🥷 Секретные материалы: Воскрешаем удаленный файл из небытия (Linux)
Коллеги, ситуация — ночной кошмар. Вы чистили место на сервере и случайно сделали `rm -rf` не в той директории. Удалили критически важный лог, конфиг, а то и рабочий файл базы данных. Бэкап был вчера. Паника? Заявление по собственному?
Стоп. Если процесс, который работал с этим файлом, всё ещё запущен и держит его открытым, файл физически жив. Linux не удаляет данные с диска, пока на inode есть хотя бы одна ссылка (в данном случае — файловый дескриптор в оперативной памяти ядра).
Шаг 1: Находим, кто держит наш файл
Допустим, мы удалили
Вы увидите примерно такую строку:
Нам нужны две цифры: PID процесса (12345) и номер файлового дескриптора — FD (**3**, буква 'w' значит write).
Шаг 2: Ныряем в /proc
В Linux всё является файлом, включая сами процессы. Переходим в системную директорию этого процесса:
Если сделать
Шаг 3: Воскрешение
Не пытайтесь сделать
#linux #darkarts #recovery #sysadmin #magic #admin_future
Коллеги, ситуация — ночной кошмар. Вы чистили место на сервере и случайно сделали `rm -rf` не в той директории. Удалили критически важный лог, конфиг, а то и рабочий файл базы данных. Бэкап был вчера. Паника? Заявление по собственному?
Стоп. Если процесс, который работал с этим файлом, всё ещё запущен и держит его открытым, файл физически жив. Linux не удаляет данные с диска, пока на inode есть хотя бы одна ссылка (в данном случае — файловый дескриптор в оперативной памяти ядра).
Показываю «черную магию» системного администрирования — как достать удаленный файл прямо из подсистемы `/proc`.
Шаг 1: Находим, кто держит наш файл
Допустим, мы удалили
access.log. Ищем процесс, который его писал:
lsof | grep deleted
Вы увидите примерно такую строку:
nginx 12345 root 3w REG 8,1 5000000 123456 /var/log/nginx/access.log (deleted)Нам нужны две цифры: PID процесса (12345) и номер файлового дескриптора — FD (**3**, буква 'w' значит write).
Шаг 2: Ныряем в /proc
В Linux всё является файлом, включая сами процессы. Переходим в системную директорию этого процесса:
cd /proc/12345/fd
Если сделать
ls -l, вы увидите симлинк под номером 3, указывающий на наш удаленный файл.Шаг 3: Воскрешение
Не пытайтесь сделать
mv или редактировать этот линк. Мы просто копируем живое содержимое дескриптора обратно на диск:
cp 3 /var/log/nginx/access.log
После этого нужно мягко перезапустить сервис (например, `systemctl reload nginx`), чтобы он отпустил старый дескриптор, "забыл" удаленный файл и подхватил наш восстановленный.
Это фундаментальное знание архитектуры VFS (Virtual File System), которое однажды спасет вам карьеру. Никаких сторонних утилит для восстановления данных вроде `testdisk` или `photorec`. Главное правило — если удалили нужный файл, НИ В КОЕМ СЛУЧАЕ не убивайте сервис, который с ним работал!
#linux #darkarts #recovery #sysadmin #magic #admin_future
✍1
🕵️♂️ Windows: Режим Бога без сторонних утилит (SYSTEM Shell)
Иногда прав обычного Администратора не хватает. Например, чтобы принудительно убить защищенный процесс зависшего антивируса, удалить заблокированную ветку реестра или прочитать дампы. Нужны абсолютные права высшего уровня — NT AUTHORITY\SYSTEM.
Обычно для этого качают утилиту PsExec от Марка Руссиновича (psexec -i -s cmd.exe). Но что если скачивать ничего нельзя? Сервер полностью изолирован, интернет закрыт политиками, а флешки заблокированы DLP-системой.
Получаем SYSTEM-консоль встроенными, легальными средствами Windows.
Используем Планировщик задач (Task Scheduler):
Создадим задачу, которая запустит командную строку от имени системного аккаунта в интерактивном режиме, тут же ее вызовем и удалим следы.
Вставьте это в обычную консоль (запущенную от имени администратора):
(Параметр /it здесь ключевой — он заставляет задачу взаимодействовать с рабочим столом текущего пользователя. Без него процесс просто повиснет скрытым фоном в диспетчере задач.)
#windows #security #system #cmd #sysadmin #admin_future
Иногда прав обычного Администратора не хватает. Например, чтобы принудительно убить защищенный процесс зависшего антивируса, удалить заблокированную ветку реестра или прочитать дампы. Нужны абсолютные права высшего уровня — NT AUTHORITY\SYSTEM.
Обычно для этого качают утилиту PsExec от Марка Руссиновича (psexec -i -s cmd.exe). Но что если скачивать ничего нельзя? Сервер полностью изолирован, интернет закрыт политиками, а флешки заблокированы DLP-системой.
Получаем SYSTEM-консоль встроенными, легальными средствами Windows.
Используем Планировщик задач (Task Scheduler):
Создадим задачу, которая запустит командную строку от имени системного аккаунта в интерактивном режиме, тут же ее вызовем и удалим следы.
Вставьте это в обычную консоль (запущенную от имени администратора):
1. Создаем задачу, запускающую cmd.exe от имени SYSTEM (/RU "SYSTEM")
schtasks /create /tn "GodMode" /tr "cmd.exe" /sc onstart /ru "SYSTEM" /it
2. Принудительно запускаем ее прямо сейчас
schtasks /run /tn "GodMode"
3. Подметаем за собой следы в планировщике
schtasks /delete /tn "GodMode" /f
(Параметр /it здесь ключевой — он заставляет задачу взаимодействовать с рабочим столом текущего пользователя. Без него процесс просто повиснет скрытым фоном в диспетчере задач.)
На вашем экране мгновенно откроется новое черное окно командной строки. Напишите там whoami. Вы увидите заветное nt authority\system.
Для хардкорного траблшутинга на изолированных хостах. В этом окне у вас абсолютная власть над операционной системой. Вы можете обойти ограничения UAC, останавливать «не останавливаемые» службы и редактировать защищенные системные файлы. Пользоваться с крайней осторожностью, так как "защиты от дурака" на этом уровне привилегий больше не существует.
#windows #security #system #cmd #sysadmin #admin_future
🔥3✍1
🧠 Skills: Совершенно секретный талант админа — «Техническая телепатия» и искусство трансляции
Коллеги, мы много говорим про скрытые ключи реестра, недокументированные флаги утилит и обход сетевых ограничений. Но самый мощный, по-настоящему секретный и редко встречающийся талант системного инженера лежит вообще не в плоскости консоли или кода.
Это способность работать «переводчиком» между хаосом человеческого общения и строгой машинной логикой.
В чем суть таланта?
Это умение за 30 секунд перевести панический крик «У нас всё сломалось, никого не пускает!» в холодное понимание: ага, это всего лишь некорректно отработала групповая политика, отрезав нужным группам права на локальный вход.
Но высший пилотаж начинается там, где заканчивается работа руками и включается архитектурное видение с правильным делегированием.
