weril – Page 6

Linux: Docker, conrainerd, container security (hardening)

Basics

Container security – три основных риска/угрозы/проблемы
- плохая конфигурация
- проблемы runtime
- цепочки поставок
Процессы контейнеров видны на “хостовой” машине в ps -aux
Применение bestpractice до/после

Установка docker на debian12 требует установку репозитория docker в систему.

echo "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.asc] https://download.docker.com/linux/debian

Network: FHRP protocols (HSRP, VRRP, GLBP) and Anycast Gateway

TODO: Нужно перенести из IT.

В целом неплохое описание VRRP, в том числе описан метод балансировки с использованием нескольких групп в одной подсети.

Anycast gateway

Примеры:

1 (same MAC):

https://rayka-co.com/lesson/5-vxlan-anycast-gateway/

anycast gateway configuration

Cisco (same IP & MAC):

When multiple leaf switches act together as one single distributed default gateway for the same VLAN, the VLAN IP address remains the same across all the leaf switches, and acts as the gateway IP address for a host that tries to reach an IP address outside its subnet.

Network, Linux: link aggregation, LAG, portchannel, lacp, aggregated ethernet, MLAG, VPC, teaming, bonding, rtag7, lacp prenegotiation

Энтропия hash в зависимости от адресной информации – важный вопрос при распределении трафика. Подробнее в RSS.
У Juniper есть mixed rates aggregated ethernet, который позволяет объединить в LAG порты с разной сокрости, причем используя по максимуму пропускную способность каждого порта, пересчитывая соответственно hash.

Network: OSPF

cheatsheet
OSPF использует в качестве метрики только пропускную способность (bandwidth).
OSPF не использует UDP или ТСР. OSPF-маршрутизаторы взаимодействуют с использованием IP-пакетов. Сообщения OSPF передаются внутри IP-пакетов с использованием номера протокола IP 89.
Не совсем корректно с точки зрения таймаута (30 мин lsrefreshtime), но в целом проблематика ospf выглядит потенциально реальной на каналах с потерями, важно что lsa сгенерируется один раз, а hello в среднем три до dead, т.е.

Network: Cisco VPP (Vector Packet Processing)

Очень много презентаций о VPP на сайте fd.io
- - Разобрал только эту “How to Push Extreme Limits of Performance and Scale with Vector Packet Processing Technology”
Netgate TNSR – один из известных комерческих проектов, использующих VPP
Есть даже аппаратные ускорения VPP на базе спец.

Network: транспортные протоколы (TCP, UDP, SCTP), разное (QUIC, slow start, mss, port, checksum, window size, algorithms, port ranges, acknowledgements: piggybacking, duplicated, delayed, nagle, PAWS, TCP reordering, PMTUD); ss, telnet, nc

TCP & UDP notes

Сегментация в общем случае желательней фрагментации
TCP MSS по умолчанию = 536 байт в том числе в актуальном RFC 9293

         The default IP Maximum Datagram Size is 576.
         The default TCP Maximum Segment Size is 536.

PDF

SPLIT PDF (разделение PDF на несколько pdf/jpg файлов)

https://www.ilovepdf.com/split_pdf

https://www.ilovepdf.com/pdf_to_jpg

СЖАТИЕ

https://www.ilovepdf.com/ – хороший сервис, использовал для сжатия 13-страничного документа в виде скана под сервис с ограничением в 4МБ. Ужал с 6MB до 1.8MB с хорошим качеством (причем выбор оптимального, а не максимального по сжатию алгоритма)!

Network: Cisco Catalyst разное

Cisco live sessions – catalyst switches troubleshooting (разбирал обе презы подробно)
- Troubleshooting Cisco Catalyst 3850 and 3650 Series Switches
- Catalyst 3560/3850/9×00 Troubleshooting
Cisco live session – Cisco Enterprise Silicon (не разбирал презу подробно)
- Cisco ASIC from MLN to BILLION transistors
- На группу портов один ASIC, напр.

Network: работа с pcap – сбор и анализ (Wireshark/tshark, tcpdump, packetdump, capinfos), редактирование (hex editor, tcprewrite, bittwiste, editcap, mergecap, wireedit), воспроизведение (tcpreplay, bittwist), анонимизация, комплексные продукты (moloch, observer)

СБОР и АНАЛИЗ

Разное

на практике чащк всего tcpdump используется для съема, wireshark для анализа, scapy для редактирования и создания с нуля, tcpreplay для stateless проигрывания, но в статье описано много разных инструментов, включая альтернативные
курс “Wireshark: Packet Analysis and Ethical Hacking: Core Skills” на GNS3.

Kubernetes (k8s)

Использование k8s не обязательно хорошо и правильно – для решения большинства задач proxmox с kvm + контейнерами вполне достаточно.
K8s же это значимое доп. Complexity, хотя и утрировать проблему тоже не нужно – есть типовые работающие сценарии, есть даже множественные реализации GUI интерфейса для k8s (самый популярный kubernetes dashboard)

DEVOPS это IVI4 админ, SRE Iv/5.