IT it's FUN

SSH tunnel

Wed, 13 May 2026 00:00:00 +0000

Туннель из подручных средств, только ssh и немного iptables

На сервере

# vim /etc/ssh/sshd_config
PermitTunnel yes

systemctl restart ssh

# проверь что модуль tun загружен
modprobe tun
lsmod | grep tun

На клиенте, всё делаем от root

# подключение
ssh -w 0:0 root@1.2.3.4
# создаст `tun0` на клиенте и `tun0` на сервере

На сервере

# nat, forwarding
iptables -t nat -A POSTROUTING -s 10.0.0.0/30 -o eth0 -j MASQUERADE
iptables -A FORWARD -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -j ACCEPT

sysctl -w net.ipv4.ip_forward=1

ip addr add 10.0.0.2/30 peer 10.0.0.1 dev tun0
ip link set tun0 up

На клиенте

Я знаю что ты делал в Sudo

Wed, 21 Jan 2026 00:00:00 +0000

В sudo есть замечательная фича - логирование ввода/вывода всего, что делает пользователь.

Включаем логирование LOG_INPUT:LOG_OUTPUT

# /etc/sudoers.d/ansible
ansible ALL=(ALL) NOPASSWD:LOG_INPUT:LOG_OUTPUT: /bin/sh -c echo\ BECOME-SUCCESS-[a-z]*\ ;\ /usr/bin/python3

Теперь всё что делает пользователь через sudo логируется. По дефолту логи пишутся в /var/log/sudo-io, но можно и поменять

# /etc/sudoers
Defaults log_output
Defaults iolog_dir=/var/log/sudo-io

Просмотр сессии

# вывести все сессии
sudoreplay -l user ansible

Jan 21 05:03:23 2026 : ansible : HOST=qadro-1 ; CWD=/home/ansible ; USER=root ; TSID=00/01/5W ; COMMAND=/bin/sh -c echo BECOME-SUCCESS-pvbadwlaiykgkvamphxervazgnbfypji ; /usr/bin/python3
Jan 21 05:03:23 2026 : ansible : HOST=qadro-1 ; CWD=/home/ansible ; USER=root ; TSID=00/01/5X ; COMMAND=/bin/sh -c echo BECOME-SUCCESS-ctkhcyneyuapwotnsmdcmaolyrkebjai ; /usr/bin/python3


# вывести сессию 00/01/5X
sudoreplay 00/01/5X
...

# или посмотреть в нужный файл
# ll /var/log/sudo-io/00/01/5X
total 164K
drwx------ 2 root root 4.0K Jan 21 05:03 ./
drwx------ 218 root root 4.0K Jan 21 05:03 ../
-rw------- 1 root root 136 Jan 21 05:03 log
-rw------- 1 root root 915 Jan 21 05:03 log.json
-rw------- 1 root root 25 Jan 21 05:03 stderr
-rw------- 1 root root 128K Jan 21 05:03 stdin
-rw------- 1 root root 382 Jan 21 05:03 stdout
-r-------- 1 root root 94 Jan 21 05:03 timing
-rw------- 1 root root 25 Jan 21 05:03 ttyin
-rw------- 1 root root 25 Jan 21 05:03 ttyout

Ansible плох

Tue, 20 Jan 2026 00:00:00 +0000

Да он проще, низкий порог входа, отраслевой стандарт и всё такое. Но вот обратная сторона:

Простой и многословный, некоторые вещи можно было бы реализовать удобнее. Например, копируешь файл - если нет каталога, то создай его(в saltstack есть опция makedirs: True/False)
Позволяет быстро, абсолютно не зная ansible, написать что угодно с помощью ИИ. Для разовой истории это допустимо, но в случае, когда вся инфраструктура описана как код (IaC) это путь к хаосу.