Как это выглядит на практике:
Допустим, перед вами стоит масштабная задача: перетряхнуть права доступа и GPO во всем домене makshel.local. Обычный админ откроет оснастку и пойдет в одиночку править Restricted Groups, рискуя поломать половину инфраструктуры.
Админ, владеющий секретным талантом, действует как дирижер:
Почему это важнее быстрого набора команд:
— Исключение "испорченного телефона": Когда задача описана языком конечного результата, вероятность ошибки стремится к нулю.
— Самодокументируемость: Идеально сформулированная задача в трекере — это уже на 80% готовая статья для корпоративной базы знаний (Wiki).
— Масштабируемость: Твои руки могут напечатать ограниченное количество скриптов в день. Но твой мозг, правильно распределяющий задачи внутри команды, способен построить и удержать дата-центр.
Вывод: В 2026 году нейросети прекрасно пишут PowerShell-скрипты. Но они до сих пор не умеют извлекать истинную суть проблемы из обрывков чатов и правильно координировать живых инженеров. Прокачивайте этот скилл — именно он превращает рядового сисадмина в незаменимого IT-архитектора.
Коллеги, мы много говорим про скрытые ключи реестра, недокументированные флаги утилит и обход сетевых ограничений. Но самый мощный, по-настоящему секретный и редко встречающийся талант системного инженера лежит вообще не в плоскости консоли или кода.
Это способность работать «переводчиком» между хаосом человеческого общения и строгой машинной логикой.
В чем суть таланта?
Это умение за 30 секунд перевести панический крик «У нас всё сломалось, никого не пускает!» в холодное понимание: ага, это всего лишь некорректно отработала групповая политика, отрезав нужным группам права на локальный вход.
Но высший пилотаж начинается там, где заканчивается работа руками и включается архитектурное видение с правильным делегированием.
Как это выглядит на практике:
Допустим, перед вами стоит масштабная задача: перетряхнуть права доступа и GPO во всем домене makshel.local. Обычный админ откроет оснастку и пойдет в одиночку править Restricted Groups, рискуя поломать половину инфраструктуры.
Админ, владеющий секретным талантом, действует как дирижер:
1. Синхронизация: Сначала он садится с ключевыми коллегами (например, обсуждает архитектурные тонкости с Богданом Кудряшовым), чтобы на уровне логики продумать, какие политики к какому конкретно OU (Organizational Unit) нужно линковать.
2. Декомпозиция: Затем он переводит эти абстрактные договоренности в кристально четкие шаги.
3. Трансляция: И, наконец, формулирует идеальный таск для исполнителя (скажем, для Романа): «Создать GPO, запрещающую логон через RDP, привязать к OU 'Workstations', включить туда такие-то учетки. Логи в приложении».
Почему это важнее быстрого набора команд:
— Исключение "испорченного телефона": Когда задача описана языком конечного результата, вероятность ошибки стремится к нулю.
— Самодокументируемость: Идеально сформулированная задача в трекере — это уже на 80% готовая статья для корпоративной базы знаний (Wiki).
— Масштабируемость: Твои руки могут напечатать ограниченное количество скриптов в день. Но твой мозг, правильно распределяющий задачи внутри команды, способен построить и удержать дата-центр.
Вывод: В 2026 году нейросети прекрасно пишут PowerShell-скрипты. Но они до сих пор не умеют извлекать истинную суть проблемы из обрывков чатов и правильно координировать живых инженеров. Прокачивайте этот скилл — именно он превращает рядового сисадмина в незаменимого IT-архитектора.
🔥1
Что на самом деле произошло с Telegram 1 апреля
Коллеги, если первого апреля вы решили, что проблемы с доступом к Telegram — это чья-то неудачная шутка или локальный сбой маршрутизации, то реальность оказалась куда серьезнее. Это был спланированный удар от РКН, и мы с вами наблюдали одну из самых технически интересных схваток этого года.
Давайте разберем инцидент по слоям.
Как развивалась атака:
В полночь 1 апреля на оборудование ТСПУ начали прилетать правила жесткой блокировки всех IP-подсетей мессенджера. Никакого искусственного замедления — только полный сброс соединений на сетевом уровне.
Одновременно с этим вендоры систем DPI развернули новые эвристические алгоритмы. Они научились безошибочно детектировать MTProxy, работающий в режиме Fake-TLS. Как итог, тысячи прокси-серверов по всей стране легли за считанные минуты.
В чем была техническая загвоздка:
DPI сменил тактику. Анализаторы перестали смотреть исключительно на серверную часть и начали жестко профилировать поведение клиента при установке соединения.
Выяснилось, что Telegram формирует пакет приветствия не так, как это делают стандартные браузеры вроде Chrome или Safari. Паттерн TLS ClientHello у мессенджера имел специфический отпечаток. Системы DPI начали отлавливать эту аномалию и резать сессии по клиентскому фингерпринту.
Ответ комьюнити:
Разработчики из проекта telemt (одна из ведущих реализаций MTProxy на Rust) разобрали дамп трафика и локализовали проблему за несколько часов. В тот же день исследователь alexbers продемонстрировал концепт: если модифицировать ClientHello в самом приложении Telegram, замаскировав его под стандартный браузерный запрос, DPI пропускает трафик.
Команда мессенджера отреагировала с беспрецедентной скоростью. На GitHub оперативно открыли pull request, и уже 3 апреля в релиз ушел Telegram Desktop версии 6.7.2 с нужным фиксом ClientHello для работы с EE-MTProxy. Обновление сразу покрыло Windows, Linux и macOS.
На сегодняшний день исправление уже внедрено в бета-версию Android 12.6.4. Клиент для iOS пока висит на проверке в Apple.
Последствия для инфраструктуры:
Пока инженеры чинили протоколы, ковровые блокировки VPN-протоколов зацепили смежные отрасли. Павел Дуров отметил в своем заявлении, что попытки заблокировать трафик привели к кратковременному банковскому кризису — во многих местах отвалились терминалы оплаты, и наличные деньги внезапно стали единственным рабочим средством расчета.
По его статистике, 65 миллионов россиян ежедневно используют Telegram через VPN. Дуров резюмировал ситуацию коротко: «Добро пожаловать обратно в цифровое сопротивление».
Итог:
Блокировщики долго готовили комбинированный удар по IP-адресации и сигнатурам MTProxy. Однако open-source сообщество провело реверс-инжиниринг новых правил DPI за 48 часов, а разработчики доставили патч конечным пользователям за 72 часа.
Гонка систем глубокого анализа трафика и методов маскировки продолжается. Проверяйте версии своих клиентов и следите за тем, как ваш корпоративный трафик проходит через шлюзы.
#telegram #networking #dpi #mtproxy #security #rkn #admin_future
Коллеги, если первого апреля вы решили, что проблемы с доступом к Telegram — это чья-то неудачная шутка или локальный сбой маршрутизации, то реальность оказалась куда серьезнее. Это был спланированный удар от РКН, и мы с вами наблюдали одну из самых технически интересных схваток этого года.
Давайте разберем инцидент по слоям.
Как развивалась атака:
В полночь 1 апреля на оборудование ТСПУ начали прилетать правила жесткой блокировки всех IP-подсетей мессенджера. Никакого искусственного замедления — только полный сброс соединений на сетевом уровне.
