Всем привет!

Добро пожаловать на канал, посвященный разнообразному софту и новостям "вокруг и около".

Кто я: лидер серверных команд (ну или тимлид бэкенда, если так привычнее) в одной небольшой компании. В IT начал вливаться в начале 2000х, на этих наших линуксах с 2008, заялдый гентушник и арчевод, на серверах предпочитаю Debian. С 2009 пишу разнообразный код - от скриптов на шелле, до больших софтин на Python, Golang, мимоходом щупал C/C++, Ruby, Java - но не зашло. Хочу углубиться в Rust. Люблю всякое технологичное, особенно с приставкой "высоко-".

На канале буду постить всякое образовательное, обозревательное, и иногда приправлять новостями. Возможен небольшой налет из мемасиков, на случай важных переговоров. Также возможно появление ссылок на лонгриды на другие площадки (пока еще только не знаю на какую или какие). Так как в совершенстве знаю оба русских наречия - могут проскакивать оба, как и профессиональный (и не очень) жаргон. Но постараюсь последним не злоупотреблять.

Что нужно знать об этом канале (a.k.a "дисклеймеры"):

▪️Этот канал веду я и только я, и все тут понаписанное отражает строго мое мнение, и может не совпадать с вашим.
▪️Автор находится в России.
▪️Весь контент доступен по лицензии CC BY-NC-SA 3.0. Вкраце - можете репостить, пользовать в некоммерческих целях, но с обязательной обратной ссылкой на канал. Хотите коммерции - загляните в описание канала для контакта.

Как известно, использовать один и тот же пароль на множестве сайтов является очень плохой идеей, и все рекомендуют следовать принципу "один сайт - один пароль". Однако сделать это не просто трудно, а крайне трудно, потому что все мы ленивые, у многих даже пин-код от банковских карт везде один.

На помощь тут же приходят разнообразные менеджеры паролей, вроде 1password и подобных. Я сам был пользователем 1password, мне очень нравился этот менеджер из-за его отличной интеграции с браузерами и с ОС вообще. Но есть один нюанс - мы в России, а значит использовать подписку и вообще что-то покупать нам не светит. Поэтому пойдемте смотреть решение, которое можно поставить на свой сервер.

Сразу скажу - я никогда не буду советовать использовать что-то облачное для хранения "особо важной" информации, просто потому, что облака "текут". Все делается ради денег, поэтому в области безопасности частенько допускают компромиссы, которые в итоге выливаются в утечки. Просто вспомните (или загуглите), сколько с конца февраля 2022 года было утечек у яндекса, СДЭКа и других компаний.

У меня было много опыта в использовании всяких систем хранения учетных данных, начиная от простых табличек (в экселе на защищенной файлошаре, а не гуглодоках!), и заканчивая штуками вроде PassBolt и KeePassXC. И на самом деле о них не могу сказать ничего хорошего, так как ни одна софтина не дает возможность удобно использовать учетные данные в браузере. Попробуйте интегрировать и поработать с KeePassXC, например, настройка связки "браузер - расширение - приложение" может вас и не выведет из себя, но ее использование - наверняка.

В принципе, решение есть - это vaultwarden. Софтина:

▪️Полностью совместима с официальными клиентами (и, соответственно, официальным API).
▪️Написана на Rust, то есть быстрая и нежручая. У меня прямо сейчас потребление около 40 мегабайт RAM в docker, а CPU - стабильно на нуле.
▪️Бесплатно, кстати, дает доступ к платному функционалу официального сервера, мне очень удобно использовать "организации" для шаринга учетных данных с женой.
▪️Клиенты bitwarden есть под все основные платформы (включая мобильные), есть расширения для Firefox, Chrome-основанных (типа Opera и Vivaldi), а также Safari.
▪️Вместе с vaultwarden поставляется официальный веб-клиент, поэтому разницы с официальным сервером вы не заметите.

