​​Долгосрочное хранение метрик всегда было одной из слабых сторон Prometheus. Изначально он был спроектирован для оперативного мониторинга, не подразумевающего хранение истории метрик на срок более двух недель. Сохранить в нём тренды месячных или годовых интервалов было отдельной задачей с привлечением внешних хранилищ и инструментов.

Весной Grafana анонсировала своё решение под названием Grafana Mimir, которое способно максимально просто, быстро и дёшево решить вопрос с долгосрочным хранением метрик в том числе с помощью S3 совместимого хранилища. В самом простом варианте может на файловую систему складывать данные. Одним из основных преимуществ указывается возможность быстро и просто настроить горизонтально масштабируемый high availability кластер хранения.

Настроить всё это дело реально очень просто.
1️⃣ Поднимаете в Docker сервер Mimir, указав в его конфиге бэкенд для хранения данных. В самом простом случае это может быть локальная директория.
2️⃣  Указываете в Prometheus в качестве remote_write сервер с Mimir.
3️⃣ В веб панели Grafana добавляете сервер Mimir в качестве Prometheus data source.

Авторы Mimir называют её самой производительной TSDB для долговременного хранения метрик Prometheus. Насколько это правда, трудно судить. Вот пример их нагрузочных тестов. Авторы конкурирующего хранилища из VictoriaMetrics собрали свои стенды с обоими продуктами и протестировали их производительность. В результате оказалось, что Mimir более требовательна к памяти, больше нагружает процессор и больше расходует места хранилища, но имеет ниже задержку в 50-м перцентиле и выше в 99-м. По результатам теста почти по всем параметрам Mimir хуже, причем с кратной разницей, что немного странно.

Ниже ссылка на get started, где в самом начале представлено наглядное видео по настройке связки Prometheus + Grafana + Mimir + MinIO.

Сайт - https://grafana.com/oss/mimir/
Исходники - https://github.com/grafana/mimir
Get started - https://grafana.com/docs/mimir/v2.3.x/operators-guide/get-started/

#prometheus #grafana #devops #мониторинг

Каждый, кто администрировал компании с количеством сетевых устройств от 100 и более знает, что по мере роста локальной сети начинаются проблемы с сегментацией. Точнее проблемы начинаются, если сегментацию не делать. А вот как её правильно сделать, вопрос дискуссионный. Каждый исходя их своих условий начинает соображать, как ему лучше сделать.

Отдельная головная боль, если компания растёт плавно и тебе приходится перестраиваться по ходу дела. Если есть возможность продумать и спроектировать заранее, то задача сильно упрощается.

Я в сети нашёл интересный репозиторий, где автор предлагает свои планы по сегментации типичной корпоративной сети с пользователями, разработчиками, с офисной и внешней инфраструктурой, в том числе с частичным управлением внешними подрядчиками.

Вначале бегло посмотрел и ничего не понял. Подумал, что ерунда какая-то, куча стрелок и квадратиков. Потом всё же задержался и внимательно изучил схемы. Они на самом деле интересные. Полезно посмотреть и проанализировать чужой опыт, наложить на свой и подумать, как лучше сделать.

Наиболее приближённые к обычной жизни первые две схемы. Первая вообще про обычную среднестатистическую компанию, где просто сделано хорошо с точки зрения сегментации и изоляции на основе здравого смысла и прямой логики. Вторая про такую же, но где сделано не только хорошо, но и с небольшим уклоном в безопасность. Добавили почтовый релей, побольше не связанных серверов времени, офисную сеть немного разделили и т.д.

Третий и четвертый вариант уже жёсткие для тех, у кого есть безопасники и все сопутствующие мероприятия с их участием. Там я не знаю, можно ли что-то советовать со стороны. Я так понимаю, тем же безопасникам сегментацию сети преподают на основе каких-то методик, и строят они её не на основе разумений системного или сетевого администратора.

У вас получалось когда-нибудь построить идеальную сеть такой, какой вы хотели бы её видеть? У меня никогда этого не получалось. Всегда приходилось идти на какие-то компромиссы из-за недостатка или ограничений железа, из-за лени, из-за невозможности найти технологическое окно или нежелания выполнить нормально настройку в нерабочее или ночное время. Так в итоге и откладываешь некоторые изменения на неопределённый срок. Вроде работает, да и ладно.

https://github.com/sergiomarotco/Network-segmentation-cheat-sheet

#обучение #network

​​❓Неоднократно получал вопросы на тему современных S3 (Simple Storage Service) совместимых хранилищ. Для чего они нужны, почему такие популярные и чем лучше того же NFS или SMB?

Консерваторы считают это хипстерской поделкой для девопсов, которые не хотят и не умеют ни в чём разбираться, а хотят просто денежки чужие заплатить и получить результат, не прилагая усилий.

Я неоднократно в комментариях отвечал на этот вопрос, поэтому решил вынести его в отдельную заметку и своими словами пояснить, чем удобны подобные хранилища и за счёт чего завоевали популярность.

Замечал, что некоторые люди путают и считают, что когда речь идёт о S3 хранилище данных, подразумевается объектное хранилище Amazon S3. Да, Amazon придумал и внедрил подобное хранилище, оснастив его S3 RESTful API. Сейчас появилось огромное количество продуктов и сервисов, которые на 100% поддерживают S3 API. Именно их и называют S3 хранилищами. Можно выбирать на любой вкус и кошелёк. Практически у всех крупных провайдеров есть подобный сервис.

