❄️❄️❄️❄️❄️ 🍷

Читать полностью…

⏺Используй новогодние выходные наилучшим образом!

Изучай новые технологии или закрой пробелы в знаниях по своему стеку.

🤩 Admin Books – техническая литература для сетевых и системных администраторов и ИБ специалистов.

Ссылка для своих: /channel/+J8c3i4oWlLNmODNi

Читать полностью…

Организация кроссировочных панелей в серверной: как избежать хаоса

Кроссировочные панели (patch panels) — это сердце физической инфраструктуры сети.

Правильная организация панели упрощает администрирование, минимизирует ошибки и делает диагностику быстрее. Разберем, как сделать кроссировку правильно.

Почему важно уделять внимание кроссировке?

1️⃣Удобство обслуживания: четкая структура кабелей ускоряет любые работы.
2️⃣ Снижение ошибок: правильно размеченные порты исключают путаницу.
3️⃣ Повышение надежности: уменьшение натяжения кабелей снижает риск повреждений.

Шаги по правильной организации кроссировки

1️⃣Выбор правильной панели
• Тип: Используйте панели на 24, 48 портов или модульные, в зависимости от масштаба сети.
• Категория кабеля: Панель должна соответствовать категории кабелей (Cat5e, Cat6, Cat6a и т.д.).
• Экран: Если сеть работает в условиях сильных помех, выбирайте экранированные панели (STP).

2️⃣Маркировка портов
• Пронумеруйте порты на панели.
• Используйте ярлыки или наклейки для обозначения, к какому устройству или зоне подключен каждый порт.
• Поддерживайте документацию: создайте карту сети с указанием соответствий портов и подключенных устройств.

3️⃣Кабель-менеджмент
• Используйте кабельные органайзеры (горизонтальные и вертикальные).
• Укладывайте кабели ровно, без перекрутов и натяжения.
• Удерживайте кабели с помощью липучек, а не пластиковых стяжек — их проще заменить.

4️⃣Стандарты подключения
• Придерживайтесь стандарта T568A или T568B для обжатия кабелей.
• Используйте одинаковый стандарт по всей сети.

N.A. ℹ️ Help

Читать полностью…

VLAN Hopping: как защитить сеть от межвлановых атак

VLAN Hopping — это метод атаки, позволяющий злоумышленнику обходить ограничения VLAN и получать доступ к трафику других VLAN.

Это угроза для сетей, где VLAN используются для сегментации и изоляции.

Основные методы VLAN Hopping:
• Switch Spoofing — злоумышленник настраивает своё устройство как коммутатор, убеждая реальный коммутатор установить транковое соединение. Это даёт доступ ко всем VLAN.
• Double Tagging — злоумышленник добавляет два VLAN-тега к пакетам. Один тег удаляется на первом коммутаторе, второй используется для маршрутизации в целевую VLAN.

Защита от VLAN Hopping

⏺Отключение автоматического формирования транков (Switch Spoofing):

На коммутаторах Cisco транки по умолчанию могут устанавливаться автоматически с использованием протокола DTP. Чтобы этого избежать, отключите DTP на всех портах, которые не используются как транковые:

Switch(config)#interface range gi1/0/1-48
Switch(config-if-range)#switchport mode access
Switch(config-if-range)#switchport nonegotiate

Что происходит?
• Порты переводятся в режим Access, исключая возможность создания транков.
• Отключается протокол DTP.

⏺Настройка Native VLAN:

Убедитесь, что Native VLAN используется только для служебного трафика, и она отличается от VLAN конечных пользователей. Например, перенесём Native VLAN в VLAN 999:

Switch(config)#vlan 999
Switch(config-vlan)#name Native_VLAN
Switch(config)#interface range gi1/0/1-48
Switch(config-if-range)#switchport trunk native vlan 999
Switch(config-if-range)#switchport trunk allowed vlan 10,20,30

⏺Фильтрация VLAN-тегов (Double Tagging):

На транковых портах разрешите только те VLAN, которые действительно используются:

Switch(config)#interface range gi1/0/1-48
Switch(config-if-range)#switchport trunk allowed vlan 10,20,30

Почему это важно?
Злоумышленник не сможет использовать запрещённые VLAN для атаки.

⏺Включение BPDU Guard:

Это дополнительная мера, предотвращающая добавление несанкционированных устройств. Если злоумышленник пытается подключить свой коммутатор, порт блокируется:

Switch(config)#interface range gi1/0/1-48
Switch(config-if-range)#spanning-tree bpduguard enable

⏺Защита от MAC Flooding:

MAC Flooding используется для атаки, направленной на заполнение таблицы MAC-адресов коммутатора, что может привести к пересылке трафика на все порты. Настройте ограничение на количество MAC-адресов для каждого порта:

Switch(config)#interface range gi1/0/1-48
Switch(config-if-range)#switchport port-security
Switch(config-if-range)#switchport port-security maximum 3
Switch(config-if-range)#switchport port-security violation restrict

N.A. ℹ️ Help

Читать полностью…

Правильная елка 🎄

Читать полностью…

Zero Trust Architecture (ZTA): Будущее кибербезопасности

Zero Trust Architecture (ZTA) — это современный подход к кибербезопасности, который полностью отказывается от традиционного доверия внутри сети.

Вместо этого ZTA базируется на принципе: «Никому не доверяй, всё проверяй».

