📦 Linux: Наводим порядок в Docker — удаляем «висячие» ресурсы

Коллеги, признавайтесь: как часто вы заходите на сервер и обнаруживаете, что Docker сожрал всё место образами годичной давности и остановленными контейнерами, которые «может еще пригодятся»? В 2026-м контейнеризация повсюду, и мусор в /var/lib/docker — это главная причина алертов по дискам.

Не нужно удалять всё по отдельности. Есть одна команда-швейцарский нож, которая вычистит всё лишнее, не сломав работающий прод.

Магическая команда для терминала:

# Удаляем неиспользуемые контейнеры, сети и "висячие" (dangling) образы
docker system prune -f

# А если нужно вычистить ВООБЩЕ всё неиспользуемое (включая старые тома)
docker system prune -a --volumes -f

Чтобы не плодить сущности. Каждый docker build оставляет после себя слои, а каждый docker stop — мертвое тело контейнера. Регулярный запуск этой команды (лучше в cron раз в неделю) экономит десятки гигабайт и избавляет от путаницы при просмотре списка образов.

Вывод: Чистый Docker — залог быстрого деплоя. Не превращайте свой сервер в кладбище контейнеров.

#linux #docker #devops #cleanup #sysadmin #admin_future

🔐 Security: Почему пароль из 20 символов хуже, чем 2FA

Поговорим о безопасности. Многие до сих пор заставляют пользователей менять пароли каждые 30 дней и использовать "сложные" комбинации типа `P@ssw0rd123!`. В 2026 году это не защита, а имитация. Мощности видеокарт позволяют перебирать такие пароли за считанные часы, а пользователи просто записывают их на стикеры.

Почему длина — не панацея:

1. Человеческий фактор: Сложный пароль = забытый пароль. Это лишние тикеты в саппорт.
2. Фишинг: Хакеру плевать на сложность вашего пароля, если вы сами ввели его на поддельной странице.
3. Утечки: Если база скомпрометирована, длина пароля лишь немного оттянет момент его расшифровки.

Что делать:

* Внедряй 2FA/MFA: Даже самый простой одноразовый код в приложении в 100 раз эффективнее пароля в 50 символов.
* Переходи на Passkeys: Технология беспарольного входа по биометрии или ключам безопасности — это стандарт будущего.
* Используй Passphrases: Если нужен пароль, пусть это будет фраза из 4-5 случайных слов. Её легче запомнить человеку и сложнее подобрать машине.

Вывод: Безопасность должна быть удобной. Если система заставляет юзера страдать, он найдет способ её обойти. Будьте умнее злоумышленников.

#security #cybersec #bestpractices #mfa #sysadmin #admin_future

📁 Windows: Проверяем, кто заблокировал файл через PowerShell

Знакомая боль: пытаешься удалить лог или переместить папку, а Windows выдает издевательское «Файл открыт в другой программе». И сидишь гадаешь — то ли это антивирус, то ли забытая сессия коллеги, то ли сам сервер решил придержать файл «на память».

Раньше мы качали Unlocker или Process Explorer, но в 2026-м всё, что нам нужно, уже есть в системе.

Скрипт для поиска «виновника» (запускай от админа):

# Ищем процесс, который держит файл (замените путь на свой)
$LockedFile = "C:\inetpub\logs\LogFiles\u_ex260401.log"

Get-Process | Where-Object { 
    $_.Modules.FileName -contains $LockedFile -or $_.HandleCount -gt 0 
} | Select-Object Name, Id, Description | Format-Table -AutoSize

Примечание: Если файл заблокирован системой, используйте команду `handle.exe` из пакета Sysinternals — это база.

Чтобы не гадать и не ребутать весь сервер ради одного файла. Часто виновником оказывается зависший агент бэкапа или старая сессия PowerShell, которую вы сами же забыли закрыть. Пять секунд — и вы знаете, какой PID нужно «прибить».

Инструменты админа стали точнее. Не нужно сносить дерево, если мешает одна ветка.

#windows #powershell #troubleshooting #sysadmin #files #admin_future

🐧 Linux: Забудь про netstat, твой новый лучший друг — ss

Коллеги, если вы до сих пор по привычке набираете `netstat -tulpn` на сервере с современным Linux, вы зря тратите процессорное время (и свое тоже). Команда `netstat` официально устарела, медленно парсит `/proc` и не вытягивает современные нагрузки.

