Про файрволлы

Вот задумался над тем что применить на новой vds-ке для управления файрволлом.

Раньше у меня был iptables-persistent, но сколько можно, iptables уже лет пять как deprecated.

В Debian умолчательным способом считается юнит nftables, который просто загружает вручную напсанный конфиг. Есть еще nftables-persistent, который работает так же как iptables-persistent т.е. сохраняет конфигурацию, а потом ее загружает, но средствами nftables.

Есть ufw, который использует bsd-шный синтаксис, а есть firewalld, который имеет крайне развесистую схему конфигурации. Насколько я понял firewalld, это попытка сделать из linux андроид, т.е. передать контроль над ситуацией от пользователя/сисадмина авторам приложений. Впрочем как я почитал ченджлоги systemd 258, идея сделать из линукса андроид потихоньку овладевает массами.

Мне, естественно, концепция firewalld не понравилась. Тем более что в имеющемся наборе конфигов как-то путаница между приложениями и протоколами. Например для imap, imaps, и managesieve - разные конфиги. Хотя сервис один и тот же.

Вот теперь думаю, nftables или nftables-persistent. Первый заставит выучить новый синтаксис (вообще-то давно пора), со вторым можно по-моему договориться, используя синатксис iptables (через iptables-nft).

X-Post from DW

(Read Comments |Comment on this)

И еще про клиента корпоративной vpn.

Пришел к выводу, что вообще-то нужны три режима

1. work vpn - при включении этого режима устройство находит где у нас сейчас vpn, передает туда команду на ее выключение, если устройство включено, и запусает у себя
2. work gateway - устройство находит где у нас сейчас vpn, и прописывает у себя роутинг на адреса конторской сети через эту машину (та должна позаботиться о том, чтобы был nat и все остальное). Локальный dnsmasq можно не переконфигурирвоать. Поскольку адрес конторского внутреннего dns попадает в тот диапазон который будет роутиться через машину с vpn.
3. work off - выключаем у себя vpn или альтернативный роутинг.

Призовая игра - как при включении режима work gateway определить, как делать роутинг до машины с vpn - мы с ней в одной физической сети или туда нужно тоже через vpn ходить, но другую? Видимо, методом тыка - сначала поискать этот хостнейм в локальной сети, если не найдется - идти на него же но в домене vpn.

Призовая игра номер два - сформулировать все это в терминах systemd. 255 плюс - старья не держим, то есть директивой ExecCondition можно пользоваться.

X-Post from DW

(Read Comments |Comment on this)

К вчерашней дискуссии

Вот на что я обратил внимание в комментариях ко вчерашнему посту LJ DW

1. Интересно, что никто не предложил использовать смартфон в качестве места хранения состояния, которое должно быть общим для всех компьютеров. Хотя об использовании для этого логов мессенжера речь шла прямо в самом посте. И видно что под мессенжерами люди имеют в виду в первую очередь telegram и whatsapp, то есть сети, ориентированные в первую очередь на мобильных клиентов.
2. Никто также не предложил использовать для этой же цели serverless средства синхронизации файлов, вроде SyncThing. Хотя они хороши полной прозрачностью для пользователя и избыточностью. Могут синхронизироваться через публично доступную машину где-то в интернете, могут - через тот же смартфон.

X-Post from DW

(Read Comments |Comment on this)

High Availability навыворот

Возникла тут задачка:

• Имеется n>=2 компьютеров, на которых можно запустить некоторый сервис.
• Одновременно этот сервис может быть запущен только на одном из этих компьютеров. Если запустить на двух, работиать толком не будет на обоих.
• Вообще говоря эти компьютеры могут находиться в разных углах интернета, за разными натами.
• Хочется чтобы при включении/перезагрузке компьютера, на котором перед выключением был запущен этот сервис, он бы запускался опять
• В идеале (но это явно потребует альтернативного канала связи между компьютерами) хочется иметь возможность руками стартовать сервис на компьютере, где он не был ранее запущен, и чтобы перед тем как запускаться, он нашел текущую запущенную копию и ее остановил.