Ключевые принципы Zero Trust

1️⃣Минимизация доверия
Все пользователи, устройства и приложения рассматриваются как потенциально небезопасные, независимо от их местоположения — внутри или вне корпоративной сети.
2️⃣ Микросегментация
Сеть делится на изолированные сегменты, чтобы минимизировать риск lateral movement (распространение угроз внутри сети).
3️⃣ Аутентификация и авторизация
Доступ предоставляется на основе строгой проверки личности (MFA, сертификаты) и контекста (местоположение, время, устройство).
4️⃣ Least Privilege (Принцип минимальных привилегий)
Каждый пользователь или система получают только те права, которые необходимы для выполнения их задач.
5️⃣ Непрерывный мониторинг
Все действия внутри сети постоянно анализируются для выявления аномалий и подозрительного поведения.

Технологии в основе Zero Trust
1️⃣Identity and Access Management (IAM)
Управление цифровыми идентификациями пользователей и устройств для строгой проверки доступа.
2️⃣Secure Access Service Edge (SASE)
Интеграция сетевой безопасности (например, SWG, CASB) с WAN в облачной архитектуре.
3️⃣Endpoint Detection and Response (EDR)
Постоянный мониторинг конечных устройств для выявления угроз.
4️⃣Data Loss Prevention (DLP)
Контроль за утечкой данных, независимо от их местоположения.
5️⃣Зашифрованные каналы связи
Использование TLS/SSL для защиты данных в движении.

N.A. ℹ️ Help

Читать полностью…

Визы для граждан РФ продолжают активно выдаваться. США, Франция и Италия в декабре улучшили статистику положительных решений.

Несмотря на негативный информационный фон, полететь в Штаты и Европейские страны очень просто.

Испания упростила получение виз для граждан России, а в США рассматривают возобновление выдачи виз россиянам в Москве!

Ребята на канале Travelers
постоянно путешествуют и рассказывают, как:

- получить визу во Францию на 5 лет
- оформить Шенген за десять дней
- получить визу в США за неделю
- быстро сделать карту иностранного банка без доверенности
- оформить Китайскую визу без посещения консульства
- сделать визу Великобритании

📰 А еще здесь публикуют важные новости о путешествиях, разыгрывают бесплатные визы! и оперативно отвечают на вопросы в комментариях.

Подпишитесь прямо сейчас, чтобы не потерять - Travelers

Читать полностью…

Настройка SPAN и RSPAN

Мониторинг сетевого трафика с помощью SPAN

Ищете способ анализировать сетевой трафик или подключить систему записи звонков? SPAN — идеальное решение для мониторинга. 

Коммутаторы Cisco позволяют копировать пакеты с конкретного порта или VLAN и перенаправлять их для анализа на другой порт (например, в Wireshark).

Когда это нужно?
⏺Отладка сетевых проблем.
⏺Работа с IDS (Intrusion Detection System).
⏺Анализ подозрительного трафика.

Настройка SPAN-сессии

SPAN работает в рамках одного коммутатора: пакеты копируются с порта источника (source port) и отправляются на порт назначения (destination port).

Пример: копируем трафик с порта fa 0/1 на fa 0/5:

switch# configure terminal  
switch(config)# monitor session 1 source interface fa0/1  
switch(config)# monitor session 1 destination interface fa0/5  

Теперь весь трафик с fa 0/1 зеркалируется на fa 0/5.

Удаленный мониторинг через RSPAN

RSPAN позволяет зеркалировать трафик между разными коммутаторами через L2-соединение, используя удалённый VLAN.

Пример: зеркалируем трафик с коммутатора №1 (порт fa 0/1) на коммутатор №2 (порт fa 0/5).

Настройки источника:

switch_source# config term  
switch_source(config)# vlan 100  
switch_source(config-vlan)# remote span  
switch_source(config-vlan)# exit  
switch_source(config)# monitor session 10 source interface fa0/1  
switch_source(config)# monitor session 10 destination remote vlan 100  

Настройки получателя:

switch_remote# config term  
switch_remote(config)# vlan 100  
switch_remote(config-vlan)# remote span  
switch_remote(config-vlan)# exit  
switch_remote(config)# monitor session 11 source remote vlan 100  
switch_remote(config)# monitor session 11 destination interface fa0/5  

Теперь трафик с fa 0/1 коммутатора №1 через VLAN 100 поступает на fa 0/5 коммутатора №2.

N.A. ℹ️ Help

Читать полностью…

Base Virtualization — запустили бесплатный курс для тех, кто хочет погрузиться в облачные технологии

Уже используете облака, только планируете переезд или просто хотите разобраться в терминологии? Что такое IaaS, SaaS, PaaS? В чем разница между частным, публичным и гибридным облаками? Что такое миграция и как организовать бесшовный переезд в облако? Об этом и о многом другом рассказали в нашем новом курсе.

Что вас ждет:
— 10 уроков о виртуализации и облачной инфраструктуре.
— Доступ к материалам курса без ограничений.
— Поддержка и общение с экспертами в Telegram-сообществе.

Зарегистрируйтесь на курс по ссылке и начните погружение в виртуализацию прямо сейчас.

#реклама
О рекламодателе

Читать полностью…

5 команд для работы с сетями

Работа с сетями требует использования продвинутых инструментов для диагностики, мониторинга и управления.

Рассмотрим пять сложных команд, которые помогут в решении сложных задач и обеспечат контроль над инфраструктурой.

