Собственный центр сертификации под Linux

Для тестирования, разработки и внутреннего использования часто используются самозаверенные (самоподписанные) сертификаты. Технически такой сертификат ничем не отличается от публичного, только вместо передачи на подпись в удостоверяющий центр (УЦ) пользователь создаёт свою собственную подпись.

Под Linux мы можем сгенерировать сертификат командой mkcert или OpenSSL. Единственная проблема в том, что браузер не доверяет такому сертификату, поскольку он не подписан доверенным УЦ. Поэтому нужно ещё запустить и настроить собственный УЦ, который подписывает наши сертификаты — и добавить этот УЦ в список доверенных центров сертификации УЦ (или браузера).

Посмотрим, как это делается с помощью mkcert и OpenSSL.

https://telegra.ph/Sobstvennyj-centr-sertifikacii-pod-Linux-01-23

#ит_статьи #linux #tls #mkcert #openssl

SSH-логи: находим атаки, чужаков и странное поведение

Все пользуются SSH, но мало кто любит уделять время на разбор логов. Да, SSH нужен, чтобы подключаться к серверу, но именно SSH-логи показывают, кто и когда пытался залезть туда без спроса - а это уже реальные риски для всей системы.

Каждый вход, каждая неудачная попытка, каждое подозрительное подключение - всё это фиксируется в логах. Проблема в том, что сырые логи огромные, захламлённые и пугающие. Но если уметь выцеплять из них нужную инфу, можно по-настоящему понять, что происходит на сервере.

В этой статье разберёмся, где живут логи SSH, что на самом деле значит каждая строка, и как их анализировать, чтобы замечать атаки, чужаков и всякое странное поведение.

https://telegra.ph/SSH-logi-nahodim-ataki-chuzhakov-i-strannoe-povedenie-01-25

#ит_статьи #devops #linux #server #ssh #logs

Практичный подход к замене ingress-nginx

Итак, ingress-nginx уходит на покой в 2026 году, и все уже ведут себя так, будто закрывается весь Kubernetes. Справедливости ради - новость действительно важная. Но нет, вам не нужно бросать всё и с утра пораньше переписывать свой кластер под Gateway API. Давайте разберёмся, что происходит и как, на мой взгляд, с этим разумнее всего справиться.

Вот официальное объявление:
https://www.kubernetes.dev/blog/2025/11/12/ingress-nginx-retirement/

И ссылка на репозиторий, если что:
https://github.com/kubernetes/ingress-nginx

Если вы сейчас используете ingress-nginx - да, это вас касается. Но это не должно быть сюрпризом, если вы хотя бы изредка следите за тем, что происходит в SIG Network и как вообще развивается экосистема Kubernetes.

https://telegra.ph/Praktichnyj-podhod-k-zamene-ingress-nginx-01-25

#ит_статьи #devops #kubernetes #ingress #nginx

Как примонтировать любую линуксовую ФС в Windows 11

Хотели когда-нибудь примонтировать Btrfs, ZFS, ReiserFS или любой другой из сотен Linux-файловых систем прямо в Windows? Ну так вот это можно сделать, причем без масштабных заморочек. В статье рассмотрим процесс настройки и подключения.

https://telegra.ph/Kak-primontirovat-lyubuyu-linuksovuyu-FS-v-Windows-11-01-26

#ит_статьи #sysadmin #windows #wsl2 #linux #samba #btrfs #raid

Простой способ компрометации приватных ключей при помощи SSH-Agent

Недавно, просматривая видео из закладок, наткнулся на AASLR: Leveraging SSH Keys for Lateral Movement. Примерно на середине просмотра меня настолько заинтересовал материал, что я решил начать сначала - с этого момента я открыл заметки и начал документировать информацию. Тема была новой и весьма увлекательной.

Используя полученные знания как отправную точку, я начал исследовать другие варианты применения утилиты ssh-agent и решил провести несколько экспериментов в домашней лаборатории. В этом посте посмотрим на полученные результаты.

https://telegra.ph/Prostoj-sposob-komprometacii-privatnyh-klyuchej-pri-pomoshchi-SSH-Agent-01-28

#ит_статьи #linux #ssh #ssh_agent #private_keys

С такими спиннерами траблшутить сетевые проблема стало бы намного проще😏

#ит_юмор #network #dns_issue

Изучаем Linux Bridge

Виртуальные Ethernet-устройства отлично подходят для передачи трафика между сетевыми namespace. Но когда нужно связать больше namespace, создание veth для такого «паучьего» трафика быстро становится не масштабируемым и сложным в сопровождении. И вот тут на сцену выходит linux bridge.