Одновременно с этим вендоры систем DPI развернули новые эвристические алгоритмы. Они научились безошибочно детектировать MTProxy, работающий в режиме Fake-TLS. Как итог, тысячи прокси-серверов по всей стране легли за считанные минуты.
В чем была техническая загвоздка:
DPI сменил тактику. Анализаторы перестали смотреть исключительно на серверную часть и начали жестко профилировать поведение клиента при установке соединения.
Выяснилось, что Telegram формирует пакет приветствия не так, как это делают стандартные браузеры вроде Chrome или Safari. Паттерн TLS ClientHello у мессенджера имел специфический отпечаток. Системы DPI начали отлавливать эту аномалию и резать сессии по клиентскому фингерпринту.
Ответ комьюнити:
Разработчики из проекта telemt (одна из ведущих реализаций MTProxy на Rust) разобрали дамп трафика и локализовали проблему за несколько часов. В тот же день исследователь alexbers продемонстрировал концепт: если модифицировать ClientHello в самом приложении Telegram, замаскировав его под стандартный браузерный запрос, DPI пропускает трафик.
Команда мессенджера отреагировала с беспрецедентной скоростью. На GitHub оперативно открыли pull request, и уже 3 апреля в релиз ушел Telegram Desktop версии 6.7.2 с нужным фиксом ClientHello для работы с EE-MTProxy. Обновление сразу покрыло Windows, Linux и macOS.
На сегодняшний день исправление уже внедрено в бета-версию Android 12.6.4. Клиент для iOS пока висит на проверке в Apple.
Последствия для инфраструктуры:
Пока инженеры чинили протоколы, ковровые блокировки VPN-протоколов зацепили смежные отрасли. Павел Дуров отметил в своем заявлении, что попытки заблокировать трафик привели к кратковременному банковскому кризису — во многих местах отвалились терминалы оплаты, и наличные деньги внезапно стали единственным рабочим средством расчета.
По его статистике, 65 миллионов россиян ежедневно используют Telegram через VPN. Дуров резюмировал ситуацию коротко: «Добро пожаловать обратно в цифровое сопротивление».
Итог:
Блокировщики долго готовили комбинированный удар по IP-адресации и сигнатурам MTProxy. Однако open-source сообщество провело реверс-инжиниринг новых правил DPI за 48 часов, а разработчики доставили патч конечным пользователям за 72 часа.
Гонка систем глубокого анализа трафика и методов маскировки продолжается. Проверяйте версии своих клиентов и следите за тем, как ваш корпоративный трафик проходит через шлюзы.
#telegram #networking #dpi #mtproxy #security #rkn #admin_future
Ушел из жизни Артем Бровков (Fuze) из Krec
Коллеги, сегодня не про серверы и не про код. К сожалению, пришли тяжелые новости. 2 апреля 2026 года в возрасте 46 лет погиб основатель и лидер петербургской рэп-группы Krec Артем Бровков, более известный под псевдонимом Fuze.
Обстоятельства трагедии:
Причиной смерти стала серьезная автомобильная авария. Информацию в социальных сетях подтвердила его супруга Валентина Березкина. Она написала, что Артем попал в страшное ДТП, врачи боролись за его жизнь и сделали все возможное, но спасти музыканта не удалось.
Известно, что в последние годы Артем проживал в Нью-Йорке, а в марте 2025 года был внесен Минюстом РФ в реестр иностранных агентов.
Творческое наследие:
Артем был ключевой фигурой в российском хип-хопе и бессменным автором текстов Krec с момента основания коллектива в 2001 году. Для многих из нас, чья юность и первые бессонные ночи за настройкой сетей проходили в нулевых, его лирика стала саундтреком целой эпохи.
Треки Нежность, Еле дыша и По реке навсегда останутся в наших плейлистах как по-настоящему народные хиты.
Светлая память. Сегодня вечером есть повод немного отвлечься от консоли и включить старые альбомы.
#krec #fuze #новости #артембровков #музыка #происшествия #admin_future
Коллеги, сегодня не про серверы и не про код. К сожалению, пришли тяжелые новости. 2 апреля 2026 года в возрасте 46 лет погиб основатель и лидер петербургской рэп-группы Krec Артем Бровков, более известный под псевдонимом Fuze.
Обстоятельства трагедии:
Причиной смерти стала серьезная автомобильная авария. Информацию в социальных сетях подтвердила его супруга Валентина Березкина. Она написала, что Артем попал в страшное ДТП, врачи боролись за его жизнь и сделали все возможное, но спасти музыканта не удалось.
Известно, что в последние годы Артем проживал в Нью-Йорке, а в марте 2025 года был внесен Минюстом РФ в реестр иностранных агентов.
Творческое наследие:
Артем был ключевой фигурой в российском хип-хопе и бессменным автором текстов Krec с момента основания коллектива в 2001 году. Для многих из нас, чья юность и первые бессонные ночи за настройкой сетей проходили в нулевых, его лирика стала саундтреком целой эпохи.
Треки Нежность, Еле дыша и По реке навсегда останутся в наших плейлистах как по-настоящему народные хиты.
Светлая память. Сегодня вечером есть повод немного отвлечься от консоли и включить старые альбомы.
#krec #fuze #новости #артембровков #музыка #происшествия #admin_future
❤2👎1🕊1😭1😨1
🐧 Linux: Забываем про sudo. Встречаем run0 от systemd
Коллеги, если вы думали, что systemd уже поглотил все что мог, то вы ошибались. В современных дистрибутивах разработчики добрались до святая святых — утилиты sudo. Встречайте: run0. В 2026 году это новый стандарт повышения привилегий.
Почему sudo устарел:
Как работает run0:
Как попробовать:
Если у вас дистрибутив с systemd версии 256 и выше, просто напишите в консоли:
#linux #systemd #run0 #security #sysadmin #admin_future
Коллеги, если вы думали, что systemd уже поглотил все что мог, то вы ошибались. В современных дистрибутивах разработчики добрались до святая святых — утилиты sudo. Встречайте: run0. В 2026 году это новый стандарт повышения привилегий.
Почему sudo устарел:
Классический sudo существует десятилетиями. Его главная проблема — он опирается на SUID-биты (Set-user-ID). Это огромная кодовая база, работающая с правами root. Любая уязвимость в sudo — это моментальный взлом всей системы, что мы уже не раз наблюдали в истории кибербезопасности.
Как работает run0:
— Без SUID: run0 вообще не использует SUID-бинарники.
— Временная песочница: Он просит диспетчер служб systemd создать временный изолированный контекст (pty) и запускает процесс там.
— Интеграция с polkit: Права проверяются через штатный механизм polkit, а не через громоздкий конфигурационный файл sudoers.
— Визуальный контроль: Когда вы работаете через run0, терминал меняет цвет фона (например, на красноватый оттенок), чтобы вы физически видели, что находитесь в режиме бога и любые команды могут быть фатальны.
Как попробовать:
Если у вас дистрибутив с systemd версии 256 и выше, просто напишите в консоли:
run0 bash
Эра sudo медленно, но верно уходит. Меньше кода, меньше площадь атаки, больше интеграции с базовой системой. Привыкаем к новому синтаксису и безопасному повышению прав.