1️⃣tcpdump – захват и анализ сетевого трафика

tcpdump — мощная команда для анализа пакетов в реальном времени. Она позволяет собирать данные о трафике на сетевом интерфейсе и анализировать их с учетом фильтров.

Пример использования:

tcpdump -i eth0 'port 443 and src 192.168.1.10'

Что делает:
⏺Захватывает трафик на интерфейсе eth0.
⏺Отслеживает только пакеты, идущие с IP 192.168.1.10 на порт 443 (HTTPS).

Когда использовать:
• Диагностика проблем соединения.
• Анализ подозрительного трафика.
• Отладка приложений.

2️⃣ ss – расширенный просмотр сетевых подключений

ss — более современная и производительная альтернатива netstat. Она предоставляет полную информацию о соединениях и сокетах.

Пример использования:

ss -tulnp

Что делает:
⏺Показывает все активные TCP и UDP соединения.
⏺Отображает процесс, использующий сокет (-p).

Когда использовать:
• Устранение конфликта портов.
• Диагностика несанкционированных подключений.
• Проверка служб и приложений, связанных с сетью.

3️⃣ iperf – тестирование пропускной способности

iperf используется для измерения пропускной способности между двумя хостами. Команда полезна для оценки производительности сети.

Пример использования:
На сервере:

iperf -s

На клиенте:

iperf -c 192.168.1.100 -t 30 -i 5

Что делает:
⏺-s запускает сервер для приема данных.
⏺-c подключается к серверу и измеряет скорость передачи данных.
⏺-t 30 устанавливает тест продолжительностью 30 секунд.

Когда использовать:
• Оценка производительности сети после внедрения новых решений.
• Диагностика проблем узкого канала.
• Настройка QoS (Quality of Service).

4️⃣ traceroute – определение маршрута прохождения пакетов

traceroute помогает понять, через какие маршрутизаторы проходят пакеты до указанного адреса.

Пример использования:

traceroute -I google.com

Что делает:
⏺Использует ICMP для определения маршрутов.
⏺Показывает все промежуточные узлы и задержку на каждом из них.

Когда использовать:
• Анализ задержек в сети.
• Определение проблемного маршрутизатора.
• Проверка маршрутов при изменении конфигурации сети.

5️⃣ nmap – сканирование портов и сервисов

nmap — один из самых мощных инструментов для анализа сетевой безопасности. Он сканирует порты, службы и даже выполняет скриптовый анализ.

Пример использования:

nmap -sS -p 1-1000 -T4 192.168.1.0/24

Что делает:
⏺-sS выполняет скрытое (SYN) сканирование.
⏺-p ограничивает сканирование первыми 1000 портами.
⏺-T4 ускоряет процесс сканирования.

Когда использовать:
• Проверка открытых портов.
• Оценка уязвимостей.
• Диагностика неправильно настроенных служб.

N.A. ℹ️ Help

Читать полностью…

Ethernet OAM: Инструменты управления сетью

Что такое Ethernet OAM?
Ethernet Operations, Administration, and Maintenance (OAM) — это набор механизмов, позволяющих отслеживать состояние сети, управлять соединениями и устранять неисправности. Ethernet OAM используется провайдерами и корпоративными сетями для обеспечения стабильности и высокого качества связи.

Типы OAM в Ethernet-сетях
1️⃣Link OAM (IEEE 802.3ah):
• Отслеживает состояние физического канала связи между двумя устройствами.
• Помогает обнаруживать разрывы, деградацию линка и другие аппаратные проблемы.
2️⃣ Service OAM (IEEE 802.1ag, ITU-T Y.1731):
• Управляет соединениями на уровне сервисов.
• Обеспечивает мониторинг целостности, производительности и диагностику проблем на уровне сети.

Функции Ethernet OAM

⏺Loopback: Удаленный узел отправляет ответ на тестовые пакеты, позволяя проверить доступность соединения.
⏺Continuity Check Messages (CCM): Периодические пакеты, проверяющие целостность связи между двумя точками.
⏺Performance Monitoring: Измеряет параметры качества сервиса (например, задержку, потерю пакетов, вариацию задержки).
⏺Fault Management: Выявляет и сигнализирует об ошибках в сети.
⏺Link Monitoring: Проверяет физическое состояние соединений (например, уровень сигнала или ошибки в кадрах).

Использование Service OAM

Допустим, клиент провайдера жалуется на низкую скорость соединения. С помощью OAM:
• Провайдер запускает тесты CCM, чтобы проверить доступность сети.
• Использует Delay Measurement для проверки задержки между узлами.
• Анализирует отчеты о потерях пакетов для выявления проблемных участков.

Результат: быстрое устранение проблемы с минимальным воздействием на других пользователей.

N.A. ℹ️ Help

Читать полностью…

Практическое использование прокси-серверов в безопасности. Часть 2

Фильтрация вредоносного трафика

Пример: Блокировка доступа к нежелательным сайтам.

Добавьте в конфигурацию файл с запрещёнными доменами:

acl blocked_sites dstdomain "/etc/squid/blocked_sites.txt"  
http_access deny blocked_sites  

Создайте файл /etc/squid/blocked_sites.txt и добавьте туда запрещённые домены, например:

facebook.com  
youtube.com  

Перезапустите Squid, чтобы применить изменения:

sudo systemctl restart squid  

Теперь прокси будет блокировать доступ к указанным сайтам.

Настройка Proxy SMTP для защиты электронной почты

Если ваша цель — защита почтового сервера, рекомендуется использовать прокси SMTP, например, Postfix с дополнительными модулями фильтрации.