Если же говорить о том, откуда такая задача взялась, то ситуация очень простая. Есть корпоративная VPN, ключи для которой админы выдают не на устройство, а на сотрудника. И у меня, сотрудника, есть несколько устройств, с которых я хочу к этой vpn подключаться. При этом не факт, что то устройство, с которого сейчас подключен и то, с которого я хочу теперь подключится, физически находятся рядом. Я мог забыть отключить vpn на домашнем десктопе и уехать в деревню, и теперь подключаться с ноутбука.

Вторая задача:

Имеется несколько бэкапных USB-дисков. Бэкап на которые осуществляется по очереди. При этом на один диск может бэкапиться несколько ноутбуков. При этом бэкап делается не слишком регулярно. Если я неделю ноутбук не включал, то неделю он и не бэкапится - на нем же ничего не менялось. Каждый диск имеет название (из одной руны футарка, но это не важно. Можно считать что там произвольная не слишком длинная строка unicode). Задача - сделать так чтобы было легко определить, на каком из дисков лежит самый свежий бэкап данного ноутбука. Очевидное решение - если у нас об успешном завершении бэкапа посылается сообщение в какой-нибудь мессенжер, то включать в это сообщение метку диска "бэкап машинки achird на диск ᚢ завершен успешно". Правда рыться в логах мессенжера в поисках последнего бэкапа ноутбука который не включался уже два месяца, а за эти два месяца уже по тридцать раз сбэкаплены три других... Надо бы какого-нибудь бота приладить, чтобы он это читал, и писал бы html страничку со списком машин по алфавиту и именам датами последних бэкапов каждой из них на все диски.

X-Post from DW

(Read Comments |Comment on this)

В Голландии развели бобров

https://www.theguardian.com/commentisfree/2025/aug/28/beavers-netherlands-tunnels-environmental-flooding-culls

Они там были успешно истреблены в XIX веке, но в 1988 их интродуцировали обратно. А естественных врагов, видимо, забыли.

Как оказалось, эти милые и пушистые зверюшки имеют привычку прокапывать тоннели в дамбах польдеров, перегораживать плотинами нужные человеку каналы, рыть на полях ямы-ловушки, куда проваливаются трактора и уничтожать саженцы.

Вообще конечно интересно, сколько реально бобров может ужиться в насквозь окультуренных ландшафтах Голландии, не вступая в конфликт с человеком. Подозреваю, что намного меньше тех 7000 которые сейчас там есть.

X-Post from DW

(Read Comments |Comment on this)

Осьминожное

Помнится dennis_chikin любил расписывать в комментариях ЖЖ, что бы он сделал с тем или иным негативным явлением, будь он темным властелином. В качестве инструмента обычно использовалась гвардия фиолетовых осьминогов на мотоциклетах с пулеметами.

(помнится где-то там всплыл образ фиолетового осьминога. который нервно прикуривает в углу, прикрывая зажженную спичку от ветра спиной товарища по патрулю)

Тут я что-то задумался а не являются ли описанные в одном из предыдущих постов шерстистые осьминоги как раз теми, из кого рекрутируется эта гвардия.

Правда, шерстистого осьминога я представлял себе как рыжего, с шерстью того же цвета, что у моей кошки. Или в крайнем случае - серо-полосатого. Но может фиолетовые тоже бывают.

Вообще обычные, не шерстистые, осьминоги цвет меняют. Вспомним великую поэму Э. Успенского "Разноцветная семейка". Так что может фиолетовый цвет у гвардейцев Черного властелина - это униформа. А сменившись с дежурства они меняют цвет на малиновый в крапинку или ярко-оранжевый и идут гулять по городу в гражданских цветах...

X-Post from DW

(Read Comments |Comment on this)

Хочешь писать код? Зарегистрируйся

https://www.androidauthority.com/android-developer-verification-requirements-3590911/

https://android-developers.googleblog.com/2025/08/elevating-android-security.html

Гугль тут планирует ввести систему подписи кода для андроидных приложений. То есть как ни устанавливай приложение на андроидный телефон - через PlayStore, через альтернативный магазин приложений вроде F-Droid или ruStore, даже через adb - если оно не подписано сертификатом разработчика, выданным гуглом, то фиг оно поставится. А чтобы получить этот сертификат, нужно предоставить гуглю уйму персональной информации.

