По мотивам моей вчерашней заметки про ддос, который непонятно кем и для чего был сделан. Я там не упомянул, чем всё в итоге закончилось, потому что написал её сразу по горячим следам. В итоге заблокировал весь входящий трафик, мог себе такое позволить. И спам запросов прекратился только часов через 12. А до этого так и шло в районе 8000-10000 rps на заблокированные порты. И даже полное выключение хоста не помогало.

Если бы ддос не прекратился, пришлось бы либо IP адрес менять, либо просить помощи у провайдера. И ещё не факт, что он бы пошёл на встречу. Это не арендованная VPS, а физическое подключение.

Эта история заставила меня в очередной раз призадуматься над тем, как безопаснее организовать подключение к инфраструктуре, даже непубличной для широкого круга лиц, но доступной через интернет. На IP частенько много всего завязано в плане доступов, а не только DNS записей. И менять очень не хочется. А сразу подключать постоянную защиту накладно, потому что она стоит немало денег и иногда годами может быть не нужна. IP закрывать защитой надо постоянно, потому что как только ты его засветил, тебе уже банально туда даже в отключенное оборудование могут слать трафик и блокировать работу, и никакая защита не поможет, пока не поменяешь адрес.

Вариантов защиты от этого несколько:

1️⃣ Самое простое и дорогое, как я уже сказал, сразу же как только у вас появляется инфраструктура с внешним IP адресом, закрываете её сервисом по защите от DDOS. Сервис даст вам свой IP адрес, будет с него пробрасывать запросы на ваши IP. А вы со своих адресов разрешите входящие пакеты только с IP адресов защиты. Это самый безопасный вариант. Про доступы к вашей инфраструктуре не знает никто, кроме сервиса защиты.

2️⃣ Арендуете недорогую VPS, на ней поднимаете необходимые службы, которые будут принимать трафик от клиентов и пересылать уже в вашу инфраструктуру. Она, соответственно, принимает запросы только с VPS. На все остальные запросы не отвечает даже по icmp. Это дёшево и достаточно эффективно. Если вас кто-то начнёт ддосить, вы хотя бы не теряете основной канал в инфраструктуру, про который никто не знает. Можете параллельно настроить альтернативные маршруты, в то время как кто-то будет долбиться в арендованную VPS.

Технически это очень просто сделать. Возможно будет достаточно стандартного Nginx/Angie, который может проксировать как HTTP трафик, так и весь остальной через модуль Stream. Через него можно пустить запросы к OVPN, RDP, IMAP и т.д. Причём распределить потоки можно не по портам, а по доменным именам. Модуль распознаёт имя домена SNI в TLS запросах и на его основании перенаправлять трафик в заданных направлениях.

Если по какой-то причине этот вариант не подойдёт, то можно связать VPS с инфрой по VPN и настроить прямой forward пакетов. Я так тоже делал, рабочий вариант. Можно вообще 1 в 1 зеркалить весь трафик с VPS к себе и обратно.

К этому же способу относится настройка Apache Guacamole или Nexterm для доступа в инфраструктуру. Их так же можно выносить на внешние хосты.

3️⃣ Настроить Port Knocking в любой подходящей вам реализации (раз, два, три, четыре, пять). Это тоже безопасный и простой в настройке вариант, но не очень удобный в эксплуатации, особенно если его надо настраивать и поддерживать для широкого круга лиц. Никому ни на какие запросы не отвечаем, пока не сработает условие Port Knocking.

Я в разное время и в разных местах настраивал все 3 способа. Первый актуален для коммерческих проектов, у которых прибыль зависит от доступности сервисов. Для технических хостов актуальнее будет вариант 2 и 3. Второй будет более удобен для доступа более-менее масштабной группы лиц. А третий способ можно оставить себе или ещё нескольким админам, которым нужен доступ к инфре. Тут не нужны никакие лишние сущности и затраты, только локальные настройки.