Пример настройки в Postfix:
1️⃣Установите Postfix:

sudo apt install postfix  

2️⃣ Настройте фильтрацию вложений, добавив в файл конфигурации:

message_size_limit = 10485760  # Ограничение размера сообщений  
content_filter = smtp-amavis:[127.0.0.1]:10024  # Включение фильтрации  

3️⃣ Перезапустите Postfix:

sudo systemctl restart postfix  

Мониторинг и анализ трафика через прокси

Для отслеживания активности пользователей через прокси-сервер используйте лог-файлы.

В случае Squid, логи хранятся в /var/log/squid/access.log.

Для анализа логов можно использовать команды:
• Показать последние запросы:

tail -f /var/log/squid/access.log  

• Найти все обращения к определённому домену:

grep "example.com" /var/log/squid/access.log  

N.A. ℹ️ Help

Читать полностью…

Практическое использование прокси-серверов в безопасности

Для использования прокси-сервера в вашей сети необходимо:
⏺Определить задачи: Зачем вам нужен прокси (маскирование IP, фильтрация трафика, защита почты и т.д.)?
⏺Выбрать тип прокси-сервера:
⏺HTTP Proxy: Подходит для фильтрации интернет-трафика.
⏺SMTP Proxy: Если ваша задача — защищать почтовую систему.
⏺FTP Proxy: Для защиты передачи данных через FTP.
⏺Выбрать программное обеспечение: Например, Squid, FireBox, или платные сервисы вроде NordVPN или ExpressVPN.

Настройка на примере Squid Proxy

Squid — популярный и бесплатный инструмент для настройки прокси-серверов.

Установка Squid (Linux):
1. Откройте терминал и выполните:

sudo apt update  
sudo apt install squid  

2. После установки Squid автоматически запускается.

Базовая конфигурация Squid:

Файл конфигурации находится по пути: /etc/squid/squid.conf.

Откройте его для редактирования:

sudo nano /etc/squid/squid.conf  

Пример конфигурации:

http_port 3128  # Порт, на котором будет работать прокси  
acl localnet src 192.168.1.0/24  # Разрешение доступа для локальной сети  
http_access allow localnet  
http_access deny all  # Запрет остального трафика  
cache_dir ufs /var/spool/squid 100 16 256  # Настройка кэширования  

После редактирования файла сохраните изменения и перезапустите Squid:

sudo systemctl restart squid  

Теперь вы настроили базовый прокси-сервер для фильтрации трафика.

Продолжим?

N.A. ℹ️ Help

Читать полностью…

Роль прокси-серверов в ИБ

Что такое Proxy-сервер?
Proxy-сервер — это программное обеспечение, которое выступает посредником между пользователем и интернетом.

Он позволяет отправлять запросы от имени другого компьютера, маскируя реальный IP-адрес пользователя.

Как это работает?
Пример: вы находитесь за границей и хотите посмотреть прямую трансляцию, доступную только в вашей стране.

С помощью прокси-сервера вы можете сымитировать родной IP-адрес, получив доступ к ограниченному контенту.

Однако стоит помнить, что прокси лишь маскирует ваш IP, но не шифрует данные. Это значит, что отправляемая информация остаётся уязвимой для перехвата.

Security Web Gateway (SWG)

SWG (Шлюз информационной безопасности) — это аппаратно-программный комплекс, обеспечивающий безопасный доступ в интернет и защиту веб-приложений.

Проблемы, которые решает SWG:
1️⃣Атаки на операционные системы сотрудников.
2️⃣ Эксплуатация уязвимостей в приложениях и браузерах.
3️⃣ Добавление вредоносного ПО.

Ключевые функции SWG:
• Фильтрация вредоносного кода в трафике.
• Выявление утечек данных.
• Управление доступом к веб-ресурсам.

Преимущества SWG:
⏺Полное сканирование интернет- и SSL-трафика.
⏺Контроль пропускной способности для пользователей или приложений.
⏺Защита ресурсов компании даже при отсутствии антивируса на рабочем месте.

SWG часто сравнивают с межсетевыми экранами следующего поколения (NGFW). 

Главное отличие в том, что шлюз включает встроенный прокси-сервер, а NGFW больше ориентирован на контроль сетевого трафика.

Популярные прокси-серверы:
• NordVPN
• ExpressVPN
• CyberGhost
• PrivateVPN
• Hotspot Shield

Использование прокси или защищённых шлюзов позволяет минимизировать риски утечки данных и защитить корпоративные ресурсы от атак.

N.A. ℹ️ Help

Читать полностью…

⚡️Вы знали, что в Москве бесплатно можно ходить на крутые IT-мероприятия от Сбера, Яндекса, МТС и тд?

Мы рекомендуем обратить внимание на канал, который собирает анонсы вебинаров, хакатонов, конференций, мастер-классов и мероприятий от ведущих компаний и экспертов в области программирования, дизайна, аналитики и других IT-направлений.

Сохраняйте t.me/events_it_msk и оставайтесь в курсе ближайших событий!

Читать полностью…

🎄 С наступающим, сетевые мастера! 🎄

В этот праздничный момент давайте пинганем 2024:

ping -c 1 2024
64 bytes from past.year: time=365ms

Пакет успешно доставлен, а это значит, что пора подключиться к новому узлу - 2025!

