Лига сисадминов

Scanopy - self-hosted сканер сети, который сам рисует и обновляет топологию Если у вас дома или в офисе сеть разрослась дальше схемы «роутер и пара серверов», вы точно сталкивались с проблемой когда вся документация живёт либо в голове, либо в draw.io/visio-файле годичной давности. Каждый раз, добавляя новый контейнер или VLAN, обещаешь себе обновить схему, но руки, конечно, так и не доходят.Разработчики Scanopy зашли с другой стороны. Вместо того чтобы рисовать карту вручную, они предлагают дать ей возможность строиться самой.Проект относительно свежий, но уже набрал больше 5100 звёзд на GitHub. Коммиты летят чуть ли не каждый день, сейчас актуальна версия v0.16.0.Как оно работаетСистема состоит из сервера и агентов (демонов). Демон сканирует сеть: делает ARP-скан для поиска хостов, проверяет все 65k портов на живых машинах, цепляется к Docker-сокету для поиска контейнеров и опрашивает свитчи/роутеры по SNMP v2c. Сервер собирает эти данные в интерактивную карту. Демонов можно раскидать по разным VLAN и удалённым точкам, что критично для больших сетей.Фичи Scanopy:- 4 уровня визуализации из одного скана: L2 (физика: порты, свитчи, линки), L3 (логика: подсети и связи), Workloads (от железа до контейнеров) и Applications (сервисы и зависимости).- Распознавание «из коробки»: определяет больше 230 сервисов (Home Assistant, Plex, Jellyfin и т.д.).- Связи по проводам: через SNMP подтягивает данные LLDP/CDP, то есть видит реальную коммутацию кабелей между устройствами.- Управление неизвестным: неопознанные порты падают в «Unclaimed Ports», откуда их можно вручную привязать к нужным службам.- Контроль версий: топологии можно ветвить (бренчить) и фиксировать, чтобы свежий скан случайно не затёр кастомные правки.- Интеграция: экспорт в SVG, Mermaid, Confluence или вставка live-карты прямо в базу знаний.- Корпоративные фишки: API с гибкими правами, многопользовательский режим с RBAC и шаринг по ссылкам. Подойдёт даже для MSP-провайдеров, которым нужно вести учёт по разным клие

☁️ State of DevOps Russia расширяетсяИсследование State of DevOps Russia в этом году выходит за рамки анализа только DevOps-практик, получает расширение и новое имя — State of Cloud Native Russia.Сохраняя лучшие традиции State of DevOps Russia, в этом году исследование охватывает:⚙️ DevOps, платформенную инженерию и инфраструктуру;🤖 использование ИИ и нейросетей в цикле разработки;☸️ Kubernetes и cloud-native-практики;☁️ облачные технологии и эксплуатацию.Если вы работаете в разработке, DevOps, SRE, платформенных командах или инфраструктуре — поделитесь своим опытом. Исследование проводится Ассоциацией профессионалов индустрии облачно-ориентированных технологий «АОТ» при поддержке отраслевых партнёров. 👉 Пройти опросПо итогам опроса будет подготовлен отчёт о состоянии облачно-ориентированных технологий в России. Он поможет увидеть ключевые тренды отрасли, сравнить свои практики с рынком и опираться на данные при развитии инженерных процессов и инфраструктуры.

Bcachefs после снятия experimental: гоняем тесты на Ubuntu 26.04Вынос со скандалом Bcachefs из mainline-ядра Linux в конце 2025 года (начиная с релиза 6.18) проект не похоронил. Напротив, это явно подстегнуло мейнтейнера к жесткой дисциплине. Спустя 7 месяцев проект перешел на DKMS-модель и официально снял статус experimental.Развернул тестовую ВМ в Proxmox, чтобы посмотреть на эксплуатационный UX: как ставится, как ведет себя при отказе дисков и стоит ли тащить в homelab или прод.Дисклеймер. Это синтетические тесты, а не академический бенчмарк (на виртуалке поверх ZFS тестировать скорость - такое себе). Цель - проверить работу базовых функций, диагностику и поведение при аварии.https://telegra.ph/Bcachefs-posle-snyatiya-experimental-gonyaem-testy-na-Ubuntu-2604-06-23#ит_статьи #linux #storage #bcachefs #btrfs

У каждого из нас есть своё маленькое кладбщие пет-проектов#ит_юмор #github #repositories