В этом посте мы разберёмся, как создать linux bridge и включить передачу трафика между четырьмя сетевыми namespace.

https://telegra.ph/Izuchaem-Linux-Bridge-s-pomoshchyu-shem-01-29

#ит_статьи #linux #network #veth #namespace #bridge

Приватный Docker Registry с HTTPS и Nginx reverse proxy на Docker Compose

Приватный Docker Registry - вещь незаменимая, если вы не хотите тянуть образы из внешних репозиториев или хранить чувствительные артефакты где-попало. Но в реальной жизни одного registry:2 быстро становится мало: нужен HTTPS, удобный веб-интерфейс и нормальный вход снаружи без плясок с сертификатами.

В этой статье разберём, как собрать приватный Docker Registry с HTTPS, проксированием через Nginx и всем этим управлять с помощью Docker Compose.

https://telegra.ph/Privatnyj-Docker-Registry-s-HTTPS-i-Nginx-reverse-proxy-na-Docker-Compose-01-29

#ит_статьи #linux #devops #docker #nginx #registry

Что-то не пойму, почему не засчитано. Правильный же ответ🤔

#ит_юмор #server

Разбиение файлов Terraform на компонуемые слои

Terraform позволяет создать облачную инфраструктуру с помощью всего одной команды. Допустим, вы хотите запустить Elasticsearch и Kibana в кластере Kubernetes.

Для этого можно написать несколько файлов .tf и выполнить команду terraform apply для инициализации кластера Kubernetes и развёртывания на нем нескольких подсистем.

Теперь предположим, что вам нужны и другие экземпляры стека Elastic, которые можно использовать для демонстрации. В этом случае придется создать новые рабочие пространства Terraform и выполнить terraform apply несколько раз.

Проблема такого подхода заключается в том, что в этом случае придется каждый раз реплицировать всю инфраструктуру. Следовательно, у вас будет несколько кластеров Kubernetes. На запуск каждого кластера уходит не менее 15 минут, а его стоимость на AWS составляет 72 долл. в месяц.

Гораздо лучшей альтернативой было бы повторное использование одного кластера Kubernetes и создание на его основе нескольких сред. Таким образом, вы платите за один кластер, и вам не нужно ждать создания нового кластера каждый раз, когда вы создаете новую среду.

Именно для этого и существует Layerform. Layerform позволяет инженерам разбивать файлы Terraform на компонуемые слои. Таким образом, команды могут иметь общий базовый слой для кластера Kubernetes и несколько вышестоящих слоев с Elasticsearch, Kibana и даже другими необходимыми им бессерверными компонентами, такими как Lambdas, очереди SQS или балансировщики нагрузки.

В этой статье я расскажу о том, как работают слои, как разбить файлы Terraform на компонуемые слои и продемонстрирую несколько вариантов использования слоев. Эти случаи включают создание сред разработки, похожих на производственные, и настройку ссылок предварительного просмотра запросов на поставку для любого типа приложений.

https://telegra.ph/Razbienie-fajlov-Terraform-na-komponuemye-sloi-01-31

#ит_статьи #devops #linux #terraform #kubernetes #elasticsearch #nginx

.zshrc хаки: облачная синхронизация, алиасы, функции, хэши

zsh - пожалуй, лучший shell из когда-либо придуманных после оригинального POSIX-sh. Но держать всё в одном огромном .zshrc файле часто неудобно - а его бэкап вообще требует магии со скриптами. В этой статье поделю своими вариантами резервного копирования конфига zsh.

https://telegra.ph/zshrc-haki-oblachnaya-sinhronizaciya-aliasy-funkcii-hehshi-02-01

#ит_статьи #linux #shell #zsh #backup

SQL vs NoSQL базы данных

Вы когда-нибудь оказывались перед дилеммой выбора наиболее подходящего типа хранилища для своего приложения? Какая база данных лучше всего справится с бизнес-ожиданиями и обеспечит эффективную работу? Если да - эта заметка поможет разобраться, какую базу выбрать (SQL или NoSQL), и заставить ваше приложение работать как надо.

https://telegra.ph/SQL-vs-NoSQL-bazy-dannyh-02-01

#ит_статьи #devops #databases #systemdesign #sql #nosql

Linux: как пинговать несколько хостов напрямую или через SSH-прокси

Недавно у меня была любопытная задача - пропинговать сразу несколько хостов параллельно. Для многих это может показаться не особо интересным, потому что инструментов для этого полно. Но есть нюанс: хосты находятся за SSH-прокси, и мы не можем ничего туда устанавливать.

https://telegra.ph/Linux-kak-pingovat-neskolko-hostov-napryamuyu-ili-cherez-SSH-proksi-02-02

