Про чудный мир современного программирования, где ничто не постоянно и приложения начинают гнить с момента своего рождения, а попытка это исправить и обрести спокойствие может привести вас к сумасшествию. И ответ на это, что так было не всегда (надеюсь вы научили добираться до Twitter), раньше (ну конечно!) было лучше.

От теории к практике анализа сетевого трафика и что с этим знанием потом можно делать. Описываемый инструмент xenoeye - доступен на GitHub с хорошей документацией.

Geoff Huston про устойчивость RPKI - даже если всё сломается, то с трафиком ничего не произойдёт, а оно периодически ломается. В остальном, надёжнее уже некуда. А как выглядит веб морда локального валидатора у провайдера, откуда данные уже забирают маршрутизаторы и строят фильтры можно глянуть, например тут rpki.powernet.com.ru.

Инструмент от APNIC - rex.apnic.net, где можно посмотреть на проникновение RPKI и не только, APNIC хвалится что QUIC недавно добаваили, про IPv6 тоже есть.

И ещё Cisco лабы уровня CCNA. Плюс лабы по OSPF того же автора собранные в посте Linkedin.

Настройка Juniper SRX в качестве VPN концентратора для нативных клиентов на Android, настройка самого Android тоже приводится. По пути ещё и FreeRADIUS подняли вместе со StrongSwan, и сертификаты научили выписывать.

Новый инструмент у Cloudflare Radar показывает диаграмму связности до Tier1 на живых данных. Чтобы оценить самому, в интерфейсе выбираем Connectivity->Routing и вбиваем в строке поиска вверху префикс, для которого и будет строится диаграмма. Есть API, под капотом RIPE RIS и RouteViews. Стоит вспомнить и про radar.qrator.net в котором тоже можно посмотреть на диаграмму связности и не только.

Читаю сейчас первый раз Гюго Отверженные, про революционную Францию начала 19 века, про Свободу, Равенство, Братство, Идеалы, Прогресс, Любовь, всё с большой буквы, потому что всё настоящее. Не знаю чем кончится, но пока все ключевые моменты разрешаются чудесным и невероятным образом, ожидаю такого же конца, одним словом - романтизм.

Вот сначала как повезло владельцам РДП, а потом, когда нормальный бизнес с тугой маржинальностью потребовалось налаживать, везение превратилось в «финансовую яму».

Государство! Срочно закажи 100500 новых ТСПУ на столько миллиардов, сколько Маску для полета на Марс было бы с шапкой.

А может настала пора снять все ТСПУ и сдать их в металлолом?

Сколько недостаточного места в ДЦ освободилось бы? Сколько дефицитных сотрудников IT на прогрессивные разработки переключились бы? Сколько талантливых спецов по эксплуатации сетей реальными траблами занялись бы, а не изучением черных ящиков, которые изучают специалистов? А сколько продавцов випиэнов поняли, что они не IT резистанс, а нормальные инженеры и опять бы делом занялись. А?

Вспомнилось

Приходит мужик к Моисею и жалуется:
⁃ Жизнь ни к черту, домик маленький, детей много, тесно, еды на всех не хватает. Невмоготу!
⁃ Купи козу! - говорит Моисей
⁃ Да какая еще коза? И без нее не продохнуть…
⁃ Поступай, как я говорю!
Мужик пошел на базар, купил козу в кредит под 28%. Через месяц возвращается к Моисею:
⁃ Все! Совсем конец мне. Теснота еще хуже, коза все портит и везде гадит, а еще и кредит.
⁃ Продай козу!
⁃ ?

И мужик продал козу. Вернул кредит. В доме место появилось, еды стало больше, чистота вернулась, жена и дети заулыбались. И зажил мужик счастливо.

А может быть настало время государству продать козу? И хрен с ним с заблоченным ютубом, пусть показывает, а за не те показы штрафовать его, чтоб гугл должен был гугол денег со 100 нулями? Перспективно же!

https://www.cnews.ru/news/top/2025-05-20_razrabotchik_sredstv_blokirovki

RFC - не закон, порой даже совсем наоборот. Идеальный мир где на каждом интерфейсе присутствует глобальный IPv6 адрес разбился о сложность реального мира и лень (тут в хорошем смысле) инженеров. Поэтому BGP работает без глобальных IPv6 адресов, даже частных, а на автоматических канальных адресах fe80::/10, которые присутствуют всегда. У разных вендоров по разному, но работает, нарушая RFC, но его может и поправят.

NLnet Labs уже больше года пилят модульный BGP коллектор Rotonda, позволяющий получать маршрутную информацию из BGP, BMP, MRT файла, RPKI информацию через RTR и анализировать её, строить фильтры. Есть HTTP API и собственный язык фильтрации Roto. Последняя версия 0.4.1 и всё очень активно меняется.

