Серверная Админа | Компьютерные сети

👋 Привет, сетевой друг!

Сегодня проNetRadar - инструмент, с которым можно устроить небольшую ревизию локалки: найти забытые устройства, обнаружить открытые сервисы и посмотреть, что творится в Wi-Fi-эфире.

🟣Начнём с локальной сети. NetRadar сканирует подсеть и собирает информацию об устройствах: IP, MAC, производитель сетевой карты, предполагаемая ОС и открытые порты.
Причём можно не просто узнать, что на 192.168.1.50 открыт порт 22, а попытаться определить, какой SSH-сервер там работает и какой у него версии.

🟣А если нужно найти конкретный сервис? Например, кто-то оставил Telnet на старом коммутаторе или в сети появился неизвестный FTP-сервер. В NetRadar есть отдельный поиск по SSH, FTP, SMB, Telnet и HTTP/HTTPS. Для Windows можно дополнительно проверить Samba и NetBIOS, включая доступные сетевые ресурсы.

🟣С Wi-Fi ещё интереснее. Инструмент объединяет Aircrack-ng, Bettercap, nmcli и Wash. Можно обнаруживать точки доступа, смотреть каналы, типы шифрования и связанных клиентов. А после сканирования через Aircrack-ng NetRadar строит схему: какие сети обнаружены и какие устройства с ними связаны. Не нужно вручную разбирать длинный вывод сканера.

🟣Есть и утилиты для Wi-Fi-адаптера. Можно проверить чипсет, драйвер, поддерживаемые режимы и переключить карту в monitor mode, если оборудование это позволяет.

🟣Запускается всё из терминала:

sudo apt install git
git clone https://github.com/XDeadHackerX/NetRadar
cd NetRadar
sudo bash netradar.sh

При первом запуске выбираем язык, а необходимые для сканирования зависимости устанавливаются отдельно.

🟣Правда, NetRadar не обновлялся несколько лет, так что на свежих дистрибутивах могут возникнуть проблемы. Но как оболочка для набора сетевых инструментов он любопытен: вместо десятка отдельных команд получаем одно меню для исследования своей сети.

🤖Бесплатный ChatGPT

Ну все, сетевики больше не нужны? Проверяем на практике!

Автор собрал стенд из десяти Linux-машин и решил, что настраивать всё вручную слишком скучно. Вместо этого выдал Codex SSH-доступ и поручил разобраться с сетью. ИИ начал ходить по серверам, проверять интерфейсы, искать ошибки в конфигурации и даже поймал опечатку самого автора. В статье будет живой эксперимент с ИИ-агентом, сетевой автоматизацией и технологиями от MPLS до SRv6.

🤖Бесплатный ChatGPT

👋 Привет, сетевой друг!

Сегодня разберём, в чём разница между DHCP Snooping и Dynamic ARP Inspection (DAI). Обе технологии защищают L2-сеть, но от совершенно разных атак.

🟣DHCP Snooping защищает сеть от поддельных DHCP-серверов. Представьте, что кто-то подключил к офисному коммутатору свой роутер, который начал раздавать клиентам IP-адреса, шлюз и DNS.
Компьютеры могут получить настройки от чужого устройства, а весь их трафик пойдёт через подставной шлюз.

🟣DHCP Snooping делит порты на trusted и untrusted. Ответы DHCP-сервера разрешены только с доверенных портов. Если обычный клиентский порт начнёт отправлять DHCP Offer, коммутатор отбросит пакет.

🟣Dynamic ARP Inspection решает другую проблему - ARP Spoofing.

Допустим, атакующий отправляет в сеть ARP-ответ:

192.168.1.1 → AA:BB:CC:DD:EE:FF

И убеждает соседние устройства, что MAC-адрес шлюза принадлежит ему.
DAI проверяет ARP-пакеты по таблице привязок IP и MAC, которую обычно создаёт DHCP Snooping. Если адреса не совпадают, пакет блокируется.

