Хочу обсудить с вами одну тему, так как думаю, она актуальна для многих читателей и в том числе для меня лично. По статистике сайта и ВК аудитория 35+ преобладает над всеми остальными. Это более 50% всех читателей. В TG нет такой статистики, но думаю, что она схожа.

Навеяло тему вот это видео:

⇨ Университет пережиток прошлого? Нужен ли вуз DevOps да и любому айтишнику.

В целом, я согласен со всеми доводами автора. Если кратко, то он за образование в ВУЗе практически во всех ситуациях. Это будет только польза, даже если не доучиться. Но с другой стороны у меня есть много примеров, когда по большому счёту очное вузовское образование и не нужно было.

1️⃣ Приведу первый свежий пример, который меня заставил в своё время призадуматься. Один знакомый, далёкий от айти, попросил совета по поводу сына. У него сын учился в 10-м классе. Самостоятельно увлёкся программированием. Сам обучался, освоил неплохо. Начал работать и зарабатывать приличные деньги. Стал писать софт под iOS. Уже в начале 11-го класса одними подработками он получал доход больше отца и полностью сам себя обеспечивал.

Собственно, отец ко мне и обратился с советом, как быть. Сын не хотел поступать в ВУЗ, а хотел продолжать учёбу по теме программирования и работать. А отец переживал, что сейчас врубят санкции, iOS заблокируют и сын останется ни с чем – без работы и без образования. Он не понимал, что это универсальный навык . Научившись реальному программированию, сын без работы уже не останется.

Я только успокоил, что переживать смысла нет. А что насчёт ВУЗа, не знаю. Да, лучше, наверное, отучиться, но насильно не заставишь, когда человек уже познал вкус заработка. К тому же есть явное увлечение своей деятельностью, способность к самообразованию, раз он сам всё освоил и развивается. Думаю, в таком случае продуктивнее реально начать работать, учиться где-то на специальных курсах, чтобы углубить свои навыки, и ВУЗ заканчивать заочно. Мне кажется, это будет более продуктивно, нежели идти на дневное обучение на 5,5 лет. Работать полноценно не получится. Я сам работал, знаю это. Да и по теме современной разработки он вряд ли что-то в ВУЗе узнает.

2️⃣ Второй пример – мой хороший знакомый. Пошёл куда-то учиться, с первого курса вылетел. Попал в армию. Пришёл из армии, начал самостоятельно осваивать 1С. Через некоторое время устроился программистом на небольшую зарплату. Так и раскрутился, стал нормальным 1С программистом. Неплохо зарабатывает этим на жизнь. Уже по ходу работы отучился где-то для корочки заочно да и всё. Возникает закономерный вопрос, нужен ли был ему ВУЗ, чтобы стать программистом 1С?

Я в итоге думаю так. Если нет каких-то особых событий в жизни, ребёнок планово учится в школе, ещё толком не знает, чем будет заниматься, но есть склонности к IT, то стоит идти, как и большинство, в ВУЗ. А если есть какие-то явные таланты, стремления, что человек в школе уже работает и зарабатывает, то можно отойти от этой линии и придумать какой-то альтернативный вариант. И та же история с приятелем. Если уж не получилось в своё время закончить ВУЗ, то можно не цепляться за очное обучение, а искать какие-то другие варианты. А корочку всегда можно заочно получить. Сейчас это вообще очень просто делается. Куча ВУЗов работают только на это – платишь деньги, платишь за написание диплома и спокойно получаешь корочку какого-то проходного заведения.

Что думаете по этому поводу? Особенно интересно мнение тех, у кого дети сейчас 15-16 лет и остро стоит подобный вопрос.

#дети

После прошлой истории с ddos захотелось проработать какое-то готовое универсальное решение, чтобы можно было его быстро применить, а не придумывать разные способы. В комментариях люди писали, что надо было установить fail2ban, какой-нибудь WAF или что-то в этом роде. Это всё слабо поможет, если идёт большая нагрузка. Fail2ban сразу мимо, забываем про него. А WAF или какой-то фильтрующий сервер надо настраивать заранее, а не когда у вас единственную машину ддосят.

