSH и запустить top. Потом были выделенные серверы, кластеры, Kubernetes. Задачи менялись, но вопрос оставался один и тот же: Сервер тормозит. Что не так? За эти годы у меня накопились инструкции, SSH-скрипты, обёртки над vmstat, iostat, ss, perf. Каждый раз, подключаясь к проблемному серверу, я тратил 20-40 минут на одни и те же действия вроде команды top Это Tier 1 — базовый уровень. Но когда top показывает что всё вроде нормально, а приложение всё равно тормозит, начинается настоящая диагностика. Глубже: BPF, softnet, NUMA и другие невидимые проблемы С опытом я погружался глубже. BPF/eBPF инструменты от Brendan Gregg — runqlat, biolatency, tcpretrans, offcputime — открыли целый мир проблем, невидимых через top Проблема в том, что подобные задачи решаются не каждый день. Между инцидентами проходят недели, иногда месяцы. И каждый раз я забывал: как называлась та утилита для softnet? Какой файл в /proc показывает conntrack drops? Какой sysctl отвечает за watermark? Я снова гуглил, перечитывал свои же заметки, вспоминал синтаксис BCC-тулз. AI изменила правила игры — но не до конца Появление ChatGPT, а затем Claude изменило workflow. Теперь не нужно парсить глазами вывод cat /proc/net/netstat — можно скормить его нейронке и получить анализ. Не нужно помнить, что PruneCalled > 0 означает давление на TCP-память — AI это знает. Но есть проблемы в том что нейросеть не умеет сама находить правильные инструменты и строить связи для вывода между ними. Давать root и SSH не безопасно. Запуски программ диагностики съедают кучу токенов и т.д. Я понял, что нужен мост между сервером и AI: инструмент, который соберёт все данные за один прогон, в структурированном виде, и отдаст нейронке для анализа. Что я сделал melisai — один Go-бинарник. Без зависимостей, без конфигов, без демонов. Одна команда. ✅ Читать далее: https://habr.com/ru/articles/1019782/

РУВИКИ - новая интернет-энциклопедия Интересуетесь всем на свете? Задаёте себе миллион вопросов? Любите интересные факты?😊 Канал энциклопедии РУВИКИ создан для вас 👍 Подписаться #реклама О рекламодателе

Удобство против безопасности Стоило нам опубликовать днем новую заметку о фишинге через RDP и предпринятых разработчиками Windows мерами по этому поводу, как тут же появились советы как все это отключить. На первый взгляд – парадокс, но на самом деле все закономерно. Человек существо ленивое и подверженное привычкам, от которых очень трудно избавляется. И для обычного пользователя все эти нововведения - только очередное неудобство, которое придумало IT чтобы еще сильнее затруднить им работу. И здесь можно позавидовать тем, у кого в штатном расписании есть нормальная СБ, которая учитывает и IT-риски и на которую всегда можно перевести стрелки: мол, если недовольны – вам туда. А в остальных случаях IT-отдел остается один на один с недовольными пользователями и раздраженным начальством. И да, появляется желание вернуть все как было, лишь бы отстали, но не стоит ему потакать. Хотя не стоит и бросаться в крайности. Мы давно говорим о том, что затраты на безопасность не должны превышать возможный ущерб от ее отсутствия. Если проводить аналогию, то не стоит вешать на дачный сарай замок стоимостью выше, чем все имущество внутри этого сарая. Но в данном случае следует исходить именно из оценки возможного ущерба, а он тут потенциально велик. Протокол RDP позволяет пробросить на удаленный компьютер практически все локальные ресурсы ПК, включая подключенные к нему токены и электронные ключи. А это дает возможность выполнить определенные действия от вашего имени, которые потом будет очень сложно оспорить, либо вообще увести ваши ключи, если у вас там что-то простое, наподобие Rutoken Lite. Если такое случится, то кто будет виноват? Конечно же IT-отдел и отмаза, что пользователям было неудобно тут не прокатит. Потому что руководство сразу задаст резонный вопрос: а видел ли ты подобный вариант развития событий? А если видел, то почему не настоял, не донес в понятной нам форме? Почему не был достаточно настойчив? При том, что поиск крайнего – это любимое развлечение управленческой прослойки во все времена. И стать крайним очень и очень плохо. Особенно в бюджете и госах. В тоже время всегда надо помнить, что безопасность и удобство – это два разных полюса и иногда надо настоять на своем и пожертвовать удобством ради безопасности. Пользователи поворчат, но привыкнут, а вы снимите с себя еще одну головную боль. И не нужно вестись на шантаж, потому как удобно будет им, а отвечать будете вы. Ну или требуйте письменный приказ от лиц, принимающих решения, в которых они явно приказывают вам понизить уровень безопасности и берут ответственность на себя. Главное не забыть про последний пункт, потому что без делегирования ответственности эта бумага будет просто филькиной грамотой. В заключение хочется сказать: коллеги, будьте разумны, осознавайте рамки ответственности и грамотно проводите политику, балансируя между безопасностью и удобством не выходя в зону риска.

