У всех на слуху скандал, связанный с хакерской группойQlocker, которая написала программу-шифровальщик, проникающий на сетевые хранилища. С 20 апреля число жертв вымогателей идет на сотни в день. Хакеры используют уязвимость CVE-2020-36195, программа заражаетNASи шифрует информацию. Расшифровать данные можно только после выкупа. К счастью,NASSynologyэтой уязвимости не имеют. Но мы все равно посчитали нужным рассказать о том, как следует защитить сетевое хранилище, чтобы избежать потенциальных рисков.

Также мы рекомендуем ознакомиться сруководством по защите данных на компьютерах пользователей от программ-шифровальщиков.

Внимание: для большинства приведенных в статье советов требуются права администратораNAS.

Совет 1: отключите учетную запись администратора по умолчанию

Распространенные имена учетных записей администратора облегчают злоумышленникам атаки методом грубой силы наSynologyNASчерез подбор пароля. Избегайте таких имен, какadmin,administrator,root(*) при настройкеNAS. Мы рекомендуемсгенерировать сильный и уникальный парольдля администратораSynologyNAS, а такжеотключить учетную запись администратора по умолчанию. Если при настройкеNASвы задали административную учетную запись с новым именем, то учетная записьadminбудет автоматически отключена.

Если вы зашли как пользовательadmin, то перейдите вПанель управления, выберите пунктПользователь и группа, после чего создайте новую административную учетную запись. Затем войдите под новой записью и отключитеadmin.

*rootв качестве имени пользователя запрещен

Совет 2: используйте сильный пароль

Сильный пароль, который невозможно подобрать, защищает систему от неавторизованного доступа. Создавайте пароли, сочетающие прописные и строчные буквы, цифры, специальные символы.

Помните, что хакеры подбирают пароли по словарям. Поэтому использовать в качестве пароля какое-либо слово нельзя. Если хакеры получат доступ к административной учетной записи, то они смогут добраться и до учетных записей других пользователей. Что нередко случается в случае взлома тех же веб-сайтов. Мы рекомендуем проверять на утечки ваш адресemailна сайтахHaveIBeenPwnedиFirefoxMonitor, например.

Если вы боитесь забыть сложный пароль, то следует использовать менеджер хранения паролей (такой как 1Password,LastPassилиBitwarden). С их помощью придется запоминать только один пароль для менеджера, после чего будет открыт доступ ко всем хранящимся паролям.

Для пользователейSynologyNASможновключить политику паролей, которая будет действовать для всех учетных записей. Перейдите вПанель управленияПользователь и группа Дополнительно. Поставьте в пунктеПрименитьправила надежности паролянужные галочки.

Политику пароля можно применить и к существующим пользователям. Им придется изменить пароль при следующем входе в систему.

Совет 3: всегда обновляйте систему и включите оповещения

Synologyрегулярно выпускаетобновленияDSM, которые обеспечивают оптимизацию производительности и добавляют новые функции. А также исправляют ошибки и закрывают обнаруженные уязвимости.

Если будет обнаружена уязвимость, специальная командаProductSecurityIncidentResponseTeam(PSIRT)в штатеSynologyпроведет ее исследование в течение восьми часов, а в течение следующих 15 часов будет предложенпатч, что позволяет справиться даже с так называемыми атаками нулевого дня.

Для большинства пользователей рекомендуется настроитьавтоматическое обновление, чтобы все имеющиесяпатчиDSMустанавливались без участия администратора. Но для самых крупных обновлений вмешательство администратора все же потребуется.

Многие сетевые хранилищаSynologyимеют возможность запускаVirtualDSMвнутриVirtualMachineManager, то есть виртуальную версию операционной системыDSM. ИспользоватьVirtualDSMимеет смысл, чтобы протестировать те или иные функции, а также обновления. Например, можно установить наVirtualDSM последнюю версиюDSM, после чего проверить работу ключевых функций в вашей конфигурации. А уже затем переходить к обновлению непосредственно устройств.

Не менее важно получать своевременныеоповещения о событиях. Можно настроитьNASSynologyтаким образом, чтобы получать оповещения наemail,SMS, на смартфон или в браузере. При использовании сервисаSynologyDDNSможно получать оповещения, если будет потеряно подключение к сети. Благодаря оповещениям администратор может своевременно отреагировать на заканчивающееся пространство тома, сбой задачи резервирования и т.д. Все это позволяет наладить надежно работающую и защищенную систему.

Мы рекомендуем добавить в учетной записиSynologyподписку наИнструкции по безопасности, что позволить получать техническую информацию об уязвимостях продуктов и инцидентах, связанных с безопасностью.

Совет 4: включите двухфакторную аутентификацию

Если вы хотите добавить еще один уровень защиты учетной записи, мы рекомендуемактивировать двухфакторную аутентификацию. В DSM 7.0 появилась двухфакторная аутентификация с помощью мобильного приложения или аппаратного ключа, усиливающая защиту.

Synologyподдерживает мобильное приложениеSecureSignIn, а также протоколFIDO2, который опирается на аппаратные ключи безопасности (USB-ключ,WindowsHelloна ПК илиTouchID на macOS). Данные способы намного менее уязвимы, чем использование паролей, которые часто крадут черезфишинг, методы социальной инженерии, вирусы и т.д.

В итоге количество способов аутентификации увеличивается:

В DSM можно авторизоваться на смартфоне черезSecureSignInбез пароля.

Совет 5: регулярно запускайтеSecurityAdvisor

SecurityAdvisor предустановленное приложение, которое будет сканироватьNASв поисках проблем конфигурацииDSM. Если таковые будут выявлены, тоSecurityAdvisorпредложит решения. Например,SecurityAdvisorможет определить открытый доступSSH, подозрительную активность в журналах, а также модификацию системных файловDSM.

Совет 6: установите дополнительные опции защитыDSM

В пунктеПанель управленияБезопасностьможно установить некоторые дополнительные параметры, чтобы защитить учетные записи пользователей.

Автоматическая блокировка

На вкладкеЗащитаможно активироватьавтоматическую блокировкуIP-адресаклиента в случае многократного неправильного ввода пароля в течение определенного промежутка времени. Также можно добавить список разрешенных/запрещенныхIP-адресов, чтобы предотвратить атаки методом грубой силы или отказа в обслуживании (DoS).

Число попыток следует выбирать, исходя из вашего окружения и типа пользователей. В большинстве случаев подключение к интернету сети дома или офиса осуществляется через один внешнийIP-адрес, который может быть динамическим и меняться при повторном подключении.

Защита учетной записи

Если сIP-адреса будет зарегистрировано предельно допустимое число неуспешных попыток входа, то он будет заблокирован.Защита учетной записиобеспечивает блокировку уже на уровне учетной записи.

На вкладкеУчетная записьможно включитьЗащиту учетной записи, причем разделить настройки для доверенных инедоверенныхклиентов. Учетная запись будет блокироваться после определенного числа неудачных попыток входа. Что усиливает защитуDSMи уменьшает риск взлома учетной записи методом грубой силы с распределенных источников.

ВключитеHTTPS

С активированной поддержкойHTTPSможно защитить сетевой трафик междуSynologyNASи подключенными клиентами, уменьшая риск прослушивания и атак методом человек посередине.

Следует перейти вПанель управления Портал для выхода DSM, после чего выставить галочкуАвтоматическиперенаправлять подключениеHTTPнаHTTPSдля настольного ПКDSM. Порт по умолчаниюhttpsсоставляет 443, а в случае обычного протоколаhttp 80. Поэтому если имеются настройки брандмауэра, то их следует обновить.

Для опытных администраторов: настройте правила брандмауэра

Брандмауэр является виртуальным барьером, фильтрующим сетевой трафик от внешних источников по заданным правилам. В пунктеПанель управления Безопасность Брандмауэрможно настроить правила, блокирующие доступ к тем или иным портам. Например, можно разрешить доступ к веб-интерфейсу только сIP-адреса компьютера администратора.

Совет 7:HTTPSчасть 2 получите сертификатLetsEncrypt

Цифровые сертификатывесьма важны для правильной активацииHTTPS, но получать их обычно сложно и дорого, особенно для домашних пользователей. ВDSMвстроена поддержкаLetsEncrypt, данная организация предоставит сертификаты бесплатно, что позволит защитить подключение к веб-интерфейсуNAS.

Если у вас есть зарегистрированный домен или активная записьDDNS, достаточно перейти вПанель управления Безопасность Сертификат. ВыберитеДобавить Добавить новый сертификат Получить сертификат вLetsEncrypt. Для большинства пользователей имеет смысл включить галочкуУстановитькак сертификат по умолчанию. Затем достаточно указать имя домена для получения сертификата.

После получения сертификата убедитесь, что ваш трафик идет черезHTTPS(см. совет выше).

Примечание: если вы планируете предоставлять сервисы через несколько доменов илисубдоменов, то следует настроить, какой сертификат будет использоваться с каждым сервисом. Достаточно перейти в пунктНастройки.

Совет 8: измените порты по умолчанию

Изменение портовDSMпо умолчаниюHTTP(5000) иHTTPS(5001) не является панацеей, но все же способно отразить многие автоматические атаки, которые направлены на определенные сервисы. Для изменения портов достаточно перейти вПанель управления Портал для входа Веб-службы, где поменять номера. Также имеет смысл изменить портSSHпо умолчанию (22), если вы пользуетесь данным сервисом.

Можно настроитьобратный прокси-сервер, чтобы ограничить векторы атаки лишь определенными веб-сервисами. Обратный прокси-сервер работает как посредник между внутренним сервером и удаленными клиентами, скрывая информацию о сервере, такую как реальныйIP-адрес.

Совет 9: отключайтеSSH/telnet, когда они не нужны

Если вам требуется командная строкаSSH/telnet, то не забывайте отключать доступ к ней после завершения работы. Права SSH/telnetпо умолчанию выставлены наroot, вход разрешен только с административных учетных записей, но хакеры могут использовать атаку грубой силы, чтобы подобрать пароль и войти в систему. Если вам нужен доступ к командной строке на постоянной основе, рекомендуется выставить сильный пароль и изменить портSSHпо умолчанию (22). Кроме того, можно ограничить доступ кSSHтолько определенными (локальными)IPили добавитьVPN.

Совет 10: шифруйте папки общего доступа

DSMподдерживаетшифрованиеAES-256 для папок общего доступа, чтобы предупредить получение файлов методом физического извлечения дисков. Администраторы могут шифровать как существующие, так и вновь создаваемые папки общего доступа.