Я взял наиболее простой и быстрый с точки зрения производительности вариант: ipset + iptables. Если ваш канал и сервер в целом вывозят нагрузку и вас не блокирует провайдер, указанная связка будет наиболее лёгкой и эффективной с точки зрения потребления ресурсов.

Сначала хотел что-то простое набросать, но потом всё расширял и расширял возможности. В итоге родился довольно большой bash скрипт с некоторыми проверками и логированием. Рассказываю, что он делает:

1️⃣ Проверяет установку ipset, создаёт списки.
2️⃣ Проверяет установку rsyslog, чтобы логировать заблокированные подключения. Это нужно на момент отладки и в обычное время, когда нет ддоса. Если начали ддосить, логирование надо отключить.
3️⃣ Создаёт конфигурацию rsyslog для хранения логов в отдельных файлах. Настраивает ротацию через logrotate.
4️⃣ Дальше идут переменные, касающиеся правил iptables: имя и ip адрес WAN интерфейса, белый список IP, с которых разрешено всё, разрешённые TCP и UDP порты, на которые мы принимаем соединения. Всё остальное блокируем.
5️⃣ Дальше идут наборы правил:
- очистка всех правил
- запрет всего, что не разрешено явно
- разрешаем установленные соединения
- разрешаем localhost и icmp
- разрешаем исходящие соединения сервера
- разрешаем все соединения от белого списка
- блокируем неопознанные и нулевые пакеты
- блокируем новые соединения без статуса NEW
- блокируем списки ipset, которые формируются ниже
- добавляем в список тех, кто открывает более 10-ти соединений с сервером в течении секунды, логируем таких товарищей
- разрешаем доступ к открытым портам, в данном примере это порты 80, 443 TCP и 443 UDP
- тех, кто обращается к другим портам, добавляем в список ipset
- сохраняю все правила в файл

Сразу скажу, что я не занимался плотной отладкой этого набора правил в реальной ситуации. Набросал правила на основе своего опыта и протестировал в ручном режиме. Под реальной нагрузкой и спамом запросов не проверял.

Для проверки работы надо установить на сервере iptables, ipset, rsyslog:

# apt install iptables ipset rsyslog

Скопировать и заполнить переменные в bash скрипте. Особое внимание уделить переменным WAN, WAN_IP, WLIST, WPORT_TCP, WPORT_UDP. На основе них будут сформированы правила iptables. Отдельного правила для SSH я не делал. Подразумевается, что подключаться куда-либо кроме открытых 80 и 443 портов можно только из списка WLIST. Туда можно добавлять IP адреса или подсети через запятую.

После выполнения скрипта, смотрим правила iptables:

# iptables -L -v -n

Проверял работу так. Установил веб сервер. Попробовал с другой машины подключиться к серверу через telnet на любой отличный от HTTP порт:

# telnet 85.143.173.182 23

Получил бан с занесением в список BANPORT. Смотреть этот список так:

# ipset -L BANPORT

Далее установил ab и попробовал спам запросов в 50 потоков к веб серверу:

# ab -c 50 -n 30000 "http://85.143.173.182/"

Получил бан с занесением в список BANDDOS. Оба бана были отражены в лог файлах ipset_portscan.log и ipset_ddos.log. При этом если ничего из описанного выше не делать, а просто ходить на веб сайт, доступ открыт, всё работает нормально.

⚡️На работающем сервере запускать такие скрипты не рекомендую, особенно если нет доступа к консоли. Сначала проверьте и отладьте на тестовой виртуалке. Убедитесь, что не отрубаете себе доступ. В целом, тут небольшой и относительно простой набор правил.

⇨ Забрать скрипт iptables.sh

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

#iptables #ipset #ddos

▶️ Очередная подборка авторских IT роликов, которые я лично посмотрел и посчитал интересными/полезными. Это видео из моих подписок за последнее время (обычно беру период в 2 недели), что мне понравились.

