DevOps by REBRAIN

Открытый практикум HTTPS в Angie и Nginx начнётся сегодня в 19:00 МСК. Практикум будет проходить на площадке Zoom.US Важно!!! Чтобы вы смогли без проблем к нам присоединиться, заранее протестируйте комнату по ссылке: https://zoom.us/test Ссылку для доступа отправим вам за 5 минут до начала. Либо заходите через личный кабинет в разделе «Вебинары». 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

🗓️ Расписание вебинаров на сегодня ⏰ 19:00 МСК - HTTPS в Angie и Nginx 🔗 Регистрация и программа О вебинаре напомним за 5 минут до начала на этом канале. Также вы сможете зайти через личный кабинет. 🔥 Задать вопросы и обсудить детали можно в нашем чате

🟡 Анонс открытых практикумов на следующую неделю 1️⃣ EIGRP. Протокол динамической маршрутизации ↘ Регистрация Время проведения: 3 февраля 2026, вторник, 19:00 по МСК Программа практикума: 🟢Дистанционно-векторная маршрутизация (Distance Vector Routing, DVR); 🟢EIGRP: основные теоретические сведения; 🟢Базовая настройка протокола EIGRP." Кто ведёт? Андрей Шабалин — Тренер Cisco / Huawei, инструктор академии Eltex и Астра-Университета --------------------------------------------------------------------------------------- 2️⃣ Linux From Scratch - 02 ↘ Регистрация Время проведения: 4 февраля 2026, среда, 20:00 по МСК Программа практикума: 🟢Binutils 🟢GCC 🟢Linux API Headers 🟢Glibc 🟢Libstdc Кто ведёт? Андрей Буранов — системный администратор в департаменте VK Play, 10+ лет опыта работы с ОС Linux, 8+ лет опыта преподавания. Входит в топ 3 лучших преподавателей образовательных порталов --------------------------------------------------------------------------------------- 3️⃣ Kubernetes: Service Mesh на базе Linkerd ↘ Регистрация Время проведения: 5 февраоя 2026, четверг, 19:00 по МСК Программа практикума: 🟢Что такое service mesh и как он работает? 🟢Почему Linkerd, а не Istio? 🟢Разворачиваем Linkerd 🟢Настраиваем авторизацию между подами Кто ведёт? Василий Озеров — co-Founder REBRAIN, IT-инженер с 2012 года, провёл 100+ вебинаров по DevOps и инфраструктуре.

❗ Открытый практикум Linux From Scratch: 01 идёт уже 30 минут Если вы ещё не с нами, скорее подключайтесь! Ссылка для входа: https://my.rebrainme.com/live-class/331 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

❗Начало Открытого практикума Linux From Scratch: 01 уже через 5 минут Встречаемся в 20:00 МСК. Ссылка для входа: https://my.rebrainme.com/live-class/331 Также вы можете подключиться к вебинару через личный кабинет, в разделе «Вебинары». 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

Открытый практикум Linux From Scratch: 01 начнётся сегодня в 20:00 МСК. Практикум будет проходить на площадке Zoom.US Важно!!! Чтобы вы смогли без проблем к нам присоединиться, заранее протестируйте комнату по ссылке: https://zoom.us/test Ссылку для доступа отправим вам за 5 минут до начала. Либо заходите через личный кабинет в разделе «Вебинары». 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

Как приручить хаос: Импорт ресурсов и рефакторинг без даунтайма Знакомая ситуация? Ты приходишь на новый проект, а там — классический ClickOps. Половина инфраструктуры натыкана руками в консоли облака, другая половина — в потерянных bash-скриптах. Или другой сценарий: ты решил навести порядок в коде, переименовать ресурсы, разложить всё по модулям, запускаешь plan, а Terraform радостно сообщает:

Plan: 10 to add, 10 to destroy.