Открываем выгодную Турцию Планирование отпуска — это не 48 открытых вкладок и путаница. Это только одна, с Яндекс Путешествиями. Сервис составил интерактивные карты с местами, до которых обычно не доезжают, чтобы вы могли по-новому раскрыть страну. Исследуйте Турцию и бронируйте отели с выгодой: — TURKEY5K скинет 5000 ₽ при бронировании от 50 000 ₽ — TURKEY10K скинет 10 000 ₽ при бронировании от 100 000 ₽ Забронировать #реклама special.travel.yandex.ru О рекламодателе

Фишинг через RDP Старый-добрый RDP известен всем, казалось бы, что тут можно придумать нового и вообще, что может пойти не так? Взломать? Да, возможно, ломали и этот вектор атаки остается актуальным, так как обновления на Windows Server далеко не все устанавливают своевременно, а также в эксплуатации достаточно откровенно старых систем. Но фишинг? Да, именно фишинг. Причем уязвимость оказалась очень серьезной и заставила Microsoft выпустить усиливающие защиту обновления. Все дело в возможностях протокола RDP, который позволяет пробрасывать на удаленное устройство ресурсы локальной машины: буфер обмена, диски, токены и т.д. Сценарий последующей атаки очень прост: злоумышленник присылает жертве RDP-файл и убеждает запустить его под благовидным предлогом. Далее идет подключение к серверу злоумышленника с пробросом всех локальных ресурсов, после чего последний получает полный доступ к ним. Просто, но эффективно. Все окружение пользователя, все доступные ему ресурсы прямо на блюдечке с голубой каемочкой. Исправления вошли в апрельское обновление безопасности: 🔹KB5082200 для Windows 10 🔹KB5083769/KB5082052 для Windows 11 Теперь при подключении показывается более подробные сведения о системе назначения, явно отображаются ресурсы, которые предлагается расшарить, но разрешения по умолчанию сброшены, т.е. пользователь должен явно подтвердить разрешение доступа к каждому ресурсу. ✅ Более подробно можно прочитать здесь: https://learn.microsoft.com/en-us/windows-server/remote/remote-desktop-services/remotepc/understanding-security-warnings

Вебинар: Безопасность Active Directory, аутентификация, часть 2 — Kerberos Kerberos — основа аутентификации в Active Directory. Однако на практике его внутренняя логика для многих остаётся «чёрным ящиком». При этом именно особенности работы Kerberos лежат в основе большого количества атак и сценариев компрометации инфраструктуры. 23 апреля в 14:00 (МСК) на нашем вебинаре разберём: • историю его появления, эволюцию и современное состояние • архитектуру протокола и ключевые сущности: SPN, TGT, TGS • обмен сообщениями в типовом процессе аутентификации • расширения протокола: Supported Encryption Types, пре-аутентификация, оффлайн-атаки на TGS и роль Kerberos Armouring (FAST) • делегацию Kerberos: как её используют для атак и как это контролировать Покажем не только теорию, но и объясним, где именно происходит взлом инфраструктуры и почему это происходит. Регистрируйтесь по ссылке и подписывайтесь на наш канал!

Обновляем Proxmox Virtual Environment с версии 8 до 9 Практически сразу после выхода Proxmox 13 была выпущена новая версия известного гипервизора Proxmox Virtual Environment 9. Это плановое обновление, с которым можно не спешить, поддержка восьмой версии запланирована до августа 2026 года, поэтому есть время подготовиться. Наша инструкция, как всегда, написана на основе официальной документации, но нацелена именно на использование бесплатной версии и дополнена собственным опытом, накопленном в процессе эксплуатации данного продукта. Читать далее

Когда всё объяснено — становится легче Я не продаю марафоны и не обещаю изменить жизнь за 7 шагов. Я просто объясняю, что происходит с человеком — когда ему тяжело, когда пусто, когда всё есть, а радости нет. За 20 лет работы я видела сотни похожих историй. И каждый раз убеждаюсь: людям не хватает не силы воли, а понимания — что именно с ними происходит. В канале я даю именно это понимание. Подпишитесь на мой канал — и вы сразу почувствуете разницу. Нажимайте на кнопку "Подписаться" ниже Подписаться #реклама 16+ О рекламодателе

