Вчера получил необычное сообщение от хостера в тикет одного из клиентов, от которого холодок по спине пробежал. Я не буду называть хостера, потому что не знаю, насколько это вообще уместно такую переписку на публику выносить. Смысл заметки будет не в обсуждении хостера, потому что тема актуальна вообще для всех. Это может случиться, да думаю и случалось, и с другими.

Суть в том, что у хостера можно быстро развернуть настроенную систему из его шаблона. В целом, это обычная практика. Система сразу получает сетевые настройки, интеграцию с панелью управления, например, для подключения, отключения купленных дополнительно дисков, внешних IP адресов и т.д.

Я использовал шаблон для быстрой установки Proxmox VE. Как оказалось, в этом шаблоне был жёстко зашит кластерный SSH-ключ. А он должен генерироваться уникальный во время установки. Этот ключ использует сам Proxmox для межкластерного взаимодействия. И этот ключ по умолчанию прописан в ~/authorized_keys (😱) даже если вы не настраиваете кластер. И этот ключ одинаковый у всех, кто успел сделать установку из этой версии шаблона 🤦 Это фиаско, братан.

Для тех, кто не понимает, что это значит, сразу поясню. Используя этот ключ, можно подключаться к серверу по SSH под правами root.

Хорошо, что я всегда по умолчанию закрываю на файрволе доступ по SSH белыми списками IP адресов. И вам того же советую. Такую подставу я вижу первый раз. Тут, я так понимаю, злую шутку сыграла особенность именно Proxmox. Мало где ещё по умолчанию создаются ключи и добавляются в authorized_keys. Обычно это надо самому делать. Но не в Proxmox.

Подобные вещи некоторые хостеры делают специально, чтобы их сотрудники технической поддержки могли подключаться к серверам клиентов. И это тоже очень плохая практика. По умолчанию так делать нельзя.

Какие из этого можно сделать выводы?

1️⃣ Доступ по SSH надо закрывать, даже если используете аутентификацию по ключам.
2️⃣ Если есть возможность, систему лучше установить из своего образа.
3️⃣ Если установили из образа хостера, то хотя бы бегло проверьте, что там установлено и запущено. И обязательно проверьте ключи в ~/authorized_keys.
4️⃣ Я лично ещё и аутентификацию по паролю включаю. Пароль, разумеется, сложный.

#хостинг

Я одно время очень много работал с устройствами Mikrotik. Практически постоянно. Сейчас они тоже остались, но в основном на поддержке старые конфигурации, чего-то нового и необычного, о чём ещё не писал, давно не настраивал. Эти устройства, как и их система, хороша своим консерватизмом. Каких-то глобальных изменений в ней случается редко. И все старые наработки актуальны много лет.

Вижу, что тема с Микротиками всегда вызывает интерес, поэтому соберу в одну публикацию набор небольших советов и замечаний по работе с этими устройствами, о которых я в разное время писал здесь в заметках. Я со всем этим лично сталкивался, особенно когда настраивал распределённую сеть крупной торговой сети с кучей мелких филиалов по районам городов.

Больше всего нюансов в казалось бы простом инструменте для отката настроек в случае ошибки - Safe Mode.

1️⃣ Если у вас где-то открыта сессия Winbox, а вы подключились новой и нажали Safe Mode, то режим не сработает. Это может оказаться неприятным сюрпризом. А если вы решите завершить эту сессию, а там окажется включённый Safe Mode, то откатите те настройки, что изменили в той сессии. Смотреть активные сессии в System ⇨ Users ⇨ Active Users.

2️⃣ Safe Mode хранит ограниченное количество изменений. Так что лучшим вариантом использования этой функциональности является подключение, включение опции, изменение настроек, проверка, что всё прошло удачно. И сразу после этого отключение режима.

3️⃣ Иногда на автомате включаешь Safe Mode, что-то настраиваешь. Ошибаешься, тебя отключает. Ты ждёшь, когда откатит настройки, но не откатывает. Доступ не восстанавливается. И тут понимаешь, что подключен по AnyDesk или RDP, а сессия Winbox открыта в локальной сети. Тебя отключило от интернета, но сессия на Микротике не оборвалась.