Для шифрования существующих папок общего доступа следует перейти в пунктПанель управления Папка общего доступа, после чего выбратьРедактировать. На вкладкеШифрованиеследует указать ключ, после чегоDSMначнет шифрование папки. Мы рекомендуем сохранить ключ в надежном месте, поскольку восстановить зашифрованные данные без ключа невозможно.

Бонусный совет: целостность данных

Для сохранения данных они должны оставаться вцелостном состоянии. Защита данных как раз и гарантирует, что та же программа-шифровальщик не сможет вмешаться и нарушить целостность данных.

Есть две меры, которые можно принять для защиты целостности данных: включить контрольную сумму и регулярно проводить тестыS.M.A.R.T. В первом случае система будет проверять контрольную сумму при каждом доступе к файлу. И если она не будет совпадать, то данные будут восстановлены из информации избыточности (RAID5/6). Выставить опциюВключитьконтрольную сумму данных для дополнительной целостности данныхможно только при создании папки общего доступа. При этом несколько снижается производительность, поэтому включать дополнительную защиту следует только для критически важных данных.

По умолчаниюNASSynologyавтоматически проводиттесты S.M.A.R.T.раз в месяц. Если какие-то проблемы будут выявлены, администратор получит оповещение. В случае появления критических проблем S.M.A.R.T. диск следует немедленно заменить.

Расслабляться не стоит!

Злоумышленники постоянно изобретают новые средства заработка, что хорошо видно по нынешней уязвимости CVE-2020-36195, которая привела к печальным последствиям для многих пользователейNAS. К счастью, продуктыSynologyданной уязвимости не имеют. Но расслабляться не стоит! Защита это не разовые меры, а постоянный комплекс мероприятий, направленный на предупреждение потенциальных угроз. Будем надеяться, вам пригодятся советы, приведенные в статье.

Приветствую всех читателей. Это первая статья из цикла Континент Getting Started, посвященных продукту компании Код Безопасности Континент 4.

Код Безопасности отечественная компания, занимающаяся разработкой программных и аппаратных средств защиты информации. Центральный офис находится в Москве. Имеются офисы в Санкт-Петербурге и Пензе.

Код безопасности ранее входил в ГК Информзащита как отдел разработки. В 2008 году Код Безопасности стал самостоятельной компанией. Из продуктов, на тот момент уже были разработаны первые версии Secret Net Studio (защита АРМ от НСД), ПАК Соболь (средство доверенной загрузки) и АПКШ Континент (защита периметра сети). Основная задача состояла в дальнейшем развитии собственной линейки программно-аппаратных средств защиты.

История развития компании представлена на рисунке ниже:

На сегодняшний день Код безопасности является одним из лидеров отечественного ИТ рынка. У компании есть решения для защиты сетевой безопасности (защита веб-приложений, система обнаружения вторжений, создание VPN-сетей, UTM), защиты виртуальных сред, защиты конечных станций, защита мобильных устройств и защита электронного документооборота.

Продукция Кода безопасности сертифицирована по требования ФСТЭК России, ФСБ России и МО РФ, что позволяет компании применять их для защиты как информации конфиденциального характера, так и государственной тайны.

В настоящее время идет активное развитие продукта под названием Континент 4. Континент 4 универсальное устройства корпоративного уровня для всесторонней защиты сети (UTM) с поддержкой алгоритмов шифрования ГОСТ. UTM продукт по формату все включено, объединяющий в себе межсетевой экран, систему обнаружения и предотвращения вторжений, антивирус и т.д.

Континент 4 реализует следующие основные функции:

• межсетевое экранирование;

• обнаружение и предотвращение вторжений в информационную систему;

• обеспечение доступа пользователей к ресурсам VPN

• поддержка сетевых возможностей, таких как коммутация и маршрутизация пакетов, преобразование сетевых адресов, организация VLAN и др.;

• автоматическая регистрация событий, связанных с функционированием комплекса, в том числе событий НСД;

• централизованное и локальное управление компонентами комплекса.

Если в прошлых версиях Континент механизмы безопасности были представлены на отдельных устройствах (Криптошлюз, криптокоммутатор, детектор атак и тд), то в 4 версии все эти механизмы содержатся в едином узле безопасности.

Для обеспечения отказоустойчивости устройство поддерживает кластеризацию в режиме Active/Passive.

Варианты внедрения

Континент 4 представляется в трех вариантах исполнения:

1.UTM позволяет одновременное функционирование на УБ модулей:

• ЦУС;

• межсетевой экран;

• приоритизация трафика;

• L2VPN;

• L3VPN;

• детектор атак;

• сервер доступа;

• модуль идентификации пользователей;

• модуль поведенческого анализа.

2.Высокопроизводительный МЭ позволяет одновременное функционирование на УБ модулей:

• межсетевой экран;

• приоритизация трафика.

3.Детектор атак позволяет функционирование узла безопасности только как система обнаружения/предотвращения вторжений.

Комплекс Континент 4 включает в себя Менеджер конфигурации (программа управления ЦУС) и узел безопасности (УБ). В рамках нашего цикла мы рассмотрим функционал UTM решения.

Функционал Континент 4

Компоненты защиты:

• Центр управления сетью (ЦУС) предназначен для управления комплексом. ЦУС можно вынести как на отдельное устройство, так и использовать в составе с другими компонентами.

• Межсетевой экран осуществляет фильтрацию трафика, в соответствии с заданными правилами. Функционирует на 3, 4 и 7 уровнях модели OSI.

• L2VPN обеспечивает защищенную передачу ethernet кадров.

• L3VPN обеспечивает защищенную передачу данных по каналам общего пользования между локальными сетями.

• Детектор атак обнаружение и предотвращение вторжений сигнатурным методом.

• Сервер доступа обеспечивает подключение удаленных пользователей к защищаемой сети.

• Идентификация пользователей обеспечивает идентификацию встроенных пользователей и пользователей из Active Directory.

• Модуль поведенческого анализа предназначен для обнаружения атак, основанных на сканировании или направленных на достижение отказа в обслуживании сетевых ресурсов.

Лицензирование

В базовую лицензию при покупке UTM-устройства входят:

• система обнаружения и предотвращения вторжений,

• расширенный контроль приложений,

• защита от вредоносных веб-сайтов,

• ЦУС,

• L3VPN,

• Межсетевой экран,

• Сервер доступа на 2 подключения,

• Лицензии на обновление сигнатур СОВ, базы приложений и базы вредоносных сайтов предоставляются на 1 год.

Модельный ряд

Континент 4 поставляется в следующих вариантах исполнения:

Начальный уровень - Представляется моделями IPC-10 и IPC-50. Шлюзы данного уровня подойдут для малого бизнеса и филиалов.

Корпоративный уровень - Представляется моделями IPC-500, IPC-500F, IPC-600, IPC-800F. Шлюзы этого уровня подходят для предприятий среднего бизнеса.

Уровень ЦОД и крупных сетей - Модели данного уровня: IPC-1000F, IPC-1000NF2, IPC3000F, IPC-3000NF2. Подходят для защиты сетей крупных предприятий, учебных заведений, министерств, ЦОД. Модели с индексом NF2 могут выступать не только как UTM устройство, но и как высокопроизводительный межсетевой экран.

Производительность устройств варьируется от 100 Мбит/с до 80 Гбит/сек.

Сертификация

В настоящий момент Континент 4 находится на стадии получения сертификатов ФСТЭК России и ФСБ России. Планируется летом 2021 года получить сертификаты по требованиям РД ФСТЭК и в конце 2022 года по требованиям РД ФСБ.

Тестовый стенд

Континент 4 возможен только в аппаратном варианте исполнения. Но на официальном сайте Кода безопасности есть тестовый стенд с виртуальными машинами комплекса. Мы рассмотрим функционал версии 4.1. Необходимое ПО, лицензии, и образы вы можете запросить у вендора или скачать с официального сайта в Центре загрузок. Проводить тестирование комплекса мы будем в виртуальной среде ESXI. При необходимости можно это сделать в VMware Workstation. Ниже мы подробно покажем предварительную настройку Workstation.

Макет тестового стенда будет содержать следующие ВМ Континент:

1.Континент 4.1 (УБ с ЦУС) CPU 4, RAM 10 Gb, HDD 100 Gb. Шлюз в центральном офисе. 2.Континент 4.1. (подчиненный УБ) CPU 4, RAM 10 Gb, HDD 100 Gb. Шлюз в филиале.

Настройка Workstation

Предварительно необходимо будет настроить VMware. При установке VMware Workstation создается 2 сетевых адаптера: VMnet1 и VMnet8. На УБ с ЦУС используется 3 сетки. Настроим новое сетевое подключение VMnet2. Таким же образом потребуется создать сетевые подключения для подчиненного узла.

Заключение

Одним из ключевых факторов развития является то, что Континент 4 это первое UTM решение на отечественном рынке, поддерживающие шифрование по ГОСТ. Также компания получила патент на высокопроизводительный межсетевой экран за разработку уникальной технологии обработки сетевых пакетов, что существенно увеличивает пропускную способность межсетевого экрана.

По требованиям к законодательству, стоит сказать, что в настоящий момент актуальной и сертифицированной версией является АПКШ Континент 3.9. Комплекс имеет ряд сертификатов ФСТЭК по требованиям к Межсетевым экранам (3-й класс защиты типа А), к Система обнаружения вторжений (3-й класс защиты типа А) и 3-й уровень доверия и сертификаты ФСБ по требованиям к Межсетевым экранам (4-й класс), СКЗИ (КС2/КС3) .

В дальнейших статьях мы рассмотрим следующие возможности комплекса:

• Межсетевое экранирование

• Работа с веб фильтрами

• Ssl-инспекцию

• Систему обнаружения и предотвращения вторжений

• VPN возможности

Подробную информацию о продукте можно найти на странице Код Безопасности.

P.S. Если у вас уже есть устройства Континент, вы можете обратиться к нам за профессиональной технической поддержкой, в то числе оставить заявку на бесплатный тикет.

Автор - Дмитрий Лебедев, инженер TS Solution

Когда мы купили квартиру и делали в ней ремонт, телефоны были еще кнопочными, а Wi-Fi роутеры если и существовали, то в качестве диковинки. Предполагалось, что интернет будет подключен через витую пару к компу, а сам комп будет стоять на балконе, потому что балкон будет теплым и в нем будет кабинет. Квартира была без отделки, и поэтому мы решили сделать умный ход чтобы не тащить провода под плинтусами от коридора до балкона (как обходить двери?) мы заложили гофру в бетонный пол и протащили кабель напрямки. И нет, штробить бетон не пришлось, потому как он и так был снят для монтажа теплого водяного пола. Первые пару лет я даже гордился таким решением. Еще бы! Никаких дыр в стенах, никаких уродских кабель-каналов и интернет где нужно! Но года через 2-3 начали появляться всякие гаджеты, мы купили Wi-Fi роутер и тут появилась проблема.

