Патчкорд

Hurricane Electric на своём tunnelbroker.net перестал раздавать бесплатный BGP пиринг всем желающим. Собственно, это и написано, теперь, на первой странице. Несколько, на самом деле уже много лет назад, я хотел сделать именно так, поднять BGP соседство и анонсировать наши IPv6 маршруты на самый-самый крайний случай. Но у меня не получилось, все настройки правильные, в почте все нужные подтверждения, статус ждите... и ничего. При этом я точно знаю оператора в нашей области который пользуется именно так, до сих пор. Время туннелей прошло и тоже уже очень давно, что никак не отменяет значимости того что делали Hurrican Electric для этого. А сейчас они есть в общем пиринговом вилане на MSK-IX, правда IPv6 с их стороны приоритетней в другого оператора, но и у нас теперь этих операторов несколько.

Хорошая статья про *nix shell, много про клавиатурные сокращения и про специальные символы при вводе, которые позволят сильно сэкономить время, если в них не ошибаться. А если после прочтения захотелось что-то поменять в своём .bashrc, .zshrc, а может даже в rc.conf, то знайте что "RC" это вовсе не Radio Control :), это Run Commands или Run Control и корни этого уходят во времена до Unix и даже до Multics.

В BIND 9.17 обещают DoH и DoT, в 9.16 тоже будет. А пока можно почитать как это в ISC себе представляют.

Цифровая пакетная передача данных по радиоканалам, в том числе и в любительском радио дело вполне освоенное. Поэтому скучающие радиолюбители, почти готовыми средствами на коленке сооружают IP over MORSE длинными, морозными, зимними вечерами. Мало подробностей, но есть ссылки и названия инструментов. Вообще, насколько я понимаю, в основном AX.25 используется, для тех кто хочет IP на КВ гонять между континентами. Но тут я могу ооочень сильно ошибаться, очень. Тут настоящая связь, не то что наши админские побрякушки.

​Мой стол на фотографии номер 4. Справа на перегородке приклеена таблица масок IPv4, прямых и обратных. Шар на перегородке это Magic 8 ball, но мы им не пользуемся, честно-честно. За деревом-цветком стойка с коммутаторами для обслуживания сотрудников на этом этаже, она нас греет зимой и почти не шумит. На ней большой магнит с логотипом Cisco с какого-то Cisco connect, подарок коллеги. Где-то за монитором лежит RIPE Atlas probe номер 50398. Да, это розовая клавиатура. Монитора у меня два, но справа на стене кабинета висит ещё три: с картой сети, ТВ эфиром, и загруженностью входящих линий ТП. А вот стол где ничего нет, фотография 5 - это рабочее место инженера по ТВ, вот у него три монитора которые он у нёс домой и на которых он постоянно смотрит телевизор :) такая работа.

Я из тех людей, героев анекдотов, для которых ничего не поменялось, которые не страдают от того что не выходят из дома, даже наоборот - домашний режим мой основной: дом, работа, дом, работа, магазин, дом, дом, работа, магазин... Наверное, кому-то это покажется скучным, наверное, даже я это понимаю, что стоило бы почаще выходить, но сейчас все в таком положении. Единственная проблема, я не люблю и старался не смешивать рабочее и домашнее пространство, поэтому дома у меня даже стола для работы нет. И по сравнению с тем что у меня было в офисе мне жутко не хватает свободного места, со всех сторон, тут дело не столько в количестве экранов. Конечно, у нас нет такого как в Yandex, но в целом и сервисов у нас поменьше, поэтому многие обошлись своей домашней техникой, хотя кто-то мониторы и забрал. Не уверен что у всех есть Instagram, но вот 5 фотографий пустующих рабочих мест в нашем офисе, догадаетесь какое моё? Правильный ответ есть и я его обязательно скажу. Никаких подвохов или скрытых смыслов, чистая интуиция.

Чтобы понять как работает Интернет надо сделать свой Интернет, что и сделали для своих студентов в высшей технической школе Цюриха и выложили свои наработки на GitHub. Внутри Docker, FRRouting, Open vSwitch, а ещё готовые топологии и конфигурация на 60 автономных систем. Не знаю кто кого вдохновлял, но есть ещё похожий проект карманного Интернета, правда в режиме заморозки.

IOS-XR может сама нарисовать топологию IS-IS, почти: show isis database graph verbose. Получается вывод в DOT, который достаточно подсунуть любой программе которая его понимает. Вот бы и для остальных протоколов было и не только на XR.

