Базовый гардероб для выхода в свет 😎

Типичный 🥸 Сисадмин

Моральный парсинг трафика 🧱

В Госдуме прошел круглый стол, результаты которого выглядят как ТЗ на постройку локального филиала Матрицы. Обсуждают создание единого надзорного органа по поиску деструктивного контента... типа советского Главлита версии 2.0. С точки зрения сетевой архитектуры, это попытка свести весь нынешний разрозненный зоопарк блокировок в единый монолитный бэкенд. Фактически предлагается создать абсолютный контролирующий узел, который будет работать как высший арбитр трафика 😱

Если посмотреть на эти инициативы глазами сетевого инженера, становится страшно от предполагаемого вычислительного оверхеда. Предлагают законодательно закрепить термин (целомудрие), вычистить нецензурную лексику из соцсетей, запретить аниме и тд. Чтобы реализовать такие требования технически, обычного парсинга SNI или блокировки по IP-адресам уже не хватит. Железу ТСПУ потребуется тотальный MitM-перехват всего зашифрованного трафика с наложением аудио-отпечатков, OCR-распознаванием картинок и нейросетевым семантическим анализом 😶

Производство контента тоже хотят перевести на жесткий корпоративный пайплайн. Предлагается вернуть институт предварительной цензуры кино, чтобы силовики вычитывали сценарии до начала съемок 👮‍♂️. А блогеров хотят нормативно обязать пропагандировать традиционные ценности, принудительно раскатывая на лидеров мнений условные GPO-политики.

Походу мы наблюдаем логичное завершение эпохи свободного информационного обмена. Глобальная сеть на наших глазах окончательно перепроектируется в государственный интранет. В этой новой архитектуре технический аптайм ресурса становится абсолютно неважным, на первое стремиться выйти его идеологическая валидность 👾

Типичный 🥸 Сисадмин

Тут Microsoft обновила базовый пакет безопасности для Windows Server 2025 и запретила sudo 🫡

Тут Microsoft выкатила обновленный пакет базовых настроек безопасности. И не успели виндовые админы порадоваться удобной линуксовой фиче, как sudo официально дропнули. Команду настоятельно рекомендуют отключать на всех серверах и контроллерах домена. Т.к. хацкеры быстро научились использовать её для обхода UAC и повышения привилегий. Поигрались в Linux в родной экосистеме, и хватит.

Следом досталось древнему легаси. Запуск Internet Explorer 11 через COM-объекты (например, скриптами CreateObject("InternetExplorer.Application")) теперь жестко заблокирован. Сам браузер давно мертв, но его компоненты всё ещё активно используются вирусописателями как вектор атаки.

Подготовку к торжественным похоронам NTLM перевели в активную фазу. Пока древний протокол не выпилили полностью, но во всех политиках врубили тотальный расширенный аудит. Входящий трафик, аутентификация в домене, исходящие запросы к удаленным серверам - контроллеры домена теперь будут маниакально логировать каждый момент.

Дырявый Print Spooler, через который ломали сети годами, загнали в жесткие рамки с обязательной аутентификацией по Kerberos. Также под блокировку попали уязвимые ключи Windows Hello (подверженные старой атаке ROCA), их теперь просто отклоняют при логине. Ничего революционного, скорее методичное закручивание гаек по всем фронтам.

Типичный 🥸 Сисадмин

Закон Ома ты не обманешь 🌚

Пользователь сделал апгрейд с GTX 1060 на RX 6600 XT. На старом блоке питания кабеля 8-pin не нашлось, но на помощь пришел старый и многими любимый переходник 🔥

Типичный 🥸 Сисадмин

800 МБ загрузки и 2,7 ГБ дискового пространства для клона Бомбермана 😬

Типичный 🥸 Сисадмин

Попался в ловушку, листая объявления на авитах.

Заходишь посмотреть какую-нибудь фигню, а в рекомендациях вылезает ОН. Энтерпрайз-свитч на 48 портов, да еще и по цене пары шаурмы! Грех не взять.

Типичный 🥸 Сисадмин

🔍 Как устроены чёрные ящики РКН изнутри

На просторах сети всплыл шикарный обучающий материал, детально разбирающий архитектуру тех самых ТСПУ (но материал не самый свежий). И с инженерной точки зрения это весьма масштабный и грамотно спроектированный комплекс. Если кому лень смотреть пятичасовой видос на ютубах, то читаем ниже 🎩

Физически система состоит из нескольких сущностей... аппаратных байпасов, балансировщиков на базе мощных чипов Tofino (переваривающих до 3.2 Тбит/с) и самих серверов фильтрации. Железо под DPI-ноды выбрано грамотное... платформы на 24-ядерных Xeon Gold с сотнями гигабайт оперативки. Ставятся эти коробки в разрыв операторского линка, причем продумано несколько схем установки. Идеальный для товарища майора вариант - это когда до CGNAT, где системе видны серые IP конкретных абонентов, но можно воткнуть и после, разбирая уже транслированный белый трафик провайдера 👮‍♂️

Вся магия происходит на балансировщиках. Чтобы система DPI могла нормально разбирать сессии на седьмом уровне модели OSI, ей нужно видеть пакеты в обе стороны. Балансировщик берет на себя выравнивание асимметричного трафика, раскидывая его по конкретным ядрам фильтров на основе хеша от IP-адресов и портов. Сами фильтры работают на прошивках EcoFilter и EcoDPI, получая списки блокировок из центральной системы управления через изолированный ГОСТовый VPN Континент. И да, в настройках есть встроенная опция деградации протоколов (от 0 до 100), которая позволяет изящно увеличивать процент дропнутых пакетов 😭. Именно этой опцией условный Ютуб или Телега элегантно превращают в нерабочее.

Интересна и защита от падений самого ТСПУ. Разработчики понимали, что их серверы будут ложиться под нагрузкой или кривыми апдейтами, поэтому запилили немного отказоустойчивости. Если фильтр не отвечает на keepalive-пакеты или дропает больше 20% сессий от перегруза, балансировщик автоматически пускает трафик в обход без флапа линков у провайдера. А если в стойке тупо пропадает питание, срабатывает оптическое реле в пассивном байпасе, аппаратно замыкая линию связи напрямую. То есть, если ТСПУ умирает, интернет не пропадает, он просто становится кристально свободным как юные годы

По итогу получился вполне себе серьезный программно-аппаратный конвейер. Со своей подсистемой мониторинга (умеют даже деградацию оптики на SFP-трансиверах смотреть), продвинутым CLI и двойным резервированием. Этот глобальный бэкенд сформировал поверх сетей провайдеров еще одну параллельную, централизованно управляемую инфраструктуру гигантских масштабов. Изучая эти логи, понимаешь, что плясать с бубном с этим на уровне любительских прокси будет всё сложнее, потому что по ту сторону работает очень качественный сетевой инжиниринг... было бы любопытно взглянуть на самые свежие разборы с новыми фичами ТСПУ, но увы.

Зависла Телега на отправке? Спонсор этого картизола - packet drop 40%, изящно примененный в соседней стойке 😶

Типичный 🥸 Сисадмин