Bash Days | Linux | DevOps

Щас бы яблочко куснуть, выпить пива и уснуть На повестке сегодня проект PDFLinux. ㅤ Если коротко, то вот тебе pdf файл, открой его в браузере (на базе Chromium, Firefox) и у тебя загрузится Linux. Нихуя се! А как так? В PDF файлах обычно размещаются статические документы, но также у pdf формата есть поддержка javascript. Дада, тот самый, который: 1+1=11. Вот javascript и позволяет всё это проделать, но конечно же с ограничениями.

Помню в Adobe Acrobat там вот полная поддержка js была, вот это прям была кладезь для экспериментов.

Проект основан на эмуляторе RISC-V. Запуск в браузере осуществляется через движок PDFium. А чтобы потыкать в интерактивном режиме, есть виртуальная клавиатура. Понятно дело это говнище безбожно тормозит, браузерные ограничения и т.п, но концепт прикольный.

Пентестеры, берите на вооружение, возможно замутите свою pdf’ку, но уже с полезной нагрузкой. Уточнение — с полезной, а не деструктивной, у нас не инкубатор черношляпых.

Разработчик кстати и Doom запихал в PDF, можно погонять тут. Исходники и инструкции по сборке доступны в публичной репе на гитхабе. Посмотри, мож придумаешь где применить. tags: #linux #security — 🔔 @bashdays➡️ @gitgate

🌐 Хотите разобраться, как работает передача IP-пакетов и научиться управлять трафиком в L2 и L3 сетях? 📅 На открытом уроке 26 февраля в 20:00 мск мы разберем ключевые принципы маршрутизации и коммутации, а также покажем, как это устроено на практике. Вы узнаете: - Как происходит форвардинг IP-пакетов в L2 и L3 - Как правильно настраивать сетевые сегменты - Как избежать типичных ошибок в маршрутизации ✨ Записывайтесь на вебинар и получите скидку на большое обучение «Network Engineer»: https://vk.cc/cITEFA Не упустите возможность улучшить свои навыки в сетевых технологиях! 💻 Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576

Service или Systemctl? Каждый стартует или стопает процессы как привык. Во времена динозавров когда еще не существовало systemd, всё сводилось к командам:

service apache restart

Сейчас мир изменился, появился systemd, но привычки остались прежними. ㅤ Теперь сервисами рекомендуется управлять через systemctl. Но какая в хуй разница как управлять сервисам? И service и systemctl выполняют по сути одно и тоже и ты по итогу получаешь ожидаемый результат. На самом деле сейчас команда service это обёртка вокруг systemctl. Давай убедимся:

strace -f service nginx restart 2>&1 | grep execve

По итогу ты получишь:

execve("/usr/bin/systemctl", ["systemctl", "restart", "nginx.service"])

То есть service обратился к systemctl и произвел перезапуск nginx. А если глянуть исходник service:

cat /usr/sbin/service

То ты увидишь обычный bash скрипт в котором и происходит вся эта магия. Если система использует SysVinit или Upstart (например, старые версии Debian, CentOS 6, Ubuntu 14.04), то service будет работать напрямую со скриптами /etc/init.d/. По бест-практикам старайся использовать systemctl. Но опять же service никто не запретит тебе использовать. Хотя когда молодые ребята видят как ты вводишь service, у них разрывает жопу и ты автоматически присваиваешь себя к престарелым скуфам. Как это делаю я? И так и сяк, мне вообще похуй, главное достигнут ожидаемый результат. Кроме systemctl и service есть такие штуки для управления процессами:

/etc/init.d/nginx restart rc-service nginx restart sv restart nginx s6-rc -d change nginx supervisorctl restart nginx

А чтобы проверить какая система инициализации у тебя, вот тебе пиздатая команда:

ps -p 1 -o comm=

Вот и вся наука. А как ты рулишь сервисами? Как скуф или как современный молодой человек? tags: #linux #debug #strace — 🔔 @bashdays➡️ @gitgate

Крутая программа для тех, кто уже работает с Linux и хочет погрузиться DevOps. В двух словах: программа на 2 месяца, ты учишься, тебе еще и платят. Начинка: начинающий и продвинутый курс по Linux, погружение в DevOps. Обучение с практикой, лабораторными и под контролем экспертов из K2 Сloud. Подробнее можно узнать на сайте

Что делать если я проебал приватный ssh ключ? Самое главное не ссать! Если ты рядовой разработчик/qa/cto/шлюха, напиши своему девопс инженеру чтобы прописал новый публичный ключик. Это нужно сделать обязательно через таску никаких блядь личек. Чтобы потом можно было прикрыть свою жопу и всё свалить на безответственных сотрудников, которые штаны просиживают и блокируют работу команды. Пусть знают с кем связались — бабуины прямоходящие! 🙈

Человек как меч, либо делает свою работу либо тупой.

