Факт дня
Traceroute показывает не весь путь
Обратный маршрут может отличаться от прямого, а часть узлов не отвечает вовсе. Звёздочки в выводе означают молчание, а не потерю.
Справочник
Архив за октябрь. Факт дня и разбор документа на каждую дату.
1 октября
Разбор дня
LDAP: правила расширения
Considerations for Lightweight Directory Access Protocol (LDAP) Extensions
Что можно, а чего нельзя делать, добавляя свои элементы протокола. Главное требование - не ломать клиентов, которые расширение не понимают.
RFC 4521 на rfc-editor.org2 октября
Факт дня
Потери на промежуточном хопе не значат ничего
Роутеры отвечают на служебные пакеты по остаточному принципу. Смотреть надо на последний хоп, а не на середину.
Разбор дня
Реестры OSPF в IANA
IANA Considerations for OSPF
Централизованный учёт типов сообщений и полей OSPF, которых раньше не было.
RFC 4940 на rfc-editor.org3 октября
Факт дня
MTR совмещает ping и traceroute
Утилита непрерывно опрашивает каждый узел маршрута и показывает потери по шагам. Это первый инструмент при жалобе «интернет тормозит».
Разбор дня
LDAP: двоичная опция
Lightweight Directory Access Protocol (LDAP): The Binary Encoding Option
Пометка ;binary для атрибутов, которые нужно передавать как есть, без текстового преобразования. Так в каталоге хранятся сертификаты.
RFC 4522 на rfc-editor.org4 октября
Факт дня
Netstat уступил место ss
Старая утилита разбирает текстовые файлы в /proc, новая обращается к ядру напрямую и работает быстрее на десятках тысяч соединений.
Разбор дня
Симметричный RTP и RTCP
Symmetric RTP / RTP Control Protocol (RTCP)
Отправлять и принимать медиа с одного и того же порта. Простое правило, без которого связь через NAT часто становится односторонней.
RFC 4961 на rfc-editor.org5 октября
Факт дня
DNS не про скорость сайта
Резолв обычно занимает десятки миллисекунд и происходит один раз, а потом кэшируется. Медленный сайт почти никогда не виноват DNS.
Разбор дня
Формат ASCII для обмена по сети
ASCII format for network interchange
Документ 1969 года, закрепивший в сети семибитную таблицу символов. Из тех же лет тянется привычка завершать строку парой CR и LF, которая до сих пор живёт в HTTP и SMTP.
RFC 20 на rfc-editor.org6 октября
Факт дня
TTL записи и время жизни пакета - разные вещи
В DNS это время кэширования в секундах, в заголовке IP - счётчик хопов. Совпадение названий давно путает новичков.
Разбор дня
Управление ключами в AAA
Guidance for Authentication, Authorization, and Accounting (AAA) Key Management
Требования к схемам выдачи ключей при аутентификации доступа в сеть, включая привязку ключа к сторонам обмена.
RFC 4962 на rfc-editor.org7 октября
Факт дня
Изменение зоны идёт по TTL, а не по волшебству
Пока не истёк срок кэширования, часть мира видит старую запись. Поэтому TTL уменьшают заранее, а не в момент переезда.
Разбор дня
Telnet: двоичная передача
Telnet Binary Transmission
Опция, снимающая семибитное ограничение и разрешающая слать байты как есть.
RFC 856 на rfc-editor.org8 октября
Факт дня
CNAME нельзя на вершине зоны
Псевдоним запрещено сочетать с обязательными записями SOA и NS. Обходные решения вроде ALIAS - это проприетарные надстройки провайдеров.
Разбор дня
Требования к отправке почты
Email Submission Operations: Access and Accountability Requirements
Разделение ролей и подотчётность отправителя. Отсюда практика блокировать исходящий порт 25 у домашних абонентов ради борьбы с ботнетами.
RFC 5068 на rfc-editor.org9 октября
Факт дня
Запись MX указывает на имя, а не на адрес
Ставить туда IP запрещено стандартом, и часть почтовых серверов такой домен просто отвергнет.
Разбор дня
Telnet: опция эха
Telnet Echo Option
Кто отображает набранный символ: локальный клиент или удалённая сторона. Именно этой опцией сервер гасит эхо при вводе пароля.
RFC 857 на rfc-editor.org10 октября
Факт дня
SOA задаёт ритм зоны
Serial, refresh, retry, expire и минимум определяют, как вторичные серверы синхронизируются и сколько живёт отрицательный ответ. Забытый serial - причина, по которой правки не расходятся.
Разбор дня
Требования к NAT для многоадресной рассылки
IP Multicast Requirements for a Network Address Translator (NAT) and a Network Address Port Translator (NAPT)
Как транслятор должен вести себя с групповым трафиком, чтобы подписки не ломались.