В 2026 году стандарт де-факто — это утилита `ss` (Socket Statistics). Она общается напрямую с ядром через Netlink, поэтому работает молниеносно даже на серверах с десятками тысяч открытых соединений.

Синтаксис почти тот же, но возможностей больше:

# Классика: показать все слушающие порты (TCP/UDP) с процессами
ss -tulnp

# Найти все established соединения на 443 порт (считаем клиентов)
ss -tan state established '( sport = :443 )'

# Показать сводную статистику по сокетам (кто съел лимиты)
ss -s

При DDoS-атаке или мощном всплеске трафика `netstat` может просто зависнуть, пытаясь прочитать статус тысяч сокетов. `ss` отдаст вам результат мгновенно, позволив быстро заблокировать проблемные IP через iptables/nftables.

Привычки — это хорошо, но ИТ не стоит на месте. Переучиваем мышечную память на две буквы `ss`.

#linux #networking #troubleshooting #sysadmin #ss #admin_future

🛡️ Windows: Аудит элитного клуба — мониторим Domain Admins через PowerShell

Доверие — это отлично, но контроль — лучше. Особенно если дело касается группы Domain Admins. Представьте: в вашей инфраструктуре есть только два легитимных администратора — условные Bogdan и Roman. А в один прекрасный день скрипт показывает третьего. Это либо взлом, либо кто-то временно выдал права техподдержке и забыл забрать. В 2026 году такие инциденты стоят бизнесу миллионы.

Вместо того чтобы кликать мышкой по оснастке Active Directory, повесьте в планировщик задач простой скрипт, который будет следить за изменениями.

Скрипт мониторинга критичной группы:

$Domain = "domain.local"
$GroupName = "Domain Admins"
$AllowedAdmins = @("adm1", "adm1", "adm3")

# Получаем текущий состав группы
$CurrentMembers = Get-ADGroupMember -Identity $GroupName -Server $Domain | Select-Object -ExpandProperty SamAccountName

# Ищем чужаков
$Unauthorized = $CurrentMembers | Where-Object { $_ -notin $AllowedAdmins }

if ($Unauthorized) {
    Write-Warning "⚠️ АЛАРМ! Найдены неавторизованные пользователи в Domain Admins: $($Unauthorized -join ', ')"
    # Здесь можно добавить код отправки алерта в Telegram или на почту
} else {
    Write-Host "✅ Состав группы Domain Admins в норме." -ForegroundColor Green
}

Группа политик безопасности (GPO) не всегда спасет, если учетка скомпрометирована. Автоматический аудит критически важных групп — это ваш первый рубеж обнаружения внутренних угроз.
Безопасность домена начинается с понимания того, у кого от него ключи.

#windows #powershell #activedirectory #security #audit #admin_future

🧱 Skills: Правило нулевого доверия и «Искусство комментариев» в фаерволе

Неважно, настраиваете вы сложный кластер на Linux (iptables/nftables) или пишете ruleset для маршрутизатора (вроде MikroTik) — есть одно железное правило, отличающее джуниора от мидла.

Любое разрешающее правило без комментария — это потенциальная уязвимость.

Сценарий: Вы открыли порт 3389 для вендора, который настраивал софт. Дело было в пятницу вечером. Прошло полгода. Вы смотрите в конфиг фаервола и видите chain=forward action=accept dst-port=3389 protocol=tcp. Кто это просил? Зачем? Актуально ли это сейчас? Удалять страшно (вдруг сломается прод), оставлять — опасно (открытый RDP в 2026-м — это билет в клуб жертв шифровальщиков).

Как делать правильно:
1. Default Deny: Последнее правило всегда `Drop All`. Разрешено только то, что явно описано выше.
2. Формат комментария: `[Дата] - [Кто запросил/Номер тикета] - [Причина]`.
* Пример: "2026-04-03 - Ticket#1024 - Доступ вендору CRM к базе данных. Удалить 01.05.26"
3. Группировка: Разделяйте правила на смысловые блоки: Management, Internal, DMZ, Outbound.

Для вашего спокойствия и легкой передачи дел. Инфраструктура, которую нельзя прочитать как открытую книгу, считается техническим долгом.

Фаервол — это не просто стена. Это КПП, где в журнале должен быть записан каждый, кому выдали пропуск.