⇨ Файловый сервер Linux. Корзина (Recycle) №4
Продолжение цикла видео про настройку файлового сервера Linux. Ранее я уже публиковал видео из этого цикла, можно посмотреть их в канале автора. Хороший разбор функциональности корзины Samba с примерами и разбором конфигурации. Хорошая серия получилось, её бы в текстовый формат перевести.

⇨ Angie VS HAProxy: кто быстрее?
Сравнение производительности двух указанных продуктов в режиме прокси. Как и ожидалось, однозначный вывод и сравнение сделать трудно, так как всё сильно разнится в зависимости от шифрования, размера передаваемых данных и т.д. Каких-то явных преимуществ одного над другим нет.

⇨ FreeIPA - Powerful User and Device Control through Identity, Permissions, and Auditing
Очень подробный обзор FreeIPA фактически с нуля для новичков. Автор взял голую VPS и всё там настроил от IP адреса и до Firewall и доступа по VPN внешним клиентом для управления службой каталогов.

⇨ Как измерить скорость локальной сети? Локальный speedtest
Автор показал пример использования локальных iperf, openspeedtest и librespeed для тестирования скорости в локальной сети.

⇨ How To Install Zabbix 7.4 With PostgreSQL and TimescaleDB
Свежее подробное руководство по настройке указанного стека. Если у вас нет реальной нужды в TimescaleDB, то лучше не используйте её. Я сначала для экономии места везде стал втыкать, но это осложняет эксплуатацию. С обновлением возникают нюансы. Если у вас база небольшая и по нагрузке нормально всё вытягиваете, не включайте расширение TimescaleDB.

⇨ Бюджетный wi-fi 7! миф или реальность? #xiaomi be3600
Интересное видео на тему того, как автор решал вопрос полного покрытия Wifi в арендованной квартире, где нельзя тянуть кабели. Плюс обзор xiaomi be3600, который стоит сейчас 3-4 т.р.

⇨ Jellyfin - медиа сервер. Домашний кинотеатр. Удобный, простой и современный. Обзор и настройка.
Обзор медиасервера для дома Jellyfin. Я лично дома уже лет 15 использую встроенный от Synology. Меня устраивает для обычного просмотра фильмов на телевизоре по сети.

⇨ Протокол TCP: установка соединения | Компьютерные сети 2025 - 30
⇨ Протокол TCP - скользящее окно | Компьютерные сети 2025 - 29
Очередные обновлённые уроки хорошего бесплатного курса по сетям от Созыкина Андрея.

⇨ ТЕСТИРУЕМ последние Нейросети для программирования! Апрель 2025
Очередной ролик про тестирование нейронок в написании реального ПО. Мне уже не очень интересно было, так как смотрел на такую же тему предыдущие видео. Если вы их не видели, возможно вам будет интересно. Сейчас можно писать простые прикладные программы вообще не разбираясь в программировании. Только силами ИИ. Многие уже этим пользуются, читал такие истории.

⇨ What software runs in my HomeLab in 2025?
В прошлой подборке был обзор железа этого блогера, теперь софт в его домашней лаборатории. Интересное и информативное видео. В принципе, там всё плюс-минус как у всех: Proxmox, Docker, Kubernetes (k3s), Sophos в качестве файрвола, Unraid для хранения (грузит его с usb), Traefik, Prometheus, Gitlab и т.д.

⇨ What's on my Home Server 2025
Ещё один обзор домашнего софта популярного блогера. Тут очень хорошо всё оформлено: название продукта и обзор интерфейса. По 2-3 минуты на каждый. Тут тоже привычный набор: Homepage, Immich, Jellyfin, Nextcloud, Uptime Kuma, Vaultwarden и т.д. Из любопытного, автор рассказал, что для своего окружения он отказался от Ansible после перехода на NixOS, где состав и настройка системы описывается конфигурационным файлом. По этой же причине он не использует контейнеры, а вместо них модули NixOS. Вообще, интересный опыт. Я особо не погружался в NixOS. Надо будет посмотреть.

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

#видео