Серверная Админа | Компьютерные сети

👋 Привет, сетевой друг!

Сегодня про PCP (Port Control Protocol) - протокол, через который устройство может само попросить роутер открыть ему порт. Без захода в веб-интерфейс и ручной настройки проброса.

🟣Зачем он нужен: допустим, у вас дома работает игровой сервер, но роутер использует NAT. Снаружи никто не может подключиться к серверу, потому что роутер просто не знает, куда отправлять входящие соединения.

🟣Ситуация становится ещё веселее, если провайдер использует CGNAT. Теперь между сервером и интернетом сразу два NAT, причём один из них вообще вам не принадлежит.

🟣Что делает PCP: устройство отправляет запрос на PCP-сервер, обычно работающий на маршрутизаторе или CGNAT-шлюзе, и просит создать отображение порта.

Например:

Внутри сети: 192.168.1.50:25565
Внешний адрес: 203.0.113.10:40000
Протокол: TCP
Время жизни: 3600 секунд

Если сервер разрешает такое отображение, он возвращает выделенный внешний адрес и порт. Теперь входящие соединения на 203.0.113.10:40000 могут попасть на игровой сервер.

🟣Интересная часть - PCP не ограничивается домашними роутерами. Он умеет работать с NAT на стороне провайдера, если тот поддерживает протокол и разрешает клиентам создавать отображения. А ещё PCP умеет управлять правилами на межсетевых экранах даже там, где NAT вообще нет.

🟣У протокола две основные операции:

• MAP - создать или продлить отображение порта для входящих соединений.

• PEER - управлять отображением, связанным с конкретным удалённым узлом. Полезно для приложений, которым важно сохранить существующее соединение через NAT.
Запросы PCP отправляются по UDP на порт 5351.

🟣Проверить работу можно через pcp-client из реализации libpcp, если она доступна в вашей системе. Но важно понимать: наличие PCP-клиента ещё не означает, что роутер или провайдер поддерживает запросы. И даже успешное создание отображения не гарантирует доступность сервиса, если трафик блокируется другим firewall.

🟣PCP описан в RFC 6887 и пришёл на смену более ограниченным механизмам вроде NAT-PMP. Его используют для автоматического управления доступностью сервисов, P2P-соединений и приложений, которым нужно принимать входящий трафик.
По сути, это способ договориться с NAT напрямую: не пытаться угадать, как он работает, а попросить его создать нужное правило.

🤖Бесплатный ChatGPT

👋 Привет, сетевой друг!

Сегодня проNetRadar - инструмент, с которым можно устроить небольшую ревизию локалки: найти забытые устройства, обнаружить открытые сервисы и посмотреть, что творится в Wi-Fi-эфире.

🟣Начнём с локальной сети. NetRadar сканирует подсеть и собирает информацию об устройствах: IP, MAC, производитель сетевой карты, предполагаемая ОС и открытые порты.
Причём можно не просто узнать, что на 192.168.1.50 открыт порт 22, а попытаться определить, какой SSH-сервер там работает и какой у него версии.

🟣А если нужно найти конкретный сервис? Например, кто-то оставил Telnet на старом коммутаторе или в сети появился неизвестный FTP-сервер. В NetRadar есть отдельный поиск по SSH, FTP, SMB, Telnet и HTTP/HTTPS. Для Windows можно дополнительно проверить Samba и NetBIOS, включая доступные сетевые ресурсы.

🟣С Wi-Fi ещё интереснее. Инструмент объединяет Aircrack-ng, Bettercap, nmcli и Wash. Можно обнаруживать точки доступа, смотреть каналы, типы шифрования и связанных клиентов. А после сканирования через Aircrack-ng NetRadar строит схему: какие сети обнаружены и какие устройства с ними связаны. Не нужно вручную разбирать длинный вывод сканера.

🟣Есть и утилиты для Wi-Fi-адаптера. Можно проверить чипсет, драйвер, поддерживаемые режимы и переключить карту в monitor mode, если оборудование это позволяет.

🟣Запускается всё из терминала:

sudo apt install git
git clone https://github.com/XDeadHackerX/NetRadar
cd NetRadar
sudo bash netradar.sh

При первом запуске выбираем язык, а необходимые для сканирования зависимости устанавливаются отдельно.

🟣Правда, NetRadar не обновлялся несколько лет, так что на свежих дистрибутивах могут возникнуть проблемы. Но как оболочка для набора сетевых инструментов он любопытен: вместо десятка отдельных команд получаем одно меню для исследования своей сети.

🤖Бесплатный ChatGPT

Ну все, сетевики больше не нужны? Проверяем на практике!

Автор собрал стенд из десяти Linux-машин и решил, что настраивать всё вручную слишком скучно. Вместо этого выдал Codex SSH-доступ и поручил разобраться с сетью. ИИ начал ходить по серверам, проверять интерфейсы, искать ошибки в конфигурации и даже поймал опечатку самого автора. В статье будет живой эксперимент с ИИ-агентом, сетевой автоматизацией и технологиями от MPLS до SRv6.

🤖Бесплатный ChatGPT

👋 Привет, сетевой друг!

