Каждый раз, когда пишу заметки на тему DDOS, в комментариях появляются одни и те же заблуждения. Что тут в TG, что в VK. Я не сказать, что прям такой большой специалист по этой теме, но у меня в управлении уже очень давно разные сайты, и ситуаций с ними тоже было много разных. На эту тему было много заметок на канале. Где-то я что-то мог сделать и решить проблемы, где-то ничего не мог сделать и сайт лежал под нагрузкой, а иногда меня просто провайдеры отключали, приходилось подключать внешнюю защиту.

Пройдусь по этим заблуждениям.

1️⃣ Надо установить и настроить Fail2Ban. Это прям база, про которую всегда пишут. Fail2Ban - популярный инструмент, который решает некоторые задачи, но от DDOS он не поможет. Я его сразу же отключаю, если начинается атака. Именно Fail2Ban первым делом и положит ваш сервер с сайтом, как только лог веб сервера начнёт измеряться гигабайтами. А это может случиться очень быстро.

Пока с этим не столкнёшься, не поймёшь. Кажется, что это простой и эффективный инструмент, для которого куча инструкций. Да, им удобно банить редких ботов, которые долбятся в админку, в несуществующие урлы, превышают лимиты веб сервера и т.д. Но как только идёт DDOS, он больше вредит, чем помогает.

2️⃣ Настроить limit_conn и limit_req в Nginx. С их помощью можно ограничить число подключений с конкретного IP или запросов на конкретный урл. Настроить в целом можно. Я, собственно, их всегда и настраиваю. Они работают в связке с Fail2Ban. Но от DDOS это тоже не поможет, а усугубит ситуацию. Боты займут все лимиты и реальные пользователи вообще ничего не увидят. Это будет равноценно тому, что вы просто отключите свой сайт. Получается, что вы не решите проблему, а усугубите, упростив задачу атакующему.

3️⃣ Заблокировать ботов на веб сервере. Это может быть блокировка по гео признаку, по юзер агенту, кукисам или ещё какому-то признаку. Иногда паразитный трафик такой интенсивный, что тот же Nginx на 100% загружает сервер, даже отдавая только статическую страницу с заглушкой. Он уже не может эффективно работать. Если есть возможность, отсекать запросы надо заранее.

Мой опыт успешного отражения некоторых небольших атак говорит о том, что если ты что-то можешь сделать, то лучше это делать сразу на файрволе, не допуская трафик до веб сервера. Я применяю связку iptables + ipset. Хорошо их знаю и умею пользоваться. Только так хоть как-то можно что-то сделать, если тебе не забили входящий канал и тебя не отключил провайдер.

На моей практике отражались какие-то автоматизированные и с моей стороны выглядящие как бессмысленные атаки. Если я видел, что атакует какой-то человек, применяя разные методы, то рано или поздно от добивался своего и тебе оставалось только подключать внешнюю защиту, менять IP, направлять трафик через DNS на адреса защиты.

DDOS зачастую продаётся как услуга, тебе не обязательно в этом разбираться, если хочешь кому-то навредить. Достаточно заплатить, и в зависимости от твоего бюджета, будут выбирать методы и продолжительность воздействия. Если бабки не проблема, то просто сразу же заказываешь атаку, которая забивает входящий канал и сайт падает. А дальше у владельца только один вариант - подключать платную защиту.

В целом, немного разбираться в отражении простых атак стоит. Я сталкивался много раз с ними. Знаю знакомых, которые не понимали, что им делать, даже когда их один человек долбил запросами в какое-то уязвимое место на сайте. Они прям думали, что их атакуют и надо срочно покупать защиту, хотя хватило бы и простого Fail2Ban или одного правила в файрволе. Основная проблема в получении практического опыта. Потренироваться не на чем. Сымитировать нормальную атаку довольно сложно. Например, во вчерашней атаке я по итогу забанил 135 000 IP адресов. Так как я не первый раз с этим сталкиваюсь, просто открыл свои прошлые публикации и набор сохранённых команд и скриптов, которые использовал ранее.

———
ServerAdmin: 📱 Telegram | 🌐 Сайт | 📲 MAX 😩

#ddos #совет

Не очень хочется об этом писать, но уже особо выбора нет. В любом случае все там будем. Речь идёт про MAX. Минцифры как из рога изобилия последнее время сыплет инициативами, которые становятся обязательными к исполнению.