#ит_заметки #linux #ssh #shell #xargs #ping

Как использовать закладки в bash/zsh

Умение быстро перемещаться по терминалу напрямую влияет на продуктивность. Часто возникает необходимость мгновенно прыгать между разными проектами или директориями, разбросанными по всей системе. Например, код лежит в ~/project/my-project, а конфигурация сервера - где-нибудь в /etc/.... Запоминать такие пути неудобно, да и набирать их каждый раз долго. А что, если существует простое и почти бесплатное решение всего в четырёх строках bash?

https://telegra.ph/Kak-ispolzovat-zakladki-v-bashzsh-02-04

#ит_заметки #linux #terminal #bash #zsh #bookmarks

Почему я могу привязаться к привилегированному порту в контейнере без capability NET_BIND_SERVICE?

Недавно я игрался с разными штуками для hardening’а контейнеров и наткнулся на вещь, которая меня реально удивила. Пришлось довольно глубоко копать, чтобы во всём разобраться, и в процессе я обнаружил, что не я один такой - другие тоже были озадачены. В итоге решил написать об этом, в надежде, что текст когда-нибудь поможет кому-то ещё.

https://telegra.ph/Pochemu-ya-mogu-privyazatsya-k-privilegirovannomu-portu-v-kontejnere-bez-capability-NET-BIND-SERVICE-02-05

#ит_статьи #devops #linux #docker #capabilities #kernel

Разбираемся с Vsock

Vsock - это семейство сокетов в Linux, предназначенное для связи между виртуальной машиной и её гипервизором.
Это новое семейство сокетов обеспечивает двустороннее, «многие-к-одному», взаимодействие между гипервизором и виртуальными машинами.
Изначально добавлено VMware напрямую в ядро.
Также может использоваться в QEMU/KVM, а также в Hyper-V, но там код уже закрытый.

Пользовательские приложения - как внутри виртуальной машины, так и на хосте - могут использовать API VM Sockets, которое обеспечивает быструю и эффективную коммуникацию между гостевыми ВМ и хостом. Предоставляется семейство адресов сокетов, на уровне интерфейса совместимое с UDP и TCP.

https://telegra.ph/Razbiraemsya-s-Vsock-02-07

#ит_статьи #vsock #linux #kernel #virtualization #qemu #kvm

Глубокие проверки работоспособности Kubernetes

Распределённые системы часто характеризуют как палку о двух концах. В Интернете найдётся множество отличных материалов как об их неприглядных, так и об отличных сторонах. Но этот пост — немного иного характера. Вообще обычно я за распределённые системы в тех случаях, когда они действительно нужны, но в этом посте я расскажу, как одна моя ошибка при работе с распределённой системе привела к далеко идущим последствиям.

https://telegra.ph/Glubokie-proverki-rabotosposobnosti-Kubernetes-02-08

#ит_статьи #devops #kubernetes #cluster #orchestration

Усиливаем безопасность SSH с помощью двухфакторной аутентификации (2FA) через PAM и Google Authenticator

Настроить двухфакторку для SSH через PAM и Google Authenticator - отличный способ поднять безопасность вашего SSH-сервера. Google Authenticator генерирует одноразовые пароли на основе времени (TOTP), добавляя ещё один слой защиты. В статье пошаговый порядок действий, как это всё завести.

https://telegra.ph/Usilivaem-bezopasnost-SSH-s-pomoshchyu-dvuhfaktornoj-autentifikacii-2FA-cherez-PAM-i-Google-Authenticator-02-08

#ит_статьи #devops #linux #ssh #totp #pam #google_authenticator

Полезные советы по снижению потребления ресурсов контейнерами в хост-системах

По мере роста количества развернутых контейнеров на одном хосте использование ресурсов начинает превращаться в проблему. Контейнеризованные окружения нужно оптимизировать так, чтобы системные ресурсы распределялись и использовались максимально эффективно. В этой статье мы разберём разные стратегии и лучшие практики, которые помогают снизить потребление ресурсов контейнерами и добиться лучшей производительности и масштабируемости хост-систем.

https://telegra.ph/Poleznye-sovety-po-snizheniyu-potrebleniya-resursov-kontejnerami-v-host-sistemah-02-10

#ит_статьи #devops #linux #docker #containers #optimization

Основы беспроводных сетей

Эта статья - про базу беспроводных сетей. Как точка доступа транслирует сети, как клиент к ним подключается, как происходит аутентификация и всё в таком духе.

https://telegra.ph/Osnovy-besprovodnyh-setej-02-10

#ит_статьи #wifi #wireless #networks #ssid #wpa2