И это не зависимо от того, собираешься ли ты этот код распространять вообще. Хочешь чтобы работало у тебя на телефоне - должен иметь девелоперский аккаунт

Причем начать внедрение данной "фичи" планируется с Бразили, Таиланда, Индонезии и Сингапура.

X-Post from DW

(Read Comments |Comment on this)

Пушистики

Вот представим себе что у нас есть иная цивилизация. Гуманоидная, иначе не интересно (почему неинтрересно объясняла как-то Кэт Уильямстон Дживу Марресу). Но сформировалась совершенно отдельно и независимо. И биосфера у них на планете немножко другая, а история и география другие - ну совсем.

Соответственно вопрос в том, какие домашние животные будут у них. (возможно, кстати, что на уровне чуть выше наших набор домашних животных сильно поменяется. Вот сейчас всяких минипигов и домашних лис развели).

Нужно чтобы уровень мимимишности был не ниже чем у наших собак и кошек, но все было другое.

Пока приходят в голову следующие мысли

1. Что-то большое зайцеобразное (вроде розовского нуралага) в экологической нише пони (ну овцы/козы тоже, но главный герой там не с фермерами общается, а небольшие гужевые повозки могут и по городу ездить)
2. Перевертыш - лиса в нише кошки, и гепард в нише собаки
3. Шерстистый осьминог и гладюка (шерстистая змея) То есть животные похожие внешне на наших осьминога и гадюку, но теплокровные и покрытые шерстью (шерстистый осьминог должен быть, видимо, древесным животным).

X-Post from DW

(Read Comments |Comment on this)

Кубики

Вообще развитие мобильных приложений идет в том направлении, что начинает очень хотеться спортировать на смартфоны Qubes OS. Чтобы поделить приложения на группы так, чтобы каждая группа и ведать не ведала о существовании на той же железке других групп.

Впрочем оверхед там такой что даже в "Технократах и имперцах" у меня аналогичной системой только военные пользуются.

Правда в фантастическом варианте там еще в корневой ОС сидит ИИ, который следит чтобы приложения, запущенные в контейнерах, вредоносную активность не осуществляли.

Qubes OS между тем развивается, и в ней появляются такие полезные вещи как Split GPG (непонятно правда почему только GPG? А как же PKCS11? Ну может я просто документацию до нужного места не дочитал) или CTAP Proxy.

Почему-то вспомнил я про это, когда читал про ROSA Mobile с её эмулятором Андроида.

X-Post from DW

(Read Comments |Comment on this)

Мечта о парусе
Тут в связи с тем, что парус от байдарки съели мыши задумался, а не купить ли себе более другое плавсредство вместо байдарки, которой уже скоро 40 лет исполнится. Уже специально заточенное именно под парусные прогулки.</p>

Хотелось бы что-нибудь более легкое и компактное, чем "Таймень" с дополнительной 15кг упаковкой с парусным вооружением. Чтобы можно было осенью в машину кинуть и увезти в Москву, где мышей нет. Или было не лениво прихватить собой в какое-нибудь автопутешествие, где ожидаются остановки на берегу озер.

Но что-то как-то ассортимент доступного не внушает. На форумах водников обсуждают проблемы восстановления "Мевы" 1972 года выпуска (и дело не в том, что ей больше полувека, вон USS Consitution вообще уже 250 лет отметил, а в том что это 72 кг в четырех упаковках).

Парусные катамараны фабричного производства тоже как-то разнообразием не блещут. В основном предлагают что-то из линейки "Валдай", а это латиские паруса. Не хочу латинский, хочу бермудский. Ладно, согласен на уишбон вместо нормального гика. Ну и с весом и габаритами в разобранном состоянии там тоже как-то не блещет.

Единственное интересное, что нашел - это Гольф это такой слегка обтекаемой формы надувной матрас. Но весь комплект 30 кг. К сожалению в прайс-листах он кое-где остался, но везде пишут, что в наличии нет. А на сайте "Вольного ветра" я и упоминания не нашел, видимо сняли с производства.