Правительство запускает общенациональную кампанию по добровольному отказу граждан от мессенджера Telegram. Блогеров и СМИ обязали в этом участвовать. Подробности кампании по ссылке:

⇨ Минцифры выплатит по 1000 рублей россиянам, удалившим свой аккаунт в Telegram

Глава Минцифры Максут Шадаев объявил о старте общенациональной кампании по добровольному отказу граждан от мессенджера Telegram. В течение ближайших месяцев в СМИ и Интернете лидеры мнений будут вести разъяснительную работу с населением о незавидной участи пользователей западной сервиса.

«Ведущие журналисты и блогеры в доступной форме объяснят, почему не нужно переписываться и читать новости в «Телеге». Также до граждан донесут информацию о доступных отечественных альтернативах», – сказал Шадаев.

Удалившие свой аккаунт в Telegram россияне также получат по тысяче рублей. Для получения выплаты пользователь должен подать заявление на портале «Госуслуги» и пообещать как минимум год не пользоваться мессенджером.

#сатира (горькая 😭😭)

Очередная подборка статей авторов, которые согласились в ней участвовать. Кто не понимает, о чём идёт речь, может прочитать прошлые публикации по этой теме (раз, два).

⇨ Linux on DeX: когда смартфон становится рабочей станцией
Samsung DeX (Desktop Experience) - режим работы флагманских Samsung-устройств, при котором телефон подключается к монитору через HDMI или USB-C и превращается в полноценный десктоп с оконным менеджером, панелью задач и поддержкой клавиатуры с мышью. Вообще впервые услышал об этой технологии. Open source реализация этой технологии для запуска Linux на Android - Local Desktop | Linux on Android. Если кто-то запускал такое у себя и пользовался, поделитесь, пожалуйста, впечатлениями.

⇨ Proxmox VE — Создание шаблона VM и использование Cloud-Init
Использование Cloud-Init для быстрого запуска преднастроенных виртуалок в Proxmox. Наиболее простая технология для подобных задач. Осваивается сходу.

⇨ Обзор и возможности ZimaBoard 2: компактный сервер для домашнего homelab
Обзор компактного одноплатного сервера Zimaboard. У автора есть и видеообзор этого устройства. Мне понравилась концепция. Для этого одноплатника я бы нашёл реально применение, в отличие от Raspberry Pi и аналогов.

⇨ Как проверить SSL сертификат сайта из консоли Linux
Консольные команды, теория и примеры работы с сертификатами, в том числе разбор основных ошибок и ручное восстановление доверия через обновление промежуточных сертификатов в цепочках.

⇨ Web WireMock: как я сделал удобный интерфейс для управления моками
Веб интерфейс для Wiremock - инструмента для эмулирования работы API. Обычно используется для тестов, заменяя реальные сервисы с API клоном с преднастроенными ответами на разные запросы.

⇨ Как массово добавить хосты в Zabbix из Excel через API
Практический пример добавления 200 хостов в мониторинг через Zabbix API. Хосты записаны в таблицу Excel, скрипт добавления написан на Python.

⇨ BookLore — self-hosted библиотека и читалка для вашей коллекции книг
Обзор и настройка решения собственного сервера для хранения и чтения электронных книг. Я, кстати, постоянно читаю книги. У меня их полно сохранено, но они тупо лежат по папкам с именами в виде имени автора.

⇨ Установка Vaultwarden в Docker
Установка популярного веб сервиса Vaultwarden для хранения паролей и совместной работы с ними. В статье используется веб сервер Caddy в качестве обратного прокси и MariaDB в качестве СУБД. Всё это собрано в compose.yml.

⇨ Как преобразовать GPT в MBR без потери данных
Нетривиальная задача, которая лично мне вообще ни разу не попадалась. Обратное преобразование ещё случается, да и то редко. Обычно разметка выбирается в момент установки системы и дальше нет нужды её изменять. В статье автор использует бесплатную программу DiskGenius для преобразования без потери данных.
⇨ Как преобразовать MBR в GPT без потери данных
Следом пример обратного преобразования с помощью той же программы. Это более реальный пример, с которым можно столкнуться, если диск вашей виртуалки был меньше 2 ТБ, а теперь его надо увеличить без пересоздания диска.

