- UANOG - uanog.one

AWS private VPC, NAT gateway, ACL... нема доступу в outside world from docker container of docker host.
by Oleh Hrynchuk 12 Jan '23

12 Jan '23

Доброго дня всім, Шановне панство, маю питання стосовно security policy в private VPC of AWS. Суть в наступному. Нам "старші товариші з US" приписали завести одну docker-type аплікуху в спеціально виділеній private VPC на спеціальному ЕС2. "Спеціальність" останнього полягає в попередній "заточці" стандартного Amazon Linux 2 AMI під корпоративні правила безпеки. Зокрема вмиканні там SeLinux, сетапі спеціальних nftables.rules тощо. І вийшло так, що ніби все з матюками вдалося зробити (SELinux довелося вирубати "за згодою сторін") за винятком одного: email notifications (на порт 587 GMail SMTP) принципово з контейнера не ходять. А ось із docker host (отого ЕС2) - нормально ходять. Також неможливо з докер-контейнера (там Ubuntu) виконати оновлення OS (apt update) - нема доступу назовні. Враження наступне - з контейнера НЕМА доступу до Інтернета. З docker-хоста - є. Ще така фігня, що в контейнері нема найнеобхідніших інструментів для траблшутинга - навіть ping/traceroute. І не поставиш - apt не має виходу назовні. (Ну, тут можна із"їбнутися і підсунути щось в docker volume напряму... ще ось не пробував так, але спробую). Підозра падає на NAT Gateway між private VPC та outside world. Чи хтось з таким стикався і що робити, щоби це а) точно локалізувати; б) полікувати цю фігню. Може це якась стандартна фігня, а я не знаю про це? Дякую. -- Regards, /oleh hrynchuk

6 12

Wi-Fi ретранслятор з акумулятором
by Volodymyr Melnyk 11 Jan '23

11 Jan '23

Шановне панство, а чи зустрічав хтось десь такі ретранслятори Wi-Fi, щоб у них всередині десь акумуляторчик був, аби він, коли живлення подається, підзаряджався, а коли немає - продовжував собі певний час працювати тихенько всім на радість? Дякую.

7 12

Sam Halabi "OSPF Design Guide"
by Volodymyr Litovka 01 Jan '23

01 Jan '23

Привіт, ще раз в Новим Роком! Нехай це буде рік нашого планування, а не чійогось. Питання - те, що раніше було доступно в два кліки в гуглі, тепер можу знайти тільки на сайтах з реєстрацію. Бісить. У кого в заначці є "OSPF Design Guide" славнозвісного Сема Хелебі (Sam Halabi)? Треба військовим віддати для самонавчання. Може _крім_ вищезазначеної книги у когось щось знайдеться в укр або рус перекладі? Я свої давешні тренінги підсунув, але документації _простими словами_ завжди мало було. Дякую. -- Volodymyr Litovka "Vision without Execution is Hallucination." -- Thomas Edison

1 1

open-source self-hosted dynDNS
by Volodymyr Litovka 29 Dec '22

29 Dec '22

Hi, з Різдвом та з прийдешнім Новим Роком - нехай буде кращім за цей. А порадьте, будь ласка, DNS сервер який підтримує DynDNS, та такий, щоб не витрачати на його налаштування стільки часу, скільки на фрірадіус хай йому грець. В принципі, у мене клієнт - лінух, де я можу запускати будь-який скрипт upon event, тому powerdns/api теж підійшов би, але хочеться щось таке, щоб можна було використати універсальніше, якщо що. Дякую. -- Volodymyr Litovka "Vision without Execution is Hallucination." -- Thomas Edison

2 2

freeradius simultaneous-use
by Volodymyr Litovka 26 Dec '22

26 Dec '22

Привіт, а хто-небудь грається з лімітуванням кільості одночасних підключень за допомогою параметра SImultaneous-Use? я вже й по колесу стукав, й скло протирав - ніхєра не допомагає DEFAULT NAS-Identifier := "myNAS", Pool-Name := "main_pool", Simultaneous-Use := 1 Service-Type = Framed-User, Framed-Protocol = PPP, Framed-MTU = 1500, Fall-Through = Yes doka Cleartext-Password := "x123456" незаважаючі на те, що навіть checkrad сам по собі працює (йде на сервер та запитує про юзера), виглядає так, що freeradius тупо ігнорує цю умову. Freeradius v3.0.26, якщо це має значення, сервер - Мікрот. Контроль за підключеннями потрібен. Є ідеї, що я роблю не так? Я якісь інші варіанти? (Port-Limit спробував - схоже, мікрот його ігнорує). Дякую! -- Volodymyr Litovka "Vision without Execution is Hallucination." -- Thomas Edison

