Linux: Системный администратор

🚨 iptables: как быстро сбросить соединения от IP-нарушителя Когда в логи сыпется подозрительная активность от одного IP (DOS, скан, brute-force) — не всегда нужно ждать, пока сработает fail2ban. Можно сразу убить соединения и запретить новые. 🔧 Быстрые действия вручную: # 1. Сбросить активные соединения от IP conntrack -D -s 1.2.3.4 # 2. Заблокировать весь трафик от него (до перезапуска iptables) iptables -I INPUT -s 1.2.3.4 -j DROP 📦 Убедитесь, что установлен пакет conntrack (обычно conntrack-tools). 🧠 Зачем и когда: * моментально разрывает все TCP/UDP-сессии; * эффективно при атак…

🧵 Диагностика странных зависаний сетевых соединений: "всё пингуется, но не работает" 💥 Бывает, что ping идёт, но ssh, curl или apt зависают. Проблема может быть в MTU / фрагментации пакетов. 🔍 Проверка: запусти ping с флагами "do not fragment" и максимальным размером пакета: ping -M do -s 1472 <IP> Если видишь Frag needed and DF set, MTU слишком большой. Уменьшай -s, пока не дойдёт. 🧠 Пример: * 1472 + 28 (заголовки IP+ICMP) = 1500 — стандартный MTU * если пакет не проходит, а проходит только при -s 1392, значит MTU на пути — 1420 (возможно, GRE/IPsec/WireGuard) 🔧 Решение — задай п…

🚀 Подборка полезных IT каналов в Max Системное администрирование, DevOps 📌 https://max.ru/i_odmin Все для системного администратора https://max.ru/bash_srv Bash Советы https://max.ru/sysadminof Книги для админов, полезные материалы https://max.ru/i_odmin_book Библиотека Системного Администратора https://max.ru/i_devops DevOps: Пишем о Docker, Kubernetes и др. https://max.ru/tipsysdmin Типичный Сисадмин https://max.ru/channel_win_sysadmin Системный Администратор Windows https://max.ru/channel_linux_admin Linux: Системный администратор https://max.ru/channel_linuxmod Linux https://max.ru/ch…

💥 Как настроить systemd-networkd для статического IP и маршрутов Если ты не используешь NetworkManager (например, на серверах), systemd-networkd — отличный выбор. Ниже — минимальная, но рабочая настройка для интерфейса с ручным IP и маршрутами. 📁 Шаг 1: настрой сеть Создай файл: /etc/systemd/network/10-static.network [Match] Name=ens33 [Network] Address=192.168.1.100/24 Gateway=192.168.1.1 DNS=8.8.8.8 [Route] Destination=10.10.0.0/16 Gateway=192.168.1.254 💡 Можно добавить несколько [Route] секций, если нужно. 🔧 Шаг 2: включи systemd-networkd и отключи другие менеджеры systemctl…

🔧 Отключаем IPv6 правильно через sysctl — без костылей и багов В некоторых окружениях (legacy-сети, специфичные firewall policy, старые софты) требуется полностью отключить IPv6. Многие делают это через GRUB (ipv6.disable=1), но это не всегда корректно: интерфейсы всё равно могут получать link-local адреса (fe80::/10), что приводит к неожиданностям. 📌 Надёжный способ — через sysctl: cat << 'EOF' > /etc/sysctl.d/99-disable-ipv6.conf net.ipv6.conf.all.disable_ipv6 = 1 net.ipv6.conf.default.disable_ipv6 = 1 net.ipv6.conf.lo.disable_ipv6 = 1 EOF sysctl --system 🔥 Не забудь: - Если у те…

🔥 Когда tcpdump врёт: ловим только то, что проходит через iptables Иногда вы запускаете tcpdump, видите трафик — но приложение его не получает. Почему? 📌 tcpdump по умолчанию работает на уровне интерфейса, а не IP-стека. Он видит весь трафик — даже тот, что будет дропнут iptables. 🛠 Как посмотреть только то, что прошло фильтрацию iptables? 1. Создаём временный NFLOG-правилo: iptables -I INPUT -p tcp --dport 22 -j NFLOG --nflog-group 1 2. Слушаем лог-группу с tcpdump: tcpdump -i nflog:1 -nn -vv 3. Потом удалим правило: iptables -D INPUT -p tcp --dport 22 -j NFLOG --nflog-group 1 📎…

Хотите быстро проверить, через какой интерфейс и IP ваш Linux-сервер выйдет к определённому адресу, без реального подключения? Решение: Используйте ip route get — лёгкая команда для диагностики маршрутизации: ip route get 8.8.8.8 Что покажет: - Какой IP-адрес будет использоваться для исходящего соединения; - Какой сетевой интерфейс (dev eth0 и т.д.); - Какой шлюз (via) задействован. Пример вывода: 8.8.8.8 via 192.168.1.1 dev eth0 src 192.168.1.10 uid 0 Пояснение: - Полезно для диагностики проблем с маршрутизацией, VPN, балансировкой каналов. - Проверка без реальной отправки пакетов:…

Как быстро сбросить сетевой интерфейс без перезапуска системы Иногда после правки конфигурации сети нужно *мягко* применить изменения без ребута. Особенно на продакшене. 🔧 Простейший способ — с помощью ip: ip link set eth0 down ip addr flush dev eth0 ip link set eth0 up Что делают эти команды: - set down — переводит интерфейс в неактивное состояние. - flush — очищает IP-адреса интерфейса. - set up — активирует интерфейс заново. Когда применять: 🔹 После ручной настройки IP через ip/ifconfig; 🔹 После внесения изменений в /etc/network/interfaces, Netplan, systemd-networkd и пр.; 🔹…

🔐 Fail2Ban для защиты SSH: настройка за 2 минуты SSH — первая цель сканеров и брутфорсеров. Один fail2ban-джейл — и атаки больше не проблема. 🛠 Минимальная настройка fail2ban для SSH: 1. Установи fail2ban (если ещё нет): apt install fail2ban # Debian/Ubuntu dnf install fail2ban # RHEL/AlmaLinux 2. Создай кастомную конфигурацию: cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local 3. Включи и настрой SSH-защиту в jail.local: [sshd] enabled = true port = ssh filter = sshd logpath = /var/log/auth.log # или /var/log/secure на RHEL maxretry = 5 bantime = 1h findtime = 10m 4. Пер…

Диагностика “висящих” TCP-соединений: как быстро найти виновника Когда приложение “подвисает”, а сеть вроде работает — проверь состояние TCP-соединений. Часто помогает ss. Команда: ss -o state time-wait '( sport = :http or sport = :https )' Покажет TCP-соединения в TIME-WAIT на 80/443 портах. Много? Возможно, приложение не успевает освобождать сокеты. А если хочется увидеть, кто держит ESTABLISHED соединения: ss -tp state established Флаг -p покажет PID/имя процесса — удобно для отладки. Ограничь количество TIME-WAIT через sysctl, если сервер под нагрузкой: sysctl -w net.ipv4.tcp_tw_r…