Настраиваем маршруты:

ip route add 2025/24 dev eth0 proto static

И пусть в вашем 2025 году:

🔥 Пакеты успеха достигают цели без потерь (0% packet loss).
🛷 Скорость ваших достижений превышает все лимиты (10 Gbps, no throttling).
📩 Конфигурации жизни обновляются автоматически и без ошибок (autoupdate enabled).
🥮 А ваши фаерволы фильтруют весь негатив (-j DROP).

Помните: сетевые технологии объединяют не только машины, но и людей. Пусть каждый из вас в новом году будет связан только с теми, кто усиливает ваш сигнал и расширяет вашу пропускную способность! 🍷

Вперед к стабильным соединениям, низкой задержке и высоким пикам счастья! 🎊

Читать полностью…

Заземление сетевого оборудования: зачем это нужно и как правильно выполнить?

Заземление — это критически важный аспект установки и эксплуатации сетевого оборудования. 

Оно обеспечивает безопасность, защищает оборудование от повреждений и устраняет помехи в работе сети. Разберем основные моменты, которые нужно учитывать.

Почему заземление важно?

⏺Защита от скачков напряжения:
Молния, статическое электричество или аварии в электросети могут вызвать скачки напряжения. Заземление помогает отвести избыточный ток и защитить устройства.

⏺Предотвращение электромагнитных помех:
Заземление снижает уровень помех, которые могут влиять на качество передачи данных. Особенно важно для серверных с большим количеством кабелей и оборудования.

⏺Безопасность персонала:
Заземление исключает риск поражения электрическим током при неисправности устройства.

Как правильно заземлить оборудование?

1️⃣Используйте контур заземления
• Подключите сетевое оборудование (серверы, коммутаторы, маршрутизаторы) к общему заземляющему контуру здания.
• Убедитесь, что сопротивление контура не превышает 4 Ом (рекомендуемое значение).

2️⃣ Проверьте заземляющие клеммы
• Большинство стоек, серверов и источников бесперебойного питания (ИБП) имеют специальные клеммы для заземления.
• Подключите медный провод к клемме и проведите его до шины заземления.

3️⃣ Используйте заземленные розетки
• Подключайте оборудование только к розеткам с заземляющим контактом.
• Проверьте качество заземления с помощью тестера.

4️⃣ Экранирование кабелей: Если вы используете экранированные кабели (STP/FTP), подключите экран к заземлению на стороне патч-панели. Это поможет уменьшить электромагнитные помехи.

5️⃣ ИБП с функцией заземления: Используйте ИБП, которые поддерживают распределение заземления на подключенные устройства.

Ошибки, которых стоит избегать

⏺Отсутствие единого контура:
Нельзя подключать оборудование к разным заземляющим контурам — это создаст разность потенциалов и увеличит риск повреждений.
⏺Использование водопроводных труб:
Такие решения временные и небезопасные. Используйте специально подготовленный контур.
⏺Пренебрежение проверкой:
Регулярно проверяйте качество заземления мультиметром. Плохое соединение может быть опасным.

N.A. ℹ️ Help

Читать полностью…

Хватит выполнять скучную рутину руками ✋

Ansible придумали, чтобы вы вместо возни с однотипными задачами по настройке конфигов:

✅ писали плейбуки и роли,
✅ деплоили Flask-приложения,
✅ настраивали IaC в Gitlab,
✅ автоматизировали процесс управления IT-инфраструктурой,
✅ наводили в ней порядок.

Для всех, кто только начинает свой путь, мы подготовили бесплатный чек-лист по основам Ansible. Он поможет сформировать необходимые навыки для решения реальных задач в короткий срок.

А если вы уже знакомы с Ansible, чек-лист тоже будет полезен — для самопроверки и подготовки к собеседованиям, ведь эти умения точно будут в требованиях к вакансиям 👌

👉 Забрать чек-лист можно бесплатно прямо сейчас в боте.

erid: 2W5zFHg1vme

Читать полностью…

😎 Альберт Маннанов, «Солар»: Уменьшить производительность NGFW всегда проще, чем наращивать ее, поэтому мы стартовали с высокопроизводительных платформ

Альберт Маннанов, руководитель продукта Solar NGFW ГК «Солар», в эксклюзивном интервью в рамках совместного проекта с Global Digital Space рассказал порталу Cyber Media о том, какие тенденции и вызовы ожидают рынок NGFW в 2025 году.

⏺Он поделился множеством интересных прогнозов, включая перспективы улучшения производительности и функциональности, а также рассказал, как компания адаптирует свои решения для различных уровней бизнеса.

➡️ Интервью уже доступно на нашем сайте по этой ссылке. Приятного чтения!

Читать полностью…

Настройка DHCP Snooping и Dynamic ARP Inspection на Cisco

DHCP Snooping и Dynamic ARP Inspection (DAI) — это функции безопасности, которые защищают вашу сеть от атак, таких как подмена DHCP-сервера и Man-in-The-Middle атаки.

Кратко о том, что используем:

• DHCP Snooping защищает от подмены DHCP-сервера, разрешая только доверенным портам передавать DHCP-ответы.
• DAI предотвращает атаки, где злоумышленник подделывает ARP-запросы и может перенаправлять трафик через своё устройство.