Falco - замена auditd. Интеграция с wazuh

Tue, 20 Jan 2026 00:00:00 +0000

Это современная альтернатива auditd, перехватывает системные запросы ядра

https://wazuh.com/blog/cloud-native-security-with-wazuh-and-falco/ https://falco.org/docs/getting-started/falco-linux-quickstart/

Установка falco на серверах с wazuh-agent Ссылка на заголовок

# настраиваем репу
curl -fsSL https://falco.org/repo/falcosecurity-packages.asc | gpg --dearmor -o /usr/share/keyrings/falco-archive-keyring.gpg
echo "deb [signed-by=/usr/share/keyrings/falco-archive-keyring.gpg] https://download.falco.org/packages/deb stable main" > /etc/apt/sources.list.d/falcosecurity.list
apt update
# зависимость для ответов установщика
apt-get install -y dialog

apt install -y falco
systemctl status falco-modern-bpf
# проверяем, провоцируем
cat /etc/shadow > /dev/null
journalctl _COMM=falco -p warning
grep Sensitive /var/log/syslog

systemctl restart wazuh-agent falco-modern-bpf

Настройка wazuh-server Ссылка на заголовок

конфиг для агентов /var/ossec/etc/shared/default/agent.conf

Gotify. Свой сервис push уведомлений

Tue, 20 Jan 2026 00:00:00 +0000

Self hosted сервис push уведомлений, умеет отправлять сообщения на android, webui. https://gotify.net/

Имеет смысл настроить как резервный канал оповещения, на тот случай, когда telegram недоступен. Ну и self-hosted конечно.

Установка и настройка сервера Ссылка на заголовок

mkdir /opt/gotify
mkdir /var/log/gotify
cd /opt/gotify
wget https://github.com/gotify/server/releases/download/v2.8.0/gotify-linux-amd64.zip
unzip gotify-linux-amd64.zip && gotify-linux-amd64.zip

Прежде чем запустить сервис нужно создать конфиг, тк в нем будут указан дефолтный логин и пароль

скачиваем пример конфига

Какие у тебя уязвимые пакеты?

Tue, 20 Jan 2026 00:00:00 +0000

Бывает, долго не заходил на сервер и накопилось какое-то количество обновлений. А что за обновления, какие проблемы они решают(или добавляют новых?) С помощью oscap можно увидеть текущие уязвимости в установленных пакетах. Заодно перейти на сайт дистрибутива и узнать статус уязвимости.

Для себя написал скрипт(поддерживает только Debian/Ubuntu)

#!/usr/bin/env python3 
 
import subprocess as sp 
import os 
import xml.etree.ElementTree as ET 
import json 
import sys 
from datetime import datetime 
 
""" 
Скрипт показывает текущие уязвимости в пакетах системы 
создает html отчет 
 
wget -O {filename_bz2} f"https://security-metadata.canonical.com/oval/com.ubuntu.{codename}.usn.oval.xml.bz2" 
f"bzip2 -d {filename_bz2}" 
f"oscap oval eval --results {report_xml} {xml_file}" 
 
 
wget https://www.debian.org/security/oval/oval-definitions-$(lsb_release -cs).xml.bz2 
bunzip oval-definitions-$(lsb_release -cs).xml.bz2 
 
oscap oval eval --report report.html oval-definitions-$(lsb_release -cs).xml 
""" 
 
 
def run_cmd(cmd_: str) -> dict: 
 """ Выполняет команду в bash 
 """ ret = {'stdout': '', 'stderr': ''} 
 # print(f"bash: {cmd_}") 
 try: 
 if sys.version_info > (3, 9): 
 # result = sp.run(cmd_, capture_output=True, encoding='utf-8', shell=True, user=user, env={'HOME': home}) 
 result = sp.run(cmd_, capture_output=True, encoding='utf-8', shell=True) 
 ret['stdout'] = result.stdout.strip().split('\n')[0] 
 ret['stderr'] = result.stderr.strip() 
 