Если вы решите уйти в самохост, всегда помните следующее: параноить - это хорошо. Поэтому позаботьтесь о защите своего сервера, о чем будет следующий пост.

Я - фанат самохоста. У меня есть сетка, которая состоит из 6 сегментов, которая объединена с сеткой моего друга и коллеги, у которого сетка из 2-3 сегментов. У меня настроена динамическая маршрутизация (RIPv2 и RIPng), везде дуалстек, то есть IPv4 и IPv6, как внешний, так и внутренний, а чтобы не запутаться во всем этом - есть кластер внутренних DNS серверов. Внутри этого добра крутятся 4 сервера разных мощностей - от настоящей SuperMicro, которая стоит в датацентре на колокейшене, до старенького Thinkpad X220, на котором запущен Prometheus, Grafana, Alertmanager, а также медиасервер Jellyfin. И самая большая головная боль, на самом деле, это не поддержка софта на этих железках (которого тоже гигатонна, к слову), а именно защита оных от взломов.

Конечно, полностью защитить свою железку вы не сможете, просто потому, что на ней уже запущен какой-то софт. А софта без багов и уязвимостей не бывает. Поэтому все, что вы фактически можете - это максимально защитить административный доступ (SSH, RDP, VNC, и подобное) и своевременно обновлять прикладной софт, который используете.

Пять основных правила защиты сервера, которые применяю я:

1. Рубите на фаерволе по максимуму. Это то место, где рестриктивная политика - благо. Открывайте на доступ только нужные порты, а если еще и получится ограничить доступ по конкретным IP адресам или подсетям - вообще хорошо. Кстати, крайне рекомендую иметь белый IP и всегда давать доступ с него на своих серверах всегда, независимо от других рестрикций - сэкономите кучу нервов.

1.1. По IPv6 - разрешайте пересылку пакетов (forwarding) входящих соединений только на нужные порты. IPv6 - это хорошо, круто, годно, можно дать каждому устройству свой выделенный адрес, но “выставлять голой пятой точкой” в интернет мобильник или планшет (например) явно не стоит.

2. По возможности не выпускайте интерфейсы администрирования в интернет. Лучше настройте VPN (IPSec, OpenVPN, Wireguard) и настройте интерфейс администрирования так, чтобы он принимал соединения только на внутреннем адресе.

3. Где возможно - используйте сертификаты. Которые хранятся в надежном месте, конечно же. Для интерфейсов администрирования это вообще обязательно, как и защищать сертификат отдельным паролем.

4. Если все-таки приходится использовать пароли - генерируйте случайные и используйте менеджер паролей. Просто потому, что вы 24-символьный пароль не запомните ни с первого раза, ни с десятого, а простые пароли легко подобрать.

5. Используйте надежные алгоритмы шифрования соединений. Например, использовать SSLv2/3, или TLS 1.2 и более ранние версии в 2022 - не просто такое себе, а преступление против своей же совести. Из этого пункта вытекает “подпункт” - не используйте нешифрованные коннекты. Вообще. Никогда. Ни. Для. Чего.

Проблема ведения списка дел была, есть и будет актуальна. Кому-то это просто GTD (который Getting Things Done), кому-то нужны “обвесы” в виде комментариев, разбития по проектам, тегов и прочих “финтифлюшек”. Кому-то хочется видеть еще и календарь. А кому-то важнее наличие мобильного клиента.

А теперь идите и найдите что-то, что подойдет вам. В идеале - чтобы можно было поднять на своем сервере и не переживать, что Google начнет рекомендовать мне средства для похудения из-за того, что на почту пришло уведомление о задаче “Заехать в фастфудошную за ужином”, потому что вы задержались на работе.

С вероятностью 95% вы не найдете того, что бы четко подошло вам, потому что у каждого сервиса свои ограничения, особенно в бесплатной версии. Я вот, кстати, до сих пор не нашел ничего, что позволило бы мне выкинуть весь набор инструментов для работы с задачами, но я работаю над этим.

