DevOps by REBRAIN

Если вы не нашли тему, которая вам интересна, то можете написать в форме 👈

☕️ IT-сводка нескучных новостей: складной айфон за две зарплаты, облако на своём кремнии и сбежавшие агенты 🟢«Группа Астра» запустила первое в России облако целиком на отечественных процессорах «Астра» подняла Astra Cloud на процессорах «Байкал-С», и это первое российское облако, где отечественное всё, от кремния до сервиса. До этого Cloud.ru, «Яндекс», VK и «Ростелеком» строили облака на Intel Xeon и AMD EPYC, то есть железо оставалось импортным, даже когда софт и дата-центр были свои. Компания честно называет это не столько коммерческим продуктом, сколько заявкой на стандарт. Вопрос, выдержит ли своё железо реальную прод-нагрузку, проверит первый же крупный клиент. 🟢1200 агентов OpenAI сбежали из песочницы и оставили друг другу 18 тысяч сообщений на самодельной доске 26 августа OpenAI выпустила 37-страничный отчёт о том, как её агенты пробили платформу Hugging Face. Между маем и июлем как минимум 1200 агентов в тестовой среде сами, без человека, устроили скоординированную атаку: подняли импровизированные доски объявлений, чтобы договариваться о побеге из изоляции, и накопили на них сотни тысяч сообщений, прежде чем это заметили. Когда OpenAI зачистила доску и перезапустила инфраструктуру, агенты через два дня подняли переписку заново, уже другим способом. Модель, участвовавшая в атаке, была настроена работать без штатных предохранителей. 🟢«Магнит» первым из крупных ритейлеров слез с GitLab на российский GitFlic «Магнит» стал первым крупным ритейлером, кто внедряет GitFlic, российскую альтернативу GitLab. История встаёт в один ряд с майским заявлением депутата, что с GitHub пора уезжать, и с проблемами доступа к нему из России. Пока одни спорят, что там с GitHub, крупный бизнес уже переносит репозитории, потому что закладываться на зарубежный хостинг в критичном месте стало слишком рискованно. 🟢Три крупнейших AI-сервиса легли в один день, ровно когда OpenAI показывала новую модель 3 сентября одновременно посыпались ChatGPT и Codex у OpenAI, Claude у Anthrop

📚 Открыли теорию на Васином траблшутинге - осталось буквально несколько дней, чтобы решить задачу Что интересного узнаешь в теоретическом блоке: • Policy Routing (PBR) и база правил ip rule • Фильтрация трафика на основе метаданных сокета в nftables • Сетевая фильтрация в systemd на основе cgroups v2 • Реализация фильтрации через eBPF и особенности работы tcpdump Что нужно сделать сейчас: 1️⃣ Получить бесплатно доступ к траблшутингу на платформе, создать окружение и вернуть приложение в рабочее состояние 2️⃣ Зарегистрироваться на эфир Васи Озерова с разбором задачи, 17 сентября 19:00-21:00 мск, где он разыграет оставшиеся призы среди участников Траблшутинг доступен до 16 сентября, времени совсем немного ⌛️

Зачем инженерам траблшутинг? Мы проводим траблшутинги уже несколько лет и раз за разом видим одно и то же: инструменты инженеры знают хорошо, а вот с быстрым поиском причины сбоя у большинства проблемы. С чем сталкиваются чаще всего: 🟢аварию ищут наугад, и время простоя растягивается на часы 🟢крупные запросы зависают в VPN и туннелях из-за MTU/MSS 🟢контейнеры падают по OOM killer или тормозят из-за throttling, а увеличение лимитов не помогает 🟢при обновлении в Kubernetes часть трафика теряется, хотя пробы настроены 🟢пайплайн зелёный, а на проде крутится старая версия 🟢алерты не успевают сработать из-за неверного scrape interval в Prometheus За каждым пунктом стоит конкретный механизм. MTU и MSS считаются по формуле, а не подбираются наугад. Лимиты cgroups настраиваются под рантайм конкретного приложения. PreStop хуки и правильный terminationGracePeriodSeconds сводят потерю трафика при деплое к минимуму. Scrape interval в Prometheus подбирается под длительность события, чтобы алерт срабатывал вовремя, а не после того, как сбой заметили пользователи. Мы собрали эти механики и трёхшаговый алгоритм локализации: анамнез, гипотеза и проверка, план устранения. Все это Вася Озеров упаковал в интенсив по системному траблшутингу. Шесть живых занятий, на каждом реальный кейс с сетью, cgroups, Kubernetes или мониторингом, который разбираем от симптома до фикса. Ставьте 🔥, если тоже считаете, что навыки траблшутинга важны Если хочешь прокачаться в этом направлении, записывайся на интенсив к Васе 😉 ↘️ Узнать подробности и записаться

