По мотивам моей вчерашней заметки про ддос, который непонятно кем и для чего был сделан. Я там не упомянул, чем всё в итоге закончилось, потому что написал её сразу по горячим следам. В итоге заблокировал весь входящий трафик, мог себе такое позволить. И спам запросов прекратился только часов через 12. А до этого так и шло в районе 8000-10000 rps на заблокированные порты. И даже полное выключение хоста не помогало.

Если бы ддос не прекратился, пришлось бы либо IP адрес менять, либо просить помощи у провайдера. И ещё не факт, что он бы пошёл на встречу. Это не арендованная VPS, а физическое подключение.

Эта история заставила меня в очередной раз призадуматься над тем, как безопаснее организовать подключение к инфраструктуре, даже непубличной для широкого круга лиц, но доступной через интернет. На IP частенько много всего завязано в плане доступов, а не только DNS записей. И менять очень не хочется. А сразу подключать постоянную защиту накладно, потому что она стоит немало денег и иногда годами может быть не нужна. IP закрывать защитой надо постоянно, потому что как только ты его засветил, тебе уже банально туда даже в отключенное оборудование могут слать трафик и блокировать работу, и никакая защита не поможет, пока не поменяешь адрес.

Вариантов защиты от этого несколько:

1️⃣ Самое простое и дорогое, как я уже сказал, сразу же как только у вас появляется инфраструктура с внешним IP адресом, закрываете её сервисом по защите от DDOS. Сервис даст вам свой IP адрес, будет с него пробрасывать запросы на ваши IP. А вы со своих адресов разрешите входящие пакеты только с IP адресов защиты. Это самый безопасный вариант. Про доступы к вашей инфраструктуре не знает никто, кроме сервиса защиты.

2️⃣ Арендуете недорогую VPS, на ней поднимаете необходимые службы, которые будут принимать трафик от клиентов и пересылать уже в вашу инфраструктуру. Она, соответственно, принимает запросы только с VPS. На все остальные запросы не отвечает даже по icmp. Это дёшево и достаточно эффективно. Если вас кто-то начнёт ддосить, вы хотя бы не теряете основной канал в инфраструктуру, про который никто не знает. Можете параллельно настроить альтернативные маршруты, в то время как кто-то будет долбиться в арендованную VPS.

Технически это очень просто сделать. Возможно будет достаточно стандартного Nginx/Angie, который может проксировать как HTTP трафик, так и весь остальной через модуль Stream. Через него можно пустить запросы к OVPN, RDP, IMAP и т.д. Причём распределить потоки можно не по портам, а по доменным именам. Модуль распознаёт имя домена SNI в TLS запросах и на его основании перенаправлять трафик в заданных направлениях.

Если по какой-то причине этот вариант не подойдёт, то можно связать VPS с инфрой по VPN и настроить прямой forward пакетов. Я так тоже делал, рабочий вариант. Можно вообще 1 в 1 зеркалить весь трафик с VPS к себе и обратно.

К этому же способу относится настройка Apache Guacamole или Nexterm для доступа в инфраструктуру. Их так же можно выносить на внешние хосты.

3️⃣ Настроить Port Knocking в любой подходящей вам реализации (раз, два, три, четыре, пять). Это тоже безопасный и простой в настройке вариант, но не очень удобный в эксплуатации, особенно если его надо настраивать и поддерживать для широкого круга лиц. Никому ни на какие запросы не отвечаем, пока не сработает условие Port Knocking.

Я в разное время и в разных местах настраивал все 3 способа. Первый актуален для коммерческих проектов, у которых прибыль зависит от доступности сервисов. Для технических хостов актуальнее будет вариант 2 и 3. Второй будет более удобен для доступа более-менее масштабной группы лиц. А третий способ можно оставить себе или ещё нескольким админам, которым нужен доступ к инфре. Тут не нужны никакие лишние сущности и затраты, только локальные настройки.

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

———
ServerAdmin: 📱 Telegram | 🌐 Сайт | 📲 MAX 😩

#security #gateway

Очередная подборка статей авторов, которые согласились в ней участвовать. Кто не понимает, о чём идёт речь, может прочитать прошлые публикации по этой теме (раз, два). Авторы всех статей - реальные люди, они есть у меня в чате. При желании, к ним можно обратиться.