⇨ QUIC: Транспортный протокол, который переосмыслил интернет
Обзор протокола QUIC с акцентом на его особенностях и построении приложений с ним.

Хотите присоединиться к этой подборке? Пишите мне в личные сообщения.

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

———
ServerAdmin: 📱 Telegram | 🌐 Сайт | 📲 MAX 😩

#статьи

▶️ Очередная подборка авторских IT роликов, которые я лично посмотрел и посчитал интересными/полезными. Это видео из моих подписок за последнее время (обычно беру период в 2 недели), что мне понравились.

🔥 NGINX is Dead? // Angie Web Server Migration Guide
Angie заметили иностранные блогеры, как замену Nginx. Автор сделал небольшой обзор, показал, как перейти с Nginx, и отметил некоторые преимущества. Каждый второй комментарий к видео на тему того, что Angie - российская разработка. Я не удержался и каждому ответил, что Nginx, самый популярный веб сервер в мире, вообще-то тоже родом из России.

⇨ HTTP/2 и HTTP/3: настройка, достоинства и недостатки
Большой наглядный разбор протоколов с примерами. Автор сразу на веб сервере меняет настройки и демонстрирует то, что рассказывает. Очень наглядный формат повествования.

⇨ Proxmox Ollama OpenWebUI LXC для самых маленьких
Очень простая и быстрая установка и настройка Ollama и OpenWebUI в LXC-контейнере на Proxmox. Это веб интерфейс для взаимодействия с различными моделями. В данном случае, с локальными. Автор для примера установил одну простенькую модель и пообщался с ней.
⇨ Локальная Ollama в Excel
Продолжение первого видео, где используется локальная модель для взаимодействия с табличкой Excel через query запросы. Хороший практический пример использования небольшой локальной модели.

⇨ Getting started with OpenClaw (VPS Set-Up simply + secure) Tutorial
Инструкция по настройке и использованию OpenClaw - популярного последнее время агента для взаимодействия с ИИ. В видео автор много всего интересного рассказал по поводу моделей и их использования. Так что послушать полезно и для общего образования, даже если настраивать не собираетесь.

⇨ OpenMediaVault 8: Install, RAID, File Sharing & More - OMV 8 Series Ep. 1
Автор анонсировал серию уроков по настройке сетевого хранилища на базе Debian - OpenMediaVault. Неплохое решение. После TrueNAS, мне кажется, на втором месте по популярности. В видео в целом ничего особенного - установка, создание разделов, сетевых дисков, пользователей.

⇨ Changedetection
Обзор полезного и функционального сервиса changedetection.io для отслеживания изменений на сайтах. Я тестировал его и писал заметку.

⇨ Это наконец-то исправляет ошибки в пользовательском интерфейсе Proxmox.
Обзор PegaProx, про который я недавно писал. Автор похвалил панельку. Говорит, что намного удобнее и нагляднее стандартного интерфейса. Правда речь идёт о многокластерных инфраструктурах, где продукт наиболее широко раскрывается.

⇨ Программное обеспечение с открытым исходным кодом, которое я буду использовать в 2026 году!
Большой обзор от автора открытого ПО, которое он использует. В целом, там ничего особенного. Практически всё, что он перечислил, я знаю и в разное время обозревал на канале: Authentik, Nextcloud, Beszel, Vaultwarden, Pangolin, Netbird, Nexterm, Guacamole, Peertube и т.д. Интересный и ёмкий формат видео, из которого можно что-то полезное для себя вынести.

⇨ ZimaBoard 2. Компактный домашний сервер
Очень подробный обзор (57 минут 😱) на популярный последнее время одноплатник. Это не спроста. Судя по всему производители вложились в маркетинг. Все ломанулись снимать обзоры на него. Так то железка прикольная.

⇨ Docker Swarm. Что за РОЙ? Обзор технологии оркестрации Докер Сворм.
Большой обзор Docker Swarm. Подойдёт для тех, кто хочет понять, что это такое и как работает.