У тебя холодный пот. Удалять прод нельзя. Оставлять как есть — значит плодить технический долг. Многие в этот момент сдаются и оставляют "как есть". Но сильный инженер знает: Terraform state — это не скрижаль, которую нельзя трогать. Это база данных, которой можно и нужно управлять. Проблема 1️⃣: "Это было создано руками" Допустим, у тебя уже есть виртуалка в Yandex Cloud (`ID: fhm...`), созданная через UI. Тебе нужно загнать её под IaC. Неправильно: Писать код и надеяться, что Terraform "подхватит" существующий айдишник. Он попытается создать новую ВМ и упадет с ошибкой конфликта. Как делает профи: Использует terraform import. 1️⃣ Описываем ресурс в коде (пока можно даже пустой):

resource "yandex_compute_instance" "legacy_vm" {
  # Пока пусто, заполним после импорта, глядя в state
}

2️⃣ Импортируем реальное состояние в наш стейт:

terraform import yandex_compute_instance.legacy_vm fhm1234567890abcdef

3️⃣ Теперь самое интересное. Выполняем `terraform plan`. Terraform скажет, что хочет *изменить* ресурс, чтобы привести его к пустому конфигу. Твоя задача — дописать HCL код так, чтобы plan показал: No changes. Проблема 2️⃣: "Хочу переименовать, но боюсь пересоздания" Ты назвал ресурс resource "yandex_vpc_network" "net" {}, но по стайл-гайду нужно vpc-main. Если просто поменяешь имя в коде — Terraform удалит старую сеть (и всё, что в ней!) и создаст новую. 💡Решение: Манипуляции со стейтом (`terraform state mv`). Мы объясняем Terraform, что объект в базе данных переехал по новому адресу:

terraform state mv yandex_vpc_network.net yandex_vpc_network.vpc-main

После этой команды меняешь имя в .tf файле, запускаешь plan — и видишь заветный зеленый свет без разрушений. 🚀 Terraform 2.0: Глобальная перезагрузка Умение работать со стейтом, писать чистые модули, внедрять CI/CD и понимать, *как* это работает под капотом — это база. И именно эту базу мы полностью пересобрали. Рады сообщить, что мы обновили курс по Terraform на 90%. Это не просто косметика, это полный рефакторинг программы. 🔗 Смотреть подробную программу (PDF) 🔗 Купить обновленный курс. Мы сделали знания доступнее. Теперь модуль стоит 30 000 ₽ (вместо 50 000 ₽). 🛑 Важно для "старичков": Если ты уже покупал этот курс ранее — тебе не нужно платить снова. Пиши в поддержку, и тебе откроют доступ к новой версии бесплатно (без сохранения прогресса старой, так как программа новая). Перестань бояться terraform apply. Становись архитектором своей инфраструктуры.