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

———
ServerAdmin: 📱 Telegram | 🌐 Сайт | 📲 MAX 😩

#security #gateway

Очередная подборка статей авторов, которые согласились в ней участвовать. Кто не понимает, о чём идёт речь, может прочитать прошлые публикации по этой теме (раз, два). Авторы всех статей - реальные люди, они есть у меня в чате. При желании, к ним можно обратиться.

⇨ Установка Traefik в LXC-контейнер Proxmox как systemd-сервиса | Часть 2
⇨ Middlewares в Traefik: что это, зачем нужны и полный список для homelab
⇨ Установка Traefik в LXC-контейнер Proxmox как systemd-сервиса | Часть 3: CrowdSec
Пример настройки Traefik с подробным описанием возможностей и разделов в конфигурации. Там не разбор стандартных параметров, а реальная, навороченная конфигурация. Это продолжение цикла автора про Traefik, где он запускает его в виде systemd сервиса в LXC.

⇨ Traefik в отдельном VLAN: настройка firewall в OPNsense
В статье автор рассказывает про свою сеть с точки зрения деления на VLAN и заодно рассказывает, как и зачем он вынес Traefik и CrowdSec в отдельный VLAN.

⇨ Переезжаем с Portainer на Komodo: полная установка и настройка
⇨ Arcane: современный менеджер Docker - обзор, установка и настройка
Описание очередных панелей для управления Docker контейнерами - Komodo и Arcane. Вообще перестал пользоваться такими панелями. После того, как почти везде перешёл на PVE, все Docker контейнеры стал запускать в отдельных LXC контейнерах. Всё управление через админку PVE.

⇨ Шаблоны файлов и скриптов в Bash - метод heredoc
Популярный подход для костылей и велосипедов на bash - Heredoc (Here Documents). Про подход такой знаю и использую, но не знал, что он называется Heredoc.

⇨ Вычисляем шпионов в локальной сети с помощью NMAP
Практические примеры использования Nmap в локальной сети. Когда-то я тоже подобные подборки делал. И они даже пользовались популярностью. А сейчас всё это ИИ напишет за 30 секунд. Достаточно его попросить написать 10 самых популярных и прикладных примеров с Nmap.

⇨ Пишем AI proxy для render.com
Собственная прокси для обхода ограничения по доступу к западным нейросетям и её деплой для удобства на бесплатную учётку render.com.

⇨ Postiz: пытаюсь автоматизировать YouTube, VK и RuTube - и почему из трех работает только один
Пример настройки self-hosted сервиса для публикации контента в соцсети. Думаю, актуально только для авторов, которые постят контент в разные соцсети. Я когда-то тоже пробовал этот сервис, но мне не понравился.

⇨ Как настроить источник времени NTP на контроллере домена
⇨ Как настроить синхронизацию времени в Active Directory через групповые политики (GPO)
Давно не настраивал новые контроллеры домена. А в своё время не раз сталкивался с различными глюками и проблемами, связанными с точным временем в сети. Это важный сервис, за которым надо обязательно следить. Я одно время проверку времени костылил на Zabbix, пока это не приехало в очередное обновление шаблонов.

⇨ Подключаем приложения к общей PostgreSQL и учимся её обслуживать. Часть 2
Практические примеры работы с СУБД - создание пользователей и баз, перенос реального сервиса на использование общей СУБД, а не персональной для сервиса.

⇨ Dozzle: удобный просмотр логов Docker-контейнеров в реальном времени
Небольшой удобный сервис для просмотра логов Docker в режиме реального времени. Сделано неплохо, пользоваться удобно. Будет актуально для разработчиков или каких-то тестовых контуров, где нет централизованного сбора логов. Я лично даже дома всё в Loki собрал. Но мне понравился Dozzle. Сделаю про него отдельную заметку.

⇨ Wiremokjs как я создавал свой скриптовый язык для wiremock
Создание своего языка для написания моков HTTP сервисов в WireMock. Это такие заглушки для тестирования, чтобы тестировать ответы приложений и апишек.

