Именно что удаленно "вот прям сейчас" попасть не получается, а ехать в соседний город чтоб ребутнуть маршрутизатор - не улыбает.
Однажды в аналогичной ситуации попросил показать как именно они перезагружали. Оказалось честно отрубали из розетки коммутационный ящик. Вот только в самом ящике ИБП 40 минут держит.
И да, в той ситуации считаю себя виноватым - не предусмотрел, не объяснил толком как надо перезагрузить.
подключал тут себе недавно ЧД по оптике. в офисе решали как будем подключать по sfp или через медяк. говорю у меня микрот есть с sfp, проверьте будет ли работать. отдали инженеру, тот даже в админку не сумел зайти с заводской настройкой.
Любой не самый дешманский роутер с OpenWrt лучше. Главное чтобы железо было нормальное или придётся разбирать и колхозить охлаждение и допаивать недостающие компоненты.
Про охлаждение согласен. Но у большинства роутеров проблем с этим нет, только у самых дешманских. А если посмотреть по сайту OpenWrt у какого роутера какое железо внутри, можно выбрать хороший.
Ну для начала, я не доверяю проприетарщине. Этот ваш микротик в любой момент могут прекратить поддерживать. И даже если не прекратят, что если понадобится что-то не предусмотренное прошивкой?
Лучше, ну как минимум тем что OpenWrt можно собрать самостоятельно из исходников от начала до конца и потом при желании дособрать пакеты с любыми программами. Хотя есть и готовые образы, но самосборное лучше, так как можно ненужное полностью удалить из прошивки и добавить нужное и задать любые настройки по умолчанию.
> ...с достаточного качества железом будет дороже.
Дороже микротиков с таким же железом? Ну если так, то можно взять и микротик и вместо кривой проприетарной ОС залить хорошую — OpenWrt. Но что-то у меня есть сомнения, что так выйдет.
А я не религиозен и выбираю то, что лучше работает. Мне не нужен проприетарный WinRAR, достаточно опенсорсного 7-Zip. Но я не намерен, жертвуя своим комфортом, пытаться городить себе опенсорсный роутер по религиозным причинам. Спасибо-пожалуйста, Vyatta в своё время хватило.
Увы и ах, в 90% случаев проприетарщина работает лучше. Причины того - сугубо экономические. А если бы не существовали политические факторы, а 80% бизнесов умело считать ТСО, опенсорса крупнее вышеупомянутого 7-Zip не существовало бы как класс.
И да, сразу обозначу, чтобы у вас не возникло иллюзий, что вы беседуете со свитчером-неосилятором: в мои непосредственные рабочие обязанности входит поддержка развесистого хозяйства, построенного на 99% на опенсорсе. CentOS, Openstack, K8S, постгрес, ELK, гластер, вот это вот всё.
что если понадобится что-то не предусмотренное прошивкой?
Что конкретно? BGP есть, OSPF есть, туннелей полный фарш вплоть до SSTP, приоритезация есть, DNS сервер есть, DHCP сервер есть...
OpenWrt можно собрать самостоятельно из исходников от начала до конца
В чём самостоятельная ценность этого действия?
вместо кривой проприетарной ОС залить хорошую — OpenWrt
Было бы неплохо обосновать подобные голословные заявления. Ну там, продемонстрировать ряд ситуаций, в которых микротовая ОС лажает, а OpenWRT работает хорошо. Причём неплохо бы, чтобы ситуации не были искусственными: мы говорим о роутере, а не о комбайне вида "Роутер+NAS+SAN+проигрыватель фильмов+оркестратор умного дома".
Пока что я у вас вижу лишь религиозный подход:
- OpenWRT лучше, чем микрот, потому что он опенсорсный. - А чем он лучше? - Опенсорсностью!
Напоминает старый советский анекдот:
- Армяне лучше, чем грузины! - Да чем, чем они лучше?! - Чем грузины!
>А я не религиозен и выбираю то, что лучше работает.
Я же написал, "не доверяю". Исходные коды проприетарщины недоступны для верификации, а значит невозможно исключить наличие в ней бекдоров, вредоносной функциональности и не закрываемых годами дыр. Причём всё перечисленное вполне себе наблюдалось, так что это не какие-то абстрактные соображения.
Кроме того, если в свободной программе обнаружится баг, можно его исправить самостоятельно или найти готовый патч в комментах к баг-репорту или бекпортировать из системы контроля версий. В случае проприетарщины — вы зависите от правообладателя, который в большинстве случаев вам скажет "Ну ждите новую версию через полгода, там может быть баг исправят" и это ещё в лучшем случае.
Увы и ах, в 90% случаев проприетарщина работает лучше.
Как вы считаете случаи? Мой собственный опыт говорит об обратном. Впрочем если вы пользуетесь Windows, то неудивительно, что у вас получился такой результат, но дело не в проприетарщине, а в том что свободный софт в основном пишется изначально под свободные ОС, а проприетарный — под проприетарные. 7-zip — одно из немногих исключений, кстати. Так и неудивительно, что под кривой проприетарной ОС, не адаптированный специально под её глюки и квирки софт, портированный из хороших ОС работает хуже, чем под той ОС, под какую он изначально написан.
в мои непосредственные рабочие обязанности входит поддержка развесистого
хозяйства, построенного на 99% на опенсорсе. CentOS, Openstack, K8S,
постгрес, ELK, гластер, вот это вот всё.
Тогда почему вы сравнивате WinRAR и 7-zip? Если бы всем этим действительно пользовались, вы бы знали, что никакого WinRAR нет под CentOS, а есть только консольный rar (тоже проприетарный).
В чём самостоятельная ценность этого действия?
Ну вот я полностью удалил из OpenWrt Web-интерфейс, и оставил только вход по SSH. Это важный шаг в повышении безопасности любого роутера (не только на OpenWrt), так как большинство взломов совершаются именно через уязвимости Web-интерфейса. Ну и чтобы нельзя было по словарю подобрать пароль, я, естественно, тоже позаботился. На освободившееся место, зато поставил консольные утилиты, делающие настройку через консоль удобнее.
Причём неплохо бы, чтобы ситуации не были искусственными
Ну вон, см выше. Из микротика можно полностью удалить веб-интерфейс из прошивки, а вместо этого добавить что-то более полезное?
Почему важны открытые исходники, я написал выше. Кроме этого есть ещё один аргумент — в микротиках нестандартная консоль управления, команды из которой применимы только к микротикам. А вот в OpenWrt все команды точно такие же как в настольном линуксе на моём домашнем компьютере и такие же как в вышеупомянутом CentOS, поэтому мне не приходится учиться настраивать сеть дважды.
Исходные коды проприетарщины недоступны для верификации
А вы способны самостоятельно верифицировать исходники ну хотя бы grep? Верифицировали ли вы лично все исходники, из которых компилируете своё ПО? А если вы ставите что-то из пакетов, то проверяете ли, что эти пакеты собраны именно из публично доступных исходников, а не из модифицированных? А если нет, почему вы полагаете это аргументом?
невозможно исключить наличие в ней бекдоров, вредоносной функциональности и не закрываемых годами дыр
Опенсорсность этому не помогает. Привет от heartbleed, log4j и иже с ними. В closed source мире такие эпичные облажания встречаются куда как реже, их пик пришёлся на 2002-2008 годы, и чем дальше, тем их меньше.