На схеме роутер отмечен синим крестиком.

Если в кабинете и в соседней комнате все было шикарно, то на кухне (она же зал, где диван и все часто тусят) сигнала почти не было. Мешала несущая кирпичная стена. Для решения вопроса я рассматривал 3 варианта:

1. Купить новый мощный роутер, который будет пробивать все преграды. За и против:

+ Изящное решение: не надо ничего сверлить и переделывать глобально.

- В 2011 году ВОЗ отнес мобильники к канцерогенным факторам и рекомендовал пользоваться проводной гарнитурой, громкой связью и чатиться для того, чтобы не подносить телефон в режиме связи близко к голове. Тогда я сам это читал на их сайте, однако сейчас, когда я полез за ссылью эта информация оттуда исчезла. Может потому что обнаружилось, что мобильники на 100% безопасны и ежегодное увеличение процента больных раком мозга тут не причем, а может потому что это мешало увеличивать продажи... Несмотря на троеточие я реально не знаю. И, да, я в курсе, что у роутера другая частота, но сидеть жопой на мощном излучателе и проверять на себе все равно не хочется.

- Промышленный роутер будет пробивать стену и отдавать данные от себя, но ведь ему еще и принимать данные нужно с обычного устройства, которое такую преграду может не пробить. Будет ли это вообще работать?

2. Купить повторители.

+ Опять же не надо ничего вскрывать и сверлить и нет минусов предыдущего пункта.

- Учитывая схему нашей квартиры и расположение розеток нужно минимум 2 повторителя, чтобы обойти стену.

- Выглядят повторители опять же по уродски, как огромный зарядник торчащий из стены, только зарядник можно убрать, а эти приблуды будут всегда торчать из стены и занимать розетки.

3. Продырявить стену рядом с роутером и поставить в зале свой роутер.

+ Надежный сигнал

+ Опрятный внешний вид

- Непонятно как это реализовывать и возможно ли это вообще?

Честно сказать, простого решения как соединить 2 бытовых роутера проводом, чтобы они работали, как один я не нашел. Если кто знает, подскажите! Вообще этот третий вариант мне подсказал сам роутер, вернее его внешний вид:

Зачем ему две антенны? Вот бы взять одну и протащить в соседнюю комнату? Я позвонил в магазин, торгующий железом и спросил:

-Подскажите, у роутера такого-то есть 2 антенны, они обе равноценные? Каждая и передает и принимает? Или одна только передает, а другая только принимает сигнал?

-ХЗ, вежливо ответил продавец и порекомендовал звякнуть производителю.

Я так и сделал.

- ХЗ, вежливо ответил производитель.

Оговорюсь, что насчет вежливости это не сарказм. Парень, который меня консультировал, сказал, что у него первый раз такое спрашивают, потом долго выяснял, куда-то ходил и с кем-то созванивался, однако внятно ответить зачем роутеру две антенны так и не смог.

Тогда я решил рискнуть и купил удлинитель. Вот такой:

Сначала поэкспериментировал так. Выкрутил одну антенну из роутера совсем, а вторую прикрутил через удлинитель и отнес на максимальное расстояние от роутера. Работает! Также проверил другое гнездо роутера работает! После этого пробурил отверстие. Сверлил на уровне около 4 см над полом, предварительно сняв плинтуса.

Самым сложным в этом процессе было найти бур подходящей длинны. Толщина стены оказалась 50 см! Не то, чтобы было легко ее пробить и попасть куда нужно, но найти нужный инструмент (не покупать же из-за одной дырки!) было сложнее.

Решение оказалось идеальным. Обе антенны, как выяснилось опытным путем, равноценны.

В зале антенна просто торчит на проводе (он довольно жесткий) в неприметном месте.

В результате все розетки свободны, сигнал уверенный и при этом не избыточный.

Кстати упомяну еще один лайф-хак запитать роутер через таймер в розетку. Вот такой:

Зачем?

Во-первых, затем, что нет лишнего излучения ночью, когда инетом никто не пользуется.

Во-вторых, такая штука очень помогает соблюдать режим. Как мне самому, так и ребенку. Да, на таймере есть кнопка ручного включения. Но таймер вместе с роутером стоит высоко на шкафу, просто так не дотянешься, а когда он вырубает инет я уже всегда лежу в кровати и прокрастинирую в телефоне вставать и идти лезть на шкаф мне просто лень. И, да, с нашими стенами сотовый интернет у нас почти не ловится. Вобщем схема рабочая.

В третьих, ежедневное отключение роутера на 7 часов продлевает ему жизнь, а перезагрузка только на пользу.

Правда, у такого таймера есть недостаток. Ночью, когда очень тихо, слышно как он тикает. Лично меня это парило, поэтому довольно быстро я заменил его на другой, электронный.

Вся эта история приключилась со мной уже много лет назад и вероятно сейчас есть более изящные решения вопроса, но возможно кому-то подойдет именно такой вариант. От себя могу сказать, что схема отлично обкатана и 100% рабочая. У меня до сих пор все тот же роутер. Также с годами выяснилось (особенно когда ребенок дорос до личного гаджета), что в вопросе таймера п. 2 стал для нас гораздо более актуальным, чем п.1

Доброго времени суток каждому, кто читает это статью!

О том, для чего вы можете использовать нашу систему SRAPS, мы вам ранее рассказали в этой статье. Давайте посмотрим, как вы можете это сделать. Сегодня перед вами обзор-инструкция по подключению аппарата к системе и использованию ее функционала. Давайте приступим.

Регистрация в системе

Начнем с начала, с регистрации в системе. Для регистрации достаточно пройти по ссылке и заполнить поля простой формы.

После проверки ваших данных, вам на почту придет подтверждение регистрации, и вы сможете войти в систему.

Заведение аппарата

Для заведения аппарата в систему необходимо знать его MAC-адрес. Его можно увидеть:

• на коробке устройства;

• на самом аппарате;

а также в веб-интерфейсе телефона, если вы не имеете к нему физического доступа. Зная MAC-адрес, займемся непосредственно процессом добавления.

После входа в систему нам необходимо перейти в раздел Телефоны и нажать на кнопку Добавить

Здесь необходимо указать MAC-адрес, выбрать компанию, к которой будет приписан настраиваемый аппарат, и выбрать профиль настройки, если он уже создавался ранее.

После нажатия на кнопку Сохранить, мы попадаем в меню конфигурации нашего аппарата.

Настройка параметров

Параметры настройки телефона представлены в правой части дисплея. Выберем в правом меню раздел SIP Account Credentials и укажем параметры необходимые для регистрации на сервере.

Укажем для них необходимые нам значения и сохраним изменения. При добавлении значения мы можем выбрать, как он будет применяться для данного аппарата. Значение параметра может иметь приоритет относительно настроек уже имеющихся на аппарате. Указав в поле Разрешение вариант Чтение & запись мы принудительно заменим значение этого параметра на телефоне на указанное в системе. Если же нам необходимо, чтобы приоритет был у уже внесенных на телефоне параметров, необходимо указать Читать & Оставаться. Вариант Только чтение позволит нам подтянуть в систему настройки с телефона. Удаление какого-либо параметра из шаблона конфигурации при этом не ведет к очистке значения на телефоне, об этом стоит помнить.

Кроме того, при добавлении параметров учетной записи SIP, стоит обратить внимание на поле "Индекс". В данном случае это номер конкретного аккаунта. Чтобы все настройки относились к одной учетной записи в телефоне - следите, чтобы номера в данном поле всегда соответствовали номеру аккаунта, который вы сейчас настраиваете.

Здесь же, при создании шаблона настроек, мы можем направить аппарат на собственный сервер Autoprovision. Используем единственный параметр из раздела настроек "Redirection" и укажем нужный нам адрес сервера. После этого, телефон обратившийся к SRAPS будет направлен за файлами конфигурации на указанный адрес. Поскольку адрес сервера является одним из настроек в шаблоне конфигурации, вы можете указать часть настраиваемых параметров здесь, в SRAPS, а остальные применить с собственного сервера с помощью конфигурационных файлов, нужно лишь помнить что для аппарата более приоритетными будут последние полученные настройки, в данном случае настройки с вашего сервера provision-сервера.

Когда шаблон настроек создан в нашей системе и привязан к аппарату (это происходит автоматически, если мы создаем его при добавлении телефона в систему), нам остается лишь перезагрузить наше устройство и настройки подгрузятся из созданного ранее шаблона. Теперь нам необходимо обновить ПО нашего устройства до актуальной версии.

Обновление ПО

Пожалуй, не самым очевидным, но достаточно важным преимуществом использования SRAPS для обновления устройств, является то, что вам нет необходимости иметь на вашем ПК сам файл ПО для обновления. Необходимо лишь знать номер версии на которую вы хотите обновиться и ввести ее в соответствующем поле, система сама подберет файл под модель аппарата. Как и в случае с настройкой телефона, для обновления ПО необходимо перезагрузить телефон.

Легко сказать "Знать номер версии", возможно думает в этот момент читатель. Чтобы вопросов по актуальности версий не возникало, давайте разберемся где и по какому признаку проверить эту самую актуальность. Зайдем в любой поисковик, наберем "snom service hub" и пройдем по первой ссылке. Открывшаяся страница - ресурс с информацией по устройствам Snom и каталог файлов для этих устройств. В данном случае нас интересует раздел "Firmware", в него мы и перейдем.

Все программное обеспечение в данном разделе уже "разложено" в правильном порядке, от наиболее нового к более старому. Мы настоятельно рекомендуем использовать актуальные версии ПО, поэтому нам необходимо скопировать название версии из верхней строки и указать его в соответствующей строке SRAPS.

Помимо указания версии ПО, раздел "Настройки по умолчанию" позволяет также кастомизировать интерфейс аппарата. Делать это с помощью SRAPS куда как более удобно, чем использовать для этого XML-файлы. Меню системы создано для простого и понятного внесения изменений в настройки любых параметров ваших телефонов.

Итог

В данном обзоре мы рассмотрели наиболее часто используемые действия, производимые с аппаратом, и увидели, насколько она просты. Система понятна в эксплуатации, и мы предлагаем вам как можно скорее познакомиться с ее функционалом. Ну а если у вас возникнут в процессе какие-то вопросы - задавайте их, мы вместе в них разберемся.

