В одном из недавних видео увидел обзор сетевого сканера Scanopy, который умеет автоматически искать новые узлы и добавлять их на схему. По описанию работы и внешнему виду всё понравилось, поэтому решил попробовать. Развернул у себя дома и поразбирался с ним. Для тех, кто не захочет читать всю заметку, сразу передам суть:

◽️Проект новый, ещё не настоялся. Для домашней или тестовой инфраструктуры сойдёт, в прод я бы пока не ставил.
◽️Выглядит красиво, реально всё делает автоматически: ищет узлы, сканирует порты, сам определяет, как может, работающие сервисы, добавляет всё это на схему.
◽️Возможностей гибких настроек мало, сами настройки неинтуитивны. Я некоторое время возился, пока разобрался, как там всё устроено.

В итоге принял решение дома его оставить. У меня много всевозможных сетевых устройств (компы, ноуты, сервера, камеры, бытовые устройства, свитчи, смартфоны). Вручную рисовать схемы лень, особо не надо. Смотреть на неизвестное устройство иду в DHCP-сервер. Даже в таком виде, как это делает Scanopy, выглядит неплохо. Лучше, чем ничего, и красивее, чем я нарисовал в Zabbix 😁.

Scanopy состоит из трёх компонентов:
1️⃣ Сервер с веб интерфейсом
2️⃣ Сканирующий агент
3️⃣ СУБД Postgresql для хранения состояния

Всё это упаковано в Docker и описано в Compose. Запускается в 3 действия:

# curl https://get.docker.com | bash -
# curl -O https://raw.githubusercontent.com/scanopy/scanopy/refs/heads/main/docker-compose.yml
# docker compose up -d

Идём в http://<server-ip>:60072 и создаём учётку администратора. Scanopy определяет локальную сеть, в которой работает, автоматически запускает сканирование сети и построение схемы. То есть даже настраивать ничего не надо. Развернули, зашли, выполнили пару шагов для регистрации и процесс пошёл.

Для быстрого запуска в LXC контейнере Proxmox есть готовый скрипт из набора Proxmox VE Helper-Scripts. Думаю, у себя в таком исполнении установлю.

Сканирование сети длится относительно долго (у меня минут 15), в зависимости от количества узлов. Для каждого узла сканируются все открытые порты и определяются службы по типу того, как это делает Nmap. Возможно он, или, как минимум, признаки служб из его набора используются для определения. В документации не уточнён этот момент. Просто указано, что написан сканер с распознаванием служб по различным признакам.

Далее для узлов делаются более тонкие настройки - указание имени, редактирование служб, настройка связей, расположение на схеме и т.д. В целом, получается наглядно и симпатично, особенно если доработать схему самому. Но даже автоматически нормально получается.

Вместо своей схемы, которую я ещё не доработал, покажу примеры с сайта, как это может выглядеть. Прикрепил некоторые картинки.

В целом, продукт интересный. Если получится развитие, то будет неплохо. А автор, судя по всему, задумал развивать, так как сразу одновременно с self-hosted версией, сделал платную по модели SaaS, написал документацию. Так что пожелаю ему успехов в этом деле. Думаю, подобная программа многим упростит рутину.

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

———
ServerAdmin: 📱 Telegram | 🌐 Сайт | 📲 MAX

#network

Я на днях писал про программу для построения съемы локальной сети Scanopy. И так совпало, а может и не совпало, а авторы читают мой канал, что мне написали авторы программы 10-Strike LANState. У них вышла бесплатная Pro версия на 25 хостов, которой раньше не существовало. Были только платные.

Это старая и известная компания в кругах офисных системных администраторов. Про один из их продуктов я когда-то давно писал - 10-Страйк Мониторинг Сети. Этим программам очень много лет, они выглядят старомодно и передают привет из двухтысячных. Но тем не менее до сих пор поддерживаются и работают на современных системах, стоят недорого, есть в реестре отечественного ПО.