2 4

Порекомендуйте обладнання для офісного WiFi з функцією роамінгу.
by Oleh Hrynchuk 16 Dec '22

16 Dec '22

Привіт усім. Ох..єть нестандартна задача.. 😎 Є базова езернет-мережа на базі обладнання Mikrotik, яка чудово справляється з своїми функціями. А ось WiFi мережу "тра мінєти". Бо вона - зоопарк старих мильниць TP-Link (741, 840, 842) та один ZyXEL. Їх там усіх 6 штук Топологія офісу (див. схему внизу): - один здоровий квадратний openspace десь на 300-400 квадратів з колонами та перегородками з скла (кабінети манагерів) та фанери (працівники), - коридор - окремо кабінет шефа - та примикаюча до нього через спільну стіну кухня В офісі знаходиться як правило 20-30 людей зі своїми численними гаджетами. Вимоги: 1. Наявність фунціоналу роамінгу 2. Нормальна інтеграція з DHCP from Mikrotik 3. Підтримка VLANs (щоби відокремити корпоративні ноути/десктопи від приватних гаджетів, як це вже давно зроблено для ethernet-інтерфейсів) Ubiquiti підійде? Чи можна й на мікротах то все зробити? Моделі відразу порадьте... Дякую. -- Regards, /oleh hrynchuk

5 7

Странности современного резолвинга и как их понимать и диагностировать
by Valentin Nechayev 11 Dec '22

11 Dec '22

hi all, столкнулся с такой ситуацией. Имена/IPs не секрет, но замаскированы чтобы не влезать в лишние в общем случае подробности, если надо - открою. Есть домены buka.kiev.ua и zuka.kiev.ua. Из авторитетных серверов kiev.ua выбираю для определённости nn.ns.ua (не думаю, что есть существенная разница, поправьте, если что). $ dig @nn.ns.ua buka.kiev.ua a ;; AUTHORITY SECTION: buka.kiev.ua. 28800 IN NS ns11.zuka.kiev.ua. buka.kiev.ua. 28800 IN NS ns22.zuka.kiev.ua. ;; ADDITIONAL SECTION: ns11.zuka.kiev.ua. 28800 IN A 10.1.0.1 ns22.zuka.kiev.ua. 28800 IN A 10.2.0.2 <-- ??? Повторный запрос показывает точно такой же TTL - значит, сервер отдаёт то, что считает авторитетным данным. Как я подозреваю, это идёт из какой-то glue record. В то же время, если делать прямой запрос ns22.zuka.kiev.ua, nn.ns.ua редиректит: ;; AUTHORITY SECTION: zuka.kiev.ua. 28800 IN NS ns1.the-registrar.ua. zuka.kiev.ua. 28800 IN NS ns2.the-registrar.ua. И уже эти NSʼы отвечают другим IP, который и ожидается: ;; ANSWER SECTION: ns22.zuka.kiev.ua. 3600 IN A 10.3.0.3 <-- OK Вот тут "меня начинают терзать смутные сомнения". Отдача записи glue в additional - норма начиная со времён где-то ISC BIND 9.4, когда начали вполне справедливо параноить на тему кэша и опасных записей в нём. Но почему эта запись вообще появляется тут? Клеевые записи должны применяться, по новым положениям, только для резолвинга того домена, к которым они относятся, не так ли? То есть, если рекурсор пошёл резолвить buka.kiev.ua, он должен добраться до того, кто авторитетно (не из glue) отвечает IP для ns22.zuka.kiev.ua, и уже получив эти данные идти резолвить что-то из buka.kiev.ua? А промежуточные авторитетные отдатчики зон не должны отвечать записями, которые не относятся к их компетенции? Почему вообще возник вопрос - есть подозрение, что тут некоторые (вероятно, сильно старые) рекурсоры ловят все входящие данные, в частности, из таких additional. В этом случае они накапливают неадекватные адреса, и выловить источник такого крайне тяжело. И следующий технический вопрос тогда к Хостмастеру. Вы фильтруете подаваемое от регистраторов на предмет чужих glue (не относящихся к управляемому домену)? Если да, какой механизм возникновения описанной выше ситуации? Если нет, то почему? -netch-