Как приручить хаос: Импорт ресурсов и рефакторинг без даунтайма Знакомая ситуация? Ты приходишь на новый проект, а там — классический ClickOps. Половина инфраструктуры натыкана руками в консоли облака, другая половина — в потерянных bash-скриптах. Или другой сценарий: ты решил навести порядок в коде, переименовать ресурсы, разложить всё по модулям, запускаешь plan, а Terraform радостно сообщает: ```Plan: 10 to add, 10 to destroy.``` У тебя холодный пот. Удалять прод нельзя. Оставлять как есть — значит плодить технический долг. Многие в этот момент сдаются и оставляют "как есть". Но сильный инженер знает: Terraform state — это не скрижаль, которую нельзя трогать. Это база данных, которой можно и нужно управлять. Проблема 1️⃣: "Это было создано руками" Допустим, у тебя уже есть виртуалка в Yandex Cloud (`ID: fhm...`), созданная через UI. Тебе нужно загнать её под IaC. Неправильно: Писать код и надеяться, что Terraform "подхватит" существующий айдишник. Он попытается создать новую ВМ и упадет с ошибкой конфликта. Как делает профи: Использует terraform import. 1️⃣ Описываем ресурс в коде (пока можно даже пустой): ```hcl resource "yandex_compute_instance" "legacy_vm" {   # Пока пусто, заполним после импорта, глядя в state } ``` 2️⃣ Импортируем реальное состояние в наш стейт: ```bash terraform import yandex_compute_instance.legacy_vm fhm1234567890abcdef ``` 3️⃣ Теперь самое интересное. Выполняем `terraform plan`. Terraform скажет, что хочет *изменить* ресурс, чтобы привести его к пустому конфигу. Твоя задача — дописать HCL код так, чтобы plan показал: No changes. Проблема 2️⃣: "Хочу переименовать, но боюсь пересоздания" Ты назвал ресурс resource "yandex_vpc_network" "net" {}, но по стайл-гайду нужно vpc-main. Если просто поменяешь имя в коде — Terraform удалит старую сеть (и всё, что в ней!) и создаст новую. 💡Решение: Манипуляции со стейтом (`terraform state mv`). Мы объясняем Terraform, что объект в базе данных переехал по новому адресу: ```bash terraform state mv yandex_vpc_network.net yandex_vpc_network.vpc-main ``` После этой команды меняешь имя в .tf файле, запускаешь plan — и видишь заветный зеленый свет без разрушений. 🚀 Terraform 2.0: Глобальная перезагрузка Умение работать со стейтом, писать чистые модули, внедрять CI/CD и понимать, *как* это работает под капотом — это база. И именно эту базу мы полностью пересобрали. Рады сообщить, что мы обновили курс по Terraform на 90%. Это не просто косметика, это полный рефакторинг программы. 🔗 Смотреть подробную программу (PDF) 🔗 Купить обновленный курс. Мы сделали знания доступнее. Теперь модуль стоит 30 000 ₽ (вместо 50 000 ₽). 🛑 Важно для "старичков": Если ты уже покупал этот курс ранее — тебе не нужно платить снова. Пиши в поддержку, и тебе откроют доступ к новой версии бесплатно (без сохранения прогресса старой, так как программа новая). Перестань бояться terraform apply. Становись архитектором своей инфраструктуры.

🗓️ Расписание вебинаров на сегодня ⏰ 20:00 МСК - Linux From Scratch: 01 🔗 Регистрация и программа О вебинаре напомним за 5 минут до начала на этом канале. Также вы сможете зайти через личный кабинет. 🔥 Задать вопросы и обсудить детали можно в нашем чате

🚀 Турбо-поиск в Dovecot или как ускорить сервер 🚀 Знакомая боль: пользователь ищет письмо за 2018 год, Thunderbird висит, а сервер выжирает диск в полку. Почему? Dovecot по умолчанию ищет "в лоб", перебирая файлы. Решение — Full Text Search (FTS) на движке Lucene. Он быстрый, легкий, не требует Java (как Solr) и хранит индексы прямо рядом с письмами. 🛠 Настройка за 5 минут 1️⃣ Ставим плагин:`apt install dovecot-lucene` (или yum) 2️⃣ Правим глобальный конфиг (`/etc/dovecot/conf.d/90-plugin.conf`):

plugin {
  fts = lucene
  # Лайфхак: @. в whitespace_chars позволяет искать по email целиком
  fts_lucene = whitespace_chars=@. no_index=mime
  
  # Индексируем входящие сразу. Для HighLoad лучше 'no' + cron
  fts_autoindex = yes
  
  # Стемминг для русского и английского
  fts_languages = en ru
}

3️⃣ Включаем плагин в протоколах (`10-mail.conf` или `20-imap.conf`):

protocol imap {
  mail_plugins = $mail_plugins fts fts_lucene
}
# То же самое добавляем в protocol lda и lmtp!

После рестарта (`systemctl restart dovecot`) новые письма индексируются сами. ⚡ Как ускорить старые письма? Их нужно прогнать через индексатор вручную. Осторожно, нагрузка на CPU!