 elif sys.version_info > (3, 8): 
 result = sp.run(cmd_, capture_output=True, encoding='utf-8', shell=True) 
 ret['stdout'] = result.stdout.strip().split('\n')[0] 
 ret['stderr'] = result.stderr.strip() 
 else: 
 result = sp.Popen(cmd_.split(), stdin=sp.PIPE, stdout=sp.PIPE, stderr=sp.PIPE, encoding='utf-8') 
 ret['stdout'], ret['stderr'] = result.communicate() 
 ret['stdout'] = ret['stdout'].strip().split('\n')[0] 
 except Exception as err: 
 ret['stderr'] = err 
 print(ret) 
 
 return ret 
 
 
def get_os_info() -> (str, str): 
 """Получает кодовое имя Ubuntu (например, focal, jammy).""" 
 cn = run_cmd("lsb_release -cs")['stdout'].lower() 
 osid = run_cmd("lsb_release -is")['stdout'].lower() 
 return cn, osid 
 
 
def download_and_extract_oval(codename: str, os_id: str) -> str: 
 """Скачивает и распаковывает OVAL-файл.""" 
 url = { 
 'ubuntu': f'https://security-metadata.canonical.com/oval/com.ubuntu.{codename}.usn.oval.xml.bz2', 
 'debian': f'https://www.debian.org/security/oval/oval-definitions-{codename}.xml.bz2' 
 } 
 filename_bz2 = f"{codename}.oval.xml.bz2" 
 run_cmd(f"wget -O {filename_bz2} {url[os_id]}") 
 run_cmd(f"bzip2 -d {filename_bz2}") 
 print('Сигнатуры скачаны и распакованы') 
 
 return filename_bz2.replace('.bz2', '') 
 
 
def check_deps(deb_pkg: str) -> bool: 
 ret = True 
 check_cmd = 'oscap -h' 
 if run_cmd(check_cmd)['stderr']: 
 run_cmd(f"apt install {deb_pkg} -y") 
 if run_cmd(check_cmd)['stderr']: 
 ret = False 
 
 check_cmd = 'bzip2 -h' 
 if run_cmd(check_cmd)['stderr']: 
 run_cmd('apt install bzip2 -y') 
 
 return ret 
 
 
def run_oscap_eval(xml_file, hostname, codename): 
 """Запускает oscap и генерирует отчет.""" 
 report_xml = "oval-results.xml" 
 run_cmd(f"oscap oval eval --report {hostname}-{codename}.html --results {report_xml} {xml_file}") 
 print('oscap запущен') 
 return report_xml 
 
 
def parse_oval_results(xml_file): 
 """Парсит XML-результаты и возвращает список найденных уязвимостей (status == 'false').""" 
 tree = ET.parse(xml_file) 
 root = tree.getroot() 
 
 ns = { 
 "oval": "http://oval.mitre.org/XMLSchema/oval-results-5", 
 'def': 'http://oval.mitre.org/XMLSchema/oval-definitions-5', 
 } 
 # Найдем <results> 
 results = root.find('oval:results', ns) 
 # Найдем <system> внутри <results> 
 system = results.find('oval:system', ns) 
 # Найдем <definitions> внутри <system> 
 definitions = system.find('oval:definitions', ns) 
 
 results = [] 
 for definition in definitions.findall('oval:definition', ns): 
 def_id = definition.get('definition_id') 
 res = definition.get('result') 
 # ver = definition.get('version') 
 if res == 'true': 
 # print(definition.keys()) 
 # print(f"ID: {def_id}, Result: {res} Version: {ver}") path = f".//def:definition[@id='{def_id}']" 
 element = root.find(path, ns) 
 # element = defs.find(path, ns) 
 
