Патчкорд

А если с базовой фильтрацией уже разобрались и хочется следовать современным тенденциям, то вот примеры настроек фильтрации с помощью RPKI для многих продуктов. Не упускайте из виду, что помимо настроек на роутерах нужен валидатор, ссылки есть в тексте. И будьте пожалуйста ОЧЕНЬ внимательны к любой фильтрации. Мне об этом часто пишут коллеги, что я чересчур категорично подхожу к этому вопросу и для всего есть нюансы. Поэтому прежде чем что-то рубить, вроде тех же INVALID ROA убедитесь что они действительно не нужны даже в таком статусе. Свяжитесь с источником и узнайте причину, помогите в конце концов с настройками. Помимо этого, многие рекомендации противоречат друг-другу, так всегда бывает в больших и сложных системах. Поэтому пытаясь что-то фильтровать можно ненароком сломать, например, механизм противодействия DDoS который часто используется с /32 префиксами и сделать хуже чем было. Всё знать не всегда получается, но разобраться в вопросе, перед тем как действовать, просто необходимо.

Половина автономных сетей в Интернет никак не заботятся о спуфинге, конкретно в этой статье исследовался вопрос получения из внешних сетей пакетов с внутренней адресацией, другими словами применяемость BCP84. Рядом идёт и BCP38 о котором я узнал на YaC2013. Спикеры ужасались попустительством со стороны операторов в отношении фильтрации и борьбы со спуфингом, а я, уже не начинающий специалист (по крайней мере я себя таким считал), ужасался тому что слышу о таких вещах в первый раз и являюсь одной из причин текущего плачевного состояния. В итоге, я приехал и всё переделал, не сразу, но мы этим стали заниматься на постоянной основе. Собственно, ситуация не меняется, по сравнению с 2013 как следует из статьи, да и началом 2000-х, когда эти BCP были выпущены.

Ещё больше про SSH и сертификаты в блоге smallstep.com. Тема по которой многие предлагают свои решения. За ссылки большое спасибо нашему подписчику, без вас и вашего участия никуда.

Ещё раз про SSH и почему это важный и далеко не самый простой аспект в работе. Описывается конкретный продукт, но проблемы поднимаются общие и действительно значащие, и если вы на них ещё не обратили внимание, то самое время обратить. Сертификаты, везде сертификаты и без автоматизации никуда.

Про будущее сетей, про то что в конечном итоге приход whitebox сам по себе, без смены парадигмы, модели их использования и места вендоров в этой модели, ничего не решает. Сети кардинально меняются и это происходит прямо сейчас, самое время определять своё положение.

Некоторые выводы по опыту внедрения IPv6 сетей от лидеров этого внедрения: Ungleich Glarus, LinkedIn и T-Mobile - в двух частях, в самом конце есть сводная таблица. Обратите внимание на пункт про оборудование, наверное, это касается вообще всех технологий, но в данном случае особенно - тесты, тесты и тесты, не доверяйте только словам вендоров, мы всё ещё, да, всё ещё в начале пути. А если ещё немного подождать, то может поколение помнящее IPv4 вымрет (или забудет об этом, как забыли про IPX) и тогда с IPv6 всё будет иначе, потому что ничего другого не будет.

Ещё раз про выбор лучшего маршрута BGP - "N WLLA OMNI". Примеры для каждого шага алгоритма, исчерпывающие объяснения и выводы. P.S. Больше мнемоник для запоминания.

CZ.NIC сделали новую утилиту для нагрузочных тестов DNS с поддержкой DoH, DoT и остального за компанию - DNS Shotgun, документация и исходники.

Вставляете вывод traceroute сюда - rich-traceroute.io и получаете информацию об ASn адресов на каждом шаге со ссылками на RIPEstat. В IPv6 тоже может.

Помните же про 400G трансиверы. Если вдруг не хватает, то всегда можно и LAG собрать.