К слову, в этом мне помогает taskwarrior - простая, но в то же время гибкая система для работы с задачами. Она сразу умеет в:

▪️Проекты. Задачи можно разбивать по проектам, которые фактически не более, чем отдельное поле типа “строка”.
▪️Теги. Задачи можно тегировать, например, я использую теги для отражения статуса задачи, за которой слежу.
▪️Срок, начало, планирование. Можно сразу задать нужные типы дат, но я обычно использую только срок выполнения.
▪️Комментарии. Не спешите искать документацию на эту тему, ее вы не найдете, потому что называется это “аннотации” (annotations).
▪️Календарь занятости. Помогает понять, какие дни у меня “недозагружены”, или в какие дни я посвободнее, чтобы планировать разнообразные активности.
▪️Различные реализации сервера синхронизации. Можно синхронизировать (или делать резервную копию данных) на сервер, с довольно просто настраивающейся аутентификацией по сертификату.

Есть всякие “допчики”, которые позволяют синхронизироваться с Github, Gitlab, JIRA, YouTrack, и еще тонной других трекеров. Можно довольно просто написать свое. Можно реализовать разнообразную отчетность, правда, в основном с использованием сторонних средств.

Но, как и везде, есть свои минусы:

▪️"due:2022-07-26" - это 00 часов, 00 минут, 00 секунд 26 июля. А ожидаешь 23:59:59.
▪️Отсутствует официальный GUI. Taskwarrior - штука для командной строки, и работать с задачами “по-умолчанию” подразумевается именно там.
▪️Отсутствует нормальный алертинг по истечению срока выполнения задач. Просто потому, что никакие “демоны” или сервисы не запускаются.
▪️Встроенные цветовые схемы - вырвиглазны. Готовьтесь править настройки цветов самостоятельно.
▪️Нету удобных мобильных клиентов. С другой стороны, для работы с личным списком задач это и не нужно в 95% случаев.

К слову, прямо сейчас я делаю кросс-платформенный интерфейс к БД taskwarrior, который нативен, не жруч, удобен и фиксит все эти 4 проблемы. Буду держать вас в курсе.

А как вы управляете своими задачами? Стоит ли что-то потыкать и сделать обзор? Пишите в комментарии 🤓.

Продолжаю написание лонгридов, в этот раз не уместился в лимит сообщения в Telegram ¯⧹_(ツ)_⧸¯.

В нем (лонгриде, сообщение-то короткое) я говорю про системы ведения документации (поверхностно) и разбираю решение, которое использую как для личных заметок, так и для рабочей документации. Весь софт из поста можно скачать, поставить и использовать, несмотря на санкции. (даздраоткрыпрогобес!)

https://telegra.ph/Universalnyj-dokumentator-07-27

В мае 2022 года произошел очередной инцидент с "отменой русских", а именно - на территории РФ и Беларуси перестал работать TeamViewer, одно из самых популярных средств для управления компьютерами "мышетыкательно" (это когда не по SSH быстро все делаешь, а Windows графически админишь). При заходе на https://www.teamviewer.com/en/company/press/ нас встречает баннер следующего содержания:

> We are deeply shocked by Russia’s horrific attack on Ukraine. As a global company, TeamViewer upholds the universal values of freedom and democracy, and we condemn any form of violence and aggression.
> As this war is continuously aggravating and strongly violating our values, we have decided to completely phase out any remaining business activity in Russia and Belarus. On top of compliance with all international sanctions and immediately having stopped new business, we also do not prolong any contracts with customers from Russia or Belarus. Existing subscriptions outside the scope of sanctions which are not affiliated with an unrightful usage of our products will be honored until contract-end but will not be renewed afterwards. Moreover, TeamViewer has blocked all unlicensed connections to and from Russia and Belarus to avoid any further usage of our software.
> In an effort to support Ukraine, TeamViewer is currently offering its products to all organizations within the country free of charge. In addition, TeamViewer donated more than 750,000 EUR to Red Cross organizations for humanitarian help on the ground.