RFC 5135 на rfc-editor.org11 октября
Факт дня
Glue-записи держат делегирование
Если сервер имён живёт внутри своей же зоны, адрес приходится указывать в родительской. Без этого получается замкнутый круг.
Разбор дня
Telnet: подавление go-ahead
Telnet Suppress Go Ahead Option
Отключение сигнала передачи хода, унаследованного от полудуплексных терминалов. Практически все современные сессии начинаются с этой опции.
RFC 858 на rfc-editor.org12 октября
Факт дня
Точка в конце имени - это корень
Полное имя заканчивается точкой, обозначающей корневую зону. Забытая точка в файле зоны превращает example.com в example.com.example.com.
Разбор дня
Экранирование Unicode в ASCII
ASCII Escaping of Unicode Characters
Как записывать нелатинские символы там, где допустим только ASCII, и почему таких способов расплодилось слишком много.
RFC 5137 на rfc-editor.org13 октября
Факт дня
Обратная зона читается наоборот
Адрес 10.70.70.5 ищется как 5.70.70.10.in-addr.arpa. Порядок перевёрнут, потому что в DNS уточнение идёт справа налево.
Разбор дня
Telnet: опция статуса
Telnet Status Option
Позволяет спросить у второй стороны, какие опции она считает включёнными. Средство отладки рассогласований в согласовании.
RFC 859 на rfc-editor.org14 октября
Факт дня
У почты обратная зона важна
Многие серверы отвергают письма с адресов без PTR или с несогласованной прямой записью. Это дешёвый фильтр против ботнетов.
Разбор дня
Правила выдачи номеров протоколов IP
IANA Allocation Guidelines for the Protocol Field
Поле протокола в заголовке IP всего восьмибитное, поэтому свободные значения выдают крайне скупо.
RFC 5237 на rfc-editor.org15 октября
Факт дня
Greylisting отсеивает ботов
Сервер временно отказывает незнакомому отправителю: настоящий почтовик повторит попытку, а бот обычно нет. Цена - задержка первого письма.
Разбор дня
Telnet: метка времени
Telnet Timing Mark Option
Проверка кругового пути: сторона просит вернуть метку, когда все ранее отправленные данные обработаны.
RFC 860 на rfc-editor.org16 октября
Факт дня
DMARC связывает SPF и DKIM
Политика требует, чтобы домен из видимого заголовка совпадал с проверенным. Заодно владелец домена получает отчёты о том, кто шлёт письма от его имени.
Разбор дня
Реестр расширенных кодов состояния SMTP
A Registry for SMTP Enhanced Mail System Status Codes
Коды вида 5.7.1, уточняющие причину отказа: превышен лимит, отклонено политикой, нет такого ящика.
RFC 5248 на rfc-editor.org17 октября
Факт дня
Почтовые списки ломают подписи
Рассылка меняет тему и дописывает подвал, из-за чего подпись DKIM перестаёт сходиться. Отсюда специальные обходные схемы для списков.
Разбор дня
Telnet: список расширенных опций
Telnet Extended Options: List Option
Механизм на случай, если однобайтовых номеров опций перестанет хватать. Запас, которым так и не пришлось воспользоваться.
RFC 861 на rfc-editor.org18 октября
Факт дня
Порт 25 закрывают у абонентов
Провайдеры блокируют исходящие соединения на почтовый порт, потому что заражённые машины рассылают спам напрямую. Легитимные клиенты отправляют почту через 587.
Разбор дня
Шаблоны черновиков с модулями MIB
Templates for Internet-Drafts Containing MIB Modules
Готовые заготовки документа, чтобы автор не забыл обязательные разделы.
RFC 5249 на rfc-editor.org19 октября
Факт дня
Открытый релей находят за часы
Сканеры непрерывно ищут почтовые серверы, пересылающие чужие письма. Ошибка в конфигурации превращает сервер в источник спама к утру.
Разбор дня
Протокол Active Users
Active users
Порт 11 отдавал список работающих на машине пользователей. Сегодня такой сервис читается как утечка данных, а не как удобство.
RFC 866 на rfc-editor.org20 октября
Факт дня
Отпечаток ключа сравнивают глазами
SSH просит подтвердить ключ при первом подключении, и это единственный момент, когда подмену можно заметить. Все нажимают yes не глядя.
Разбор дня
Мобильность с Mobile IPv4 и IKEv2
Secure Connectivity and Mobility Using Mobile IPv4 and IKEv2 Mobility and Multihoming (MOBIKE)
Как сохранить VPN-сессию при переходе между сетями, не переустанавливая туннель.
RFC 5266 на rfc-editor.org21 октября
Факт дня
Известные хосты запоминаются навсегда
Смена ключа сервера приводит к грозному предупреждению. Чаще всего это переустановка, но проверить стоит именно на случай, когда это не так.