➕Преимущества объектного хранилища S3 (Object storage S3):
🟢 Возможность быстро обратиться к файлу по его идентификатору, получить его метаданные. При этом в бэкенде у хранилища может быть всё, что угодно, API запросов будет везде одинаковый.
🟢 Удобные для провайдера возможности тарификации в зависимости от активности клиентов. Это позволяет клиентам получать необходимый объём, линейно его изменяя, и платить только за потребляемые ресурсы: объём, трафик, количество запросов.
🟢 Данные могут храниться в отдельных контейнерах со своими настройками доступа, хранения, производительности и т.д. То есть их удобно структурировать и разделять информацию по различным типам.
🟢 Все объекты хранилища располагаются в плоском адресном пространстве, без иерархии, которая присутствует в обычной файловой системе. Это упрощает доступ и работу с файлами. Нет проблем с ограничением на длину пути к файлу или с именем файла.

➖Минусы:
🟠 Больше накладных расходов на хранение информации.
🟠 Ниже скорость работы с файлами по сравнению с блочными хранилищами.

Несмотря на то, что хранение файлов в объектных хранилищах дороже, чем в блочных или файловых, за счёт более гибкой и точной тарификации для клиента это всё равно выходит выгоднее, так как он платит только за то, что реально использовал. А минус в скорости работы компенсируется простотой горизонтального масштабирования S3 хранилищ.

❗️Нужно хорошо понимать, что S3 это не про скорость доступа, а про объём и унификацию.

Расписал всё своими словами. Надеюсь понятно объяснил. На практике S3 лучше всего подходит под хранение статических файлов больших сайтов, архивов видеонаблюдения, логов, бэкапов. Конкретно я именно для холодных бэкапов их использую. Обычно это бэкапы бэкапов, копируются с помощью rclone.

#s3

​​Давно не было заметок про чаты. Одно время обозревал все наиболее известные бесплатные решения с возможностью установки своего сервера. Посмотреть их можно по тэгу #chat.

Сегодня расскажу про ещё один бесплатный чат-сервер и клиент, который попробовал сам. Речь пойдёт про SimpleX Chat. Своими словами об особенностях, на которые я лично обратил внимание:

◽ возможность использовать свой сервер на Linux для соединения клиентов;
◽ возможность установить консольный клиент на Linux, общаться и передавать файлы на клиенты других платформ (MacOS, Windows, Android, iOS), десктопные клиенты только консольные;
◽ чат полностью независим от каких-либо внешних компонентов или сервисов, для регистрации и общения не нужно ничего указывать;
◽ можно совершать аудио и видео звонки;
◽ сообщения хранятся только на стороне пользователя.

🛡 SimpleX позиционирует себя как очень защищённая, приватная платформа для общения с двойным E2E шифрованием (End-to-End Encryption) всей передаваемой информацией. С учётом того, что можно использовать open source клиенты и серверы, скорее всего это так и есть.

На практике общение выглядит так. Вы устанавливаете клиенты на необходимые устройства. Например, на смартфон и сервер под Linux. Никаких регистраций нигде не надо, достаточно указать только имя, по которому вас будут видеть собеседники. Если не используете свой сервер для соединения, по умолчанию используется пул серверов от разработчиков на поддоменах simplex.im. Поменять сервер можно в настройках.

Чтобы связать два устройства между собой, необходимо на одном из них сформировать специальный код для подключения и передать его другому человеку. Можно в виде текста или qr кода. Этот человек добавляет новый контакт и указывает этот код. Теперь можно переписываться.

На практике я не знаю, кому может пригодиться подобная секретность или анонимность. Но параноиков сейчас масса, так что проект активно развивается, регулярно выходят обновления. Клиенты написаны на Haskell, Swift и Kotlin. Ещё раз отмечу, что десктопные клиенты только консольные. Подозреваю, что это временно, так как протокол общения открытый. Сервер можно развернуть из готовых шаблонов VM у крупных хостеров, например Linode или DigitalOcean.

Лично мне показалось удобным перекидывать файлы через консольный клиент с сервера на смартфон или обратно. Поддерживается групповое общение. То есть можно создать группу серверов и через смартфон передавать туда какие-то файлы или наоборот. Всё это через свою инфраструктуру, без отсвечивания на сторонних сервисах. Можно заскриптовать какие-то действия.

Сайт - https://simplex.chat
Исходники клиента - https://github.com/simplex-chat/simplex-chat
Исходники сервера - https://github.com/simplex-chat/simplexmq

#chat

​​Надо оживить рубрику с однострочниками на bash. Раньше регулярно публиковал, так как вижу очень большой отклик на подобные заметки. Да я и сам их люблю. С удовольствием читаю у других и забираю к себе в закладки то, что посчитаю полезным. У меня большая структурированная коллекция bash команд, разбитая по темам и приложениям. Пополняется уже лет 15. Складываю туда только то, что реально использую, а не всё подряд. Иначе смысл теряется. Рекомендую поступать так же.

Работа с файлами и директориями

📌 Создание сразу нескольких директорий dir1, dir2, dir3:
# mkdir -p -v /home/user/{dir1,dir2,dir3}
То же самое, только с файлами. Создаём 3 файла:
# touch file0{1,2,3}
Переименовываем файл:
# mv file.{old,new}
Удобный приём с оператором { }, можно использовать в различных командах.

📌 Смотрим файл конфигурации без комментариев (начинаются с ; или #) и пустых (^$) строк:
# grep -E -v '^;|^#|^$' /etc/php.ini
Этим постоянно приходится пользоваться, особенно в конфигах php, asterisk, postgresql.