Сегодня разберём, в чём разница между DHCP Snooping и Dynamic ARP Inspection (DAI). Обе технологии защищают L2-сеть, но от совершенно разных атак.

🟣DHCP Snooping защищает сеть от поддельных DHCP-серверов. Представьте, что кто-то подключил к офисному коммутатору свой роутер, который начал раздавать клиентам IP-адреса, шлюз и DNS.
Компьютеры могут получить настройки от чужого устройства, а весь их трафик пойдёт через подставной шлюз.

🟣DHCP Snooping делит порты на trusted и untrusted. Ответы DHCP-сервера разрешены только с доверенных портов. Если обычный клиентский порт начнёт отправлять DHCP Offer, коммутатор отбросит пакет.

🟣Dynamic ARP Inspection решает другую проблему - ARP Spoofing.

Допустим, атакующий отправляет в сеть ARP-ответ:

192.168.1.1 → AA:BB:CC:DD:EE:FF

И убеждает соседние устройства, что MAC-адрес шлюза принадлежит ему.
DAI проверяет ARP-пакеты по таблице привязок IP и MAC, которую обычно создаёт DHCP Snooping. Если адреса не совпадают, пакет блокируется.

🟣Как настроить на Cisco:

Сначала включаем DHCP Snooping:

ip dhcp snooping
ip dhcp snooping vlan 10

interface GigabitEthernet0/1
ip dhcp snooping trust

Здесь Gi0/1 - порт в сторону легитимного DHCP-сервера или доверенного сетевого оборудования.

Теперь включаем проверку ARP:

ip arp inspection vlan 10

На клиентских портах ARP-пакеты будут проверяться, а порт к доверенному шлюзу при необходимости можно настроить отдельно:

interface GigabitEthernet0/2
ip arp inspection trust

🟣Главная разница: DHCP Snooping не даёт чужому устройству раздавать сетевые настройки, а DAI не позволяет подменять соответствие IP и MAC через ARP. Причём технологии связаны: DAI часто использует таблицу DHCP Snooping, чтобы понимать, какие адреса действительно принадлежат клиентам.

🟣Что проверить при диагностике:

show ip dhcp snooping
show ip dhcp snooping binding
show ip arp inspection
show ip arp inspection statistics

И важный момент: если в сети используются статические IP, для DAI понадобятся дополнительные разрешённые привязки, например ARP ACL. Иначе можно случайно заблокировать вполне легитимные устройства.

🤖Бесплатный ChatGPT

📝 Пол Мокапетрис: человек, который придумал DNS

Сегодня расскажу про инженера, благодаря которому нам теперь не приходится запоминать IP-адреса каждого сайта и сервера ``😳

🟣В начале 80-х интернет ещё был небольшой сетью, а имена компьютеров хранились в обычном файле HOSTS.TXT. В нём указывалось, какому IP-адресу соответствует конкретное имя.
Файл распространялся централизованно, и каждый компьютер должен был получать обновлённую копию. Пока узлов было немного, схема работала. Но по мере роста сети поддерживать такой список становилось всё сложнее.

🟣В 1983 году Пол Мокапетрис предложил Domain Name System - DNS. Вместо одного огромного файла появилась распределённая иерархическая система, в которой разные серверы отвечают за свои части пространства имён.

🟣Например, когда вы открываете example.com, DNS-резолвер может последовательно обратиться к корневым серверам, серверам зоны .com и авторитетному серверу домена. Каждый из них знает не весь интернет, а только свою часть системы.

🟣Самое интересное - делегирование зон. Владелец домена может самостоятельно управлять его DNS-записями, не согласовывая каждое изменение с центральным администратором. Именно это позволило системе масштабироваться до миллионов, а затем и сотен миллионов доменных имён.

🟣Ещё одна важная идея - кеширование. Если резолвер уже узнал IP-адрес домена, ему не нужно каждый раз повторять всю цепочку запросов.
За срок хранения отвечает TTL:

example.com. 300 IN A 192.0.2.10

Здесь 300 означает, что запись можно кешировать до пяти минут.

🟣В 1983 году Мокапетрис описал DNS в RFC 882 и RFC 883. Позже появились RFC 1034 и RFC 1035, которые до сих пор лежат в основе работы DNS. Конечно, система со временем получила DNSSEC, новые типы записей и защищённые способы передачи запросов. Но её главная архитектура осталась прежней.

🟣Получается, одна из самых важных технологий интернета появилась из довольно бытовой проблемы: файл со списком компьютеров стал слишком большим, чтобы его было удобно обновлять.

🤖Бесплатный ChatGPT

Переход с VMware: как не начать с нуля и получить больше возможностей

Смена платформы виртуализации поднимает практические вопросы: как изменятся существующие процессы, будет ли возможна автоматизация, останутся ли Terraform и Ansible в рабочем контуре и можно ли использовать декларативное управление наравне с управлением через веб-интерфейс.

16 октября на вебинаре узнаете о типовых сценариях и задачах эксплуатации классической виртуализации и увидите, как их можно автоматизировать в Deckhouse Platform.