Основная идея асинхронного поллинга

Асинхронность позволяет сильно увеличить парралельность работы. В случае сетевого взаимодействия и съема SNMP времена ожидания ответов большие, что позволяет программе заняться чем-то полезным пока не пришел ответ.

Есть синхронные способы реализации парралельности форки, треды. Это просто с точки зрения написания программы, но это очень дорого с точки зрения ресурсов ОС

Немного математики

Математика будет инженерно-прикидочная, точность 20%

Я хотел опрашивать 100 тысяч устройств по 100 метрикам каждое один раз в 5 минут, с запасом один раз в минуту.

То есть нужно снимать 10 млн метрик в минуту или 150 тысяч в секунду. Округлю до 100 тысяч метрик в секунду.

Опрос одной метрики занимает около 5мс: 4мс отвечает устройство, + 1мс на обработку.

Это значит, что один синхронный поток может обрабатывать 200 метрик в секунду или нужно 500 синхронных потоков. Вполне реалистично.

(Все, конец, больше писать нечего)

На самом деле это только начало. Фишка в не идеальности мира, а именно в потерях ответов на запросы.Потери происходят из-за потерь траффика или недоступности устройств.

В моем случае таймаут ожидания составлял одну секунду и делалось 2 попытки, значит на недоступном устройстве можно потерять 2000мс на ожидание

Посчитаем еще раз

По нашему опыту в инфраструктуре вчегда недоступны 3% устройств. Причины разные работы по модернизации, обрывы сети, отключения света.

Итак, 3% метрик опрашиваются со скоростью 2000мс.

В таком случае один поток cможет опрашивать всего 15,5 метрик в секунду.

Но введем оптимизацию и в случае, если у устройства 5 раз подряд не удается снять метрики, остальные 95 метрик не будем снимать в текущем цикле опроса. Получится, что один поток может обрабатывать 125 метрик в секунду или нам нужно будет 800 потоков. На грани, но можно.

Учтем специфику задачи у нас мониторинг и нам интересно чтобы он быстро работал _особенно_ когда все идет нет так. Плюс есть технические аргументы 800 потоков генерируют высокую конкуренцию за общие ресурсы и в целом, работают плохо в системе, которая по дизайну была рассчитана на десятки потоков.

А что, если недоступно не 3%, а 20% или все 100% устройств?

Ок, посчитаем еще один раз

Чтобы не было скучно вымышленный, но вполне возможный пример из какого ни будь постмортема ошибка конфигурации X привела к недоступности по мониторингу и управлению примерно половины сети. Исправление было сделано сразу же, проверенные вручную 10 устройств стали доступны, но реально проблема решилась только в одном сегменте, поэтому устранение для остальной части сети затянулось на 2 часа.

Хорошо бы, чтобы мониторинг мог локализовывать и такие аварии, когда и 45%, и 99% сети недоступно.

Тогда немного другая задача: 100% устройств не отвечают. Сколько нужно потоков, чтобы увидеть, что они заработали в течении 30 секунд? - Около 7 тысяч.

Такую параллельность разумно обеспечить асинхронностью

Входные данные

Система написана на С, парралельность обеспечена форками, для синхронизации используются мьютексы, активно используется Shared Memory для хранения объектов. Реализация SNMP на основе Net-SNMP

Задача минимальными усилиями сделать так, чтобы поллинг был асинхронным

Реализация1 : все что работает пусть работает, лишнего не трогай

Кажется, нужно просто добавить парралелизма?

Я взял код синхронной версии поллера SNMP, изменил размеры массивов, немного переписал инициацию SNMP, чуть помучался с сильно возросшими требованиями по памяти, но получил псевдо-асинхронный режим работы:

Работал он примерно так:

Сначала идет период получения списка задач на поллинг, потом разом инициируются соединения и запросы по всем метриками и поллер ждет прихода ответа от всех. Большинство хостов отвечают очень быстро, но, как правило, приходилось ждать полный таймаут, так как хоть один из элементов данных терялся по тайм-ауту.

Схема сильно упрощена количество одновременных запросов 2 тысячи, и масштаб ожидания тоже другой. В реальности ожидание таймаута выглядит примерно так:

Несмотря на простую реализацию, прирост скорости оказался примерно 100- кратным.

С установкой на продуктив появились особенности устройства, обладающие большим количеством элементов, стали опрашиваться нестабильно.

Но схема хорошо работала на большом количестве одинаковых небольших устройств.

Поэтому появилась вторая реализация:

Реализация2 : Синхронно-асинхронный режим работы

Анализ показал, что устройства с большим количеством метрик получают разом от десятков до сотен запросов, на часть из которых не отвечают. То есть нужно вводить сериализацию запросов для хостов. Перед началом цикла опроса запросы сортировать по хосту и для одного хоста задания выполнять одно за другим. Если случится тайм-аут или два подряд, то дальнейшие задания для этого хоста отбросить.

Стало лучше. Но проблемы с хостами с большим количеством метрик остались: все еще иногда фиксировались не ответы или потери элементов.

На количестве метрик больше 2-3 тысяч такая потеря происходила примерно в каждом цикле опроса и приходилось увеличивать количество попыток или отбрасывать элементы только после 3-4 неудачных опросов, что затягивало общий цикл съема.

В итоге, вторая реализация стала работать качественней, но потеряла в скорости. Стало ясно, что малой кровью не обойтись.

Реализация3 : Настоящая асинхронная

Это первая версия, которая могла считаться истинно асинхронной. Для ее реализации пришлось ввести полноценную машину состояний для каждой операции, благо в случае SNMP это протокол UDP и состояний немного.

Введение состояний позволило разсинхронизировать общую работу соединений и получать новые элементы данных по мере того, как появлялись свободные соединения:

Реализация получилась существенно сложнее, но позволила не зависеть от скорости опроса конкретных хостов и их неответов, утилизация соединений резко возросла, но опять полностью от неответов избавить не удалось, хотя они стали очень редки.

Реализация3.5 : еще лучше, еще быстрее

Вины механизма поллинга в неответах не было. Проблема была в механизмах распределения задач. Один хост мог попасть в несколько асинхронных поллеров и в таком случае сразу несколько поллеров его начинали параллельно опрашивать.

Поэтому нужно было оптимизировать механизмы распределения задач на поллинг.

Сначала я сделал так, чтобы один хост гарантированно попадал в один и тот же поллер. Потери пропали, хотя иногда хосты с 3-4 тысячами метрик могли ожидать 2-4 минуты пока устройство отвечало на все запросы и такие метрики фиксировались как опаздывающие.

Появилась возможность для еще одной оптимизации я не закрывал в одном соединении сокет до тех пор, пока обрабатывал метрики одного и того-же хоста. Фаерволам стало немного легче. Но потом пришлось отказаться: некорректно работал библиотечный механизм таймаутов, который пришлось продублировать своим, но самое неприятное, случались утечки памяти в Net:SNMP.

В итоге, такими стараниями асинхронный поллинг смог достигать цифр 60-70 тысяч метрик в секунду. Дальше он выявил ряд проблем и узких мест в общей архитектуре, упираясь в блокировки больше, чем в ограничения поллинга.

Реализация4.0 : до основанья, а затем

Раз уж удалось гарантировать, что хосты из общей очереди задач всегда будут попадать в свои поллеры, то необходимость держать такие хосты в общей очереди задач отпала.

В 4 версии я реализовал получение сразу всего списка во внутреннюю очередь, с сопутствующей оптимизацией резолвинг и кеширование ДНС, макросов и конфигурации элемента данных делались на входе единоразово. Таким образом, сотни тысяч блокировок конфигурации в общей памяти трансформировались в одну две для выполнения массовой операции обновления элементов в течении достаточно долгого периода времени.

Версию 4.0 оказалось проще переписать заново, так как поллер стал сильно самостоятельным благодаря собственной очереди и опала необходимость подгонять его под логику работы классических поллеров. Еще одна диаграмма работы:

Тут снова не в масштабе расстояния между оранжевыми столбцами обновлениями конфигурации огромны, это минуты, нужно картинку удлинить в десять тысяч раз чтобы было пропорционально.

И осталось еще одно ограничение - количество исходящих портов. Так как серверу нужна еще прочая сетевая активность помимо SNMP, общее количество соединений ограничил в 48 тысяч.

Даже это - большая цифра. Поллер с таймаутом в 2 секунды при 100% неответов сможет проверить 15 хостов за 30 секунд в одном соединении или примерно 720 тысяч! хостов за 30 секунд в 48 тысяч соединений.

Эти цифры больше, чем устраивают, но, если нужно больше всегда можно решить с помощью конфигурации с несколькими IP адресами или RAW socket.

Сейчас такой поллинг в тестах упирается в соединения на отметке в 120-140 тысяч метрик в секунду.

На проде снимает около 30-40 тысяч метрик в секунду, работает в один поток, использует при этом 50% одного ядра.

Вывод:

От Реализации1 до Реализации4 прошло почти 2 года. Каждая реализация занимала по 2-3 человеко-недели.

Стоило оно того?

Как простое решение - можно же было просто поднять пачку контейнеров для скейла.

Думаю, что очень даже стоило.

Все, что снималось на 15 вспомогательных серверах, получилось снимать на одном и тот курит.

А мониторинг должен быть максимально простым, а лучше всего - сосредоточенным в одном сервере. Иначе он тоже претендент на выход из строя при инфраструктурных проблемах.

Мониторьте в радость.

Ряд наших устройств имеет встроенный порт RS-232 для считывания данных с источников бесперебойного питания (ИБП) по двум наиболее распространённым протоколам обмена Megatec и Voltronic. Для облегчения тестирования устройств мы разработали небольшую программу-эмулятор. Именно о ней дальше и пойдёт речь.

Протоколы Megatec и Voltronic текстовые и довольно простые. Обмен данными ведётся на низкой скорости 2400 бит/сек, 8 бит данных, без контроля чётности по принципу запрос-ответ. Запросы представляют собой текстовые строки длиной от одного до трёх символов, оканчивающихся байтом перевода строки (код 0x0D). Ответы приходят также в текстовом виде с завершающим символом 0x0D. Значения в ответах разделяются пробелами. Числа могут передаваться либо с незначащими нулями в начале, либо с дополнительными пробелами.

В зависимости от конкретного ИБП таких команд может быть разное количество, но основную информацию можно получить при помощи четырёх из них. Рассмотрим их подробнее.