📌 Удаляем комментарии и пустые строки и записываем чистый конфиг в новый файл:
# sed '/^;\|^$\|^#/d' php.ini > php.ini.clean

Изменение параметра в конфиге post_max_size на новое значение:
# sed -i 's/^post_max_size =.*/post_max_size = 16M/g' php.ini
Сначала запустите команду без ключа -i и проверьте результат. Файл не изменится.

📌 Сравниваем содержимое файлов двух директорий с выводом результата в файл:
# diff -Naur /var/www/site.ru/ /mnt/backup/site.ru/ > ~/site.diff
Удобно для поиска изменений в файлах сайта после взлома. Сравниваете с бэкапом и сразу все изменения перед глазами.

📌 Считаем размер всех файлов определённого типа в директории.
# i=0; for n in $(find /mnt/files -type f -name '*.iso' -print \
| xargs stat --printf "%s "); do ((i+=n)); done; echo $i
Результат будет в байтах.

Вам было бы интересно увидеть разбор каких-то длинных и на первый взгляд непонятных конструкций на bash? Я хоть и не пишу сам ничего сложного, но всегда понимаю, что реально происходит в выполняемых конструкциях, даже если они очень длинные и кажутся обфусцированными.

#bash

​​Очень простой и быстрый способ передать файлы с Linux сервера в любое другое место. Если никогда не слышали о нём, то наверняка оцените и заберёте в закладки. Всё, что нужно, это Python, который есть по умолчанию почти во всех дистрибутивах.

# cd /var/log
# python3 -m http.server 8181

Идёте по адресу http://10.20.1.43:8181 и скачиваете нужные вам файлы. Потом возвращаетесь в консоль и завершаете работу временного веб сервера, нажатием Ctrl+C. Все обращения к веб серверу вы увидите в логе прямо в консоли.

Если у вас Windows и WSL, то тоже сработает. Таким образом передать файлы даже проще, чем по smb через расшаренную папку. Дома вообще красота перекинуть что-то жене или детям со своего ноута. Не надо ничего копировать и объяснять, достаточно прямую ссылку на файл скинуть.

#webserver

​​Для просмотра информации об устройствах хранения в Linux можно использовать утилиту lsblk (list block devices). Она обычно есть в составе дистрибутива, так что многие её знают и используют.

Я именно её запускаю, когда нужно быстро посмотреть информацию о дисках. Простой запуск без параметров позволяет наглядно увидеть структуру разделов:
# lsblk 

Это не всегда достаточная информация. Очень часто хочется увидеть uuid диска или файловую систему. Особенно когда редактируется fstab. Это можно сделать с помощью других программ - blkid и mount. Через mount файловую систему смотреть неудобно, особенно если речь идёт о корне /. Там длинный вывод получается, который неудобно грепать. Проще воспользоваться lsblk с дополнительным ключом:
# lsblk -f
На выходе всё тот же структурированный вид, а не сплошной поток, как у blkid или mount.

Lsblk может выводить дополнительные столбцы с информацией. К примеру, вы можете посмотреть модель устройства (MODEL), серийный номер (SERIAL), размер сектора (PHY-SEC) и т.д. Ключ --help покажет все эти параметры.
# lsblk -o +FSTYPE,UUID,MODEL,SERIAL

Lsblk умеет выводить информацию в json, что вкупе с информацией выше делает его удобным инструментом для сбора информации о дисках с помощью какого-то мониторинга или инвентаризации:
# lsblk -o +FSTYPE,UUID,MODEL,SERIAL -J
Обращаю внимание, что этот ключ появился не так давно и в старых версиях его нет.

Если у вас много устройств хранения, используется lvm с кучей логических томов, что обычное дело для хостов гипервизоров, вывод lsblk будет очень длинный. Удобно его ограничить только необходимым устройством или списком:
# lsblk /dev/sda /dev/sdb

По умолчанию вывод форматируется с помощью ASCII символов. Если вам это не нужно или мешает для того, чтобы удобно грепнуть или выделить столбец через awk, можно изменить вывод в обычный список:
# lsblk -l

И ещё один полезный ключ, который наверняка пригодится -p. С ним lsblk выводит полный путь устройства. То есть в выводе будет не просто имя lvm тома pve-vm--103--disk--1, а /dev/mapper/pve-vm--103--disk--1.
# lsblk -p

#linux #bash

​​Обратил внимание, что на канале не было ни одной заметки про Nextcloud. Когда продукт известный, кажется, что нет смысла о нём писать. И так все знают. Хотя это далеко не факт. Постараюсь кратко и ёмко описать его своими словами.

Изначально Nextcloud позиционировал себя как бесплатная Open Source замена облачным сервисам по хранению файлов типа Dropbox и Google Drive. Его можно установить на свой сервер, на конечные устройства поставить агенты, которые будут синхронизировать файлы. Не знаю достоверно, насколько надежно в этом плане сейчас работает Nextcloud, но первое время у него были всевозможные баги вплоть до потери всех файлов. Знакомый лично рассказывал, как столкнулся с этим после какого-то обновления. Заторможенная или зависшая синхронизация были обычным делом.

В настоящий момент Nextcloud это не просто сервер для хранения документов. Это полноценная веб платформа для совместной работы. Основной функционал:

▪ Совместная работа с документами, в том числе их редактирование онлайн, работает на базе известных платформ для этого (Collabora Online, Onlyoffice).
▪ Чат сервер с голосовыми и видеозвонками на базе NextCloud Talk.
▪ Управление проектами, задачами, календарями, совместная работа с ними.
▪ Встроенный в веб интерфейс imap клиент для работы с почтой. Встроенного почтового сервера в Nextcloud нет.
▪ Поддержка аутентификации пользователей через LDAP (в том числе Windows AD).
▪ Доступ к файлам пользователя через клиент, веб браузер, WebDAV
▪ Интеграция с Draw.io для рисования схем.
▪ Возможность подключить внешние хранилища: FTP, WebDAV, Nextcloud, SFTP, S3, Dropbox, Google Drive.