2 1

Есть какие-то варианты качать с торрентов через 4G Интернет Водафона?
by Alexander V Soroka 10 Dec '22

10 Dec '22

Привет всем ! Есть какие-то варианты качать с торрентов через 4G Интернет Водафона? переехал в место где "Света" есть всегда, но вот с Инетом проблемы - ЛаНЕТ вроде тут в соседнем доме есть но сопли жует, вместо ответа на мой вопрос "можете ко мне линию провести?". Торренты нужны иногда файлы покачать, не всегда пиратское :) неудобно без них... Кто-то подскажет ? Пробовал через ОпенВПН (и есть впн который работает, не фри) но чето тоже не едет ничего... Заранее спасибо! -- Best regards, Alexander V Soroka http://www.svr.ua/ AS106-RIPE mailto:alex@euro.net.ua -- Это сообщение было проверено антивирусным ПО AVG на наличие вирусов. www.avg.com

4 7

вакансия ит
by VASYL MELNYK 08 Dec '22

08 Dec '22

Всем привет, не знаю насколько это будет оффтопом, но считаю это может кого-то заинтересовать компания стабильная, я в ней проработал 20 лет, но сейчас мы перестали друг другу подходить, поэтому компания ищет линуксового админа-сетевика Вилка по зп 40-100 - в зависимости от компетенций и позиции, потому что фактически ищется руководитель отдела поддержки, условия - полная занятость 8 часов, иногда бывает надо делать чего то в выходные, чтобы процессы не останавливались в рабочее время. И верхняя цифра это все же больше позиция начальника отдела администрирования. Чего делать: Сервер виртуализации, брендовый делл, среда виртуализации проксмокс, внутри куча разных виртуалок начиная от сервера приложений 1с и заканчивая виртуалками для конкретного пользователя. Строил это все я с упором на опенсорс, поэтому никаких актив директори и не пахнет там, используются учетки из азюры, но это все через веб-морду управляется. Если кому интересно - присылайте мне резюме, я перешлю ит директору. Сама вакансия опубликована вот так: Основные обязанности: 1. Подчинение: ИТ директору 2. Наличие подчиненных: 2 системных администратора с возможностью расширения штата при необходимости 3. Серверное администрирование: Linux, виртуальные машины в зарубежном дата центре, среда виртуализации proxmox 4. Администрирование 1С Linux 5. Администрирование серверов баз данных: Postgres, MS SQL 6. Сетевое администрирование: развитие сетевой инфраструктуры на 5 локациях (cisco + mikrotik) 7. Администрирование офиса 365 и MS Azure 8. Формирование политики резервного копирования (бэкапы) 9. Техническая поддержка пользователей – вторая линия 10. Закупки ИТ инфраструктуры: обеспечение пользователей, серверного оборудования 11. Внедрение системы мониторинга Zabbix 12. Развертывание и поддержка dev окружений

2 2

Чи має право на існування отака схема з двома VPN?
by Oleh Hrynchuk 19 Nov '22

19 Nov '22

Таки не пропустило в перший раз... Привіт усім. Колеги, є наступна задача. Офіс переходить на Starlink-канал і позбавляється усіх серверів etc (виносить в AWS). У зв"язку з цим виникає питання/задача віддаленого доступу до конфігурації офісних роутера та світчів. Ну і, може, інколи, треба буде до якогось ноута/десктопа колеги (котрий сидить в офісі) доступитися по Anydesk абощо.. Але головне - можливість віддалено доступитися до офісного роутера на 22 та/чи 443-й порт. Чи живуча буде така схема, приймаючи до уваги усі прєлєсті Старлінка (не знаю чи пролізе ця jpg розміром в 101K)? [image: image.png] -- Regards, /oleh hrynchuk

5 7