Настраиваем связь между podman quadletsQuadlets - это удобный способ управления контейнерами с помощью юнит-файлов systemd. Контейнеры, запущенные через quadlet, по умолчанию имеют доступ к внешней сети, но они не могут автоматически общаться друг с другом, как это происходит в конфигурации docker-compose. Так вот настройка сетевого взаимодействия требует всего лишь нескольких дополнительных шагов, которые мы сегодня и рассмотрим.https://telegra.ph/Nastraivaem-svyaz-mezhdu-podman-quadlets-06-23#ит_статьи #devops #linux #podman #systemd #quadlets

Чтож, день когда GNU/Linux станет Systemd/Linux - всё ближе.В systemd 261 подвезли сразу несколько вещей, от которых у старой школы снова начнёт подёргиваться глаз: systemd-sysinstall, IMDSD и storagectl.Самое вкусное тут, конечно, systemd-sysinstall. Это попытка сделать нативный установщик ОС прямо внутри systemd. Не графический мастер с кнопкой "далее-далее-готово", а низкоуровневый механизм, который умеет ставить систему по описанию: разметка, образы, загрузчик, нужные системные компоненты. То есть ещё один кусок жизненного цикла Linux-системы переезжает под крыло systemd.И это уже не просто "инициализация сервисов", в качестве которого systemd когда-то продали публике. За годы systemd стал отвечать за запуск, логи, сеть, DNS, домашние директории, шифрование, portable-сервисы, загрузку, контейнероподобные штуки, а теперь всё ближе подбирается к установке и управлению дисками.IMDSD, Initramfs Management Daemon, выглядит как ещё один шаг в ту же сторону. Initramfs давно был местом, где у каждого дистрибутива свои скрипты, свои костыли, свои генераторы и вообще свой маленький уютный хаос. systemd предлагает сделать и этот слой более управляемым, предсказуемым и встроенным в общую модель.storagectl туда же: управление хранилищами, блочными устройствами и всем, что лежит между железом и файловой системой. Не удивлюсь, если через пару лет обычный админ будет разбираться с дисками не через набор разрозненных утилит, а через очередную systemd-команду.И вот тут начинается вечный холивар.С одной стороны, systemd действительно решает реальную боль. Linux-инфраструктура исторически росла как набор отдельных инструментов, которые нужно склеивать руками, скриптами и молитвой. Для серверов, облаков, immutable-систем и автоматической установки единая модель управления выглядит логично. Особенно если хочется воспроизводимости: описал систему, получил систему.С другой стороны, ощущение "systemd поглощает всё" никуда не делось. Просто потому что он и правда поглощает всё. Но так уж

Попробовал автоматическую установку Proxmox и больше никогда не вернусь к ручнойНа мой взгляд, настоящая "серебряная пуля" в новом релизе Proxmox Datacenter 1.1 - это функция автоматической установки, которая позволяет создавать файлы ответов (answer files) для ваших инсталляций Proxmox, например, для Proxmox VE Server 9.2. Попробовав автоматическую установку в Proxmox Datacenter Manager 1.1 с новым процессом использования файлов ответов, я просто не вижу смысла возвращаться к ручной установке Proxmox, если только в этом не возникнет крайней необходимости. В этом посте мы разберем, что такое автоматическая установка Proxmox, как работает процесс с файлом ответов, как все это настроить, и чем я поделился на основе своего опыта после тестирования в собственной среде.https://telegra.ph/YA-poproboval-avtomaticheskuyu-ustanovku-Proxmox-i-bolshe-nikogda-ne-vernus-k-ruchnoj-06-21#ит_статьи #devops #linux #proxmox #datacenter #automation

Инкрементные бэкапы через rsync с использованием --link-destОбычное копирование с помощью rsync зеркалирует источник в целевую папку, но сохраняет только одну копию. Как только вы запускаете синхронизацию снова, предыдущее состояние стирается. Создание полных копий при каждом запуске решает эту проблему, но тратит кучу дискового пространства, ведь большинство файлов между бэкапами не меняются.Опция --link-dest решает обе проблемы разом. Она позволяет создавать серию снапшотов, каждый из которых выглядит как полноценный, готовый к просмотру полный бэкап. Файлы, которые не изменились с момента предыдущего запуска, сохраняются в виде жестких ссылок (hard links), а не дубликатов. Благодаря этому каждый новый снапшот занимает место на диске в основном только под новые и измененные файлы.В этой статье мы разберем, как работает --link-dest, и пройдемся по всему процессу настройки инкрементного бэкапа: от скрипта для создания снапшотов до восстановления файлов, удаления старых копий и планирования задач через cron.https://telegra.ph/Inkrementnye-behkapy-cherez-rsync-s-ispolzovaniem---link-dest-06-21#ит_статьи #linux #rsync #backup #cheatsheet