Подборка наших статей про BIND, ISC DHCP и Kea ▫️ Настраиваем отказоустойчивый DHCP-сервер на базе ISC DHCP ▫️ Настраиваем отказоустойчивый DNS-сервер на базе BIND 9 ▫️ Настраиваем динамическое обновление DNS-сервера BIND 9 при помощи ISC DHCP ▫️ Установка и базовая настройка DHCP-сервера Kea ▫️ Настраиваем динамическое обновление DNS-сервера BIND 9 при помощи Kea DHCP

Обучение нейросетям на практике. С нуля за 2 месяца Освойте востребованный навык и увеличьте доход и эффективность за 2 месяца Узнать больше #реклама 16+ eduson.academy О рекламодателе

Zettlr – мощный визуальный Markdown редактор Уже заканчивая работу над переносом старого сайта, мы начали подбирать инструменты для работы над новым. Нужен был удобный редактор для работы с Markdown как в визуальном режиме, так и в сыром виде. Попробовано было не мало, но все так или иначе чем-то не подходило. Многие коллеги предлагают использовать для этого Joplin/Obsidian, да, там неплохой редактор, но это отдельные приложения для ведения заметок, а не редакторы. Особенно учитывая наличие проекта с 16-летней историей, запихать ее всю в заметки – не самая лучшая идея, как и жить на два дома: новое здесь, старое там. Тем более что за это время уже сложился определенный технологический процесс работы над статьями и менять в нем хотелось что-либо в самую последнюю очередь. Поэтому инструмент должен был органично встроиться в рабочий процесс, а не заставлять менять процесс под инструмент. У нас есть большая структура, примерно на 9 ГБ, с файлами черновиков, картинок, дополнительных материалов и т.д., разложенных в определенной иерархии папок. Осталось только добавить туда MD и вопрос решен. При подготовке к публикации мы использовали для редактирования редактор VS Code, в целом, при помощи плагинов его несложно превратить в неплохой Markdown WYSIWYG редактор, но есть еще одно НО. В среде профессиональных авторов и людей много работающих с текстом существует принцип «чистого листа», которые не следует путать с «боязнью чистого листа». Данный принцип гласит, что при работе над текстом ничего не должно отвлекать от текста, с этим VS Code не справляется, да и не должен, это инструмент разработки, а не писательства. В итоге пошел на поклон к ИИ и Gemini после нескольких попыток что-то посоветовать и выслушав мои претензии неожиданно посоветовала Zettlr. Данный редактор возник в 2017 году как проект одного человека - Хендрика Эрца, которому нужен был простой и удобный редактор для академического письма, результат своего труда он опубликовал под лицензией GPL 2, что привело к привлечению в команду новых людей. И Zettlr выстрелил, в своей среде, разумеется, среди людей, которые постоянно имеют дело с большими объемами текста. Сегодня это инструмент, управляемый сообществом и широко используемый в университетской, журналистской и писательской среде. И он действительно удобен. Основной режим редактирования – гибридный, в том месте, где стоит курсор вы видите сырую MD-разметку, но как только вы поменяли его позицию вы видите, как это будет выглядеть в готовом документе. При необходимости вы можете быстро переключиться в RAW-режим и проконтролировать разметку. Редактор поддерживает проверку орфографии и пунктуации на многих языках с возможностью самостоятельно дополнять словари. Файлы и изображения вы можете напрямую перетаскивать в окно редактора, он их сохранит в папку проекта, а если вы перетащили из папки – корректно оформит ссылку. Есть режим автоматического сохранения при каждой правке, что ценно в наших условиях приграничья, когда в любой момент может случиться всякое. Готовый материал можно не только сохранить как MD, но и экспортировать во все популярные офисные форматы или PDF. А для человека много работающего с текстом у редактора есть ряд интересных и полезных режимов. Во-первых, режим печатной машинки, когда активная область ввода (выделена серым на скриншотах) всегда остается в середине листа и текст плавно уезжает вверх. Тому, кто работает с длинными текстами не нужно пояснять удобство данного режима. Для остальных поясним. При работе с большим текстом, более чем на 1 экран курсор у вас постоянно будет внизу страницы, что неудобно, а так вы постоянно фокусируете взгляд на одну и ту же область. К ней можно прибавить режим «без отвлекающих факторов», он же режим «чистого листа», когда с вами только ваш текст и ничего лишнего, уже написанные абзацы немного затемняются и не отвлекают вас от текущей мысли. На первый взгляд странно и неудобно, но постоянно работая над текстом такой режим дает наибольшую концентрацию и результативность.