Q1 запрос текущего состояния
Ответ ИБП:
(MMM.M NNN.N PPP.P QQQ RR.R S.SS TT.T b7b6b5b4b3b2b1b0
( начальный символ.
MMM.M входное напряжение, В.
NNN.N напряжение, при котором последний раз был осуществлён переход на работу от батареи, В.
PPP.P выходное напряжение, В.
QQQ потребляемая мощность, %.
RR.R частота сети, Гц.
SS.S напряжение на батарее, В. Оно может передаваться в двух форматах: SS.S для линейно-интерактивных ИБП или S.SS для онлайн-ИБП (указывается напряжение на одном элементе).
TT.T температура ИБП, C.
b7...b0 статусные биты, которые могут принимать значение 0 или 1.
b7 1 : работа от АКБ, 0 : работа от сети.
b6 1 : низкий уровень заряда АКБ, 0 : АКБ в норме.
b5 1 : байпас включён, 0 : байпас выключен (только для онлайн-ИБП).
b4 1 : авария ИБП, 0 : ИБП в норме.
b3 1 : линейно-интерактивный ИБП, 0 : онлайн-ИБП.
b2 1 : запущен тест ИБП.
b1 1 : ИБП выключен, 0 : ИБП включён.
b0 1 : звуковой сигнал включён, 0 : выключен.

I запрос информации об ИБП
Ответ ИБП:
#CompanyName Model Version
# начальный символ.
CompanyName производитель ИБП.
Model название модели.
Version версия ИБП.

F запрос информации о номинальных параметрах ИБП
Ответ ИБП:
#MMM.M QQQ SS.SS RR.R
# начальный символ.
MMM.M номинальное выходное напряжение, В.
QQQ номинальный выходной ток, А.
SS.SS номинальное напряжение АКБ, В (может быть в форматах SS.SS или SSS.S).
RR.R номинальная частота выходного напряжения, Гц.

QBV запрос информации об АКБ
Ответ ИБП:
(RRR.R NN MM CCC TTT
( начальный символ.
RRR.R номинальное напряжение АКБ, В.
NN количество батарей в АКБ, шт.
MM количество параллельных групп батарей, шт.
CCC ёмкость АКБ, %.
TTT оставшееся время работы от АКБ, мин.

Помимо команд, которые считывают какие-либо параметры ИБП, есть ещё управляющие команды. Часто используются такие:
T запуск теста АКБ на 10 сек.
TL запуск теста АКБ до полного разряда.
T<n> запуск теста АКБ на заданное количество минут.
CT остановка теста АКБ.
Q включение/отключение звукового сигнала ИБП.

На первый взгляд вышеописанные команды очень простые, но дьявол, как обычно, кроется в мелочах. Например, некоторые ИБП вообще не выдают ответы на команды I и QBV. Примером может служить ряд моделей от Ippon.

Также замечено, что различные ИБП выполняют команду Q (управление звуковым сигналом) за совершенно разное время. То есть от момента выдачи команды Q и до момента смены бита b0 в ответе на команду Q1 может пройти до 30 сек!!! А так как включение и выключение осуществляется одной командой, то при автоматизированном управлении может начаться колебательный процесс. Например, контроллеру через Web-интерфейс задаётся выключенное состояние звукового сигнала. Он анализирует текущее состояние ИБП (по флагу b0), и если оно отличается от нужного, то подаёт команду Q. При следующем запросе Q1 контроллер опять проверяет флаг b0 и видит, что он не поменялся. В результате он опять подаёт команду Q. Но ИБП всё это время на самом деле что-то там у себя внутри обдумывал, поэтому не сразу среагировал на первую Q, а тут уже пришла и вторая. В результате звуковой сигнал может остаться включённым. И, более того, в некоторых ИБП при смене статуса звукового сигнала осуществляется короткий бип. А из-за такого колебательного процесса эти бипы могут издаваться много раз, пока наконец контроллер и ИБП не синхронизируются.

Мы решили эту проблему просто смену состояния звукового сигнала проводим только раз в минуту. За это время у ИБП внутри уже всё устаканится.

Ещё один интересный момент заключается в расчёте оставшейся ёмкости АКБ. Считается она по упрощённой формуле:

Здесь:
U текущее напряжение АКБ.
U_min минимально допустимое напряжение на АКБ (обычно около 10В).
U_max напряжение заряженной АКБ (обычно 13,8...14,2В).

Этого обычно достаточно для оценки оставшегося заряда.

Протокол Voltronic на множестве указанных выше команд отличается только одной из них вместо кода Q1 используется QS. При этом форматы ответов совпадают. В наших устройствах реализовано автоматическое определение протокола обмена как раз на основе данного отличия. Контроллер при включении пробует посылать по очереди команды Q1 и QS. На какую приходит ответ, тот протокол дальше и используется. Если в течение определённого тайм-аута на команду перестают приходить ответы (был подключён другой ИБП на горячую), то определение протокола автоматически запускается заново.

Итак, как видно выше, при всей простоте этих протоколов различных комбинаций данных там может быть довольно много. Поэтому для облегчения тестирования наших устройств была разработана программа эмулятора.

Она представляет из себя экран с настройками и выбором COM-порта, через который будет осуществляться обмен. Поддерживаются все указанные выше команды, в том числе и для запуска тестов:

Работа с программой нее вызовет затруднений. Менять любые параметры можно прямо в процессе работы, и тут же видеть результат:

Для оценки работы программы в динамике я записал небольшое видео:

Саму программу эмулятора можно скачать здесь.

Что понадобится и предварительные действия

• ZyXEL Keenetic с USB-портом, любой кроме моделей 4GII/III - одна штука

• Usb Flash - одна штука

Флешка может быть любой. В моем случае это поддельный Kingston, в котором из 8Гб реально нашлось только 256Мб

Проверяем версию прошивки в дешбоарде. Для установки Entware нужна версия прошивки NDMS v2.07 (2.08) и выше. Если у вас она такова - сразу переходите к пункту 2. Установка Entware

Мой опытный образец Zyxel Keenetic DSL с прошивкой 2.05. Без повышения версии прошивки установка Entware на нём преждевременно прекращается с сообщением Opkg::Manager: /opt/etc/init.d/doinstall: FATAL: kernel too old.

Поэтому

1. Обновляем прошивку на версию 2.11 из канала legacy

   1. Соединяемся с роутером
      telnet your_router_ip
      вводим логин/пароль админ юзера

   2. Переключаем канал на legacy:
      components sync legacy - для прошивок до 2.06
      components list legacy - для прошивок 2.06 и выше

   3. В веб-интерфейсе идем System -> Update
      Проверяем, что в поле "Use" появилось значение "Debug version". Жмем кнопку "Update" и ждём.

   4. После установки модем ребутнётся. Проверяем в дешбоарде версию.
      NDMS version: 2.11.D.9.0-1 - Значит, всё получилось.

2. Установка Entware

   1. Качаем установщик для Keenetic DSL, LTE, VOX, DSL (KN-2010), DUO (KN-2110) ( http://bin.entware.net/mipssf-k3.4/installer/mips-installer.tar.gz)
      для остальных интернет-центров Keenetic - mipsel-installer.tar.gz

   2. Берём любую чистую флешку. Я форматировал в FAT32. У флешки обязательно должна быть метка тома (любая, кроме пустой). Вставляем её в роутер.

   3. Проверяем что в System->Update установлены компоненты FTP и OPKG. Если нет - устанавливаем

   4. Если у вас еще не настроен FTP, то заходим в Applications->FTP, включаем FTP сервер, разрешаем анонимный доступ (или не разрешаем, тогда нужно указать, каким пользователям роутера разрешено пользоваться FTP)

   5. Заходим по FTP на роутер (анонимно или нет - см п 2.4), далее в каталог с именем метки нашей флешки (cм п 2.2)

   6. Создаём каталог install и заходим в него

   7. Копируем установщик из п 2.1 в каталог install

   8. Заходим в Applications->OPKG, Ставим галку "Enable", в "Use external storage" выбираем метку нашей флешки, жмём кнопку "Apply"

   9. Переходим в System->Log, ждём сообщения
      "installer[5/5] Установка системы пакетов "Entware" завершена! Не забудьте сменить пароль и номер порта!"
Теперь можно логиниться на порт 22 или 222 с логином root и паролем keenetic
      Не забываем сменить пароль и номер порта ;)
      порт - в файле /opt/etc/config/dropbear.conf
      пароль - командой passwd

   10. Если FTP сервер не нужен - не забываем его выключить.
       Ну, по крайней мере, закрыть анонимный доступ :)
       

3. Установка DNSCrypt2
   Проверяем DNS на утечку перед установкой (в данном случае утечка - это когда ваш браузер лазит к вашему провайдеру чтобы резолвить DNS. И это пока еще нормально, но скоро мы от этого вылечимся)
   https://dnsleaktest.com/
   https://browserleaks.com/dns
   https://whatleaks.com/
   или аналогичные

   1. Заходим в Entware по SSH

   2. Устанавливаем DNSCrypt2
      opkg update
opkg install dnscrypt-proxy2

   3. Устанавливаем немного дополнительных пакетов
      opkg install ca-certificates cron iptables

   4. Редактируем /opt/etc/dnscrypt-proxy.toml
нас интересует строка
      listen_addresses = ['127.0.0.1:53']
      разрешаем слушать любые адреса:
      listen_addresses = ['0.0.0.0:53']

   5. Стартуем DNSCrypt2
      /opt/etc/init.d/S09dnscrypt-proxy2 start

   6. Подменяем DNS резолвер прошивки
      ВНИМАНИЕ! Здесь мы подключаемся к роутеру через telnet (не в Entware по SSH) - см п 1.1 и там выполняем
      opkg dns-override
system configuration save

   7. Идём в вебморду Home Network -> Segments
      Ищем сегмент со своим Wifi подключением, редактируем в секцию DHCP server: прописываем в
      DNS 1 IP роутера
      DNS 2 оставляем пустым

   8. Идем в вебморду Internet -> Connections Выбираем своё исходящее подключение: прописываем в
      DNS 1 IP роутера
      DNS 2 и 3 оставляем пустыми

   9. Идем в вебморду Internet -> Extra Проверяем, чтобы в секции DNS servers не было никаких других серверов кроме IP нашего роутера. Если есть - удаляем.