.gitignore - не единственный способ игнорировать файлы в GitЯ пользуюсь Git уже кучу времени, и только сейчас до меня дошло, что игнорировать файлы можно на трёх разных уровнях, а не только через .gitignore. Вот эти три файла:- .gitignore- .git/info/exclude- ~/.config/git/ignoreСегодня разберёмся, в чём разница и когда какой использовать.https://telegra.ph/gitignore---ne-edinstvennyj-sposob-ignorirovat-fajly-v-Git-06-20#ит_заметки #git #tips #gitignore

Меняем sort и uniq на awkСобрал коллекцию приёмов, которые превращают awk в отличную замену sort|uniq в задачах обработки текста. uniq без sort - самый любимый трюк:awk '!seen[$0]++'Первое вхождение строки печатается, последующие - нет. А чтобы вывести только дубликаты:awk '++seen[$0] == 2'Подсчёт и суммы по группам:awk '{g[$0]++} END {for (k in g) print g[k], k}' # countawk '{g[$1] += $2} END {for (k in g) print g[k], k}' # sumПересечение двух файлов (ключ - NR==FNR работает только для первого файла):awk 'NR==FNR {lut[$0]=1; next} $0 in lut {print}' FILE1 FILE2Разность - заменить условие на !($0 in lut). Объединение - просто cat + uniq.Важно: условие $0 in lut лучше, чем lut[$0], - последний при промахе создаёт пустые элементы массива и жрёт память на больших файлах.Производительность:- LC_ALL=C awk '...' - отключает Unicode, иногда даёт большой буст- mawk вместо GNU awk - значительно быстрее #ит_заметки #linux #shell #bash #awk

Вышло ядро Linux 7.1: новый NTFS-драйвер, Intel FRED по умолчанию и большая чистка старого кодаЛинус Торвальдс выпустил стабильную версию Linux 7.1 - первый крупный релиз после перехода ветки на 7.x. За два месяца разработки в ядро приняли 17 275 исправлений от 2589 разработчиков; патч затронул более 13 тысяч файлов.Главное новшество для обычных пользователей и админов - появление нового драйвера ntfsplus. Это новая реализация NTFS на базе старого удалённого драйвера ntfs, но переработанная под современные механизмы ядра: folios, iomap, отложенное выделение блоков и полноценную запись. По тестам, на многопоточной записи ntfsplus может заметно обходить ntfs3, хотя старый ntfs3 из ядра не удалён и продолжает развиваться.Из других заметных изменений:- Intel FRED включён по умолчанию - новый механизм обработки исключений и низкоуровневых событий в CPU. Он должен снизить накладные расходы и повысить надёжность на будущих процессорах Intel, включая Panther Lake.- В io_uring добавили поддержку BPF-обработчиков.- В ublk появился zero-copy I/O через разделяемую память.- В Btrfs стабилизировали ioctl shutdown, переводящий ФС в режим завершения текущих операций с блокировкой новых.- В amd-pstate добавлено динамическое переключение профилей питания: производительный режим от сети и более сбалансированный - от батареи.- Продолжается развитие Rust for Linux, включая обновление требований к Rust до версии 1.85 и новые вспомогательные механизмы для модулей.- В sched_ext появилась начальная поддержка вложенных планировщиков для cgroup.- Подсистема swap получила новый механизм Swap Table, который должен уменьшить расход памяти и повысить производительность.Отдельно стоит отметить чистку старого кода. В Linux 7.1 начался первый этап отказа от поддержки i486: из Kconfig и Makefile убрали опции сборки под 486DX, 486SX и AMD ELAN. Также из ядра удалили поддержку ряда старых Ethernet-адаптеров ISA/PCMCIA, подсистему ISDN, протоколы AX.25, CAIF, UDP-Lite и Bluetooth CMTP. В сумме это минус

