November 2019 - UANOG

Кто такой девопс ? :)
by Alexandr Baryshnyev 29 Nov '19

29 Nov '19

Доброго всем дня, извините за может быть глупый вопрос, но что это за должность такая, DevOps ? Я человек старой закалки, работу сисадмина себе представляю прекрасно, но вот имел вчера беседу с "молодой порослью", которая разговаривает на непонятном мне языке и услышал от них приблизительно следующее (в переводе на русский сисадминский). Вот есть средняя или по нашим меркам может даже крупная IT фирма. Были у них когда-то сервера под боком и свои сисадмины для обслуживания этих серверов. Потом вдруг вместо этих серверов появились модные ныне облака и вот тут вместо админов вся работа вдруг стала очень зависимой от вот этих девопсов, не к ночи будет сказано, поскольку никто кроме них в этих облаках летать не может, не умеет, и не хочет. Причём зарплаты у них совершенно фантастические даже по меркам IT, трогать их боится даже генеральный директор и, что самое интересное, по возрасту они все сильно за 50, суровые такие мужики :) . Когда такой вод девопс решил неожиданно уволится, то это было трагедией для бизнеса, из него долго выпытывали все пароли и скрипты, которыми он все эти облака подпирал и в результате он остался, но стал получать ещё больше :). У соседей - конкурентов говорят ситуация аналогичная. Ну и вот, задумался я, может во мне тоже такой скрытый талант пропадает, по возрасту подхожу даже больше, чем надо, если это важно. А вдруг? :) И второй вопрос, если это хоть приблизительно правда, то нафига козе баян тогда? В облака эти зачем лезть было, если и так всё работало с меньшими издержками и зависимостями? А что там в этих Амазонах внутри происходит только редкие уникумы могут разобраться? :) -- Best regards, Alexandr B. Baryshnyev, e-mail: abb(a)abbon.net

6 10

CIsco 1841 MPLS aware ios
by Eduard M 27 Nov '19

27 Nov '19

Привет Кто может поделиться для лабы иосом? Есть несколько Cisco 1841 с advancedip 12.4 (25a), но, ввести команды mpls не дает :( Цисковсий сайт утверждает, мол, Cisco 1841 может быть LSR и LER. Заранее спасибо! Эдуард

4 4

ISP/NSP сеть с нуля в 2020
by Eduard M 26 Nov '19

26 Nov '19

Добрый день! Коллеги, 2019 год (облака, SDN, virtual edge, containers, software-centric networks и т.д.)... Как бы вы строили ISP/NSP сеть в 2020 году с нуля? * минимальное количество BER (Big Expensive Routers) * отказоустойчивость * корпоративный сектор * международная сеть * L2/L3 сервисы. В основном, L2 + VLAN range * Inter-carrier connections & NNI * 1/10/100G * OAM и соотвествующие процессы * максимальная автоматизация сети и услуг (наличие API как-минимум, самообслуживание для клиентов и автоконфигурация сервисов на основе их выбора и т.д.) Пока картина складывается примерно такая: * физические коммутаторы для PoPs (держат все интерконнекты) * виртуальные роутеры в датацентрах (BGP с аплинками и клиентами) + NNI + virtual edge * аренда L2 (если нет своей оптики) * использование L3 (если нет L2) * EVPN-VXLAN как основные технологии * не ясно что с MTU * не ясно на какие бренды смотреть (свитчи и виртуальные роутеры) Покритикуйте конструктивно плз. Заранее спасибо! Если кто может помочь с детальным дизайном - пишите в личку. Договоримся. Эдуард Мельник

8 20

Лицензирование Инженеров в США ?
by Alexander V Soroka 25 Nov '19

25 Nov '19

Привет всем ! вопрос к тем кто в курсе - в США работа Инженера - это что, требует лицензирования? как и врача ? читаю: FOREIGN-EDUCATED APPLICANTS All foreign educated applicants holding a bachelor of science in engineering degree not accredited by the Accreditation Board for Engineering and Technology (ABET) are required to submit a favorable evaluation report completed by NCEES Credentials Evaluations. The application for evaluation of an engineering degree may be obtained by accessing NCEES Credentials Evaluations; www.ncees.org or you may call 864-654-6824. Once you have satisfied the requirements, you may complete the standard application form and submit it to the Board office for consideration. читаю : https://ncees.org/ ... Professional licensure protects the public by enforcing standards that restrict practice to qualified individuals who have met specific qualifications in education, work experience, and exams. ... In the United States, licensure for the engineering and surveying professions is regulated by state. Candidates interested in pursuing licensure are encouraged to check the requirements in the state or territory where they plan to practice, as the requirements vary. ... То есть, получается если кто-то от нас (Украина) хочет работать Инженером в США, то ему надо "там" проходить экзамен и лицензирование? Это и Инженерам по неворкингу и ПО тоже надо сдавать экзамены ??? Или я что-то напутал? Кто в курсе вопроса ? -- Best regards, Alexander V Soroka http://www.svr.ua/ AS106-RIPE mailto:alex@euro.net.ua