   10. Переподключаемся к роутеру (по WiFi или проводу) Заодно перепроверяем настройки подключения к роутеру своих устройств, чтобы в них не было принудительно установленных DNS-серверов

   11. Здесь всё (почти работает). Но утечки всё еще возможны. Поэтому мы сейчас запретим весь трафик, который уходит наружу через 53 порт.
       Для чего логинимся в Entware по ssh и создаем скрипт
       /opt/etc/ndm/netfilter.d/10-ClientDNS-Redirect.sh

       ВНИМАНИЕ! Замените 10.1.1.1 на IP вашего роутера
       
       #!/bin/sh
[ "$type" == "ip6tables" ] && exit 0
[ "$table" != "nat" ] && exit 0
[ -z "$(iptables -nvL -t nat | grep "to:10.1.1.1:53")" ] && iptables -t nat -I PREROUTING -p udp --dport 53 -j DNAT --to-destination 10.1.1.1:53
exit 0

       Это можно сделать, например, вот так:
       
       ВНИМАНИЕ! Замените 10.1.1.1 на IP вашего роутера
       
       echo -e '#!/bin/sh\n[ "$type" == "ip6tables" ] && exit 0\n[ "$table" != "nat" ] && exit 0\n[ -z "$(iptables -nvL -t nat | grep "to:10.1.1.1:53")" ] && iptables -t nat -I PREROUTING -p udp --dport 53 -j DNAT --to-destination 10.1.1.1:53\nexit 0' >> /opt/etc/ndm/netfilter.d/10-ClientDNS-Redirect.sh
       

   12. Делаем 10-ClientDNS-Redirect.sh исполняемым:
       chmod +x /opt/etc/ndm/netfilter.d/10-ClientDNS-Redirect.sh


   13. Ребутим роутер (без этого пункта https://browserleaks.com/dns периодически светил мои родные DNS сервера)

   14. Проверяемся на утечки.

Отныне используемые DNS сервера будут находится рандомно по всему миру, а трафик к ним будет шифроваться.

Ссылки по теме

https://forum.keenetic.net/announcement/5-где-взять-тестовые-сборки/ https://help.keenetic.com/hc/ru/articles/115002060049
https://forum.keenetic.net/topic/4299-entware/?do=findComment&comment=50640
https://forum.keenetic.net/topic/4755-защищаем-dns-запросы-с-помощью-dnscrypt-proxy2-бонусом-блокировка-рекламы/

На небольшом офисе сменили оборудование mikrotik 2011 на FortiWiFi 30E. Настроил PPРoE подключение , политики файервола, NAT - интернет заработал на устройствах в локальной сети. А вот настроить IPTV, которое раздает мультикастом местный провайдер , оказалось задачей не из простых , в интернете по настройке IGMP proxy для FortiGate мало информации . На рисунке ниже показана упрощенная схема подключения FortiWiFi 30E и к ней IPTV приставки MAG255.

Исходные данные:

• интерфейс WAN (port1) подключен кабелем к провайдеру и получает по DHCP ip адрес класса А от него. На этот же интерфейс приходит трафик IPTV (IGMP) от провайдера;

• интерфейс Wildpark по протоколу PPPoE авторизируемся у провайдера и получаем доступ в интернет;

• интерфейс Lan (port2) , с ip адресом 192.168.42.1/24 смотрит в локальную сеть с пару компами и IPTV приставкой , на нем работает DHCP сервер и раздает хостам ip адреса подсети 192.168.42.0/24;

Для настройки IGMP proxy нам необходимо включить Multicast Policy , заходим System->Feature Visibility->Multicast Policy enable и жмем Apply. И включить настройку в командной строке FortiGate multicast-ttl-notchange, для того что бы не изменялся TTL у мультикаста проходящего через роутер.

fortinet# config system settingsfortinet(settings)# set gui-multicast-policy enablefortinet(settings)#set multicast-ttl-notchange enablefortinet(settings)#end 

Следующим шагом отключаем multicast-routing если он включен:

fortinet# config router multicastfortinet(multicast)#  set multicast-routing disable    fortinet(multicast)# end

Теперь что бы побежал мультикаст на IPTV приставку , а с нее запросы на получения группы с определенным IP адресом класса D, необходимо настроить два правила Multicast Policy ,которые находятся в GUI Policy & Object->Multicast Policy.

В первом правиле разрешаем мультикаст трафик с WAN интерфейса в локальную сеть Lan , где Source Address 0.0.0.0/0 , а Destination Address 224.0.0.0-239.255.255.255.

в командной строке:

fortinet# config firewall multicast-policy fortinet(multicast-policy)# edit 1 fortinet(1)# set srcintf "wan" fortinet(1)# set dstintf "lan" fortinet(1)# set srcaddr "all" fortinet(1)# set dstaddr "all" fortinet(1)# next fortinet(multicast-policy)# end

Во втором правиле разрешаем запрос на группу мультикаста от IPTV приставки с Lan на WAN , где Source Address 0.0.0.0/0 и Destination Address 224.0.0.0-239.255.255.255.

В CLI :

fortinet# config firewall multicast-policy  fortinet(multicast-policy)# edit 2 fortinet(1)# set srcintf "lan" fortinet(1)# set dstintf "wan" fortinet(1)# set srcaddr "all" fortinet(1)# set dstaddr "all" fortinet(1)# nextfortinet(multicast-policy)# end  

И можно наслаждаться просмотром телеканалов на IPTV приставке. Прошу строго не судить, проба пера. Очень хороший цикл статей и видео по мультикасту, который помог мне разобраться с этой технологией, спасибо автору.

Предыстория

Буквально несколько месяцев назад домашний интернет стал работать можно сказать ужасно, происходило это только по вечерам во время когда у провайдера нет людей которые могли бы выехать на место, письма, заявки и так далее не давали никаких результатов, говорят что специалист приедет днем, а что мне днем когда не работает вечером, так в один из дней я решил провести некоторые пентестерские изыскания в сети своего провайдера. Если вам стало интересно добро пожаловать под кат.

PT0.1ENUM

Решил начать сканирование с подсети 10.3X.X.0/24 т.к она светилась в трасерте несколько раз

насканив несколько свитчей с доступом по 80 порту решил проверить несколько других портов 161(SNMP) и 179(BGP) по итогу получил несколько свитчей с открытым SNMP и тут из всей пачки мне достался один с мисконфигом public и private не были удалены, что и сыграло мне на руку позже

PT1.1Gath

Получив доступ по SNMP к одному из свитчей определился что свитч этот DGS-3620-28SC гигабитный Управляемый L3 стекируемый коммутаторс 20портами SFP,4комбо-портами100/1000Base-T/SFPи4портами 10GBase-X SFP+, используя private community решил слить себе бэкап конфига что мне и удалось используя snmpset

snmpset -v2c -c $COMMUNITY $IP 1.3.6.1.4.1.171.12.1.2.18.1.1.3.3 a $TFTP_SERVER_IPPsnmpset -v2c -c $COMMUNITY $IP 1.3.6.1.4.1.171.12.1.2.18.1.1.5.3 s $FILE_NAME.cfgsnmpset -v2c -c $COMMUNITY $IP 1.3.6.1.4.1.171.12.1.2.18.1.1.7.3 s config.cfgsnmpset -v2c -c $COMMUNITY $IP 1.3.6.1.4.1.171.12.1.2.18.1.1.8.3 i 2snmpset -v2c -c $COMMUNITY $IP 1.3.6.1.4.1.171.12.1.2.18.1.1.12.3 i 3

покопав немного конфиг получаем пароль vfrtgb45switch(заменен в целях безопасности провайдера), а так же другое community string vfrtgb45switch и vfrtgb45switchrw теперь, пробежимся по остальным свитчам и добавим для удобства в последнюю виндовую версию The Dude, после этого мы увидим то что нам действительно нужно это MNGT vlan это 4002 с подсетью 172.2X.X.0/15

Потратил очень много времени на поиски места где же всё таки конфиг разрешает из сети юзера попасть в mngt vlan оказалось это еще несколько мисконфигов в некоторых свитчах, позже просканив еще несколько сетей я нашел свитч ARISTA-100G-CityPlace1 и его брата ARISTA-100GCityPlace2, в общем на данный момент у меня есть доступ к 50 L3 свитчам(до остальных в принципе он и не нужен), на которых спокойненько можно запустить TCPDUMP и собирать трафик всех наших прекрасных пользователей.

PT2.1 Разговор с провайдером

Спустя два месяца после получения первых доступов я добрался до ядра сети, но не стал делать всё плохо(хотя мог просто отключить консоль на всех свитчах, сменить community string и пароль), решил оформить все как надо, пообщаться с директором компании и объяснить ему что мисконфиги это плохо и надо проводить аудиты время от времени, но столкнулся с проблемой, связи с директором увы нет, админа которого мы нашли при помощи знакомых, откровенно сказал что это всё нае***ово и никто его сеть не сможет взломать. позже пошел в центральный офис, в пятницу, сказали что принимает только по вторникам, то есть ему пофиг как и админу, ок не стал торопить события, написал эту статью подготовился и пошел к нему во вторник, он меня не принял со словами завтра позвоню, в итоге на следующий день мне в лс постучался админ который так же котегорично сообщил что ему насрать на то что происходит, то есть компании Turon Telecom абсолютно пофигу безопасность данных которые передают их пользователи.

PT3.1 Для тех кто не смыслит в IT и будет читать это

Для обычного пользователя интернета данного провайдера это кажется не особо важным, но если вчитаться в это можно понять что в любой момент могут быть украдены Ваши логины и пароли от не зашифрованных служб например доступ к сайтам через HTTP, почту которую вы отправляете по SMTP, имея ваш IP адрес злоумышленник сможет видеть сайты которые вы посещали DNS, в общем полные доступы к вашим данным которые не имеют шифрования, это может стать очень пагубным для вас, я не один такой который сможет получить доступ к этой сети. так что люди думайте о своей безопасности!

PT4.1 Ожидание реакции

Сейчас дописал статью и в ожидании реакции или людей которые ее прочтут или реакции провайдера

Несколько месяцев назадSynologyна онлайн-конференции 2021ANDBEYONDпредставила новую версию своей операционной системыDiskStationManager7.0.DSM это унифицированная операционная системаSynology, в версии 7.0 появилось много инноваций, касающихсяхранения данных,резервированияигибридного облака. Но обо всем по порядку.