# Для одного страдающего пользователя
doveadm fts rescan -u user@domain.com && doveadm index -u user@domain.com INBOX

# Для всех сразу (запускать в screen/tmux)
doveadm fts rescan -A

✅ Итог: * Скорость: Поиск занимает миллисекунды. * Ресурс: Диски перестают "хрустеть" I/O операциями при поиске. * Цена: Индексы съедят ~10-20% доп. места на диске. --- 🔥 Почта — это сложная экосистема. Хочешь понимать, как тюнить производительность, интегрировать SQL/LDAP, настраивать Sieve и безопасность? Приходи на новый курс Dovecot, материалы уже на платформе. Разбираем архитектуру, а не просто копипастим конфиги.

Всем привет, небольшой апдейт по вебинару Keycloak: часть 3 👋 Мы отменяем вебинар по этой теме: спикер приболел, а также выяснилось, что все ключевые моменты Вася Озеров уже подробно разобрал в предыдущих вебинарах. Увидимся с Васей 5 февраля на вебинаре Kubernetes: Service Mesh на базе Linkerd 🚀 Спасибо за понимание и до встречи!

🗓️ Расписание вебинаров на сегодня ⏰ 19:00 МСК - Keycloak: часть 3 🔗 Регистрация и программа О вебинаре напомним за 5 минут до начала на этом канале. Также вы сможете зайти через личный кабинет. 🔥 Задать вопросы и обсудить детали можно в нашем чате

🔥🔥 Docker Socket: Удобно тебе = удобно хакеру. Закрываем дыру Привет! 🤙 Мы с вами уже говорили про sudo и скрытые угрозы типа Capabilities. Но сегодня я хочу затронуть слона в посудной лавке — Docker 🐳 Все мы любим Докер. Но часто ради удобства (или лени) мы прокидываем доступ к Docker сокету внутрь контейнеров или даем пользователям группу docker. ⚠️ В чем проблема? Если у пользователя есть доступ к /var/run/docker.sock или он входит в группу docker, это эквивалентно правам root на хост-системе. Без паролей, без регистрации и смс. 🔫 Сценарий атаки: Злоумышленник (или кривой скрипт) получает доступ к сокету и запускает привилегированный контейнер, монтируя корень хостовой системы (`/`) внутрь контейнера. Всё, он владеет сервером. 🛡️ Решение: Docker Socket Proxy (Harden Configuration) Не прокидывайте сырой сокет! Используйте проксирующий контейнер, который фильтрует запросы к Docker API. Это "флоппинет" (firewall) для вашего докера. Ниже готовый docker-compose.yml для Tecnativa Docker Socket Proxy. Он разрешает только чтение (GET запросы) и запрещает запуск новых контейнеров. Идеально для мониторинга (Portainer, Traefik, Prometheus и др.). 📂 Конфигурация (docker-compose.yml)

version: '3.8'

services:
  docker-proxy:
    image: tecnativa/docker-socket-proxy
    container_name: docker-proxy
    privileged: true # Нужно для доступа к реальному сокету
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock:ro # Монтируем оригинал в RO
    environment:
      # --- Политика безопасности ---
      # Разрешаем только безопасные операции
      CONTAINERS: 1  # List containers
      IMAGES: 1      # List images
      NETWORKS: 1    # List networks
      VOLUMES: 1     # List volumes
      INFO: 1        # System info
      
      # Запрещаем всё, что может менять состояние
      POST: 0        # Запрет на создание (POST)
      DELETE: 0      # Запрет на удаление
      AUTH: 0        # Запрет auth
      SECRETS: 0     # Не палить секреты
      # Остальное по умолчанию запрещено образом
    ports:
      - "127.0.0.1:2375:2375" # Слушаем только на localhost!
    restart: unless-stopped
    networks:
      - proxy-net