Грустно, печально, и "deeply shocked" надо было быть явно не по описанной в первом предложении причине, ну да ладно. Как я писал в предыдущем посте, даздраоткрыпрогобес! Есть такая штука, как rustdesk - опенсорсное (AGPLv3) ПО для управления удаленными машинами с очень близким функционалом с TeamViewer. Есть клиенты и сервер, который можно поднять у себя (даже в Docker).

Самолично тыкал бесплатные релеи, оно в принципе работало, правда, медленно. В ближайшее время планирую поднять себе сервер, чтобы была возможность помогать родственникам через независящие от злого блокирующего SaaS'а каналы. Ждите в ближайшее время обзор!

Все же пользуются контактами в своем телефоне? А где вы их храните?

И Google (Android), и Apple (iOS) позволяют хранить контакты “на своей учетной записи”, то есть в облаке. В контактах может быть очень много информации, помимо телефона - это и электронная почта, и фотография, и даже реальный адрес. А некоторые социальные сети (ладно, все) прямо предлагают вам - дайте доступ к своим контактам в телефоне, и мы понадобавляем вам друзей.

И как вы думаете, сколько нужно времени, чтобы составить ваш цифровой профиль и сеть знакомств? Ответ - ну, секунды полторы, пока по базе прошуршит. Может немногим больше, но все равно - это уже не проблема. И вот вам уже пихают разнообразную “таргетированную” рекламу (у вас же есть в контактах человек, который искал средства лечения геморроя? Вот и вам рекламка, вдруг тоже страдаете?), например.

А еще очень многие пользуются встроенным календарем, который, опять же, синхронизируется “в облако”. И ваше событие “25 марта сходить к урологу” вполне резонно может стриггерить таргетирование рекламы всяких препаратов, которые улучшают потенцию или прочищают ту самую систему. И дело вовсе не в голосовом помощнике, который "вас слушает", все куда более прозаично.

Не очень приятно, согласитесь. Поэтому я рекомендую всем и каждому поднять свой CalDAV/CardDAV сервер, и использовать его. Что это вообще такое:

▪️Протокол CalDAV отвечает за календарь и задачи (события и напоминания).
▪️Протокол CardDAV отвечает за работу с контактами.

Я рекомендую использовать следующие сервера:

▪️Nextcloud - умеет не только в это, а еще и в файлообмен, есть плагины почтового клиента, мессенджера (Talk), интеграции с разнообразными облачными и самохостящемися офисными редакторами (Google Docs, OnlyOffice, и т.д.), чтения новостей (RSS/Atom) и много еще чего.
▪️Radicale - “мини-комбайн” с поддержкой плагинов. Рекомендую тем, кто хочет, например, календарь и задачи перегонять в Taskwarrior.
▪️Baikal - простой сервис, который поддерживает только CalDAV и CardDAV.

В 99% случаев поддерживается шаринг календарей, контактов и задач (напоминаний) между пользователями. Например, у меня есть календарь “семейный”, который я шарю со всей семьей, и есть календарь "купить в магазине", куда жена забивает необходимые покупки, и придя в магазин я просто открываю задачи в оном и иду по списку.

iOS (как и встроенные в macOS календарь, контакты и напоминания) поддерживают CalDAV/CardDAV, для Android - ставим DAVX, для компьютера на других ОС рекомендую Thunderbird (или KDE PIM/Evolution).

Вы, наверное, заметили, что я давненько не писал ничего. И дело не в том, что я забросил канал, конечно же нет! А в том, что передо мной встала знаменитая проблема выбора СУПа, и я не про “борщ или окрошка”, а про систему управления проектами.

