Tag Archives: computers

wi-fi design

diverse

In ultima vreme mi-am tot batut capul cu retele WiFi ceva mai mult decat in mod obisnuit, asa ca m-am gandit sa scriu aci’ ce si cum.

In primul rand, la WiFi conteaza foarte mult cum e facuta incinta unde trebuie instalat, tipuri de pereti, grinzi, stalpi etc. Si dupa aia conteaza clientii care se vor conecta.

WiFi (actual) functioneaza in 2.4Ghz si 5Ghz. Care 2.4/5 suporta diverse standarde: a, b, g, n, ac, ax. Un alt aspect super important de stiut si de tinut minte e ca WiFi este shared medium, adica doar un client transmite o data la un AP si restul de clienti asteapta sa termine ca sa poata zice si ei ceva.

2.4 are o raza de acoperire mai mare, 5Ghz are in schimb o viteza teoretica mai mare. Asta ca si diferente majore. Semnalul scade la 1/4 cu cat se dubleaza distanta. Adica sa zicem ca daca la 20m de AP ai semnal 100%, la 40m de AP vei avea 25%.

Nu stiu cat de bine se vede in poza, dar ar trebui sa fie un gradient pe culorile alea.

In functie de puterea semnalului poti transmite/receptiona date la o anumita viteza (da, logic de altfel) insa este important de stiut si ca daca ai multi clienti prea departe de AP, viteaza overall o sa scada din cauza de retransmisii care apar atunci cand mesajele de la client ajung corupte la AP.

Este foarte important de stiut ce inseamna “prea departe de AP” ca este un pic tricky, ca sa zic asa: clientul poate indica ca are “semnal” si ca este asociat cu un AP, cand de fapt nu prea este asa. Asta se intampla din cauza ca un AP are putere de transmisie mult mai mare decat o tableta sau un telefon, insa tableta/telefonul sa nu poata transmite cu suficient putere ca sa ajunga frame-urile corect la AP. Si atunci ajungi intr-o situatie din aia in care “semnal e” da nu merge nimic.

Cand ai de pus o solutie WiFi de la 0, intrebarea pe care o pune toata lumea e: cate AP-uri trebuie? Si raspunsul e ca “trebuie vazut la fata locului”. In primul rand pentru a vedea cum arata incinta, din ce sunt facuti peretii, daca exista obstacole care pot impiedica propagarea cum trebuie sa semnalului radio: coloane de apa, armaturi de beton etc.

Fiecare producator de chipset-uri wireless implementeaza standardele mai bine sau mai prost, in functie de cu cati bani vinde jucaria. Multi folosesc chipset-uri comeciale si implementeaza ei in soft diferite functionalitati. La fel, calitatea antenelor de pe dispozitivele mobile variaza foarte mult, si asta inseamna ca si capabilitatile wireless variaza considerabil.

Avand asta in vedere, inainte sa te apuci sa pui AP-uri dupa cum te taie capul e bine sa vezi care dispozitiv dintre toate cele care vor fi folosite intr-o retea wireless e “cel mai prost” in sensul de a verifica care este distanta maxima de AP astfel incat sa functioneze in parametri (streaming 1080p de pe Youtube, FaceTime, Skype video-call etc.), ca cineva sa-si faca treaba folosind acelasi dispozitiv.

Motivul e ca, desi standardele wireless specifica viteze de transmisie, capabilitati, cati clienti pot receptiona date in acelasi timp de la AP si altele, nu trebuie pierdut din vedere faptul ca dispozitivul mobil e ala care dicteaza cum sta treaba. Asa zice la standard: clientul decide ce si cum.

Primul si primul lucru pe care-l faci e sa faci un asa numit “site survey” sa vezi cum arata locatia, ce obstacole exista (am zis mai devreme de ele) sau unde se pot monta AP-urile. Dupa aia afli care e densitatea de dispozitive pe supfrafata, ce vor face dispozitivele respective, cat de mobile trebuie sa fie, cate de repede se misca etc.

De la un switch la un AP, pe PoE nu e bine sa sari, pe experimentatelea, mai mult de vreo 90 de metri. Si asa afli cate switch-uri iti trebuie pe o suprafata anume, ca nu poti trage cabluri direct intre AP si switch, ci trebuie sa le si legi de ceva, sa le ascunzi, sa urmaresti anumite contururi etc.

Ultimul pas este montarea de proba a unui AP intr-un loc si facut teste de viteza, semnal cu toate dispozitivele care vor fi folosite. Treaba asta se face pentru a determina care este cel mai mic numitor comun, pentru ca in functie de acela depinde tot designul si implementarea ulterioara.

O data aflate aceste informatii, se incepe a se socoti care este raza de acoperire a unui AP. Pentru ca de obicei semnalul radio se propaga aproape uniform (fiecare producator in fisele de catalog ale produselor are si niste poze care arata cum se propaga semnalul) in toate directiile, vom incerca sa aflam raza cercului care are AP-ul in mijloc. 

Stim din triunghiurile de mai sus la ce inaltime avem AP-ul, stim distanta maxima pana la cel mai “prost dispozitiv”.

Problema e ca lumea se asteapta sa le mearga WiFi-ul mereu cand se afla intr-o locatie, asa ca nu poti face un design curat fara interferente ca o sa existe puncte moarte unde nu e semnal. Solutia la treaba asta e sa pui AP-urile in asa fel incat sa se “intrepatrunda” semnlul de la AP-urile adiacente.

