📉 Linux: ncdu — когда диск забился, а du бесит

Утро понедельника часто начинается с алерта Zabbix: Disk space is low on /var. Обычный админ пишет du -h --max-depth=1 | sort -hr и страдает, пытаясь понять, где именно "распухло".

Архитектор запускает ncdu (NCurses Disk Usage).

Почему это маст-хэв:

1. Интерактивность: Это как Total Commander, но для анализа места. Вы ходите стрелками по папкам и сразу видите, кто жрет место.

2. Скорость: Сканирует мгновенно.

3. Удаление: Можно нажать d и удалить файл/папку прямо из интерфейса (будьте осторожны!).

Установка:

sudo apt install ncdu  # Debian/Ubuntu
sudo yum install ncdu  # RHEL/CentOS

Лайфхак: Если нужно просканировать корень, но исключить примонтированные сетевые шары (чтобы не сканировать полмира):

ncdu -x /

Сэкономьте себе 20 минут времени на поиске логов, которые забыл удалить ротейт.

#linux #tools #cli #diskusage #ncdu #troubleshooting

👑 PowerShell: Где мои FSMO роли?

Если ваш контроллер домена "приуныл", первое, что нужно знать — держит ли он FSMO (Flexible Single Master Operations) роли. Потеря рядового DC — это ерунда. Потеря PDC Emulator или Schema Master — это проблема.

Забудьте про netdom query fsmo. Делаем красиво через объекты.
Скрипт:

# Получаем роли уровня Домена
$Domain = Get-ADDomain | Select-Object InfrastructureMaster, RIDMaster, PDCEmulator

# Получаем роли уровня Леса
$Forest = Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster

# Выводим красивый отчет
Write-Host "🌲 Forest Roles:" -ForegroundColor Cyan
$Forest | Format-List

Write-Host "🏰 Domain Roles:" -ForegroundColor Cyan
$Domain | Format-List

Pro Tip: Сохраните этот вывод. В случае аварии вы должны знать, какой именно сервер захватывать (Seize) принудительно.

#activedirectory #powershell #windows #fsmo #architecture

🔔 Bash: Уведомление в Telegram при входе по SSH

Хотите знать, если кто-то (или вы сами) зашел на критический сервер? Простой скрипт, который отправляет алерт в Telegram при каждой успешной SSH-сессии.

1. Создаем скрипт /usr/local/bin/ssh-alert.sh:

#!/bin/bash
TOKEN="ВАШ_БОТ_ТОКЕН"
CHAT_ID="ВАШ_ID"
URL="https://api.telegram.org/bot$TOKEN/sendMessage"
MSG="🚨 SSH Login: $USER from $SSH_CLIENT on $(hostname) at $(date)"

curl -s -X POST $URL -d chat_id=$CHAT_ID -d text="$MSG" > /dev/null

Не забудьте: chmod +x /usr/local/bin/ssh-alert.sh

2. Добавляем в глобальный профиль: Открываем /etc/profile (сработает для всех юзеров) и добавляем в конец:

/usr/local/bin/ssh-alert.sh

Теперь, если кто-то подберет пароль или украдет ключ — вы узнаете об этом первым (и успеете дернуть рубильник).

#linux #security #ssh #telegram #scripting #monitoring

😱 The Scream Test: Когда документации нет

Как узнать, нужен ли этот старый сервер srv-app-legacy-02, если документации нет, а спросить не у кого? Применяем Scream Test (Тест на крик).

Алгоритм:
1. Выключаем сетевой интерфейс или службу.
2. Ждем.
3. Если никто не позвонил и не закричал в течение недели — сервер можно удалять.

* Если закричали — включаем обратно и записываем, кто и зачем его использует.

⚠️ Техника безопасности:
* Никогда не делайте это в пятницу.
* Никогда не удаляйте данные сразу (делайте бэкап/снапшот).
* Делайте это в "рабочие часы", когда вы на месте.