Тебя конечно же проклянут, но спустя какое-то время ключик пропишут. Доступ к серверам восстановлен. Профит чо! Это прям идеальный исход событий. Но если ты и есть девопс инженер да еще и один единственный в команде, то у тебя бааальшие проблемы! Пеню, все решаемо, напомню — не ссать! Варианты решения: ➡️ Вариант №1 Если ты осел и у тебя все еще включен доступ по паролю, то зайди на сервер по паролю. Но в 99999999% ты пароль не записал, либо просто его не знаешь/проебал. Но опять же решаемо, если у тебя есть доступ в панель управления серверами, ты можешь в пару кликов через веб-морду провайдера задать новый пароль. У Селектела и AEZA такая возможность есть. Но с этим паролем ты сможешь войти только через KVM, то есть опять же через веб морду. Потому что если ты в ssh конфиге (на сервере) отключил вход по паролю, то через ssh root@server у тебя нихуя не выйдет. Через KVM сразу можешь отредачить ssh конфиг и включить доступ по паролю, потом комфортно подключиться к серверу так ssh root@server и добавить свои новые ключики. Это самый трушный вариант, но работает не всегда + иногда требуется перезагрузка сервера, а это не допустимо.

Про ssh ключи, конфиги и прочее читай по тегу #linuxfactory

➡️ Вариант №2 Если у тебя есть какие-то другие доступы к серверу, например у тебя там поднят IPMI, VNC. Тут все просто, заходим, прописываем новые ключики, меняем конфиги, восстанавливаем доступы. ➡️ Вариант №3 Вспомни, возможно у тебя есть другой юзер который прописан в sudoers, не обязательно это может быть твой второй юзер. Возможно ты выдавал доступы разработчикам и т.п. Обратись к ним, если ты не мудак они зайдут на сервер и починят тебя. Но если ты мудак — поехали дальше. ➡️ Вариант №4 У многих две рабочих машины, у меня например основной писюк где я видосы для девопсины клепаю и параллельно решаю вопросы по ssh. Соответственно на писюке у меня есть приватный ключ. Но также у меня есть и ноут (нет, не в тот что кот насрал), на ноуте я обычно работаю в сортире и созваниваюсь в постельке. На ноуте у меня тоже есть этот приватный ключик. А еще у меня есть внешний диск, когда с ноута на ноут переезжал то бекапы делал, там тоже этот приватный ключик наверняка лежит. Суть такая — найти бекап этого ключа, всяко он у тебя где-то продублирован. Выйди на солнышко/снег/дождик, покури, подумай. бекапы порой делаются не осознанно. ➡️ Вариант №5 Рекавери режим. Нужен физический доступ к серверу, загружаешься, монтируешь диск, меняешь конфиги, прописываешь новые ключи. Физический доступ к сервакам обычно редкость, но опять же в Селектеле я такое делал много раз через веб-морду, там прям есть пунктик — Rescue Mode. Про аезу не скажу (аеза нас читает, пусть прокомментирует), пока не приходилось с этим сталкиваться. Минус — придется перезагружать сервер. Будет даун тайм и тебя за это очень быстро выебут (если это какойнить прод). ➡️ Вариант №6 У тебя есть какойнить Ansible который хуячит под крылом AWX, у ансибла нативный рут, либо юзер который может сделать become и выполнить таски от рута. Это прям облегчает задачу. Не нужно перезагружать сервак, прогнал плейбук и был таков.

Как говорится — Хуем в ладошку и вперёд в путь дорожку!

🙃 Если хочешь проникнуться Ансиблом/Гитлабом/Докером — велком в наш пантеон. ➡️ Вариант №7 ➡️ А это твой вариант, напиши про него в комменты. Я бы мог еще продолжать, но у телеги лимиты на количество символов. Так что пошли в комменты, попиздим и найдем серебряную пульку. Спасибо за внимание и хороших предстоящих выходных! tags: #рабочиебудни #linux — 🔔 @bashdays➡️ @gitgate