Настройка DHCP Snooping и DAI:

1️⃣Настройка интерфейсов с ограничением скорости пакетов: Устанавливаем лимиты пакетов для недоверенных интерфейсов:

AccSwitch#conf t
AccSwitch(config)#int ra gi1/0/1-46
AccSwitch(config-if-range)#ip dhcp snooping limit rate 15
AccSwitch(config-if-range)#ip arp inspection limit rate 100

2️⃣ Настройка доверенных интерфейсов:
Указываем интерфейсы, которые будут доверенными, например, порты, подключенные к маршрутизатору или DHCP серверу:

AccSwitch(config)#int ra gi1/0/47-48
AccSwitch(config-if-range)#ip dhcp snooping trust
AccSwitch(config-if-range)#ip arp inspection trust

3️⃣ Включаем DHCP Snooping для VLAN:
Включаем функцию DHCP Snooping и задаем VLAN для мониторинга:

AccSwitch(config)#ip dhcp snooping
AccSwitch(config)#ip dhcp snooping vlan 200
AccSwitch(config)#no ip dhcp snooping information option

4️⃣ Настройка ARP Access List для статических IP:
Для устройств с статическими IP необходимо создать ARP списки доступа:

AccSwitch(config)# arp access-list DAI
AccSwitch(config-arp-nacl)# permit ip host 192.168.200.25 mac host 0017.6111.a309

5️⃣ Настройка Source Guard для привязки устройства к порту:
Чтобы гарантировать, что только определённое устройство может работать на конкретном порту:

AccSwitch(config)#ip source binding 0017.6111.a309 vlan 200 192.168.200.14 interface Gi1/0/5

6️⃣ Проверка исходных запросов на недоверенных интерфейсах: Включаем проверку источника на портах с недоверенными устройствами:

AccSwitch(config)#ip verify source

7️⃣ Включение ARP Inspection после заполнения таблицы: После того как таблица DHCP Snooping будет заполнена (приблизительно через 1-2 дня), включаем ARP Inspection:

AccSwitch(config)#ip arp inspection vlan 200

N.A. ℹ️ Help

Читать полностью…

Time-Sensitive Networking (TSN): основы детерминированных сетей

Time-Sensitive Networking (TSN) — это технология, которая трансформирует традиционные сети Ethernet в детерминированные.

TSN обеспечивает передачу данных с минимальной задержкой и высокой точностью, что делает её критически важной для промышленности, транспорта и других областей с высокими требованиями к надежности.

Что в нем особенного?

1️⃣Синхронизация времени: Все устройства в сети TSN работают в одном временном домене благодаря протоколам вроде gPTP (generalized Precision Time Protocol). Это позволяет точно координировать передачу данных.

2️⃣ Управление потоками: TSN использует механизм Time-Aware Shaper для определения строгих временных окон, когда данные могут быть отправлены, что минимизирует задержки для приоритетного трафика.

3️⃣ Резервирование ресурсов: Механизмы стандарта IEEE 802.1Qcc позволяют выделить определенные ресурсы сети (пропускную способность, время) для критически важных данных, изолируя их от некритичных потоков.

4️⃣Предотвращение конфликтов: Технология Frame Preemption позволяет прерывать передачу некритичных данных в пользу приоритетных пакетов, избегая задержек в критических сценариях.

N.A. ℹ️ Help

Читать полностью…

Настройка ERSPAN и полезные команды

Расширенные возможности с ERSPAN

ERSPAN (Encapsulated Remote SPAN) используется для мониторинга трафика в L3-сетях через GRE-туннель.

Отличное решение для сложных сетей, где устройства находятся в разных подсетях.

Пример конфигурации ERSPAN

Копируем трафик с порта fa 0/1 коммутатора-источника на порт fa 0/5 коммутатора-получателя через GRE-туннель.

Настройка источника:

switch_source(config)# monitor session 1 type erspan-source  
switch_source(config-mon-erspan-src)# source interface fa0/1  
switch_source(config-mon-erspan-src)# destination  
switch_source(config-mon-erspan-src-dst)# erspan-id 111  
switch_source(config-mon-erspan-src-dst)# ip address 192.168.1.5  
switch_source(config-mon-erspan-src-dst)# origin ip address 192.168.2.5  

Настройка получателя:

switch_remote(config)# monitor session 1 type erspan-destination  
switch_remote(config-mon-erspan-dst)# destination interface fa0/5  
switch_remote(config-mon-erspan-dst)# source  
switch_remote(config-mon-erspan-dst-src)# erspan-id 111  
switch_remote(config-mon-erspan-dst-src)# ip address 192.168.1.5  

Теперь данные инкапсулируются через GRE и передаются между устройствами.

Полезные команды для мониторинга
Проверка конфигурации сессии:

show monitor session 1  

Мониторинг трафика в определённом VLAN:

monitor session 1 source vlan 13  

Указание направления трафика:

monitor session 1 source vlan 13 rx/tx  

N.A. ℹ️ Help

Читать полностью…

RARP: настройка и проверка работы

Хотя протокол RARP сегодня устарел и редко используется, в учебных целях или при работе с устаревшими устройствами его можно настроить для работы.

Вот пошаговое руководство для использования RARP на практике.

1️⃣Настройка RARP-сервера

Для работы RARP необходимо настроить сервер, который будет отвечать на запросы устройств. Сервер хранит таблицу соответствий MAC-адресов и IP-адресов.

Шаги для настройки RARP-сервера:
Убедитесь, что на вашей машине установлен rarpd (демон RARP).
• Для Linux можно установить его через пакетный менеджер, например:

sudo apt-get install rarpd

Создайте файл конфигурации таблицы RARP (обычно это файл /etc/ethers):
• В этом файле задаются пары MAC-адрес — IP-адрес.
• Пример содержимого файла /etc/ethers:

00:1A:2B:3C:4D:5E 192.168.1.10
00:1A:2B:3C:4D:5F 192.168.1.11

Здесь указываются MAC-адреса и их соответствующие IP-адреса.

