Linux

Первый из семи уровней мини-курса "Networking 20/80": 20% сетевых знаний, которые закрывают 80% ежедневной работы DevOps. Без зубрёжки семи слоёв OSI ради собеса – по делу. Сегодня карта местности: какие модели сети существуют и что на самом деле летает между твоим curl и ответом сервера. "OSI – это не то, что нужно зубрить для собеса. Это карта, по которой ты ищешь, на каком уровне сломалось." Откуда это пошло 1969 – ARPANET. Агентство DARPA (Министерство обороны США) финансирует сеть между четырьмя университетами: UCLA, Stanford, UCSB, University of Utah. 29 октября 1969 года Charley Kline пытается отправить слово "LOGIN" из UCLA в Stanford. Система падает после "LO". Первое сообщение в истории интернета – "LO". (Позже шутили: "Lo and behold" – "Вот и чудо".) ...

Категория: Системное администрирование Цель: Развернуть production FreeIPA с учётом всех подводных камней Чему научитесь: Правильная установка FreeIPA Настройка LDAP, Kerberos, DNS, CA Управление пользователями Мониторинг и решение проблем Резервное копирование Требования: RHEL/CentOS Stream/AlmaLinux/Rocky 8-9 Минимум 4GB RAM Статический IP и FQDN Доступ root Серия статей: все части Установка FreeIPA (эта статья) NFS + Autofs интеграция Hashicorp Vault интеграция Архитектура FreeIPA graph TB A[FreeIPA Сервер] A --> B[LDAP389 Directory] A --> C[KerberosMIT KDC] A --> D[DNSBIND] A --> E[CADogtag] Компоненты: ...

Второй из семи уровней мини-курса "Networking 20/80": 20% сетевых знаний, которые закрывают 80% ежедневной работы DevOps. В нулевом уровне разобрали карту местности – на каком слое искать поломку. Сегодня спускаемся на уровень адресов: как из 10.25.1.100/24 за десять секунд достать сеть, broadcast и число хостов, не открывая калькулятор подсетей. "IP-адресация – единственная часть сетей, где нужна арифметика. Хорошая новость: арифметика простая – степени двойки." Откуда это пошло 1981 – IPv4 (RFC 791). Jon Postel (ISI, один из отцов интернета) определяет формат: 32 бита, разделённые на 4 октета. 2^32 = ~4.3 миллиарда адресов. В 1981 году казалось, что хватит навсегда. ...

Категория: Системное администрирование Цель: Настроить безопасное NFS хранилище с автомонтированием Чему научитесь: Безопасная настройка NFS (без no_root_squash!) Правильные параметры монтирования (hard vs soft) Autofs с FreeIPA LDAP Kerberos для NFS Решение проблем Требования: FreeIPA настроен (часть 1) RHEL/CentOS Stream/AlmaLinux/Rocky 8-9 Статический IP Root доступ Серия статей: все части Установка FreeIPA NFS + Autofs (эта статья) Hashicorp Vault интеграция Production vs Лаборатория Параметр Лаборатория Production NFS exports no_root_squash root_squash Монтирование /home soft hard DNS chattr +i NetworkManager Kerberos Опционально Обязательно SELinux Permissive Enforcing Важно: no_root_squash в production = нарушение безопасности! ...

Третий из семи уровней мини-курса "Networking 20/80". На прошлом уровне научились считать подсети и адреса. Но в реальной работе ты пишешь curl http://api.example.com, а не голый IP. Сегодня – как имя превращается в адрес (кеш браузера → /etc/hosts → кеш ОС → DNS-сервер)1, почему это одна из самых частых причин инцидентов и как за минуту находить, где именно порвалось. "DNS – это телефонная книга интернета. Но в отличие от телефонной книги, она распределена по миллионам серверов и обновляется каждую секунду. И когда она ломается – ломается всё." ...

Четвёртый из семи уровней. Адреса и имена уже пройдены – данные знают, куда ехать. Теперь про то, КАК они едут: TCP с гарантией доставки против UDP без гарантий, трёхстороннее рукопожатие, состояния соединения и два самых частых диагноза на дежурстве, которые новички путают – "refused" и "timeout". "Connection refused" и "Connection timeout" – две самых частых ошибки в DevOps. Они означают совершенно разные вещи, и различие – в TCP. Откуда это пошло 1974 – Vint Cerf и Bob Kahn публикуют TCP (Transmission Control Protocol). Проблема: IP-пакеты могут теряться, дублироваться, приходить не в том порядке. TCP решает: надёжная, упорядоченная доставка поверх ненадёжной сети. ...

Пятый из семи уровней. Соединение установлено – теперь про то, что по нему говорят. HTTP как язык, на котором общается почти весь веб, и TLS как конверт, в который этот язык заворачивается. Читать статус-коды и вывод curl -v как родной текст – базовый навык любого дежурного. "HTTP – язык, на котором общается 99% веб-сервисов. TLS – конверт, в который этот язык заворачивается. DevOps должен читать HTTP как родной." Откуда это пошло 1991 – Tim Berners-Lee (CERN) создаёт HTTP/0.9. Одна команда: GET /page.html. Одно соединение – один документ. Никаких заголовков, только текст. ...

Шестой из семи уровней. Ты умеешь пускать трафик – теперь про то, как его фильтровать. Межсетевой экран (firewall) – не "стена", а решение для каждого пакета: пропустить, отбросить молча или отказать явно. Разница между DROP и REJECT однажды сэкономит тебе час отладки "зависшего" клиента. "Межсетевой экран – не стена, а фильтр. Он не "блокирует всё", а решает для каждого пакета: пропустить (ACCEPT), отбросить молча (DROP) или отказать явно (REJECT)." Откуда это пошло 1988 – первый сетевой червь (Morris Worm) заразил ~6000 машин из ~60000 подключённых к интернету, и мир осознал: сети нужна защита. К 1989–1992 в DEC и AT&T Bell Labs появились пакетные фильтры – проверять каждый пакет по правилам (src/dst IP, порт, протокол) и пропускать либо блокировать. ...

Седьмой, финальный уровень мини-курса "Networking 20/80". Всё предыдущее сходится здесь: адреса, DNS, TCP, HTTP и межсетевые экраны складываются в то, как запрос снаружи попадает в pod и распределяется между репликами. L4 против L7, четыре типа Service, Ingress – и общая картина сети в Kubernetes целиком. "В Kubernetes нет понятия "сервер". Есть pod-ы, которые рождаются и умирают. Service – абстракция, которая превращает хаос в стабильную точку доступа (endpoint). Ingress – дверь снаружи." ...

БОЛЬ Пятница, 18:47. Вы обновляете Python на сервере, где крутятся 5 микросервисов. apt upgrade python3 – и бот в Telegram падает, потому что ему нужен Python 3.10, а вы только что поставили 3.12. Заодно сломался Flask-сервис, который зависел от libssl1.1, а теперь стоит libssl3. Знакомо? Это классика: конфликт зависимостей на общем хосте. Один apt update может положить всё, потому что 5 сервисов делят одну файловую систему, одни библиотеки, один Python. ...