2193
Блог сетевого инженера. Новости телеком, IT и около IT. Связь - @UrgentPirate
Про будущее сетей, про то что в конечном итоге приход whitebox сам по себе, без смены парадигмы, модели их использования и места вендоров в этой модели, ничего не решает. Сети кардинально меняются и это происходит прямо сейчас, самое время определять своё положение.
Ещё раз про выбор лучшего маршрута BGP - "N WLLA OMNI". Примеры для каждого шага алгоритма, исчерпывающие объяснения и выводы.
P.S. Больше мнемоник для запоминания.
Вставляете вывод traceroute сюда - rich-traceroute.io и получаете информацию об ASn адресов на каждом шаге со ссылками на RIPEstat. В IPv6 тоже может.
Минимально необходимые настройки для безопасного использования ваших устройств NX-OS и JunOS: AAA, SSH, SNMP (лучше v3), журналирование, NTP, ACL. Не исчерпывающий, но жизненно важный список.
И ещё раз про отличия коммутаторов от маршрутизаторов, современная интерпретация:
1. У коммутатора больше портов
2. У маршрутизатора больше функционала
3. Коммутатор ограничен одной средой, например Ethernet
Это конечно помимо того, что коммутаторы смотрят в таблицу коммутации, которая преимущественно заполняется автоматически исходя из передаваемых данных. А маршрутизаторы работают с таблицами маршрутизации, которые заполняется с использованием специальных протоколов.
Многие современные устройства могут и то и другое, и это если не касаться темы SDN. Существующая терминология ещё пытается делить всё на чёрное и белое, как это было, ой как много лет назад. Иногда это даже получается.
Одна из тех многих неприятностей которая может случиться с вашим BGP роутером - его могут зафлудить обновлениями маршрутов. Что делать не рассказывают, но как понять такую ситуацию применительно к ASR9000 почитать можно. Приведены количественные пороговые значения на которые надо обращать внимание, примеры и команды, ключевая из которых sh bgp ipv4 unicast version PREV LAST.
А про BGP table version стоит почитать отдельно.
Про DNS, IPv6, Mac и стандарты - почему так сложно определить что есть что на самом деле не заглянув поглубже, когда повторный запрос, не совсем повторный. Разбор конкретной ситуации, в конкретном месте в конкретное время, со всеми подробностями.
Читать полностью…
400G на марше - ликбез по модулям от Juniper, а я пока даже в 40G не разобрался.
Читать полностью…
The BNG Blaster is a test tool to simulate thousands of PPPoE or IPoE subscribers including IPTV, traffic verification and convergence testing capabilities.
https://github.com/rtbrick/bngblaster
В Пермском крае запустили выделенную LTE-сеть в соляной шахте на глубине 400 м
Читать полностью…
Fast and Simple Disaster Recovery Solution
https://blog.ipspace.net/2021/02/fast-simple-disaster-recovery-solution.html
Инвентаризация в Zabbix версий Linux, по данным из /etc/os-release используя LLD. Готовый шаблон можно забирать на share.zabbix.com.
Мониторинг пожалуй один из ключевых механизмов в успешной и управляемой сети. Рассказ про мониторинг сети в Roblox: что было, что стало, как справились с классической задачей роста количества событий при росте сети, отделили важное от неважного и даже стали реагировать и исправлять аварии автоматически. Во многом это не техническое повествование, без подробностей, хотя и мелькают названия инструментов, но проблемы описываются общие для всех и всем кто растёт и собирается расти, придётся справляться с таким же.
Читать полностью…
Хорошая попытка разбора терминологии Bogons и Martians применительно к адресному пространству, включая ASn. Итог, Bogons=Martians + Unallocated Address Space at IANA and RIRs/NIRs. Всё то, что ни под каким видом не должно появляться в вашей таблице маршрутизации и/или при передаче из вашей сети или в вашу сеть.
В статье нет списка с сетями, хотя есть ссылки на RFC. Попробуем восполнить пробел, применительно к границе сети и Интернет в обе стороны, от вас эти сети тоже не должны улетать:
0.0.0.0/8
10.0.0.0/8
127.0.0.0/8
169.254.0.0/16
172.16.0.0/12
192.0.0.0/24, кроме
192.0.0.9,
192.0.0.10
192.0.2.0/24
192.88.99.0/24
192.168.0.0/16
198.18.0.0/15
198.51.100.0/24
203.0.113.0/24
224.0.0.0/3
Для IPv6 из Интернет не стоит ожидать ничего отличающегося от 2000::/3 из которого надо исключить:
2001::/23, кроме
2001:1::1,
2001:1::2,
2001:3::
2001:4:112::/48 и
2001:20::/28
2002::/16
Сюда же включаются и ваши собственные сети со стороны Интернет и запросы к сетям которые вы не маршрутизируете. Это ни в коем случае не исчерпывающий список (тут как минимум не хватает ещё не распределённых сетей) и может быть не совсем правильный для вашей ситуации, будьте аккуратней с мультикаст и локальными частными сетями они вполне могут быть использованы на пограничных стыках. И не забывайте про dataplane - мало добавить это в фильтры BGP это надо сделать и в ACL на интерфейсах.
Что касается ASn и куда дополнительно, я думаю, можно добавить ещё и запрет работать с AS_SET как рекомендует RFC6472 и что сделали в OpenBGPd одной опцией и в Bird тоже можно.