Разбор дня
Протоколы локальной сети DCN
DCN Local-Network Protocols
Описание сети DCN Дэвида Миллса с маршрутизацией и синхронизацией часов. Именно из этих экспериментов позже вырос NTP.
RFC 891 на rfc-editor.org22 октября
Факт дня
Проброс порта через SSH заменяет VPN
Одна команда с ключом -L даёт доступ к удалённой службе так, будто она локальная. Многие сисадмины годами обходятся этим вместо туннелей.
Разбор дня
Защита рекурсивных серверов от использования в атаках
Preventing Use of Recursive Nameservers in Reflector Attacks
Открытый резолвер превращается в усилитель: короткий запрос с подделанным адресом даёт жертве большой ответ. Отсюда правило отвечать только своим клиентам.
RFC 5358 на rfc-editor.org23 октября
Факт дня
Ключ без пароля - это пароль в файле
Приватный ключ без парольной фразы даёт полный доступ любому, кто получил файл. Агент и пароль на ключ придуманы ровно для этого.
Разбор дня
IP поверх экспериментального Ethernet
Standard for the transmission of IP datagrams over experimental Ethernet networks
Инкапсуляция для трёхмегабитного Ethernet, предшественника десятимегабитного. Свидетельство эпохи, когда стандарт ещё не устоялся.
RFC 895 на rfc-editor.org24 октября
Факт дня
Агент можно пробросить и подставиться
Проброшенный агент позволяет администратору чужого сервера использовать ваши ключи, пока сессия открыта. Поэтому его включают точечно.
Разбор дня
Примеры услуг на SIP
Session Initiation Protocol Service Examples
Готовые сценарии удержания, перевода, парковки и групповых вызовов.
RFC 5359 на rfc-editor.org25 октября
Факт дня
Fail2ban читает логи
Он не анализирует трафик, а разбирает записи о неудачных входах и добавляет правила в фаервол. Простой инструмент, снимающий девяносто процентов шума перебора.
Разбор дня
Протокол доступа к хосту (HAP)
Host Access Protocol specification
Интерфейс между хостом и спутниковой сетью SATNET. Напоминание, что интернет с самого начала собирали из очень разных сетей.
RFC 907 на rfc-editor.org26 октября
Факт дня
Смена порта SSH - не защита
Сканеры проверяют весь диапазон за минуты. Приём убирает шум в логах, но не мешает целенаправленной атаке.
Разбор дня
Права на вклад в документы IETF
Rights Contributors Provide to the IETF Trust
Какие права автор передаёт трасту, чтобы текст можно было свободно переиздавать и изменять.
RFC 5378 на rfc-editor.org27 октября
Факт дня
Пароли в истории команд
Команда с ключом в аргументах остаётся в файле истории и видна в списке процессов. Секреты передают через переменные окружения или файл.
Разбор дня
Широковещание датаграмм IP
Broadcasting Internet Datagrams
Правила рассылки на всю сеть и адрес из одних единиц. Здесь же зафиксировано, что широковещательный трафик не должен пересекать роутеры.
RFC 919 на rfc-editor.org28 октября
Факт дня
Переменные окружения видны не всем
В Linux их можно прочитать только владельцу процесса и root. Но они утекают в дампы, логи ошибок и отчёты об аварии.
Разбор дня
Развёртывание мобильной почты Lemonade
Deployment Considerations for Lemonade-Compliant Mobile Email
Набор расширений IMAP для телефонов с медленным каналом: скачивать только нужную часть письма.
RFC 5383 на rfc-editor.org29 октября
Факт дня
Docker-образ помнит удалённое
Файл, добавленный в одном слое и удалённый в другом, остаётся внутри образа. Секрет, «удалённый» следующей строкой Dockerfile, никуда не делся.
Разбор дня
Широковещание при наличии подсетей
Broadcasting Internet datagrams in the presence of subnets
Что означает рассылка, когда сеть поделена на подсети. Отсюда направленный широковещательный адрес, который позже пришлось запретить из-за атак smurf.
RFC 922 на rfc-editor.org30 октября
Факт дня
Latest не значит новый
Тег latest - это просто имя по умолчанию, которое может указывать на что угодно. Воспроизводимость даёт только явная версия или хэш.
Разбор дня
Как правильно требовать IPsec
Guidelines for Specifying the Use of IPsec Version 2
Почему фраза «используйте IPsec» в спецификации бесполезна без указания режима, политики и способа управления ключами.
RFC 5406 на rfc-editor.org31 октября
Факт дня
Контейнер - это процесс
Никакой виртуальной машины внутри нет: то же ядро, изолированные пространства имён и ограничения ресурсов. Поэтому контейнер стартует за миллисекунды.
Разбор дня
Процедура разбиения на подсети
Internet Standard Subnetting Procedure
Документ, добавивший к адресу маску и разрешивший делить сеть на части. До него сеть класса B была неделимым куском в 65 тысяч адресов.
RFC 950 на rfc-editor.org