На GitVerse стала доступна среда разработки GigaIDE Cloud со встроенным AI-ассистентом СберТех представил российскую облачную среду для разработки GigaIDE Cloud, встроенную в платформу для работы с исходным кодом GitVerse. Среда обеспечивает редактирование, отладку, проверку и совместную работу с кодом, а также постоянный и безопасный доступ к предварительно настроенным рабочим пространствам разработки. GigaIDE Cloud доступна из браузера и позволяет вести разработку в удобном режиме с различных устройств вне зависимости от их производительности. Также пользователи получили доступ к обновлённой версии интегрированной среды разработки GigaIDE Desktop, которую можно скачать на GitVerse. Десктопная версия стала стабильнее и производительнее, а еще добавились новые инструменты для анализа и навигации по элементам крупнейших фреймворков для Java. В обе версии среды разработки интегрирован AI-ассистент разработчика GigaCode, который автоматизирует рутинные процессы и помогает программистам в реальном времени. Начать пользоваться GigaIDE Cloud — по ссылке

Первые восемь раз надежда все еще не была потеряна

я без надежды убит тоской навылет прострелен потому что я надеялся а не был уверен...

А вечерком будем думать в комментах (пост в отложке) над ситуацией — всё пропало, я проебал потерял приватный ssh ключ. tags: #рабочиебудни — 🔔 @bashdays➡️ @gitgate

Заголовок для привлечения внимания ㅤ А сегодня мы с тобой будем проверять на bash существует ли git репозиторий и есть ли к нему доступ.

В основе лежит команда git ls-remote, которая получает список ссылок (references) из удалённого репозитория. Она показывает ветки, теги и другие указатели (refs), которые есть в репозитории, без необходимости клонирования или загрузки самого репозитория.

Сразу к делу:

#!/bin/bash

# Проверяем, что указан репозиторий
if [ -z "$1" ]; then
  echo "Ошибка: Необходимо указать адрес репозитория."
  echo "Использование: $0 <адрес_репозитория>"
  exit 1
fi

REPO_URL="$1"

# Выполняем команду git ls-remote для проверки доступа
if git -q ls-remote "$REPO_URL" &> /dev/null; then
  echo "Репозиторий доступен: $REPO_URL"
else
  echo "Ошибка: Репозиторий не существует или нет доступа: $REPO_URL"
  exit 1
fi

Переменная окружения GIT_TERMINAL_PROMPT=0 отключает любые запросы ввода имени пользователя и пароля. То есть если репа запросит логин/пароль, то вернется ошибка (без ожидания ввода). Чмодим на +x и запускаем:

./git-check.sh https://github.com/bashdays/only.git

Репозиторий доступен: https://github.com/bashdays/only.git

./git-check.sh https://github.com/bashdays/zalupka.git

Ошибка: Репозиторий не существует или нет доступа: https://github.com/bashdays/zalupka.git

Есть минусы, скрипт работает только с https ссылками (открытые репозитории), со ссылками вида git@ оно вернет ошибку если у тебя не будет добавлен в ssh ключ. Обработать этот эксепшен можно как-то так:

#!/bin/bash

# Проверяем, что указан репозиторий
if [ -z "$1" ]; then
  echo "Ошибка: Необходимо указать адрес репозитория."
  echo "Использование: $0 <адрес_репозитория>"
  exit 1
fi

REPO_URL="$1"

# Функция проверки доступа
check_repo_access() {
  local url="$1"
  
  # Проверяем репозиторий с помощью git ls-remote
  if git -q ls-remote "$url" &> /dev/null; then
    echo "Репозиторий доступен: $url"
    return 0
  else
    echo "Ошибка: Репозиторий не существует или нет доступа: $url"
    return 1
  fi
}

# Определяем, является ли URL SSH или HTTP/HTTPS
if [[ "$REPO_URL" == git@*:* ]]; then
  # Если SSH, проверяем доступ через SSH
  ssh_host=$(echo "$REPO_URL" | awk -F':' '{print $1}' | awk -F'@' '{print $2}')
  if ssh -T "$ssh_host" &> /dev/null; then
    check_repo_access "$REPO_URL"
  else
    echo "Ошибка: SSH-доступ к $ssh_host не настроен или нет прав."
    exit 1
  fi
else
  # Для HTTP/HTTPS проверяем репозиторий
  check_repo_access "$REPO_URL"
fi

Где применить решать тебе, можешь взять этот концепт за основу и что-то своё накидать. У меня кое-где в пайплайнах есть такие проверки, перед тем как делается git clone. Ну и еще есть парсер репозиториев, загоняешь ему список и он по нему проходится, мертвые репы пишет в файл. В общем обычная рутина. Я принес, показал, а ты уже сам решай надо оно тебе или нет. tags: #bash #git — 🔔 @bashdays➡️ @gitgate