Функционал Nextcloud расширяется за счёт дополнений, которые живут во встроенном App Store. Чего там только нет: различные темы, календари, редакторы, чаты, веб сервера, игры, интеграции с другими сервисами и т.д. На глазок их там штук 200-300. Сделано примерно так же, как в Synology.

Если я правильно понимаю, на сегодняшний день Nextcloud - лучшее бесплатное решение для подобного функционала. Если коротко и в современных терминах, то это Groupware с прокачанной функцией хранения файлов. Из аналогов мне известны:

◽ Onlyoffice Workspace. Наиболее развитый с активной разработкой. Но у него существенные ограничения бесплатной версии.
◽ Zimbra. Бесплатная версия доживает свои дни. Новые версии пока не предвидятся. Хотя исходники открыты, но никто не взялся за то, чтобы собирать из них готовый продукт.
◽ Kopano. Разработка бесплатной версии тоже завершилась в 2021 году.
◽ Univention Corporate Server (UCS). Похож на Nextcloud, но выглядит более бледно и не так функционально. На первый взгляд удобство и функционал значительно ниже.

Больше ничего из более ли менее известного не знаю. Если у вас есть опыт эксплуатации подобных систем, поделитесь информацией, чем пользуетесь и удобно ли это на практике.

Мне кажется, что подобного рода продукты лучше покупать за деньги. Когда на них завязана работа всей организации и у вас нет платной техподдержки, можно сильно встрять. Я бы не хотел брать на себя такую ответственность. Внедрял Onlyoffice в небольших компаниях и видел, какие там проблемы могут возникнуть. На небольших масштабах они не так критичны.

Сайт - https://nextcloud.com
Исходники - https://github.com/nextcloud

#docs #fileserver

​​🎓 У меня для вас два хороших бесплатных курса на английском языке по Devops: Docker и Kubernetes.

⇨ https://devopswithdocker.com
⇨ https://devopswithkubernetes.com

Если я правильно понял, то это онлайн версии обучающих курсов финского университета University of Helsinki.

Я бегло посмотрел курсы. Понравилось то, что они в текстовом виде, хорошо структурированы и не очень объёмные. Создалось впечатление, что это выжимка из документации, где собрано всё самое главное и оптимизировано для последовательного обучения новичками.

Эти курсы подойдут не только для обучения, но и как шпаргалки. Например, забыли, как работать с сетями в Docker, быстро открыли урок и посмотрели. Там пара картинок, немного описания и пример того, как объединить контейнеры в общую сеть.

Не припоминаю, чтобы мне где-то попадалась такая же структурированная текстовая информация по обучению данным темам. Обычно это видеоуроки и небольшие шпаргалки к ним. А тут полный курс в текстовом виде.

#обучение #бесплатно #devops

​​Системным администраторам офисной инфраструктуры приходится работать в том числе с системами видеонаблюдения. Хотя конкретно мне давно не доводилось этим заниматься на работе, но видеонаблюдение настигло меня у себя дома. Когда вешал камеры, очень пригодилось простое и бесплатное Open Source приложение для просмотра RTSP потока с камеры - Cams.

⇨ https://github.com/vladpen/cams

Скачать APK можно как из репозитория, так и поставить через магазин F-Droid. В программе ничего лишнего. Добавляем url потока и смотрим картинку через приложение. Удобно в первую очередь для того, чтобы настроить положение камеры. Без этой программы я обычно с ноутбуком подходил к камере или просил кого-то подойти, и крутил её туда-сюда, настраивая вид.

Когда вешал камеру один со стремянки, ноутбук брать неудобно, а смартфон в самый раз. Его не боишься держать одной рукой, а второй камеру поворачивать.

Долго выбирал, какие камеры купить в загородный дом и как вообще всё организовать. Я далёк от этой темы. В итоге пошёл по простому пути. Купил камеры Hikvision. На старый системник с Windows установил их бесплатный софт для просмотра и хранения архива. На этом и остановился. Вопрос с удалённой отправкой картинки куда-то во вне пока не решал, но надо будет заняться. Пока всё хранится только локально. Поймал себя на мысли, что мне не хочется городить свои костыли, а хочется купить какой-то готовый сервис. Наверное так выглядит админская старость 😃

#разное

​​Летом известная многим компания Zachtronics выпустила свою последнюю игру Last Call BBS. Прославилась она своими головоломками для технарей, которые имели очень качественную проработку, анимацию, музыку. Они были лучшие в этом жанре. Знаю много их игр, писал про наиболее интересные:

- SHENZHEN I/O
- Opus Magnum
- SpaceChem
- TIS-100
- EXAPUNKS

Студия объявила о том, что закрывается. Причина указана не финансовая, так что дело не в деньгах. Основатель сказал, что они планируют работать над другими проектами, а время Zachtronics прошло.

Кстати, кто-то может не знает, что прародителем MineCraft была бесплатная игра Infinimer от Zachtronics, написанная в 2009 году. Именно она вдохновила разработчика MineCraft.

Возвращаясь к Last Call BBS, это игра эпохи начала 90-х, когда владельцы ПК звонили на BBS и таким образом обменивались контентом. Игра имитирует работу за вымышленным ретро компьютером Z5 Powerlance. Вам предлагается пройти 8 мини игр на нём.

