Linux: Системный администратор

💥 Как настроить systemd-networkd для статического IP и маршрутов Если ты не используешь NetworkManager (например, на серверах), systemd-networkd — отличный выбор. Ниже — минимальная, но рабочая настройка для интерфейса с ручным IP и маршрутами. 📁 Шаг 1: настрой сеть Создай файл: /etc/systemd/network/10-static.network [Match] Name=ens33 [Network] Address=192.168.1.100/24 Gateway=192.168.1.1 DNS=8.8.8.8 [Route] Destination=10.10.0.0/16 Gateway=192.168.1.254 💡 Можно добавить несколько [Route] секций, если нужно. 🔧 Шаг 2: включи systemd-networkd и отключи другие менеджеры systemctl disable --now NetworkManager systemctl enable --now systemd-networkd systemctl enable --now systemd-resolved ⚠️ Проверь, что /etc/resolv.conf ссылается на ../run/systemd/resolve/stub-resolv.conf �…

🔧 Отключаем IPv6 правильно через sysctl — без костылей и багов В некоторых окружениях (legacy-сети, специфичные firewall policy, старые софты) требуется полностью отключить IPv6. Многие делают это через GRUB (ipv6.disable=1), но это не всегда корректно: интерфейсы всё равно могут получать link-local адреса (fe80::/10), что приводит к неожиданностям. 📌 Надёжный способ — через sysctl: cat << 'EOF' > /etc/sysctl.d/99-disable-ipv6.conf net.ipv6.conf.all.disable_ipv6 = 1 net.ipv6.conf.default.disable_ipv6 = 1 net.ipv6.conf.lo.disable_ipv6 = 1 EOF sysctl --system 🔥 Не забудь: - Если у тебя кастомные интерфейсы (eth0, ens33, и т.д.) — проверь их через sysctl net.ipv6.conf.<iface>.disable_ipv6. - Также удали ::1 из /etc/hosts, если не нужен loopback IPv6. 📍 Когда применять: – нет…

🔥 Когда tcpdump врёт: ловим только то, что проходит через iptables Иногда вы запускаете tcpdump, видите трафик — но приложение его не получает. Почему? 📌 tcpdump по умолчанию работает на уровне интерфейса, а не IP-стека. Он видит весь трафик — даже тот, что будет дропнут iptables. 🛠 Как посмотреть только то, что прошло фильтрацию iptables? 1. Создаём временный NFLOG-правилo: iptables -I INPUT -p tcp --dport 22 -j NFLOG --nflog-group 1 2. Слушаем лог-группу с tcpdump: tcpdump -i nflog:1 -nn -vv 3. Потом удалим правило: iptables -D INPUT -p tcp --dport 22 -j NFLOG --nflog-group 1 📎 Что происходит? Правило направляет пакеты, которые дошли до этой цепочки, в NFLOG. А tcpdump уже читает их после обработки iptables. ✅ Когда применять: — Отладка проблем доступа — Проверка, дропае…

Хотите быстро проверить, через какой интерфейс и IP ваш Linux-сервер выйдет к определённому адресу, без реального подключения? Решение: Используйте ip route get — лёгкая команда для диагностики маршрутизации: ip route get 8.8.8.8 Что покажет: - Какой IP-адрес будет использоваться для исходящего соединения; - Какой сетевой интерфейс (dev eth0 и т.д.); - Какой шлюз (via) задействован. Пример вывода: 8.8.8.8 via 192.168.1.1 dev eth0 src 192.168.1.10 uid 0 Пояснение: - Полезно для диагностики проблем с маршрутизацией, VPN, балансировкой каналов. - Проверка без реальной отправки пакетов: не создаёт нагрузку и не требует открытых портов. Бонус: Проверить маршрут сразу для нескольких целей: for ip in 8.8.8.8 1.1.1.1; do ip route get $ip; done Важно: Если у вас настроены policy-ba…

Как быстро сбросить сетевой интерфейс без перезапуска системы Иногда после правки конфигурации сети нужно *мягко* применить изменения без ребута. Особенно на продакшене. 🔧 Простейший способ — с помощью ip: ip link set eth0 down ip addr flush dev eth0 ip link set eth0 up Что делают эти команды: - set down — переводит интерфейс в неактивное состояние. - flush — очищает IP-адреса интерфейса. - set up — активирует интерфейс заново. Когда применять: 🔹 После ручной настройки IP через ip/ifconfig; 🔹 После внесения изменений в /etc/network/interfaces, Netplan, systemd-networkd и пр.; 🔹 Для быстрой переинициализации интерфейса без влияния на другие службы. ⚡ Трюк: если используется DHCP-клиент (dhclient), можно сразу запросить новый IP: dhclient -r eth0 && dhclient eth0 (первое — …

🔐 Fail2Ban для защиты SSH: настройка за 2 минуты SSH — первая цель сканеров и брутфорсеров. Один fail2ban-джейл — и атаки больше не проблема. 🛠 Минимальная настройка fail2ban для SSH: 1. Установи fail2ban (если ещё нет): apt install fail2ban # Debian/Ubuntu dnf install fail2ban # RHEL/AlmaLinux 2. Создай кастомную конфигурацию: cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local 3. Включи и настрой SSH-защиту в jail.local: [sshd] enabled = true port = ssh filter = sshd logpath = /var/log/auth.log # или /var/log/secure на RHEL maxretry = 5 bantime = 1h findtime = 10m 4. Перезапусти fail2ban: systemctl restart fail2ban 5. Проверка работы: fail2ban-client status sshd 👀 Что это даёт: – Блокирует IP после нескольких неудачных попыток входа. – Автоматическая защита …