⇨ Как я перенёс интерпретатор «Эллочка» из DOS в Windows на Zig
Развлечения автора на заданную тему.

⇨ Пишем Bash скрипт для резервного копирования с помощью tar
Навороченный скрипт для бэкапа файлов и директорий с помощью tar. Поддерживает шифрование, ротацию со своей политикой, исключения, сжатие, работу по SSH.

———
ServerAdmin: 📱 Telegram | 🌐 Сайт | 📲 MAX 😩

#статьи

У меня в разное время некоторые родители спрашивали, как лучше организовать родительский контроль у детей на их устройствах. Решил всё это систематизировать, чтобы можно было потом просто оставить ссылку.

У меня 4-ро детей, и с этого года 3 школьника. Я не теоретик, а практик. У всех школьников есть смартфон и свой компьютер с доступом в интернет. Без этого, к сожалению, современный учебный процесс в школе невозможен, если ребёнок будет учиться самостоятельно без вовлечения взрослого. Так как у нас много детей, мы с самого начала стараемся развивать в детях самостоятельность и способность выполнять домашние задания и в целом учиться без постоянного участия родителей.

Просто купить ребёнку смартфон и компьютер и отдать в полное распоряжение нельзя. Нужны ограничения, чтобы ребёнок фокусировался на учёбе и познании, а не развлечениях и играх. Современная индустрия захвата внимания, вовлечения и развлечения настолько развита, что дети перед ней беззащитны. Да что там дети, даже взрослые не все способны с этим справляться и не выпускают смартфоны из рук.

Рассказываю, как это организовано у меня.

🔹На Android смартфонах установлен гугловский Family link. С его помощью настроено дневное ограничение экранного времени и блокировка смартфона в ночное время. Если надо, для отдельных приложений ограничения убираются. Я знаю, что на некоторых устройствах эти ограничения можно обойти. На смартфонах моих детей я таких возможностей не увидел, так что всё работает корректно.

🔹На компьютерах установлен Kaspersky Safe Kids. Сразу скажу, что мне не очень нравится это приложение. Оно иногда глючит, не передаёт статистику или изменение настроек. Но лучше я ничего не нашёл. С помощью этого приложения настраивается дневное ограничение экранного времени, доступ к некоторым приложениям (играм), ограничение на доступ к сайтам по категориям, ночные часы блокировки компьютера. В основном отключается доступ к сервисам с видео, пока не сделаны уроки, если были случаи, когда уроки не делались вовремя.

Kaspersky Safe Kids можно установить и на смартфон, но я не пробовал. Меня полностью устраивает то, как работает Family link. Видя, как Safe Kids глючит на компе, подозреваю, что на смартфоне он тоже будет работать так себе.

Ещё несколько инструментов, которые я пробовал, но отказался от них из-за того, что представленные выше показались проще в обслуживании и удобнее.

◽️Межсетевой экран ИКС. Есть бесплатная версия на 9 пользователей. Для дома этого хватает. Выступает в роли прокси с возможностью ограничения доступа к сайтам, в том числе по времени. Банально стало лень заниматься ещё одним сервером. И так нагрузки хватает.

◽️Libki. Отдельный self-hosted сервис, который позволяет настроить ограничение времени, проведённого за компьютером с привязкой к пользователю. Ограничивает не только максимальное время за компьютером, но и интервал непрерывного пользования. То есть можно установить, что компьютером можно пользоваться 2 часа в день, но при этом не дольше, чем одним интервалом в час с обязательным перерывом в 2 часа.

◽️Kid Control в Mikrotik. Позволяет ограничивать устройствам доступ в интернет по интервалам времени. Закрывал с его помощью доступ в интернет детям в ночное время.

Перечисленные выше сервисы перестал использовать, потому что Family link и Kaspersky Safe Kids полностью перекрывают их функциональность. В целом эта связка проще, чем какая-либо другая из тех, что я знаю.