#skills #firewall #security #networking #bestpractices #admin_future

🥷 Секретные материалы: Воскрешаем удаленный файл из небытия (Linux)

Коллеги, ситуация — ночной кошмар. Вы чистили место на сервере и случайно сделали `rm -rf` не в той директории. Удалили критически важный лог, конфиг, а то и рабочий файл базы данных. Бэкап был вчера. Паника? Заявление по собственному?

Стоп. Если процесс, который работал с этим файлом, всё ещё запущен и держит его открытым, файл физически жив. Linux не удаляет данные с диска, пока на inode есть хотя бы одна ссылка (в данном случае — файловый дескриптор в оперативной памяти ядра).

Показываю «черную магию» системного администрирования — как достать удаленный файл прямо из подсистемы `/proc`.

Шаг 1: Находим, кто держит наш файл
Допустим, мы удалили access.log. Ищем процесс, который его писал:

lsof | grep deleted

Вы увидите примерно такую строку:
nginx 12345 root 3w REG 8,1 5000000 123456 /var/log/nginx/access.log (deleted)

Нам нужны две цифры: PID процесса (12345) и номер файлового дескриптора — FD (**3**, буква 'w' значит write).

Шаг 2: Ныряем в /proc
В Linux всё является файлом, включая сами процессы. Переходим в системную директорию этого процесса:

cd /proc/12345/fd

Если сделать ls -l, вы увидите симлинк под номером 3, указывающий на наш удаленный файл.

Шаг 3: Воскрешение
Не пытайтесь сделать mv или редактировать этот линк. Мы просто копируем живое содержимое дескриптора обратно на диск:

cp 3 /var/log/nginx/access.log

После этого нужно мягко перезапустить сервис (например, `systemctl reload nginx`), чтобы он отпустил старый дескриптор, "забыл" удаленный файл и подхватил наш восстановленный.

Это фундаментальное знание архитектуры VFS (Virtual File System), которое однажды спасет вам карьеру. Никаких сторонних утилит для восстановления данных вроде `testdisk` или `photorec`. Главное правило — если удалили нужный файл, НИ В КОЕМ СЛУЧАЕ не убивайте сервис, который с ним работал!

#linux #darkarts #recovery #sysadmin #magic #admin_future

🕵️‍♂️ Windows: Режим Бога без сторонних утилит (SYSTEM Shell)

Иногда прав обычного Администратора не хватает. Например, чтобы принудительно убить защищенный процесс зависшего антивируса, удалить заблокированную ветку реестра или прочитать дампы. Нужны абсолютные права высшего уровня — NT AUTHORITY\SYSTEM.

Обычно для этого качают утилиту PsExec от Марка Руссиновича (psexec -i -s cmd.exe). Но что если скачивать ничего нельзя? Сервер полностью изолирован, интернет закрыт политиками, а флешки заблокированы DLP-системой.

Получаем SYSTEM-консоль встроенными, легальными средствами Windows.

Используем Планировщик задач (Task Scheduler):
Создадим задачу, которая запустит командную строку от имени системного аккаунта в интерактивном режиме, тут же ее вызовем и удалим следы.

Вставьте это в обычную консоль (запущенную от имени администратора):

1. Создаем задачу, запускающую cmd.exe от имени SYSTEM (/RU "SYSTEM")
schtasks /create /tn "GodMode" /tr "cmd.exe" /sc onstart /ru "SYSTEM" /it

2. Принудительно запускаем ее прямо сейчас
schtasks /run /tn "GodMode"

3. Подметаем за собой следы в планировщике
schtasks /delete /tn "GodMode" /f

(Параметр /it здесь ключевой — он заставляет задачу взаимодействовать с рабочим столом текущего пользователя. Без него процесс просто повиснет скрытым фоном в диспетчере задач.)

На вашем экране мгновенно откроется новое черное окно командной строки. Напишите там whoami. Вы увидите заветное nt authority\system.

Для хардкорного траблшутинга на изолированных хостах. В этом окне у вас абсолютная власть над операционной системой. Вы можете обойти ограничения UAC, останавливать «не останавливаемые» службы и редактировать защищенные системные файлы. Пользоваться с крайней осторожностью, так как "защиты от дурака" на этом уровне привилегий больше не существует.

#windows #security #system #cmd #sysadmin #admin_future

🧠 Skills: Совершенно секретный талант админа — «Техническая телепатия» и искусство трансляции

Коллеги, мы много говорим про скрытые ключи реестра, недокументированные флаги утилит и обход сетевых ограничений. Но самый мощный, по-настоящему секретный и редко встречающийся талант системного инженера лежит вообще не в плоскости консоли или кода.

