Задать вопрос

Евгений Хлебников

Cloud infrastructure, monitoring engineer. SRE
Лайки

  • Объясните суть Systemctl в ubuntu?

    @figachit
    Первая показывает статус юнита. Вторая статус файрволла

    systemctl не смотрит статус файрволла
    Ответ написан
    Комментировать
    Комментировать

  • Объясните суть Systemctl в ubuntu?

    @pfg21
    ex-турист
    в консольной команде первое слово - это имя програмки, которую запускаешь.
    остальные слова передаются програме в качестве параметров.

    соответственно systemctl status ufw запускает systemctl и передает ей параметры status ufw - получаем статус работы сервиса ufw.service от менеджера системы.
    а ufw status запускает ufw и передает ей параметр status - получаем "внутренний" статус работы непосредственно от ufw
    Ответ написан
    2 комментария
    2 комментария

  • Кто может разъяснить магию ssh agent forwarding?

    Lynn
    @Lynn
    nginx, js, css
    Так это буквально в документации написано


    -i identity_file
    [...] You can also specify a public key file to use the corresponding private key that is loaded in ssh-agent(1) when the private key file is not present locally.


    https://man7.org/linux/man-pages/man1/ssh.1.html
    Ответ написан
    2 комментария
    2 комментария

  • Как организовать локальные домены при разработке?

    @q2digger
    никого не трогаю, починяю примус
    >> frontend имеет адрес допустим localhost:3000
    >> api имеет адрес допустим localhost:3001
    это они СНАРУЖИ докера имеют такие адреса, а внутри они "service_name:port" , и обращаться друг к другу могут без обращения к внешним (относительно докера) сервисам, просто по именам сервисов. А если надо имена, то в файл docker-compose.yml можно написать alias-ы
    Читаем очень внимательно вот этот важный мануал - https://docs.docker.com/compose/how-tos/networking/
    Ответ написан
    Комментировать
    Комментировать

  • Как организовать локальные домены при разработке?

    SignFinder
    @SignFinder
    Wintel\Unix Engineer\DevOps
    Используемые практики:
    1. внутренняя зона DNS и внутренний CA для выпуска wildcard сертификатов.
    Внешняя DNS зона и Let's encrypt или купленный wildcard сертификат для нее.
    Ответ написан
    Комментировать
    Комментировать

  • Как развернуть почту отдельно?

    Rsa97
    @Rsa97
    Для правильного вопроса надо знать половину ответа
    Но и не представляю как сделать, чтобы веб-интерфейс почты крутился не на почтовом, а на веб-сервере, то есть отдельно.

    На основном веб-сервере настроить реверс-прокси на почтовый. При этом почтовый сервер может работать во внутренней сети по http без сертификата, а снаружи будет виден основной сервер по https.

    С почтовым сервером есть нюансы. Вам надо будет запросить у провайдера, выдавшего вам IP-адрес, добавление PTR-записи в его DNS. Без PTR многие почтовые серверы не будут принимать от вас почту, считая спамером.
    Так же нужно настроить SPF, DKIM и DMARK.
    TLS и/или STARTTLS на SMTP-сервере желательны, но не обязательны.
    Ответ написан
    8 комментариев
    8 комментариев

  • Совет по организации NAS?

    @rPman
    Важнейший вопрос тут - для каких задач будет использоваться NAS.

    1гбит будет давать до 110мбайт/сек, для hdd особого смысла выше нет (только если это будет бесплатно, что обычно не так, так как 2.5Gb коммутаторы все еще дорогие), так как высокие скорости (200мб/с) достигаются только при линейном копировании больших файлов и при отсутствии фрагментации... во всех остальных случаях скорость может упасть 10кратно... и не утилизирует сетевой канал.

    Второе - по какому сетевому протоколу будет обеспечиваться доступ к файлам... Например самые быстрые - iscsi/nbd/aoe (потому что позволяют кешировать локально даже записи, ОС знает до каких пор), но они только блочные устройства транслируют... дальше идет linux nfs и где то в конце майкрософтовский smb (он на мелких файлах может чуть ли не кратно ронять скорость)

    Теперь важный ответ про RAID, никогда не используйте дешевые 'аппаратные' raid контроллеры (не серверные, те что с кешем записи и батарейкой), пользы они вам не принесут никакой а вот гемороя административного добавят (например вендорлок, при смене материнки/контроллера пересобирать рейд). Пользуйтесь программным рейдом, он есть как в windows штатно (даже в десктопных ОС если pro версия) так и конечно в linux (mdadm или штатная фича файловых систем btrfs/zfs).