#linux #systemd #run0 #security #sysadmin #admin_future
🔄 Windows: Hotpatching — обновления без перезагрузки сервера
Аптайм Windows серверов исторически измерялся интервалами между вторниками патчей. В 2026 году с выходом Windows Server 2025 концепция полностью изменилась. Теперь мы можем обновлять систему, не прерывая работу служб. Технология называется Hotpatching.
Как это работает:
Нюансы, о которых нужно знать:
Выходные сисадмина больше не принадлежат полосам загрузки сервера. Даже несмотря на требования к подписке, энтерпрайз с радостью принимает эти правила игры ради отсутствия даунтаймов в середине рабочего дня.
#windows #windowsserver #hotpatching #update #sysadmin #admin_future
Аптайм Windows серверов исторически измерялся интервалами между вторниками патчей. В 2026 году с выходом Windows Server 2025 концепция полностью изменилась. Теперь мы можем обновлять систему, не прерывая работу служб. Технология называется Hotpatching.
Как это работает:
Hotpatching модифицирует код исполняемых процессов прямо в оперативной памяти. Вам больше не нужно перезапускать процесс, приложение или саму операционную систему после установки критического патча безопасности. Пакеты обновлений стали в разы меньше и устанавливаются практически мгновенно.
Нюансы, о которых нужно знать:
— Только безопасность: Горячие патчи доставляют только критические исправления безопасности. Функциональные апдейты по-прежнему работают по старой схеме.
— Четыре перезагрузки в год: Полностью избавиться от ребутов не выйдет. Базовые обновления, требующие перезагрузки, будут приходить ежеквартально (в январе, апреле, июле и октябре). Остальные 8 месяцев инфраструктура работает без прерываний.
— Архитектурные требования: Для работы функции сервер должен поддерживать Virtualization-Based Security (VBS) и быть подключен к Azure Arc, так как функция распространяется по подписочной модели с тарификацией за ядро.
Выходные сисадмина больше не принадлежат полосам загрузки сервера. Даже несмотря на требования к подписке, энтерпрайз с радостью принимает эти правила игры ради отсутствия даунтаймов в середине рабочего дня.
#windows #windowsserver #hotpatching #update #sysadmin #admin_future
🧠 Skills: Культура Blameless Post-Mortem — как чинить системы, а не людей
Все падают. Даже инфраструктура технологических гигантов периодически ложится отдыхать. Отличие сильной IT-команды от слабой заключается не в количестве инцидентов, а в том, что происходит на следующий день. В 2026 году метод поиска крайнего инженера — это прямой путь к деградации инфраструктуры. Встречайте концепцию Blameless Post-Mortem (Безобвинительный разбор инцидентов) из практик SRE.
Что это такое:
Как провести правильный Post-Mortem:
Если за ошибку наказывают, инженеры начинают скрывать проблемы и не зовут на помощь до последнего. В культуре Blameless люди сами приходят и говорят: «Я нашел уязвимый процесс в наших регламентах, давайте закроем дыру, пока не рвануло».
Ваша задача как сисадмина и архитектора — строить отказоустойчивые системы. А самая ненадежная деталь системы — это уставший человек с правами высшего уровня.Защищайте людей от систем, а системы от людей.
#skills #sre #postmortem #management #devops #admin_future
Все падают. Даже инфраструктура технологических гигантов периодически ложится отдыхать. Отличие сильной IT-команды от слабой заключается не в количестве инцидентов, а в том, что происходит на следующий день. В 2026 году метод поиска крайнего инженера — это прямой путь к деградации инфраструктуры. Встречайте концепцию Blameless Post-Mortem (Безобвинительный разбор инцидентов) из практик SRE.
Что это такое:
Это документ и встреча, цель которых — понять ПОЧЕМУ произошел сбой, а не КТО его устроил. Главный принцип: мы исходим из того, что каждый сотрудник в момент инцидента действовал с хорошими намерениями и принимал оптимальные решения на основе той информации и инструментов, которые у него были.
Как провести правильный Post-Mortem:
— Запрет на слово КТО: Вместо «Кто удалил боевую базу данных?» мы спрашиваем «Какая последовательность действий привела к удалению?» и «Почему система позволила это сделать без подтверждения?».
— Хронология — это база: Соберите точный таймлайн. Во сколько пришел алерт, когда начали чинить, когда восстановили. Только сухие факты из систем мониторинга и рабочих чатов без эмоциональных окрасов.
— План действий: Итогом должен стать список системных задач в трекере. Например: «Настроить права доступа так, чтобы деструктивные команды не работали на проде без апрува второго администратора».
Если за ошибку наказывают, инженеры начинают скрывать проблемы и не зовут на помощь до последнего. В культуре Blameless люди сами приходят и говорят: «Я нашел уязвимый процесс в наших регламентах, давайте закроем дыру, пока не рвануло».
Ваша задача как сисадмина и архитектора — строить отказоустойчивые системы. А самая ненадежная деталь системы — это уставший человек с правами высшего уровня.
#skills #sre #postmortem #management #devops #admin_future
🔥3
🐧 Linux: Прощай, ext4? Bcachefs как новый стандарт файловых систем
Коллеги, мы десятилетиями сидели на сверхнадежной, но морально устаревшей ext4. Когда нам нужны были снапшоты и работа с несколькими дисками, мы собирали сложные конструкции из LVM, mdadm и ext4, либо уходили на тяжеловесную ZFS, которая до сих пор живет вне основного ядра Linux из-за лицензий.
К 2026 году ситуация изменилась. Файловая система Bcachefs окончательно стабилизировалась в ядре и начала вытеснять конкурентов.
Что такое Bcachefs:
Ее называют «ZFS для бедных», но на деле это современная Copy-on-Write (CoW) файловая система, которая изначально писалась с прицелом на максимальную производительность и чистоту кода.
Главные фишки для админа:
Как попробовать:
Эпоха наслоения технологий (RAID + LVM + FileSystem) уходит. Bcachefs берет все эти функции на себя, работая прямо из коробки ядра Linux. Если вы планируете разворачивать новые файловые хранилища, самое время тестировать этот инструмент.
#linux #bcachefs #storage #filesystem #sysadmin #admin_future
Коллеги, мы десятилетиями сидели на сверхнадежной, но морально устаревшей ext4. Когда нам нужны были снапшоты и работа с несколькими дисками, мы собирали сложные конструкции из LVM, mdadm и ext4, либо уходили на тяжеловесную ZFS, которая до сих пор живет вне основного ядра Linux из-за лицензий.
К 2026 году ситуация изменилась. Файловая система Bcachefs окончательно стабилизировалась в ядре и начала вытеснять конкурентов.
Что такое Bcachefs:
Ее называют «ZFS для бедных», но на деле это современная Copy-on-Write (CoW) файловая система, которая изначально писалась с прицелом на максимальную производительность и чистоту кода.
Главные фишки для админа:
— Нативная работа с несколькими дисками: Больше не нужен RAID. Вы просто отдаете файловой системе два диска, и она сама зеркалирует данные.
— Тиринг (Caching): Можно объединить быстрый NVMe-накопитель и медленный HDD. Bcachefs сама будет держать горячие данные на SSD, а холодные архивы сбрасывать на жесткий диск.