В такие темы обычно приходят бездетные моралисты и начинают рассказывать, что путь ограничений неверный, дети потом будут тебе мстить за ограничения и т.д. Такое мнение имеет право быть, доступ своим детям, когда они появятся, в сеть и к гаджетам не ограничивайте. Мой опыт и опыт других сознательных родителей говорит, что это надо делать. При этом я максимально либерален в этих вопросах. Если все обязанности по учёбе и домашним делам ребёнок выполняет, он практически свободно пользуется гаджетами в рамках возрастных ограничений, за исключением времени сна.

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

———
ServerAdmin: 📱 Telegram | 🌐 Сайт | 📲 MAX 😩

#дети

🛡 LLM, Guardrails и Zero Trust:
вебинары о безопасной работе с ИИ

➡️ 15 сентября
Как защитить чувствительные данные при работе с LLM с помощью Guardrails

Эксперты Cloud․ru расскажут о том, как Guardrails помогают контролировать данные, которые передаются модели: персональные данные, API-ключи, внутренние идентификаторы и другую чувствительную информацию. А еще покажут, как встроить Guardrails Filter в процессы.

Зарегистрироваться

➡️ 17 сентября
ИИ в облаке: кто отвечает за безопасность

Эксперты Cloud․ru разберут, как выстроить безопасную ИИ-инфраструктуру без лишних рисков. Отдельно обсудят подход Zero Trust: расскажут, как контролировать доступ к данным, моделям и сервисам в облаке.

Зарегистрироваться

Если вы работаете с LLM, GenAI-сервисами или строите ИИ-инфраструктуру в облаке — присоединяйтесь.

▶️ Очередная подборка авторских IT роликов, которые я лично посмотрел и посчитал интересными/полезными. Это видео из моих подписок за последнее время (обычно беру период в 2 недели), что мне понравились.

⇨ Я перестал гнаться за ИИ. Теперь строю только то, что мне действительно нужно
Смотрел одно время видео этого автора. С вами почти не делился, потому что не считал их полезными. При просмотре думал, ну и дурдом он построил с этими агентами, которых с десяток и каждый что-то делает, исследует, ошибается, ломается и т.д. И всё ради мнимого повышения производительности и гонки за новыми технологиями. В итоге автор просто загнал себя и теперь отдыхает. ИИ-агенты реально повышают когнитивную нагрузку и высасывают энергию. Я из-за этого вообще перестал покупать подписки. Эта гонка за токенами и результатом выматывает. Мне для нормальной жизни как-будто всё это и не особо надо.

⇨ ИИ агенты на сервере Proxmox и не только. Про агентов на примере Hermess Agent и Deepseek Harness
Для тех, кто ещё в обойме ИИ-движухи 😁 На самом деле видео хорошо как раз тем, что можно просто послушать и погрузиться в тему, не занимаясь этим самостоятельно и не тратя силы и время. Можно на прогулке послушать. Я обычно так и смотрю все эти видео. Агентов слишком много развелось. Я поначалу пробовал некоторые, а теперь бросил. OpenCode, как золотая середина, оптимальный выбор.

⇨ My Daily Tech Stack: Apps and Tools I Actually Use
Люблю такие видео, когда специалисты рассказывают про свои инструменты. Чаще всего что-то интересное и для себя присматриваешь. Автор рассказал про Obsidian, Ghostty, Starship, Pi Agent, OpenWhispr, Colima, Zed, Orca, ntfy.

⇨ 7 вещей, которые стоит установить на новый сервер Proxmox
Проходное видео ради видео, для себя лично ничего полезного не увидел, но кому-то может быть полезно, кто не знаком с инструментами, про которые рассказывает автор: lm-sensors, nvme-cli, smartmontools, iperf3, ethtool, NUT, ProxMenux. Я всё это и так знаю и использую.

⇨ Как взламывают пароли — Kali Linux, Hydra и Hashcat
Наглядный пример того, как работают автоматизированные brute-force атаки с помощью легендарной hydra. Не знаю, насколько она ещё актуальна в наши дни. В видео ничего особенного, просто пример того, как это может работать, для тех, кто даже не имеет представления, что это такое.