🚀 Инженерная команда нового облака МТС Web Services продолжает рассказывать о разработке сервисов платформы. В третьем выпуске проекта Building the Cloud поговорим про новый Object Storage. 🔑 Вы узнаете: ● какую архитектуру выбрали для нашего S3-совместимого хранилища данных; ● как обеспечиваем масштабируемость и надёжность хранения; ● как мы реализовали слои данных и метаданных; ● как работает асинхронная репликация данных между дата-центрами, и как используем erasure coding 💡 Для тех, кто пропустил первые выпуски: мы уже рассказали о создании сервисов Compute и IAM. Посмотреть можно здесь. Регистрируйтесь и задайте свой вопрос техлиду команды Object Storage нового облака в прямом эфире. За лучший вопрос дарим мерч. 📅 Дата: 3 марта, 11:00 🌐 Регистрация

По умолчанию папка для временных файлов расположена в корне /tmp. В некоторых дистрибах эта папка монтируется в память. Но если оперативки мало, а чья-то софтина активно пишет в нее, есть смысл перенести папку /tmp куда-нибудь на диск. Ну а если папка /tmp лежит на корневом разделе, а на разделе нет места, то это тоже проблема. ㅤ Самый распространенный и быстрый вариант: 1. Смонтировать новый диск в /mnt/tmp 2. Прокинуть симлинкой /mnt/tmp → /tmp Но в некоторых случаях софт упоротый и скажет — я ебал писать в симлинку, давай мне нормальный локейшен в /tmp.

Упоротый софт в моем случае была некая многопоточная конвертилка pdf файлов, которая раздувала папку tmp до — я ебёшь! И пока она не сделает свои дела, за собой не уберет.

По опыту скажу — софт никто править не будет, а попросят инженера вбить костыль. Так быстрее и не нужно тратить время разработчика. Да! Так и живем в больших интерпрайзах. Поэтому изобретают подобный велосипед. Монтируют новый диск в /mnt/tmp

sudo mkdir /mnt/tmp
sudo chmod 1777 /mnt/tmp

Права 1777 важны для временных директорий, чтобы все пользователи могли создавать файлы, но не удаляли чужие. Единичка это — стинкибит.

Создаем файл и пишем в него: /etc/systemd/system/mnt-tmp.mount

[Unit]
Description=Mount tmpfs on /mnt/tmp

[Mount]
What=tmpfs
Where=/mnt/tmp
Type=tmpfs
Options=mode=1777,size=10G

[Install]
WantedBy=multi-user.target

Название файла не может быть любое, у нас есть путь /mnt/tmp в этом случае файл называем mnt-tmp.mount. Если было бы /mnt/tmp/bashdays, то файл нам нужно обозвать mnt-tmp-bashdays.mount.

Ага, вот такие нюансы, иначе оно грязно выругается и нассыт тебе в глаз. По юниту все интуитивно понятно, расписывать не буду. А потом, как обычно:

sudo systemctl daemon-reload
sudo systemctl enable mnt-tmp.mount
sudo systemctl start mnt-tmp.mount

Да, чтобы процессы использовали новый каталог, в файле /etc/environment указываем переменную.

TMPDIR=/mnt/tmp

Не забываем применить:

source /etc/environment

Проверяем и зачищаем старье:

echo $TMPDIR
df -h /mnt/tmp
sudo rm -rf /tmp/*

Всё, дело в шляпе. Аналогично делается с папкой логов, но там есть свои нюансы, попозже расскажу. tags: #linux — 🔔 @bashdays➡️ @gitgate

Как развернуть приложение в кластере Managed Kubernetes on Bare Metal   20 февраля в 16:00 Selectel проведет воркшоп, где покажет, как с помощью готового сервиса Managed Kubernetes сделать выделенные серверы частью экосистемы облачной платформы. Обсудим лучшие практики использования нового сервиса Selectel Managed Kubernetes on Bare Metal и его преимущества: изоляцию ресурсов, повышение производительности и сокращение расходов на IT-инфраструктуру до 40%. Покажем процесс создания и работы с кластером Kubernetes на выделенных серверах. Отдельно рассмотрим интеграцию продукта с такими облачными сервисами как:  Container Registry, Балансировщик нагрузки и Базами данных.   Воркшоп подойдет: DevOps-  и SRE-инженерам, разработчикам, системным администраторам, архитекторам, руководителям IT-проектов и всем, кто работает с Kubernetes   Смотрите программу и регистрируйтесь на воркшоп по ссылке   Реклама. АО «Селектел», ИНН 7810962785, erid: 2VtzqvhCJ5a

Как обычно люди используют screen:

screen
cd /usr/local/sbin
./db_import.sh

И потом закрывают терминал, а скрипт db_import.sh продолжает где-то там шуршать и делать свои делишки. ㅤ Потом возвращаются спустя время и делают:

screen -list

3393.pts-3.dev (Attached)

screen -x 3393.pts-3.dev

или

screen -r 3393.pts-3.dev

Убеждаются что скрипт завершил свою работу, ну и выходят, порой даже не закрывая screen сессию (3393.pts-3.dev). Чем отличается -r и -x

-r (resume) = подключаемся к сессии которая в данный момент отсоединена, то есть к ней не подключены другие юзеры. -x (multi-user mode) = подключаемся к сессии к которой уже кто-то подключен, то есть несколько пользователей могут мешать друг другу в рамках одной сессии.