Вот только именно опенсорс лидирует по количеству дырок в CVE Database, обгоняя клоуздсорс в разы. А ещё опенсорс имеет в среднем куда больший лаг между обнаружением дырки и её закрытием. Вы можете убедиться в этом лично за полчаса гугления.
если в свободной программе обнаружится баг, можно его исправить самостоятельно
Это если вы достаточно скиллованный программист и у вас достаточно времени на ковыряния в этом. А потом, когда вы это исправите, вам ещё предстоит уговорить мэинтейнеров принять патч, причём некоторые ведут себя так, будто вы обязаны умолять их на коленях...
В случае проприетарщины — вы зависите от правообладателя, который в большинстве случаев вам скажет "Ну ждите новую версию через полгода
Вы просто не работали с позиции клиента, имеющего сервис-контракт. Когда у меня СХД от лидера рынка с ума сошла вечером в субботу, ко мне через полчаса подключилась третья линия и через пять часов был выпущен патч специально для меня. А через 2 недели он вошёл в общие патчи этой СХД. Вот так работает профессиональная вендорская поддержка "проприетарщины".
А вот когда я довольно серьёзный баг в GlusterFS нашёл и отписался о нём как частное лицо, мне вообще не ответили. Потому что у меня нет контракта с Red Hat, которая могла бы пнуть Gluster, являющийся их карманным продуктом, или Oracle, имеющими на них значительное влияние. Найденный мной баг аффектит версии с 6 по 10, делает невозможными массу сценариев использования снапшотов гластерных томов, и исправлять его никто не планирует.
Как вы считаете случаи? Мой собственный опыт говорит об обратном. Впрочем если вы пользуетесь Windows, то неудивительно, что у вас получился такой результат
Ну разумеется, я имею в виду лидеров рынка проприетарного ПО, а не студенческие поделки, качеством подчас даже похуже, чем опенсорс. И да, Microsoft делает изумительно качественный софт, если учесть его сложность. Совокупное количество уязвимостей в Windows Server со всеми ролями в год в пару раз меньше, чем совокупное количество в одном только Linux Kernel, при том, что объём кода откровенно несравним.
Тогда почему вы сравнивате WinRAR и 7-zip?
А что, под Windows какой-то другой опенсорс? Неправильный, неправославный, неосвящённый? У меня на винде его порядочно: и Lens есть, и VLC Player, и Powershell Core (да, он опенсорсный), и Kaizen, и много чего ещё.
Если бы всем этим действительно пользовались
Вы всегда пытаетесь обвинить во лжи всех, чьи высказывания вам неприятны?
я полностью удалил из OpenWrt Web-интерфейс, и оставил только вход по SSH. Это важный шаг в повышении безопасности любого роутера
Запретить доступ к веб-интерфейсу на интерфейсе, смотрящем в WAN, для вас слишком небезопасно?
(не только на OpenWrt)
У меня на работе стоит кластер из пары аппаратных Fortigate с проприетарной прошивкой. Веб-интерфейс из него выпилить нельзя, только выбрать интерфейсы, на которых он слушает. Предложите поменять его на OpenWRT с аргументом "он безопаснее"?
На освободившееся место, зато поставил консольные утилиты, делающие настройку через консоль удобнее.
"Я отрубил себе ногу, но потом я прикрутил себе очень удобный, качественный и высокотехнологичный протез. Бегать и плавать с ним я, правда, не могу, но ходить - очень удобно, главное - не забывать заряжать в нём аккумуляторы".
Хорошее устройство имеет и GUI, и консоль. Консоль облегчает автоматизацию. GUI позволяет удобно увидеть общую картину.
Из микротика можно полностью удалить веб-интерфейс из прошивки, а вместо этого добавить что-то более полезное?
Что именно "более полезное", учитывая, что мы говорим о роутере младшего корпоративного класса? Вы вообще представляете себе, в какой ад вы попадёте, если вам нужно будет управлять парой сотен или даже тысяч ACL исключительно из консоли?
Почему важны открытые исходники, я написал выше.
Пока что я не увидел ни единого аргумента, не имеющего религиозную причину.
"Миллион глаз, непрерывно проверяющих код на дыры" - не аргумент, нет тех глаз, это миф.
"Я могу выпилить из программного продукта его кусок" - не аргумент. Это не нужно на практике. Не имеет ценности.
"Я могу сам исправить проблему" - более всего похоже на аргумент, только вот ТСО у проприетарного ПО на масштабах бизнеса вплоть до крупного ниже даже с учётом сервис-контрактов, а содержать собственный отдел программистов, допиливающих опенсорс до приемлемого уровня, могут себе позволить разве что гиганты вроде Amazon, Facebook, Google и иже с ними. Они, собственно, так и делают. Тому же Amazon было дешевле не покупать гипервизор у VMware или Microsoft, а форкнуть Xen и допилить. Но, кстати, коммитов в апстрим они не делали: дураки они, что ли, ноу-хау всем бесплатно раздавать?
Кроме этого есть ещё один аргумент — в микротиках нестандартная консоль управления, команды из которой применимы только к микротикам. А вот в OpenWrt все команды точно такие же как в настольном линуксе
А почему вы вообще решили, что именно линуксовые команды должны быть стандартом для роутеров?!
Им, если уж на то пошло, является цисковская консоль. А запасным - юниперовская. Это даже опенсорс понимает, не просто так в Vyatta сделано нечто похожее на цисковскую CLI, хотя под капотом там - обычные линуксовые пакеты вроде StrongSwan.
поэтому мне не приходится учиться настраивать сеть дважды.
Лично вам. Но любой network engineer предпочтёт Cisco-like console тому, что может предложить линукс. И любой network engineer быстро переключится с IOS/JunOS на консоль иного профессионального сетевого оборудования, потому что парадигма одинакова.
> Но любой network engineer предпочтёт Cisco-like console тому, что может предложить линукс
Не любой.
> Но, кстати, коммитов в апстрим они не делали: дураки они, что ли, ноу-хау всем бесплатно раздавать?
Вот потому и нужны лицензии вроде GPL, LGPL и AGPL.
> Это не нужно на практике. Не имеет ценности.
Я только что объяснил, что нужно и почему. Если вам термин "поверхность атаки" (attack surface) ни о чём не говорит, значит не такой уж вы и специалист.
> Вы вообще представляете себе, в какой ад вы попадёте, если вам нужно
будет управлять парой сотен или даже тысяч ACL исключительно из консоли?
Да хоть миллионом. Сколько-нибудь масштабными системами только из консоли и рулят. Вы сами представьте себе что нужно расставить несколько тысяч галочек в GUI? Никто в здравом уме этим заниматься не будет. А вот в консоли решается несколькими командами.
> GUI позволяет удобно увидеть общую картину.
Через консоль тоже можно отлично увидеть общую картину, если уметь ей пользоваться. А может вы и CentOS на сервере через X11 или Wayland настраиваете?
> У меня на работе стоит кластер из пары аппаратных Fortigate с
проприетарной прошивкой. Веб-интерфейс из него выпилить нельзя, только
выбрать интерфейсы, на которых он слушает. Предложите поменять его на
OpenWRT с аргументом "он безопаснее"?
Вы ССЗБ, если купили устройство с проприетарной прошивкой.
> Запретить доступ к веб-интерфейсу на интерфейсе, смотрящем в WAN, для вас слишком небезопасно?
