Системный Администратор | Sysadmin Windows & Linux Server. Настройка Сети, ПК и Железа. IT Уроки для Сисадмина: Безопасность, Софт и Техподдержка (Helpdesk). Компьютерная помощь.

WatchYourLAN

Легкий сетевой IP-сканер. Может использоваться для оповещения о новых хостах и отслеживания истории хостов в режиме онлайн/оффлайн

Особенности:
- Отправка уведомлений при обнаружении нового устройства
- Мониторинг истории онлайн/оффлайн устройств
- Ведение списка всех устройств в сети
- Отправка данных в InfluxDB2 для создания панели мониторинга в Grafana

https://github.com/aceberg/WatchYourLAN

👉 @i_odmin

🔐 TLS (Transport Layer Security): Шпаргалка админа

🚦 Версии протоколов: Что оставить?

❌ SSL v2, SSL v3: Мертвы. Дырявые. Отключать везде.
⚠️ TLS 1.0, 1.1: Устарели (Deprecation в 2020/2021). Отключать, если не поддерживаете клиентов времен IE 8/Android 4.
✅ TLS 1.2: Золотой стандарт. Должен быть включен везде. (Обязательно используйте шифры AEAD/GCM).
🚀 TLS 1.3: Самый быстрый и безопасный. Убрали лишние шаги в рукопожатии (1-RTT). Включаем в приоритет.



📂 Форматы файлов

Часто файлы имеют разные расширения, но внутри одно и то же.

- PEM (.pem, .crt, .cer, .key): Текстовый формат (ASCII), начинается с -----BEGIN.... Самый частый в Linux/Nginx/Apache.
- DER (.der, .cer): Бинарный формат. Часто встречается в Java и Windows.
- PFX/P12 (.pfx, .p12): Контейнер-сейф. Хранит и сертификат, и приватный ключ, и цепочку. Часто используется в Windows и для импорта/экспорта.



🛠 OpenSSL: Команды на каждый день

Самая полезная часть. Копируй и вставляй.

1. Проверка удаленного сервера

Посмотреть, какой сертификат отдает сайт, и проверить цепочку:

openssl s_client -connect domain.com:443 -showcerts

Лайфхак: Добавь -servername domain.com, если на IP висит несколько сайтов (SNI).

Посмотреть только дату истечения сертификата на сайте:

echo | openssl s_client -servername domain.com -connect domain.com:443 2>/dev/null | openssl x509 -noout -dates

2. Работа с локальными файлами

Прочитать содержимое сертификата (кто выдал, кому, когда истекает):

openssl x509 -in cert.pem -text -noout

Проверить, соответствует ли приватный ключ сертификату (хеши должны совпасть):

openssl x509 -noout -modulus -in cert.pem | openssl md5
openssl rsa -noout -modulus -in privkey.pem | openssl md5

3. Генерация CSR (Запрос на сертификат)

Создать ключ и запрос (CSR) одной командой:

openssl req -new -newkey rsa:2048 -nodes -keyout domain.key -out domain.csr

4. Конвертация форматов

PEM -> PFX (для IIS/Windows):

openssl pkcs12 -export -out domain.pfx -inkey domain.key -in domain.crt -certfile root-ca.crt

PFX -> PEM (достать ключ и серт):

# Только ключ (без пароля)
openssl pkcs12 -in domain.pfx -nocerts -nodes -out domain.key
# Только сертификат
openssl pkcs12 -in domain.pfx -nokeys -out domain.crt


🧠 Анатомия Cipher Suite

Что значит строка: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384?

1. TLS: Протокол.
2. ECDHE: Key Exchange (Как договорились о ключах). Эллиптические кривые, Ephemeral (генерируется каждый раз — это PFS).
3. RSA: Authentication (Проверка подлинности). Сертификат RSA.
4. AES_256_GCM: Bulk Encryption (Чем шифруем данные). Алгоритм AES, 256 бит, режим GCM (быстро и безопасно).
5. SHA384: MAC/PRF (Целостность). Хеширование для проверки пакетов.