 if element is not None and element.get('class') != 'inventory': 
 # print(element.attrib) 
 title = element.find(".//def:title", ns) 
 adv = element.find(".//def:advisory", ns) 
 if adv: 
 severity = adv.find(".//def:severity", ns) 
 # <issued date="2025-06-09"/> 
 issued_date = adv.find(".//def:issued", ns) 
 if isinstance(issued_date, ET.Element): 
 issued_date = issued_date.get('date') 
 else: 
 issued_date = None 
 cve_ = adv.find(".//def:cve", ns) 
 if isinstance(cve_, ET.Element): 
 cve = cve_.get('href') 
 else: 
 cve = None 
 else: 
 # debian 
 issued_date = element.find(".//def:date", ns) 
 if issued_date: 
 issued_date = issued_date.text 
 # issued_date = issued_date.text 
 cve_ = element.find(".//def:reference", ns) 
 if isinstance(cve_, ET.Element): 
 cve = cve_.get('ref_url') 
 else: 
 cve = None 
 severity = None 
 
 if title is not None: 
 t = title.text 
 else: 
 t = '' 
 if severity is not None: 
 s = severity.text 
 else: 
 s = '' 
 
 # if isinstance(cve, ET.Element): 
 print(f"{issued_date}\t[{s}]\t{cve}\t{t}") 
 # else: 
 # print(f"{issued_date}\t[{s}]\t\t{t}") 
 
def main(): 
 codename, os_id = get_os_info() 
 hostname = run_cmd("hostname")['stdout'] 
 
 print(f"Сервер: {hostname}, ось: {os_id}, версия: {codename}") 
 oval_xml = download_and_extract_oval(codename, os_id) 
 dep_pkg = 'openscap-scanner' if codename == 'noble' or os_id == 'debian' else 'libopenscap8' 
 print(f"Зависимость: {dep_pkg}") 
 if check_deps(dep_pkg): 
 print('oscap установлен') 
 report_xml = run_oscap_eval(oval_xml, hostname, codename) 
 parse_oval_results(report_xml) 
 print('-' * 30) 
 print('обработка завершена') 
 else: 
 print('Ошибка! Зависимости не установлены') 
 
 
if __name__ == "__main__": 
 main()

Оповещение при входе по SSH

Tue, 20 Jan 2026 00:00:00 +0000

При успешной попытке входа на сервер по ssh выполняется указанный скрипт.

# /etc/pam.d/sshd
...

# log auth
#session optional pam_exec.so /usr/bin/logger -T --rfc3164 -n 127.0.0.1 -P 1111 "my server_name: auth"
session optional pam_exec.so /usr/local/bin/send_to_telegram_pam.sh

Для использования pam_exec нужен пакет ```

apt install libpam-modules

Скрипт по отправке сообщения может быть таким

#!/bin/bash
MESSAGE="$(hostname): $(journalctl -eu ssh -g Accepted --no-pager| tail -n1|grep -o for.*)"

function tg {
 CHAT_ID="..."
 BOT_TOKEN="..."

 curl -s --data-urlencode "text=$MESSAGE" "https://api.telegram.org/bot$BOT_TOKEN/sendMessage?chat_id=$CHAT_ID&disable_web_page_preview=true" > /dev/null
}

function gotify {
 token="..."
 title=$(hostname)

 curl "https://какой-то.домен:4443/message?token=$token" \
 -F "title=${title}_auth" \
 -F "message=$MESSAGE" \
 -F "priority=5"
}

# пробуем отправить в свой сервис, при неудаче отправляем в телегу
gotify || tg

Пример сообщения:

RustDesktop аналог TeamViewer/Anydesk/RuDesktop да еще и self-hosted!

Thu, 15 Jan 2026 00:00:00 +0000

Опенсорсный аналог TeamViewer/Anydesk/RuDesktop да еще и self-hosted!

