Серверная Админа | Компьютерные сети

Ну все, сетевики больше не нужны? Проверяем на практике!

Автор собрал стенд из десяти Linux-машин и решил, что настраивать всё вручную слишком скучно. Вместо этого выдал Codex SSH-доступ и поручил разобраться с сетью. ИИ начал ходить по серверам, проверять интерфейсы, искать ошибки в конфигурации и даже поймал опечатку самого автора. В статье будет живой эксперимент с ИИ-агентом, сетевой автоматизацией и технологиями от MPLS до SRv6.

🤖Бесплатный ChatGPT

👋 Привет, сетевой друг!

Сегодня разберём, в чём разница между DHCP Snooping и Dynamic ARP Inspection (DAI). Обе технологии защищают L2-сеть, но от совершенно разных атак.

🟣DHCP Snooping защищает сеть от поддельных DHCP-серверов. Представьте, что кто-то подключил к офисному коммутатору свой роутер, который начал раздавать клиентам IP-адреса, шлюз и DNS.
Компьютеры могут получить настройки от чужого устройства, а весь их трафик пойдёт через подставной шлюз.

🟣DHCP Snooping делит порты на trusted и untrusted. Ответы DHCP-сервера разрешены только с доверенных портов. Если обычный клиентский порт начнёт отправлять DHCP Offer, коммутатор отбросит пакет.

🟣Dynamic ARP Inspection решает другую проблему - ARP Spoofing.

Допустим, атакующий отправляет в сеть ARP-ответ:

192.168.1.1 → AA:BB:CC:DD:EE:FF

И убеждает соседние устройства, что MAC-адрес шлюза принадлежит ему.
DAI проверяет ARP-пакеты по таблице привязок IP и MAC, которую обычно создаёт DHCP Snooping. Если адреса не совпадают, пакет блокируется.

🟣Как настроить на Cisco:

Сначала включаем DHCP Snooping:

ip dhcp snooping
ip dhcp snooping vlan 10

interface GigabitEthernet0/1
ip dhcp snooping trust

Здесь Gi0/1 - порт в сторону легитимного DHCP-сервера или доверенного сетевого оборудования.

Теперь включаем проверку ARP:

ip arp inspection vlan 10

На клиентских портах ARP-пакеты будут проверяться, а порт к доверенному шлюзу при необходимости можно настроить отдельно:

interface GigabitEthernet0/2
ip arp inspection trust

🟣Главная разница: DHCP Snooping не даёт чужому устройству раздавать сетевые настройки, а DAI не позволяет подменять соответствие IP и MAC через ARP. Причём технологии связаны: DAI часто использует таблицу DHCP Snooping, чтобы понимать, какие адреса действительно принадлежат клиентам.

🟣Что проверить при диагностике:

show ip dhcp snooping
show ip dhcp snooping binding
show ip arp inspection
show ip arp inspection statistics

И важный момент: если в сети используются статические IP, для DAI понадобятся дополнительные разрешённые привязки, например ARP ACL. Иначе можно случайно заблокировать вполне легитимные устройства.

🤖Бесплатный ChatGPT

📝 Пол Мокапетрис: человек, который придумал DNS

Сегодня расскажу про инженера, благодаря которому нам теперь не приходится запоминать IP-адреса каждого сайта и сервера ``😳

🟣В начале 80-х интернет ещё был небольшой сетью, а имена компьютеров хранились в обычном файле HOSTS.TXT. В нём указывалось, какому IP-адресу соответствует конкретное имя.
Файл распространялся централизованно, и каждый компьютер должен был получать обновлённую копию. Пока узлов было немного, схема работала. Но по мере роста сети поддерживать такой список становилось всё сложнее.

🟣В 1983 году Пол Мокапетрис предложил Domain Name System - DNS. Вместо одного огромного файла появилась распределённая иерархическая система, в которой разные серверы отвечают за свои части пространства имён.

🟣Например, когда вы открываете example.com, DNS-резолвер может последовательно обратиться к корневым серверам, серверам зоны .com и авторитетному серверу домена. Каждый из них знает не весь интернет, а только свою часть системы.