    По поводу конфигурации... подбирайте корпус mini pc что бы диски были внутри и подключались по своему штатному коннектору, в вашем случае sata, так как внешние usb контроллеры могут добавить багов (например не будет виден smart дисков или уберут поддержку trim для ssd) и главное, конструктивно эти наружу торчащие провода можно задеть и сбросить диски 'со стола'... NAS должен быть удобным и монолитным, и 'с ручкой для переноса'.

    p.s. покупать аппаратный raid с корпусом (домашние ревизии) имеет смысл когда есть желание получить готовый результат без усилий, за это и идет доплата в цене, по сравнению со своей сборкой, выбирайте либо вы собираете либо за вас. Ну и функционал готового рейда обычно лимитирован софтом, который там запущен, когда как свой linux - максимально полнофункционален но конечно не так удобен, плюс никто не мешает и тут такой же софт поставить с UI.
    Ответ написан
    4 комментария
    4 комментария

  • Где в microsoft exchange 2013 где посмотреть может ли пользователь (почтовый ящик) отправлять письма на внешние почтовые адреса?

    @NortheR73
    системный инженер
    Для запрета внешней отправки используют транспортные правила Exchange
    Ответ написан
    Комментировать
    Комментировать

  • Как правильно настроить сервер(а) для dev/test/prod?

    VoidVolker
    @VoidVolker
    Dark side eye. А у нас печеньки! А у вас?
    Все настройки ваших серверов сводятся к установке приложения gitlab-runner (либо настройке SSH для CI/CD сервера: т.е. CI/CD сервер подключается к целевому серверу по SSH/SFTP, копирует файлы и выполняет скрипты на целевой машине), а так же настройке требуемых зависимостей вашего проекта. Stage сервер настраивается идентично Prod серверу. Dev сервер настраивается для прямого доступа к нему со стороны разработчиков для отладки и дебага багов, не воспроизводящихся локально. В гитлабе настраивается CI/CD для деплоя через gitlab-runner или SSH, развертывается отдельный CI/CD сервер с приложением gitlab-runner и докером для запуска CI/CD задач и деплоя на серверы. Для каждой ветки настраиваются свои правила и ограничения деплоя под отдельные сервера. Итого у вас должно быть минимум пять серверов: гитлаб, cicd, dev, stage, prod. Плюс еще есть роль VPN сервера - эту роль вполне можно совместить с гитлабом. CI/CD - только отдельный сервер, ибо задачи штука ресурсоёмкая (компиляция, сборка, установка зависимостей и прочее). Еще очень полезная штука - кэширующий сервер для образов докера и пакеты (harbor - топ). Ускоряет работу задач и экономит трафик. Prod сервер может быть как сервером, так и группой серверов - prod-app, prod-db, prod-files и т.п. В идеале stage должен быть идентичной конфигурации, но обычно обходятся простыми виртуалками для экономии ресурсов, в отличии от prod сервера.
    Ответ написан
    Комментировать
    Комментировать

  • Как в корпоративной среде где 1000+ машин на Linux настраиваются политики авторизации и аутентификации?

    ky0
    @ky0
    Миллиардер, филантроп, патологический лгун
    Локальные учётные записи не делаются, всё рулится централизованно через AD/LDAP. Если каким-то внешним подрядчикам нужен админский доступ к определённым хостам - им выдаётся сетевой доступ только к этим хостам и они добавляются в группу, дающую sudo только на этой группе хостов.

    Локальные зеркала не делаются "определённых версий", и не выкачиваются целиком - это бессмысленно, т. к. PCI DSS, например, требует регулярного обновления пакетов. В каком-нибудь Нексусе настраивается проксирование официальных репозиториев с кэшированием пакетов - и вы получаете сразу все поддерживаемые версии и храните только те пакеты, которые используются.
    Ответ написан
    3 комментария
    3 комментария

  • Как организовать https между 2 серверами с nginx?

    IvanU7n
    @IvanU7n
    nothing interesting here
    в принципе всё верно, правда что такое "первая нога" и "вторая нога" не сразу понял
    для такого варианта какой-то сертификат для конечного nginx нужен, но какой именно неважно, ЕМНИП по умолчанию nginx не проверяет валидность сертификатов при proxy_pass на https

    можно ещё посмотреть на модуль stream и proxy-протокол, тогда проксирующий nginx будет тупо перенаправлять трафик и ничего расшифровывать и снова шифровать не будет, терминированием ssl-сессии будет заниматься конечный nginx
    у этого способа есть свои недостатки — порты на конечном nginx нужны отдельные чтобы принимать proxy-протокол, проксирующий nginx не будет ничего знать о доменах, т.к. по большому способу будет работать на уровне tcp
    Ответ написан
    2 комментария
    2 комментария

  • Портал для изменения паролей учётных записей AD?

    hint000
    @hint000
    у админа три руки
    Где-то обсуждали, но не уверен, что найду источник. Может даже на Хабр Q&A.