Подход нормальный, никаких тебе ключей запоминать не нужно и т.п. Но есть такой вариант:

screen -dmS имя_сессии bash /путь/к/скрипту.sh

dmS это параметры для запуска screen в фоновом режиме (detached mode) с именем сессии. d = запускает сессию в отключенном (detached) режиме. m = создаёт новую сессию, даже если она существует. S = имя сессии

Команда выше создаст сессию screen и запустить скрипт в фоновом режиме. А самое главное отпустит терминал и ты сможешь дальше в нём работать. И самая киллер-фича — после отработки скрипта, screen сессия автоматически закроется и после выполнения команды: screen -list список будет пуст. Еще можно так:

screen -X -S "script0$scriptID" stuff "^C"

script0$scriptID = указывает на сессию с именем, здесь $scriptID это переменная, содержащая идентификатор или значение, которое будет подставлено в команду. stuff = передаёт текст или последовательность символов в сессию screen, как если бы их ввел пользователь.

На закуску. Когда ты подключился к сессии и у тебя там еще работает скрипт, как не закрывая терминал вернуться в интерактивный режим? Я раньше просто закрывал окно с терминалом и сейчас вижу что много кто так делает. Все просто, прожимаем CTRL+A и затем «d». Ты отключаешься от сессии, переходишь в интерактивный режим с терминалом, а скрипт продолжает шуршать в фоне. А как посмотреть выхлоп скрипта если сессия закрыта? Добавь в свой скрипт логирование и обработку экспешенов, пусть оно в файлик пишет результаты своей работы. Нахуй тебе через screen потом ебаться все это просматривать. Буквально вчера увидел как инженер с утра запустил распаковку базы на сервере, через пару часов у него мигнул интернет, ssh сессия с сервером превратилась в тыкву! Начинайте сначала! Если запускаешь на сервере что-то очень долгое и не хочешь быть к этому привязан, используй screen! Это мастхев для подобных процедур. По крайней мере сохранишь время и нервы. Вот и вся наука. Изучай! tags: #linux #utilites #bash — 🔔 @bashdays➡️ @gitgate

Посвящаю тебя в Куборыцари! 🐈⚔️ Чтобы разработчику по-настоящему освоить Kubernetes, одних теоретических знаний мало. В идеале — найти наставника, который покажет реальные рабочие задачи и научит их решать. Тогда никакие переезды на кубы не страшны! Пока вы в поисках такого человека, другие уже проходят «Kubernetes для разработчиков»: разрабатывают приложение под k8s и запускают его в кластере. Как они этому учатся? 👉 80% времени — это практика, реальные задачи и работа со стендами. 👉 Постоянная поддержка — консультации экспертов на встречах и в общем чате. 👉 Финальный этап — сертификация, подтверждающая твои навыки. Может, и вам пойти этим путём? ➡️ Старт — 3 марта. ➡️Забирайте место по ссылке Реклама ООО «Слёрм» ИНН 3652901451

🔥 Скрытые данные в эмодзи/символах Тут некий деятель Paul Butler, запиздярил штуку, которая позволяет при помощи последовательностей ZWJ (Zero Width Joiner) закодировать в один эмодзи неограниченный объём данных. ㅤ Да чо далеко ходить, идем сюды, выбираем эмодзи или букву алфавита, пишем текст который нужно спрятать и готово. Копируем получившийся эмодзи/символ и отправляем по назначению. На этом же ресурсе можно расшифровать, то что получилось.

Unicode представляет текст как последовательность кодовых точек — чисел, которым присвоено определённое значение. Каждая кодовая точка записывается в формате U+XXXX, где XXXX — это шестнадцатеричное число в верхнем регистре. Для латинских символов каждой кодовой точке соответствует конкретный символ на экране. Например, кодовая точка U+0067 обозначает букву "g". Однако в некоторых системах письма один видимый символ может состоять из нескольких кодовых точек. Например, символ "की" в деванагари формируется из кодовых точек U+0915 и U+0940, соединённых вместе.

