Category: сисадминское

В логах фаерволла — просто ВЗРЫВ активности. Ходют всякие, шшупают всякое. Очень много русских адресов или фирм-прокладок.

Некоторых найти легко. Вот, например, какая-то гнида щупала всякое с 94.232.45.12.

Это часть блока 94.232.40.0 – 94.232.47.255.

Поглядим, что за граждане:

inetnum: 94.232.40.0 – 94.232.47.255
netname: ORG-DP125-RIPE
country: RU
org: ORG-DP125-RIPE
person: Dmitriy Panchenko
address: Shirokaya street 1, bld. 4, apt. 15, 127282, Moscow, Russian Federation
phone: +79312206730

Дмитрий Панченко с улицы Широкой 1 корпус 4, квартира 15, иди нах%й.

Другие работают через фирмы-прокладки. Вот, например, меня щупали с айпи адреса 104.156.155.25. Чо за гниды? Целый блок адресов 104.156.155.0/24 зарегистрирован на некую “Академию интернет-исследований” (Academy of Internet Research LLC). А чо, проверенное имя уже, застолблённое. Такое же использовали пригожинские тролли.

У них даже домен есть, academyforinternetresearch.org. Зарегистрирован, правда, только в октябре прошлого года. А адрес регистрации у них: 830 Бульвар Ист Пальмейл, что в Пальмдейле, Калифорния.

Не знаю насчёт Академий по этому адресу, в гугломапсах по этому адресу обитает какая-то подозрительная бодега, предлагающая регистрацию гомосексуальных браков, услуги нотариуса, почты и денежных переводов и прочей ерунды. Вот только обмена валюты не хватает для полного набора. Ну, и массажа со “счастливым концом”.

В-общем, адрес этот, разумеется, липовый.

В RIPE они значатся как граждане, предлагающие услуги в России.

У двадцати семи машин в этом блоке наружу торчит ssh.

Итого имеем толпу линуксовых машин с американскими адресами, управляемых удалённо скорее всего из России, щупающие американские адреса на предмет всякого.

Я с русскими не воюю. А они со мной — да.

По сравнению с довоенными временами говорить с русскими родственниками становится всё сложнее и сложнее. Обобщений не делаю, но мой опыт именно такой. Скайп уже не работает от слова совсем. В таких случаях я пользуюсь телегой, и походу, с ней тоже надо завязывать. Звук работает уже через пень-колоду, видео не работает вовсе. Возможно, что это из-за резко снизившейся пропускной способности сети. Возможно. А возможно, у товарища майора не хватает мощности перехватывать и обрабатывать видео.

Вообще, телега сама по себе подозрительна. Уязвимостей в ней — ДОХЕРА и больше. А учитывая, что граждане нарисовали свою собственную криптографию, совершенно не исключено, что там оставили дыру для товарища майора. Да и криптография там неочевидная — в одних чатах есть, в других нет, и чтобы узнать, что и где, надо читать документацию. А эта показная беготня от Роскомгестапо — это был рекламный ход, чтобы завлечь туда людей, чью переписку и надо читать товарищу майору. Сейчас в телеграм-каналах про войну с Украиной резвится толпа самых разных граждан. Резвитесь-резвитесь, ч0рный воронок с вашим именем уже заправлен топливом и ждёт.

И фоточками в наше время аккуратнее надо обмениваться. По умолчанию все фотки имеют геотаг. Так что если ты снял у себя дома фотку и отправил её другу, а товарищ майор её перехватил — ну, теперь товарищ майор знает, где ты живёшь. Отключайте это немедленно нахер.

Сумел матушке наконец-то удалённо поставить нормальный месенжер, который ни одна спецслужба мира пока не перехватывает — Signal. Там пока работает и звук и видео. И криптография там везде и всегда, и исчезающие сообщения тоже есть (чтобы было, что показать цепным псам преступного кговагого прижЫма, если чо). Будем пользоваться им. Рекомендую.