Представьте, что это записанный кружочек от Васи 📹 🧑‍💻"Друзья, всем привет! Василий Озеров на связи! Сегодня жду всех в 7 вечера на открытом вебинаре. Будем разбирать задачку с нашего последнего траблшутинга. Поговорим про системную диагностику Gateway Timeout в веб-приложении, и как проверять гипотезы при разборе реального инцидента в Linux. Сегодня до самого эфира в рабочих созвонах, поэтому пишу вам тут. Скоро увидимся!" ↘️ Встретимся тут

Практическое руководство по переходу на Nftables Делимся записью вебианра с Николаем Лавлинским, который посвящен переходу со старой системы фильтрации IPTables (семейства X-tables) на современный инструмент ядра Linux — Nftables. ↘️ Смотреть в YouTube ↘️ Смотреть в ВК Краткий конспект 1. Архитектура Netfilter обрабатывает трафик в ядре Linux до 4-го уровня OSI. X-tables (iptables, ip6tables, arptables, ebtables) — разные утилиты и конфиги под каждый протокол. NFTables — одна утилита nft, один модуль ядра, общий конфиг для всех протоколов. 2. Почему NFTables лучше — sets работают за O(1) вместо линейного роста времени как в iptables (нужен был отдельный ipset) — таблиц и цепочек по умолчанию нет — создаёшь только нужное, а не предзаданный filter/nat/mangle — семейство inet объединяет IPv4 и IPv6 в одном наборе правил — одно правило может выполнять сразу несколько действий, конфиг применяется атомарно целиком 3. Проверка и миграция iptables -V nf_tables в выводе — бэкенд уже новый. iptables-translate -A INPUT -p tcp --dport 22 -j ACCEPT iptables-restore-translate -f ipt.rules > nft.rules 4. Базовая настройка nft add table ip filter nft add chain ip filter input { type filter hook input priority 0 \; policy accept \; } nft add rule ip filter input tcp dport 22 counter accept nft add rule ip filter input iifname "lo" accept nft add rule ip filter input ct state vmap { established : accept, related : accept, invalid : drop } nft chain ip filter input { policy drop \; } Политику на drop переключаем после проверки разрешающих правил. 5. Handle вместо номеров правил nft --handle list ruleset nft delete rule ip filter input handle 2 nft insert rule ip filter input tcp dport 22 accept nft replace rule ip filter input handle 2 tcp dport 22 ct state new accept 6. Sets — замена ipset nft add set ip filter blackhole { type ipv4_addr \; flags interval \; } nft add element ip filter blackhole { 1.1.1.1, 192.168.0.0/24 } nft add rule ip filter input ip s

☕️ IT-сводка нескучных новостей: Nvidia покупает Hugging Face, дефолтные пароли текут, консоль на пенсии 🟢Nvidia купила за 13 миллиардов ту самую платформу, которую пару месяцев назад взломали AI-агенты OpenAI 3 сентября Nvidia официально закрыла покупку Hugging Face за 12,93 миллиарда долларов, это её крупнейшая сделка в истории. Ирония в тайминге: летом эту же платформу без человека пробили агенты OpenAI, а стартап десять лет назад назвали в честь эмодзи «обнимашки». Производитель GPU, построивший капитализацию на железе, теперь владеет и главным складом опенсорсных моделей. 🟢У AI-шлюза каждой десятой компании админский пароль так и остался «sk-1234» из инструкции 10 сентября Wiz Research отчиталась: почти каждый десятый LiteLLM-сервер в интернете принимает ключ sk-1234, тот самый пример из официального гайда по установке. Это админский пароль шлюза между приложениями и платными провайдерами моделей. Кто им владеет, читает весь трафик и жжёт чужие токены. Дефолт из документации снова оказался открытой дверью в прод. 🟢Fedora выкинула текстовую консоль Linux, которая жила в ядре с девяностых 15 сентября вышла бета Fedora 45, и главный сюрприз в том, что легендарную in-kernel консоль, тот самый чёрный текстовый экран под Ctrl+Alt+F2, заменили на userspace-эмулятор kmscon. Штуку, которая работала практически без изменений с ранних лет Linux и не раз спасала сисадминов, когда графика падала, наконец отправили на пенсию. Получаем нормальные шрифты, юникод и мультисит, но привычка, когда все сломалось, уходи в tty, теперь работает иначе. 🟢PostgreSQL получил прозрачное шифрование данных, и ключи наконец живут снаружи Вышел pg_vault_tde, движок прозрачного шифрования (TDE) для PostgreSQL 17 и 18: каждая строка шифруется AES-256-GCM до попадания в хранилище и расшифровывается на выходе, приложениям переписывать ничего не надо. Ключевая деталь в том, где лежат ключи, а лежат они снаружи базы, в HashiCorp Vault, OpenBao, на HSM или в PKCS#11-токене. Многолетняя боль,