— Встроенная компрессия и шифрование: Делается на лету силами самой файловой системы, без настройки dm-crypt или LUKS.
Как попробовать:
При форматировании раздела достаточно указать новый тип (если ваше ядро свежее):
mkfs.bcachefs /dev/sda1 /dev/sdb1
Эпоха наслоения технологий (RAID + LVM + FileSystem) уходит. Bcachefs берет все эти функции на себя, работая прямо из коробки ядра Linux. Если вы планируете разворачивать новые файловые хранилища, самое время тестировать этот инструмент.
#linux #bcachefs #storage #filesystem #sysadmin #admin_future
🪟 Windows: Официальный sudo — конец эпохи лишних окон консоли
Мы только что обсуждали, как Linux избавляется от sudo в пользу run0. Иронично, но в мире Windows происходит ровно обратное. В Windows 11 и Windows Server 2025 утилита sudo стала официальной встроенной частью операционной системы.
Границы между администрированием Windows и Linux продолжают стираться. Консоль становится универсальным и удобным местом для работы.
#windows #sudo #cli #powershell #sysadmin #admin_future
Мы только что обсуждали, как Linux избавляется от sudo в пользу run0. Иронично, но в мире Windows происходит ровно обратное. В Windows 11 и Windows Server 2025 утилита sudo стала официальной встроенной частью операционной системы.
Вы открыли обычный PowerShell, пишите скрипт, пытаетесь перезапустить службу, и получаете Access Denied. Приходилось тянуться за мышкой, искать ярлык PowerShell, нажимать «Запуск от имени администратора», копировать туда команду и выполнять.
Microsoft добавила нативный sudo. Прямо в текущем окне с правами обычного пользователя вы пишете:
sudo Restart-Service -Name W3SVC
В настройках системы (Settings — For developers — Enable sudo) админ может выбрать один из трех режимов работы:
1. В новом окне (In a new window) — классическое поведение Windows.
2. С отключенным вводом (With input disabled) — команда выполнится в этом же окне, но не сможет запрашивать у вас дополнительные данные (безопасный режим для скриптов).
3. Встроенный (Inline) — полная аналогия с Linux. Команда выполняется прямо здесь и сейчас, весь вывод идет в текущую консоль.
Для удобства и скорости. Если вы много работаете в терминале Windows Terminal, вам больше не нужно жонглировать вкладками с разными уровнями привилегий.
Границы между администрированием Windows и Linux продолжают стираться. Консоль становится универсальным и удобным местом для работы.
#windows #sudo #cli #powershell #sysadmin #admin_future
🧹 Windows: Уборка в лесу — ищем GPO-призраки через PowerShell
Коллеги, в любом домене со временем накапливается мусор. Мы создаем тестовые политики, применяем их, а потом забываем удалить. Когда приходит время провести масштабную реструктуризацию политик и передать часть функционала коллеге, этот мусор сильно мешает и путает.
Код для PowerShell:
#windows #powershell #activedirectory #gpo #sysadmin #admin_future
Коллеги, в любом домене со временем накапливается мусор. Мы создаем тестовые политики, применяем их, а потом забываем удалить. Когда приходит время провести масштабную реструктуризацию политик и передать часть функционала коллеге, этот мусор сильно мешает и путает.
Скрипт ниже найдет все групповые политики, которые либо полностью отключены, либо никуда не привязаны.
Код для PowerShell:
$AllGPOs = Get-GPO -All
foreach ($GPO in $AllGPOs) {
$Report = Get-GPOReport -Guid $GPO.Id -ReportType Xml
if ($GPO.GpoStatus -eq 'AllSettingsDisabled' -or $Report -notmatch 'LinksTo') {
Write-Host "Кандидат на удаление: " $GPO.DisplayName}
}
Чистый Active Directory работает быстрее и предсказуемее. Любая реструктуризация GPO должна начинаться с удаления всего, что не работает и просто висит мертвым грузом.
#windows #powershell #activedirectory #gpo #sysadmin #admin_future
🔥1
🛡️ Network: Автоматическая чистка неактивных пиров WireGuard на MikroTik
WireGuard шикарен, но у него есть особенность: он работает без классических сессий. Из-за этого сложно сходу понять, жив ли пир (клиент) или ключ давно скомпрометирован и валяется без дела. Если у вас подняты десятки туннелей, нужен скрипт, который будет отслеживать активность.
Код для RouterOS (добавляем в System Scripts и ставим в Scheduler):
#mikrotik #routeros #wireguard #networking #security #admin_future
WireGuard шикарен, но у него есть особенность: он работает без классических сессий. Из-за этого сложно сходу понять, жив ли пир (клиент) или ключ давно скомпрометирован и валяется без дела. Если у вас подняты десятки туннелей, нужен скрипт, который будет отслеживать активность.
Давайте напишем код для RouterOS, который проверяет время последнего рукопожатия и выключает пир, если его не было слишком долго.
Код для RouterOS (добавляем в System Scripts и ставим в Scheduler):
:local maxIdleDays 30;
/interface wireguard peers
:foreach peer in=[find] do={
:local lastHandshake [get $peer last-handshake];
:if ([:len $lastHandshake] > 0) do={
:local idleTime ([/system clock get time] - $lastHandshake);
:if ($idleTime > "30d 00:00:00") do={
disable $peer;
:log warning ("Отключен неактивный WireGuard пир");
}
}
}
Для жесточайшей гигиены периметра. Неиспользуемые доступы — главная дыра в безопасности. Если подрядчик уволился, а вы забыли закрыть доступ, этот скрипт подстрахует вашу сеть.
#mikrotik #routeros #wireguard #networking #security #admin_future
🚌 Skills: «Фактор автобуса» — главный риск, о котором молчат сисадмины
Представьте ситуацию: вы единственный, кто знает, как работает связка вашей базы данных, DMZ-зоны и хитрого скрипта очистки логов. А теперь представьте, что вы выиграли в лотерею и улетели на острова без связи. Или, что менее приятно, попали под автобус (отсюда и термин Bus Factor).
Почему это вредит лично вам:
Как повышать Bus Factor в 2026 году:
Незаменимых людей нет, есть люди, после ухода которых приходится всё перестраивать с нуля. Делитесь знаниями и не будьте узким горлышком своей инфраструктуры.
#skills #management #busfactor #sysadmin #bestpractices #admin_future
Представьте ситуацию: вы единственный, кто знает, как работает связка вашей базы данных, DMZ-зоны и хитрого скрипта очистки логов. А теперь представьте, что вы выиграли в лотерею и улетели на острова без связи. Или, что менее приятно, попали под автобус (отсюда и термин Bus Factor).
Фактор автобуса — это количество людей в команде, которых нужно потерять, чтобы IT-инфраструктура компании полностью встала. Если этот фактор равен единице (только вы), это катастрофа и для бизнеса, и лично для вас.
Почему это вредит лично вам:
— Невозможно уйти в нормальный отпуск. Телефон будет звонить даже на пляже.
— Невозможно пойти на повышение. Вас банально некем заменить на текущем месте, вы стали заложником собственной инфраструктуры.
— Выгорание. Вы несете ответственность за все системы 24 на 7.