В программе:
— сценарии классической виртуализации и сочетание веб-интерфейса с декларативным управлением;
— подготовка «золотых образов» и первичная настройка ВМ;
— развёртывание через Terraform, манифесты, шаблонизатор и GitOps;
— управление конфигурацией ВМ с помощью Ansible.

🎁 Бонусы: розыгрыш мерча и обучения.

Зарегистрироваться

🤖Бесплатный ChatGPT

👋 Привет, сетевой друг!

Сегодня расскажу про BGP Add-Path (RFC 7911) - расширение BGP, которое позволяет передавать несколько маршрутов до одной подсети вместо одного лучшего.

🟣В чём проблема: представьте Route Reflector, который получает три маршрута до 10.50.0.0/16 от разных маршрутизаторов. Он выбирает лучший и объявляет его клиентам. Остальные пути остаются скрытыми, хотя вполне могут работать. Если основной маршрут пропадёт, клиентам придётся ждать, пока RR выберет и объявит другой.

🟣Как работает Add-Path: в BGP UPDATE добавляется 32-битный Path Identifier. Благодаря ему сосед может различать несколько маршрутов к одному префиксу:

10.50.0.0/16 → Path ID 101 → R1
10.50.0.0/16 → Path ID 102 → R2
10.50.0.0/16 → Path ID 103 → R3

Теперь клиент заранее знает об альтернативных путях, даже если использует только один.

🟣Как включить на Cisco IOS XR:

router bgp 65000
address-family ipv4 unicast
additional-paths receive
additional-paths send
additional-paths selection route-policy ADDPATH

Здесь ADDPATH - заранее созданная route-policy, определяющая, какие дополнительные пути разрешено передавать. Соседи должны согласовать поддержку Add-Path через BGP Capability 69. Причём отправка и получение дополнительных путей согласуются отдельно.

🟣Где пригодится: прежде всего в больших BGP-сетях с Route Reflector. Add-Path помогает бороться с path hiding, когда RR скрывает рабочие альтернативы от своих клиентов. Но это не ECMP: несколько полученных маршрутов ещё не означают, что трафик пойдёт по всем одновременно.

🟣Проверка:

show bgp neighbors
show bgp ipv4 unicast 10.50.0.0/16

Первая команда покажет согласованные BGP capabilities, вторая - известные маршруты до префикса.

🤖Бесплатный ChatGPT

👋 Привет, сетевой друг!

Сегодня проLAN Orangutan - сетевой сканер, который помогает разобраться, что вообще подключено к вашей локалке, и не потерять эту информацию после следующего сканирования.

🟣LAN Orangutan использует nmap для обнаружения устройств, но результаты сохраняет. Каждому хосту можно дать имя, добавить заметку и назначить группу: Server, Desktop, IoT и другие. В веб-интерфейсе видно, какие устройства онлайн, какие пропали, а какие появились после сканирования. Есть поиск, фильтры и автоматическое обновление.

🟣Запустить сканирование можно прямо из терминала:

sudo orangutan scan

Или проверить конкретную подсеть:

sudo orangutan scan 192.168.1.0/24

С sudo nmap может получить MAC-адреса и определить производителя устройства. Без повышенных привилегий останутся IP и имена хостов.

🟣Интересная часть - поддержка нескольких сетей. Например, у вас есть основная LAN, отдельный VLAN для IoT и серверная подсеть. Удалённые сети, доступные через маршрутизатор, можно добавить вручную:

ORANGUTAN_NETWORKS=192.168.10.0/24,10.0.5.0/24 orangutan serve

Они появятся в общей панели. Правда, MAC-адреса устройств за маршрутизатором сканер уже не получит: ARP работает только в пределах локального L2-сегмента.

🟣Есть интеграция с Tailscale. LAN Orangutan получает список пиров напрямую из Tailscale и показывает их рядом с локальными устройствами. Можно увидеть hostname, операционную систему и даже подключать или отключать Tailscale из веб-панели.

🟣Для автоматизации предусмотрены CLI и JSON:

orangutan list --online
orangutan list --format json
orangutan export devices.csv

А веб-интерфейс запускается так:

sudo orangutan serve

Открываем http://localhost:291 и задаём пароль при первом входе.

🟣С Docker есть нюанс: на Linux нужен host networking, иначе сканер увидит сеть контейнеров вместо настоящей LAN. На macOS и Windows лучше запускать бинарник напрямую из-за особенностей Docker Desktop.
LAN Orangutan написан на Go, работает на Linux, macOS и Windows. Для сканирования нужен nmap.

🤖Бесплатный ChatGPT

Прятал пакеты и все отрицал - как мы отладили DHCP‑балансировщик

После переноса DHCP-сервиса часть серверов перестала получать IP-адреса. При этом tcpdump показывал, что ответы уходят, firewall молчал, а на коммутаторах не было ни одного дропа. В статье разбирают, как инженеры искали пропавшие пакеты через port mirroring, добрались до DHCP snooping и обнаружили странное поведение коммутаторов с одинаковой прошивкой.

🤖Бесплатный ChatGPT

👨‍💻Серверная Админа | #мем

🤖Бесплатный ChatGPT