Совет: Старайтесь использовать GCM или ChaCha20-Poly1305. Избегайте режимов CBC в старых протоколах.


🛡 Чек-лист

1. HSTS (HTTP Strict Transport Security): Заголовок, заставляющий браузер ходить только по HTTPS.
- Strict-Transport-Security: max-age=31536000; includeSubDomains
2. Forward Secrecy (PFS): Если украдут ключ сервера, прошлый трафик не расшифруют. Требует шифров ECDHE или DHE.
3. OCSP Stapling: Сервер сам шлет статус валидности сертификата, ускоряя загрузку страницы для клиента.
4. CAA Record: DNS-запись, указывающая, каким CA разрешено выдавать сертификаты для вашего домена.

👉 @i_odmin

Как нам не утонуть в инфополе и начать читать нормальные статьи

Сколько потрачено на просмотр Хабра в надежде найти статью по настройке WSGI или разбор GNU-лицензий - столько что и не вспомнить. Слишком много корпоративных блогов и нейрослопа.

Кто ценит свое время - для вас в МАХ появился канал Отборный Хабр.

Автор канала буквально делает работу за вас: выкидывает весь кликбейт, берет лопату и откапывает действительно глубокие статьи. А главное - всё это сразу раскидано по удобным тематическим подборкам. От истории Open Source до суровых практик Linux-инженера, спасающих сервера по ночам.

Зацените пост про современные альтернативы базовым инструментам.

Подписываемся здесь и читаем только то, что реально пригодится сисадмину, да и любому технарю!

Как работает DNS

1. Пользователь вводит домен: bytebytego.com
2. Поиск в кэше (браузер/ОС) — не найдено
3. DNS-запрос к резолверу
4. Поиск в кэше резолвера — не найдено
5. Запрос к корневому DNS-серверу (Root NS)
6. Ответ: адрес TLD .com
7. Запрос к TLD-серверу .com
8. Ответ: адрес авторитетного сервера для bytebytego.com
9. Запрос к авторитетному DNS-серверу
10. Ответ: запись A/AAAA — IP 172.67.21.11
11. Сохранение IP в кэше резолвера
12. Передача IP в браузер: 172.67.21.11
13. Сохранение IP в кэше браузера/ОС
14. HTTP-запрос: GET /index.html
15. HTTP-ответ: OK

👉 @i_odmin

Список полезных инструментов в системе Linux

🔹 pidstat — отслеживает, сколько системных ресурсов (CPU, память, ввод-вывод устройств, переключение задач, потоки) используется всеми программами или выбранным набором процессов.

🔹 lsof — выводит список открытых файлов в текущей системе.

🔹 iostat — предоставляет информацию о загрузке CPU и операциях ввода-вывода.

🔹 vmstat — показывает данные об активности CPU, блочном вводе-выводе, памяти, процессах, подкачке и ловушках.

👉 @i_odmin

Nerdlog - это быстрый, ориентированный на удалённую работу (remote-first), многохостовый TUI-просмотрщик логов с гистограммой временной шкалы и без центрального сервера.

Инструмент жёстко сфокусирован на эффективности при одновременном запросе логов с нескольких удалённых машин, их фильтрации по временному диапазону и шаблонам, а также на отрисовке интерактивной гистограммы по времени для быстрого визуального анализа.

Основной сценарий использования: чтение системных логов (из файлов /var/log/messages или /var/log/syslog, либо напрямую из journalctl) с одного или нескольких удалённых хостов. Очень эффективен даже при работе с большими лог-файлами (1 ГБ и более).

Поддерживаются и другие форматы логов, можно использовать любые лог-файлы, но именно этот основной сценарий определял реализацию: у нас backend веб-сервиса работал как systemd-сервисы на множестве Linux-инстансов, генерировал большое количество логов, и нам нужен был способ эффективно читать эти логи с гистограммой временной шкалы — примерно как в Graylog, но проще и быстрее.

https://github.com/dimonomid/nerdlog

👉 @i_odmin