Запустите RARP-сервер:
• Выполните команду:

sudo rarpd -a

Параметр -a указывает серверу слушать все сетевые интерфейсы.

2️⃣ Настройка клиента

Устройство, которое хочет узнать свой IP-адрес через RARP, должно поддерживать этот протокол. На практике это могут быть старые устройства или виртуальные машины.

Для тестирования в Linux:
Убедитесь, что сетевой интерфейс активен.
• Проверьте доступные интерфейсы:

ip link show

Инициализируйте RARP-запрос с клиента:
• Используйте команду:

rarp -i eth0

Здесь eth0 — имя сетевого интерфейса.

После успешного запроса клиент получит свой IP-адрес.

3️⃣ Диагностика работы RARP

Если вы хотите проверить, работает ли RARP корректно, выполните следующие действия:

Захват трафика RARP:

Используйте tcpdump для анализа сетевого трафика и проверки запросов/ответов RARP:

sudo tcpdump -i eth0 arp or rarp

Эта команда показывает все ARP и RARP-запросы в сети.

Анализ ответа:

Вы увидите строки вида:

20:45:01.123456 ARP, Request who-has 192.168.1.10 tell 00:1A:2B:3C:4D:5E, length 42
20:45:01.123789 ARP, Reply 192.168.1.10 is-at 00:1A:2B:3C:4D:5E, length 42

4️⃣ Проблемы и их устранение

RARP-запросы не доходят до сервера.
Убедитесь, что сервер и клиент находятся в одной локальной сети (без маршрутизаторов между ними).
RARP-сервер не отвечает.
Проверьте:
• Правильность настроек в /etc/ethers.
• Активность RARP-сервера:

ps aux | grep rarpd

Проблемы с настройкой IP.
Убедитесь, что на клиенте нет конфликтующих записей в статических маршрутах или других настроек, которые мешают использованию RARP.

N.A. ℹ️ Help

Читать полностью…

Протокол RARP (Reverse Address Resolution Protocol)

RARP (Reverse Address Resolution Protocol) — это сетевой протокол, предназначенный для нахождения IP-адреса устройства, если известен только его MAC-адрес.

Он работает как обратная версия ARP (Address Resolution Protocol), которая используется для поиска MAC-адреса по IP-адресу.

Что такое RARP?

RARP был разработан в 1980-х годах для решения проблемы, когда устройства, такие как компьютеры или терминалы, не имели встроенной памяти для хранения своей конфигурации IP-адреса, но имели возможность знать свой MAC-адрес.

Это было актуально для старых “тонких” клиентов и некоторых других сетевых устройств.

В отличие от ARP, который работает для определения физического адреса устройства, имея его логический (IP) адрес, RARP выполняет обратную задачу — определяет IP-адрес устройства по его MAC-адресу.

Принцип работы RARP

Когда устройство, подключенное к сети, подключается и хочет узнать свой IP-адрес, оно посылает запрос RARP на сетевой сегмент. Запрос включает в себя MAC-адрес устройства.

Сервер RARP, который хранит таблицу соответствий MAC-адресов и IP-адресов, отвечает на запрос, отправляя соответствующий IP-адрес обратно устройству.

Допустим, устройство с MAC-адресом 00:1A:2B:3C:4D:5E подключается к сети. Оно отправляет запрос RARP, в котором говорится: “У меня есть этот MAC-адрес, скажите мне мой IP-адрес”.

Сервер RARP обрабатывает запрос и отправляет ответ с нужным IP-адресом, например, 192.168.1.10.

Ограничения и современное использование

RARP был заменен более современными протоколами, такими как BOOTP и DHCP, которые обеспечивают более функциональную настройку сетевых устройств, включая автоматическую настройку других параметров (например, шлюз, DNS-серверы).

RARP не поддерживает динамическую настройку параметров и не так гибок, как DHCP, что сделало его устаревшим в большинстве современных сетей.

N.A. ℹ️ Help

Читать полностью…

🚀 Приглашаем на бесплатный урок "Повторители, мосты, хабы, медиаконвертеры и коммутаторы. Кто из них выжил и почему? И принципы их работы" 18 декабря в 20:00 (мск). https://otus.pw/viN2/

📌 Этот вебинар — часть курса "Специализация Network Engineer". Хотим предоставить вам возможность разобрать важные аспекты работы с сетями от эксперта ТАС вендора!

🤔 Что вас ждет:

- Разбор принципов работы таких устройств: повторители, мосты, хабы, медиаконвертеры и коммутаторы.
- Как эти устройства использовались в прошлом и какие из них актуальны для современных сетей.
- Сравнение разных типов устройств и их применения в реальных сетевых проектах.

👨‍🏫 Урок проведет Николай Колесов, сертифицированный CISCO специалист с богатым опытом работы (>18 лет) с сетевыми решениями. Работает с ведущими проектами и компаниями и обучает специалистов в области сетевых технологий.

⏰ Регистрация ограничена! https://otus.pw/viN2/?erid=LjN8KAMLy

#реклама
О рекламодателе

Читать полностью…

🔍 Google — В С Ё ?