Полностью выпилить веб-интерфейс по-любому безопаснее. Если вы настройки сбросите или ещё что-нибудь, он потом уже не вылезет. Кроме того, а зачем место в прошивке занимать тем, что не нужно и никогда не используется?
> А что, под Windows какой-то другой опенсорс?
На это я уже подробно ответил в предыдущем сообщении.
> В closed source мире такие эпичные облажания встречаются куда как реже
А может они просто реже становятся достоянием общественности и чаще вообще не попадают в базы данных, а продаются за деньги на непубличных ресурсах?
> А вы способны самостоятельно верифицировать исходники ну хотя бы grep?
А почему нет?
> Верифицировали ли вы лично все исходники, из которых компилируете своё ПО?
Только выборочно, в основном исходники полузаброшенных проектов, которыми интересуется полтора анонимуса, если они мне станут зачем-то нужны, да они и не соберутся без правки исходников, так что в них в любом случае придётся закопаться. А более популярные программы проверят и без меня и если есть что-то очевидное, то скорее всего найдут. Мне есть чем заняться и кроме этого.
> А если вы ставите что-то из пакетов, то проверяете ли, что эти пакеты
собраны именно из публично доступных исходников, а не из
модифицированных?
В данном случае мне приходится доверять достаточно узкой группе людей — мейнтейнеров именно моего дистрибутива. Вероятность того, что среди них попадётся злоумышленник и не будет пойман крайне мала. А пакеты из левых репозиториев я не ставлю — собираю сам из исходников.
А вот если ставить проприетарщину, то из-за отсутствия её исходников, вам придётся доверять куда более широкому кругу людей и при возникновении у вас сомнений, вы не сможете ни пересобрать программу, ни прочитать исходники, ни собрать с дебаг-инфой. чтобы посмотреть что делает программа через дебаггер.
Эти лицензии - рак мира разработки ПО. Они ничуть не мешают компаниям закрывать код (Amazon, закрывшие Xen Hypervisor, передают привет), но зато приводят к тому, что код и документация становятся некачественными и неподдерживаемыми, потому что, если документация будет понятной, а код - стабильным, никто не будет платить за "консалтинг", а программистам хочется кушать. Примерно так зарабатывает тот же Zabbix, хотя он ещё из лучших.
Если уж на то пошло, лицензии вроде MIT гораздо адекватнее. Разработчики, пишущие под ними, по крайней мере, не пытаются усидеть на двух стульях, одновременно монетизируя код "оказанием услуг по поддержке" и в то же время не закрывая его. Но вот беда, чтобы писать под MIT, нужны гранты, а добряков тоже не хватает, потому что добряк и дурак в данном случае - почти одно и то же :)
Ну и, повторюсь, реальные ноу-хау никто не открывает. Дураков нет. В лучшем случае GPL-ный софт представляет собой бесплатную платформу для платных плагинов, вот как matomo, например. Это ещё честно относительно иных способов монетизации.
Если вам термин "поверхность атаки" (attack surface) ни о чём не говорит, значит не такой уж вы и специалист.
А вот Palo Alto и Check Point считают, что я специалист. И экзамены сдал. И я как-то больше доверяю мнению ребят, выдавших мне свидетельства о сдаче, чем мнению анонима из Интернета.
А вы сдавали ли успешно какие-нибудь экзамены в области инфобеза?
Да хоть миллионом. Сколько-нибудь масштабными системами только из консоли и рулят.
Масштабными системами, да будет вам известно, рулят оркестраторами. Весьма и весьма гуёвыми, а также генерирующими скрипты настройки в зависимости от политик компании.
Через консоль тоже можно отлично увидеть общую картину, если уметь ей пользоваться.
Особенно в линуксе, в котором нельзя швырнуть вывод в конвейер | ft -autosize :)
А может вы и CentOS на сервере через X11 или Wayland настраиваете?
Для CentOS у меня есть Ansible, потому что CentOS выполняет изолированную роль. Вот я спавню 3 сервера, на них вкрячиваю репу, из репы ставлю постгрес, конфигурю репликацию - и оно пашет. И мне не нужно подниматься над этим, чтобы окинуть взглядом. Нет там 100500 отличающихся параметров.
А мы говорим о корпоративном роутере с сотнями сильно отличающихся политик. Которые нельзя "двумя командами" настроить. У меня конфиг маленького такого роутера весит семьсот килобайт. Семьсот килобайт текста, вводимого в консоль. Я его специально открыл в ворде: 623 тысячи знаков, 423 страницы А4 десятым шрифтом. Удачи вводить такое ручками.
Вы ССЗБ, если купили устройство с проприетарной прошивкой.
Ну вот вы уже и на хамство срываетесь.
Обосновать-то не затруднит? Два конкретных вопроса:
1. Почему я должен был предпочесть WRT-поделку роутеру от FortiGate с аппаратным ускорением SSL, инспекцией трафика, SSL-VPN, интеграцией с LDAP и кучей прочего всякого?
2. Есть ли в мире опенсурса хоть что-то, что может представлять конкуренцию этому самому FortiGate? Не обязательно WRT, вообще хоть что-то? Замечу, кстати, что FortiGate - это ещё не самое крутое, что есть на рынке.
Полностью выпилить веб-интерфейс по-любому безопаснее.
За счёт чего?
Если вы настройки сбросите
Зачем? Оно не глючит, мне не нужно сбрасывать настройки. Опять же, мы тут говорим о кластеризованном роутере, рулящем трафиком коммерческого проекта. Кто в здравом уме будет сбрасывать настройки такой железки?!
или ещё что-нибудь
Что именно? Вы говорите так, будто вы не контролируете ваши системы и у вас может происходить "что-нибудь".
а зачем место в прошивке занимать тем, что не нужно и никогда не используется?
FortiGate: сжатая прошивка ~70 Мб, установленный - около 1 Гб, диск 1 Тб. Mikrotik CHR: сжатая прошивка ~12 Мб, установленный - ~ 12 Мб, минимальный диск в облаке 1 Гб.
Мне не нужно экономить место. И вам, на самом деле, тоже, если, конечно, у вас не роутер с двумя мегабайтами флешки.
А может они просто реже становятся достоянием общественности и чаще вообще не попадают в базы данных, а продаются за деньги на непубличных ресурсах?
Допустим. Но если они продаются, должны быть эпидемии. А их не наблюдается. А вот опенсорсный мир дерут на части так, как драли Windows XP в первой пятилетке 2000-х до выхода SP2.
А почему нет?
Вы располагаете тучей свободного времени? Сколько лет вы будете делать review Linux Kernel? Уверены ли вы, что вам хватит скиллов и для этого тоже?
А более популярные программы проверят и без меня и если есть что-то очевидное, то скорее всего найдут
Ну да, ну да, вот как генератор случайных чисел в дебиане сразу нашли. И heartbleed, и log4j... правда, эпидемии откуда-то взялись. Не потому ли, что нашли уже после начала эпидемии? В closed source мире в последний раз подобное было году в 2008 примерно.
мне приходится доверять
This. Всегда всё сводится к доверию.
Только доверять тому, кто, в случае чего, будет должен вам неустойку, проще, чем тому, кто "кококо, не нравится - напиши своё".
