▶️ Очередная подборка авторских IT роликов, которые я лично посмотрел и посчитал интересными/полезными. Это видео из моих подписок за последнее время (обычно беру период в 2 недели), что мне понравились.

⇨ Terraform + Ansible: The DevOps Workflow That Actually Works
Интересное видео с конкретными примерами на тему использования
Terraform и Ansible. Где что уместнее применять, в чём основные отличия и сходства и т.д. Автор выдал базу, актуально тем, кто только изучает эти инструменты. Он прям очень наглядно показал на примере жизненного цикла инфраструктуры, на каком этапе какой инструмент что делает.

⇨ What Is an NPU Actually Good For?
Очень интересное видео, в котором автор на реальном примере сравнил новые процессоры NPU, разработанные для задач ИИ. Он взял видеорегистратор Frigate, зациклил на нём один и тот же видеопоток и сравнил распознавание объектов и прочую аналитику в Frigate, выполняя её на CPU, GPU и NPU. Frigate позволяет гибко управлять этими настройками. NPU немного превзошёл по производительности CPU, при этом потребляя меньше электроэнергии.

⇨ Полезные советы по Zabbix: улучшенный обзор данных с помощью пользовательских полей таблиц
Пример настройки пользовательских столбцов в списках хостов в Zabbix. В данном видео добавили столбец с версией ОС на хосте. Эту информацию взяли из раздела Inventory. Раньше эту информацию можно было увидеть только в обзоре значений в соответствующем разделе. Теперь данные из любого айтема, макроса или раздела инвентаризации можно выводить в табличные представления. Это актуально для 8-й версии сервера.

⇨ От 1 до 10 000 RPS: Как масштабируется Backend приложение при росте нагрузки
Хорошее структурированное видео от разработчика, но будет интересно и для эксплуатации, потому что суть одна и та же. Автор на примерах показал, как растёт проект по нагрузке и как растёт и настраивается обслуживающая его инфраструктура.

⇨ Работа с HTTP-заголовками запроса и ответа
Автор разобрал базу по настройкам заголовков за примере Angie. Если настраиваете и обслуживаете веб сервера Nginx/Angie, то будет полезно. Хотя лично я всё это знаю уже давно.
⇨ Работа с переменными в Angie
Тоже база, но уже по переменным. Актуально и для Nginx.

⇨ Я протестировал ВСЕ кванты Qwen 3.8 27B для 16 ГБ
Короткое видео с тестами, где сравнили все популярные квантованные версии практически народной Qwen 3.8, которую можно запустить на 16 ГБ видеопамяти, например на 5060Ti. Будет очень актуально тем, кто запускает такие модели у себя. Модель весьма функциональна и запускается на домашних видюхах.

⇨ Omarchy - совсем другой Linux. Он не похож ни на Windows, ни на MacOS.
Обзор необычного дистрибутива на базе Linux - Omarchy. Впервые о нём услышал. Было любопытно посмотреть. Визуально мне он понравился. Ну а по сути Linux он и есть Linux со своими доработками.

———
ServerAdmin: 📱 Telegram | 🌐 Сайт | 📲 MAX 😩

#видео

Думаю все, кто работают в консоли Linux, знают про автодополнение имён файлов и директорий. Это когда вы вводите часть имени файла, нажимаете tab и видите дальше варианты имён, которых может быть несколько. Это очень удобно, если не помнишь точное полное имя бинарника. Например, после установки MariaDB надо запустить файл mariadb-secure-installation. Я набираю mariadb, жму tab и выбираю из предложенных вариантов. Так проще написать и не ошибиться. Варианты подстановки проверяются в директориях, заданных в $PATH, в текущей папке, в алиасах, во встроенных в оболочку командах и может где-то ещё.

Я почти всегда на серверах использую оболочку bash, работаю только в ней. Для bash можно настроить автодополнение не только для файлов и папок, но и для команд. За это отвечает отдельный пакет bash-completion. У него свой репозиторий - https://github.com/scop/bash-completion. Проект активно поддерживается и обновляется.

В популярных дистрибутивах он чаще всего включён в набор системных утилит. По крайней мере в стандартных минимальных образах Debian и Ubuntu это так. В Centos он тоже раньше был по умолчанию. Отдельно никогда его не ставил. Вы можете установить более свежую версию вручную из github, если та, что есть в репозиториях, вас не устраивает.

Обычно bash-completion включается автоматически для обычных пользователей, а для root - нет. Надо отдельно добавить в его .bashrc что-то типа такого:

if ! shopt -oq posix; then
 if [ -f /usr/share/bash-completion/bash_completion ]; then
  . /usr/share/bash-completion/bash_completion
 elif [ -f /etc/bash_completion ]; then
  . /etc/bash_completion
 fi
fi

В Debian эта конструкция автоматически добавляется обычным пользователям. А в системном /etc/bash.bashrc она закомментирована. Можно её там раскомментировать тоже.

Если вдруг вам по какой-то причине это не нужно, пакет можете просто удалить. Теоретически, консоль может стать более отзывчивой, так как автодополнение добавляет некоторую задержку.

