Патчкорд

Использование веб инструмента IHR для мониторинга BGP, на примере разбора инцидента с ROA Северной Кореи. Доступность исторических данных делает этот ресурс удобным для анализа. Внутри, знакомые RIPE Atlas, RIS, PeeringDB. Проект живёт достаточно давно и присутствует на GitHub.

Отчёт Backblaze (Cloud Storage) за первый квартал этого года по трафику. Интересно смотреть, в разрезе США особенно, какой тип трафика куда притягивается. Калифорния побеждает по CDN, облакам, облакам для ИИ (Neocloud). За рамками США, Neocloud больше всего в Финляндии, CDN в Нидерландах, а хостинга в Германии. И вся эта картина достаточно подвижная, в рамках США точно, за исключением трафика провайдеров, где всё стабильно.

Не написал, напишу, если что-то заметили что не работает как должно - пишите, в меру своих сил и средств и оперативности всё поправлю. Я рад, что внимательный подписчик, спасибо за это, уже нашёл проблемы в цепочке сертификатов для DoT, и теперь работает как надо.

Дошла очередь до переезда host-correct.ru, теперь на связке PowerDNS dnsdist и pdns_recursor. Lighttpd оставил по большей части для другого, но оставил как прокси. За всё время перепробовал, если помните, и Unbound, и Knot, и Bind, и почему-то незаслуженно проходил мимо PowerDNS. Очень продуктивное решение в стиле unix way, разделить собственно DNS и формы доступа к нему: DoT, DoH, DoQ и остальные - вынести в другой инструмент. Отдельное личное большое спасибо за эту наводку Андрею Пазычеву, обязательно смотрим его доклады на Linkmeetup. Это лучшее решение из всех которые я использовал. Для Munin не нашёл готового плагина DNSdist, но это я допишу. IPv6-only для DNS резолвера тоже не летит, многие не имеют IPv6 NS записей, поэтому добавил ещё IPv4. Это немного отрезвляет, при всём моём оптимизме, попробовать развернуть что-то IPv6-only. host-correct.ru свободно доступен для использования DoH и DoT, логирование запросов выключено, гарантий по надёжности и производительности никаких. Я вижу что никто им не пользуется, кроме меня, даже боты брезгуют по TLS заходить, но если вдруг понадобиться и нет своего, а другие не хочется, то пожалуйста.

Пятничное, из глубин Интернета. Не забывайте сертификаты обновлять.

Amiga pixel art, по ссылке ещё немного с описанием. Не могу ничего сказать про компьютер, кроме того что раньше с этим было куда разнообразнее. Размер экрана и количество пикселей не важно, даже в таком формате, не в оригинальном разрешении, смотрится отлично.

Что было с DE, предварительный анализ, полный обещают позже. Новая система генерации ключей, которая не была протестирована полностью, сгенерировала несколько ключей с одинаковым id используемых для подписи, но только один из них был опубликован. Система мониторинга проблемы обнаружила, но они не была должным образом обработаны. Пострадали в том числе и дочерние зоны без DNSSEC. Некоторые резолверы, в частность Cloudflare, отключили, на время аварии, проверку DNSSEC для зоны DE.

Ночью со вторника на среду в зоне DE немного уронили DNSSEC, но нас в этом году ждёт событие поинтереснее - очередная замена KSK (ключа для подписи всего остального) в корневой зоне. Geoff Huston рассказывает про готовность к этому событию и сложность оценки, и, кажется, мы не вполне уверены чем это всё кончится. В 2017 не получилось, но вторая попытка в 2018 прошла нормально. Этим ключом id 20326 сейчас и пользуемся. Новый id 38696 опубликован год назад и подписан текущим KSK и ему уже можно и нужно доверять. Ждём октября.

BGP как протокол сетевого взаимодействия для многопользовательской игры. Наверное, не самый лучший выбор, но можно и так.

Если вы используете DoH, DoT, DoQ значит вы шифруете свои DNS запросы до ближайшего рекурсивного резолвера. Но использует ли этот резолвер шифрование, чтобы запросить данные у следующего в цепочке авторитетного DNS сервера? Короткий ответ - нет, про что написано в блоге RIPE Labs. Механизм такого взаимодействия ADoX (Authoritative DNS over X) совсем недавно описан в RFC9539 и предполагает использование тех же DoT и DoQ, за исключением DoH, потому что нельзя достоверно угадать нужный URL. Следить за проектом можно на специальной страничке.

GitHub использует eBPF для перехвата и управления трафиком во время тестов своих скриптов. Делает он это для того, чтобы исключить возможность собственному скрипту, который меняет что-то на GitHub, лишитьcя доступа к GitHub. Примеры кода и ссылки на GitHub, присутствуют.

Бинарный поиск достаточно просто убыстрить, добавив в него возможностей современных процессоров. А вот стоит ли игра свеч, вопрос уже сугубо индивидуальный. Оптимизация ради оптимизации не самая полезная вещь.

Простой консольный сервер из ПК и доступных инструментов. Не сильно много объяснений, но направление понятно и файлы конфигурации приведены.

На днях вышла новая версия GoBGP 4.5.0, в которой автор обещает значительный прирост производительности.

Как сломали ripe.net, уже починили. Можно было управлять записями базы данных и RPKI. Для этого, надо было кликнуть на ссылку, вполне безобидную, и быть авторизованным на сайте, но последствия этого самые разрушительные. Интернет, всё ещё, децентрализованная структура, но больные точки у него есть. З.Ы. Помните, кстати, как по почте объекты в RIPE DB правили?

Geoff Huston про отзыв сертификатов и то что этот механизм не работает, следовательно не работает и наша цепочка доверия к сертификатам вообще. Сокращение Letsencrypt времени жизни сертификата с 90 дней до 45 дней, ничего не значит, когда для атаки достаточно и нескольких минут. Мог бы помочь DANE, но как обстоят дела с DNSSEC, мы знаем.

Свой DNS сервер вместо публичного сервиса, когда пришло время. Пропущен очевидный вариант, не писать самому, а развернуть уже написанное, тем более, что всё равно пользовались готовой библиотекой. Но самый короткий путь тот который знаешь.

Интернет это не архив и не библиотека, в том смысле что данные там не хранятся долго. Я бы не рассчитывал и на 5 лет, за 10 лет, как говорят исследования, теряется больше трети. Какое-то количество сохраняется, про что рассказывают в блоге archive.org, но это сохранение весьма условно. Веб уже достаточно давно не только текст, да и за границами веба есть много другого. Иными словами, копируйте информацию, а не ссылки.