Перейти к содержанию

Мир без рэдмонских окон Посты

Juniper SRX и Cisco ASA: серия очередная

Первый раз строить IPSec между Juniper SRX и Cisco ASA мне довелось ещё в далёком 2014 году. Уже тогда это было весьма болезненно, потому что проблем было много (обычно — разваливающийся при регенерации туннель), диагностировать было сложно (ASA стояла у нашего заказчика, поэтому возможности для дебага были ограничены), но как-то это работало.

С той поры и рекомендованный JunOS для SRX обновился на 15.1 (для линейки SRX300, по крайней мере), и ASA научилась в route based IPSec (c версии софта 9.8), что несколько упрощает настройку. И вот на текущей работе не так давно представился шанс снова собрать такую схему. И снова неудачно — при регенерации туннель благополучно падал (и не всегда поднимался без ручного рестарта). И снова в логах тишина и непонятки, а т.к. ASA находилась у нашего партнёра, то и дебажить, соответственно, не было никакой возможности.И вот теперь представился случай собрать схему, при которой обе стороны (и SRX, и ASA) находятся под нашим управлением, соответственно, поиграться можно на славу.

Оставьте комментарий

Настройка Postfix через Yandex relay

Сейчас, во времена новомодных devops-инструментов, отправки сообщений в Slack или Telegram одной строчкой в скрипте и так далее, электронная почта кажется ненужным атавизмом.
И всё-таки возникают случаи, когда с linux-машины нужно отправить сообщение. И, желательно, через какой-нибудь доверенный relay типа Google или Yandex.
Почему? Потому что иначе отправленное вами письмо или попадёт в спам, или вовсе не дойдёт до адресата.
Не буду останавливаться на настройке DKIM/SPF — тут всё, во-первых, будет зависеть от того, используете ли вы ПДД (почта для домена), а во-вторых, если вы знаете, что это такое и зачем нужно, то разберётесь и без меня (ну или погуглите ;))

Итак, рассмотрим простую ситуацию. У нас есть аккаунт в Yandex (у меня это Yandex.PDD). Мы хотим отправлять почту с linux-машины (ubuntu 18.04) через SMTP Relay с авторизацией.
Делать мы это будем при помощи postfix.

Оставьте комментарий

Репликация PostgreSQL

Как-то одна из моих знакомых админов спрашивала за репликацию PostgreSQL 9.4. Вопрос, в общем-то, несложный, но существующие howto и официальные мануалы показались мне не до конца понятными и прозрачными, и я решил написать свой, по-настоящему универсальный стандарт выложить в блог материал из нашей внутренней вики, благо PostgreSQL у нас используется давно и успешно.
За предоставленный материал спасибо Андрею =)

Что мы рассмотрим?

  • настройка доступов
  • репликация
  • резервные копии и восстановление

А теперь обо всём этом подробнее под катом

3 комментария

Мониторинг с помощью RPM probe в Juniper

Многие знают, что в Cisco есть такая удобная штука, как IP SLA. Она позволяет прямо с устройства запускать различные тесты (icmp, tcp, udp), и на основании их совершать какие-то действия — например, переключать роуты.
Как использовать IP SLA для переключения каналов на роутере, можно почитать на замечательном сайте LinkMeUp (кстати, рекомендую весь цикл «Сети для самых маленьких», узнаете много нового).

Ну а мы будем настраивать аналог IP SLA в Juniper, и называется он RPM (Realtime Perfomance Monitoring)

1 Комментарий

Juniper SRX и Libreswan (и ещё StrongSwan)

Тема ipsec в этом блоге поднимается часто, особенно в последнее время. Это и неудивительно — мне по работе частенько приходится объединять разные роутеры и виртуалки через IPSec (например, Mikrotik и libreswan, Mikrotik и Juniper, или Juniper и Cisco).

А теперь мы попробуем ещё одну связку — Juniper SRX и linux-виртуалку. В качестве ipsec-демона будем использовать Libreswan и Strongswan (кому что больше нравится).

Итак, поехали!

3 комментария

Mikrotik и ansible: устанавливаем сертификаты

У Mikrotik, как и у каждого уважающего себя вендора, есть API для работы со своими продуктами. Cтоит признать, этот API даже весьма рабочий.
Я, в своё время, успел поработать с perl и python реализациями этого API, но процессе написания статей из цикла «Hotspot для самых маленьких» появилось стойкое убеждение, что, в большинстве случаев, это всё то же забивание консольной команды и получение результата в какой-нибудь удобоваримой форме (хотя и есть, вроде, ООП-реализации, но и они далеки от идеала). Плюс само API несёт некоторые ограничения (например, нельзя с его помощью вызывать команды встроенного интерпретатора RouterOS).

Однако же, далеко не всегда нужно использовать API. Например, если нужно просто выполнить определённую последовательность действий (пусть и параметризованную), гораздо быстрее, удобнее и надёжнее использовать ansbile (как я уже показал в прошлой статье).

А тут как раз подвернулась задачка — нужно раз в три месяца обновлять сертификаты на нашем микротике, которые мы получаем от let’s encrypt.
Хотите узнать, как? Прошу под кат ;)

2 комментария

Mikrotik для небольшого офиса

Вводная: небольшой офис. В наличии имеется один канал от провайдера (впрочем, их может быть два), проводная сеть, служебный и гостевой WiFi.
При этом к проводной сети подключены сервера (ну и админ, конечно ;)), а сотрудники сидят через служебный WiFi. Для гостей (и личных устройств сотрудников) есть гостевой WiFi (может быть, даже с hotspot) c обычной PSK-аутентификацией или без неё.
Чтобы было ещё веселее — добавим DMZ с почтовым сервером (как его настроить, можно почтитать, например, тут). По организации DMZ есть много толковых мануалов, так что заострять на этом внимания не буду — для простоты, почтовый сервер будет жить в одной сети со всеми остальными.

В этой статье я намеренно не буду пытаться охватить все аспекты существования офисного роутера (например, обеспечение резервирования или удалённого доступа сотрудников) — вы без труда найдёте на этом сайте нужную информацию воспользовавшись поиском или облаком тэгов.
netdiag2
Мы же остановимся именно на разграничении трафика между тремя сетями — для каждой будет отдельное адресное пространство, интерфейсы и правила фаервола.
Хорошей идеей было бы ограничить гостевую сеть с помощью очередей (queues), но это оставим для следующей статьи.
Приступим?

1 Комментарий

Yet another debootstrap manual

Казалось бы мануалов по debootstrap чуть более, чем достаточно, зачем нужен ещё один?
Для себя я скажу, что некоторые вещи показались мне неоднозначными, кое-какие «умолчания» пришлось додумывать самому. Поэтому и родилась идея сделать шпаргалку «на будущее», авось ещё кому пригодится.

Оставьте комментарий

Виртуальная лаба в домашних условиях. Часть 2: apache и немного ansible

Продолжаем поднимать домашнюю лабу с преферансом и курсистками. В прошлой серии мы поговорили про сеть (с которой всё начинается), теперь же мы поговорим про вещи более практичные — доступ к виртуалкам извне с помощью reverse proxy, организацию ssl-подключения при помощи бесплатных сертификатов от Let’s Encrypt и немного посмотрим на плейбуки ansible, с помощью которых удобно раскатывать новые машины и готовить их к работе.

Оставьте комментарий