4 7

То і я запитаю... Про VPN masquerading etc..
by Oleh Hrynchuk 13 Nov '19

13 Nov '19

Доброго всім вечора. Щось я трохи заплутався. Help, please. Є роутер з одним зовнішнім ІР (наприклад, 1.1.1.1), який всі запити на 1.1.1.1:443 форвардить на внутрішній Apache2 reverse proxy server (192.168.X1.Y1) , котрий у свою чергу далі розкидає їх по віртуальних серверах (які являють собою CNAME на 1.1.1.1 але крутяться на "фізичних" інстансах 192.168.0.0/16 з докерами-вебсерверами 172.16.0.0/12). Одним із цих докерів є VPN openconnect server, що роздає своїм VPN-клієнтам ІР-адреси 192.168.X3.0/24. Задача - сховати ДЕЯКІ із віртуальних серверів від Інтернета. Тобто, щоби доступ до них був можливим лише з 192.168.0.0/16 та 172.16.0.0/12 Проблема в тому, що, ясний пень, на віртуальні сервери завжди приходить https-запит із src-address proxy-сервера 192.168.X1.Y1 незалежно від того чи запит був ізсередини офісної сітки, чи з Інтернета. Окрім всього маскарадинг VPN-клієнтів в їхніх https-запитах не працює, і на Apache proxy завжди прилітає реальний (чесний) src-address VPN-клієнта (в принципі зрозуміло чому - в тунель неможливо засунути маршрут на реальну ІР-адресу дальнього кінця тунеля). Одним словом, як правильно вирішується дана задача? Куди копати? Наперед дякую. -- Regards, /oleh hrynchuk

2 3

Региональный RIPE NCC meeting и Paul Vixie
by Maksym Tulyuk 12 Nov '19

12 Nov '19

Коллеги, А это правда, что в Киев на Региональный RIPE NCC meeting приезжал Paul Vixie и рассказывал про “плохой” DNS over HTTPS? Спасибо, Максим

3 7

Подскажите пож роутер
by Vladimir Sharun 11 Nov '19

11 Nov '19

Всем привет, Есть включение пару-тройку операторов (tier1/2/3). Теоретически, по-бедному, можно принимать от них дефолт, вместо неск. full view, но бывают ситуации, когда этот дефолт приходит без ничего за ним (т.е. 0/0 есть, а за ним ничего нет - оборван канал от ПОП оператора дальше), а страхуется это только контролем кол-ва префиксов. Клиентов - один, требуется оооочень стабильная сеть. Из-за особенностей законодательства Украины, сервис не может стать в ДЦ-ы Level3 (CenturyLink) или в Телию в Европе и тем самым снять с себя проблемы с сетью раз и навсегда. Т.е. рассматривается конфигурация: operators -[switch]-route_server Где свитч выполняет роль маршрутизатора с дефолтом, а роут-сервер - контролит качество дефолта. Спасибо.