———
ServerAdmin: 📱 Telegram | 🌐 Сайт | 📲 MAX 😩

#видео

Вчера в очередной раз разбирался с Loki. Хочу в него собрать все необходимые мне логи, чтобы получить готовое универсальное решение. В основном всё уже разобрал, остался обычный формат syslog, чтобы собирать логи с сетевых устройств. Loki принимать напрямую syslog не умеет. Нужно использовать какое-то промежуточное звено. И выбор тут такой:

◽️Alloy или Promtail
◽️Vector или другой похожий сторонний софт
◽️Сбор логов в текстовый файл с помощью rsyslog и отправка

Решил использовать рекомендуемый самой Графаной Alloy. Конфигурация там простая. В общем случае достаточно будет такой:

loki.write "default" {
    endpoint {
        url = "http://192.168.137.30:3100/loki/api/v1/push"
    }
    external_labels = {}
}

loki.source.syslog "syslog_in" {
  listener {
    address = "0.0.0.0:1514"
    protocol = "udp"
    labels = { job = "syslog" }
  }
  forward_to = [loki.process.syslog_process.receiver]
}

loki.process "syslog_process" {
  stage.labels {
    values = {
      remote_ip = "__syslog_connection_ip_address",
      hostname = "__syslog_message_hostname",
      app = "__syslog_message_app_name",
    }
  }

  forward_to = [loki.write.default.receiver]
}

Принимаем логи по UDP на порт 1514, добавляем немного меток и отправляем в Loki. Кажется, всё просто, но на деле - нет. Если у вас устройство шлёт syslog формата RFC5424, то проблем не будет. Для тестов взял Mikrotik, так как мне важно собирать с них логи. И ничего не получилось. Alloy ожидает логи по стандарту RFC5424 (structured syslog), а Mikrotik шлёт в неполном формате RFC3164. Там логи вида:

system,info,account user admin logged in from 192.168.137.10 via ssh

Alloy ругается на этот лог и не может его распарсить. Почитал документацию alloy и нашёл параметр:

syslog_format = "rfc3164"

Добавил его, логи всё равно не идут. Поменял в Mikrotik формат логов с default на BSD Syslog и логи пошли в Loki, но без информации об адресе отправителя, что очень неудобно, когда у тебя много устройств.

Дальше я реализовал для сбора несколько вариантов, чтобы понять, какой удобнее всего:

◽️Принимать логи в rsyslog в текстовые файлы, а потом забирать их alloy.
◽️Принимать логи в rsyslog насыщать их дополнительными полями и переправлять в alloy.
◽️Использовать для приёма логов Vector. Он принимает микротиковские логи разных форматах.

В первых двух способах парсинг полей недоступен. Чтобы он работал, надо вручную добавлять этап обработки микротиковских логов какой-то регуляркой, выделять поля и передавать структурированные данные в alloy. Я попробовал быстренько это реализовать, но не получилось. Надо разбираться и отлаживать. Задача нетиповая, ИИшки не помогают, предлагают откровенную неработающую лажу. Мне не сказать, что сильно это надо. Конкретно от Микротиков мне важно просто хранить текстовые логи. Их обычно немного, какие-то выборки и группировки не нужны.

Пример того, как записать логи формата syslog с Микротиков в текстовые файлы, я показывал ранее. Сохраняем логи в разные файлы и забираем их с помощью Alloy. Это самый простой способ, что называется - в лоб. Работает надёжно и прост в настройке. Отладка особо не нужна, у меня сразу заработало, в отличие от других вариантов. Фильтрация устройств работает по имени файла, в котором отражён IP.

Второй вариант с пересылкой через rsyslog у меня тоже получился, хоть и не сразу. Пришлось повозиться и отлаживать. Ниже часть конфигурации rsyslog.conf, которая отвечает за приём логов формата default в Mikrotik и пересылку в локальный alloy с добавлением полей до формата RFC5424:

module(load="imudp")
input(type="imudp" port="514" ruleset="to_alloy")

template(name="RFC5424_Wrapper" type="string"
  string="<%PRI%>1 %TIMESTAMP:::date-rfc3339% %HOSTNAME% mikrotik - - - %msg:2:$%\n"
)

ruleset(name="to_alloy") {
  action(type="omfwd"
      target="127.0.0.1"
      port="1514"
      protocol="udp"
      template="RFC5424_Wrapper")
  stop
}

В итоге самым удобным вариантом оказался Vector. Не хватает лимита по объёму, так что вечером покажу подробно отдельной публикацией.

———
ServerAdmin: 📱 Telegram | 🌐 Сайт | 📲 MAX 😩

#loki #mikrotik