Где можно применить? Ну конечно же поиграться, изобрести что-то своё, попентестить формочки на отказ в ослуживании, либо вставлять метки «жучки», чтобы в случае утечки данных отследить отправителя и получателя. Тут всё зависит от твоих потребностей и креативных идей. В телеге кстати нормально работает, но при условии если эмодзи отправлен без дополнительного текста и т.п. В других мессенджерах не проверял.

В комменты закину такой смайлик на потыкать. Перешли себе в Избранное и от туда уже правой мышкой - копировать текст.

🅰️🅰️ ➡️ Технический подробности глянуть тут. ➡️ Исходники кодера/декодера на гитхабе. Надо на Bash такую пепяку сделать, ради прикола. tags: #security #crypt — 🔔 @bashdays➡️ @gitgate

🔔 CI/CD: 90 минут практики от платформы до конвейера 20 февраля в 20:00 мы покажем весь путь CI/CD — от пустого проекта до работающей платформы. За 100 секунд — реальный запуск конвейера, а потом разберём каждый этап: пайплайны, тестирование, деплой, обработка ошибок и масштабирование. Для кого открытый вебинар? • DevOps-инженерам — разберётесь, как быстро настраивать CI/CD. • Разработчикам — поймёте, как автоматизировать тестирование и деплой. • Архитекторам — увидите, как строить отказоустойчивые CI/CD-процессы. Спикер Кирилл Казаков — DevOps Lead в Simplinic. ⏺ Регистрируйтесь на урок прямо сейчас, чтобы не пропустить: https://vk.cc/cIHrTR Посетителям урока отправим чек-лист по теме на e-mail. Бонус: скидка на большое обучение «Инфраструктурная платформа на основе Kubernetes» для участников! Промокод Kuber_5 , действует до 28.02 для тех, кто пройдет вступительное тестирование на курс. Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576

Здрасти, сегодня продолжаем издеваться над ssh. Давай прикрутим 2FA. ㅤ Идем на сервер к которому хотим подключmся по ssh и ставим пакеты:

sudo apt update
sudo apt install libpam-google-authenticator

Запускаем конфигуратор:

google-authenticator

Я запускаю под рутом, но если тебе нужно настроить 2FA для другого юзера, для начала переключись на этого пользователя и только потом запускай конфигуратор. После запуска конфигуратора, получишь по ебалу:

Do you want authentication tokens to be time-based (y/n)

Тут поди сам разберешься чо нажимать. В ответ тебе выплюнут QR код, ссылку и секретный ключ. Можно еще всякие ключики использовать:

google-authenticator -t -f -d -w 3 -e 5 -r 3 -R 60

Если интересно: google-authenticator --help Всю эту инфу куданить себе скопируй чтоб не проебаться. Дальше сканируем этот QR код, либо берем секретный ключ который он тебе выплюнул и вставляем в vaultwarden в TOTP или на телефоне в апку добавляем. Тот самый секретный ключ:

Your new secret key is: MAIY4KDCXKWHPDCI

В общем нужно получить шестизначный код, вернуться в терминал (где ты запускал конфигуратор) и вставить его. Логика аналогична подключению 2FA в любых сервисах. После этого оно выплюнет тебе рекавери коды, ну и спросит:

Do you want me to update your "/root/.google_authenticator" file?

Do you want to disallow multiple uses of the same authentication
token? This restricts you to one login about every 30s, but it increases
your chances to notice or even prevent man-in-the-middle attacks

и другие

На всё соглашаешься, но если хочешь, можешь прочитать и тонко затюнить под свои задачи. В файл /root/.google_authenticator сохранится секретный ключ и коды восстановления. Этот файл не трогаем, без него тоже нихуя не заработает. Теперь открываем файл /etc/pam.d/sshd И добавляем в него строчку:

# @include common-auth
auth required pam_google_authenticator.so

По необходимости комментим common-auth если ничего не работает. Есть вариант не комментить, но тогда нужно правильно настроить common-auth, но у нас сегодня не про это. Закомментировав этот модуль ты отключаешь стандартные механизмы аутентификации и даешь зеленый свет на использование pam_google_authenticator. Тут аккуратнее, можешь себе в ногу выстрелить. Сначала все проверяем и только потом закрываем терминал с активной сессий. Дальше добавляем в конфиг: /etc/ssh/sshd_config

UsePAM yes
PasswordAuthentication no
ChallengeResponseAuthentication yes
PubkeyAuthentication yes
AuthenticationMethods publickey,keyboard-interactive

Вот и всё, настройка 2FA завершена. Рестартим:

sudo systemctl restart ssh

И пробуем подключиться по ssh к этому серверу:

ssh root@bashdays.ru

(root@bashdays.ru) Verification code:

Ха! А что вводить? Это и есть 2FA, сюда вводим одноразовый код который выплюнул тебе vaultwarden либо аппка на телефоне. Всё! Залетаем спокойно на сервер. Без кода и ключа хуй ты теперь чо сделаешь. Как использовать резервные коды? Да также при запросе в Verification code. НО из файла /root/.google_authenticator они будут отлетать. Тут тоже аккуратнее. Также можешь включать 2FA для конкретных пользователей, в конфиге /etc/ssh/sshd_config

Match User <имя юзера>
      AuthenticationMethods publickey,keyboard-interactive

Настроек там жопой кушай, я тебе лишь концепт показал как эту хуйню можно быстренько настроить.