# Пример сервиса, которому нужен доступ к докеру (например, мониторинг)
  monitoring-agent:
    image: alpine:latest
    command: ["curl", "http://docker-proxy:2375/containers/json"]
    depends_on:
      - docker-proxy
    networks:
      - proxy-net

networks:
  proxy-net:
    internal: true # Изолированная сеть

🛠️ Как это работает в продакшене: 1️⃣ Изоляция: Сервисы (мониторинг, Traefik и т.д.) больше не получают /var/run/docker.sock. 2️⃣ Доступ: Они общаются с docker-proxy:2375 внутри внутренней сети proxy-net. 3️⃣ Фильтр: Если взломанный сервис попробует сделать POST /containers/create (создать новый контейнер для побега), прокси ответит 403 Forbidden. Совет: Если у вас Jenkins или GitLab Runner требует сокет для сборки — используйте Docker-in-Docker (dind) или выделенные ноды. Не давайте CI/CD системам прямой доступ к сокету продакшн-хоста. Это самоубийство. --- Хочешь реально понимать, где в Linux живут уязвимости и как их закрывать, а не просто копировать конфиги с StackOverflow? Жду тебя на курсе "Повышение привилегий в Linux". Разберем всё: от SUID и ядра до NFS и токенов. 🗓 Старт: 26 января 👉 Записывайся тут, Стоимость всего 22 000 рублей ⛔️сегодня последний день скидки на модуль⛔️

❗ Открытый практикум Kubernetes: Ingress vs Gateway API идёт уже 30 минут Если вы ещё не с нами, скорее подключайтесь! Ссылка для входа: https://my.rebrainme.com/live-class/332 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

❗Начало Открытого практикума Kubernetes: Ingress vs Gateway API уже через 5 минут Встречаемся в 19:00 МСК. Ссылка для входа: https://my.rebrainme.com/live-class/332 Также вы можете подключиться к вебинару через личный кабинет, в разделе «Вебинары». 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

Открытый практикум Kubernetes: Ingress vs Gateway API начнётся сегодня в 19:00 МСК. Практикум будет проходить на площадке Zoom.US Важно!!! Чтобы вы смогли без проблем к нам присоединиться, заранее протестируйте комнату по ссылке: https://zoom.us/test Ссылку для доступа отправим вам за 5 минут до начала. Либо заходите через личный кабинет в разделе «Вебинары». 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

🗓️ Расписание вебинаров на сегодня ⏰ 19:00 МСК - Kubernetes: Ingress vs Gateway API 🔗 Регистрация и программа О вебинаре напомним за 5 минут до начала на этом канале. Также вы сможете зайти через личный кабинет. 🔥 Задать вопросы и обсудить детали можно в нашем чате

🟡 Анонс открытых практикумов на следующую неделю 1️⃣ Keycloak: часть 3 ↘ Регистрация Время проведения: 27 января 2026, вторник, 19:00 по МСК Программа практикума: 🟢Интегрируем apiserver к Keycloak 🟢Настраиваем роли и группы в Kubernetes 🟢Связываем kubectl с Keycloak" Кто ведёт? Василий Озеров — co-Founder REBRAIN, IT-инженер с 2012 года, провёл 100+ вебинаров по DevOps и инфраструктуре. --------------------------------------------------------------------------------------- 2️⃣ Linux From Scratch: 01 ↘ Регистрация Время проведения: 28 января 2026, среда, 20:00 по МСК Программа практикума: 🟢Получаем нужные пакеты для создания окружения 🟢Получаем нужные патчи для создания окружения 🟢Настраиваем пользователя для создание окружения Кто ведёт? Андрей Буранов — системный администратор в департаменте VK Play, 10+ лет опыта работы с ОС Linux, 8+ лет опыта преподавания. Входит в топ 3 лучших преподавателей образовательных порталов --------------------------------------------------------------------------------------- 3️⃣ HTTPS в Angie и Nginx ↘ Регистрация Время проведения: 29 января 2026, четверг, 19:00 по МСК Программа практикума: 🟢Теория TLS: шифры, версии; 🟢Оптимальная настройка TLS; 🟢Особенности реализации Kernel TLS; 🟢Получение бесплатных сертификаты с помощью различных инструментов; 🟢Создаём самоподписные сертификаты; 🟢Используем модуль ACME от Angie; 🟢Настраиваем аутентификацию по TLS-сертификату (mTLS). Кто ведёт? Николай Лавлинский — Технический директор в ООО “Метод Лаб”. Веб-разработчик более 15 лет. Спикер конференций HighLoad++, РИТ++