Заметка о том, как на самом деле работает лимит памяти в Kubernetes: cgroups v2, overcommit и суровый OOM KillerВ мире Kubernetes принято считать, что requests и limits - это надежные границы, которые полностью изолируют приложения. По факту же, когда память на ноде заканчивается, абстракции кубера отходят на второй план, и в игру вступают механизмы ядра Linux.Решил разобраться в деталях и провел серию тестов в песочнице (ALT Linux 11, Minikube на Proxmox). Ниже - что из этого получилось.Важно сразу разделить три разных сценария:- memcg OOM - контейнер упёрся в собственный memory limit.- kubelet eviction - kubelet заметил давление по ресурсам на ноде и начал выселять pod’ы.- global OOM - памяти на ноде не хватило быстрее, чем kubelet успел что-либо сделать, и сработал kernel OOM Killer.Если смешать эти три механизма, легко случайно сделать неправильные выводы.https://telegra.ph/Nebolshaya-zametka-o-tom-kak-na-samom-dele-rabotaet-limit-pamyati-v-Kubernetes-cgroups-v2-overcommit-i-surovyj-OOM-Killer-06-15#ит_статьи #devops #kubernetes #linux #minukube #alt #cgroups #OOMKiller #overcommit

Чтож, господа линуксоиды, теперь у нас на один аргумент меньше против WindowsВпрочем ладно, я зря драматизирую. AUR всегда был изрядной помойкой. Так что новость не удивительна (удивителен скорее масштаб).Для тех кто всё еще не в курсе (хотя у арчеводов подгорает уже почти неделю). История следующая:Более 1500 пакетов в Arch User Repository оказались заражены малварью в результате скоординированной атаки на цепочку поставок.Атака была обнаружена на прошлой неделе. Злоумышленники загрузили скомпрометированные PKGBUILD-файлы, которые при сборке пакетов выполняли вредоносный код. Arch-команда уже объявила, что инцидент взят под контроль. Но это не отменяет масштаба трагедии. Свыше 1500 пакетов - это определённо дофига.#ит_юмор #ит_заметки #linux #arch #aur

Новый инструмент container от Apple к которому определенно стоит присмотретьсяApple выкатила в опенсорс нативный рантайм контейнеров для macOS (анонсировали на WWDC 2025, написан на Swift). Вот несколько фишек, которые делают его интересным:Одна легковесная виртуалка на контейнер: В отличие от Docker Desktop, где всё крутится внутри одной общей Linux-виртуалки, здесь каждый контейнер получает свою собственную микро-VM, которая стартует меньше чем за секунду. Изоляция крепче, и больше нет прожорливой, вечно запущенной виртуалки, съедающей оперативку.Оптимизация под Apple Silicon: Штука построена на базе родного эппловского фреймворка Virtualization, так что на маках с чипами M-серии всё летает и не высаживает батарею.Полная OCI-совместимость: Он спокойно пуллит стандартные образы из Docker Hub или любого другого реджистри - команда container run nginx:alpine заводится без проблем. Docker-файлы собираются как обычно.У каждого контейнера свой IP (На macOS 26), так что вам зачастую даже не нужен маппинг портов - забудьте о конфликтах в духе -p 8080:80.Но как же без docker-compose? Оказывается, для локальной разработки он не так уж и нужен. Compose в основном давал нам две вещи: service discovery и запуск одной командой. И то, и другое здесь решается легко:sudo container system dns create testcontainer system property set dns.domain testТеперь каждый именованный контейнер резолвится как <имя>.test - например, API может просто стучаться в db.test. А shell-скрипт строчек на 10 запустит весь стек в нужном порядке, заменяя собой compose up. Ну а если вам всё-таки позарез нужны настоящие файлы compose, комьюнити-инструменты (Container-Compose, socktainer) закроют этот пробел.Бесплатно, с открытым исходным кодом и никакой лицензии Docker Desktop. Точно стоит потестить на каком-нибудь некритичном проекте. Репозиторий: github.com/apple/containerhttps://telegra.ph/Novyj-instrument-container-ot-Apple-k-kotoromu-opredelenno-stoit-prismotretsya-06-15#ит_статьи #devops #docker #macos

eBPF: объяснение для тех, кто никогда не писал модули ядраВы постоянно слышите про eBPF на конференциях, встречаете это слово в блогах (в том числе здесь) и описаниях вакансий. Эта статья - то самое объяснение, которое вам нужно, чтобы вся эта шумиха наконец обрела смысл. И написана она для людей, которые никогда не трогали код ядра и не планируют этого делать.https://telegra.ph/eBPF-obyasnenie-dlya-teh-kto-nikogda-ne-pisal-moduli-yadra-06-13#ит_статьи #devops #linux #kernel #ebpf