Сегодня обрабатываются беспрецедентные объемы информации, будь то для анализа данных, сферы искусственного интеллекта, интернета вещей, телемедицины и других бесчисленных технологических направлений. Все это влияет на наш образ жизни и ведение бизнеса,формируя экономику данных, где больший объем данных дает конкурентное преимущество перед остальными. сказал Филип Вонг, основатель и главный исполнительный директорSynology. Платформа DSM, которую мы продолжаем активно дорабатывать, является базой для решения проблем безопасности, надежности и управления. Мы разрабатываем наши решения для клиентов разного масштаба, от индивидуальных пользователей до крупных предприятий, оперирующих огромными массивами данных. Все это позволит нашим клиентам сфокусироваться на том, чтобы извлечь из данных максимум. Я рад анонсировать новую версию DSM 7.0, которая станет доступна в 2021 году. Она обеспечит новые возможности управления данными.

ВDSM7.0 были улучшены все аспекты операционной системы, от управления хранилищем и пользовательского интерфейса до функций облака, в том числе масштабный мониторинг устройствSynologyInsightиHybridShare.

Команды наших разработчиков не покладая рук улучшают удобство использования, надежность, производительность и масштабируемость ключевые аспекты DSM 7.0, сказалДерренЛу, исполнительный вице-президент группы операционных систем и приложений. Мы начали с основ, полностью переработали подсистемы хранения, интерфейс управления и даже переписали процессы аутентификации, чтобы они были проще и безопаснее. Мы сосредоточили наши усилия, чтобы создать мощные приложения и инструменты, которые будут проще в использовании. В результате наши клиенты получат возможность легко управлять своими данными и извлекать из них максимум.

Новые функции системы храненияDSMупрощают и ускоряют работу системных администраторов, предоставляя оптимальные возможности обслуживания.

Мы разделим инновации вDSM7.0 на пять основных групп, которые рассмотрим ниже. И начнем мы с основной функцииNAS хранения данных.

Система хранения данных

Учитывая экспоненциальный рост данных бизнес-клиентов, требуются высокопроизводительные, емкие и удобные в управлении системы хранения данных. Чтобы помочь клиентам выжать максимум изSynologyNAS, вDSM7.0 произошли серьезные обновления.

Новый Диспетчер храненияобеспечивает более интуитивный интерфейс управления, по функциям обслуживания теперь обеспечивается большая гибкость. Благодаря оптимизации протоколов и подсистемы хранения удалось увеличить производительность. Здесь следует отметить поддержкуFibreChannel,RAID6 и кэширования наSSD. Были добавлены и новые типы томов для архивации, которые поддерживаютемкость до 1 Пбайт.

Подробности можно посмотреть наофициальной странице Synology.

Новый Диспетчер хранения

ВDSM7.0 раскладкаДиспетчера хранениябыла изменена, теперь она стала более наглядной и понятной.

Пункт Обзорпозволяет с первого взгляда определить нехватку дискового пространства или деградацию массива. Теперь информация о расположении накопителей вNASвыводится более наглядно, пользователи сразу же видят, какой накопитель где находится, и какиеHDD/SSDтребуется заменить.

Пулы, тома и диски теперь выводятся в виде иерархии, что лучше соответствует взаимоотношению между ними. На примере выше Том 1 создан в Пуле ресурсов хранения 1, к нему привязан КэшSSD1.

Пункт Сведения об использованиипозволяет посмотреть, как расходуется пространство на томе.

Новая функция Замените дискпозволяет заменить предположительно дефектный или старый накопитель в пуле, выбрав незадействованный диск в другом отсеке без деградации массива. Во время процесса замены все сервисы продолжат работать, выключать или перезагружатьNASне нужно. Система клонирует выбранный диск, перестройки массива при этом не будет. Функция Замените диск интересна не только пользователям, которые заранее хотят поменять старый диск, но и для перехода наHDD/SSDболее высокой емкости.

Еще одна новая функция Автоматическая замена. Она работает вместе с дискамиHotSpare, которые оставлены в системе про запас, они будут подключены вместо вышедшего из строя накопителя в деградировавшем массиве. С функцией Автоматическая замена процесс замены будет осуществлен, если накопитель достиг критического состояния. Что позволяет заменить диск еще до непосредственного выхода из строя. Таким образом, можно избежать деградации массива.

Если массив деградировал, его следует исправить как можно быстрее, чтобы восстановить резервирование информации.Функция быстрого восстановленияобрабатывает только используемое пространство тома, игнорируя свободное. В результате снижается время перестройки массива. Например, если том заполнен наполовину, то массив будет восстановлен на 50% быстрее.

Появилась ифункция автоматического восстановления. Она автоматически восстановит поврежденные пулы после замены дефектного диска новым. Даже вDSMзаходить не придется. Эта возможность будет полезна компаниям, где у администраторов разные привилегии. Например, только старший администратор имеет доступ кDSM, а младшие могут лишь физически заменять диски.

Позвольте свести упомянутые выше функции в таблицу.

ПоддержкаFibre Channel

Теперь вDSMподдерживаютсякарты расширения FibreChannelPCIe. Протокол обеспечивает высокую скорость передачи благодаря выделенному каналу подключения. Он отличается оптимизированным сетевым стеком.

В новой версииDSM7.0 можноприкрепить метаданныеBTRFSк кэшуSSD, что увеличивает производительность доступа к файлам малого размера. Данная функция существенно увеличивает производительностьActiveBackupforBusiness,HyperBackupи операций с моментальными снимками (до 3,8 раз).

Если кэшSSDбудет деградирован, он начнет переносить данные сSSDобратно на массивHDD(SSDCacheWrite-Back). Данная функция вDSM7.0 была оптимизирована и работает до 200% быстрее.

Еще одно улучшение касаетсяувеличения производительности массивовRAID6. По случайным операциям ввода/вывода прирост производительности составляет до 80%, в случае деградированного массива до 70%.

Наконец,DSM7.0 будет поддерживатьновые тома емкостью до 1 петабайта.

Управление и безопасность

Сетевое хранилище должно обеспечивать достаточную гибкость, чтобы масштабироваться вместе с бизнесом. Ошибки изначального планирования могут привести к различным проблемам в будущем.DSM7.0 предоставляет администраторам мощные инструменты для работы с постоянно растущей сетью хранения данных.

Из новшествDSM7.0 можно отметить улучшенное управление разрешениями, что облегчает работу администратора. Также упростилось делегирование ролей и аудит. В итоге можно говорить об усилении защиты и облегчении поиска проблем.

Отслеживание изменения разрешений

Теперь администраторы могут включить журнализменения разрешенийобщих папок или файлов подWindowsFileExplorerчерез SMB, что экономит время при аудите разрешений.

Экспорт разрешений

Данная функция позволяет администраторамэкспортировать разрешения общих папокдля аудита или быстрого поиска разрешений определенных пользователей, не перебирая папки одну за другой. Результаты экспорта в .csvможно фильтровать, что облегчает поиск. В файл .csvвходит дополнительная информация, в том числе путь файлов, имена пользователей, настройки разрешений, подробные разрешенияACL.

Отключение соединения с открытыми файлами

Если общий файл открыт каким-либо пользователем, то все остальные смогут получить доступ только на чтение. Администратор может найти подобные заблокированные файлы в Мониторинге ресурсов иотключить соединение. Что позволит другим пользователям открывать файлы на запись, а не только на чтение.

Делегирование ролей

Администраторы могутделегировать пользователям определенные роли управления, не предоставляя полные права администрирования. Что позволяет более гибко применить политики безопасности, чтобы пользователи не вышли за рамки необходимых прав.

В таблице мы привели подробности делегирования прав.

Консоль администрированияSynologyDrive

Улучшеннаяконсоль администрированияSynologyDriveпоказывает подключенные на данный момент устройства, а также последнее время синхронизации каждого устройства. Можно посмотреть наиболее часто запрашиваемые или скачиваемые файлы за период до 30 дней. Доступны и графики использованияSynologyDrive, чтобы иметь возможность анализа развития ситуации на будущее.

Улучшенный процесс входа, в том числе с многофакторной аутентификацией

Synologyвсегда уделяет внимание безопасности и защите данных. Аутентификация находитсяна передовой обороны, и здесьDSM7.0 предлагает новые возможности.

Synologyподдерживаетмобильное приложениеSecureSignIn, а такжепротокол FIDO2, который опирается на аппаратные ключи безопасности (USB-ключ,WindowsHelloна ПК илиTouchIDнаmacOS). Данные способы намного менее уязвимы, чем использование паролей, которые часто крадут черезфишинг, методы социальной инженерии, вирусы и т.д.

В итоге количество способов аутентификации увеличивается:

ВDSMможно авторизоваться на смартфоне черезSecureSignInбез пароля.

Гибридное облако

За последние годы многие компании стали использовать облачные решения, которые отличаются гибкостью и удобством. Вместе с тем увеличение объемов данных в облаке выявило проблему с производительностью доступа, да и с вопросами безопасности не все гладко. Здесь как раз локальные решения имеют свои преимущества.

По этой причинеSynologyразработала решение, которое позволит клиентам компании получить лучшее из двух миров. ВDSM7.0Synologyпредставляет два решения гибридного облака:HybridShareиActiveInsight. Оба мы рассмотрим ниже.

Мы видим будущее ИТ-инфраструктуры в сочетании облачных и локальных решений. Для решения различных задач требуются разные подходы, иSynologyможет создавать инновационные продукты, которые максимально раскрывают уникальный потенциал обоих подходов, пояснилЦзя-юЛю, исполнительный вице-президент группы облака и резервного копирования. Наша облачная платформаSynologyC2 значительно выросла с момента ее создания более трех лет назад, и мы рады представить функции следующего поколения, которые помогут расширить как существующие, так и будущие решения.

SynologyHybridShare

SynologyHybridShare новое облачное решение, которое сочетает облачное хранилище по требованию с локальным хранением данных.HybridShareоблегчает обмен файлами между разными площадками. Например, несколько рабочих групп могут работать с одной общей папкой, при этом на синхронизацию будет уходить минимальная пропускная способность. А локальное кэширование наSynologyNAS обеспечит высокую производительность доступа к файлам.

Кому можно рекомендовать гибридное облако?

• Группам пользователей, которым необходимо работать с одинаковыми массивами данных на разных площадках. При этом данные не придется многократно копировать на каждую площадку

• Площадкам с быстро растущими требованиями к объемам данных, либо где требования часто меняются. И необходимо получение доступа к любому объему данных при необходимости

• Пользователям, которые хотят начать с минимальных затрат, после чего будут наращивать емкость и масштаб хранилища при необходимости

Удобный доступ и порталSynologyC2

При использованииSynologyHybridShareдоступ к данным осуществляется через привычные файловые протоколы, как будто папка расположена наSynologyNAS поддерживаются SMB, AFP, NFS, FTP и браузер (FileStation). Пользоваться папкойHybridShareможно как обычной общей папкой DSM.