Сталкивался, когда на потоке настраивал на точках по 2 провайдера. Там обычно был компьютер, телефон, принтер и Микротик. Прямого доступа не было, пока не настроишь VPN. Все точки объединял в VPN сети для удобного мониторинга и управления.

4️⃣ Safe Mode не панацея, он может сглючить и не откатить настройки. Можно подстраховаться скриптом, который делает бэкап, спит какое-то время и загружает бэкап обратно. В минималке это может выглядеть так:

/system backup save password="secret" name=disconnect
delay 180
/system backup load name=disconnect.backup password="secret"

Запускаете скрипт, делаете настройки, если всё ОК, то останавливаете выполнение скрипта. Он будет висеть в списке 3 минуты и ничего не делать из-за delay 180.

Все эти заморочки не особо актуальны при простых настройках, например, файрвола. Я никогда фатально не ошибался с ним. А вот если 2 провайдера и переключение, один из них мобильный, да ещё и доступ только по VPN, который должен переподключиться после переключения провайдеров, другое дело. Там много нюансов может возникать.

5️⃣ Иногда надо перезапустить интерфейс. Если через него же вы и подключены, то сделать disable и обратно enable не получится. Вас отключит. Вместо этого можно нажать галочку с enable на интерфейсе в Winbox. Это актуально и для PPP соединений. VPN соединение переподключится.

6️⃣ Я очень долго не замечал, что в Winbox есть настройка Settings ⇨  Hide Passwords, которая по умолчанию активна. Она все сохранённые пароли на устройстве отображает звёздочками. Если её отключить, то их можно увидеть. Узнал случайно от одного админа. Например, так можно посмотреть пароли от PPP соединений непосредственно через Winbox в свойствах соединения, а не только в экспорте.

7️⃣ В разделе Tools ⇨ Packet Sniffer ⇨ Streaming можно указать IP адрес и порт машины, где запущена Wireshark с настройкой на прослушивание указанного порта. Можно смотреть весь трафик или отфильтрованный. Очень просто, быстро и удобно для отладки. Если постоянно нужно смотреть трафик, то удобнее настроить отправку через NetFlow (IP ⇨ Traffic Flow).

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

#mikrotik

▶️ Очередная подборка авторских IT роликов, которые я лично посмотрел и посчитал интересными/полезными. Это видео из моих подписок за последнее время (обычно беру период в 2 недели), что мне понравились.

⇨ Депрессия и эмоциональное выгорание айтишника - личная история DevOps
Личная история известного блогера. Ещё по первым старым его видео думал, что человек нездоров. Реально это было заметно. В итоге так оно и было. Поучительная история, рекомендую посмотреть, даже если сейчас вам это неактуально. Распространённая тема, когда в погоне за карьерой и деньгами теряют здоровье. Кстати, автор поднимает в том числе тему ночных дежурств и побудок, которую я тоже не раз поднимал у себя на канале и рекомендовал от них отказываться. Нашлось немало людей, которые их оправдывали, что для меня удивительно. Некоторые даже говорили, что отказываться от ночных дежурств непрофессионально, якобы ты не хочешь брать ответственность за свою инфру (которая на самом деле не твоя).

⇨ Лучший будильник на алерты
Шуточка для любителей ночных дежурств.

⇨ Build your own HomeLab Firewall! // OPNSense Tutorial
Обзор программного шлюза OPNSense, который я недавно рекомендовал к установке, как замену pfSense.

⇨ Zulip - Open Source, Self Hosted, team and organization communication platform
Подробный обзор неплохого чат-сервера, который можно бесплатно развернуть у себя. Я знаю этот продукт, внедрял его, писал про него статью, делал заметки. Посмотрел видео, с тех пор Zulip не сильно изменился. Этот чат интересный и необычный, не похож на условные клоны Slack, типа Mattermost или Rocket.Chat, которые первое время старались его скопировать.

⇨ How to structure your HomeLab network?
Пример того, как можно организовать локальную сеть с изоляцией сегментов.

⇨ SDN в Proxmox — мощный инструмент для управления сетями. Как работают виртуальные сети и зоны.
Хорошее подробное видео на тему работы SDN в Proxmox. Описание, схемы, примеры, настройки. Всё присутствует.

⇨ RTX 5090 laptop - ЛУЧШАЯ видеокарта для ноутбука? LLM в ноутбуке.
Тесты топовой видеокарты для ноутбука. Конечно, всё это очень дорого, неудобно и заметно слабее десктопа. Но для ноутов ничего быстрее нет.