И кстати, поинтересуйтесь стоимостью Support Contract у Red Hat. Оно дороже, чем у Microsoft, на минуточку. И лошки, поведшиеся на бесплатный сыр, покупают. Потому что когда у тебя уже 100500 серверов на центоси, а свои спецы зашиваются, ты начинаешь искать того, кто тебе поможет - и вот тут-то тебе ручки и выкрутят. "Да-да, у нас есть процедура преобразования центоси в рхел, а наш саппорт контракт стоит вот столько. Дорого? Ну, ведь менять операционку вам будет ещё дороже, гы-гы".
А ещё можете поинтересоваться задержкой патчей между RHEL и CentOS. Обычно она составляет 2-3 недели. То есть пока платники уже пропатчены, бесплатники ещё сидят с дыркой, и никакое "сообщество" им в этом помочь не может. Не платите? Будете уязвимы. Проприетарные конторы до подобного скотства не опускаются никогда, все бесплатные проприетарные community edition софты, известные мне, получают патчи одновременно с платными версиями. Взять хоть Veeam.
Держу пари, вы обо всём этом не знали :) давайте, попробуйте оправдать всё это. Ну или уличить меня во лжи.
при возникновении у вас сомнений, вы
...даже код запросить могу, почему нет. Я в рамках обучения и код Windows смотрел, например. Легально. Как, вы думаете, закрытый софт для использования в госорганах сертифицируется?
А если бы она была в проприетарщине, её бы скорее всего вообще никто и никогда не нашел.
Это спекуляция.
Интересы взломщиков - не ломать именно опенсорс или именно клоуздсорс. Интересы взломщиков - ломать то, за взлом чего можно получить бабла. Пока линукс и макос были никому не нужны, никто их и не ломал. Сейчас ботнеты из линукс-серверов - норма жизни, потому что слишком многие фанаты святого непорочного опенсорса уверились в его априорной непробиваемости, не понимая, что на самом деле просто были никому не нужны.
А вот постоянно ломаемые продукты вендорам приходилось улучшать. Закрывать дырки. Менять архитектуру. Защищаться. Вы много знаете Linux-софтов с edge-ролями или с референсным дизайном, предполагающим изолированный edge для публикации в Интернет? Я вот знаю. Но их мало. А в основном все ведут себя как разработчики FreeIPA: "ну, мы не думаем, что выставлять её http-задницей в инет так уж страшно, но вы делайте это на свой страх и риск, а наши полномочия тут всё". И ни рекомендаций по харденингу, ничего.
И именно потому я не буду им пользоваться.
Ваше право. Но вы делаете религиозный выбор, а не выбор на основании объективных фактов.
А кто будет — ССЗБ.
Ну и, разумеется, не можете не хамить, как делают все верующие, когда видят кого-то, кто не готов биться лбом в пол и возглашать славословия их идолу.
Вот вы можете гарантировать, что такой фигни нет, ну скажем, в MS BitLocker или любой другой проприетарной программе, связанной с безопасностью? И я не могу.
Как будто вы можете гарантировать, что такой фигни нет в опенсорсном софте. Что, можете?
BitLocker, если что, разрешён к защите данных на машинах американских и российских госслужащих. Также он используется в Google, IBM, Intel, а из наших - как минимум в Mail.ru. Полагаю, и те и другие спецслужбы, а также IT-гиганты провели некий code review, прежде чем внедрять его. Какая опенсорсная крипта полнодискового шифрования, известная вам, одобрена для того же? Я вот одну знаю, но она одобрена лишь в Штатах, и это решение, входящее в весьма платный RHEL...
Я всего лишь имею ввиду, что если вы пользуетесь проприетарщиной, то потом, когда наступят закономерные последствия, не удивляйтесь.
Хотите пример? Вот была такая «замечательная» операционная система Windows RT, которая предустанавливалась на многие планшетные компьютеры и ноутбуки. Многие из этих ноутбуков до сих пор вполне физически живы и работают, но только вот проблемка — эта операционная система давно уже не получает обновлений безопасности, а загрузчик залочен, то есть взять, поставить линукс (или вообще любую актуальную систему) и продолжить пользоваться устройством после окончания поддержки у вас уже не получится. Поставить программу из официального «магазина» — удачи. С Windows Phone та же история.
А вот на Chromebook примерно того же года выпуска вполне можно поставить последнюю версию ArchLinux с новым ядром из серии 5.x, в том числе с заменой загрузчика. Там он тоже заблокирован для безопасности, но для разблокировки достаточно выкрутить винтик, замыкающий два контакта на материнской плате по официальному гайду, а на поклон гуглу или ещё кому-то идти не надо. С дефолтным загрузчиком тоже работает, но приходится смотреть на экран где написано, что устройство находится в Developer Mode и типа не безопасно.
Да даже на какой-нибудь IBM PC AT можно поставить актуальную версию FreeDOS и пользоваться им. А этим компьютерам, на минуточку, уже больше 30 лет. Вот что открытая архитектура делает!
> Но вы делаете религиозный выбор, а не выбор на основании объективных фактов.
Вам были предоставлены вполне объективные логические аргументы. Если вы предпочли их не заметить...
> Сейчас ботнеты из линукс-серверов - норма жизни
Да? Именно из серверов, а не роутеров с проприетарной вендорской прошивкой на базе Linux? Из нормально настроеных серверов, а не выставленых голом SSH с простым паролем на дефолтном порту в интернет?
> Я в рамках обучения и код Windows смотрел, например. Легально.
Ну хорошо, предположим, я хочу посмотреть код генерации криптоключей в BitLocker. Где его скачать легально бесплатно без СМС без регистрации? Предположим, я простой пользователь, купил себе ноутбук с виндой и хочу свою домашнюю порнушку зашифровать, но вначале хочу лично посмотреть, какая там используется экспонента и так далее?
> И кстати, поинтересуйтесь стоимостью Support Contract у Red Hat. Оно дороже, чем у Microsoft, на минуточку.
Так логично, то что лучше, стоит дороже, разве нет?
> Потому что когда у тебя уже 100500 серверов на центоси
Кстати, а и правда. А почему у вас сервера именно на центоси? Разве нет множества других дистрибутивов без таких проблем?
> А вот опенсорсный мир дерут на части так, как драли Windows XP в первой пятилетке 2000-х до выхода SP2.
Да неужели? Хотите сказать, что если взять актуальную версию какого-нибудь популярного дистрибутива линукса, сделать базовые очевидные настройки, то есть как минимум отключить SSH, если не предполагается удалённый доступ, установить сложный пароль или авторизацию, если предполагается, настроить файервол, то будет какой-то реальный риск подцепить какую-то дрянь через флешку, побывавшую в чужом компьютере, однократный заход на какой-то веб-сайт или просто если дать компьтеру прямой доступ в инет и подождать?
Можете дать ссылки на какие-то источники? Неужели теперь линуксоиды больше не могут спать спокойно и должны ставить платные антивирусы, чтобы не словить лин-локер?
> Мне не нужно экономить место. И вам, на самом деле, тоже, если, конечно, у вас не роутер с двумя мегабайтами флешки.
Не, у меня с восемью. А на два мегабайта OpenWrt не встанет.
> У меня конфиг маленького такого роутера весит семьсот килобайт. Семьсот
килобайт текста, вводимого в консоль. Я его специально открыл в ворде:
623 тысячи знаков, 423 страницы А4 десятым шрифтом. Удачи вводить такое
ручками.
О каком конкретном конфигурационном файле речь? Почему вы уверены, что его нельзя автоматически сгенерировать или преобразовать из другого формата парой консольных команд?