Игра, как и все игры Zachtronics, имеет высокий рейтинг и хорошие отзывы. Так что любителям жанра не стоит проходить мимо.

Steam - https://store.steampowered.com/app/1511780/Last_Call_BBS/
Промо игры - https://www.youtube.com/watch?v=EdU-ABucIjk

#игра

Хочу с вами посоветоваться по поводу решения одной задачи на тему Mikrotik и его мониторинга. Решение уже придумал и на стенде реализовал. Но может вы посоветуете что-то другое, что мне просто в голову не пришло.

Задача - настроить резервирование каналов на Mikrotik из двух провайдеров. Настроить мониторинг наличия интернета на каждом канале и оповещать о переключениях с основного канала на резерв и обратно. Устройств таких будет много.

Я долго прикидывал, как лучше сделать и решил вот так. Переключение каналов реализовал скриптом. Я много раз это делал, вполне надёжное и рабочее решение. Когда я упоминаю об этом, мне постоянно пишут, типа зачем тут скрипт, можно по-другому и т.д. Да, я знаю. Но мне нужно после переключения сбросить некоторые соединения, переподключить сразу VPN (гашу и поднимаю интерфейс) и настроить мониторинг этого дела. Скриптом проще всего.

Все логи Микротиков улетают на централизованный Syslog сервер, где стоит Zabbix. Он парсит лог и при обнаружении определённой строки в логе, которую пишет скрипт, понимает, что канал переключился. Триггер висит активным всё время, пока канал резервный. При переключении обратно триггер гаснет. Минус тут один. Так как лог парсит Zabbix Server, сработанный триггер висит на нём. Все Микротики добавлены на GEO карту, их неплохо было бы подсветить красным, когда нет основного интернета, но в данном случае не знаю, как это сделать.

Долго думал над тем, как реализовать проверку наличия интернета на каналах. Самое простое, что приходит в голову - пинговать внешние IP адреса. Почти на всех каналах они есть. Но показалось не очень надёжным решением. Иногда используются LTE модемы, где пинги извне заблокированы и это не настраивается. Иногда внешнего IP нет.

В итоге тоже реализовал скриптом. Просто раз в минуту запускаю скрипт с пингом публичных DNS адресов Яндекса через разные интерфейсы разных провайдеров. Результат пишу в лог, который улетает на сервер и там анализируется Zabbix.

Собрал всё это на стенде, погонял. Работает надёжно и стабильно. Меня ещё просили настроить мониторинг канала в интернет, так как бывает, что LTE сигнал через какое-то время очень сильно ухудшается. Когда происходит на него переключение, работать нереально. Тоже долго думал над этой задачей. Опять же, можно реализовать скриптом, но нужен какой-то один публичный Микротик, где будет запущен его встроенный сервер теста скорости. К нему можно подключаться скриптом, результат выводить в лог и анализировать. Других вариантов в голову не приходит.

#mikrotik #zabbix

Делюсь с вами простым и эффективным трюком в Asterisk, который позволит наблюдать за тем или иным направлением звонков. Реализация может быть разная в зависимости от структуры диалплана используемого решения и модуля sip или pjsip.

Например, есть офис, где звонки на международные направления заблокированы всем или части пользователей. Очень явными признаками взлома учётки Asterisk являются попытки набора международных номеров. Для маски международных звонков добавил такое правило:

exten => _810XX.,1,System(echo "To" ${EXTEN} "Ext" ${CALLERID(num)} \
| mail -s "8-10 ALARM" admin@firma.ru)

Когда кто-то наберёт номер с маской 810 и т.д. в почту сразу же прилетит уведомление о том, кто звонит и куда конкретно. Дальше в диалплане можно разрешить этот звонок, либо отклонить и что-то сказать пользователю. Не суть. Смысл в том, что Asterisk может сразу же сам отправить email. Это удобно, когда нет какого-то расширенного мониторинга с уведомлениями.

Я лично на 810 всегда ставлю какие-то заглушки, если звонки туда не нужны, либо совершаются очень редко. По ним сразу видно, что на сервере происходит что-то подозрительное.

#asterisk

​​Представляю вашему вниманию готовую веб панель для управления хостингом - aaPanel. Я не фанат таких продуктов и сам никогда не устанавливаю на серверах под своим управлением. Тем не менее они имеют довольно высокую популярность и активно используются. Сам часто видел у заказчиков платные панели, но с определённого периода вообще перестал с ними работать, так как не могу гарантировать результат.

Возвращаясь к aaPanel скажу, что это наиболее простая и приятная панель, с которой мне приходилось сталкиваться. Попробовал её в деле - установил и развернул типовой сайт на php. Прошло всё без проблем и интуитивно понятно, что вообще ни разу не случалось с подобными продуктами. AaPanel бесплатная, исходный код открыт. Монетизируется за счёт платного дополнительного функционала и модулей.

AaPanel ставится скриптом от разработчиков, либо запускается в Docker. Функционал стандартный для подобных продуктов:

◽ установка и настройка web сервера с php (поддерживаются разные версии одновременно);
◽ установка Mysql с phpMyadmin;
◽ установка Ftp, Mail сервера (на базе postfix и dovecot);
◽ поддержка бесплатных сертификатов Let's Encrypt;
◽ cron, логи доступа к сайту, простой мониторинг;
◽ бэкап сайтов через панель управления (отдельный бесплатный модуль для бэкапа на S3);
◽ файловый менеджер через браузер;
◽ расширение функционала за счёт модулей (много бесплатных).