6 9

Re: [uanog] Подскажите пож роутер
by Vladimir Sharun 11 Nov '19

11 Nov '19

Привет, AS - планируется, их же еще выдают ? /24 тоже есть. Пока я думаю, что надо такой роутер, который роутить не будет, а который будет отдавать основной/резервный full view исходя из соображений не менее Х сотен тыс префиксов в главном и второстепенном. Если в обоих фигня - всё равно основной отдаётся. Вопрос кто это умеет. 6 листопада 2019, 18:19:21, від "Eduard M" <eduard(a)melnyk.lu>: Привет Например, juniper mx5 и выше. Настроил и забыл Плюс есть поддержка Еще мне советовали mikrotik ccr модели. Но надо тестить время сходимости на 3х fullview С другой стороны, ничего не сказано про наличие своего pi+as. /29 на оператора без своего блока влечет за собой разные исходящие адреса (хотя, может это и не проблема вовсе). Bird уже советовали. Quagga (или даже зебра) справится с задачей. Если стремно - два разных тазика (виртулки с парой гигов мозгов) позе RR (уже советовали для правильного next hop). И есть ли bgp с клиентом? :) Если нет - тазики в позе роутеров плюс nat плюс vrrp. На линуксах работает без вопросов. Sent from my iPhone On 6 Nov 2019, at 16:55, Vladimir Sharun <vladimir.sharun(a)ukr.net> wrote: Привет, Спасибо. А есть ли то же самое, но только с хорошей такой поддержкой вендора или bird - это что-то по continuity работы похоже на named например, т.е. не то чтобы безглючное, но невисючее ? 6 листопада 2019, 15:03:09, від "Alexandr Baryshnyev" <abb(a)abbon.net>: Поставьте софтроутер на писюке, bird вполне разрулит вам три канала с full view без всяких костылей. Сэкономленные деньги можно со спокойной совестью пропить. 06.11.2019 14:42, Vladimir Sharun пишет: > Всем привет, > > Есть включение пару-тройку операторов (tier1/2/3). > > Теоретически, по-бедному, можно принимать от них дефолт, вместо неск. full view, но бывают ситуации, когда этот дефолт > приходит без ничего за ним (т.е. 0/0 есть, а за ним ничего нет - оборван канал от ПОП оператора дальше), а страхуется > это только контролем кол-ва префиксов. > > Клиентов - один, требуется оооочень стабильная сеть. Из-за особенностей законодательства Украины, сервис не может стать > в ДЦ-ы Level3 (CenturyLink) или в Телию в Европе и тем самым снять с себя проблемы с сетью раз и навсегда. > > Т.е. рассматривается конфигурация: > > operators -[switch]-route_server > > Где свитч выполняет роль маршрутизатора с дефолтом, а роут-сервер - контролит качество дефолта. > > Спасибо. > > _______________________________________________ > uanog mailing list > uanog(a)uanog.kiev.ua > https://mailman.uanog.kiev.ua/mailman/listinfo/uanog > -- Best regards, Alexandr B. Baryshnyev, e-mail: abb(a)abbon.net _______________________________________________ uanog mailing list uanog(a)uanog.kiev.ua https://mailman.uanog.kiev.ua/mailman/listinfo/uanog _______________________________________________ uanog mailing list uanog(a)uanog.kiev.ua https://mailman.uanog.kiev.ua/mailman/listinfo/uanog

2 2

Chain BLACKLIST
by Alexander V Soroka 04 Nov '19

04 Nov '19

Привет ! просто сил уже нет... :-( ломятся флюдяит пытаются ломать SMTP в 25 порт. пришлось руками записать в блеклист: Chain BLACKLIST num target prot opt source destination 1 DROP all -- 18.184.58.0/24 0.0.0.0/0 2 DROP all -- 18.194.104.0/24 0.0.0.0/0 3 DROP all -- 23.254.230.0/24 0.0.0.0/0 4 DROP all -- 52.28.70.0/24 0.0.0.0/0 5 DROP all -- 52.29.21.0/24 0.0.0.0/0 6 DROP all -- 52.57.6.0/24 0.0.0.0/0 7 DROP all -- 52.57.177.0/24 0.0.0.0/0 8 DROP all -- 52.58.140.0/24 0.0.0.0/0 9 DROP all -- 52.58.143.0/24 0.0.0.0/0 10 DROP all -- 54.93.152.0/24 0.0.0.0/0 11 DROP all -- 54.93.225.0/24 0.0.0.0/0 12 DROP all -- 78.128.113.0/24 0.0.0.0/0 13 DROP all -- 92.118.38.37 0.0.0.0/0 14 DROP all -- 92.118.38.0/24 0.0.0.0/0 15 DROP all -- 45.82.153.0/24 0.0.0.0/0 16 DROP all -- 45.125.65.0/24 0.0.0.0/0 17 DROP all -- 45.125.66.0/24 0.0.0.0/0 18 DROP all -- 45.142.195.0/24 0.0.0.0/0 19 DROP all -- 46.38.144.0/24 0.0.0.0/0 20 DROP all -- 62.76.40.69 0.0.0.0/0 21 DROP all -- 141.98.10.0/24 0.0.0.0/0 22 DROP all -- 103.89.88.0/22 0.0.0.0/0 23 DROP all -- 103.253.42.0/24 0.0.0.0/0 24 DROP all -- 146.0.246.0/24 0.0.0.0/0 25 DROP all -- 185.36.81.0/24 0.0.0.0/0 26 DROP all -- 185.234.216.0/24 0.0.0.0/0 27 DROP all -- 185.234.217.0/24 0.0.0.0/0 28 DROP all -- 185.234.218.0/24 0.0.0.0/0 29 DROP all -- 193.32.160.0/24 0.0.0.0/0 причем домятся открывают порт и исчезают - до уровня логов и дальнейших действий дело не доходит. Как с таким бороться ? автомат какой-то поставить, чтобы сам автоматом при обнаружения активности - сам вписывал в блаклист? -- Best regards, Alexander V Soroka http://www.svr.ua/ AS106-RIPE mailto:alex@euro.net.ua

4 3