Как повышать Bus Factor в 2026 году:
— Пароли: Никаких личных блокнотов и файлов на рабочем столе. Только корпоративный менеджер паролей с доступом для коллег.
— Документация: Описывайте не только «как сделать», но и «почему мы сделали именно так».
— Перекрестное обучение: Возьмите за правило раз в неделю садиться с коллегой и показывать ему одну из ваших систем. Разбирали вчера архитектуру DMZ-сервера? Проведите мини-презентацию для отдела.
Незаменимых людей нет, есть люди, после ухода которых приходится всё перестраивать с нуля. Делитесь знаниями и не будьте узким горлышком своей инфраструктуры.
#skills #management #busfactor #sysadmin #bestpractices #admin_future
🐧 Linux: Хватит раскидывать ключи ssh-rsa. Переходим на SSH-сертификаты
Коллеги, управлять ключами SSH даже в небольшой команде — это боль. Мы генерируем ключи, копируем их в authorized_keys на десятки серверов. А когда администратор увольняется или теряет ноутбук, мы судорожно пытаемся вспомнить, на каких именно машинах нужно срочно зачистить его доступы. В 2026 году такой подход — это дыра в безопасности.
Современный стандарт — настройка внутреннего удостоверяющего центра (CA) для SSH.
Как это работает:
Зачем это нужно:
У вас на серверах больше нет файла authorized_keys с десятками непонятных строк. Вы полностью избавляетесь от процесса отзыва доступов. Если человек ушел в отпуск или уволился — его сертификат просто истекает к концу рабочего дня и превращается в тыкву. Взлом ноутбука инженера на выходных больше не дает хакеру ключи от всего продакшена.
Настроить SSH CA можно за пару часов встроенными средствами OpenSSH. Это тот самый случай, когда внедрение крутой безопасности делает жизнь админа проще, а не сложнее.
#linux #ssh #security #sysadmin #bestpractices #admin_future
Коллеги, управлять ключами SSH даже в небольшой команде — это боль. Мы генерируем ключи, копируем их в authorized_keys на десятки серверов. А когда администратор увольняется или теряет ноутбук, мы судорожно пытаемся вспомнить, на каких именно машинах нужно срочно зачистить его доступы. В 2026 году такой подход — это дыра в безопасности.
Современный стандарт — настройка внутреннего удостоверяющего центра (CA) для SSH.
Как это работает:
— Вы генерируете одну пару ключей для Удостоверяющего Центра (CA).
— Публичный ключ CA кладется на все ваши серверы в конфигурацию sshd.
— Когда инженеру нужен доступ, он отправляет свой публичный ключ на CA.
— CA выдает ему подписанный сертификат, в котором жестко указано: кому он выдан и сколько времени он действует (например, ровно 8 часов).
Зачем это нужно:
У вас на серверах больше нет файла authorized_keys с десятками непонятных строк. Вы полностью избавляетесь от процесса отзыва доступов. Если человек ушел в отпуск или уволился — его сертификат просто истекает к концу рабочего дня и превращается в тыкву. Взлом ноутбука инженера на выходных больше не дает хакеру ключи от всего продакшена.
Настроить SSH CA можно за пару часов встроенными средствами OpenSSH. Это тот самый случай, когда внедрение крутой безопасности делает жизнь админа проще, а не сложнее.
#linux #ssh #security #sysadmin #bestpractices #admin_future
🔥4
🪟 Windows: Обновляем весь зоопарк софта одной командой через WinGet
Раньше для централизованного обновления стороннего софта (браузеры, архиваторы, мессенджеры) на парке машин мы использовали тяжеловесные решения вроде SCCM, сторонние патч-менеджеры или писали километровые скрипты-обертки.
Сейчас все стало гораздо элегантнее. Встроенный пакетный менеджер WinGet давно оброс мускулами и отлично справляется с этой задачей через консоль.
Скрипт для PowerShell (запускать от администратора):
Как это работает:
Уязвимости нулевого дня в браузерах и PDF-читалках — это любимый вектор атак шифровальщиков. Повесьте этот скрипт в Планировщик задач на компьютерах пользователей, например, на обеденное время среды. Система сама закроет 90% дыр в стороннем софте без вашего ручного вмешательства.
#windows #powershell #winget #automation #sysadmin #admin_future
Раньше для централизованного обновления стороннего софта (браузеры, архиваторы, мессенджеры) на парке машин мы использовали тяжеловесные решения вроде SCCM, сторонние патч-менеджеры или писали километровые скрипты-обертки.
Сейчас все стало гораздо элегантнее. Встроенный пакетный менеджер WinGet давно оброс мускулами и отлично справляется с этой задачей через консоль.
Скрипт для PowerShell (запускать от администратора):
winget upgrade --all --silent --accept-package-agreements --accept-source-agreements
Как это работает:
Команда проверяет абсолютно все установленные приложения, сравнивает их версии с официальными репозиториями и в тихом режиме (без окон установки) накатывает свежие патчи, автоматически соглашаясь с лицензионными условиями.
Уязвимости нулевого дня в браузерах и PDF-читалках — это любимый вектор атак шифровальщиков. Повесьте этот скрипт в Планировщик задач на компьютерах пользователей, например, на обеденное время среды. Система сама закроет 90% дыр в стороннем софте без вашего ручного вмешательства.
#windows #powershell #winget #automation #sysadmin #admin_future
❤2
🧠 Skills: Бэкап Шредингера — почему ваши резервные копии ничего не стоят
У вас настроены автоматические бэкапы баз данных, конфигураций роутеров выгружаются по расписанию, а виртуалки снепшотятся каждую ночь. Вы молодец, спите спокойно. Но задайте себе один неудобный вопрос: когда вы в последний раз пробовали развернуть инфраструктуру с нуля из этих архивов?
Суровая истина системного администрирования гласит: бэкап, который никогда не восстанавливали — это не бэкап. Это просто дорогой файл, занимающий место на диске.
Что происходит на практике в момент аварии:
Выясняется, что скрипт полгода копировал пустые папки. Пароль от зашифрованного архива знает только бывший сотрудник. Свежая база данных отказывается разворачиваться на старой версии СУБД, а файл с конфигурацией Nginx почему-то вообще не попал в список исключений для бэкапа.
Как лечить:
Опыт инженера измеряется не умением написать bash-скрипт для архивации, а гарантированным временем (RTO), за которое он способен поднять компанию из пепла.Тестируйте восстановление, пока это можно сделать без паники и седых волос.
#skills #backup #disasterrecovery #management #sysadmin #admin_future
У вас настроены автоматические бэкапы баз данных, конфигураций роутеров выгружаются по расписанию, а виртуалки снепшотятся каждую ночь. Вы молодец, спите спокойно. Но задайте себе один неудобный вопрос: когда вы в последний раз пробовали развернуть инфраструктуру с нуля из этих архивов?
Суровая истина системного администрирования гласит: бэкап, который никогда не восстанавливали — это не бэкап. Это просто дорогой файл, занимающий место на диске.
Что происходит на практике в момент аварии:
Выясняется, что скрипт полгода копировал пустые папки. Пароль от зашифрованного архива знает только бывший сотрудник. Свежая база данных отказывается разворачиваться на старой версии СУБД, а файл с конфигурацией Nginx почему-то вообще не попал в список исключений для бэкапа.