Вообще мне казалось что появление sup-досок (которые распространились буквально в последние год-два) должно привести к вспышке разнообразия новых моделей и в смежных областях. Но если в область досок для виндсерфинга технологии, применяемые для sup уже проникли, то в область чего-то более крупного и комфортабельного почему-то пока нет. Я уже начинаю жалеть о том, что руки у меня под клавиатуру заточены и самому изготовить надувную лодку с заданными обводами мне не под силу.

X-Post from DW

(Read Comments |Comment on this)

И вы получите то, что полагается за это число... © Толкиен

Debian 13 (trixie) вышел. Одной из основных особенностей этого релиза является отказ от поддержки 32-битной Intel-архитектуры (i386). Теперь из семи официально поддерживаемых архитектур 32-битных только два arm (armel и armhf). И кстати, из big-endian архитекур остался только s390x, ибо мейнфреймы IBM бессмертны. Но тоже - никаких 31-битных версий.

У меня вообще-то уже два рабочих ноутбука сапгрейжены - свой (chara) и Ирины (izar, она в связи с тем что ее виндовый Asus, который eltanin, сдох, пользуется сейчас моим старым ноутбуком). Надо два 12" "ноутбука для путешествий" (thuban и achird) поднять и домашний десктоп.

Стоит ли поднимат canopus - не уверен. Возможно надо завести vps-ку у другого хостера, назвать, например, deneb, поставить туда trixie сразу и перенести нагрузку туда. А canopus сдохнет когда кончится заплаченные за хостинг деньги.

X-Post from DW

(Read Comments |Comment on this)

Воспоминание

1988 год. Сижу это я в коридоре 20 этажа ГЗ МГУ рядом с родной кафедрой (там во всех коридорах стоят шикарные дубовые столы и скамейки) и перебираю колоду перфокарт. То ли с программой на фортране для БЭСМ-6, то ли с данными для статистической обработки на ЕС-1045.

Мимо идет один однокурсник, видит это и говорит:

— Ага, каменный топор точишь!

X-Post from DW

(Read Comments |Comment on this)

Человек в качестве пета.

Что-то опять вспомнил концепцию мира, где драконы держат домашних людей примерно как люди держат домашних кошек. В этот раз правда, концепция оформилась такая - если не держать в пещере рыцаря или на худой конец, принцессу, то разведутся гномы и растащат всё сокровище.

(впрочем фраза про "Ясмининого котёнка, который неплохо ловит крыс, вооруженных СКС-ами" у меня уже в "Ясмине" была).

Отношения дракона живущего столетия с краткоживущим человеком-любимцем будут в чем-то похожи на отношения людей с кошками и собаками. Впрочем эту тему достаточно подробно разрабатывал Шумил. По-моему в "Осколках эдема".

И еще когда-то была идея что драконьих питомцев выпускают гулять (через межмировые порталы) в мир с человеческой цивилизацией. Потому что люди - существа социальные и без общества себе подобных страдают. И была задумка на сюжет, где некий молодой человек знакомится (чуть ли не на рабочем месте) с девушкой, пытается провожать ее до дома, и обнаруживает что на обычной лестничной площадке в обычной многоэтажке имеется лишняя, не предусмотренная проектом дверь, за которой начинается пещерный ход явно естественного происхождения.

X-Post from DW

(Read Comments |Comment on this)

Чужая цивилизация

В последнее время я уже несколько раз пытался описывать человеческую цивилизацию, которая не является будущим или альтернативным вариантом нашей нынешней.

1. сага дизеля и льда где техническая цивилизация возникает в разгар ледникового периода у южной кромки ледника
2. Аалинуи где география соответствует земной, но техническую цивилизацию создают не европейцы, а океанийцы
3. Вот сейчас работают над звездой из созвездия Лебедь где из самого названия ясно, что речь идет о другой планете под другой звездой. Хотя у персонажей из той цивилизации там вполне привычные имена Анна, Элла, Ларс. Но это потому что коротких благозвучных буквосочетаний вообще мало.
4. Я уж не говорю про Галактическую Федерацию которую я разрабатывал с 80-х годов.