Расширяем возможности Proxmox: кастомный запуск, мониторинг и управление питаниемКаждый раз, когда мой домашний сервер перезагружался, все виртуалки стартовали одновременно. Температура процессора улетала в космос, диски задыхались под дикой нагрузкой, и только через несколько минут всё это дело наконец утихомиривалось. На эту проблему можно было бы и забить, если бы не одно «но»: после каждого запуска мне приходилось ждать около 3–5 минут, прежде чем машиной вообще можно было пользоваться.Это стало особенно заметно, потому что я намеренно отключаю сервер с 2 до 5 часов ночи. Активности в это время практически нет, а такое выключение снижает энергопотребление, дает железу остыть и помогает почистить накопившиеся мелкие глюки.А спустя несколько дней домашние начали поговаривать, что медиасервер не всегда доступен.Целевой уровень доступности (SLO) для медиасервера составлял не 99.9%, не 99.99% и не любое другое число с подозрительным количеством девяток.Он составлял 100%.Всё, что меньше, приравнивалось к критическому инциденту на продакшене. Так что, когда мне начали говорить, что сервер время от времени отваливается, я понял, что мне пдец.https://telegra.ph/Rasshiryaem-vozmozhnosti-Proxmox-kastomnyj-zapusk-monitoring-i-upravlenie-pitaniem-06-13#ит_статьи #devops #homelab #proxmox #bash #automation #monitoring

От SSH-туннелей к TailscaleДе-факто стандартным инструментом для безопасного доступа через незащищенную сеть является ssh. В этом посте я хочу разобрать один конкретный аспект его работы - ssh-туннели, а затем на тех же примерах показать возможности Tailscale. Я предполагаю, что вы уже знакомы с базовыми концепциями ssh. В заметке я собрал практические примеры для командной строки, которые сам регулярно использую и к которым возвращаюсь как к личным заметкам.https://telegra.ph/Ot-SSH-tunnelej-k-Tailscale-06-12#ит_статьи #devops #ssh #tailscale #wireguard

Не эникейщик, а IT-дьякон#ит_юмор #warhammer40k

Попробуйте Microceph для быстрого развертывания CephОдно из решений программно-определяемых хранилищ (SDS), которое имеет большую популярность в корпоративной среде и уже добралось даже для любителей домашних лабораторий, - это Ceph. Ceph - мощная штука со множеством крутых преимуществ. Однако его настройка и управление могут нехило так напугать, если у вас раньше не было с ним опыта. Microceph - это реализация Ceph, которая упрощает развертывание кластера и управление им. Давайте посмотрим, как можно использовать Microceph для легкого деплоя Ceph.https://telegra.ph/Poprobujte-Microceph-dlya-bystrogo-razvertyvaniya-Ceph-06-10#ит_статьи #devops #storage #ceph #cloud #sds #proxmox

Let's Encrypt обновила пользовательское соглашение, запретив использование сертификатов в странах под санкциями США Let's Encrypt - крупнейший бесплатный центр сертификации, обеспечивающий HTTPS-сертификаты для сотен миллионов сайтов, - обновила своё пользовательское соглашение, включив прямой запрет на использование сертификатов на территориях, подпадающих под американские санкции. Новость мгновенно взлетела в топ на Hacker News и вызвала бурную дискуссию. Чтобы потушить пожар, в комментарии пришел официальный представитель проекта и прояснил позицию.Тезисно она звучит примерно так:- Обычных пользователей это почти не затронет. Большинство американских санкций направлено против правительств конкретных стран, а не их населения. (тут владельцы Homelab могут выдохнуть, но на всякий случай не до конца).- Сервис остается доступным. Проект «продолжает быть доступен почти для всех уязвимых групп населения в мире».- Это просто бюрократия. Обновление текста нужно лишь для того, чтобы «лучше отразить юридические требования» США, и оно не несет за собой радикальных изменений в работе сервиса.Итог: Сильно лучше после объяснения не стало. Закручивание гаек официальное, и никуда от этого не деться. Но к счастью на практике судя по всему для 99% рядовых пользователей и мелких проектов ничего не изменится.#ит_новости #letsencrypt #certificates