А как работать с 2FA и QR кодами из консоли, можешь почитать тут.

Главное не спеши и делай всё вдумчиво, чтобы не проебать доступ к серверу. Ну а если все проебал, да и хуй с ним, ебани кофейка и мультики посмотри. tags: #linux #devops #linuxfactory — 🔔 @bashdays➡️ @gitgate

❓ Хотите приручить SSH и стать экспертом удаленного администрирования? На открытом уроке «Работа с SSH в Linux» вы освоите все ключевые техники, необходимые для работы с протоколом SSH. Что вы узнаете: — Как настроить SSH-сервер и клиент. — Как использовать аутентификацию по ключам для максимальной безопасности. — Как синхронизировать файлы с помощью rsync и повысить эффективность администрирования. ⭐️ Спикер Николай Лавлинский — технический директор в Метод Лаб, PhD Economic Science, опытный руководитель разработки и преподаватель. ⏰ Встречаемся 20 февраля в 19:00 мск. Урок проводится в преддверии старта курса «Administrator Linux. Basic», а участники получат скидку на обучение. 👉 Настройте свои навыки на новый уровень — регистрируйтесь прямо сейчас: https://vk.cc/cIEXCh Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576, www.otus.ru

Использовать ssh ключи очень удобно, при условии если у тебя в наличии 2-5-10 серверов А как жить в ситуации когда у тебя 100500 серверов и еще 100500 пользователей? ㅤ Этож нужно за всем этим следить, обновлять и отзывать неактуальны (проёбанные) ключи. Всё скатывается в ужасную рутину. Да, можно поднять какой-нибудь бастион и через него всем этим рулить, либо упороться с ансиблом и т.п. Но чтобы не морочиться со всей этой хуйней, у тебя всё это есть и установлено из коробки. Вариант не совсем простой, легко запутаться, но если разобраться то качнешь свой скилл. Центр сертификации (CA). Работает он так: 1. Ты настраиваешь CA которому доверяют все твои 100500 серверов. 2. Сертификат подписывает ключи пользователей с указанием сроков действия и ограничений. 3. Если сотрудник покидает команду, ты просто отзываешь сертификат, а не удаляешь ключи с каждого сервера. Давай замутим: Берем какуюнить линукс машину и делаем из него CA.

ssh-keygen -t rsa -b 4096 -f ~/.ssh/ssh_ca -C "SSH Certificate Authority"

Описывать за что отвечают параметры не буду, всё это уже разжевали, читай посты по тегу #linuxfactory

По итогу получаем 2 ключа, ssh_ca (приватный) и ssh_ca.pub (публичный). Дальше чтобы сервера могли доверять сертификатам, подписанным нашим CA, добавляем публичный ключ CA (ssh_ca.pub) на все 100500 серверов.

Тут уже сам автоматику организуй, либо баш скриптом, либо ансибл ролью либо еще как-то. Попробуй ради интереса изобрести своё решение.

Покажу в рамках одного сервера:

scp ~/.ssh/ssh_ca.pub user@bashdays:/etc/ssh/

Теперь заходим на этот самый сервер куда ты скопировал публичную часть ключа. Открываем конфиг /etc/ssh/sshd_config И пишем в него:

TrustedUserCAKeys /etc/ssh/ssh_ca.pub

Не забываем хуйнуть:

sudo systemctl restart ssh

Теперь сервер будет доверять сертификатам подписанным CA. Ну а чтобы пользователь мог подключаться по сертификату, подписываем его публичный ключ с помощью CA. Для этого копируем на CA машину свой локальный публичный ключ. Тот что у тебя на машине лежит и который ты прописывал ранее в authorized_keys на удаленных серверах. Подписываем публичный ключ и превращаем его в сертификат.

ssh-keygen -s ~/.ssh/ssh_ca -I "user_cert" -n user -V +1w /tmp/user_key.pub

В ответ получаем нечто такое:

Signed user key /tmp/user_key-cert.pub: id "user_cert" serial 0 for username valid from 2025-02-16T12:02:00 to 2025-02-23T12:02:59