И оказывается что создавать такие сеттинги сложнее чем сеттинги будущего и даже альтернативной истории. Если мир "Детей Пространства" - это будущее нашего мира, то ничто не мешает персонажу писать на форуме под псевдонимом "Айзек Бромберг" и читатель поймет. А книги Стругацких (равно как и неоднократно цитируемые в тексте песни Визбора и Городницкого) в том мире есть, потому что они есть в нашем.

И даже в "Ясмине", где развилка с нашим миром происходит в XVIII веке, можно ссылаться на Адама Смита и Макиавелли. Да и на Дэниэля Дефо можно (я правда там так и не написал эпизод про капитана Крузо и семь прекрасных Пятниц на шхуне "Неделя").

А если мир абсолютно чужой, общей литературы нет. И даже в Аалинуи где постулируется общность полинезийской мифологии с нашим миром реально-то корпус мифов местные учат в литературной обрабоке последних двухсот лет.

А в "Саге дизеля и льда" противостояние Темного Властелина и Снежной Королевы придется самому придумывыать.

X-Post from DW

(Read Comments |Comment on this)

Link Нвдоело жить мне как в засаде

У меня на телефоне в архиве бардовской песни побился MP3 файл с песней Дулова, первая строчка которой вынесена в заголовок поста. До половины песни играеет, а потом тишина и только полоска прокрутки ползет.

Про архив бардовской песни в телефоне я последнее время вспоминаю только во время долгих автомобильных поездок, поэтому несколько месяцев не мог собраться покопаться в этой проблеме. Сегодня с утра наконец собрался. И выяснил что в ноутбуке файл тоже битый. Десктопный VLC тоже его до половины играет. Ну в общем не удивительно что на телефоне и на ноутбуке файл одинаковый - о синхронизации архива mp3 между ними syncthing заботится.

Полез на бэкапный диск стационарного компьютера - там бардовский архив имеет другую структуру и содержит больше авторов, поэтому не синхронизируюеся с носимыми устройствами. Да, там md5 другая, попробовал - играет до конца.

Проверил md5 остальных файлов, которые на слух играются нормально - тоже не совпадают. Возможно, конечно это я тэги когда-то править пытался (хотя при такой операции и файл побиться мог). На всякий случай скопировал оттуда всего Дулова. Теперь думаю, как бы всех остальных проверить. Без учета тэгов.

X-Post from DW

(Read Comments |Comment on this)

Кроме электричества всё в любом количестве

Вчера в десятом часу вечера отключилось электричество в Бужаниново. Причем не только в нашем СНТ но и в окрестных деревнях.

Было интересно наблюдать в поселковом чате обсуждение этой проблемы.

Вообще конечно, в наше время отключение электричесва забавная вещь. Ноутбуки - продолжают работать, роутер продолжает - у них у всех аккумуляторы. Телефоны и планшеты - тоже, они вообще мобильные устройства. Гаснет верхний свет, но комнату продолжают освещять отстветы от компьютерного экрана. Поэтому и в чате активность продолжается. Правда оключение энергии совпало с какими-то глюками у мегафона и я воочию наблюдал средний пинг до ya.ru в 11 секунд.

Стал вяло размышлять о том, что надо пойти в сарай и выкопать там из-под груды всякого хлама бензогенератор. И надолго ли хватит бензина у него в баке. Полной канистры рядом там точно нет, поскольку я уже третий год как перешел с бензотриммера и бензопилы на аккумуляторные и запасы бензина для садового инструмента не пополняю. А что было, постепенно куда-то израсходовалось. То ли на протирку чего-нибудь, то ли на растопку мусоросжигательной бочки.

Канистры в общем, конечно, совсем нет. Есть какие-то пластиковые емкости, в которые лет пять назад еще на бензоколонках вполне наливали, но с тех пор там к этому стали строже отноститься.

X-Post from DW

В общем решил что до рассвета холодильник не разморозится и лег спать. А часов в одиннацать электричество дали. Но вообще, наверное, надо учения по запуску генератора произвести. А то в этом году второй раз отклчюают уже (первый раз был на майские, когда нас тут не было).

(Read Comments |Comment on this)

Размышлительное

Интересно, как испортилось понятие VPN. Почти так же как испортилось понятие телефонный звонок. В наше время, "у меня зазвонил телефон" это почти эквивалентно "спам пришел". А когда-то еще пару-тройку десятилетий назад телефон был средством общения людей, у которых есть не только что сказать друг другу. но и что совместно делать.