Добавление нового сайта выглядит максимально просто. Прописываете DNS запись, добавляете сайт, указываете версию php, указываете использование https и редирект с http. Если DNS записи уже обновились, то сразу же получите свой сайт с доступом по https. К нему отдельную учётку с базой данных и ftp доступ к файлам.

🔥 Лично мне бесплатная aaPanel понравилась больше, чем платные ISP Manager, Cpanel или Plesk, с которыми приходилось сталкиваться. Я сейчас имею ввиду не функционал, а удобство работы и интуитивно понятный интерфейс.

Если знаете и имеете опыт работы с другими бесплатными панелями управления хостингом, поделитесь информацией. Я работал только с VestaCP и ничего хорошего про неё сказать не могу. Там часто что-то ломалось, работало не так, как надо, приходилось что-то править руками.

Сайт - https://www.aapanel.com
Исходники - https://github.com/aaPanel/aaPanel

#webserver #hosting_panel

Расскажу отдельно, почему сам никогда не использую никакие готовые веб панели для управлением хостингом. Если кратко, то это чёрный ящик, который в любой момент может взорваться. Конечно, если с ним с самого начала будет работать специалист и делать всё аккуратно, то вероятность проблем будет минимальная, но всё равно она будет. На моей практике с веб панелями работали вообще не специалисты и вот чем это кончалось.

📌 Первые две истории будут про Plesk. Один заказчик попросил настроить в ней новый сайт, какие-то версии ПО добавить и т.д. Я всё сделал и перезапустил некоторые службы через веб панель. Это необходимо было сделать, чтобы применились изменения. После этого у них упал основной сайт. Как оказалось, они не разобрались, как добавить некоторые функции в конфигурационные файлы через панель, поэтому добавили их в конфиги вручную. А панель после перезапуска служб всегда актуализирует конфиги в соответствии со своими внутренними настройками. Все внесённые изменения руками были удалены. Потом они всегда повторяли ручное изменение конфигурации после перезапуска служб.

📌 Вторая история. Панель Plesk не хотела штатно обновляться. Просто валилась с какой-то ошибкой и всё. Меня один заказчик тоже попросил что-то настроить. Я делаю, ничего не выходит. Вижу, что панель давно не обновлялась, думаю, наверное с этим проблема. Решил разобраться с обновлением. Не думал, что это будет слишком сложной задачей для меня. В итоге я проколупался всю ночь, но так и не смог решить проблему. Обновить и настроить то, что надо, не получилось. Заказчик через несколько дней всё снёс и поставил свежую версию панели с нуля. Похоже никто не смог ему помочью Я в итоге отказался и сказал, что ни за какие деньги больше не буду работать с Plesk.

📌 Ещё одна показательная история. У знакомого использовались старая версия ОС и ISP Manager, которые уже давно не поддерживались. Надо было переезжать на свежие версии. Но проблема в том, что там были сотни сайтов. Если бы это был обычный сервер, то каких-то фатальных проблем с автоматизацией скорее всего не было. Перекинули бы исходники, базы, конфиги чуть подправили под новые версии, протестировали и перенесли, либо вообще сервер на месте обновили. Но не в этом случае. Возможно и было какое-то решение с автоматизацией, но оно явно сильно сложнее, чем в общем случае. В итоге руками переносили.

Несколько историй, которые вспомнились. Так то у меня подобных эпизодов было значительно больше. По мелочи уже не стал упоминать их все. Типичная картина - если всё обновлялось очень давно, то сейчас скорее всего уже не обновится без проблем. Плюс, по своей сути готовая панель - менее безопасное решение.

Мой вердикт такой - использовать готовые веб панели для управления хостингом только в самых крайних случаях, когда это действительно нужно. Если можно обойтись без них - лучше обойтись. Панель в любой момент может подкинуть неожиданный сюрприз. Если вы хорошо её знаете, то скорее всего сюрприз будет решаемый, но в то же время, если вы хорошо знаете панель, особенно её работу изнутри, то вы скорее всего и вручную всё то же самое сможете сделать из отдельных компонентов.

#webserver

​​Один подписчик поделился информацией о программе для учёта компьютерного оборудования в компании - Hardware Inspector. Я с удивлением вспомнил, что эту программу хорошо знаю, потому что покупал её и активно использовал, но давно. Решил написать по ней заметку.

Hardware Inspector из далёкого прошлого, но до сих пор активно развивается, судя по новостям с обновлениями. Выглядит очень старомодно и, возможно, отталкивающе в наше время. Тем не менее, она реально очень функциональна и способна эффективно решать поставленные задачи.

❓ Как использовал эту программу я? У меня была идея качественно разобрать и упорядочить всю подконтрольную мне технику, её управление, выдачу и перемещения. Не поленился и вручную завёл всю номенклатуру оборудования и расходников в эту программу. Создал структуру компании, людей, все рабочие месте и всю технику.

Hardware Inspector умеет автоматически заполнять информацию о железе и установленном ПО на рабочих местах с помощью интеграции с AIDA32 или ASTRA. Я Аиду использовал. Сама интеграция очень простая. AIDA с нужными ключами запускается на компе с помощью GPO при Logon, генерирует текстовый отчёт, записывает его в файл. Hardware Inspector читает этот файл.