Это способность работать «переводчиком» между хаосом человеческого общения и строгой машинной логикой.

В чем суть таланта?
Это умение за 30 секунд перевести панический крик «У нас всё сломалось, никого не пускает!» в холодное понимание: ага, это всего лишь некорректно отработала групповая политика, отрезав нужным группам права на локальный вход.

Но высший пилотаж начинается там, где заканчивается работа руками и включается архитектурное видение с правильным делегированием.

Как это выглядит на практике:
Допустим, перед вами стоит масштабная задача: перетряхнуть права доступа и GPO во всем домене makshel.local. Обычный админ откроет оснастку и пойдет в одиночку править Restricted Groups, рискуя поломать половину инфраструктуры.

Админ, владеющий секретным талантом, действует как дирижер:

1. Синхронизация: Сначала он садится с ключевыми коллегами (например, обсуждает архитектурные тонкости с Богданом Кудряшовым), чтобы на уровне логики продумать, какие политики к какому конкретно OU (Organizational Unit) нужно линковать.

2. Декомпозиция: Затем он переводит эти абстрактные договоренности в кристально четкие шаги.

3. Трансляция: И, наконец, формулирует идеальный таск для исполнителя (скажем, для Романа): «Создать GPO, запрещающую логон через RDP, привязать к OU 'Workstations', включить туда такие-то учетки. Логи в приложении».

Почему это важнее быстрого набора команд:

— Исключение "испорченного телефона": Когда задача описана языком конечного результата, вероятность ошибки стремится к нулю.
— Самодокументируемость: Идеально сформулированная задача в трекере — это уже на 80% готовая статья для корпоративной базы знаний (Wiki).
— Масштабируемость: Твои руки могут напечатать ограниченное количество скриптов в день. Но твой мозг, правильно распределяющий задачи внутри команды, способен построить и удержать дата-центр.

Вывод: В 2026 году нейросети прекрасно пишут PowerShell-скрипты. Но они до сих пор не умеют извлекать истинную суть проблемы из обрывков чатов и правильно координировать живых инженеров. Прокачивайте этот скилл — именно он превращает рядового сисадмина в незаменимого IT-архитектора.

Что на самом деле произошло с Telegram 1 апреля

Коллеги, если первого апреля вы решили, что проблемы с доступом к Telegram — это чья-то неудачная шутка или локальный сбой маршрутизации, то реальность оказалась куда серьезнее. Это был спланированный удар от РКН, и мы с вами наблюдали одну из самых технически интересных схваток этого года.

Давайте разберем инцидент по слоям.

Как развивалась атака:
В полночь 1 апреля на оборудование ТСПУ начали прилетать правила жесткой блокировки всех IP-подсетей мессенджера. Никакого искусственного замедления — только полный сброс соединений на сетевом уровне.
Одновременно с этим вендоры систем DPI развернули новые эвристические алгоритмы. Они научились безошибочно детектировать MTProxy, работающий в режиме Fake-TLS. Как итог, тысячи прокси-серверов по всей стране легли за считанные минуты.

В чем была техническая загвоздка:
DPI сменил тактику. Анализаторы перестали смотреть исключительно на серверную часть и начали жестко профилировать поведение клиента при установке соединения.
Выяснилось, что Telegram формирует пакет приветствия не так, как это делают стандартные браузеры вроде Chrome или Safari. Паттерн TLS ClientHello у мессенджера имел специфический отпечаток. Системы DPI начали отлавливать эту аномалию и резать сессии по клиентскому фингерпринту.

Ответ комьюнити:
Разработчики из проекта telemt (одна из ведущих реализаций MTProxy на Rust) разобрали дамп трафика и локализовали проблему за несколько часов. В тот же день исследователь alexbers продемонстрировал концепт: если модифицировать ClientHello в самом приложении Telegram, замаскировав его под стандартный браузерный запрос, DPI пропускает трафик.

Команда мессенджера отреагировала с беспрецедентной скоростью. На GitHub оперативно открыли pull request, и уже 3 апреля в релиз ушел Telegram Desktop версии 6.7.2 с нужным фиксом ClientHello для работы с EE-MTProxy. Обновление сразу покрыло Windows, Linux и macOS.
На сегодняшний день исправление уже внедрено в бета-версию Android 12.6.4. Клиент для iOS пока висит на проверке в Apple.