Надо будет ещё у себя поднять VPN сервер. В ведроидах вроде как есть встроенный OpenVPN клиент? Настрою у себя сервер, обходить Роскомгестапо, которое наверняка уже начало банить прочих VPN провайдеров.

Ещё круче было бы суметь разобраться с VPN, который заворачивает все пакеты в HTTPS. Тогда даже понять, что это VPN, а не обычный вебсайт, не так-то просто.

В-общем, будем думать.

Читать будет неинтересно, кроме как маньякнутым компьютерщикам. Сугубо рабочее.

Винда становится всё более удобной для работы. Хорошо, что на ней практически всё то, что мне нужно, работает “искоропки”.

Смарткарты — пожалуйста
Отсюда же сразу, не вставая с дивана, имеем 2FA
Проброс оных в сессию RDP — да легко
ГПУ и прочая КУДА с драйверами — какие хошь, ибо никто не будет разрабатывать железо, не работающее под Виндой.
Фотошоп — отож.
Даже Фаерфокс взялся за ум, и стал поддерживать смарткарты с нуля. Раньше с ним надо было долго совокупляться, минимум в трёх позициях.

А сегодня я обнаружил отличную вишенку на тортике — при установленных WSL и терминале, можно поставить WSL как среду терминала по умолчанию. И что мы имеем с гуся? Теперь можно на любой папке (ну, за исключением сетевых, если они не смонтированы) нажать “открыть в терминале” — и у тебя сразу открывается WSL ровно там, где надо. Без того, чтобы долго крючиться, переходя в нужную директорию. Можно сразу делать всяческий foreach, grep, и прочий sed. Исключительно удобно.

Часто моя работа заключается в быстром поиске проблем. Всё это надо искать в логах, поэтому без полноценной командной оболочки мне никуда. Раньше я спасался cygwin-ом, но если кто-то хоть раз пробовал его обновлять или ставить дополнительный софт, знает, какая это морока. А в WSL это намного проще.

Мои попытки перейти на Линукс окончились ничем. Я впустую убил неделю, так и сумев нормально запустить… много чего, но главное, что не взлетело — это Nvidia Quadro с двумя внешними мониторами, подцепленными через размножитель портов с USBC-PD. Хотя я очень не новичок. А на винде… А на винде они у меня заработали ещё на этапе установки (учитесь, блин, как надо делать нормальную поддержку железа!) Переходить на 11 винду мне окончательно расхотелось, так что остановился на десятке + WSL.

Ещё бы WSL научился поддерживать полноценный нормальный FreeBSD вместо всякого красноглазового… но это уже так, мечты 😉

Весь ИТ-отдел гудит как улей. Сегодня наша страховая компания спустила нам указивку, что если к концу Ноября ВСЕ ИТ-сервисы не будут защищены многофакторной аутентификацией, то они не будут продлевать страховой полис.

Это как раз такой случай, когда “не было бы счастья, да несчастье помогло”. Двухфакторную аутентификацию я планировал ввести в строй уже почти год, но во-первых, не доходили руки, а во-вторых, мне не давали денег. А в-третьих, я не хотел объяснять тупым юзверям, почему вдруг доступ к ресурсам стал сложнее.

А теперь — и денег дали, и другие проекты отодвинули. И самое главное — теперь мне не надо никому объяснять, почему это, и зачем. Страховка — и всё тут.

Не всё, правда, гладко на деле. Вот сканер сетевой, что документы юзверю ушастому в его каталог забрасывает — никаких смарткарт оно, конечно, не поддерживает. Придётся репу чесать, что с ним делать дальше. Скорее всего придётся подцеплять сканеры напрямую к машинам через USB.

Так как одиннадцатая винда фичами пока не радует, попробовал заменить на рабочем компе всё на Убунту 20.04

И оно, знаете, практически взлетело.