В один прекрасный день мы, кто пользовал Яндекс.Трекер и Gitlab для работы с задачами, столкнулись с требованием заказчика логировать время по направлениям деятельности по выполняемым задачам. Мы сразу же посмотрели, может ли такое Яндекс.Трекер, и ура! Может! Но только в старом интерфейсе, с которого всех переводят на новый, модный, молодежный. Gitlab может логировать только общее время, без разделения по направлениям деятельности (Аналитика, Разработка, Тестирование и вот это вот все).

Я просмотрел и протестировал реально абсолютно все, что есть в awesome-selfhosted и на первых 10 страницах гугла и, конечно же, то, что можно поставить себе на сервер, ибо пример Slack и JIRA вполне показателен. Первые, напомню, просто аннулировали все подписки в РФ (поэтому мы не смотрели платное), вторые просто перестали поддерживать JIRA не Datacenter Edition, у которой конские требования к ресурсам (поэтому мы не смотрели проприетарное).

В общем, привет, старый добрый Redmine! Умеет все нужное, да еще и с интеграцией с исходниками (коммиты цеплять к задачам можно), гибкая система фильтров, отчетности и годный API, если нужно что-то накостылять свое. Докинули плагинов, поставили нормальную тему, и стало совсем хорошо. В итоге последние 2 недели я занимался как раз переездом и настройкой всего.

Рекомендую к установке следующие плагины:

▪️Additional Tags. Потому что тэги к задачам - это удобно.
▪️Additionals. Много вкусноты, мы используем вывод кнопок переходов по статусам.
▪️Redmine Periodictask plugin. И девопсы теперь раз в месяц-два сами получают задачи на обновление ПО.
▪️Redmine Add Absolute Time plugin. Чтобы не высчитывать абсолютное время, а сразу его видеть.
▪️Redmine Closed Date. Вывод даты и времени закрытия задачи.
▪️Redmine Issue SLA. Для организации хелпдеска или системы тикетов для заказчиков.
▪️Redmine Issue View Columns. Потому что стандартный вывод столбцов в подзадачах и связанных задачах ненастраиваемый. А хочется.
▪️Redmine Messenger. Спамим задачами, статусами и комментариями в рабочий Mattermost.
▪️Redmine Tint Issues. Подкрашивает задачи в списках, у которых приближается срок завершения.
▪️That Issue Reply Button. Потому что “Редактировать” для добавления комментария - ломает мозг. Плагин добавляет кнопку “Ответить”.

Да, Redmine, прям началом 2010-х повеяло. Зато работает. А вышеозначенный список плагинов успешно протестирован на версии 4.2.7. На версии 5.0.x наблюдаются с некоторыми проблемы, к сожалению. А там теганье пользователей добавляется, в версии 5 редмайна, к слову.

А чтобы было не так уж и вырвиглазно, а даже приятно, можно поставить тему PurpleMine (или любую другую из списка, их немного, но они есть).

Если вы хотите поучаствовать в написании своего годного СУПа, да чтобы опенсорсного и утереть нос всем этим “отменщикам” и “уходяторам” - пишите на почту из описания канала. Писать будем на Go :).

Раскопал свой miniflux и начал читать новости. Нашел вот такую:

GitLab is thrilled to welcome Janelle Romano and Patty Molthen, two seasoned leaders, to the Federal Advisory Board as we continue to demonstrate the value of The One DevOps Platform within the public sector

И там же:

Romano joins the GitLab Federal Advisory Board after nearly three decades in government, first operating in, and then leading research, development, and operational organizations. She currently serves as Vice President of Cyberspace Operations at CACI, following her role as Chief of Critical Networks Defense at the National Security Agency.

...

For more than 20 years, Molthen served as an independent consultant to firms that work closely with the Department of Veterans Affairs, Military Health, the Defense Health Agency, Federal Healthcare Systems, and the Department of Defense.

В общем, beware. Вполне вероятно появление в и без того запутанном местами коде Gitlab'а специальных "уязвимостей", направленных на "спонсоров терроризма" (тьфу, аж тошно). Ставить в государственных учреждениях я бы не рекомендовал.