Пост чисто для расширения кругозора тем, кто не в курсе этого. Я сам много лет работал в консоли и не знал об автодополнении для команд. Ну и чтобы добавить полезности публикации, приведу несколько прикладных примеров автодополнения, про которые вы возможно не знали.

🔹killall <tab> - увидите список всех процессов, которые можно прибить, указав имя

🔹chown <tab> - увидите список пользователей

🔹apt <tab> увидите список команд для apt

🔹apt install mariadb-<tab> увидите все пакеты, начинающиеся с mariadb. Это иногда удобнее и быстрее, чем использовать apt search

🔹journalctl -u <tab> - вот это очень удобно, увидите список юнитов с логами

🔹systemctl restart <tab> - список всех сервисов, если список большой, то не очень удобно

🔹systemctl restart openvpn<tab> - вот это уже более практичный пример, потому что лично я всегда забываю правильные полные имена, когда у тебя несколько серверов запущены

🔹ip <tab> - будет полезно, если ещё в подкорке не записалось ip a, ip r и т.д.

Ну и так далее. Почти для всех популярных команд есть те или иные подсказки. Удобная штука, если постоянно работаешь в консоли.

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

———
ServerAdmin: 📱 Telegram | 🌐 Сайт | 📲 MAX 😩

#bash

По мотивам моей вчерашней заметки про ддос, который непонятно кем и для чего был сделан. Я там не упомянул, чем всё в итоге закончилось, потому что написал её сразу по горячим следам. В итоге заблокировал весь входящий трафик, мог себе такое позволить. И спам запросов прекратился только часов через 12. А до этого так и шло в районе 8000-10000 rps на заблокированные порты. И даже полное выключение хоста не помогало.

Если бы ддос не прекратился, пришлось бы либо IP адрес менять, либо просить помощи у провайдера. И ещё не факт, что он бы пошёл на встречу. Это не арендованная VPS, а физическое подключение.

Эта история заставила меня в очередной раз призадуматься над тем, как безопаснее организовать подключение к инфраструктуре, даже непубличной для широкого круга лиц, но доступной через интернет. На IP частенько много всего завязано в плане доступов, а не только DNS записей. И менять очень не хочется. А сразу подключать постоянную защиту накладно, потому что она стоит немало денег и иногда годами может быть не нужна. IP закрывать защитой надо постоянно, потому что как только ты его засветил, тебе уже банально туда даже в отключенное оборудование могут слать трафик и блокировать работу, и никакая защита не поможет, пока не поменяешь адрес.

Вариантов защиты от этого несколько:

1️⃣ Самое простое и дорогое, как я уже сказал, сразу же как только у вас появляется инфраструктура с внешним IP адресом, закрываете её сервисом по защите от DDOS. Сервис даст вам свой IP адрес, будет с него пробрасывать запросы на ваши IP. А вы со своих адресов разрешите входящие пакеты только с IP адресов защиты. Это самый безопасный вариант. Про доступы к вашей инфраструктуре не знает никто, кроме сервиса защиты.

2️⃣ Арендуете недорогую VPS, на ней поднимаете необходимые службы, которые будут принимать трафик от клиентов и пересылать уже в вашу инфраструктуру. Она, соответственно, принимает запросы только с VPS. На все остальные запросы не отвечает даже по icmp. Это дёшево и достаточно эффективно. Если вас кто-то начнёт ддосить, вы хотя бы не теряете основной канал в инфраструктуру, про который никто не знает. Можете параллельно настроить альтернативные маршруты, в то время как кто-то будет долбиться в арендованную VPS.

Технически это очень просто сделать. Возможно будет достаточно стандартного Nginx/Angie, который может проксировать как HTTP трафик, так и весь остальной через модуль Stream. Через него можно пустить запросы к OVPN, RDP, IMAP и т.д. Причём распределить потоки можно не по портам, а по доменным именам. Модуль распознаёт имя домена SNI в TLS запросах и на его основании перенаправлять трафик в заданных направлениях.

Если по какой-то причине этот вариант не подойдёт, то можно связать VPS с инфрой по VPN и настроить прямой forward пакетов. Я так тоже делал, рабочий вариант. Можно вообще 1 в 1 зеркалить весь трафик с VPS к себе и обратно.

К этому же способу относится настройка Apache Guacamole или Nexterm для доступа в инфраструктуру. Их так же можно выносить на внешние хосты.

3️⃣ Настроить Port Knocking в любой подходящей вам реализации (раз, два, три, четыре, пять). Это тоже безопасный и простой в настройке вариант, но не очень удобный в эксплуатации, особенно если его надо настраивать и поддерживать для широкого круга лиц. Никому ни на какие запросы не отвечаем, пока не сработает условие Port Knocking.

Я в разное время и в разных местах настраивал все 3 способа. Первый актуален для коммерческих проектов, у которых прибыль зависит от доступности сервисов. Для технических хостов актуальнее будет вариант 2 и 3. Второй будет более удобен для доступа более-менее масштабной группы лиц. А третий способ можно оставить себе или ещё нескольким админам, которым нужен доступ к инфре. Тут не нужны никакие лишние сущности и затраты, только локальные настройки.

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

———
ServerAdmin: 📱 Telegram | 🌐 Сайт | 📲 MAX 😩

#security #gateway