Электронная почта, что характерно, испортилась в меньшей степени. Хотя тоже испортилась.

VPN исходно это Virtual Private Network. Способ объединить компьютеры принадлежащие кому-то (человеку, фирме, сообществу), подключенныхе через разных провайдеров и находящиеся в физически разных местах, для того чтобы они могли взаимодействовать между собой. Особенно актуально в связи с тем что интернет тоже испортилися и из peer-to-peer сети превратился в сочетание серверов и фактически терминалов. Поэотому удаленно работать с компьютером, подключенным через другого провайдера, за парой NAT-ов и файрволлов не получается без наложения на общедоступную сеть виртуальной частной.

Но сейчас VPN в масовом сознании это "средство обхода цензуры". А не средство взаимодействия между удаленными компьютерами. Компьютеров в этой модели нет. Есть веб-странички и бразуеры.

X-Post from DW

(Read Comments |Comment on this)

Про хостинг

Интересно, а у какого хостера в России сейчас имеет смысл покупать VPS?

Требования:

1. 100Gb места
2. Чтобы можно было держать почтовый сервер (первичный MX для пары доменов)
3. Чтобы можно было tun, ipsec, wg и так далее. Т.е. полноценная виртуализация, а не VZ-контейнер.
4. Все это в пределах 10круб/мес.

Количество ядер, объем памяти и т.д. некритичны пары ядер и пары гигов вполне хватит, php-шные вебсайты мне хостить не надо.

X-Post from DW

(Read Comments |Comment on this)

К вопросу об эффективности менеджмента

Тут на opennet.ru появились выдержки из финансового отчета компании Canonical.

• $77.5 млн (в 2023 году - $75.4 млн) было потрачено на организацию продаж и маркетинг;
• $36.7 млн ($31.6 млн) на разработку и исследования;
• $138 млн ($108 млн) на административные расходы.

Нет, ну то есть я и раньше знал, что разработка составляет небольшую долю в структуре деятельности технологических компаний. Но что административные расходы в полтора-два раза превосходят расходы на маркетинг и заметно превосходят суммарные расходы на маркетинг и разработку, для меня новость.

И ведь наверняка зарплата PM-ов проходит по графе "разработка и исследования".

Вот интересно, куда они записали зарплату сисадминов - в административные расходы, маркетинг или разработку?

X-Post from DW

(Read Comments |Comment on this)

Мастерская миров

Тут Шумил вдруг написал ЛитРПГ. Вернее, фанфик на другую ЛитРПГ другого автора (раньше он фанфики на Желязны со Стругацкими писал, может быть Виталий Литвин тоже заслуживает прочтения?)

А я вот над чем задумался - как-то очень популярны стали тексты по чужим мирам. Фанфики по изданным произведениям - от Стругацких до Роулинг, ЛитРПГ, межавторские проекты вроде "Земли Лишних" Андрея Круза и Ко. Кроме того многие авторы пишут сериалы из десятков продолжений действие которых происходит в одном и том же мире. При том что миры вообще-то слова доброго не стоят. Ну вот взять все эти многочисленные бояр-аниме, например. Или фэнтезя с орками и эльфами. Клоны же один другого. Редко у кого в физике, географии или истории мира найдется какая-то изюминка.

Это, интересно, почему? Потому что людям так тяжело творить миры? Мне всегда это было гораздо проще, чем творить сюжеты или даже характеры персонажей. Интересно можно ли организовать производство миров на заказ? Я бы занялся. Для меня всегда было проблемой создать героя и путь его по миру, который позволить этот мир читателю показать. Только организовывать не умею.

Или может быть дело в коммуникации между автором и читателем? Начав писать фанфик (не важно по книге, фильму, или компьютерной игре) автор немедленно приобретает общее смысловое поле с теми кто читал/смотрел/играл оригинал. И не только с ними. Я вот в MMORPG не играл, только жене через плечо посматривал. Тем не менее, когда я читаю все эти описания прокачки навыков, распределения очков опыта и т.д. мне всё понятно.

X-Post from DW

(Read Comments |Comment on this)