🟣Как настроить на Cisco:

Сначала включаем DHCP Snooping:

ip dhcp snooping
ip dhcp snooping vlan 10

interface GigabitEthernet0/1
ip dhcp snooping trust

Здесь Gi0/1 - порт в сторону легитимного DHCP-сервера или доверенного сетевого оборудования.

Теперь включаем проверку ARP:

ip arp inspection vlan 10

На клиентских портах ARP-пакеты будут проверяться, а порт к доверенному шлюзу при необходимости можно настроить отдельно:

interface GigabitEthernet0/2
ip arp inspection trust

🟣Главная разница: DHCP Snooping не даёт чужому устройству раздавать сетевые настройки, а DAI не позволяет подменять соответствие IP и MAC через ARP. Причём технологии связаны: DAI часто использует таблицу DHCP Snooping, чтобы понимать, какие адреса действительно принадлежат клиентам.

🟣Что проверить при диагностике:

show ip dhcp snooping
show ip dhcp snooping binding
show ip arp inspection
show ip arp inspection statistics

И важный момент: если в сети используются статические IP, для DAI понадобятся дополнительные разрешённые привязки, например ARP ACL. Иначе можно случайно заблокировать вполне легитимные устройства.

🤖Бесплатный ChatGPT

📝 Пол Мокапетрис: человек, который придумал DNS

Сегодня расскажу про инженера, благодаря которому нам теперь не приходится запоминать IP-адреса каждого сайта и сервера ``😳

🟣В начале 80-х интернет ещё был небольшой сетью, а имена компьютеров хранились в обычном файле HOSTS.TXT. В нём указывалось, какому IP-адресу соответствует конкретное имя.
Файл распространялся централизованно, и каждый компьютер должен был получать обновлённую копию. Пока узлов было немного, схема работала. Но по мере роста сети поддерживать такой список становилось всё сложнее.

🟣В 1983 году Пол Мокапетрис предложил Domain Name System - DNS. Вместо одного огромного файла появилась распределённая иерархическая система, в которой разные серверы отвечают за свои части пространства имён.

🟣Например, когда вы открываете example.com, DNS-резолвер может последовательно обратиться к корневым серверам, серверам зоны .com и авторитетному серверу домена. Каждый из них знает не весь интернет, а только свою часть системы.

🟣Самое интересное - делегирование зон. Владелец домена может самостоятельно управлять его DNS-записями, не согласовывая каждое изменение с центральным администратором. Именно это позволило системе масштабироваться до миллионов, а затем и сотен миллионов доменных имён.

🟣Ещё одна важная идея - кеширование. Если резолвер уже узнал IP-адрес домена, ему не нужно каждый раз повторять всю цепочку запросов.
За срок хранения отвечает TTL:

example.com. 300 IN A 192.0.2.10

Здесь 300 означает, что запись можно кешировать до пяти минут.

🟣В 1983 году Мокапетрис описал DNS в RFC 882 и RFC 883. Позже появились RFC 1034 и RFC 1035, которые до сих пор лежат в основе работы DNS. Конечно, система со временем получила DNSSEC, новые типы записей и защищённые способы передачи запросов. Но её главная архитектура осталась прежней.

🟣Получается, одна из самых важных технологий интернета появилась из довольно бытовой проблемы: файл со списком компьютеров стал слишком большим, чтобы его было удобно обновлять.

🤖Бесплатный ChatGPT

Переход с VMware: как не начать с нуля и получить больше возможностей

Смена платформы виртуализации поднимает практические вопросы: как изменятся существующие процессы, будет ли возможна автоматизация, останутся ли Terraform и Ansible в рабочем контуре и можно ли использовать декларативное управление наравне с управлением через веб-интерфейс.

16 октября на вебинаре узнаете о типовых сценариях и задачах эксплуатации классической виртуализации и увидите, как их можно автоматизировать в Deckhouse Platform.