    В качестве такого портала можно использовать любую винду (1) в домене, (2) с включенным удалённым доступом (роль RDS не требуется), (3) с выключенным требованием NLA и (4) с выключенными для простых смертных правами на удалённый доступ. Все пункты существенные. Отключение NLA нужно, чтобы не отфутболивало пользователя с галкой "требовать смену пароля", либо с просроденным паролем. Отсутствие же прав на доступ нивелирует дыру, создаваемую отключением NLA. Фактически, простые смертные не смогут сделать ничего, кроме смены пароля, после чего пользователя выкинет.
    Ответ написан
    1 комментарий
    1 комментарий

  • Портал для изменения паролей учётных записей AD?

    ky0
    @ky0
    Миллиардер, филантроп, патологический лгун
    Всё уже придумано за вас:
    https://self-service-password.readthedocs.io/en/stable/
    Ответ написан
    Комментировать
    Комментировать

  • Как сделать резервного-немного-разгрузочного микрота?

    b1ora
    @b1ora Куратор тега MikroTik
    Контакты в профиле
    Вам нужен VRRP
    Ответ написан
    1 комментарий
    1 комментарий

  • Почему в Python sqlite3 выводится из таблицы переменная вот так вот(3,)?

    @dim5x
    ЗИ, ИБ. Помогли? Поблагодарите. Отметьте ответом.
    cursor.fetchall() возвращает все строки в виде списка кортежей, отсюда и такая запись у вас. Вытаскивайте нужное из кортежа:
    der = [(57,)]
der_str = "\n".join([str(dollars[0]) for dollars in der])
print(der_str)

>>> 57
    Ответ написан
    Комментировать
    Комментировать

  • Почему в Python sqlite3 выводится из таблицы переменная вот так вот(3,)?

    Mike_Ro
    @Mike_Ro Куратор тега Python
    Python, JS, WordPress, SEO, Bots, Adversting
    fetchall() что возвращает? Вам же нужно вернуть данные по одному пользователю? Тогда используйте метод fetchone(), вместо fetchall():
    cursor.execute("SELECT dollars FROM users WHERE id=?", (message.from_user.id,))
res = cursor.fetchone()
if res:
    debet = res[0]
    await message.answer(f"Ваш айди: {message.chat.id}\nБаланс: {debet}")
else:
    await message.answer("Не знаем таких.")
    Ответ написан
    Комментировать
    Комментировать

  • Кто блокирует сертификат и что делать?

    SignFinder
    @SignFinder
    Wintel\Unix Engineer\DevOps
    Вариант того, что если сертификат отозван, то он действительно отозван - не рассматривается я так понимаю? :-)
    Уверены, что это один и тот же сертификат на проблемной машине и остальных? Thumbprint сравнивали?
    Вангую, что на проблемную машину не прилетают обновления\не установилось обновление корневых сертификатов, а на остальные остановилось.
    Ответ написан
    2 комментария
    2 комментария

  • Как раздать интернет в другую подсеть внутри микрота?

    @Drno
    DNS назначается? NAT для VPN интерфейса включен?
    Вы уверены что не работает именно интернет, а не DNS ?
    Ответ написан
    1 комментарий
    1 комментарий

  • У меня есть 2 одинаковых сайта в разных точках мира, как мне сделать, чтобы пользователь заходит на тот сайт, который ближе к нему расположен?

    ky0
    @ky0
    Миллиардер, филантроп, патологический лгун
    Чтобы это работало без посторонних лиц, вам сначала придётся заиметь provider-independent адреса и начать их анонсировать из разных мест.

    Самый простой способ - прикрыться CDN, который это умеет из коробки, например, Cloudflare.
    Ответ написан

  • Reverse proxy и Mikrotik, как запустить?

    b1ora
    @b1ora Куратор тега MikroTik
    Контакты в профиле
    Указать какой внешний ip слушаем (если hairpin nat)
    Иначе можно указать интерфес wan

    В вашей ситуации вы ВЕСЬ трафик 443 порта заворачиваете из lan в lan
    Ответ написан
    1 комментарий
    1 комментарий