Помимо учёта оборудования и ПО, программа умеет печатать различные бумажки по форме при выполнении каких-то действий. Например, меняется у пользователя компьютер, печатается бумажка о перемещении, подписывается у пользователя. То же самое при выдаче, списании, приобретении оборудования. Используются стандартные формы, которые закреплены то ли в бухучёте, либо где-то ещё. Точно не знаю, из какой области подобная бюрократия. Какие-то формы я немного переделывал под себя или добавлял новые. Там свой конструктор под это дело.

Конкретно мне было очень удобно с этой программой. Я всегда знал, где что хранится, кому что выдано и когда. Если старый монитор лежал на складе, я всегда знал откуда он и почему туда попал. Перед бухгалтерией всё было прикрыто и вообще был порядок в бумагах и делах.

С внедрением программы придётся потрудиться и потратить какое-то время. С кондачка тут хорошего результата не будет.

📌 Особенности Hardware Inspector:

▪ Локальное приложение под Windows (на Linux работает через Wine), веб версии нет.
▪ База хранится в файле, его можно положить на сетевой диск и открывать из разных мест.
▪ Лицензирование идёт по количеству объектов в базе.
▪ Есть интеграция рабочих мест с AD, так что при желании можно всё автоматически развернуть и потом уже редактировать то, что получилось. Это быстрее, чем заводить с нуля.

❗️ Программа не бесплатная, но стоит не дорого. С покупкой и обоснованием не было каких-то проблем. Можно оплачивать каждый год по подписке или сразу купить бессрочную версию.

Сайт - https://www.hwinspector.com
Реестр ПО - https://reestr.digital.gov.ru/reestr/303504/

#управление #ITSM #отечественное

​​Есть удобный инструмент для отладки работы iptables - iptables-tracer. С его помощью можно отследить путь прохождения пакета по цепочкам iptables. Утилита написана на Go, так что ставится относительно просто. Надо собрать бинарник, причём сделать это можно где угодно, а потом просто передать на целевой сервер.

# apt install golang git
# git clone https://github.com/x-way/iptables-tracer
# cd ./iptables-tracer/
# go build
Почему то команда, которую я считал аналогичной трём выше:
# go get github.com/x-way/iptables-tracer
не собрала бинарник. Не стал разбираться с ошибкой. Мне всегда казалось, что это одно и то же. В итоге у вас соберётся бинарник iptables-tracer, который можно запускать с нужными параметрами.

Посмотрим список правил iptables:
# iptables -L -v -n
# iptables -L -v -n -t nat

Выберем цепочки, за которыми хотим последить. Для примера возьму пинги к хосту. Посмотрим, по каким цепочкам они идут.

# ./iptables-tracer -f "-d 10.20.1.56 -p icmp" -t 30s
nat PREROUTING NEW IP 10.20.1.1 > 10.20.1.56: ICMP echo request, [In:ens18 Out:]
filter INPUT NEW IP 10.20.1.1 > 10.20.1.56: ICMP echo request, [In:ens18 Out:]
nat  INPUT NEW IP 10.20.1.1 > 10.20.1.56: ICMP echo request, [In:ens18 Out:]

Запросы шли извне, так что сначала попали в таблицу NAT, цепочку PREROUTING, потом в таблицу FILTER, цепочку INPUT. Всё достаточно наглядно и понятно, как на картинках со схемой прохождения пакетов в iptables. Синтаксис фильтров для iptables-tracer аналогичен правилам iptables, так что проблем с написанием возникнуть не должно.

Когда что-то не получается с iptables, я первым делом включаю лог всех заблокированных запросов. Это самое простое. Там обычно сразу видно, в чём проблема и какое конкретно направление блокируется. Если не помогает, то подключаю iptables-tracer.

#iptables

​​В марте этого года Microsoft выпустила необычный продукт - бесплатный Open Source сканнер заражения RouterOS (Mikrotik) RouterOS Scanner. Он выполняет следующие проверки на устройствах:
▪ версию системы и наличие CVE под неё
▪ наличие запланированных задач
▪ наличие правил переадресации трафика
▪ наличие статических DNS записей в кэше
▪ изменение стандартных портов у системных служб
▪ наличие дополнительных пользователей
▪ наличие подозрительных файлов на устройстве
▪ наличие настроенных прокси

Как происходит типовое заражение Микротиков и почему выбраны именно эти проверки, подробно объясняется в блоге Microsoft.

Routeros scanner написан на Python и запускается просто:
# python3 main.py -i 192.168.88.1 -p 22 -u admin -ps pAsSw0rd
Перед этим, соответственно, надо склонировать репозиторий и установить зависимости:
# git clone https://github.com/microsoft/routeros-scanner
# pip install -r requirements.txt

При желании в цикле bash можно перебрать множество устройств, записанных в текстовый файл. В выводе будут отмечены как непосредственно проблемы, так и советы по настройке конкретного устройства.

Инструмент неплохой и кто бы что не думал о Microsoft, в целом это крупная компания, которая создала массу хороших продуктов или небольших утилит (calc.exe 😁, пользуюсь постоянно). Я себе поставил в WSL, мало ли, пригодится.

Прогнал через один из своих роутеров, получил совет изменить стандартный порт ssh 22 на какой-то другой. А ещё говорят, что это пустая затея. Сам я тоже чаще всего меняю, так как на нестандартный спам запросов всегда меньше. Но в общем случае, ssh порт и всё остальное всегда скрыто от общего доступа.

Исходники - https://github.com/microsoft/routeros-scanner

#mikrotik

​​Никогда не понимал, почему вывод информации об устанавливаемых пакетах в apt-get, а потом и в apt такой неудобный. Вам просто вываливают лапшу перед глазами, где трудно что-то разобрать, например найти отдельный пакет. И ладно бы трудно было придумать что-то получше, но оно уже есть. Берём yum/dnf, там всё красиво и удобно. Почему нельзя сделать так же? Достаточно добавить форматирование.