Жестоко? Да. Эффективно? Абсолютно.

#adminlife #humor #methodology #legacy #cleanup

Мальчик:
Сдается и качает мессенджер МАХ после блокировок всех приложений

Мужчина:

🔥 React2Shell: Новый кошмар для веб-серверов (CVSS 10.0)

Коллеги, если вы админите веб-инфраструктуру, отложите кофе. В сети разгорается пожар, получивший имя React2Shell (CVE-2025-55182). Это RCE (Remote Code Execution) с максимальным рейтингом 10 из 10.

Суть: Уязвимость в React и Next.js (компоненты React Server Components). Атакующему не нужна авторизация. Он просто отправляет специально сформированный HTTP-запрос к эндпоинту серверной функции, и сервер выполняет произвольный код.

Кто под ударом: Любой публичный сервис, использующий SSR (Server Side Rendering) на свежих версиях Next.js.

Что делать прямо сейчас:
1. Патчинг: Обновите react и next до последних версий, выпущенных вчера.
2. WAF: Если патчить долго (легаси), срочно настраивайте WAF.
3. Cloudflare уже выкатил правила (и даже положил ими часть интернета 5 декабря, см. следующий пост).
4. Nginx/ModSecurity: Блокируйте запросы, содержащие подозрительные сериализованные пейлоады в теле POST.

Маркеры компрометации (IoC): Смотрите логи на предмет странных вызовов к /_next/static/... с аномально большими телами запросов.

#security #cve #react2shell #alert #vulnerability #web

🐧 Linux 6.18 LTS: Ядро, с которым нам жить до 2027

Линус Торвальдс официально объявил релиз Linux Kernel 6.18. Главная новость: эта версия получила статус LTS (Long Term Support). Именно она станет основой для будущих версий Ubuntu 26.04, Debian и RHEL.

Что внутри:

1. Apple Silicon: Наконец-то полноценная поддержка чипов M2 Pro/Max/Ultra в апстриме. Можно ставить Linux на Mac без танцев с бубном (почти).

2. Прощай, Bcachefs: Экспериментальную файловую систему удалили из ветки. Если вы рискнули использовать её в проде — у вас проблемы. Мигрируйте на Btrfs/XFS.

3. Виртуализация: KVM теперь поддерживает Intel CET (Control-flow Enforcement Technology) для гостевых систем. Это защита от ROP-атак внутри виртуалки.

Команда для проверки: Пока рано обновлять прод, но в arch уже прилетело.

uname -r
# Ждем 6.18.x

Готовимся к переезду в следующем году.

#linux #kernel #lts #news #opensource

🎅 Advent of Sysadmin 2025: Челлендж для тех, кто устал от LeetCode

Пока программисты решают Advent of Code, для нас запустили Advent of Sysadmin. Это серия ежедневных задач на живых серверах (в браузере), где нужно что-то починить или взломать.

Примеры задач этой недели:

Dec 05: "La Rinconada" — Вы зашли под юзером без sudo. Найдите способ поднять привилегии, используя криво настроенный скрипт бэкапа.

Dec 08: "Kortenberg" — Nginx выдает 403 Forbidden, права на файл 777, SELinux выключен. В чем причина? (Спойлер: лимиты файловых дескрипторов).

Идеально, чтобы размять мозги за утренним кофе или дать задачу джуну на собеседовании.
🔗 Ссылка
https://sadservers.com/advent

#learning #challenge #sysadmin #linux #fun

metrics: SLA, SLO, SLI — Хватит путать эти аббревиатуры

На собеседовании на позицию Lead/Architect этот вопрос валит 50% кандидатов. Все говорят: «Ну, это про аптайм». Давайте разберем раз и навсегда.

1. SLI (Indicator) — Что мы меряем? Это конкретная метрика в графике.
Пример: Количество 500-х ошибок HTTP или Latency (задержка) ответа.
Факт: «Сейчас 99.5% запросов успешны».