Hermes Agent изнутри: архитектура, память и практическое развёртывание У автономного агента одновременно крутятся cron-джобы, Telegram-шлюз и три файла памяти. Но что на самом деле попадает в промпт LLM на каждом шаге, обычно никто не видит. На вебинаре разберём Hermes Agent целиком: от agent loop до логов в LangFuse, где виден реальный состав контекста. Что будет: 🟢устройство агента: agent loop, gateways, тулы, скиллы и cron jobs 🟢практика сборки: установка Hermes Agent, настройка скиллов и Telegram Gateway 🟢иерархия памяти: MD-файлы (SOUL.md, USER.md, MEMORY.md), история сессий в SQLite и логика сжатия контекста 🟢инспекция запросов: подключаем LangFuse и смотрим, из чего собирается итоговый промпт на каждом шаге Ведёт Марк Кудрицкий, основатель консалтинговой компании Tagora Studio, part-time преподаватель в George Brown College в Торонто (основы IT и ML). 📆 Завтра, 23 сентября в 19:00 мск ↘️ Зарегистрироваться бесплатно Если хочешь понять, что реально происходит внутри агента, заходи 😉

Интенсив «Системный траблшутинг» с Васей Озеровым стартует уже на следующей неделе, собрали ответы на частые вопросы и коротко рассказали, как всё будет. За 6 живых эфиров с Васей ты разберёшь путь запроса и пакета через всю систему: от сети в Linux до Kubernetes и мониторинга. Научишься находить причину сбоя по трёхшаговому алгоритму, разберёшь проблемы с MTU/MSS через tcpdump, настроишь лимиты cgroups против throttling и OOM kill, отладишь жизненный цикл подов в Kubernetes для деплоя без потери трафика и построишь мониторинг на Prometheus, который не пропускает короткие инциденты. Отвечаем на вопросы👇🏼 🟢Нужен ли опыт до старта? Специальной подготовки по траблшутингу не требуется, но пригодятся базовые навыки администрирования Linux и командной строки, понимание сетей (TCP/IP, DNS, маршрутизация) и опыт работы с Docker и Kubernetes хотя бы на базовом уровне. 🟢Чем интенсив отличается от курса? Интенсив устроен как короткий, плотный формат: живые вебинары за пару недель, нацеленные на конкретный навык. Курс, наоборот, рассчитан на долгое самостоятельное прохождение. 🟢Что если пропущу эфир? Все вебинары записываются, записи и материалы остаются в личном кабинете навсегда. 🟢Есть ли поддержка на интенсиве? Да, ты будешь в закрытом Telegram чате с Васей и другими участниками, там можно обсуждать рабочие кейсы. Также все практические работы будут с обратной связью от Васи. 🟢Какая практика ждёт на интенсиве? Будешь работать на реальных стендах, симулирующих аварии, и готовить отчёты по траблшутингу, которые вручную проверит преподаватель. 📆 Начало занятий — 29 сентября 🎁 Скидка 3 000 руб еще действует. ↘️ Узнать подробности и занять место ✉️ Чтобы получить дополнительную скидку, если у вас остался промокод с Васиного вебинара, напиши нашим менеджерам в телеграм, они подробно расскажут о программе и помогут с оплатой.

☕️ IT-сводка нескучных новостей: обновления ядра каждую неделю, взлом дорожной камеры, systemd собирает отчёты сам 🟢Ubuntu объявила о переходе на еженедельный выпуск обновлений ядра С 28 сентября Canonical переводит обновления ядра на перекрывающиеся двухнедельные циклы, из-за чего новое ядро выходит фактически каждую неделю. Количество CVE взорвалось, и старая схема перестала за ним успевать. Отложить апгрейд на следующий квартал больше не выйдет, а нетерпеливым предлагают тянуть непротестированные сборки из -proposed на свой страх. 🟢NTFS-3G обновился, и Linux всё ещё держит на плаву чтение дисков из Windows 18 сентября вышел NTFS-3G 2026.9.18, свежий апдейт FUSE-драйвера, через который Linux читает и пишет диски в формате NTFS. Без него не обходится ни один сисадмин, восстанавливающий данные с диска. Драйверу третье десятилетие, а он всё ещё в строю. Пока Microsoft несёт ls и cat в Windows, комьюнити с обратной стороны латает мост к дискам самой Windows. 🟢CERN перевёл 2200+ систем управления ускорителями на бесплатный Debian Debian 13 Trixie раскатали больше чем на 2200 систем управления в CERN, тех самых, что рулят ускорителями частиц. Пока в интернете спорят, какой дистрибутив серьёзный, крупнейший физэксперимент планеты ставит бесплатный комьюнити-дистрибутив в прод. Лучший отзыв для ОС это Большой адронный коллайдер, работающий на ней. 🟢systemd научился сам собирать отчёты о состоянии сервера В systemd появился systemd-report, инструмент, который собирает системные факты и метрики в единый JSON с временными метками для мониторинга и управления парком машин. Раньше такой снимок состояния сисадмин склеивал руками из десятка команд, чтобы приложить к тикету. systemd продолжает поглощать соседние задачи, теперь очередь дошла до диагностики. 🟢Взломали одну спасательную камеру Flock и за 21 день выкачали 1,6 миллиона снимков Хакеры сняли один считыватель автомобильных номеров Flock и слили его данные. Из одной вскрытой железки за три недели набралось 1,6