Наверно, в этом посте в удобнейшем виде собраны все знания человечества про STP. Часть из них полезная, точно. А всем правдорубам задание - найти чего там нет. https://momcanfixanything.com/spanning-tree-protocol-summary/

Радио-Т принёс на хвосте ssh-chat, игрушка для ностальгирующих в современной обёртке, пожалуй стоит поставить :)

В тервере есть очень известный парадокс дней рождений учеников в классе. Если учеников 23 или больше то вероятность, что дни рождения двух из них совпадут больше 50%. А теперь представим что у нас есть несколько устройств одного производителя. Если MAC адреса для них сгенерированы случайно, это всего лишь 2^24, немногим меньше 17M вариантов адреса на устройство, так как старшая часть определяет производителя, то 1800 таких устройств дадут вероятность совпадения адресов хотя бы двух из них 9%. 5000 (на самом деле меньше) больше 50%. Насколько такая ситуация реальна на практике? Вполне себе, самый простой пример из провайдерской жизни это телевизионные приставки (STB) которых много, они одного производителя и которые часто авторизуются в middleware по MAC адресам. Ещё часто они находятся в одном мультикаст вилане. Это не совсем широковещательный домен, но коллизии прямо на оборудовании возможны, при том что сравниваются не адреса, а их хеши которые могут иметь меньшую размерность. Тот самый случай когда пригодились знания из почти школьной программы и, наконец, появился повод почувствовать себя инженером, задним числом. Не забывайте пользоваться математикой, она реально работает.

https://isbgpsafeyet.com/ проверь своего ISP.

​Что-то я пропустил, в OpenBSD есть looking glass для их же bgpd, что называется из коробки - bgplg. Выглядит симпатично и подкупающе просто (первая ссылка из Google). Настраивается тоже не сложно, на Хабр есть на русском. Неплохой вариант для внутреннего потребления. У нас поднят немного допиленный от version6.net, когда-то очень популярный, сейчас его пожалуй не стоит использовать. И теперь я почти уверен на что его поменяю.

Делимся подробными post-mortem о произошедших на прошлой неделе инцидентах с DNS и о мерах, которые мы предпримем во избежание их повторения в будущем. 6 апреля: Проблемы в работе DNS в зоне доступности ru-central1-c 7 апреля (инцидент повторился дважды): Проблемы с резолвингом DNS - 13:41 - 14:32 Проблемы с резолвингом DNS - 21:03 - 21:29 Напоминаем, что мониторить статус работы сервисов всегда можно на нашем статус-борде.

На Habr впечатления от ACI и VXLAN внутри датацентров. Могу подтвердить, что многие шарахаются от графического интерфейса в силу привычки, но даже больше не от этого, а от потери иллюзии полного контроля. При том решения под ключ, вроде ACI, наверняка сэкономят средства в будущем, хотя бы за счёт того же графического интерфейса и управления в "один клик". Люди стоят дороже этого.

DNS over что-то это всё ещё DNS и специально ни от каких атак специфических для DNS не защищает. Rebinding точно можно сделать.

5 препятствий которые предстоит преодолеть чтобы начать внедрять IPv6, а также подходы к их преодолению. Написано правдиво, но никак не успокаивающе, даже наоборот - это сложно, непонятно и дорого. При том, это далеко не все проблемы, они даже не самые самые, это просто 5 проблем с которыми точно столкнутся все, а есть ещё 100500 с которыми столкнутся 99%, но про которые в статье не написано. Переход на IPv6 серьёзная и большая работа без мгновенного результата и техническая составляющая сетей тут далеко на самое важное.

Всё, уже и циска сдалась и собрала в одном месте гайды по настройке своего Cisco VPN SSL-IPSec Anyconnect на всём на свете. Ну или почти на всём... https://www.cisco.com/c/en/us/support/docs/security/anyconnect-secure-mobility-client/215331-anyconnect-implementation-and-performanc.html

Chrome и, наверное, всё где используется Chromium, т.е. почти все браузеры, для определения что сначала надо зайти на captive portal использует случайно сгенерированные доменные имена. И по данным за 2018 год эти имена, похожие на те что генерирует Chrome, составляют преобладающую нагрузку в запросах на B-Root DNS. Когда уже почти всё ушло на HTTPS, без помощи браузера captive portal вывести не удастся, перехватить и перенаправить трафик никак не получится не вызвав вопросы со стороны пользователя. А штука удобная, хорошо работает как напоминалка отключенным абонентам и экономит время ТП на звонках. Но, наверное, не такой ценой. Firefox, кстати, использует предопределённую страничку HTTP, которую можно перехватывать провайдеру, по крайней мере использовал раньше, но возможно это не единственный его способ. P.S. Кусок кода приводимый в статье находится в файле intranet_redirect_detector.cc.

У GitLab теперь есть IPv6, потому что он переехал на Cloudflare.