Минимально необходимые настройки для безопасного использования ваших устройств NX-OS и JunOS: AAA, SSH, SNMP (лучше v3), журналирование, NTP, ACL. Не исчерпывающий, но жизненно важный список.

Для тех кто хочет разобраться в RPKI для BGP досконально - интерактивная карта по RFC. И инструкция к ней на manrs.org, сначала надо разобраться с ней.

И ещё раз про отличия коммутаторов от маршрутизаторов, современная интерпретация: 1. У коммутатора больше портов 2. У маршрутизатора больше функционала 3. Коммутатор ограничен одной средой, например Ethernet Это конечно помимо того, что коммутаторы смотрят в таблицу коммутации, которая преимущественно заполняется автоматически исходя из передаваемых данных. А маршрутизаторы работают с таблицами маршрутизации, которые заполняется с использованием специальных протоколов. Многие современные устройства могут и то и другое, и это если не касаться темы SDN. Существующая терминология ещё пытается делить всё на чёрное и белое, как это было, ой как много лет назад. Иногда это даже получается.

Специалисты, которые хотят составить обоснованное мнение о спутниковом Интернет-доступе StarLink Илона Маска, могут это сделать, начиная с сегодняшнего дня. В бета-сети StarLink появилась первая точка RIPE Atlas. На ней доступны все типичные для Атласа измерения, включая пинг, DNS, запрос отдельных страниц по HTTP и пр. https://atlas.ripe.net/probes/1001821/ Топологически наземный бета-терминал StarLink, к которому подключена точка Атласа, находится, скорее всего, в Сиэтле.

Одна из тех многих неприятностей которая может случиться с вашим BGP роутером - его могут зафлудить обновлениями маршрутов. Что делать не рассказывают, но как понять такую ситуацию применительно к ASR9000 почитать можно. Приведены количественные пороговые значения на которые надо обращать внимание, примеры и команды, ключевая из которых sh bgp ipv4 unicast version PREV LAST. А про BGP table version стоит почитать отдельно.

Так, ну вот похоже и дожили до того момента про который говорили все последние годы, когда просто уметь работать с виланами недостаточно чтобы оставаться в профессии, с этим ИИ прекрасно справляется. Заметьте, не автоматизация, не набор правил, а вот прямо ИИ. По ссылке короткая видеопрезентация без подробностей, но интерфейс с возможностями видно и результаты работы тоже. Это Mist, если ещё не слышали, дальше только больше.

Про DNS, IPv6, Mac и стандарты - почему так сложно определить что есть что на самом деле не заглянув поглубже, когда повторный запрос, не совсем повторный. Разбор конкретной ситуации, в конкретном месте в конкретное время, со всеми подробностями.

Если любите и часто используете регулярные выражения стоит уделить некоторое время, даже много времени и прочитать вот эту статью, в которой разбирается всего один приём, но разбирается до косточек. Статья действительно очень длинная, в конце есть примеры кода на многих языках, если кому-то так будет проще или кто-то надеется понять всё без подробных разъяснений. Для совсем ленивых: NotThis|NotThat|GoAway|(WeWantThis) но почитать почему так, стоит того.

​400G на марше - ликбез по модулям от Juniper, а я пока даже в 40G не разобрался.

Интересный симулятор, не всегда корректный в терминах и определениях и, как я думаю, не будет сильно понятным для новичков, из-за недостаточной глубины и разжёванности. Но подход мне понравился и реализация тоже, которая позволяет сделать гораздо больше чем задание в каждом уровне. Я прошёл всё до конца. Это всё ещё сеть со всеми её принципами и алгоритмами, но без необходимости сосредотачивать внимание на конкретных вещах, используются псевдоадреса и псевдозаголовки. Упор, кстати, не на маршрутизации и коммутации, а на безопасности - спуфинг, DoS, MitM, блокировки. Всё есть на Github, где можно помочь сделать лучше или забрать себе и сделать по-своему.