2. SLO (Objective) — Какая у нас цель? Это внутренняя планка качества, к которой стремится команда.
Пример: «Мы хотим, чтобы 99.9% запросов были успешны».
Зачем: Если мы нарушаем SLO, мы останавливаем релизы новых фич и чиним стабильность (Error Budget).

3. SLA (Agreement) — За что нас накажут? Это внешний контракт с клиентом (юридический документ).
Пример: «Если аптайм упадет ниже 99.0%, мы вернем вам 30% оплаты».
Важно: SLA всегда ниже, чем SLO. У вас должен быть буфер безопасности.

Памятка архитектора: Не обещайте бизнесу 100% SLA. Это технически невозможно и бесконечно дорого. Обещайте «три девятки» (99.9%) и спите спокойно.

#sre #devops #metrics #sla #architecture #learning

🎅 PowerShell: Спасаем пользователей от блокировки в Новый год

Декабрь. Пользователи уходят в отпуск на 2-3 недели. Сценарий фильма ужасов: у сотрудника истекает пароль 3 января. Он пытается подключиться к VPN/почте из дома, получает ошибку «Password Expired» и звонит вам в праздники.

Давайте найдем всех, у кого пароль протухнет в ближайшие 30 дней, и предупредим их.

Скрипт:

$DaysToWarn = 30
$Users = Get-ADUser -Filter {Enabled -eq $True -and PasswordNeverExpires -eq $False} -Properties msDS-UserPasswordExpiryTimeComputed, EmailAddress

foreach ($User in $Users) {
    $ExpiryDate = [datetime]::FromFileTime($_."msDS-UserPasswordExpiryTimeComputed")
    $DaysLeft = ($ExpiryDate - (Get-Date)).Days

    if ($DaysLeft -ge 0 -and $DaysLeft -lt $DaysToWarn) {
        Write-Host "⚠️ $($User.Name): Пароль истекает через $DaysLeft дн. ($ExpiryDate)" -ForegroundColor Yellow
        
        # Тут можно раскомментировать отправку письма
        # Send-MailMessage -To $User.EmailAddress -Subject "Смените пароль!" ...
    }
}

Запустите сегодня. Это спасет ваши новогодние каникулы.

#powershell #activedirectory #scripting #automation #newyear

🛡 Fail2Ban устарел. Встречайте CrowdSec

Мы годами ставили fail2ban, чтобы банить ботов, брутфорсящих SSH. Он хороший, но он — одиночка. Он знает только то, что происходит на вашем сервере.

В 2025 году тренд — CrowdSec. Это "Waze для кибербезопасности".

В чем киллер-фича: Если IP-адрес атакует моего соседа (тоже пользователя CrowdSec), этот IP попадает в черный список. Через 5 минут мой сервер уже знает об этом IP и блокирует его превентивно.

Почему стоит перейти:

Коллективный разум: База репутации IP обновляется в реальном времени.

Универсальность: Парсит логи не только SSH, но и Nginx, Docker, Kubernetes, AWS CloudTrail.

Bouncers: Умеет банить не только через iptables, но и на уровне Cloudflare, Nginx или даже отправлять Captcha.

Установка:

curl -s https://packagecloud.io/install/repositories/crowdsec/crowdsec/script.deb.sh | sudo bash
sudo apt install crowdsec

Один в поле не воин. Объединяйте сервера в защиту.

#security #linux #opensource #crowdsec #fail2ban #tools

🕵️‍♂️ MTR: Трассировка на стероидах

Когда интернет «лагает», мы привыкли запускать ping или traceroute. Но первый не показывает, на какой ноде теряются пакеты, а второй — это разовый снимок, который часто врет из-за ICMP-фильтров.

Настоящий профи использует MTR (My Traceroute).

В чем магия: MTR объединяет возможности обеих команд, постоянно отправляя пакеты и обновляя статистику в реальном времени.