Достаточно перейти в Панель управления, где выбрать пункт Папка общего доступа. И в ней будет доступно подключение папкиHybridShare. Затем следует указать ключ для шифрования данных, выбрать пул хранения и настроить разрешения пользователей. На этом все!

Доступ к общим папкамHybridShareможно также обеспечивать черезSynologyDrive. При этом поддерживается хранение до 32 версий файлов.

ПорталSynologyC2позволяет отслеживать использование данных вSynologyC2StorageдляHyperBackupиSynologyHybridShare. Через портал можно создавать или удалять папкиSynologyHybridShare. Можно проверять подробности, такие как имена папокHybridShare, используемую емкость и квоты, подключенныеNAS. Наконец, можно выбирать подходящий план подписки.

Synologyподдерживает шифрованиеAES-256 для передаваемых файлов на стороне клиента и в облаке. Таким образом, только владелец данных сможет получить к ним доступ. ДажеSynologyне сможет получить доступ к данным, поскольку ключ есть только у владельца.

Локальный кэш

При активациилокального кэшав нем будут сохраняться часто используемые данные, доступ к которым будет осуществляться с высокой пропускной способностью, на скоростиLANс минимальными задержками. При заполнении кэша на 90% из него будут автоматически удаляться наименее часто запрашиваемые данные, освобождая место для новых файлов.

Размер кэша можно выставлять вплоть до 90% от объема тома, на котором находится кэш, или от размера папкиSynologyHybridShare. Но минимальный размер кэша составляет 300 Гбайт. Объем кэша удваивается при активацииSynologyHybridShareкакSynologyDriveTeamFolderи хранении нескольких версий файлов.

УтилитаSynology Hybrid Share Download Tool

УтилитаSynologyHybridShareDownloadToolпозволит пользователям получить доступ к данным в папкеHybridShareв том случае, если доступа кSynologyNASнет. ПоддерживаютсяWindows7,MacOS10.14,Ubuntu16.04 и более свежие версии упомянутых систем.

ActiveInsight

ActiveInsightпредставляет собой централизованный облачныйпортал мониторинга, который облегчает администрирование нескольких устройствSynologyи площадок.

Подробности можно посмотреть наофициальной странице Synology.

ActiveInsightпозволяетотслеживать производительность, нагрузку и состояние всех устройствSynologyна портале или через мобильное приложение. Причем данные статистики будут храниться на протяжении до 1 года. Настраивать какие-либо дополнительные сервисы не требуется.

ActiveInsightбудетзащищать устройстваSynologyв режиме 24/7. При появлении каких-либо проблем администраторы получат оповещения с описанием и возможными решениями. Можно настраивать оповещения по различным аппаратным параметрам, а также группировать устройстваSynology, чтобы оповещения получили администраторы, отвечающие за них.

ActiveInsightбудетсобирать сведения о работе устройствSynology(метрики), после чего отсылать их на облачный сервер для анализа и визуализации. Метрики могут собираться каждые 1, 5 или 15 минут, либо каждый час. Метрики могут храниться до одного года.

СобытияActiveInsightразделяются на заданныеSynologyи пользовательские. В первом случаеSynologyопирается на внутренний анализ метрик и журналов, который позволяет заблаговременно предупредить администратора о потенциальных проблемах. Для анализа используются, в том числе, алгоритмы машинного обучения.

Но администраторы могут сами создавать события для оповещения о возможных проблемах, связанных с нагрузкой процессора, исчерпанием системы хранения данных, задержкой записи на LUN и т.д. Уведомления могут отсылаться как по электронной почте, так и черезpushмобильного приложения. Каждую неделю, день или месяцActiveInsightможет формировать отчеты о здоровье систем.

В итоге администраторы получают удобное средство мониторинга всех имеющихся системSynologyбез необходимости заходить каждый раз в интерфейсы управления.

SynologyФото

Сегодня практически каждый смартфон обзавелся камерой, поэтому количество снимаемых файлов и видео продолжает расти огромными темпами. И сохранять память о событиях в жизни становится все проще. Но возникает другая проблема: как разобраться во всем обилии снимков и видео? Как получить к ним удобный доступ?

РазработчикиSynologyсерьезно отнеслись к цифровой революции. После бесчисленных мозговых штурмов были найдены новые подходы к управлению цифровыми активами.

SynologyФотообъединяетPhotoStationиMomentsв одно мощное средство управления фотографиями, которое способно удовлетворить потребности как обычных пользователей, так и профессионалов.

Удобная навигация

Пользователи могут просматривать фотографии так, как им удобно,по папкамилипо временной шкале.

В случаеотображения по временной шкалефотографии сортируются по моменту их создания, независимо от структуры папок. Данная сортировка удобна для тех пользователей, кто привык к соответствующему отображению снимков на смартфонах. Справа выводится временная шкала, которая позволяет быстро перейти к нужной дате.

Режимпросмотра по папкамсоответствует иерархииFileStation, что пригодится профессионалам, распределяющим коллекции фото по папкам самостоятельно.

Следует различатьличное и общее пространство, которые ориентированы на разные сценарии использования.

Обратите внимание, что разрешения на уровне папок доступны только в общем пространстве. Здесь можно установить разрешениеВвод на просмотр папок и файлов в общем пространстве. Либо разрешениеУправление тогда можно скачивать, перемещать, редактировать папки. ГалочкаРезервное копирование на мобильных устройствахпозволяет выставлять общее пространство в качестве цели резервирования с мобильных устройств.

При общем доступе к фотографиям и папкам имеются дополнительные настройки. Можно сделать доступчастным, то есть только приглашенные пользователиNASполучат доступ. Либо можно открыть доступ всем, у кого естьссылка. Причем ссылку можно дополнительно защитить паролем и сроком действия.

Распознавание лиц

SynologyФотоавтоматическираспознает лица на фотографиях, после чего группирует их в альбоме Люди. Данная функция особенно полезна, чтобы создать альбомы с тем или иным человеком. Но если требуется, функцию распознавания лиц можно отключить.

Умные фильтры, создание альбомов по условию

Умные фильтрыпозволяют отобрать фотографии или видео на основе метаданных. Фильтры доступны как в режиме просмотра по папкам, так и по временной шкале.

Но можно создать иальбом по условию, что минимизирует ручной труд. Можно выбрать альбомы с определеннойгеометкой, камерой, объективом, выдержкой,ISOи т.д.

Мобильное приложение

Вместе сSynologyФотоприлагается имобильное приложение подiOSиAndroid, которое позволяет закачивать наNASфотографии и видео вручную, либо автоматически.

Ускорение создания миниатюр

Synologyдобавила еще одну функцию, которая переносит вычислительную нагрузку по созданию миниатюр сNASна клиентское устройство. Что освобождает ресурсы наNAS, их можно задействовать на более полезные задачи. В результате создание миниатюр ускоряется до 100 раз, а преобразование видеоHEVC до 50 раз.

Резервирование данных и надежная работа сервисов

Непрерывная работа службирезервирование данных важные аспекты для клиентовSynology. Поэтому сDSM7.0 появились инновации в обеих сферах.

Резервирование данных

Недавно мы опубликовалистатью, посвященную преимуществамSynologyActiveBackupfor Business. ActiveBackupforBusinessуже поддерживает резервирование с платформWindows,Hyper-VиVMware. ВDSM7.0 появиласьподдержкаLinuxbare-metalbackup, что позволяет клиентамSynologyконсолидировать инфраструктуру резервирования данных в одном решении.

АгентSynologyLinuxработает через интерфейс командной строки, поддерживаются дистрибутивы RHEL,CentOS,Ubuntu,Fedora,Debian. Присутствуют различные способы восстановления:bare-metal, на уровне файлов, черезInstantRestoreна гипервизоры (Hyper-V/VMware/SynologyVirtualMachineManager). Имеется поддержка инкрементного резервирования с помощью CBT (ChangedBlockTracking), благодаря глобальнойдедупликацииувеличивается эффективность использования пространства для копий зарезервированных данных.

ТеперьActiveBackupforBusinessподдерживаетшифрованиеAES-256исжатие данных на источнике резервированияпри передаче. Что повышает эффективность использования хранилища и защиту данных. Сжатие, в среднем, позволяет сэкономить до 40% пространства. Причем на работу глобальнойдедупликациисжатие не влияет.

Активация шифрования и сжатия данных выполняется для устройства резервирования, а не для задачи. То есть если шифрование и сжатие активированы для устройства, то все последующие задачи резервирования будут их использовать.

Появилась функциямиграцииInstantRestore, если виртуальные машины были восстановлены наSynologyVirtualMachineManager. Можно легко выполнить миграцию на оригинальное окружение виртуализацииHyper-V илиVMware, но вSynologyVirtualMachineManagerвиртуальную машину необходимо сначала выключить.

В 2021 году будет добавлена поддержкарезервирования macOS иSynologyDSMвActiveBackupforBusiness.

HyperBackupтеперь поддерживаетбольше пакетов приложенийDSM, в том числеCentralManagementSystem(CMS),SynologyDrive,CloudSync,USBCopyи другие.

К учетной записиSynologyтеперь можно привязатьавтоматическое резервирование конфигурацииDSM. Какие-либо дополнительные настройки или пространство хранения для этого не требуются.

Надежная работа сервисов

SynologyHighAvailabilityпозволяет связать два одинаковых устройстваSynologyв активном и пассивном режиме вкластер высокой доступностиSHA. Все службы запускаются на активном сервере. Пассивный сервер работает в режиме ожидания и только получает данные от активного сервера в режиме реального времени. Он недоступен для входа, пока на него не будут переключены службы в случае сбоя активного сервера. Подобный кластер позволяет уменьшить время простоя сервисов, повышая надежность инфраструктуры.

В случаеDSM7.0Synologyполностью пересмотрела процесс обновления кластеровSHA, уменьшив необходимое для этого время на 85%. Ручное переключение пассивной и активной ролей (switchover) происходит на 37% быстрее, автоматическое переключение в случае потери активного сервера (failover) выполняется на 30% быстрее. Все это позволяет снизить время простоя SHA.

В статье мы привели далеко не все новшестваSynologyDiskStationManager7.0, остановившись только на самых важных. Пишите в комментариях, какие функцииDSM7.0 вам наиболее интересны, мы постараемся рассмотреть их подобнее.Попробовать в работе бета-версию DSM 7.0можно уже сегодня в онлайне, либо при установке на NAS.