Как лечить:
Внедряйте правило Disaster Recovery Day (День аварийного восстановления). Раз в квартал выделяйте чистый тестовый сервер. Отключайтесь от основной сети и пытайтесь поднять копию критического сервиса, используя исключительно вашу документацию и ночные бэкапы.
Опыт инженера измеряется не умением написать bash-скрипт для архивации, а гарантированным временем (RTO), за которое он способен поднять компанию из пепла.
#skills #backup #disasterrecovery #management #sysadmin #admin_future
🐧 LINUX: КАК НАЙТИ РУТКИТ ИЛИ МАЙНЕР, КОТОРЫЙ ПРЯЧЕТСЯ ОТ КОМАНДЫ PS
Коллеги, если сервер в DMZ тормозит, а команды top и ps aux показывают нормальную загрузку, возможно, вы столкнулись с процессом, который спрятали в изолированном PID-namespace.
Современные майнеры активно используют архитектуру Linux для маскировки, и базовой гигиены здесь уже недостаточно.
Стандартные утилиты читают директорию /proc. Если злоумышленник примонтировал поверх /proc пустую файловую систему tmpfs, вы ничего не увидите.
Скрипт для поиска скрытых процессов через обход пользовательских mount namespaces:
Зачем это нужно:
Для глубокого аудита безопасности инфраструктуры. Простые проверки больше не работают. Этот трюк позволяет увидеть реальную картину процессов на уровне ядра, игнорируя пользовательские маскировки.
#linux #security #namespaces #sysadmin #admin_future
Коллеги, если сервер в DMZ тормозит, а команды top и ps aux показывают нормальную загрузку, возможно, вы столкнулись с процессом, который спрятали в изолированном PID-namespace.
Современные майнеры активно используют архитектуру Linux для маскировки, и базовой гигиены здесь уже недостаточно.
Стандартные утилиты читают директорию /proc. Если злоумышленник примонтировал поверх /proc пустую файловую систему tmpfs, вы ничего не увидите.
Скрипт для поиска скрытых процессов через обход пользовательских mount namespaces:
mkdir /mnt/real_proc
mount -o bind /proc /mnt/real_proc
ls -l /mnt/real_proc | grep '^[0-9]'
Зачем это нужно:
Для глубокого аудита безопасности инфраструктуры. Простые проверки больше не работают. Этот трюк позволяет увидеть реальную картину процессов на уровне ядра, игнорируя пользовательские маскировки.
#linux #security #namespaces #sysadmin #admin_future
✍2
👻 WINDOWS: ОХОТА ЗА ПРИЗРАКАМИ. УДАЛЯЕМ МЕРТВЫЕ SID ИЗ ПРАВ ДОСТУПА
При реорганизации инфраструктуры и чистке домена от легаси-объектов мы часто удаляем старые учетные записи. Но права доступа на файловых серверах (NTFS ACL) остаются. Вместо имен пользователей там появляются неопознанные SID (начинаются с S-1-5-21...).
Это не просто эстетическая проблема. При миграции серверов или глубоком аудите эти мертвые души сильно тормозят пересчет прав, ломают наследование и создают хаос в политиках безопасности.
PowerShell скрипт для поиска и удаления мертвых SID:
Зачем это нужно:
Порядок в Active Directory должен отражаться порядком в файловых системах. Идеально подходит для включения в план реструктуризации домена и вывода из эксплуатации старых систем вроде Windows 2012 R2.
#windows #powershell #activedirectory #security #admin_future
При реорганизации инфраструктуры и чистке домена от легаси-объектов мы часто удаляем старые учетные записи. Но права доступа на файловых серверах (NTFS ACL) остаются. Вместо имен пользователей там появляются неопознанные SID (начинаются с S-1-5-21...).
Это не просто эстетическая проблема. При миграции серверов или глубоком аудите эти мертвые души сильно тормозят пересчет прав, ломают наследование и создают хаос в политиках безопасности.
PowerShell скрипт для поиска и удаления мертвых SID:
$Path = "C:\Shares\Department"
$ACLs = Get-Acl -Path $Path
$Rules = $ACLs.Access | Where-Object { $_.IdentityReference -match "^S-1-5-21" }
foreach ($Rule in $Rules) {
$ACLs.RemoveAccessRule($Rule) | Out-Null
Write-Host "Удален мертвый SID: " $Rule.IdentityReference
}
Set-Acl -Path $Path -AclObject $ACLs
Зачем это нужно:
Порядок в Active Directory должен отражаться порядком в файловых системах. Идеально подходит для включения в план реструктуризации домена и вывода из эксплуатации старых систем вроде Windows 2012 R2.
#windows #powershell #activedirectory #security #admin_future
❤3
🐧 Linux: eBPF-трейсинг вместо strace — хирургия без анестезии
Коллеги, когда в 3 ночи продакшн-сервис начинает вести себя странно, первый рефлекс — запустить strace на процесс. И вот ты сидишь, смотришь в поток syscall-ов, теряешь контекст, а overhead от strace в худшем случае убивает процесс быстрее, чем сам баг.
В 2026 году так делать стыдно. Добро пожаловать в bpftrace — если strace это кувалда, то bpftrace это эндоскоп.
Хочешь знать, какие файлы открывает конкретный процесс, сколько времени он тратит в ядре и где реально лежит латентность — без остановки сервиса и почти без overhead:
Зачем это нужно:
Бизнес платит за uptime, а не за твои ночные медитации над strace-логом. bpftrace работает в ядре, не требует перезапуска процессов, не ломает продакшн и даёт гистограммы латентности за секунды. Когда Роман спрашивает "в чём причина деградации?", у тебя есть ответ с цифрами, а не с "ну, мы смотрим".
Итог: strace незаменим для разработки. Но в живом продакшне — только eBPF. Это разница между вскрытием и МРТ.
#linux #ebpf #bpftrace #performance #sysadmin #admin_future
Коллеги, когда в 3 ночи продакшн-сервис начинает вести себя странно, первый рефлекс — запустить strace на процесс. И вот ты сидишь, смотришь в поток syscall-ов, теряешь контекст, а overhead от strace в худшем случае убивает процесс быстрее, чем сам баг.
В 2026 году так делать стыдно. Добро пожаловать в bpftrace — если strace это кувалда, то bpftrace это эндоскоп.
Хочешь знать, какие файлы открывает конкретный процесс, сколько времени он тратит в ядре и где реально лежит латентность — без остановки сервиса и почти без overhead:
# Все открываемые файлы процессом nginx в реальном времени
bpftrace -e '
tracepoint:syscalls:sys_enter_openat
/comm == "nginx"/
{
printf("%s -> %s\n", comm, str(args->filename));
}
'
# Латентность read() по перцентилям — находим I/O-узкое место
bpftrace -e '
tracepoint:syscalls:sys_enter_read { @start[tid] = nsecs; }
tracepoint:syscalls:sys_exit_read /@start[tid]/
{
@lat = hist(nsecs - @start[tid]);
delete(@start[tid]);
}
'
Зачем это нужно:
Бизнес платит за uptime, а не за твои ночные медитации над strace-логом. bpftrace работает в ядре, не требует перезапуска процессов, не ломает продакшн и даёт гистограммы латентности за секунды. Когда Роман спрашивает "в чём причина деградации?", у тебя есть ответ с цифрами, а не с "ну, мы смотрим".