Получилось:

1. Прицепить к AD
2. Сделать членов группы Domain Admins частью группы sudoers
3. Запустить авторизацию со смарткартами (вот тут уже пришлось бороду почесать)
4. Включить авторизацию по смарткарте в VDI клиенте VMWare Horizons
5. Аутлук теперь работает как PWA
6. Запустить Teams (благо теперь на Линупсах оно работает нативно)

И всё бы хорошо, но вот драйверы НВидевские отказались ставиться наотруб. Проблема хорошо известна, и не у одного меня она случилась.

Что-то там не взлетело — пробовал разные версии, чего только не делал, даже интеловский драйвер отправлял в бан — нифига. Не работает и всё тут. Лучше всего получилось на драйвере версии 418. Входим в сессию, всё работает примерно минуту, после чего всё наглухо виснет (при этом комп остаётся доступным через ssh). На более поздних версиях не получалось даже этого, всё висло ещё до авторизации.

Железо вполне себе стандартное — ноутбук HP Zbook FireFly G7. Там две видеокарты, по сути, встроенная интеловская, и Квадра Р520. Так и не получилось запустить, хотя победа была очень близко. Но без Нвидии мне ноутбук был не нужен.

Так и бросил. Прошу заметить, что на этот проект я убил часов шесть. А не винде абсолютно, блин, всё из этого списка сразу работает “искоропки”.

Линукс бесплатен только для тех, чьё время ничего не стоит.

Интересную вещь обнаружил. Оказывается, максимальный размер кластера NTFS в десятой винде и соответствующей серверной версии (2016+) может составлять аж 2 мегабайта. На седьмой винде максимум был 64 килобайта.

Разумеется, для обычных дисков с операционными системами и программами это не подходит — будет слишком много потерь. Если на диск с таким размером кластера записать файл размером 1 килобайт, на диске он будет занимать таки 2 мегабайта — на оставшееся пустое место в кластере ничего другого записать нельзя. Но если это диск, на котором хранятся базы данных, iso-шки, архивы и прочие крупные файлы — это будет очень круто, так как таблица размещения файлов, в которой записано, в каком кластере (кластерах) записан файл, будет очень маленькой — ведь кластеров будет немного. И потерь будет меньше, и работать будет быстрее.

Кстати, Линупс (вернее даже не Линупс, а файловая система XFS, по умолчанию используемая в Шапке) эту проблему решает более оптимально — на одном диске есть кластеры (блоки) РАЗНОГО размера. Небольшие файлы хранятся в основном используя маленькие кластеры, а большие — с записью на крупные кластеры. И сколько их разных и какое соотношение — тоже настраивается. Это позволяет на одном диске хранить и маленькие файлы и большие, без того, чтобы тратить место либо на пустое место в кластерах, либо на таблицу размещения файлов. Пишут, что на служебную информацию тратится только 0.54% от общего объёма хранимых данных.

Но за всё, к сожалению, надо платить. Например, восстановление данных с повреждённого раздела XFS это очень непростая вещь. Но идея, конечно, классная.

Мои две “любимые” конторы-производители накопителей данных засветились с подменой более быстрых флеш-чипов на более дешёвые (и менее производительные).

Вестерн, раз.
Ну и, конечно же, Самсунг, куда без них — два.

О том, что обе конторы — полное говно я уже давно сообщал не раз и не два.

Меня особенно впечатлило, когда в массиве из 24-х Вестернов меньше чем за год сдохли, ёлки-палки, все 24. Круто было, никогда такой подлянки не забуду.

Ещё было просто замечательно, когда у людей, использующих сервис Вестерна “Майбук” стирали резервные копии по интернету.

Ну, если у кого-то ещё остались иллюзии по поводу Вестерна.

Из стандартных магнитных винтов — только Тосиба и Хитати, только японцы!!! Ну, а из флеш пока не подводил Интел, и Микрон (Крушал) пока вроде марку держит. Даже наоборот — они тоже засветились с заменой флеш-чипов… но на БОЛЕЕ производительные 🙂

На работе проводили генеральную уборку. Списывали всякую старую хрень, типа древних ноутбуков и прочего.