Кажется, что это мелочь, но когда я пользовался Centos, меня прям отвращало от Debian и Ubuntu именно это поведение apt. Я не понимал, почему не сделать удобно, как в других дистрибутивах. Не понимаю я этого и сейчас. Когда впервые услышал про apt, как замену apt-get, думал, там это будет решено. Но нет.

Если хотите в Debian или Ubuntu получить нормальный вывод информации о пакетах при работе с пакетным менеджером, можете поставить Nala. Она не делает ничего особенного - просто приводит вывод apt в человекочитаемый вид. Ну и бонусом может параллельно скачивать пакеты в несколько потоков.

Поставить Nala можно либо из собранного пакета, либо из репозитория Testing/Sid самого Debian. Его нужно будет отдельно добавить в систему. Лучше этого не делать, чтобы случайно не обновиться с тестовых реп. Это необратимый процесс. Либо сразу после установки отключить его.

Я так понимаю, раз Nala уже в Testing/Sid, то есть шанс, что её перенесут в основной стабильный репозиторий. Было бы неплохо.

Исходники - https://gitlab.com/volian/nala

#debian #ubuntu

Компания Zabbix выпустила первую альфу версии 6.4. Решил почитать, что они планируют изменить, добавить в этой версии. Какого-то общего списка нововведений ещё не публиковали, так что информация из разных англоязычных источников (страница документации, почтовая рассылка, список изменений для 6.4.0alpha1).

✅ Новое навигационное меню в веб интерфейсе. Появится новый раздел Dashboards. Исчезнет раздел Configuration, появится пересобранный Data collection. Многие разделы переедут в другие места, плюс появятся новые пункты. Наверняка первое время будет путаница. Все старые инструкции разом потеряют актуальность 😔

✅ Виджет Item Value научится менять цвет фона в зависимости от значения. К примеру, когда всё ОК - зелёный, когда проблема - красный.

✅ Айтемы vfs.fs.get и vfs.fs.discovery научатся возвращать в том числе и опции монтирования. Например, тип файловой системы, режим доступа (чтение, запись и т.д.). Довольно удобное нововведение. Нужно будет шаблоны по этой теме обновлять вручную, чтобы увидеть изменения.

✅ При создании некоторых проверок уберут обязательное требование с указанием интерфейса, к которому будет привязана проверка. Появится возможность делать какие-то заделы с настройками на хостах без настроенного интерфейса.

✅ Дефолтное значение параметра RefreshActiveChecks с двух минут уменьшают до 5 секунд. Напомню, что этот параметр отвечает за получение информации Zabbix agent в active mode настроек с сервера.

✅ Появятся новые шаблоны: AWS RDS instance by HTTP, AWS S3 bucket by HTTP, Azure by HTTP, OPNsense by SNMP.

✅ При обновлении Zabbix Proxy с использованием базы SQLite, последняя будет автоматически удаляться и создаваться заново с новой версией данных. Раньше это нужно было делать вручную и это реально напрягало. Хорошо, что автоматизировали.

Как-то совсем мало нововведений. В основном косметические изменения. Хотя обычно именно на 4-ю версию ветки приходится больше всего изменений, так как их на ней отлаживают перед принятием в новую LTS ветку. Судя по всему в 7.0 тоже каких-то кардинальных изменений не ожидается.

Так и не изменили механизм веб мониторинга 😪 Он откровенно неудобен и устарел по современным меркам. Я ждал изменений в 6.4 по этому поводу.

Заметки о выпуске для Zabbix 6.4.0alpha1

#zabbix

🎓 Признайтесь честно, без гугления, знаете что такое идемпотентность? Никогда не получается нормально выговорить это слово. Если не знаете, то скорее всего не знакомы и с Ansible. Для админа в наши дни это плохой сигнал, даже если не работаете с большими масштабами.

Ansible стал практически стандартом автоматизации и преднастройки инфраструктуры. Если не приходится использовать его лично, то всё равно на базе Ansible написана куча инструментов по установке чего-либо. Например, разворачивание кластера Kubernetes на своих хостах с помощью Kubespray. Или то же самое для Ceph. Если умеешь работать с Ansible, не будет никаких проблем раскатать кластер и продебажить установку в случае проблем.

К примеру, я почти не пользуюсь в своей работе Ансиблом, но тем не менее знаю его. Проходил курсы, писал свои плейбуки. Когда понял, что поддерживать и обновлять их дольше, чем настроить вручную раз в пол года, перестал. Но мне нет проблемы развернуть тот же Kube или Ceph из готовых плейбуков. Я понимаю, как там всё устроено и работает.

Долгая подводочка к теме получилась. Вот вам на выходные хороший цельный урок по Ansible от и до.

Всё что нужно знать по Ansible. Основы и не только:
⇨  https://www.youtube.com/watch?v=YYjCwLs-1hA

К видео есть содержание, так что можете сразу оценить, о чём там будет речь.

Кстати, у небезызвестного Дениса Астахова есть свой курс на Udemy на русском языке. Цена символическая, правда я не знаю, нормально ли с приёмом платежей из РФ там сейчас. Там же есть и бесплатные курсы, но на английско-индусском.

Если кто-то знает хороший бесплатный курс по Ansible в текстовом виде на русском языке, поделитесь информацией. У меня есть вот такая ссылочка в закладках, но это скорее просто подробная статья. На обучение не тянет.

#обучение #ansible #бесплатно