Кстати, новости. Как и в чем их читать? Конечно, никто не отменяет няшности и, скажем так, "унификации" доставки новостей через Telegram (вы же читаете этот и еще тонну других каналов, правда?), однако есть тонна сайтов, почитывать которые приятно, полезно, но открывать в браузере лишний раз не хочется.

Если нужные вам сайты умеют в RSS или Atom (внимание, да, это две разных штуки), то я рекомендую связку из miniflux и fluent reader.

Первое - это некий сервер, который можно запустить хоть на кофеварке - лишь бы Go поддерживал нужную архитектуру (ну и был сишный компилятор, потому что есть зависимость от libpq). А еще есть контейнер Docker'а.

Второе - кроссплатформенный клиент для первого, через Fever API. Причем клиент невырвиглазный, в отличие от веб-морды miniflux (не зря же там написано в описании "Opinionated", видимо).

Уже около двух месяцев сижу и в ус не дую, почитывая в удобном и невырвиглазном интерфейсе новости. И, конечно же, одно из самых главных - все поднято на моем сервере, без возможности потушить оный от "правообладателя" (читай - разработчика). Ну, если только мобильные клиенты поблокировать у fluent reader'a 😅.

Вышла rc1 версии 6.0 ядра Linux. Упор на железо, обещают хороший апгрейд работы драйверов для видеокарт на чипах AMD. А вот Rust'a пока что нет, там уже предложена восьмая итерация.

На всякий случай напомню, что skynet управлялся ядром 4.1.15. То есть судный день из-за ИИ вряд ли произойдет.

Вчера вышел апдейт ветки 1.17 у gitea, легковесного аналога Github. Обычно используется совместно с Drone CI для автоматического тестирования и деплоя.

Главное, что вы хотите знать про ветку 1.17:

- Появились всякие пакеты. Это pypi, npm, docker containers и все такое.
- Появляется федерация (!).
- RSS/Atom для организаций и репозиториев (наконец-то можно подписываться на апдейты нормально).
- Поддержка выдачи прав доступа к организациям на основе LDAP групп.

А в 1.17.1:

- Приехал китайскому коду фикс гонки данных для контейнеров Docker, когда gitea могла "потерять" слой.
- Большие улучшения для репозиториев NuGet.
- ...и вообще улучшили функциональность пакетов.
- Теперь можно заливать пакеты размером больше 32 мегабайт без проблем. Раньше оно могло выдавать ошибки.

Многие мои приложения без проблем собираются и заливаются в Container Registry у gitea с помощью Drone CI. А еще у меня есть просто некоторая россыпь контейнеров, которые я поддерживаю. Поэтому ответственно заявляю - если вы хотите некоторого самохоста с минимумом проблем, то gitea + Drone CI являются наилучшим выбором. Особенно учитывая то, что Gitlab, чтобы нормально работать, требует 4 ГБ оперативки минимум, а gitea вполне поместится в 512 МБ (ну и еще 1 ГБ для Drone CI и раннера для него).

Бесплатный VPN-сервис создан для шпионажа за пользователями.

7 июля исследователь Cybernews Арас Назаровас обнаружил открытый экземпляр ElasticSearch, содержащий 626 ГБ журналов VPN-подключений с 5,7 млрд. записей пользователей бесплатного VPN-приложения Airplane Accelerates, включающих:

- Идентификаторы пользователей;
- IP-адреса пользователей;
- IP-адреса, к которым они подключались;
- Доменные имена;
- Временные метки.

Источник: https://www.securitylab.ru/news/533447.php

Если после прочтения вот этого вас все еще пытаются убедить, что "бесплатный VPN не могут перехватывать трафик" (Кхъ, лично делаю это для http(s) в своей сети), "бесплатный VPN не будут продавать ваши данные налево" (а, простите, как бесплатные VPN тогда живут?), и прочее, что начинается с "бесплатный VPN не" или таковое подразумевается - бегите оттуда. Вас нагло обманывают.