⇨ N8N. Автоматизируй процессы в пару кликов.
Примеры использования популярной платформы для автоматизации. Много раз про неё упоминал, видео приводил. Посмотрите, если кто ещё не знаком. Очень интересная тема. У видео длинное введение. Если более-менее понимаете, что такое n8n, то можно сразу примерно на середину перематывать, где идут примеры.

⇨ Управляемый свитч Sodola — обзор, настройка VLAN и возможностей Managed Switch
Обзор необычного 9-ти портового свитча, где 8 портов 2.5G и один 10G. Мне было интересно посмотреть обзор, хотя у меня нет ни одного устройства, которое бы поддерживало такие скорости. Удивился, что подобные свитчи такие дешёвые (6-10 т.р.). Я думал, это что-то на богатом, а оказывается, что уже давно нет.

⇨ Балансировка в nginx proxy manager (npm). Как и зачем?
Обзор неплохой веб панели для настройки Nginx в качестве обратного прокси. Я давно знаю этот продукт, писал про него. Он простой и удобный.

⇨ rwMarkable - Simple Self-Hosted Notes & Checklists (No Database Required!)
Обзор очень простого сервиса для хранения личных заметок. Их существуют десятки. В этом ничего примечательного не увидел, но посмотрите, может вам понравится. Мне кажется, в таких инструментах самое главное, чтобы вам лично понравился и показался удобным интерфейс. Всё остальное вторично, так как в реальности какой-то большой функциональности не надо, хотя кажется, что чем больше программа умеет, тем лучше. Тут хорошо то, что все заметки хранятся в текстовых файлах, без использования СУБД.

#видео

Меня постоянно в комментариях спрашивают, как я всё успеваю - настраивать системы, писать публикации, отвечать в чате и всё это в дополнение к большой семье. У меня 4-ро детей от 1 года до 11 лет. По сути малыши ещё. В последнее время я закончил стройку дома и переехал жить в Подмосковье. Устроил тут детей в сады, школы. Обустраиваю новую жизнь.

Давно не пишу о личном, чтобы не размывать тематику канала. Он и так по какой-то причине выпал из рекомендаций Telegram, хотя ничего не менял в основной тематике за последние 5 лет.

Не открою никому никакого секрета, потому что его нет. Я много успеваю, потому что много всего делаю и веду параллельно несколько проектов. Просто скрупулёзно и аккуратно день за днём тружусь, по шагам двигаясь к целям. Отмечу основные моменты:

1️⃣ Всегда и всё записываю, планирую. Для этого использую Singularity. Веду календари, списки дел. Без этого никуда. Текстовые заметки веду в Joplin. Туда тоже всё подряд пишу, чтобы ничего не забыть - и личное, и по работе.

2️⃣ Не отдыхаю с пожирателями времени. То есть не играю в компьютерные игры, не смотрю сериалы, не смотрю развлекательные ролики на ютубе. Да и кино не смотрю. Если только вместе с семьёй что-то вечером в выходные.

3️⃣ У меня везде выключены уведомления. Если я делаю какое-то дело, то меня ничего не отвлекает. Никаких чатов, уведомлений на смартфоне и т.д. Даже если тихо в помещении, надеваю либо беруши, либо наушники с шумоподавлением. Мне так проще концентрироваться. Музыку или что-то другое в фоне никогда не ставлю.

4️⃣ У меня стандартный подход к любому сложному масштабному делу. Просто беру и понемногу начинаю что-то делать. Не откладываю, не изучаю днями тему и т.д. Важно начинать делать, даже если не будет сразу получаться хорошо. В процессе делания всё начинает со временем складываться, как нужно. Главное - хоть небольшими шажками, но идти вперёд без остановок.

Например, я задумал раскрутить сайт и несколько лет каждую неделю обязательно писал статью. 5 лет назад я захотел раскрутить Telegram канал. Поставил себе цель - каждый будний день писать по 2 публикации. И все 5 лет следую этому правилу. Практически без исключений. Кто постоянно читает, это видит. То есть по сути всё просто. Бери и делай. Не ложусь спать, пока не подготовлю публикации. Для меня желанная награда - закончить все обязательные дела до 22 часов и спокойно лечь спать.