Можно использовать публичный сервер, а можно свой. https://rustdesk.com/pricing/?lang=en (жми Get started)

Клиенты есть под все платформы, плюс web - браузерная версия

Microsoft Windows
macOS
Debian Derivatives (Ubuntu ≥ 16, Linux Mint, etc.)
Red Hat Derivatives (CentOS, Fedora ≥ 18, Rocky Linux, etc.)
Arch Linux/Manjaro
openSUSE
NixOS
AppImage / Flatpak
Android
iOS (not support being controlled)
Web https://rustdesk.com/docs/en/client/

Публичный сервер Ссылка на заголовок

Тут всё просто - скачиваем клиент https://github.com/rustdesk/rustdesk/releases и запускаем, как обычно указываем id и подключаемся

Crowdsec. Кастомные параметры в коллекциях

Mon, 12 Jan 2026 00:00:00 +0000

Например, необходимо изменить параметры блокировки. Правим конфиг:

# /etc/crowdsec/scenarios/exim-bf.yaml
# было
leakspeed: "10s"
blackhole: 1m
# стало
leakspeed: "10m"
blackhole: 5h

Но тогда при эта коллекция будет помечена как tainted (испорчен)

cscli hub list

...
crowdsecurity/exim ⚠️ enabled,tainted 0.1 /etc/crowdsec/collections/exim.yaml

Чтобы увидеть что именно “испорченно” делаем так:

cscli collections inspect --diff crowdsecurity/exim

# Let's see why collections:crowdsecurity/exim is tainted.

-> scenarios:crowdsecurity/exim-bf

--- /etc/crowdsec/scenarios/exim-bf.yaml
+++ /tmp/cscli-diff-176304198
@@ -5,8 +5,8 @@
 filter: "evt.Meta.log_type == 'exim_failed_auth'"
 groupby: evt.Meta.source_ip
 capacity: 5
-leakspeed: "10m"
-blackhole: 5h
+leakspeed: "10s"
+blackhole: 1m
 labels:
 confidence: 3
 spoofable: 0
@@ -25,8 +25,8 @@
 groupby: evt.Meta.source_ip
 distinct: evt.Meta.username
 capacity: 5
-leakspeed: "10m"
-blackhole: 5h
+leakspeed: "10s"
+blackhole: 1m
 labels:
 confidence: 3
 spoofable: 0

Такая коллекция не будет обновляться, странно что нельзя переопределять параметры без того чтобы не поломать коллекцию.

Корпус для домашнего сервера

Wed, 07 Jan 2026 00:00:00 +0000

Домашний сервер в десктопном корпусе занимал много места, поэтому решил собрать компактный корпус из алюмиевых уголков Получился вот такой кубик размером 25х27х18 На фото установлены 4 ssd диска, но есть отверстия на углах для крепления двух 3,5" диска стоя Возможно сделаю лицевую панель, но сейчас меня устраивает текущий стимПанк :)

Кто я и что тут происходит?

Wed, 07 Jan 2026 00:00:00 +0000

Привет! Я админ, с diy наклонностями, люблю автоматизировать всякое, но без переусложнения.

Умею в python, bash и хорошо владею Saltstack

Иногда что-то делаю руками с нуля, иногда дорабатываю, то что кажется не удобным.

Зачем мне блог? На это есть несколько причин:

чтобы критически взглянуть на свои действия со стороны
домашняя страничка позволит рекрутерам и моим коллегам примерно понять, что я за человек
+1 сайт, созданный не ботом и не для финансовой выгоды. Как это было принято раньше - в нулевых :)

Тут я пишу о том, что считаю интересным и практикуюсь в SEO

Менеджер буфера обмена в cinnamon

Wed, 07 Jan 2026 00:00:00 +0000

Как-то решил я попробовать что-то новое и поставил mint с cinnamon.

В xfce я использовал clipman, а тут выбрал Gpaste так как для него есть аплет в панели

Установка Ссылка на заголовок

# ставим сам gpaste
apt install gpaste-2 gir1.2-gpaste-2

далее устанавливаем applet из настройки панелей Gpaste Reloaded
перезагружаем cinnamon или ребутаемся

Остается настроить по вкусу gpaste: хоткей на открытие истории (например правый Alt) и включить поддержку изображений.