На что смотреть (Столбцы):
1. Loss%: Показывает потерю пакетов. Если Loss на 3-м прыжке, но на 4-м его нет — это просто провайдер игнорирует ICMP. Если Loss растет от прыжка к прыжку — это реальная проблема.
2. WRST (Worst): Худший отклик. Помогает поймать кратковременные всплески задержки (Jitter).

Команда дня (режим отчета для тикета провайдеру):

mtr -rw google.com

(-r — report, -w — wide. Выдает красивый текст, который можно смело слать в техподдержку)

#linux #network #mtr #troubleshooting #cli

🧹 PowerShell: Чистим старые профили пользователей

Знакомая ситуация: на терминальном сервере или ПК общего пользования за год накопилось 50 профилей уволенных или случайных людей. Диск C: кричит о помощи.

Не удаляйте папки вручную в C:\Users! Это сломает реестр. Делаем через WMI.

Скрипт (удалить профили старше 60 дней):

$Limit = (Get-Date).AddDays(-60)

# Получаем профили, которые не использовались более 60 дней
$Profiles = Get-CimInstance Win32_UserProfile | 
            Where-Object { $_.LastUseTime -lt $Limit -and $_.Special -eq $false }

foreach ($Profile in $Profiles) {
    Write-Host "🗑 Удаляю профиль: $($Profile.LocalPath)" -ForegroundColor Yellow
    $Profile | Remove-CimInstance
}

⚠️ Важно: Скрипт не тронет системные профили (Special). Но перед запуском убедитесь, что в списке нет вашего босса, который просто давно не заходил на этот сервер.

#windows #powershell #cleanup #sysadmin #automation

🌈 Linux: Хватит смотреть в серый tail -f

Логи в консоли — это поток боли для глаз. Давайте добавим красок, чтобы ошибки сами бросались в глаза. Используйте lnav (The Log File Navigator).

Почему это круто:
1. Авто-раскраска: Сама подсвечивает IP-адреса, даты, ошибки (красным) и предупреждения (желтым).
2. Слияние: Можно открыть 5 лог-файлов одновременно, и lnav перемешает их по времени в один поток. Идеально для отладки связки Nginx + PHP-FPM.
3. SQL-запросы: Можно писать SELECT * FROM log прямо в консоли.

Установка:

sudo apt install lnav

Просто введите lnav /var/log/nginx/access.log и почувствуйте себя в будущем.

#linux #logs #lnav #cli #productivity

🐘 PostgreSQL: Почему база растет, если я удаляю данные?

Классика: вы удалили миллион строк из таблицы, а место на диске не освободилось. Добро пожаловать в мир MVCC (Multi-Version Concurrency Control).

В Postgres при удалении (DELETE) строка не стирается физически. Она помечается как «мертвая» (dead tuple). Но место всё ещё занято.

❌ Ошибка джуна: Запустить VACUUM FULL. Это освободит место, НО заблокирует таблицу намертво (Access Exclusive Lock). Ваш прод встанет.

✅ Путь Архитектора:

Настройте Autovacuum. Он должен работать агрессивнее, чтобы «мертвецы» не накапливались.

Используйте pg_repack (или pg_squeeze). Это расширение позволяет пересобрать таблицу и вернуть место ОС без блокировок чтения/записи.

Шпаргалка по проверке "вздутия" (Bloat): Вам не нужны сложные скрипты, поставьте pg-bloat-check или используйте запрос:

SELECT schemaname, relname, n_dead_tup, n_live_tup, 
       (n_dead_tup::float / n_live_tup::float) as bloat_ratio
FROM pg_stat_user_tables 
WHERE n_dead_tup > 0;

Если bloat_ratio > 0.2 (20%) — пора звать автовакуум.

#postgresql #database #dba #performance #sql

🚀 Windows: Хватит гуглить инсталляторы. Используй Winget

В 2025 году открывать браузер, чтобы скачать Chrome, 7-Zip или VS Code — это моветон. В Windows уже встроен нативный пакетный менеджер, как apt или brew.

Встречайте Winget.