Если вы большой транзитный оператор с сотнями клиентов, которые тоже являются большими транзитными операторами, то конечно так однозначно и просто избавиться от bogons анонсов и трафика не получится. Но положа руку на сердце, большинство владельцев сетей в мире не являются такими, они просто этим не занимаются.
Ресурс с документацией к iproute2 с акцентом на конкретные задачи, был значительно обновлен автором, читаем про это в блоге. И, конечно, берём на вооружение - много примеров, от управления адресами до VXLAN, PBR, мультикаста и мониторинга.
Некоторые выводы по опыту внедрения IPv6 сетей от лидеров этого внедрения: Ungleich Glarus, LinkedIn и T-Mobile - в двух частях, в самом конце есть сводная таблица. Обратите внимание на пункт про оборудование, наверное, это касается вообще всех технологий, но в данном случае особенно - тесты, тесты и тесты, не доверяйте только словам вендоров, мы всё ещё, да, всё ещё в начале пути.
А если ещё немного подождать, то может поколение помнящее IPv4 вымрет (или забудет об этом, как забыли про IPX) и тогда с IPv6 всё будет иначе, потому что ничего другого не будет.
CZ.NIC сделали новую утилиту для нагрузочных тестов DNS с поддержкой DoH, DoT и остального за компанию - DNS Shotgun, документация и исходники.
Помните же про 400G трансиверы. Если вдруг не хватает, то всегда можно и LAG собрать.
Для тех кто хочет разобраться в RPKI для BGP досконально - интерактивная карта по RFC. И инструкция к ней на manrs.org, сначала надо разобраться с ней.
Специалисты, которые хотят составить обоснованное мнение о спутниковом Интернет-доступе StarLink Илона Маска, могут это сделать, начиная с сегодняшнего дня.
В бета-сети StarLink появилась первая точка RIPE Atlas. На ней доступны все типичные для Атласа измерения, включая пинг, DNS, запрос отдельных страниц по HTTP и пр.
https://atlas.ripe.net/probes/1001821/
Топологически наземный бета-терминал StarLink, к которому подключена точка Атласа, находится, скорее всего, в Сиэтле.
Так, ну вот похоже и дожили до того момента про который говорили все последние годы, когда просто уметь работать с виланами недостаточно чтобы оставаться в профессии, с этим ИИ прекрасно справляется. Заметьте, не автоматизация, не набор правил, а вот прямо ИИ.
По ссылке короткая видеопрезентация без подробностей, но интерфейс с возможностями видно и результаты работы тоже. Это Mist, если ещё не слышали, дальше только больше.
Если любите и часто используете регулярные выражения стоит уделить некоторое время, даже много времени и прочитать вот эту статью, в которой разбирается всего один приём, но разбирается до косточек.
Статья действительно очень длинная, в конце есть примеры кода на многих языках, если кому-то так будет проще или кто-то надеется понять всё без подробных разъяснений.
Для совсем ленивых:
NotThis|NotThat|GoAway|(WeWantThis)
но почитать почему так, стоит того.
Интересный симулятор, не всегда корректный в терминах и определениях и, как я думаю, не будет сильно понятным для новичков, из-за недостаточной глубины и разжёванности. Но подход мне понравился и реализация тоже, которая позволяет сделать гораздо больше чем задание в каждом уровне. Я прошёл всё до конца.
Это всё ещё сеть со всеми её принципами и алгоритмами, но без необходимости сосредотачивать внимание на конкретных вещах, используются псевдоадреса и псевдозаголовки. Упор, кстати, не на маршрутизации и коммутации, а на безопасности - спуфинг, DoS, MitM, блокировки.
Всё есть на Github, где можно помочь сделать лучше или забрать себе и сделать по-своему.
По правде говоря я или на себе тестировал (на IT отделе или сотрудниках), но тут масштаба не добьёшься, или на живых абонентах. С разными исходами, в начале карьеры чаще с печальным.
Инструмент должно быть хороший, главное абонентам не показывать, чтобы не получить непредвиденных тестов.
Наш персональный, пятничный, пламенный привет улетает в Березники, Соликамск и Усолье, где даже в шахте есть LTE, а в твоём городе не везде на центральной улице.
Про важность сетей, как основы для всего остального, важность для бизнеса, важность для инженеров. Почему это настолько важно сейчас, что если сеть начинают замечать - значит что-то идёт не так. Несколько примеров из Amazon, подходов, архитектурных решений и ошибок, того что из себя должна представлять современная сеть, которая незаменима как воздух.
Читать полностью…
Подмена ответов DNS вполне себе распространённая вещь, этим занимаются как минимум провайдеры. Обзор работы в которой приводится статистика за последние 6 лет и даже есть разбивка по странам и провайдерам с относительными количественными данными. Оригинал интереснее и подробнее. Но это почти легитимное поведение, или вынужденное, но решающее проблемы (DoH вам в помощь), существующими технологиями и средствами владельцами транзитных узлов. А вот dnsmasq стоит обновить, если вдруг новость пропустили.
Достойное резюме и достойное исполнение:
# traceroute6 cv6.poinsignon.org
Не только в IT, всего лишь человеческая природа. В продолжении темы 10x Engineer. Вырасти в профессионала или так и остаться в песочнице.
Читать полностью…