⇨ Домашний сервер: что внутри и зачем он мне? | Homelab 2026
Ещё одно видео про домашний сервер от нового для меня автора. Мне понравились его история, монтаж и грустные глаза. А какие они ещё могут быть у человека которому: "Каждый вечер прилетает отчёт, показывающий полную статистику по потребляемому трафику в моей домашней сети". Цитата из видео. Желание настроить вот это всё ещё и дома - профдеформация увлечённых айтишников. Это одновременно и увлекает, приносит удовольствие, и выматывает. У меня дома уже появился полноценный серверный шкаф с гудящим оборудованием внутри.
В ролике рассказ о Proxmox, Nginx Proxy Manager, Dockhand, Portainer, Dozzle, Authelia, Gitea, Pulse, Beszel, Uptime Kuma, UniFi, AdGuard Home, NordVPN, n8n, SearXNG, MeTube, Plex, SkySend, PhotoPrism, Open WebUI, Excalidraw, Stirling PDF, Outline.

⇨ Ollama и LM Studio больше не нужны? Я протестировал Unsloth Studio
Обзор нового проекта Unsloth Studio для запуска LLM на своих ПК. Судя по обзору, это максимально дружелюбное для пользователя приложение. Ставится как обычная программа на винду, сильно разбираться в нюансах не надо. Программа сама подбирает подходящие модели под железо, качает их и запускает. По сути это продвинутая версия LM Studio, которой я сейчас пользуюсь. Если есть комп с современной видеокартой и хочется поиграться с локальными LLM - Unsloth Studio будет хорошим выбором для этого.

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

———
ServerAdmin: 📱 Telegram | 🌐 Сайт | 📲 MAX 😩

#видео

🤖 DevOps в эпоху AI трансформации: что работает уже сейчас!

17 сентября Сбер собирает DevOps-инженеров, SRE и платформенные команды на встречу о том, как AI меняет работу с инфраструктурой, релизами и безопасностью.

Обсудим:
🔘Platform Engineering и IDP: как строить внутренние платформы без лишней сложности
🔘Agentic engineering: каких агентов уже можно доверить пайплайнам
🔘Security на скорости: как закрывать уязвимости, когда счет идет на часы

Своим опытом поделятся практики из Авито, Сбера, Cloud․ru и Т-Банка.

Встречаемся 17 сентября в 17:00 в Сбер.Среде (Москва, Земляной Вал 9А) или онлайн. Мест всего 150 — успей занять своё по ссылке!

Записал для вас небольшое видео прямо на смартфон одним кадром, так что не судите строго. Я вообще не занимаюсь съёмками и монтажом. Просто хотелось поделиться необычным впечатлением.

Я из ностальгических соображений собрал из старого железа системник под Windows XP. Установил туда софт того времени и немного посидел за ним. И меня очень впечатлил отклик системы и общая производительность. Несмотря на то, что всё работает на обычном HDD, которому лет 10-15, система ведёт себя очень шустро.

Программы запускаются практически мгновенно. Нет подлагов на файловых операциях. Ты сидишь и прям кайфуешь от работы. У меня относительно новый комп на базе DDR4 и платформы того времени, NVME диск, 32 гига оперативы. Всех ресурсов с избытком, но такого отклика системы и приложений нет. Всё работает чуть медленнее. Заметно даже на банальном просмотре фоток через встроенный просмотрщик в Windows 11. В XP этот листинг картинок всё равно немного быстрее, хотя и на моём компе не скажешь, что он тормозит, но глазу всё равно заметна разница.

Прогресс в развитии компьютерного железа и систем за последние 20 лет огромный. Но такой параметр, как отзывчивость системы как-будто вообще не рассматривается. Софт стал тяжёлый, отзывчивость упала даже на современном железе. Запускаешь Фотошоп и ждёшь несколько секунд пока он прогрузится. Это длится дольше, чем 20 лет назад.

———
ServerAdmin: 📱 Telegram | 🌐 Сайт | 📲 MAX 😩

#железо