1. Установка софта одной командой:

winget install --id Microsoft.PowerToys
winget install --id 7zip.7zip

2. Обновление ВСЕГО софта разом: Это киллер-фича. Она обновляет даже то, что вы ставили вручную 5 лет назад.

winget upgrade --all

3. Экспорт софта для нового ПК: Готовите ноутбук новому сотруднику?
Слейте список со старого:

winget export -o packages.json

И накатите на новом:

winget import -i packages.json

Это превращает настройку Windows из "кликомании" в нормальный DevOps-процесс.

#windows #winget #cli #automation #productivity

🏎 Linux: iperf3 — когда "сеть тормозит"

Пользователь жалуется: "Файлы копируются медленно!". Сетевик говорит: "Линк гигабитный, порт зеленый, отстань".

Кто прав? Рассудит iperf3. Он меряет реальную пропускную способность TCP/UDP, а не физическую скорость порта.

Сценарий: Запускаем тест между сервером (где лежат файлы) и клиентом.
На сервере (режим Server):

iperf3 -s

На клиенте (режим Client):

# -c : ip сервера
# -P 4 : в 4 потока (чтобы нагрузить канал полностью)
# -R : Reverse mode (тест скачивания С сервера, а не заливки НА него)
iperf3 -c 192.168.1.10 -P 4 -R

Результат: Если порт 1 Gbit/s, а iperf показывает 940 Mbits/sec — сеть идеальна, проблема в дисках или протоколе SMB. Если показывает 100 Mbits/sec — ищите битый патч-корд, который свалился в 100Mb Half-Duplex.

#network #linux #troubleshooting #iperf #cli

🛡 Правило 3-2-1 устарело. Встречайте 3-2-1-1-0

Нас всех учили правилу бэкапов 3-2-1:
* 3 копии данных.
* 2 разных носителя.
* 1 копия офлайн (вне офиса).

В 2025 году, в эру программ-вымогателей (Ransomware), этого мало. Шифровальщики научились находить сетевые бэкапы и шифровать их тоже.

Новый стандарт — 3-2-1-1-0:
* 3 копии данных.
* 2 разных типа носителей.
* 1 копия вне офиса (Cloud/Remote).
* 1 копия Immutable (Неизменяемая) или Air-Gapped (Физически отключенная).

Immutable: Это флаг в S3 (AWS/MinIO) или Veeam Hardened Repository. Даже если хакер получит root-права, он не сможет удалить или зашифровать этот бэкап в течение заданного времени (например, 30 дней).

* 0 ошибок при проверке восстановления (SureBackup). Бэкап, который вы не тестово не развернули — это не бэкап, а надежда.

Проверьте свои репозитории. Если у вас нет Immutable-копии — вы беззащитны перед шифровальщиком.

#backup #security #ransomware #veeam #architecture #bestpractice

🛑 Active Directory: Защита от «Упс, я удалил OU»

Знакомая история: админ хотел удалить компьютер, промахнулся мышкой и удалил целое подразделение (Organizational Unit) вместе с юзерами и группами. Восстановление из корзины (AD Recycle Bin) — это стресс. Лучше предотвратить.

Включаем Protect object from accidental deletion массово.

PowerShell-скрипт для всех OU:

# Импортируем модуль
Import-Module ActiveDirectory

# Ищем все OU, где защита ВЫКЛЮЧЕНА, и включаем её
Get-ADOrganizationalUnit -Filter * -Properties ProtectedFromAccidentalDeletion | 
Where-Object { $_.ProtectedFromAccidentalDeletion -eq $false } | 
Set-ADOrganizationalUnit -ProtectedFromAccidentalDeletion $true -PassThru |
Select-Object Name, DistinguishedName

Задача: Запустите это сегодня. Это тот самый «ремень безопасности», который однажды спасет вам карьеру. P.S. Чтобы реально удалить OU потом, галочку придется снять вручную.

#activedirectory #windows #powershell #security #failsafe