Итог: strace незаменим для разработки. Но в живом продакшне — только eBPF. Это разница между вскрытием и МРТ.
#linux #ebpf #bpftrace #performance #sysadmin #admin_future
🪟 Windows: LAPS v2 + Entra ID — хватит хранить пароль локального админа в Excel
Коллеги, я знаю, что где-то в вашей сети до сих пор живёт локальный Administrator с паролем из 2019 года, который записан в заметках у Богдана. И Богдан уже полгода как уволился.
Классический LAPS первого поколения умел ротировать пароль и класть его в AD — и это было неплохо. Но LAPS v2, встроенный в Windows Server 2025 и Windows 11, это уже другой уровень: шифрование пароля в AD, история паролей, поддержка Entra ID (Azure AD) для гибридных сред и ротация по требованию через PowerShell или Intune.
Включаем и настраиваем правильно:
Зачем это нужно:
Lateral movement через один скомпрометированный локальный пароль — классика пентестов и реальных атак. LAPS v2 с шифрованием и историей убирает этот вектор полностью. Пентестеры будут грустить, аудиторы — радоваться, а ты — спать спокойно.
Итог: Если у тебя больше 20 машин в домене и LAPS не настроен — это не техдолг, это открытая дверь. Закрой её сегодня, это займёт два часа.
#windows #laps #activedirectory #security #sysadmin #admin_future
Коллеги, я знаю, что где-то в вашей сети до сих пор живёт локальный Administrator с паролем из 2019 года, который записан в заметках у Богдана. И Богдан уже полгода как уволился.
Классический LAPS первого поколения умел ротировать пароль и класть его в AD — и это было неплохо. Но LAPS v2, встроенный в Windows Server 2025 и Windows 11, это уже другой уровень: шифрование пароля в AD, история паролей, поддержка Entra ID (Azure AD) для гибридных сред и ротация по требованию через PowerShell или Intune.
Включаем и настраиваем правильно:
# 1. Обновляем схему AD (один раз, на DC)
Update-LapsADSchema
# 2. Настраиваем права на OU с рабочими станциями
Set-LapsADComputerSelfPermission -Identity "OU=Workstations,DC=corp,DC=local"
# 3. Создаём GPO-политику через PowerShell (или через GUI GPMC)
# Путь в GPO: Computer -> Admin Templates -> LAPS
# Ключевые параметры:
# - Enable password backup to AD: Enabled
# - Password complexity: Large letters + small + digits + specials
# - Password age: 30 days
# - Enable encrypted password: Enabled <-- вот это обязательно в v2
# 4. Смотрим пароль для конкретной машины (только авторизованным)
Get-LapsADPassword -Identity "PC-FINANCE-01" -AsPlainText
# 5. Принудительная ротация после инцидента
Invoke-LapsPolicyProcessing # на машине
# или удалённо:
Reset-LapsPassword -Identity "PC-FINANCE-01"
Зачем это нужно:
Lateral movement через один скомпрометированный локальный пароль — классика пентестов и реальных атак. LAPS v2 с шифрованием и историей убирает этот вектор полностью. Пентестеры будут грустить, аудиторы — радоваться, а ты — спать спокойно.
Итог: Если у тебя больше 20 машин в домене и LAPS не настроен — это не техдолг, это открытая дверь. Закрой её сегодня, это займёт два часа.
#windows #laps #activedirectory #security #sysadmin #admin_future
👍1
🌐 Networking: WireGuard + wg-quick — это хорошо. WireGuard + netbird — это продакшн
Коллеги, WireGuard как замена OpenVPN уже давно не новость. Но я вижу, как большинство коллег до сих пор управляют им через wg-quick и ручное редактирование конфигов на каждом узле. Добавить новый хост — значит зайти на каждый пир, добавить PublicKey и AllowedIPs руками. В сети на 15 узлов это уже ад.
В 2026 году для mesh VPN на базе WireGuard есть нормальный инструментарий. Один из лучших — Netbird (self-hosted, open source, с management plane и ACL через UI или API).
Поднимаем self-hosted Netbird за 10 минут:
После этого все узлы видят друг друга через зашифрованный mesh, ACL настраиваются в веб-интерфейсе, новый хост добавляется за 30 секунд по setup key. Никаких правок конфигов на каждом пире.
Зачем это нужно:
Когда Богдан в 9 утра просит "срочно добавить новый сервер в VPN", ты генерируешь setup key в UI и скидываешь ему одну команду. Всё. Не надо помнить, какие PublicKey у каких нод, и не надо объяснять ему структуру wg-quick конфигов.
Итог: wg-quick — для домашней лаборатории и понимания основ. Для инфраструктуры от 5 узлов — нужен management plane. Иначе ты не строишь сеть, ты коллекционируешь конфиги.
#networking #wireguard #netbird #vpn #mesh #sysadmin #admin_future
Коллеги, WireGuard как замена OpenVPN уже давно не новость. Но я вижу, как большинство коллег до сих пор управляют им через wg-quick и ручное редактирование конфигов на каждом узле. Добавить новый хост — значит зайти на каждый пир, добавить PublicKey и AllowedIPs руками. В сети на 15 узлов это уже ад.
В 2026 году для mesh VPN на базе WireGuard есть нормальный инструментарий. Один из лучших — Netbird (self-hosted, open source, с management plane и ACL через UI или API).
Поднимаем self-hosted Netbird за 10 минут:
# На управляющем сервере (Ubuntu 24.04 LTS)
curl -fsSL https://github.com/netbirdio/netbird/releases/latest/download/netbird_management_linux_amd64.tar.gz \
| tar -xz -C /usr/local/bin
# Используем официальный docker-compose (рекомендуемый путь)
wget https://raw.githubusercontent.com/netbirdio/netbird/main/infrastructure_files/docker-compose.yml
wget https://raw.githubusercontent.com/netbirdio/netbird/main/infrastructure_files/.env.example -O .env
# Правим .env: домен, TURN-сервер, OIDC-провайдер (или отключаем auth для лаборатории)
nano .env
docker compose up -d
# На каждом узле (Linux, Windows, macOS — клиент один и тот же)
curl -fsSL https://pkgs.netbird.io/install.sh | sh
netbird up --management-url https://your-netbird-domain:443 --setup-key YOUR_KEY
После этого все узлы видят друг друга через зашифрованный mesh, ACL настраиваются в веб-интерфейсе, новый хост добавляется за 30 секунд по setup key. Никаких правок конфигов на каждом пире.
Зачем это нужно:
Когда Богдан в 9 утра просит "срочно добавить новый сервер в VPN", ты генерируешь setup key в UI и скидываешь ему одну команду. Всё. Не надо помнить, какие PublicKey у каких нод, и не надо объяснять ему структуру wg-quick конфигов.
Итог: wg-quick — для домашней лаборатории и понимания основ. Для инфраструктуры от 5 узлов — нужен management plane. Иначе ты не строишь сеть, ты коллекционируешь конфиги.
#networking #wireguard #netbird #vpn #mesh #sysadmin #admin_future