⇨ Установка Traefik в LXC-контейнер Proxmox как systemd-сервиса | Часть 2
⇨ Middlewares в Traefik: что это, зачем нужны и полный список для homelab
⇨ Установка Traefik в LXC-контейнер Proxmox как systemd-сервиса | Часть 3: CrowdSec
Пример настройки Traefik с подробным описанием возможностей и разделов в конфигурации. Там не разбор стандартных параметров, а реальная, навороченная конфигурация. Это продолжение цикла автора про Traefik, где он запускает его в виде systemd сервиса в LXC.

⇨ Traefik в отдельном VLAN: настройка firewall в OPNsense
В статье автор рассказывает про свою сеть с точки зрения деления на VLAN и заодно рассказывает, как и зачем он вынес Traefik и CrowdSec в отдельный VLAN.

⇨ Переезжаем с Portainer на Komodo: полная установка и настройка
⇨ Arcane: современный менеджер Docker - обзор, установка и настройка
Описание очередных панелей для управления Docker контейнерами - Komodo и Arcane. Вообще перестал пользоваться такими панелями. После того, как почти везде перешёл на PVE, все Docker контейнеры стал запускать в отдельных LXC контейнерах. Всё управление через админку PVE.

⇨ Шаблоны файлов и скриптов в Bash - метод heredoc
Популярный подход для костылей и велосипедов на bash - Heredoc (Here Documents). Про подход такой знаю и использую, но не знал, что он называется Heredoc.

⇨ Вычисляем шпионов в локальной сети с помощью NMAP
Практические примеры использования Nmap в локальной сети. Когда-то я тоже подобные подборки делал. И они даже пользовались популярностью. А сейчас всё это ИИ напишет за 30 секунд. Достаточно его попросить написать 10 самых популярных и прикладных примеров с Nmap.

⇨ Пишем AI proxy для render.com
Собственная прокси для обхода ограничения по доступу к западным нейросетям и её деплой для удобства на бесплатную учётку render.com.

⇨ Postiz: пытаюсь автоматизировать YouTube, VK и RuTube - и почему из трех работает только один
Пример настройки self-hosted сервиса для публикации контента в соцсети. Думаю, актуально только для авторов, которые постят контент в разные соцсети. Я когда-то тоже пробовал этот сервис, но мне не понравился.

⇨ Как настроить источник времени NTP на контроллере домена
⇨ Как настроить синхронизацию времени в Active Directory через групповые политики (GPO)
Давно не настраивал новые контроллеры домена. А в своё время не раз сталкивался с различными глюками и проблемами, связанными с точным временем в сети. Это важный сервис, за которым надо обязательно следить. Я одно время проверку времени костылил на Zabbix, пока это не приехало в очередное обновление шаблонов.

⇨ Подключаем приложения к общей PostgreSQL и учимся её обслуживать. Часть 2
Практические примеры работы с СУБД - создание пользователей и баз, перенос реального сервиса на использование общей СУБД, а не персональной для сервиса.

⇨ Dozzle: удобный просмотр логов Docker-контейнеров в реальном времени
Небольшой удобный сервис для просмотра логов Docker в режиме реального времени. Сделано неплохо, пользоваться удобно. Будет актуально для разработчиков или каких-то тестовых контуров, где нет централизованного сбора логов. Я лично даже дома всё в Loki собрал. Но мне понравился Dozzle. Сделаю про него отдельную заметку.

⇨ Wiremokjs как я создавал свой скриптовый язык для wiremock
Создание своего языка для написания моков HTTP сервисов в WireMock. Это такие заглушки для тестирования, чтобы тестировать ответы приложений и апишек.

⇨ Как я перенёс интерпретатор «Эллочка» из DOS в Windows на Zig
Развлечения автора на заданную тему.

⇨ Пишем Bash скрипт для резервного копирования с помощью tar
Навороченный скрипт для бэкапа файлов и директорий с помощью tar. Поддерживает шифрование, ротацию со своей политикой, исключения, сжатие, работу по SSH.

———
ServerAdmin: 📱 Telegram | 🌐 Сайт | 📲 MAX 😩

#статьи

У меня в разное время некоторые родители спрашивали, как лучше организовать родительский контроль у детей на их устройствах. Решил всё это систематизировать, чтобы можно было потом просто оставить ссылку.

У меня 4-ро детей, и с этого года 3 школьника. Я не теоретик, а практик. У всех школьников есть смартфон и свой компьютер с доступом в интернет. Без этого, к сожалению, современный учебный процесс в школе невозможен, если ребёнок будет учиться самостоятельно без вовлечения взрослого. Так как у нас много детей, мы с самого начала стараемся развивать в детях самостоятельность и способность выполнять домашние задания и в целом учиться без постоянного участия родителей.