В 2024 году невозможно найти что-то полезное, просто загуглив: выдача поиска забита мусором из ChatGPT, а все годные материалы не попадают в топы поиска.

Хорошо, что есть База Знаний — сеть каналов, в которой команда опытных айтишников постит лучшее из мира IT. Для вашего удобства всё отсортировано по категориям:

👩‍💻 Все языки: /channel/main_it_baza

🖥 Python: /channel/python_baza

👩‍💻 Frontend: /channel/frontend_baza

👩‍💻 Backend: /channel/backend_baza

🎨 Дизайн: /channel/design_baza

📊 Архив: /channel/knowledge_baza

🕔 Ссылки будут активны ещё 48 часов, успейте сохранить себе, чтобы не потерять

Читать полностью…

✅️ GitHub теперь в Telegram!

Подписывайтесь: @GitHub

Читать полностью…

Девушка: как я тебя узнаю?

Я: поверь, я буду такой один, ты меня сразу узнаешь

Читать полностью…

SOAP — протокол “мыльной оперы”

SOAP (Simple Object Access Protocol) — это протокол обмена сообщениями в вычислительных средах, созданный в 1998 году группой разработчиков во главе с Дейвом Винером.

Консорциум W3C поддерживает и развивает этот стандарт, финальная версия которого — SOAP 1.2.

Несмотря на свое название, SOAP больше не ограничивается вызовами процедур. Сегодня он используется для обмена XML-сообщениями между различными системами.

Основные возможности SOAP
1️⃣Передача данных между сетями: SOAP поддерживает инкапсуляцию данных, позволяя отправлять и получать информацию между сервисами.
2️⃣ Единый формат сообщений: Все данные представляются в виде XML-документов. Это обеспечивает универсальность и независимость от языков программирования и платформ.
3️⃣ Модель “запрос-ответ”: Хотя SOAP является односторонней моделью обмена, он может работать как механизм “запрос-ответ” для отправки и получения XML-документов.

Структура SOAP-сообщения

SOAP-сообщение — это XML-документ, который включает:
• Конверт (Envelope): указывает начало и конец сообщения.
• Заголовок (Header): опциональная часть, содержащая метаданные или дополнительные инструкции.
• Тело (Body): основное содержимое сообщения, включая запросы, ответы или данные.

Обработка ошибок в SOAP

Если сервер обнаруживает ошибку, он отправляет сообщение с описанием проблемы клиенту.

Ошибки в SOAP 1.1:
⏺VersionMismatch: Неверная версия или пространство имен.
⏺MustUnderstand: Атрибут mustUnderstand имеет некорректное значение.
⏺Client: Ошибка в XML-документе; клиент должен его исправить.
⏺Server: Внутренние проблемы на сервере.

Ошибки в SOAP 1.2:
• VersionMismatch: Некорректная версия или имя пространства имен.
• MustUnderstand: Некорректный синтаксис заголовка.
• Data Encoding Unknown: Неизвестная кодировка данных.
• Sender: Ошибка на стороне клиента (искаженный XML-документ).
• Receiver: Проблема на стороне сервера (например, отсутствие XML-анализатора).

SOAP также позволяет расширять список ошибок, предоставляя дополнительные подробности.

N.A. ℹ️ Help

Читать полностью…

Настройка OSPF с использованием Stub и NSSA областей

OSPF предоставляет возможность оптимизировать маршруты в сети, используя различные типы областей, такие как Stub и NSSA (Not So Stubby Area).

Эти области помогают снизить нагрузку на маршрутизаторы и упрощают управление топологией.

Задача:
• Удаленные офисы должны получать минимальное количество маршрутов.
• В одной из областей требуется поддержка внешних маршрутов из других автономных систем (например, BGP).
• Оптимизировать трафик между Backbone (магистральной) областью и филиалами.

Решение:
1️⃣Область 1 (Stub Area):
Используется для удаленных офисов, где нет необходимости в детализации маршрутов. Stub Area блокирует маршруты типа 4 (ASBR Summary) и 5 (External) и заменяет их маршрутом по умолчанию.
2️⃣ Область 2 (NSSA):
Позволяет маршрутизаторам принимать внешние маршруты, добавленные через ASBR, но сохраняет свойства заглушенной области, блокируя LSA типа 4 и 5 от других областей.

Топология:
⏺Маршрутизатор R1: находится в магистральной области (Area 0).
⏺Маршрутизатор R2: подключен к Stub Area (Area 1).
⏺Маршрутизатор R3: подключен к NSSA (Area 2) и взаимодействует с внешней сетью через ASBR.

Настройка:

Маршрутизатор R1 (Backbone Area):

router ospf 1
 network 192.168.0.0 0.0.0.255 area 0

Маршрутизатор R2 (Stub Area):

router ospf 1
 network 192.168.1.0 0.0.0.255 area 1
 area 1 stub

Маршрутизатор R3 (NSSA):

router ospf 1
 network 192.168.2.0 0.0.0.255 area 2
 area 2 nssa

Если на маршрутизаторе в NSSA нужно добавить внешние маршруты через ASBR:

router ospf 1
 redistribute connected subnets

Результат:
• Stub Area (R2): маршрутизаторы получают только внутренние маршруты (LSA 1, 2, 3) и маршрут по умолчанию для доступа ко внешним сетям.
• NSSA (R3): маршрутизаторы получают внешние маршруты (LSA 7) из ASBR, которые преобразуются в LSA 5 при передаче в Backbone Area.

N.A. ℹ️ Help

Читать полностью…