Последствия для инфраструктуры:
Пока инженеры чинили протоколы, ковровые блокировки VPN-протоколов зацепили смежные отрасли. Павел Дуров отметил в своем заявлении, что попытки заблокировать трафик привели к кратковременному банковскому кризису — во многих местах отвалились терминалы оплаты, и наличные деньги внезапно стали единственным рабочим средством расчета.
По его статистике, 65 миллионов россиян ежедневно используют Telegram через VPN. Дуров резюмировал ситуацию коротко: «Добро пожаловать обратно в цифровое сопротивление».

Итог:
Блокировщики долго готовили комбинированный удар по IP-адресации и сигнатурам MTProxy. Однако open-source сообщество провело реверс-инжиниринг новых правил DPI за 48 часов, а разработчики доставили патч конечным пользователям за 72 часа.

Гонка систем глубокого анализа трафика и методов маскировки продолжается. Проверяйте версии своих клиентов и следите за тем, как ваш корпоративный трафик проходит через шлюзы.

#telegram #networking #dpi #mtproxy #security #rkn #admin_future

Ушел из жизни Артем Бровков (Fuze) из Krec

Коллеги, сегодня не про серверы и не про код. К сожалению, пришли тяжелые новости. 2 апреля 2026 года в возрасте 46 лет погиб основатель и лидер петербургской рэп-группы Krec Артем Бровков, более известный под псевдонимом Fuze.

Обстоятельства трагедии:
Причиной смерти стала серьезная автомобильная авария. Информацию в социальных сетях подтвердила его супруга Валентина Березкина. Она написала, что Артем попал в страшное ДТП, врачи боролись за его жизнь и сделали все возможное, но спасти музыканта не удалось.

Известно, что в последние годы Артем проживал в Нью-Йорке, а в марте 2025 года был внесен Минюстом РФ в реестр иностранных агентов.

Творческое наследие:
Артем был ключевой фигурой в российском хип-хопе и бессменным автором текстов Krec с момента основания коллектива в 2001 году. Для многих из нас, чья юность и первые бессонные ночи за настройкой сетей проходили в нулевых, его лирика стала саундтреком целой эпохи.

Треки Нежность, Еле дыша и По реке навсегда останутся в наших плейлистах как по-настоящему народные хиты.

Светлая память. Сегодня вечером есть повод немного отвлечься от консоли и включить старые альбомы.

#krec #fuze #новости #артембровков #музыка #происшествия #admin_future

🐧 Linux: Забываем про sudo. Встречаем run0 от systemd

Коллеги, если вы думали, что systemd уже поглотил все что мог, то вы ошибались. В современных дистрибутивах разработчики добрались до святая святых — утилиты sudo. Встречайте: run0. В 2026 году это новый стандарт повышения привилегий.

Почему sudo устарел:

Классический sudo существует десятилетиями. Его главная проблема — он опирается на SUID-биты (Set-user-ID). Это огромная кодовая база, работающая с правами root. Любая уязвимость в sudo — это моментальный взлом всей системы, что мы уже не раз наблюдали в истории кибербезопасности.

Как работает run0:

— Без SUID: run0 вообще не использует SUID-бинарники.
— Временная песочница: Он просит диспетчер служб systemd создать временный изолированный контекст (pty) и запускает процесс там.
— Интеграция с polkit: Права проверяются через штатный механизм polkit, а не через громоздкий конфигурационный файл sudoers.
— Визуальный контроль: Когда вы работаете через run0, терминал меняет цвет фона (например, на красноватый оттенок), чтобы вы физически видели, что находитесь в режиме бога и любые команды могут быть фатальны.

Как попробовать:
Если у вас дистрибутив с systemd версии 256 и выше, просто напишите в консоли:

run0 bash

Эра sudo медленно, но верно уходит. Меньше кода, меньше площадь атаки, больше интеграции с базовой системой. Привыкаем к новому синтаксису и безопасному повышению прав.

#linux #systemd #run0 #security #sysadmin #admin_future

🔄 Windows: Hotpatching — обновления без перезагрузки сервера

Аптайм Windows серверов исторически измерялся интервалами между вторниками патчей. В 2026 году с выходом Windows Server 2025 концепция полностью изменилась. Теперь мы можем обновлять систему, не прерывая работу служб. Технология называется Hotpatching.