В программе:
— сценарии классической виртуализации и сочетание веб-интерфейса с декларативным управлением;
— подготовка «золотых образов» и первичная настройка ВМ;
— развёртывание через Terraform, манифесты, шаблонизатор и GitOps;
— управление конфигурацией ВМ с помощью Ansible.

🎁 Бонусы: розыгрыш мерча и обучения.

Зарегистрироваться

🤖Бесплатный ChatGPT

👋 Привет, сетевой друг!

Сегодня расскажу про BGP Add-Path (RFC 7911) - расширение BGP, которое позволяет передавать несколько маршрутов до одной подсети вместо одного лучшего.

🟣В чём проблема: представьте Route Reflector, который получает три маршрута до 10.50.0.0/16 от разных маршрутизаторов. Он выбирает лучший и объявляет его клиентам. Остальные пути остаются скрытыми, хотя вполне могут работать. Если основной маршрут пропадёт, клиентам придётся ждать, пока RR выберет и объявит другой.

🟣Как работает Add-Path: в BGP UPDATE добавляется 32-битный Path Identifier. Благодаря ему сосед может различать несколько маршрутов к одному префиксу:

10.50.0.0/16 → Path ID 101 → R1
10.50.0.0/16 → Path ID 102 → R2
10.50.0.0/16 → Path ID 103 → R3

Теперь клиент заранее знает об альтернативных путях, даже если использует только один.

🟣Как включить на Cisco IOS XR:

router bgp 65000
address-family ipv4 unicast
additional-paths receive
additional-paths send
additional-paths selection route-policy ADDPATH

Здесь ADDPATH - заранее созданная route-policy, определяющая, какие дополнительные пути разрешено передавать. Соседи должны согласовать поддержку Add-Path через BGP Capability 69. Причём отправка и получение дополнительных путей согласуются отдельно.

🟣Где пригодится: прежде всего в больших BGP-сетях с Route Reflector. Add-Path помогает бороться с path hiding, когда RR скрывает рабочие альтернативы от своих клиентов. Но это не ECMP: несколько полученных маршрутов ещё не означают, что трафик пойдёт по всем одновременно.

🟣Проверка:

show bgp neighbors
show bgp ipv4 unicast 10.50.0.0/16

Первая команда покажет согласованные BGP capabilities, вторая - известные маршруты до префикса.

🤖Бесплатный ChatGPT

👋 Привет, сетевой друг!

Сегодня проLAN Orangutan - сетевой сканер, который помогает разобраться, что вообще подключено к вашей локалке, и не потерять эту информацию после следующего сканирования.

🟣LAN Orangutan использует nmap для обнаружения устройств, но результаты сохраняет. Каждому хосту можно дать имя, добавить заметку и назначить группу: Server, Desktop, IoT и другие. В веб-интерфейсе видно, какие устройства онлайн, какие пропали, а какие появились после сканирования. Есть поиск, фильтры и автоматическое обновление.

🟣Запустить сканирование можно прямо из терминала:

sudo orangutan scan

Или проверить конкретную подсеть:

sudo orangutan scan 192.168.1.0/24

С sudo nmap может получить MAC-адреса и определить производителя устройства. Без повышенных привилегий останутся IP и имена хостов.

🟣Интересная часть - поддержка нескольких сетей. Например, у вас есть основная LAN, отдельный VLAN для IoT и серверная подсеть. Удалённые сети, доступные через маршрутизатор, можно добавить вручную:

ORANGUTAN_NETWORKS=192.168.10.0/24,10.0.5.0/24 orangutan serve

Они появятся в общей панели. Правда, MAC-адреса устройств за маршрутизатором сканер уже не получит: ARP работает только в пределах локального L2-сегмента.

🟣Есть интеграция с Tailscale. LAN Orangutan получает список пиров напрямую из Tailscale и показывает их рядом с локальными устройствами. Можно увидеть hostname, операционную систему и даже подключать или отключать Tailscale из веб-панели.

