Патчкорд

Пятничное, но актуальное, классика жанра, хотя что-то из этого за столько лет можно было бы слегка подправить - 9 простых способов сломать Cisco. Путь настоящие связисты посмеются в свой праздник над нерадивым потомством.

Автоматическое, бесплатное ускорение ваших shell программ в разы. Готовый продукт и публикация с выкладками, почему и как такое можно сделать. Пример из статьи с распараллеливанием на два, но можно и больше: ##### Before ##### base="ftp://ftp.ncdc.noaa.gov/pub/data/noaa"; for y in {2015..2019}; do curl $base/$y | grep gz | tr -s" " | cut -d" " -f9 | sed "s;^;$base/$y/;" | xargs -n 1 curl -s | gunzip | cut -c 89-92 | grep -iv 999 | sort -rn | head -n 1 | sed "s/^/Maximum temperature for $y is: /" done ##### After ##### mkfifo $t{0,1...} curl $base/$y > $t0 & cat $t0 | split $t1 $t2 & cat $t1 | grep gz > $t3 & cat $t2 | grep gz > $t4 & ... cat $t9 | sort -rn > $t11 & cat $t10 | sort -rn > $t12 & cat $t11 | eager > $t13 & cat $t12 | eager > $t14 & sort -mrn $t13 $t14 > $t15 & cat $t15 | head -n1 > $out1 & wait $! && get-pids | xargs -n 1 kill -SIGPIPE И это всё оно само.

Bgpq4 обновился до 0.0.7 и уже должен быть доступен в репозиториях вокруг RHEL. Пока RPKI ещё не везде, зато новая версия мониторинга у NIST, а фильтровать как-то надо.

Отлично разжёвано, со всеми выкладками и ссылками на RFC и BCP, почему каждому конечному потребителю нужен свой статический IPv6 префикс. Потому что SLAAC, аварии, очень долгие времена жизни префиксов по умолчанию и проблемы связности как следствие всего этого. Но если Интернет провайдер всё же не хочет так делать, надо его попросить, а уж если совсем никак, то что-то можно сделать с помощью стандартов. Нежелание, наверное, вызвано привычкой что за статику абоненту надо платить, ну и где-то, это в самом деле технически оправдано.

Nping - отличная вещь, почему-то про неё не так часто говорят, но помимо "Layer 4 ping" это ещё и генератор трафика, покрывающий очень большой пласт потребностей, в том числе и из пользовательского окружения.

Wireshark очень богатый на настройки и допиливания напильником инструмент. Да, он хорошо работает и из коробки, но не ленитесь сделать чуть лучше, за удобством идёт глубина и осознание, можно увидеть то что раньше не было видно и понять то что не было понятно. Выделите время и пройдитесь по всем пунктам меню, откройте для себя "Статистику", Форматы заголовков, VoIP плеер и бог знает что ещё.

Если используете 9.9.9.9, то прямо сейчас они не очень, пишут про DDoS. Впрочем, от меня всё нормально.

Как в Roblox отвечают на вопрос: "Не в сети ли дело"? Строят активный мониторинг из тысяч пробников в полносвязной сети и сотен миллионов запросов в минуту, не боясь нагрузить каналы служебным трафиком, ради уверенности и спокойствия в своём ответе. И если вам важно качество, то без активного мониторинга, мониторинга потерь в пользовательском трафике никуда не уйти. Начать можно с Cisco IP SLA - это хорошо работает между двумя поддерживающими это устройствами. Потом правда придётся пройти квест по доказыванию магистральному провайдеру, что надо устранить этот 1% потерь на канале, которых раньше никогда не было и что это много.

BGP всё ещё можно сделать лучше на фундаментальном уровне, а не просто прикрутив очередной контейнер для переноса чего-либо. Описание одной из возможных причин возникновения маршрутов зомби, как следствие неучтённого состояния TCP соединения с нулевым размером окна. При этом один из BGP спикеров не в состоянии отправить ответ своему соседу, но и не в состоянии разорвать соединение удерживая маршруты активными. Решать предлагается новым таймером, в самое сердце основного алгоритма.

Петли маршрутизации это не очень хорошо, не стоит увеличивать энтропию гоняя лишний трафик, ну и чтобы на всякие DDoS не нарваться. Хотя полезность тоже можно найти. Простое правило, все ваши сети должны иметь место назначения и это не должен быть 0.0.0.0/0, то есть они должны быть в таблице маршрутизации. Если их нет - сделайте агрегированный префикс в null. Для серых сетей можно максимально широко /8, /12, /16 прямо из RFC1918, про IPv6 не забывайте. Помимо петель это сэкономит правила в ACL, даже поэффективнее будет, гарантированно не даст в Интернет просочиться тому чему не надо.

Великолепный способ и пример разделения окружений свой/чужой и возможность избежать статического маршрута при подъёме туннеля с динамической маршрутизацией в блоге Networking with FISH. Не бойтесь VRF и берите на вооружение.

FreeRADIUS может всё, если хотите Cisco SD-Access, надо только правильные атрибуты навесить. SGT метки это ещё, точнее из Cisco TrustSec, так что если очень хочется именно FreeRADIUS - мы, в тебе не сомневались.

Nick Russo подготовил новый обширный документ по дизайну сети, в этот раз удалённый доступ - VPN - IPv6 - защищённый контур/второй VPN. Подробно про среднюю часть "gray net", почему IPv6 и как сделать красиво. Что-то обязательно можно будет почерпнуть, даже если целиком дизайн не про вас. Забрать в PDF и не только это.

Разбор недавнего падения Linx от Ripe Labs, с попыткой выяснить как такие косяки влияют на окружающих в современном мире. И, кажется, сетевики таки научились в резервирование и теперь падение даже такого крупного IXP не приводит к выходу из строя половины интернета. Горд за профессию. https://labs.ripe.net/author/emileaben/does-the-internet-route-around-damage-edition-2021/

Пирингов мало не бывает.

#rememberthetelegram

Генератор XDP программы из правил FlowSpec, если вам это действительно нужно или надо с чего-то начать. По сути это законченное решение, не забываем что нужен будет ещё C компилятор, предлагается использовать clang, со всеми нужными зависимостями. Поставщик flowspec - вывод birdc.