Как это работает:

Hotpatching модифицирует код исполняемых процессов прямо в оперативной памяти. Вам больше не нужно перезапускать процесс, приложение или саму операционную систему после установки критического патча безопасности. Пакеты обновлений стали в разы меньше и устанавливаются практически мгновенно.

Нюансы, о которых нужно знать:

— Только безопасность: Горячие патчи доставляют только критические исправления безопасности. Функциональные апдейты по-прежнему работают по старой схеме.
— Четыре перезагрузки в год: Полностью избавиться от ребутов не выйдет. Базовые обновления, требующие перезагрузки, будут приходить ежеквартально (в январе, апреле, июле и октябре). Остальные 8 месяцев инфраструктура работает без прерываний.
— Архитектурные требования: Для работы функции сервер должен поддерживать Virtualization-Based Security (VBS) и быть подключен к Azure Arc, так как функция распространяется по подписочной модели с тарификацией за ядро.

Выходные сисадмина больше не принадлежат полосам загрузки сервера. Даже несмотря на требования к подписке, энтерпрайз с радостью принимает эти правила игры ради отсутствия даунтаймов в середине рабочего дня.

#windows #windowsserver #hotpatching #update #sysadmin #admin_future

🧠 Skills: Культура Blameless Post-Mortem — как чинить системы, а не людей

Все падают. Даже инфраструктура технологических гигантов периодически ложится отдыхать. Отличие сильной IT-команды от слабой заключается не в количестве инцидентов, а в том, что происходит на следующий день. В 2026 году метод поиска крайнего инженера — это прямой путь к деградации инфраструктуры. Встречайте концепцию Blameless Post-Mortem (Безобвинительный разбор инцидентов) из практик SRE.

Что это такое:

Это документ и встреча, цель которых — понять ПОЧЕМУ произошел сбой, а не КТО его устроил. Главный принцип: мы исходим из того, что каждый сотрудник в момент инцидента действовал с хорошими намерениями и принимал оптимальные решения на основе той информации и инструментов, которые у него были.

Как провести правильный Post-Mortem:

— Запрет на слово КТО: Вместо «Кто удалил боевую базу данных?» мы спрашиваем «Какая последовательность действий привела к удалению?» и «Почему система позволила это сделать без подтверждения?».
— Хронология — это база: Соберите точный таймлайн. Во сколько пришел алерт, когда начали чинить, когда восстановили. Только сухие факты из систем мониторинга и рабочих чатов без эмоциональных окрасов.
— План действий: Итогом должен стать список системных задач в трекере. Например: «Настроить права доступа так, чтобы деструктивные команды не работали на проде без апрува второго администратора».

Если за ошибку наказывают, инженеры начинают скрывать проблемы и не зовут на помощь до последнего. В культуре Blameless люди сами приходят и говорят: «Я нашел уязвимый процесс в наших регламентах, давайте закроем дыру, пока не рвануло».

Ваша задача как сисадмина и архитектора — строить отказоустойчивые системы. А самая ненадежная деталь системы — это уставший человек с правами высшего уровня. Защищайте людей от систем, а системы от людей.

#skills #sre #postmortem #management #devops #admin_future

🐧 Linux: Прощай, ext4? Bcachefs как новый стандарт файловых систем

Коллеги, мы десятилетиями сидели на сверхнадежной, но морально устаревшей ext4. Когда нам нужны были снапшоты и работа с несколькими дисками, мы собирали сложные конструкции из LVM, mdadm и ext4, либо уходили на тяжеловесную ZFS, которая до сих пор живет вне основного ядра Linux из-за лицензий.

К 2026 году ситуация изменилась. Файловая система Bcachefs окончательно стабилизировалась в ядре и начала вытеснять конкурентов.

Что такое Bcachefs:
Ее называют «ZFS для бедных», но на деле это современная Copy-on-Write (CoW) файловая система, которая изначально писалась с прицелом на максимальную производительность и чистоту кода.

Главные фишки для админа:

— Нативная работа с несколькими дисками: Больше не нужен RAID. Вы просто отдаете файловой системе два диска, и она сама зеркалирует данные.
— Тиринг (Caching): Можно объединить быстрый NVMe-накопитель и медленный HDD. Bcachefs сама будет держать горячие данные на SSD, а холодные архивы сбрасывать на жесткий диск.
— Встроенная компрессия и шифрование: Делается на лету силами самой файловой системы, без настройки dm-crypt или LUKS.