Суть статьи про IPv6 в Docker в этом куске конфигурации:

networks:
  ipv6_native:
    driver: bridge
    driver_opts:
      com.docker.network.bridge.gateway_mode_ipv6: "routed"
    enable_ipv6: true
    ipam:
      driver: default
      config:
        - subnet: 2001:db8::/64
          gateway: 2001:db8::1

При этом автор подчёркивает, что как работает маршрутизация и Docker вы должны знать и разбираться. Параллельно очень сильно хвалит IPv6, но тут можно пропускать.
Я, кстати, на днях сдался и запилил NAT66 с трансляцией /64 в адрес интерфейса. Для этого тоже термин PAT используется? Не хватило мне публично маршрутизируемых префиксов, а без IPv6 уже никак не работает.

Старая школа, против нового ACME. Всё совсем плохо, к чему мы привыкли, но в статье главное - это подача. Настоящий инженерный сарказм в виде рабочих заметок, после лирического вступления.

Пример сложности внедрения IPv6 - сеть это ещё не всё, главное это ПО которое тоже придётся обновлять, в данном случае cPanel. Давно не встречалось этого названия, но хорошо что починили.

Как в IS-IS организована работа в общем сетевом сегменте с несколькими маршрутизаторами. Очень подробно, с выводамии из консоли каждого изменения и теорией графов в начале. Сравнение с OSPF тоже присутствует, и там почти также.

Никогда такого не было и вот опять - кто-то проанонсировал в BGP то что там не должно быть, некоторые это подхватили и проанонсировали дальше, а некоторые не справились и легли. Иногда, это даже специально происходит, порой хватало и длины AS_PATH, чтобы навести шороху. Про уже банальные утечки, происходящие почти каждый день, никто уже и не вспоминает. Интернет продолжает держаться на честном слове, как в прямом так и в переносном смысле. А на всякий случай, можно освежить в памяти мою статью про анализ BGP NOTIFICATION.

А давайте теперь про Eltex, заодно и Huawei помянем. Я, кажется, уже говорил что мне нравится Eltex, но работал я только с коммутаторами, так и не пощупав до сих пор ESR хотя видел его описание ещё в самых первых анонсах.
Но вот, наконец, я добрался и до него в уже достаточно зрелом виде. Оказалось, что Eltex ESR и Huawei AR почти близнецы если смотреть на логику организации CLI и предлагаемый функционал, они похожи больше друг на друга чем каждый из них на Cisco или Juniper. Конечно, видно кто чем вдохновлялся, но на мой вкус, получился странный конфиг-гибрид, и не строгий иерархичный Juniper и не двухуровневая плоская Cisco, уж слишком много строк где всего одно действие, но все они объединяются под общей функцией и не могут существовать отдельно, и слишком много оставлено за скобками в действиях по умолчанию, чтобы уменьшить количество этих строчек для удобства чтения.
Если уж вспомнили про Cisco, то ESR, это то чем можно заменить ISR и ASR1k - корпоративный сервисный маршрутизатор всё в одном. И когда я это понял я был в полнейшем восторге о чём даже написал коллегам, что наконец-то, то чего так долго недоставало у нас есть. Причём, говоря про Eltex, у нас есть вообще все классы сетевых устройств, чтобы построить моновендорную сеть на отечественном оборудовании.
Но потом я углубился, хотя то что я пишу это всё ещё первые впечатления, и значение WTFs/m стало достаточно быстро расти, значительно опередив Huawei. Не то чтобы прямо что-то не заработало, но когда ожидаемое для тебя поведение сильно расходится с действительностью, всё время натыкаешься на то что приходится перешагивать. Оно может быть даже правильным согласно многочисленным стандартам, но вот сложившаяся практика от этого поведения отличается. В общем, я умудрился сломать ARP, запутаться в логике выбора лучшего BGP маршрута для анонсов, и файрволе, который statefull между интерфейсами a'la ASA, а не между зонами, поэтому трафик приходится укладывать в линеечку в обе стороны всегда.
Huawei в своём поведении оказался предсказуемей, но у Eltex больше привычных Cisco фич, а у Huawei в принципе больше крутилок и сразу включены умные функции защиты, у Eltex выключены - это в плюс, кроме файрвола, который включен, а у Huawei, наоборот, выключен. Документация лучше у Huawei - помимо отдельных команд, есть полный и подробный пошаговый гид по очень многим функциям, Eltex старается, но пока до такого далеко.
В любом случае, Eltex - зачёт, как я уже сказал, все классы сетевых устройств в копилке есть, можно строиться и доводить ожидаемое до действительного.

Даже Windows 98 уже может в IPv6, запускать правда нечего. Надеемся на статью от автора с пояснениями.

Пятницу мы хоть и не пропустили, но вот ещё вдогонку.

Анализ украинского Интернет сегмента от Kentik на основе анонсируемых IPv4 адресов, количество которых уменьшилось на 18,5%.