Как обычно, обнаружили несколько кор. есов!*

Тосиба, сделано в Японии. До сих пор, поди, работает, если найти что-то древнее, где этот контроллер есть.

Заодно скажу ещё, что современные компьютеры практически во всех областях стали намного практичнее и удобнее. И далеко не только в плане дружественности интерфейсов. Они и внутри стали намного проще для сборки и ремонта. Вот возьмём, например, разъёмы, про которые только что написал дружественный журнал. Сравним, что было внутри AT-шного компа, из которого вытащили этот дисковод, чисто по разъёмам?

Начнём с питания на AT материнской плате. Кто их помнит? Знаете, что там было плохо? Плохо там было то, что их было два, и воткнуть их можно было в произвольном порядке. И если воткнуть не так, то из платы мог выйти волшебный белый дым, на котором вся электроника работает. Запомнить было, впрочем, достаточно просто — ч0рные провода (земля) — в центре.

А теперь у нас ATX 2.0 — ну, тоже не идеал, но его хотя бы воткнуть неправильно без кувалды сложно.

Потом были кабели PATA. Вот где было концентрированное зло. 40 контактов — это дофига: они всегда входили очень туго (больше контактов — больше сопротивление). На более новых платах разъёмы на плате хотя бы имели соответствующие вырезы в пластмассе, так что воткнуть кверх ногами было сложно. А на старых надо было внимательно глядеть, с какой стороны текстолит под одним контактом был маркирован белой точкой — это был контакт №1, и красную полоску сбоку кабеля надо было располагать с этой стороны. Ну и про master/slave и прочее наследие проклятых белых эксплуататоров не забудем.

А щас у нас SATA, красота! Воткнуть его неправильно — ну опять же, только с кувалдой. И вдумчиво курить перемычки на дисках тоже не надо. А ещё эти перемычки не везде работали одинаково. У некоторых производителей (Maxtor и Seagate, ЕМНИП), перемычек было не одна, а две. Смотри, не перепутай.

А современный M2 это вообще щасье. И питание, и данные — втыкается всё сразу.

Кстати, удивительное дело, но разъём данных для изображённого на картинке кор. еса (5.25-дюймовый дисковод, если кто не знает) был сравнительно нормальным — легко цеплялся, и имел вырез.

Не забудем про разъёмы питания для дисков — молекс это зло, блин. И хотя углы у него были скошены, и воткнуть его неправильно было непросто, но углы у него были скошены недостаточно — разъём входил в розетку ровно настолько, чтобы ты решил, что втыкаешь правильно. Ну, чтобы потом с весёлым матерком осознать свою ошибку.

И только один современный разъём раз за разом вызывает у меня приступы ненависти — это USB. Всё квадратное — ЗЛО. Это та же проблема, что и с молексом — легко решить, что вроде как втыкаешь правильно, а потом материшься. Поэтому я очень рад тому, что эта херь постепенно пропадает и заменяется USB-C.

*кор. ес. — опечатка в инвентаризационной описи имущества звездолёта “Бастлер” из научно-фантастического рассказа Эрика Рассела.

Помимо чисто технических вопросов про специальность сисадмина у меня есть вопросы чисто организационные.

Например, “что вы будете делать, если столкнётесь с проблемой, решения которой вы не знаете”?

Дурак, который никогда не работал в организации с другими людьми отвечает “нагуглю как решать, и сделаю!”

Это в корне неправильный ответ. Потому что нагуглить-то ты, конечно, нагуглишь, но у стандартной сисадминской задачи обычно есть как минимум два решения. И не факт, что ты найдёшь правильное, принятое в данной организации. Поэтому правильный ответ — сначала спросить у других, есть ли уже принятное решение у данной задачи, или нет. А потом уже иди гуглить.