Как попробовать:

При форматировании раздела достаточно указать новый тип (если ваше ядро свежее):
mkfs.bcachefs /dev/sda1 /dev/sdb1

Эпоха наслоения технологий (RAID + LVM + FileSystem) уходит. Bcachefs берет все эти функции на себя, работая прямо из коробки ядра Linux. Если вы планируете разворачивать новые файловые хранилища, самое время тестировать этот инструмент.

#linux #bcachefs #storage #filesystem #sysadmin #admin_future

🪟 Windows: Официальный sudo — конец эпохи лишних окон консоли

Мы только что обсуждали, как Linux избавляется от sudo в пользу run0. Иронично, но в мире Windows происходит ровно обратное. В Windows 11 и Windows Server 2025 утилита sudo стала официальной встроенной частью операционной системы.

Вы открыли обычный PowerShell, пишите скрипт, пытаетесь перезапустить службу, и получаете Access Denied. Приходилось тянуться за мышкой, искать ярлык PowerShell, нажимать «Запуск от имени администратора», копировать туда команду и выполнять.

Microsoft добавила нативный sudo. Прямо в текущем окне с правами обычного пользователя вы пишете:
sudo Restart-Service -Name W3SVC

В настройках системы (Settings — For developers — Enable sudo) админ может выбрать один из трех режимов работы:
1. В новом окне (In a new window) — классическое поведение Windows.
2. С отключенным вводом (With input disabled) — команда выполнится в этом же окне, но не сможет запрашивать у вас дополнительные данные (безопасный режим для скриптов).
3. Встроенный (Inline) — полная аналогия с Linux. Команда выполняется прямо здесь и сейчас, весь вывод идет в текущую консоль.

Для удобства и скорости. Если вы много работаете в терминале Windows Terminal, вам больше не нужно жонглировать вкладками с разными уровнями привилегий.

Границы между администрированием Windows и Linux продолжают стираться. Консоль становится универсальным и удобным местом для работы.

#windows #sudo #cli #powershell #sysadmin #admin_future

🧹 Windows: Уборка в лесу — ищем GPO-призраки через PowerShell

Коллеги, в любом домене со временем накапливается мусор. Мы создаем тестовые политики, применяем их, а потом забываем удалить. Когда приходит время провести масштабную реструктуризацию политик и передать часть функционала коллеге, этот мусор сильно мешает и путает.

Скрипт ниже найдет все групповые политики, которые либо полностью отключены, либо никуда не привязаны.

Код для PowerShell:

$AllGPOs = Get-GPO -All
foreach ($GPO in $AllGPOs) {
$Report = Get-GPOReport -Guid $GPO.Id -ReportType Xml
if ($GPO.GpoStatus -eq 'AllSettingsDisabled' -or $Report -notmatch 'LinksTo') {
Write-Host "Кандидат на удаление: " $GPO.DisplayName}
}

Чистый Active Directory работает быстрее и предсказуемее. Любая реструктуризация GPO должна начинаться с удаления всего, что не работает и просто висит мертвым грузом.

#windows #powershell #activedirectory #gpo #sysadmin #admin_future

🛡️ Network: Автоматическая чистка неактивных пиров WireGuard на MikroTik

WireGuard шикарен, но у него есть особенность: он работает без классических сессий. Из-за этого сложно сходу понять, жив ли пир (клиент) или ключ давно скомпрометирован и валяется без дела. Если у вас подняты десятки туннелей, нужен скрипт, который будет отслеживать активность.

Давайте напишем код для RouterOS, который проверяет время последнего рукопожатия и выключает пир, если его не было слишком долго.

Код для RouterOS (добавляем в System Scripts и ставим в Scheduler):

:local maxIdleDays 30;
/interface wireguard peers
:foreach peer in=[find] do={
:local lastHandshake [get $peer last-handshake];
:if ([:len $lastHandshake] > 0) do={
:local idleTime ([/system clock get time] - $lastHandshake);
:if ($idleTime > "30d 00:00:00") do={
disable $peer;
:log warning ("Отключен неактивный WireGuard пир");
}
}
}

Для жесточайшей гигиены периметра. Неиспользуемые доступы — главная дыра в безопасности. Если подрядчик уволился, а вы забыли закрыть доступ, этот скрипт подстрахует вашу сеть.