Ну а если и правда нельзя, то вы в любом случае задолбаетесь вводить такое количество настроек, хоть в GUI, хоть в консоли.
Впрочем, то что вы не знаете о команде wc и открываете текстовые файлы в word только чтобы посчитать количество знаков, тоже говорит о вашей квалификации. А если вы ещё и редактируете конфиги в ворде... Но вы же этого не делаете, надеюсь? Я не хочу полностью терять веру в человечество.
Как выйти из vim, хотя бы, знаете?
> А вот Palo Alto и Check Point считают, что я специалист. И экзамены сдал.
А что такое поверхность атаки и почему её нужно нужно уменьшать не знаете и на экзаменах это не спрашивали?
> Любой образованный, а не "админ локалхоста".
Это как? То есть вы хотите сказать, что если человек не владеет настройкой сети в GNU/Linux — ifconfig, ip, iptables, wpa_supplicant, ethtool и тд, — то он образованный. А если владеет — то нет?
Я всего лишь имею ввиду, что если вы пользуетесь проприетарщиной, то потом, когда наступят закономерные последствия
От слепой веры в опенсорс тоже наступают закономерные последствия. Cloudmouse и Селектел в лице амарао-сан, большого фаната опенсорса, как бы подтверждают.
С Windows Phone та же история.
И вы хотите сказать, что, если бы виндофон был опенсорсным, он бы не умер?
Он умер не потому, что был закрыт, а потому, что опоздал с выходом на рынок лет на шесть.
Айфон закрыт, но ему это совершенно не мешает.
в том числе с заменой загрузчика. Там он тоже заблокирован для безопасности, но для разблокировки достаточно выкрутить винтик, замыкающий два контакта на материнской плате по официальному гайду
Вы хоть погуглите, для чего загрузчик блокируется, а то, кажется, в вашем представлении это делается исключительно от злобности проклятых проприетарщиков. Вы сейчас описываете совершенно кошмарный бэкдор, причём оставленный производителем, но преподносите его как достоинство. Вы серьёзно?!
Да? Именно из серверов, а не роутеров с проприетарной вендорской прошивкой на базе Linux?
Кстати, использовать собеседника вместо гугла - это невежливо.
Из нормально настроеных серверов, а не выставленых голом SSH с простым паролем на дефолтном порту в интернет?
Да. Потому что веб-серверы тоже обновлять надо, а не полагаться на святую опенсорсную неуязвимость httpd трёхлетней давности, как это делают многие линукс-"админы", привыкшие к амплуа неуловимого Джо.
Я как-то в облаке задеплоил седьмой центос 18-го года с публичным IP вручную. Он подхватил майнер за 15 минут, пока я наливал себе чай и ставил на него патчи. Но вы, разумеется, обвините меня во лжи, как уже делали?
Ну хорошо, предположим, я хочу посмотреть код генерации криптоключей в BitLocker. Где его скачать легально бесплатно без СМС без регистрации? Предположим, я простой пользователь, купил себе ноутбук с виндой и хочу свою домашнюю порнушку зашифровать, но вначале хочу лично посмотреть, какая там используется экспонента и так далее?
Если вы простой пользователь, вы вряд ли обладаете такими скиллами.
А если вы хотите смотреть код, вам нужно зарегистрироваться у майков. Можете как студент или как исследователь безопасности, или сдать экзамены, или получить MVP. Можно ещё сотрудником крупной компании-партнёра быть, или ГБ-шником. Дураков, повторюсь, нет, ноу-хау всему миру на халяву раскрывать. Так никто не делает.
Также, повторюсь, вам эти сведения отлично доступны в гугле, но я - не гугл.
Так логично, то что лучше, стоит дороже, разве нет?
Нет. Потому что Red Hat реализует то самое, что опенсорсники называют "вендор-лок" и в чём так любят обвинять проприетарщиков в полном соответствии с пословицей про горящую шапку вора. Кстати, забавно, что красная шляпа на русском - это почти что горящая шляпа :)
А почему у вас сервера именно на центоси? Разве нет множества других дистрибутивов без таких проблем?
У других дистрибутивов - другие проблемы, но опенсорсные ужимки и прыжки все одинаковые. Нельзя одновременно и деньги зарабатывать, и левацкую повесточку продвигать, и не лгать и не хитрить. Выбор покупателя, на самом деле - без выбора.
Rhel-based дистрибутивы - отраслевой стандарт, на них ориентируются все софтописатели, Red Hat - основной разработчик, а не просто кукаретик, делающий сборочки с нескучными обоями. Большинство государственных форков - rhel-based.
Мы свои серверы после смерти центоси переводим на OL8. Он лучше по скорости патчинга, но хуже по ряду других характеристик.
отключить SSH, если не предполагается удалённый доступ
А лучше из розетки выдернуть, тогда точно безопасно будет.
установить сложный пароль или авторизацию, если предполагается, настроить файервол, то будет какой-то реальный риск подцепить какую-то дрянь через флешку, побывавшую в чужом компьютере, однократный заход на какой-то веб-сайт или просто если дать компьтеру прямой доступ в инет и подождать?
Ну блин, ну мы с вами уже выше heartbleed и log4j обсуждали. Да, на текущий момент они уже закрыты. Но открытий чудных за последние пять лет был целый мешок, и ещё мешок ждёт впереди.
Вы купили роутер с восемью метрами ПЗУ, вынуждающий вас выпиливать из прошивки компоненты, но буратина - я.
Без комментариев.
О каком конкретном конфигурационном файле речь?
О конфиге FortiGate. Его консоль не предполагает доступа к файловой системе, так что я говорю о его бэкапе, слитом на машину.
Почему вы уверены, что его нельзя автоматически сгенерировать
Можно, конечно. А на основании каких исходных данных?
или преобразовать из другого формата парой консольных команд?
И это можно. А кто создал первоначальный файл другого формата?
Ну а если и правда нельзя, то вы в любом случае задолбаетесь вводить такое количество настроек, хоть в GUI, хоть в консоли.
В гуи быстрее и нагляднее. Гуи предполагает копипаст правил, фильтры и наглядность. Вы просто его не видели.
Впрочем, то что вы не знаете о команде wc и открываете текстовые файлы в word только чтобы посчитать количество знаков
Вы точно читали написанное мной? Я хотел показать вам относительный объём текста. В страницах. wc помог бы мне в этом?
А если вы ещё и редактируете конфиги в ворде...
Разумеется. А в Visual Studio Code пишу деловые письма. Мы, проклятые проприетарщики, всё делаем наоборот.
Как выйти из vim, хотя бы, знаете?
Позволю себе похамить в ответ.
Я выхожу при помощи :wq но вам советую использовать :q!
А что ещё вы умеете делать в vim, кроме как выходить из него? :)
А что такое поверхность атаки и почему её нужно нужно уменьшать не знаете и на экзаменах это не спрашивали?
Если, по-вашему, её можно уменьшить только выпиливанием части функционала, у меня для вас плохие новости.
Впрочем, вы там выше и ssh выпилить предлагаете... Повторюсь, вы уж тогда сразу машину из розетки выдёргивайте, тогда точно не сломают.
Это как? То есть вы хотите сказать, что если человек не владеет настройкой сети в GNU/Linux — ifconfig, ip, iptables, wpa_supplicant, ethtool и тд, — то он образованный. А если владеет — то нет?