Я установил себе 10-Strike LANState и настроил схему домашней сети. В этот раз не поленился и аккуратно всё добавил, изучил, попробовал.

У меня впечатления двойственные. С одной стороны всё работает, возможностей много, 25 хостов добавить можно. Программа просканировала сеть и добавила все узлы. Дальше я уже вручную доделывал. С другой стороны выглядит она так себе, интерфейс неотзывчивый, иконки очень старые, их мало. Их можно и самому загрузить, возможность есть, но кому захочется этим заниматься?

Так как я сам из того же прошлого, когда появились эти программы, интерфейс мне привычен. Так что, я думаю, пока эта программа у меня останется. У неё есть несколько плюсов, которые я отмечу:

➕ Программа легко и быстро настраивается. Windows like стиль установщика и настройки мышкой в менюшках.
➕ Есть индикация хостов в режиме реального времени. По сути эта программа очень похожа на Friendly Pinger. У меня кто-то недавно спрашивал, есть ли какой-то современный аналог этой программы. Вот это он и есть.
➕ В LANState можно включить встроенный веб сервер и смотреть интерактивную карту через браузер.
➕ Через LANState можно быстро выключать виндовые компьютеры. Мне лично это удобно, так как перед сном обычно проверяю, чтобы всё выключено было.

Теперь минусы:
➖ Бесплатная версия работает как обычная программа под Windows, даже не служба. Сглаживает это тот факт, что разработчики поддерживают работу через Wine. То есть на Linux её запустить тоже можно.
➖ Интерфейс, как я уже сказал, на любителя. Настойка иконок, подписей и связей немного неинтуитивна. Я привыкал какое-то время, пока настраивал.
➖ Для завершения работы постоянно приходится вводить учётную запись на компьютере. Нет возможности сохранить.
➖ Не знаю, на чём написана программа, но интерфейс подтормаживает, неотзывчивый.

А вообще, эта программа очень функциональная. Там много всего реализовано:
◽️Базовый мониторинг стандартных метрик, плюс расширение своими скриптами. Через программу можно ходить по WMI или SSH, выполнять запросы. Для каждого узла можно свой дашборд собирать с метриками.
◽️Метрики можно выносить в интерактивном режиме на схему.
◽️LANState может выступать в виде Syslog сервера и принимать логи. Я так понимаю, это для сетевых устройств сделано. Для них же поддерживаются запросы по SNMP, чтобы собирать метрики. Помимо метрик, можно забирать конфигурации и некоторые другие вещи. Есть встроенная поддержка популярных вендоров, в том числе Mikrotik.
◽️Можно выполнять задачи по расписанию. Например, выключать все компьютеры в какое-то время.
◽️Можно настроить действие при двойном клике по узлу. Например, открыть веб страницу, RDP соединение или что-то ещё.
◽️Можно добавить сетевые диски, мониторить их доступность.

Ну и много других возможностей, которые будут интересны в первую очередь администраторам офисов, где преимущественно виндовые машины, сетевые и прочие устройства (камеры, принтеры и т.д.).

В целом программа оставила приятное впечатление. Нормальное функциональное решение в бесплатной версии. Если захочется купить для большего числа узлов, то стоит недорого, лицензии бессрочные. Мне кажется, это хорошее решение для школ, других бюджетных учреждений с простой внутренней инфраструктурой.

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

———
ServerAdmin: 📱 Telegram | 🌐 Сайт | 📲 MAX

#мониторинг #отечественное

Для тех, кто работал с OpenVPN, привычен метод аутентификации на основе клиентских сертификатов, который используется там по умолчанию. В веб сервере Angie ровно эти же сертификаты можно использовать для аутентификации клиентов при доступе к закрытым сервисам.

Мне никогда на глаза не попадалась подобная реализация. Я примерно представлял, что так можно, но когда увидел в недавнем видео, как это легко и быстро настраивается, решил проверить и сделать краткую инструкцию, чтобы можно было повторить в случае необходимости. Мне видится это удобным методом, когда есть возможность установить клиентский сертификат в браузер. Это и безопасно, и удобно для пользователя, если он сумеет один раз настроить доступ.