#mikrotik #routeros #wireguard #networking #security #admin_future

🚌 Skills: «Фактор автобуса» — главный риск, о котором молчат сисадмины

Представьте ситуацию: вы единственный, кто знает, как работает связка вашей базы данных, DMZ-зоны и хитрого скрипта очистки логов. А теперь представьте, что вы выиграли в лотерею и улетели на острова без связи. Или, что менее приятно, попали под автобус (отсюда и термин Bus Factor).

Фактор автобуса — это количество людей в команде, которых нужно потерять, чтобы IT-инфраструктура компании полностью встала. Если этот фактор равен единице (только вы), это катастрофа и для бизнеса, и лично для вас.

Почему это вредит лично вам:

— Невозможно уйти в нормальный отпуск. Телефон будет звонить даже на пляже.
— Невозможно пойти на повышение. Вас банально некем заменить на текущем месте, вы стали заложником собственной инфраструктуры.
— Выгорание. Вы несете ответственность за все системы 24 на 7.

Как повышать Bus Factor в 2026 году:

— Пароли: Никаких личных блокнотов и файлов на рабочем столе. Только корпоративный менеджер паролей с доступом для коллег.
— Документация: Описывайте не только «как сделать», но и «почему мы сделали именно так».
— Перекрестное обучение: Возьмите за правило раз в неделю садиться с коллегой и показывать ему одну из ваших систем. Разбирали вчера архитектуру DMZ-сервера? Проведите мини-презентацию для отдела.

Незаменимых людей нет, есть люди, после ухода которых приходится всё перестраивать с нуля. Делитесь знаниями и не будьте узким горлышком своей инфраструктуры.

#skills #management #busfactor #sysadmin #bestpractices #admin_future

🐧 Linux: Хватит раскидывать ключи ssh-rsa. Переходим на SSH-сертификаты

Коллеги, управлять ключами SSH даже в небольшой команде — это боль. Мы генерируем ключи, копируем их в authorized_keys на десятки серверов. А когда администратор увольняется или теряет ноутбук, мы судорожно пытаемся вспомнить, на каких именно машинах нужно срочно зачистить его доступы. В 2026 году такой подход — это дыра в безопасности.

Современный стандарт — настройка внутреннего удостоверяющего центра (CA) для SSH.

Как это работает:

— Вы генерируете одну пару ключей для Удостоверяющего Центра (CA).
— Публичный ключ CA кладется на все ваши серверы в конфигурацию sshd.
— Когда инженеру нужен доступ, он отправляет свой публичный ключ на CA.
— CA выдает ему подписанный сертификат, в котором жестко указано: кому он выдан и сколько времени он действует (например, ровно 8 часов).

Зачем это нужно:
У вас на серверах больше нет файла authorized_keys с десятками непонятных строк. Вы полностью избавляетесь от процесса отзыва доступов. Если человек ушел в отпуск или уволился — его сертификат просто истекает к концу рабочего дня и превращается в тыкву. Взлом ноутбука инженера на выходных больше не дает хакеру ключи от всего продакшена.

Настроить SSH CA можно за пару часов встроенными средствами OpenSSH. Это тот самый случай, когда внедрение крутой безопасности делает жизнь админа проще, а не сложнее.

#linux #ssh #security #sysadmin #bestpractices #admin_future

🪟 Windows: Обновляем весь зоопарк софта одной командой через WinGet

Раньше для централизованного обновления стороннего софта (браузеры, архиваторы, мессенджеры) на парке машин мы использовали тяжеловесные решения вроде SCCM, сторонние патч-менеджеры или писали километровые скрипты-обертки.

Сейчас все стало гораздо элегантнее. Встроенный пакетный менеджер WinGet давно оброс мускулами и отлично справляется с этой задачей через консоль.

Скрипт для PowerShell (запускать от администратора):

winget upgrade --all --silent --accept-package-agreements --accept-source-agreements

Как это работает:

Команда проверяет абсолютно все установленные приложения, сравнивает их версии с официальными репозиториями и в тихом режиме (без окон установки) накатывает свежие патчи, автоматически соглашаясь с лицензионными условиями.

Уязвимости нулевого дня в браузерах и PDF-читалках — это любимый вектор атак шифровальщиков. Повесьте этот скрипт в Планировщик задач на компьютерах пользователей, например, на обеденное время среды. Система сама закроет 90% дыр в стороннем софте без вашего ручного вмешательства.

#windows #powershell #winget #automation #sysadmin #admin_future