всё что нужно администратору

Дано: несколько сервачков на которые нужно навесить контроллер домена, спецефический сервак под нужды компании, заббиксы, файлопомойки, радиусы и все такое прочее

Бюджет: один несоленый пенис.

Трэба: отказоустойчивый кластер, всякие вмвари отлетают и, раз нет бюджета, то из ростера бойцов этого файтинга выбор падает на фритуплейных Рю и Кена oVirt и Proxmox.

Собственно, что посоветуешь, дорогой мой пидор и какие плюсы и минусы у каждой системы.

Первый тост за localhost

Товарищи коллеги, поздравляю нас с нашим профессиональным праздником.

Пак знаний, учение свет. #3 Wireguard, поднимаем свой VPN.

Сап джой, будет много текста и картинок, но тебе это понравиться (надеюсь).

Да и скажу честно, в принципе это сложно было назватьинструкцией.
Так же автор забыл о защите самого хоста, а это не мало важно.
Перейдём к практике:

sudo apt update && sudo apt upgrade -y && sudoaptautoremove -y && sudo apt install git screen fail2ban mc

Конструкция «sudo apt install git screen fail2ban mc» отвечает за установкунужного нам ПО:
1) git– это апекуха для импортирования проектов из git-репозиториев. Просто навсякий случай.
2) screen– это для того, что бы в случае обрыва sshсоединениявы могли продолжить работать с того же места, где произошёл обрыв.
3) fail2ban–это для защиты второй лини нашего vpnсервиса.

4) MC – (MidnightCommander)это удобный файловый менеджер в «консольной среде», что бы не возится скомандами навигации.

Обновляем и ставим всё это дело, после этого можноперезагрузить хост, и подключиться по SSH.
После подключения набираем команду screen, чтобы в случае обрыва связи, мы смогли вернуться обратнок работе без потерь. 

Далее скачиваем деплой-скрипт с github.
curl -O https://raw.githubusercontent.com/angristan/wireguard-install/master/wireguard-install.sh

Первая строка выводит нам твой внешний (белый) ip-шник к которому мы будемцепляться. Его не меняем, как бы не хотелось. Далее.
Public interface– имя сетевой платы (если по простому) через который будетработать сервер.
Wireguard interface– имя виртуальной сетевой платы. (имя вашего соединения,егонужно запомнить)
Следующие две стоки, внутренние ip-адреса.Здесь вы можете указать удобный для вас диапазон адресов, которое будутприсваиваться вашим устройствам при подключении к серверу.
Далее указываем внешний порт соединения к вашему серверу.
Стандартный порт: 57141.Я бы рекомендовал его сменить и\или запомнить, он пригодится очень скоро.
Последнее два вопроса, это dns сервера. Вы можете указать свои (если знаете какие) у меняже это адреса adguard. Что-бы блокировать рекламу.
Нажимаем Enterи ждём завершенияустановки\настройки. Скрипт начнёт скачивать нужные файлы для сервера.

Перезапускаем службу ssh, что бы она получила новые параметры из файла.
sudo systemctl restart ssh.service

 Перезапускаем ssh-сессию,не забывая сменить порт в подключении и при подключении снова набираем screen. Далеенастраиваем firewall. По умолчанию он выключен в ubuntu. Что бы проверить этонабираем sudo ufo status.И ответом нам будет  Status: inactive. Прежде чем включать firewall настроим нужные правила, иначе удалённый хост станетнедоступен для нас по ssh. Вот список команд, просто вставляйте их в консоль:
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 4422 <-- наш ssh
sudo ufw allow 57141 <-- наш Wireguard туннель

В двух словах что мы сделали: разрешили весь исходящий трафик, запретиливесь входящий кроме нашего ssh и нашего Wireguard сервера.
Включаем наш firewall командой:
sudo ufw enable
Вы получите предупреждение:
Command may disruptexisting ssh connections.Proceed with operation(y|n)?
Это означает, что запуск этого сервиса может разорвать текущее ssh соединение.

Полезные сслки:
настройка Fail2ban
Wireguard клиенты
Мой ssh клиент
Git-репозиторий скрипта

Помогите, пожалуйста, начинающему сисадмину. Поясните на пальцах как работают порты.

Суть такая:

Есть локалка с компами, сервером с БД Firebird и Mikrotik, который получает инет и распределяет по сетке, а так же пробрасывает порты БД на сервер.

Есть компы и ноуты с клиентской программой, которая коннектится к БД. С компами всё ок, проблема с ноутами из-за их мобильности.

Если ноут во внешней сети - он успешно коннектится например по 14.88.13.666.

Если ноут в локалке - он успешно коннектится по 192.168.1.2.

Если ноут в локалке и пытается коннектиться по 14.88.13.666 - получается fail, непонятно почему.

Каждый раз перенастраивать в свойствах программы IP-адрес когда сотрудник приходит в офис и менять на внешний, когда уходит с офиса - очень геморойно.

На том же сервере стоит веб-сервер и к нему вполне себе получается приконектиться из локалки по внешнему IP 14.88.13.666, почему то же не работает с БД Firebird? Может, что-то нужно донастроить в микротике? Я не очень понимаю как работают порты: или они как дырка в стене, или они как клапан - отдельно нужно настраивать на вход, отдельно - на выход. Типа ноуты извне проходят, а ноуты из локалки не могут выйти в и-нет, чтобы вернуться назад по IP?
Может, как-то можно настроить на микротике кусочек DNS, чтобы при обращении из локалки на 14.88.13.666 эти запросы не покидали локалку и редиректились сразу на сервер?

Вот порты в микротике:

QIWI взломали

Хакеры из группировки NB65 заявили, что взломали QIWI и зашифровали базы данных платёжной системы. Также хакерами были «изъяты» данные о 12,5 миллионах кредитных карт и 30 миллионов записей о платежах. Всего пострадало примерно 10,5 терабайт информации. Хакеры дали QIWI 3 дня на то, чтобы связаться с ними. Они пообещали публиковать по миллиону строк из слитых баз данных в сутки. Официально платёжная система эту информацию не комментировала.
линк на птицер
PS: Пост не ради политоты, а ради инф.безопастности.

Залили на облако

Тут это... Затопило сервера ГИБДД :)

"Сервера ГИБДД РФ оказались залиты водой из-за коммунальной аварии.МВД России в воскресенье назвало причину, по которой второй день подряд не работают информационные ресурсы Госавтоинспекции, из-за чего невозможна выдача водительских прав и регистрация автомобилей.Согласно сообщению на сайте МВД, причиной сбоя стала коммунальная авария в серверных помещениях."В результате серверы, на которых хранятся информационные массивы по линии работы Госавтоинспекции, оказались залиты водой" - говорится в сообщении.В нём подчёркивается, что приём граждан 19 декабря в регистрационно-экзаменационных подразделений Госавтоинспекции невозможен. К вечеру последствия аварии обещают устранить, а 20 декабря будет объявлено рабочим днём во всех подразделениях ГИБДД, чтобы граждане могли в них обратиться за получением услуг."

СУРС и СУРС2

Всех причастных с праздничком! Стабильного PINGа и крепких нервов.

Как разблокировать продвинутые настройки BIOS