🟣Для автоматизации предусмотрены CLI и JSON:

orangutan list --online
orangutan list --format json
orangutan export devices.csv

А веб-интерфейс запускается так:

sudo orangutan serve

Открываем http://localhost:291 и задаём пароль при первом входе.

🟣С Docker есть нюанс: на Linux нужен host networking, иначе сканер увидит сеть контейнеров вместо настоящей LAN. На macOS и Windows лучше запускать бинарник напрямую из-за особенностей Docker Desktop.
LAN Orangutan написан на Go, работает на Linux, macOS и Windows. Для сканирования нужен nmap.

🤖Бесплатный ChatGPT

Прятал пакеты и все отрицал - как мы отладили DHCP‑балансировщик

После переноса DHCP-сервиса часть серверов перестала получать IP-адреса. При этом tcpdump показывал, что ответы уходят, firewall молчал, а на коммутаторах не было ни одного дропа. В статье разбирают, как инженеры искали пропавшие пакеты через port mirroring, добрались до DHCP snooping и обнаружили странное поведение коммутаторов с одинаковой прошивкой.

🤖Бесплатный ChatGPT

👨‍💻Серверная Админа | #мем

🤖Бесплатный ChatGPT

👋 Привет, сетевой друг!

Сегодня про NHRP (Next Hop Resolution Protocol) - протокол, который помогает маршрутизаторам в DMVPN находить друг друга и строить прямые туннели, не гоняя весь трафик через центральный хаб.

🟣Представим сеть из трёх офисов:

HUB
/ \
SPOKE1 SPOKE2

У филиалов есть GRE-туннели до HUB. Когда SPOKE1 отправляет трафик в сеть SPOKE2, пакеты сначала идут через центральный маршрутизатор, хотя филиалы могут связаться напрямую.
NHRP позволяет узнать реальный NBMA-адрес удалённого филиала (например, публичный IP) и использовать его для прямого соединения.

🟣Сначала филиалы регистрируются на HUB, который работает как NHRP Server (NHS). Например, SPOKE2 сообщает:

Tunnel IP: 10.0.0.3
NBMA IP: 203.0.113.20

HUB сохраняет эту связку. Когда SPOKE1 понадобится адрес SPOKE2, он сможет получить его через NHRP Resolution Request/Reply.

🟣Настройка Cisco IOS. На HUB:

interface Tunnel0
ip address 10.0.0.1 255.255.255.0
ip nhrp network-id 100
ip nhrp map multicast dynamic
tunnel source GigabitEthernet0/0
tunnel mode gre multipoint

На SPOKE1:

interface Tunnel0
ip address 10.0.0.2 255.255.255.0
ip nhrp network-id 100
ip nhrp nhs 10.0.0.1
ip nhrp map 10.0.0.1 198.51.100.1
ip nhrp map multicast 198.51.100.1
tunnel source GigabitEthernet0/0
tunnel mode gre multipoint

198.51.100.1 - внешний адрес HUB. Это только GRE/NHRP-часть конфигурации, без маршрутизации и IPsec.

🟣В DMVPN Phase 3 появляется механизм shortcut. SPOKE1 сначала отправляет пакет через HUB, а тот возвращает NHRP Redirect, подсказывая, что есть более короткий путь.
SPOKE1 запрашивает NBMA-адрес назначения и после Resolution Reply может отправлять трафик напрямую:

SPOKE1 → HUB → SPOKE2
↓
NHRP Redirect
↓
SPOKE1 ─────────→ SPOKE2
На HUB включаем:
ip nhrp redirect
На филиалах:
ip nhrp shortcut

🟣Проверить NHRP-соседей и динамические соответствия адресов:

show ip nhrp
show dmvpn

Сам NHRP не рассчитывает маршруты и не создаёт GRE-туннели. Он сообщает маршрутизатору, по какому NBMA-адресу искать удалённый узел. Благодаря этому DMVPN может переключить трафик с маршрута через HUB на прямой путь между филиалами.

🤖Бесплатный ChatGPT