Я хочу сказать, что сетевых инженеров этому не учат, а человек, владеющий этим, сетевым инженером вовсе не обязательно является. Linux - ОС прикладного применения, а не ПО для коммутаторов и маршрутизаторов.
Ну прекращайте уже позориться, что ли. Циску объявлять "нестандартом" в мире сетей - ниже этого падать некуда, право слово. Ну не знаете чего-то, но есть же гугл. Можно же выяснить:
- как выглядит Cisco CLI и почему;
- что такое NGFW, к которым относится FortiGate, и какой функционал он имеет;
- как считается TCO, из чего он складывается, и почему бизнесы так часто ориентируются на CAPEX, а не TCO. Заодно и причину популярности облаков осознаете.
> Я хочу сказать, что сетевых инженеров этому не учат
Если "сетевой инженер" не может просто подключиться к инету из командной строки линукса или BSD — то какой же он инженер, извините?
> а человек, владеющий этим, сетевым инженером вовсе не обязательно является.
Естественно, это просто входит в базовую компьютерную грамотность.
Так вот и скажите, какой роутер лучше, который сможет осилить любой обычный пользователь линукса кроме совсем уж чайников, или такой, для которого нужно быть "сетевым инженером" и к тому же основанный на проприетарщине при равных возможностях?
> Впрочем, вы там выше и ssh выпилить предлагаете...
Вы что-то путаете. Я предлагаю оставить только SSH с авторизацией по ключу или как минимум с сильным паролем и нестандартным портом, а веб-интерфейс, telnet и тд полностью убрать.
> Я хотел показать вам относительный объём текста. В страницах.
Мне ваши страницы десятым шрифтом ни о чём не говорят. Шрифт может быть разный, количество текста на страницу зависит от междустрочного интервала, полей и тд. А вот wc показывает количество текста в строках, словах и символах — то есть более объективную картину.
> В гуи быстрее и нагляднее. Гуи предполагает копипаст правил, фильтры и наглядность
Ну то есть grep уже отменили в консоли? А копипаст там и не нужен, можно сгенерировать автоматически правила, отличающиеся одним элементом. Просто нужно хотя бы базовое понимание командной строки
> Его консоль не предполагает доступа к файловой системе
И после этого вы удивляетесь, что это мне эта ваша "консоль" не нравится.
> Вы купили роутер с восемью метрами ПЗУ, вынуждающий вас выпиливать из прошивки компоненты
Не вынуждающий. 8 мегабайтов вполне хватает и на веб-интерфейс. Я его выпилил совершенно осознанно, кроме того поменяв настройки компиляции busybox чтобы включить в его состав нужные мне утилиты командной строки, которые по умолчанию выключены.
> Ну блин, ну мы с вами уже выше heartbleed и log4j обсуждали. Да, на текущий момент они уже закрыты.
И почему вы это сравниваете с Windows XP? На клиентской машине эти уязвимости вообще ни на что не повлияют и оперативно патчатся.
> Rhel-based дистрибутивы - отраслевой стандарт, на них ориентируются все софтописатели
Нормальный софт на любом дистрибуте работает неплохо. Ну вот почему бы вам не взять например Debian GNU/Linux? Мне он правда лично не очень понравился, но всё-таки, почему нет, например, если конкретно?
> Потому что Red Hat реализует то самое, что опенсорсники называют "вендор-лок"
Да ладно? Вот у меня почему-то работает весь нужный мне софт, хотя у меня и не RH и даже не rpm-семейство. Что вам мешало изначально ставить не CentOS, а любой дистрибутив, не связанный с крупными корпорациями?
> А если вы хотите смотреть код, вам нужно зарегистрироваться у майков.
А я считаю, что если они предлагают серьёзно воспринимать их "продукт" предназначенный для шифрования, они должны каждому пользователю предоставить возможность лично убедиться в отсутствии бекдоров без всяких регистраций. А если они этого не делают — то адью, возьму LUKS
То есть слабые пароли или проприетарная кривая поделка от оракула.
> Вы хоть погуглите, для чего загрузчик блокируется, а то, кажется, в вашем представлении это делается исключительно от злобности проклятых проприетарщиков.
Ну как же, чтобы пользователь DRM-ключи не мог слить, загрузившись из другой ОС. Ещё якобы для защиты данных пользователя от воров. Но для этого гораздо лучше подходит обычная шифрованная файловая система.
> И вы хотите сказать, что, если бы виндофон был опенсорсным, он бы не умер?
Нет, я хочу сказать, что миллионы вполне физически живых устройств по желанию левой пятки микрософта превратились считай в кирпичи — софт толком не поставишь, прошивку не сменишь и тд.
> А что ещё вы умеете делать в vim, кроме как выходить из него? :)
Не совсем Vim. а busybox Vi, но я его использую чтобы конфиги на OpenWrt править. Хотел было ещё nano добавить в прошивку, но передумал.
Если "сетевой инженер" не может просто подключиться к инету из командной строки линукса или BSD — то какой же он инженер, извините?
Сетевой.
Это уже не смешно. Ну серьёзно, погуглите, чем занимаются сетевые инженеры. Их знание ОС общего назначения может быть на уровне обычного юзера и нередко таким и бывает.
Естественно, это просто входит в базовую компьютерную грамотность.
С вашей точки зрения. Или вы готовы показать мне некий единый всемирный стандарт "базовой компьютерной грамотности", в который будут входить сетевые CLI-утилиты линукса?
Так вот и скажите, какой роутер лучше, который сможет осилить любой обычный пользователь линукса кроме совсем уж чайников, или такой, для которого нужно быть "сетевым инженером"
Лучше для кого?
Для корпорации? Для линуксоида домой? Для тёти Маши, которой всего лишь нужен инет?
и к тому же основанный на проприетарщине при равных возможностях?
А они равны и вы готовы это продемонстрировать и доказать?
Я предлагаю оставить только SSH с авторизацией по ключу или как минимум с сильным паролем
Вас это убережёт от уязвимостей в sshd?
и нестандартным портом
Вы мне про attack surface что-то пытаетесь задвигать, а сами security through obscurity предлагаете. А что, nmap запретили уже? Думаете, не найдут ваш порт?
Шрифт может быть разный
Размер шрифта я тоже указал. Вы не знаете, в чём он измеряется?
Десятый шрифт - он всегда десятый, хоть Arial, хоть Comic Sans.
Ну то есть grep уже отменили в консоли?
Дано: правила вида "группа интерфейсов исходящая, группа IP-сетей исходящая, группа сетей получающая, группа IP-сетей получающая, группа сервисов получающая, действие, тип логирования". Группа - это список из любого количества элементов от 1 до бесконечности. Ну то есть правило может быть нечто типа:
edit 489 set name "SSL VPN Production Servicename" set srcintf "ssl.root" set dstintf "Interface Name" set srcaddr "FortiClient IP range" set dstaddr "servicename.domain.local","servicename2.domain2.local"
set action accept set schedule "always" set service "Servicename","Servicename2","Servicename3" set utm-status enable set ssl-ssh-profile "certificate-inspection" set av-profile "default" set ips-sensor "VPN IPS High Security" set groups "VPN Production Servicename Users" next
Найти: возможность погрепать из такого вот все правила с определённым srcinf и service и av-profile.
Кстати, ужаснитесь: тут VPN через HTTPS сервер работает. Вот лошки-то разработчики, какую дырку-то оставили, а. Они, наверное, и не знали про туннелирование через святой потрясающий невзламываемый ssh...
