2499
Блог сетевого инженера. Новости телеком, IT и около IT. Связь - @UrgentPirate
Как на Juniper SRX подгружать списки IP адресов в правила файрвола с веб сервера: примеры и тесты.
Читать полностью…
Методов сканирование IPv6 уже достаточно много и даже вполне успешных. Про сканирование адресов подсетей, вроде, уже обсуждали. Способ рабочий, потому что роутеры на эти адреса могут отвечать, получать запросы, так уж точно RFC1884:
The "subnet prefix" in an anycast address is the prefix which identifies a specific link. This anycast address is syntactically the same as a unicast address for an interface on the link with the interface identifier set to zero.
Packets sent to the Subnet-Router anycast address will be delivered to one router on the subnet. All routers are required to support the Subnet-Router anycast addresses for the subnets which they have interfaces.
BGP маршруты.
Читать полностью…
У меня был чёткий момент когда я понял что такое интеграл, вот прямо понял, а не делал формальные заученные действия по преобразованию. И этот момент, когда у нас началась вычислительная математика и, собственно, методы прямоугольников для вычислений определённых интегралов. А уже потом, это распространилось и на общее абстрактное понимание. Я не делал это на JavaScript, но там тоже можно, плюс ещё оценка ошибки и необходимые поправочки.
Читать полностью…
Тест вашего DNS по доменному имени на предмет актуальности и безопасности: открытые резолверы, DNSSEC, IPv6, TTL, служебные записи.
На Пиринговом форуме на панельной дискуссии про IPv6 был классический спор про то, кто же вперёд должен внедрять IPv6: контент провайдеры или Интернет провайдеры (потребители) - как водится ни к чему не пришли. А теперь вспомиинаем какой год и что в США IPv6 много и очень много, а внутри AWS далеко не везде поддерживается, хотя эта поддержка и появляется, но до покрытия всех сервисов, не говоря уже о том чтобы быть включенным по умолчанию, очень далеко.
На волне ностальгии радиолюбители хотят себе IPv6 44::/16. Как там будет ещё непонятно, но уже бывшие 44.0.0.0/8, вполне себе, ушли по сходной цене.
Читать полностью…
Вторая статья про eBPF на примере простого полисера ICMPv6. Первая статья про, что вообще к чему с XDP и eBPF, тоже с примерами кода.
Читать полностью…
В Kubernetes, оказывается, есть сети и там, оказывается, нужны сетевики и у них даже сертификация своя будет - Certified Kubernetes Network Engineer (CKNE).
Читать полностью…
Если вдруг слышали подземные стуки сегодня с Интернетом, как на картинках, с задержками 300мс и транзитом через China Telecom Global - так выглядит утечка маршрутов, о чём пишет Qrator Radar. На обоих скринах транзитом был Билайн. Спасибо большое друзьям за картинки.
Читать полностью…
В Firefox переписали взаимодействие с UDP, чтобы поменьше переключений на ядро делать, передавая сразу большими порциями, а не по одной датаграмме. QUIC шагает по планете. В блоге APNIC ещё немного про важность этого момента. Впору вспомнить про микроядра и зачем вообще нам ядро ОС, когда пользовательские процессы забирают на себя всё больше и больше.
Примеры топологий выполнения подключения к Интернет на Cisco Meraki в трёх частях (2 и 3). Решаются все обычные вопросы надёжности, удобства, отказоустойчивости от простого к сложному. Можно посмотреть и сравнить с тем как они решаются в вашей сети.
Читать полностью…
Как пользоваться less, полегче чем vi, впрочем, некоторые вещи даже одинаковы.
Незаметно как-то прошло, пару дней назад релизнулся Memtest86+ 8.0. Бинарники забираем с сайта.
Читать полностью…
Серия статей про то как готовить local-as на Juniper для каждой из возможных опций с большим количеством примеров и конфигураций. А реальное применение из практики, для Cisco ASR 9000, было на нашем митапе весной.
Читать полностью…
Segment Routing как логичный следующий шаг, который, избавляя вас от лишнего слоя LDP, вместе с тем обнажает вашу основу сети - внутреннюю маршрутизацию, на которой в конечном итоге всё и строится. Успешная история перехода с результатами.
Если принять что программное обеспечения никогда не даёт сбоев и делает ровно то, что в нём было запрограммировано - значит признать, что все сбои уже были заложены на этапе проектирования. А вот как быть с этим признанием и поможет ли оно сделать программное обеспечение более надёжным, вопрос открытый.
Читать полностью…
После того как мы построили корпоративную сеть как провайдера на границе с Интернет, можно поговорить и про защиту от DDoS. Самостоятельно, без внешней анти DDoS услуги скорее всего ничего не получится, надо было бы стать очень большим провайдером, но родные механизмы Интернет внедрёные в сети, мониторинг и постоянная готовность к атаке должны помочь пережить её с меньшими последствиями. Blackholing вещь несомненно рабочая, но разве не этого добивается атакующий?