5️⃣ База для эффективной деятельности - поддержка семьи. Ты много успеваешь и мотивирован к продуктивной деятельности, когда тебя поддерживают и ты видишь, для чего трудишься.

Создание семьи - такое же дело, как и все остальные. Само по себе это не получается хорошо. В какой-то момент я решил, что хочу семью и много детей и стал действовать в прямом смысле - искать подходящую женщину, готовить почву для совместной жизни. Первый блин был комом, развёлся. Но продолжил двигаться дальше, набравшись опыта. На самотёк не пускал.

В завершении немного про выгорание напишу свои мысли. У меня такой график, что со стороны посмотреть - свихнуться можно, выгореть, всё бросить и уехать в самоизоляцию. Я никому свою жизнь не советую, поэтому и не пишу особо об этом. Каждому своё.

Самое главное - найти это своё и действовать по своим желаниям. Когда у тебя желания не твои, а навязанные, и ты действуешь по навязанным мотивам - выгораешь, тебя ничего не радует, жизнь рушится. Потому что это не твоя жизнь. Нужно найти себя, жить своей жизнью и ни о чём не жалеть. Меня супруга иногда спрашивает, когда очень устаю, не жалею ли я, что жизнь сложилась так, а не иначе. Вообще никогда не жалею. Всё сложилось так, как я захотел и сделал. Если кому и могу дать рекомендацию или пожелание, так это сделать так, как ты по-настоящему хочешь.

📌 Заметки по теме:
- Как у меня организован рабочий процесс
- Про детей
- Как я подхожу к любому делу
- Мужчины, будьте мужчинами
- Как не задалбываться на работе
- Как я развивался и искал себя
- Плюсы и минусы фриланса
- Не переезжайте в мегаполисы
- Из чего состоит успех в делах
- Всегда ищите то, что нравится
- Просто делай маленькие шаги каждый день
- Интервью со мной

#мысли

На днях на хабре прочитал полезную статью, поэтому решил акцентировать ваше внимание на ней. Я в принципе не знал, что так можно сделать. Не приходилось сталкиваться.

⇨ Защита от эксплойтов rdp, smb c помощью IPSec и сертификатов

Думаю у многих всё ещё трудятся устаревшие операционные системы Windows. По моим наблюдениям, чаще всего это Windows Server 2012 R2. Не помню уже чем они в то время так привлекали внимание, но мне кажется, их наустанавливали значительно больше, чем последующих 2016-х и 2019-х. Таковые имеются и у меня.

По понятным причинам, установить обновления на Windows Server 2012 R2 либо сложно, либо невозможно, потому что в свободный доступ они больше не публикуются. Есть обходные пути, но не сказать, что они простые.

Автор предлагает следующий простой и эффективный способ защиты удалённых подключений.

1️⃣ Разворачиваем роль центра сертификации.
2️⃣ Выпускаем сертификаты для пользователей.
3️⃣ На целевых серверах, куда пользователи будут подключаться по SMB или RDP, на штатном файрволе настраиваем правила входящих соединений, где включаем параметр Разрешить только безопасное подключение. Дополнительно можно ограничить список компьютеров, с которых разрешено подключаться. Если это не терминальный сервер, а обычный, куда по RDP подключаются только админы, можно ограничить список компьютеров.
4️⃣ Отдельно создаём правило для безопасных соединений, где включаем проверку подлинности компьютера, если настраивали ограничения по ним, и проверку подлинности пользователя, которая выполняется с помощью ранее выпущенного сертификата с нашего CA.

Теперь если у пользователя нет сертификата, в подключении будет отказано. Это не даёт стопроцентной защиты, но заметно сужает вектор атак, так как без сертификата по RDP или SMB уже не подключиться. А именно в этих сервисах обычно находят фатальные уязвимости.

Настраивается всё это относительно просто. В статье пошаговая инструкция. Странно, что у статьи так мало просмотров и совсем нет комментариев. Мне кажется, довольно актуальная информация. Меня постоянно беспокоят эти устаревшие системы. Конечно, их надо обновлять, но как это обычно бывает, не всегда это просто сделать по различным причинам. А где-то и невозможно. Я лично обслуживал системы для станков, которые нельзя было обновить. Продавалась связка станок-компьютер с драйверами под конкретную версию.

#windows #security