🟣Самое интересное - делегирование зон. Владелец домена может самостоятельно управлять его DNS-записями, не согласовывая каждое изменение с центральным администратором. Именно это позволило системе масштабироваться до миллионов, а затем и сотен миллионов доменных имён.

🟣Ещё одна важная идея - кеширование. Если резолвер уже узнал IP-адрес домена, ему не нужно каждый раз повторять всю цепочку запросов.
За срок хранения отвечает TTL:

example.com. 300 IN A 192.0.2.10

Здесь 300 означает, что запись можно кешировать до пяти минут.

🟣В 1983 году Мокапетрис описал DNS в RFC 882 и RFC 883. Позже появились RFC 1034 и RFC 1035, которые до сих пор лежат в основе работы DNS. Конечно, система со временем получила DNSSEC, новые типы записей и защищённые способы передачи запросов. Но её главная архитектура осталась прежней.

🟣Получается, одна из самых важных технологий интернета появилась из довольно бытовой проблемы: файл со списком компьютеров стал слишком большим, чтобы его было удобно обновлять.

🤖Бесплатный ChatGPT

Переход с VMware: как не начать с нуля и получить больше возможностей

Смена платформы виртуализации поднимает практические вопросы: как изменятся существующие процессы, будет ли возможна автоматизация, останутся ли Terraform и Ansible в рабочем контуре и можно ли использовать декларативное управление наравне с управлением через веб-интерфейс.

16 октября на вебинаре узнаете о типовых сценариях и задачах эксплуатации классической виртуализации и увидите, как их можно автоматизировать в Deckhouse Platform.

В программе:
— сценарии классической виртуализации и сочетание веб-интерфейса с декларативным управлением;
— подготовка «золотых образов» и первичная настройка ВМ;
— развёртывание через Terraform, манифесты, шаблонизатор и GitOps;
— управление конфигурацией ВМ с помощью Ansible.

🎁 Бонусы: розыгрыш мерча и обучения.

Зарегистрироваться

🤖Бесплатный ChatGPT

👋 Привет, сетевой друг!

Сегодня расскажу про BGP Add-Path (RFC 7911) - расширение BGP, которое позволяет передавать несколько маршрутов до одной подсети вместо одного лучшего.

🟣В чём проблема: представьте Route Reflector, который получает три маршрута до 10.50.0.0/16 от разных маршрутизаторов. Он выбирает лучший и объявляет его клиентам. Остальные пути остаются скрытыми, хотя вполне могут работать. Если основной маршрут пропадёт, клиентам придётся ждать, пока RR выберет и объявит другой.

🟣Как работает Add-Path: в BGP UPDATE добавляется 32-битный Path Identifier. Благодаря ему сосед может различать несколько маршрутов к одному префиксу:

10.50.0.0/16 → Path ID 101 → R1
10.50.0.0/16 → Path ID 102 → R2
10.50.0.0/16 → Path ID 103 → R3

Теперь клиент заранее знает об альтернативных путях, даже если использует только один.

🟣Как включить на Cisco IOS XR:

router bgp 65000
address-family ipv4 unicast
additional-paths receive
additional-paths send
additional-paths selection route-policy ADDPATH

Здесь ADDPATH - заранее созданная route-policy, определяющая, какие дополнительные пути разрешено передавать. Соседи должны согласовать поддержку Add-Path через BGP Capability 69. Причём отправка и получение дополнительных путей согласуются отдельно.

🟣Где пригодится: прежде всего в больших BGP-сетях с Route Reflector. Add-Path помогает бороться с path hiding, когда RR скрывает рабочие альтернативы от своих клиентов. Но это не ECMP: несколько полученных маршрутов ещё не означают, что трафик пойдёт по всем одновременно.

🟣Проверка:

show bgp neighbors
show bgp ipv4 unicast 10.50.0.0/16

Первая команда покажет согласованные BGP capabilities, вторая - известные маршруты до префикса.

🤖Бесплатный ChatGPT