Можно сгенерировать автоматически правила, отличающиеся одним элементом.
Нет, не одним. Нет там связи между правилами. Мы про сетевые ACL говорим.
И после этого вы удивляетесь, что это мне эта ваша "консоль" не нравится.
"Не читал, но осуждаю". Типичная позиция верующего.
Не вынуждающий. 8 мегабайтов вполне хватает и на веб-интерфейс.
Да-да, а 640 килобайт хватит вообще всем.
Зажимать количество памяти в считанные мегабайты в 2020-х годах - позор, который не продиктован никакими разумными экономическими ограничениями.
Нормальный софт на любом дистрибуте работает неплохо.
Нет "нормального софта", есть желаемый бизнесом. Хочет бизнес Arenadata - и вынужден я ставить не просто rhel-based, а ещё и седьмой, а не восьмой, потому что для восьмого не завезли.
Вы просто мыслите как админ локалхоста. А я вынужден мыслить как инженер, управляющий сотнями машин и обслуживающий хотелки бизнеса, а не свои лично.
Ну вот почему бы вам не взять например Debian GNU/Linux? Мне он правда лично не очень понравился, но всё-таки, почему нет, например, если конкретно?
Ну вот нет Arenadata под deb-дистры. Ни под дебиан, ни под каноникаловые выкидыши. И что мне боссам сказать? "Ваш софт говно, не внедряйте его"?
Вот у меня почему-то работает весь нужный мне софт
Вы не бизнес.
Что вам мешало изначально ставить не CentOS, а любой дистрибутив, не связанный с крупными корпорациями?
Вы вообще предыдущие сообщения читали?
Нет никакого свободного выбора дистрибутива, если ты не Amazon, Facebook или Oracle. Если ты обычный бизнес, то околоопенсорсные дистрибутивы подразделяются на:
1. 100% Community без поддержки, как Debian;
2. Вендорские, без поддержки, но с возможностью оформить поддержку, какой была CentOS;
3. Вендорские на поддержке, как RHEL.
Маленькие бизнесы обычно выбирают пункт 2. Крупные - 3. И только гигантские берут 1, форкают и делают своё. И то ещё вопрос, что форкать: VMware, например, для базовой ОС своего гипервизора предпочла форкнуть RHEL-based дистри, потому что качество кода у тех, кто ориентирован на бизнес, всегда выше, чем качество кода кукаретиков "не нравится - напиши своё".
А если они этого не делают — то адью, возьму LUKS
Так какие проблемы. Берите LUKS вместо шифрования, лечитесь гомеопатией вместо антибиотиков, вкладывайтесь в биткоины вместо недвижимости, жертвуйте на церковь. Кто же против-то. У нас свобода воли и вероисповедания. Веруете в святой потрясающий опенсорс - веруйте. Только не пытайтесь представить ситуацию так, будто ваша вера имеет какое-то отношение к реальному миру и будто ваш господь этот мир контролирует.
То есть слабые пароли или проприетарная кривая поделка от оракула.
Погуглите, как работает уязвимость log4j, я её тут упоминал уже кучу раз, и попробуйте свалить вину на "кивой попиетаный оакл" в её случае.
Ну как же, чтобы пользователь DRM-ключи не мог слить, загрузившись из другой ОС. Ещё якобы для защиты данных пользователя от воров.
Итак, человек, с важным видом вещающий про attack surface, оказывается, не в курсе про цепочку доверия загрузки и верует в то, что Trusted Boot нужна для функционирования DRM.
Вы, случаем, в то, что вакцинами чипируют, не веруете заодно, извините?
Вы бы из своего глаза брёвнышко-то достали, например. А то уже в области сетей безграмотность обнаружили, в области экономики тоже, и в области криптографии вот облажались... ну, зато вы хорошо знаете vi. По вашим словам. Ну и вера ваша крепка, этого тоже не отнять.
Хотел было ещё nano добавить в прошивку, но передумал.
И действительно. Ведь nano слишком удобный. Вдруг глаза краснеть перестанут. Опять же, nano понтоваться сложно, а вот vi - это высокий понт админа локалхоста. Кто vi не знает, тот вообще не IT-специалист, будь он CCIE, MVP и MASE в одном флаконе, правда? :)
> Их знание ОС общего назначения может быть на уровне обычного юзера и нередко таким и бывает.
Так знание элементарных команд для сетевых настроек линукса (ну или windows: ping, tracert, ipconfig) — это и есть уровень обычного юзера, то есть не совсем уж чайника.
> "базовой компьютерной грамотности"
Ну извините, если человек не может сеть у себя на компьютере поднять, о какой компьютерной грамотности может идти речь? Это же не rocket science.
> Лучше для кого?
Да хоть для кого
> Вас это убережёт от уязвимостей в sshd?
Ну вот на этом сайте, pikabu.ru, есть sshd на стандартном порте. Если вы считаете, что можно так запросто найти в нём уязвимость, так почему же сервер ещё не поимели?
> А что, nmap запретили уже? Думаете, не найдут ваш порт?
А что, сетевые черви уже перебирают все 65536 портов на каждом хосте?
> Десятый шрифт - он всегда десятый, хоть Arial, хоть Comic Sans.
И что, количество страниц в большом документе прям совсем не меняется при смене гарнитуры шрифта?
> Найти: возможность погрепать из такого вот все правила с определённым srcinf и service и av-profile.
Поищите в интернете multiline grep
> "Не читал, но осуждаю". Типичная позиция верующего.
Объясните, зачем нужна убогая консоль где даже доступа к файловой систем нет, если можно поставить OpenWrt и получить роутер с консолью, имеющей почти все возможности консоли настольного линукса?
> Зажимать количество памяти в считанные мегабайты в 2020-х годах - позор, который не продиктован никакими разумными экономическими ограничениями.
Ну то есть, чем NOR-флеш отличается от NAND вы не в курсе?
> Хочет бизнес Arenadata - и вынужден я ставить не просто rhel-based, а ещё и седьмой, а не восьмой, потому что для восьмого не завезли.
Эта штука вроде с открытыми исходниками, судя по беглому поиску. Кто вам запрещает её собрать под любой дистрибутив?
> Маленькие бизнесы обычно выбирают пункт 2. Крупные - 3. И только гигантские берут 1,
Ну то есть pikabu.ru — гиганский бизнес. Понятно с вами всё.
> кукаретиков
Ну вот вы незнакомых вам лично людей, не сделавших ничего плохого как обзываете, а безобидное сравнение с Буратино, который тоже поверил тем, кому верить не следовало, прям как любители проприетарщины, почему-то агритесь.
> Берите LUKS вместо шифрования, лечитесь гомеопатией вместо антибиотиков
Ну то есть, если я возьму текстовый файл, закину в том LUKS и вам скину, вы без проблем из него достанете содержимое за приемлемое время? Или к чему вообще этот коммент был?
> оказывается, не в курсе про цепочку доверия загрузки и верует в то, что Trusted Boot нужна для функционирования DRM.
Вот про это я как раз в курсе. Secure Boot / Trusted Boot / TrustZone / whatever — это двоякое средство. Если ключи у владельца машины — то это средство безопасности, полезное в ограниченном множестве ситуаций. Если ключи у фирмы-производителя, а пользователь их на свои поменять не может — это цифровые кандалы.