🔥 Как ИИ-агент работает под капотом: новое видео с Марком Кудрицким уже на канале Делимся записью открытого практикума. На нём подняли автономного агента Hermes, подключили LangFuse и посмотрели, что на самом деле уходит в LLM на каждый запрос. Краткий конспект👇🏼 🟢Агент = обёртка над моделью LLM сама ничего не запускает на компьютере. Она возвращает JSON с вызовом инструмента. Локальный Python-код (harness) разбирает этот JSON, выполняет команду или читает файл и отправляет результат обратно модели. Так повторяется, пока модели не хватит данных для ответа. 🟢15 000 символов на «Кто ты?» Трейсы в LangFuse показали, что даже на простой вопрос агент отправляет огромный системный промпт. Он собирается из soul.md (характер и правила агента), memories/user.md (профиль пользователя) и списка скиллов. Поэтому частые мелкие запросы к коммерческому API стоят дороже, чем кажется. 🟢Скиллы и память Когда Hermes решает сложную задачу, он может сам написать скилл: инструкцию в Markdown с YAML-преамбулой. В промпт попадают только названия и описания скиллов, полный текст модель подгружает по запросу. Диалоги хранятся в SQLite (state.db), заметки в папке memories/. 🟢Cron без лишних токенов Gateway раз в минуту проверяет cron-jobs.json. Задача может собрать данные скриптом и отдать их LLM, чтобы та оформила отчёт в Telegram. Если модель там не нужна, хватит обычного Bash-скрипта. 🟢Безопасность Агент в песочнице без сети и файлов безопасен, но бесполезен. Агент с Bash, сетью и sudo полезен, но уязвим к prompt injection и может снести базу. Что можно сделать уже сейчас: завести агенту отдельную сервисную учётку с урезанными правами, как новому сотруднику. Основные элементы стенда 🟢hermes setup: мастер настройки провайдера, модели, инструментов и Telegram-бота 🟢ghermes dashboard --host 0.0.0.0: веб-интерфейс для управления конфигом 🟢docker-compose up -d: локальный LangFuse, в который пишутся трейсы всех запросов к LLM 🟢~/.hermes: изолированный Python 3.11, venv и Node-модули, окол

Как собрать полноценный REST/gRPC сервис на Go? Хендлер на Go, который отдаёт JSON, пишется за вечер. Проблемы начинаются, когда этот код уезжает в Kubernetes. При деплое под получает SIGTERM и обрывает запросы на середине. Клиент уже закрыл соединение, а запрос к PostgreSQL продолжает работать и грузить базу. В логах тысячи строк, и по ним не понять, какие относятся к упавшему запросу. Тесты на моках зеленые, а с реальной базой сервис ломается. Образ собран плносью на golang и весит сотни мегабайт, из-за чего деплой идёт дольше. Для каждой из этих проблем есть решение: Graceful Shutdown, context.Context на всех слоях, slog с Request ID, интеграционные тесты с настоящей базой и сборка на scratch. Под всем этим нужна архитектура, в которой одну бизнес-логику можно подключить и к REST, и к gRPC без копирования кода. Всё это мы собрали в новом практикуме «Golang: полноценный REST/gRPC сервис на Go». В нём 14 уроков, уровень Middle. В каждом модуле есть задание, и сервис собирается из них по шагам. Что в программе: 🟢Проектирование структуры Go-приложения по слоям Clean Architecture 🟢Реализация gRPC-серверов и Unary RPC методов на Go 🟢Создание RESTful эндпоинтов с использованием роутера go-chi 🟢Управление таймаутами и отменой запросов с помощью context.Context 🟢Написание интеграционных тестов с реальной БД через testcontainers-go Итог - микросервис каталога продуктов с REST и gRPC, валидацией, Graceful Shutdown, тестами и образом на scratch. 🎁 До 11 октября действует скидка 5000 рублей ↘️ Узнать подробности и записаться Кому подойдёт: Go-разработчикам уровня Junior+, бэкендерам, которые переходят на Go с PHP, Python или Java, и DevOps/SRE-инженерам, которым нужно понимать, как устроены Go-сервисы. Для старта нужно знать базовый синтаксис Go (типы данных, структуры, интерфейсы, горутины), работать в командной строке Linux и иметь базовые навыки Docker.