Просто купить ребёнку смартфон и компьютер и отдать в полное распоряжение нельзя. Нужны ограничения, чтобы ребёнок фокусировался на учёбе и познании, а не развлечениях и играх. Современная индустрия захвата внимания, вовлечения и развлечения настолько развита, что дети перед ней беззащитны. Да что там дети, даже взрослые не все способны с этим справляться и не выпускают смартфоны из рук.

Рассказываю, как это организовано у меня.

🔹На Android смартфонах установлен гугловский Family link. С его помощью настроено дневное ограничение экранного времени и блокировка смартфона в ночное время. Если надо, для отдельных приложений ограничения убираются. Я знаю, что на некоторых устройствах эти ограничения можно обойти. На смартфонах моих детей я таких возможностей не увидел, так что всё работает корректно.

🔹На компьютерах установлен Kaspersky Safe Kids. Сразу скажу, что мне не очень нравится это приложение. Оно иногда глючит, не передаёт статистику или изменение настроек. Но лучше я ничего не нашёл. С помощью этого приложения настраивается дневное ограничение экранного времени, доступ к некоторым приложениям (играм), ограничение на доступ к сайтам по категориям, ночные часы блокировки компьютера. В основном отключается доступ к сервисам с видео, пока не сделаны уроки, если были случаи, когда уроки не делались вовремя.

Kaspersky Safe Kids можно установить и на смартфон, но я не пробовал. Меня полностью устраивает то, как работает Family link. Видя, как Safe Kids глючит на компе, подозреваю, что на смартфоне он тоже будет работать так себе.

Ещё несколько инструментов, которые я пробовал, но отказался от них из-за того, что представленные выше показались проще в обслуживании и удобнее.

◽️Межсетевой экран ИКС. Есть бесплатная версия на 9 пользователей. Для дома этого хватает. Выступает в роли прокси с возможностью ограничения доступа к сайтам, в том числе по времени. Банально стало лень заниматься ещё одним сервером. И так нагрузки хватает.

◽️Libki. Отдельный self-hosted сервис, который позволяет настроить ограничение времени, проведённого за компьютером с привязкой к пользователю. Ограничивает не только максимальное время за компьютером, но и интервал непрерывного пользования. То есть можно установить, что компьютером можно пользоваться 2 часа в день, но при этом не дольше, чем одним интервалом в час с обязательным перерывом в 2 часа.

◽️Kid Control в Mikrotik. Позволяет ограничивать устройствам доступ в интернет по интервалам времени. Закрывал с его помощью доступ в интернет детям в ночное время.

Перечисленные выше сервисы перестал использовать, потому что Family link и Kaspersky Safe Kids полностью перекрывают их функциональность. В целом эта связка проще, чем какая-либо другая из тех, что я знаю.

В такие темы обычно приходят бездетные моралисты и начинают рассказывать, что путь ограничений неверный, дети потом будут тебе мстить за ограничения и т.д. Такое мнение имеет право быть, доступ своим детям, когда они появятся, в сеть и к гаджетам не ограничивайте. Мой опыт и опыт других сознательных родителей говорит, что это надо делать. При этом я максимально либерален в этих вопросах. Если все обязанности по учёбе и домашним делам ребёнок выполняет, он практически свободно пользуется гаджетами в рамках возрастных ограничений, за исключением времени сна.

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

———
ServerAdmin: 📱 Telegram | 🌐 Сайт | 📲 MAX 😩

#дети

🛡 LLM, Guardrails и Zero Trust:
вебинары о безопасной работе с ИИ

➡️ 15 сентября
Как защитить чувствительные данные при работе с LLM с помощью Guardrails

Эксперты Cloud․ru расскажут о том, как Guardrails помогают контролировать данные, которые передаются модели: персональные данные, API-ключи, внутренние идентификаторы и другую чувствительную информацию. А еще покажут, как встроить Guardrails Filter в процессы.

Зарегистрироваться

➡️ 17 сентября
ИИ в облаке: кто отвечает за безопасность

Эксперты Cloud․ru разберут, как выстроить безопасную ИИ-инфраструктуру без лишних рисков. Отдельно обсудят подход Zero Trust: расскажут, как контролировать доступ к данным, моделям и сервисам в облаке.

Зарегистрироваться

Если вы работаете с LLM, GenAI-сервисами или строите ИИ-инфраструктуру в облаке — присоединяйтесь.