> Кто vi не знает, тот вообще не IT-специалист, будь он CCIE, MVP и MASE в одном флаконе, правда?
Ответы на экзаменационные вопросы можно задрочить без понимания, но если человек умеет решать только экзаменационные задачи, а на практике даже роутер простейший у себя дома не настроит — вы сами такого человека IT-специалистом будете считать?
Так вот и скажите, какой роутер лучше, который сможет осилить любой обычный пользователь линукса кроме совсем уж чайников, или такой, для которого нужно быть "сетевым инженером"
Я:
Лучше для кого?
Для корпорации? Для линуксоида домой? Для тёти Маши, которой всего лишь нужен инет?
Вы:
Да хоть для кого
С таким уровнем вашей подготовки и таким уровнем вашего фанатизма, я не вижу никакого смысла продолжать разговор.
Удачи вам объяснить потенциальному работодателю, какой он лошара, что накупил цисок, жуниперов и прочих чекпоинтов, и как прекрасно у него станет, когда вы внедрите у него святой потрясающий OpenWRT.
Ваша реплика "да хоть для кого" всерьёз подразумевает, что роутер с Linux CLI может подойти более чем к одному варианту из перечисленных мной. Если это не фанатизм, то это либо полнейшая некомпетентность, либо сарказм столь тонкий, что без специальной картинки не опознаётся.
Ну да, есть такое. Но я и не говорил, что открытому коду можно безговорочно доверять. Напротив, я хотел сказать что закрытому коду безоговорочно нельзя доверять.
Заметьте, эту штуку в итоге всё-таки обнаружили и даже статью написали. А если бы она была в проприетарщине, её бы скорее всего вообще никто и никогда не нашел. Вот вы можете гарантировать, что такой фигни нет, ну скажем, в MS BitLocker или любой другой проприетарной программе, связанной с безопасностью? И я не могу. И именно потому я не буду им пользоваться. А кто будет — ССЗБ.
Одноплатный компьютер raspberry pi 4, под управлением debian/raspbian. Его очень часто (практически всегда) используют в качестве серверов умного дома и прочих решений, особенно в качестве сервера умного дома home assistant
Да я спросить хотел прост, карты памяти не горят?) А то я уже две Samsung evo plus похоронил, не живут долго в теплом корпусе) Поставил кулер от корпуса пк и запитал от 5 вольт, чтоб не шумел, а карточку взял напробу "Kingston canvas go". Так вот второй год карта памяти живёт. Вот я не понимаю, реально чтоль температура так серьезно их ресурс сокращает?) Или память от samsung уже не торт?)
Я когда взял малину, первый раз поставил какую-то левую карточку, в шкафу нашел)) она пару месяцев продержалась и все потом как начал разбиратсья в HA и всем прочем, заказал с Алика ноунейм карту, она +- полгода продержалась. Потом тоже взял Кингстон и корпус как на первоц картинке- около 1.5 лет беспрерывной работы (тьфу тьфу) а вообще сейчас хочу взять корпус Argon Neo - там ssd и кулер, карта только для запуска нужна, если интересно могу скинуть гайд по переходу
Сокращает цикл температура и количество циклов перезаписи, причем Самсунг мог быть левым, видел недавно где-то статью, там писали что в крупных сетевых магазах нашли партию левых хардов, а что тут уже говорить про маленькие карты памяти)) p.s. к прошлому комменту фотка не прикрепилась. Вот такой корпус сейчас и вот график температуры за сутки (малина сама в шкафу лежит) это с условием того, что там помимо ha стоит plex который постоянно смотрим и торрентокачалка
Именно такой корпус и есть) Но малина висит под потолком, без кулера корпус был горечеват немного, где-то градусов 60 Наверное действительно партия неудачная, на самом деле, хоть и куплена "в крупном сетевом магазине")
в HA слишком много операции записи, умирают карты быстро именно от этого. У меня сейчас на usb флешке (вообще без sd), прошлая продержалась год. Сначала думал или подцепить hdd для логов и истории или искать как сделать ram диск на малине, но при восстановлении эти разделы сломались (не стал восстанавливать, все равно не пользуюсь)
0
DELETED
а обновления? или нехай дырявый как дуршлаг будет?
Боже, чел. Позавчера случай был. Звонят - у нас комп не врубается, помоги пожалуйста, мы тут втроем стоим, уже и удлинитель проверили, и монитор вроде светится, комп работает. Я вот честное слово думал что такое только в байках с баша бывает, но тут это случилось со мной. Они включили провод чайника вместо провода самого компа. Розетки все заняты? Значит все включено и должно работать.
думаю, скорее так: "ясно же, что не в перезагрузке дело, что за тупой админ.. скажу, что перезагружал, чтобы время не тратить, а он пусть реальную причину ищет"
Роутер перезагрузить. Когда тебе звонит в день по двадцать человек, клятвенно уверяющих тебя, что "да мы в день по сто раз перегружаем ваш ебаный роутер!" - а у тебя на конфиге коммутатора аптайм порта 448 дней, тут закрадываются некоторые сомнения.
Справедливости ради нужно сказать, что иногда наши монтажники играли в "Форт Баярд" ака "поменяй местами порты, потому что один задолжник уже полгода"
на некоторых роутерах аптайм отображается криво и после синхронизации времени может уезжать. Бывает ребутнёшь, смотришь, а он после синхронизации времени показывает аптайм 2 месяца.
Из опыта работы в ТП провайдера могу сказать, что чаще всего вместо перезагрузки ( т.е. отключения сетевого кабеля ) жмут просто первую попавшуюся кнопку на корпусе ( тут чаще всего это WPS, но особо умные и где это возможно жмут Reset ). Нас учили объяснять клиентам что роутер нужно перезагружать по питанию, т.е. отключить сетевой кабель, убедиться что индикаторы на роутере погасли и включать обратно ( в таком случае вероятность того что роутер перезагрузили верно будет 90%+ ).
Ну для тех кто переспрашивал был вариант "выдернуть вилку из розетки" и тоже самое, убедиться что "лампочки на вот этой коробочке погасли". Найти подход к любому клиенту можно, лишь бы у него желание было этим заниматься.
Самое забавное то, что попросил выключить его именно по питанию ) Более того после отключения подождпть секунд 10 и только потом включать. Наверное надо было все же запытать что же именно человек сделал для личного образования.
1
DELETED
я попросил ребутнуть принтер. Они передернули USB кабель.
1
DELETED
Люди, которые не специалисты, не понимают значения слова "перезагрузить". Или понимают неправильно. Они могут выдернуть провод из роутера, а потом снова подключить. А то, что это ethernet, а не питание, им непонятно.
Объяснять нужно получше. Выключите вилку из розетки, подождите две минуты, включите вилку, подождите две минуты.
Для этого пришлось бы объяснять побуквенно какую программу скачать, куда ему посмотреть, что продиктовать. Сотрудники, удаленка, все домашние гемморои сотрудников разруливать нам. А когда я знаю что это ростелеком с ростелекомовским роутером. - решение одно, сначала перегруз, уже потом другие версии.
Для этого пришлось бы объяснять побуквенно какую программу скачать, куда ему посмотреть, что продиктовать. Сотрудники, удаленка, все домашние гемморои сотрудников разруливать нам. А когда я знаю что это ростелеком с ростелекомовским роутером. - решение одно, сначала перегруз, уже потом другие версии.
а т.к. пользователь не с мог, то пришлось проводить эту операцию.