Для реализации подобного метода понадобится свой CA для выпуска сертификатов, сертификат сервера, сертификаты клиентов. Подойдёт любая инструкция для OpenVPN, где делается всё то же самое. В качестве программы для работы с сертификатами можно использовать:

◽️Easy-RSA - популярный набор скриптов на базе openssl.
◽️Step-CA - своя локальная служба для управления CA с простой автоматизацией перевыпуска.
◽️CFSSL - современная одиночная утилита от CloudFlare с конфигами в формате json.
◽️XCA - кроссплатформенное приложение с GUI, в отличие от предыдущих вариантов консольных команд.

Для простоты и краткости команд я возьму Easy-RSA. Но если вы хотите в графическом интерфейсе всё делать, то берите XCA. Принцип там такой же.

Ставим Easy-RSA:

# apt install easy-rsa

Создаём свой CA:

# make-cadir /etc/angie/easy-rsa
# cd /etc/angie/easy-rsa
# ./easyrsa init-pki
# ./easyrsa build-ca

По умолчанию сертификат для CA выпускается на 10 лет, остальные - на 825 дней. Сделаем остальные тоже 10-ти летними. Добавляем в файл vars параметр:

set_var EASYRSA_CERT_EXPIRE 3650

Заодно увеличим время жизни списка отозванных сертификатов до года. Я не знаю, как ведёт себя Angie, но OpenVPN перестаёт принимать новые аутентификации, когда файл отзывов протухает.

set_var EASYRSA_CRL_DAYS 365

Остальные параметры меняйте по своему усмотрению. Они некритичны. Выпускаем сертификаты и ключи для сервера и первого клиента:

# ./easyrsa build-server-full server nopass
# cp /etc/angie/easy-rsa/pki/issued/server.crt /etc/angie
# cp /etc/angie/easy-rsa/pki/private/server.key /etc/angie
# ./easyrsa build-client-full client01 nopass

Для передачи клиенту сертификат и ключ от него надо упаковать в один контейнер формата PKCS12:

# openssl pkcs12 -export -in /etc/angie/easy-rsa/pki/issued/client01.crt -inkey /etc/angie/easy-rsa/pki/private/client01.key -out client01.p12

Передаём client01.p12 клиенту. Готовим конфигурацию виртуального сервера Angie. Показываю на примере конфигурации default.conf с доступом по IP:

server {
  listen    443 ssl;
  server_name localhost;

  access_log /var/log/angie/host.access.log main;

  ssl_certificate   /etc/angie/server.crt;
  ssl_certificate_key /etc/angie/server.key;
  ssl_client_certificate /etc/angie/easy-rsa/pki/ca.crt;
  ssl_crl /etc/angie/easy-rsa/pki/crl.pem;
  ssl_verify_client on;

  location / {
    root  /usr/share/angie/html;
    index index.html index.htm;
  }
}

Перезапускаю веб сервер:

# angie -t
# angie -s reload

Захожу на веб сервер по IP - получаю ошибку: "400 Bad Request
No required SSL certificate was sent".

Надо добавить сертификат в браузер. В Яндекс.Браузере это делается в разделе Настройки ⇨ Системные ⇨ Сеть ⇨ Управление сертификатами ⇨ Импорт ⇨ Выбираем скопированный файл client01.p12.

Теперь мы попадаем на стандартную страницу веб сервера. Если нужно запретить доступ пользователю - отзываем его сертификат:

# ./easyrsa --batch revoke client01
# ./easyrsa gen-crl
# angie -s reload

Эти команды обновят файл отзывов crl.pem, который проверяет веб сервер. Последний надо обязательно заставить перечитать конфигурацию, иначе он не примет изменения. Теперь client01 получит ошибку доступа: "The SSL certificate error".

Простая и удобная аутентификация. Берите на вооружение.

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

———
ServerAdmin: 📱 Telegram | 🌐 Сайт | 📲 MAX

#angie