Читать полностью…
Спутники это вам не наземные сети. Фактор движения и постоянное перемещение между наземными станциями сильно портит всю логику работы существующих механизмов контроля перегрузок. Для решения проблемы, как всегда, предлагается новый механизм, осведомлённый об этих особеностях спутниковой сети.
Читать полностью…
VK Cloud про то как строить сети у себя облаке с доступом к обычной инфраструктуре и отказоустойчивостью через VRRP и L2 связность между зонами доступности. Готовые файлы конфигураций можно смотреть на GitHub.
Так нынче выглядит трафик, текущий в РФ от AS22697.
AS22697 - одна из автономок Roblox, с которой шел трафик на конечных пользователей. Последние пару лет этот трафик в интересах пользователей рос и в ноябре 2025 года дорос до 0,7% в интересах пользователей. Для сравнения Wildberries - самый трафиковый маркетплейс текущего момента - в интересах пользователей занимает 0,6% по трафику.
Со вчерашнего дня c 11:00 msk Roblox стал недоступен. Чем он был интересен и за что его - я не знаю. Скорее всего за рост к нему интереса подрастающего поколения и за отсутствие отзывчивости к призывам приземлить свою регистратуру в РФ.
Во FreeRADIUS (версии 3 и будущей 4) запилили сообщения об ошибках внутри протокола на хакатоне IETF 124, а MS-CHAP выпилили, попутно напомнив, что PAP вполне себе безопасно. Может быть скоро увидим и в других реализациях серверов и клиентах.
Несколько принципов построения границы корпоративной сети для подключения к Интернет. Если коротко - станьте провайдером. Вам нужны BGP, настоящая связность, IX, широкие магистрали, контроль и управление трафиком.
👋 Ку!
Похоже, что сегодня произошла пиринговая утечка через 🇨🇳 China Telecom Global (AS23764).
⏱️ Всплеск анонсов был в 12:27 МСК.
Видим, что ~5 тыс. префиксов наших операторов, в первую очередь 🇷🇺 Билайн (AS3216) и 🇷🇺 Мегафон (AS31133), начали распространяться по миру через 🇨🇳 Китай. Такие маршруты были признаны как best path для 5% наших точек наблюдения.
Так же, через Китай, были перенаправлены и маршруты 🇰🇿 AS9198 (Казахтелеком), 🇰🇷 AS9848 (Sejong Telecom) – 1/3 наших точек наблюдения определила их как best path, всего по 800 префиксов.
Маршруты магистралов 🇺🇸 AS2914 (NTT), 🇺🇸 AS6939 (HE), 🇮🇹 AS6762 (Seabone), 🇩🇪 ... тоже затронуло.
🙏
Порой я тоже закапываюсь случайно взглянув в логи домашнего роутера. Не случайно я гляжу когда что-то не работает, в этом больше смысла. Один грязный хак для конкретного провайдера с IPv6 и один тонкий, гораздо более интересный, момент в работе MPLS, который, так или иначе, присутствует почти всегда.
Работа в которой рассказывается как понять что трассировка проходит через MPLS туннель и представляется утилита PyTNT которая это показывает. Используемые методы основываются на особенностях поведения различного оборудования, кто, где и как снимает TTL, какие ставит, какие адреса подставляет в ответ. Туннели классифицируются по признакам видимости/невидимости и приводится статистика по странам, операторам, ASn, их использования.
Если это что-то странное, то что происходит нерегулярно и не ищется в логах вспомните про MTU, как владелец gre туннелей могу это только подтвердить. ICMP играет большую роль в тех самых базовых активностях на которых очень многое держится, даже в самом-пресамом защищённом контуре для него надо оставить лазейку.
В начале 2025 в Linux стало больше 40 миллионов строк кода и статистика по годам, в 1991 начиналось с 10000. Пишут что на один Radeon с документацией уходит 5 миллионов, да и в целом поддержка аппаратуры обходится во много строчек.
Тест статических данных в Nginx для разных платформ без специального тюнинга, нативно и в контейнерах, на Intel N150. TLS ожидаем сильно меняет картину и даёт пространство что-то подкрутить во взаимодействии сервера, библиотек, ОС и процессора.
Я добрался до книги "Первому игроку приготовиться" и прочитал на одном дыхании. Разница между фильмом, как разница между Золушкой которую записали братья Гримм и той Золушкой которую мы знаем из современных фильмов и детских книжек Шарля Перро. Это всё ещё сказка с известным концом и сюжетом, чудесными спасениями и наивными посылами, но злая, более честная. Удивительным образом фильм и книга дополняют друг друга и, внезапно, ощущаются разными, находятся параллельно. Читать несомненно стоит, одна из тех книг которые прочитываются залпом.
Читать полностью…