И в папке /tmp появляется файл user_key-cert.pub ➡️ Важно. При подписании ключа, указывай валидного юзера под которым будешь подключаться, иначе нарвешься на ошибку:

 error: Certificate invalid: name is not a listed principal

Забираем себе на локальную машину подписанный ключ и пробуем подключиться:

ssh -i ~/.ssh/id_rsa -o CertificateFile=~/.ssh/user_key-cert.pub root@bashdays.com

Вуаля, я залетаю на сервер с подписанным ssh ключом, а на удаленном сервере вижу в логах:

2025-02-16  sshd[958704]: Accepted publickey for root from 11.11.11.11 port 35528 ssh2: RSA-CERT SHA256:Q4SKZ5cRycm79w0SyvRhAQR8 ID user_cert (serial 0) CA RSA SHA256:PtNBUw/+4/gGz4rc/ybu/uNHngcI

Если что-то не получается или не даёт зайти, пиздуешь на сервер к которому подключается и смотришь логи var/logs/auth.log. В этом файле тебе очень информативно подскажут что погуглить.

И да, на удаленном сервере можно снести файл ~/.ssh/authorized_keys от тебе больше не пригодится. Потому что сервак начинает доверять всем ключам, которые подписаны через CA. Ну а теперь давай отзовем сертификат с ключа На сервере к которому ты настраивал подключение:

touch /etc/ssh/revoked_certs

В файле /etc/ssh/sshd_config добавляем:

RevokedKeys /etc/ssh/revoked_certs

Добавляем серт в этот файл с отзывами:

ssh-keygen -k -f /etc/ssh/revoked_certs -z 1 user_key-cert.pub

Всё, теперь если попробуем подключиться к серверу, нас пошлют нахуй. Выглядит все это конечно пиздец крипово, но при правильной автоматизации этого процесса у тебя получится достаточно гибкий инструмент. Завтра про Vault Hashicorp расскажу, в нем все проще делается tags: #linux #devops #linuxfactory — 🔔 @bashdays➡️ @gitgate

Возможность для всех, кто работает с Linux и хочет прокачаться. K2 Cloud запускает программу обучения: погружение в DevOps + прокачка в Linux. Если пройдешь на программу — трудоустраивают и платят зарплату, пока учишься. Обучение с практикой, лабораторными и под контролем экспертов из K2 Cloud. Курс проходит онлайн, в Москве можно учиться гибридно с посещением офиса. Подробности тут. erid: 2VtzqvkFvFf

Сегодня будем запирать врата ада. ㅤ Ситуация: Есть физический сервер, на нём торчит само собой Linux, к нему подключен монитор и кнопки. Короче можно физически подойти к этой машине и ввести логин/пароль. Ну или при желании понажимать ALT+F1, F2, F3 (чтобы переключать tty). Надеюсь ты понял о чем я тебе говорю. Ну дак вот! Задача: Нужно запретить физический вход по логину/паролю, но оставить вход по ssh с ключами. Как настраивать все эти ключи можешь почитать в серии постов по тэгу: #linuxfactory Давай теперь отключим физический доступ к tty. Заходим на сервер и смотрим юниты

systemctl list-units | grep getty

В ответ получаем список активных tty

getty@tty1.service
getty@tty2.service
getty@tty3.service
getty@tty4.service

getty (сокращение от get tty) — это программа в Linux и Unix-подобных системах, которая отвечает за управление терминалами и логин-процессом для пользователей, подключающихся к системе через консоль.

Теперь запускаем команды:

systemctl disable getty@tty{1..10}.service
systemctl stop getty@tty{1..10}.service

Всё! Песда! Терминал становится черным, интерактивность потеряна. Пробуем понажимать ALT+F1, F2, F3 — хуй там плавал! Перезагружаем сервер и НИЧЕГО! Черная дыра! Пробуем подключиться к серверу по ssh — ХА! Работает сучка!

При отключении getty для терминалов tty1–tty10, это не повлияет на SSH-доступ, так как SSH-сервер работает независимо от getty.

Теперь даже имея физический доступ к серверу, ты нихуя с ним сделать не сможешь. Максимум загрузиться в Recovery mode и починить:

sudo mount /dev/sdXn /mnt
sudo chroot /mnt
sudo systemctl enable getty@tty{1..10}.service
sudo systemctl start getty@tty{1..10}.service

Вот такие приколюхи! Как и где это применять решай сам. Развлекайся.

Про Magic SysRq в Linux писал тут.

Чем терминал отличается от консоли писал тут

tags: #linux #devops — 🔔 @bashdays➡️ @gitgate