In 5GHz, asta nu prea e o probelma pentru ca exista multe canale, separate la 20Mhz intre ele si e totul OK. Si merge cam pentru aproape toate tipurile de comunicatii. Cand ai nevoie de throughput mai mare, se poate mari canalul la 40MHz sau 80Mhz, insa vor fi disponibile mult mai putine canale. E pe principiul “you can’t have your cake and it too”.

In 2.4GHz, situatia e super trista, ca desi exista 13 canale, doar 3 sunt utilizabile in sensul ca nu se incaleca unul pe altul. O explicatie buna se gaseste la http://www.metageek.com/training/resources/why-channels-1-6-11.html. Tot la Metageek exista o explicatie super buna de ce nu e bine sa lasi toate canalele libere si de ce e mai rau “adjacent channel interference” e mult mai nasoala decat “co-channel interference”: http://www.metageek.com/training/resources/adjacent-channel-congestion.html. Ca tot am ajuns la Metageek, cam tot ce scrie acolo e bine de citit.

In 5Ghz in principiu sunt mai multe canale, in practica din cauza de DFS poti avea mai putine daca esti aproape de instalatii de emit in frecventele alea (gen esti relativ aproape de un aeroport).

Mare parte din acest post este scrisa in 2017, cand exista doar cred AC Wave 2. Intre timp m-am mai desteptat un pic si am bunghit-o si cum arata semnalul printre foarte multe rafturi metalice, si cum e cand ai dispozitive care nu’s foarte inteligente la selectia frecventelor.

wifi lipit cu scotch

diverse

Din categoria “ne trebuia ieri niste wireless intr-un loc” am ajuns eu oarecum de pe o zi pe alta in Mexic.

Cu toata distractia asta cu lipsa chip-urilor, comanzi chestii profesionale acum si vin peste un an. Dar business-ul nu poate sta un an pe loc, asa ca temporar improvizam. Lipim cu scotch, niste soricei, un pic de var proaspat, facem sa fie bine.

Mno, planul era simplu: pune niste routere din astea de casa in mod AP, acelasi SSID, micsorez puterea de transmisie sa nu fie prea mult zgomot si ar trebui sa mearga. Am cumparat doua de proba, le-am facut asa, m-am conectat la wireless pe SSID-ul care trebuie si a mers. 5 ore de condus in oras, o ora de configurat si 10 minute de testat. Si inca vreo 4 ore de injurat Digi ca dau routere cu porturi care desi au link, n-au internet. Ca asa am ajuns sa testez la birou, dupa ce mi-am pierdut mintile un pic cu Digi.

Anyway, am validat astea, am mai pierdut o zi de alergat prin oras la cumparat multe rutere din astea, ca fiecare magazin avea 2 pe stoc. N-am gasit cate imi trebuiau, am comandat cu livrare imediata de pe emag. Au venit, m-am bucurat, le-am impachetat si m-am tirat peste balta.

Acolo le-am configurat pe toate in mod AP si am asteptat dupa electricieni sa traga curent pe unde trebuiau astea puse. Ca precum si in US, si in MX curentul trebuie tras prin tevi zincate si dureaza un pic procesul.

Intr-un final, dupa ce am ajuns eu inapoi in RO a venit si curentul. Da’ a venit asa fix la 12 noaptea cand ajunsesem acasa de la aeroport si ma pregateam sa dorm dupa o zi jumate pe drum si destul de neodihnit. Cum am aflat? Ca nu mai merge wireless-ul pe SSID-ul ala la nimeni si ca productia oprita.

Fix ce-mi doream la ora aia, sa fac troubleshooting la wireless remote la 10k de km distanta. Cam atatia sunt, ca data trecuta mi-am lasat cheile acasa si asa zicea Find My, ca sunt cheile la zece mii si ceva de kilometri.

Am facut troubleshooting foarte rapid: cutia cu sigurante pentru noile circuite e “acolo”, opriti-le pe toate si vorbim in alta zi. Si m-am culcat.

Zilele astea am revenit la problema, pornit tot, si depanat cu astia intreband cat mai tinem productia jos. Aci se aplica treaba aia cu cum ca in teorie nu e nici o diferenta intre teorie si practica, insa in practica e diferenta intre teorie si practica. Mai ales ca n-avea nici un sens ce se intampla, asteptarile mele fiind ca reconectarea la diverse routere dura mai mult, ca nu stiau astea de Mesh si trebuia o reasociere completa. Dar nu sa ii dau drumul si sa nu mai mearga nimic.

O iau asa din bucata in bucata, pana ajung la ce trafic am pe interfete si ce vad:

  5 minute input rate 70756000 bits/sec, 76505 packets/sec
  5 minute output rate 151688000 bits/sec, 176875 packets/sec

Ma zic n-are cum, ca deja e mai mult trafic pe aci decat am internet, mai ales ca dispozitivele alea de trebuie sa fie conectate la WiFi consuma cativa kilobytes la cateva secunde. Initial m-am gandit la un loop, da zic ba n-are cum, ca’s toate doar niste AP-uri, n-are de unde sa fie loop. Dupa m-am gandit ca poate or face astia ceva de la TP-Link si dau pe WiFi si trafic de n-ar trebui sa fie pe WiFi, ca in ultima vreme toata lumea are idei despre ce capabilitati sa mai puna pe routere. Da nu explica de ce pierdeam conexiunea cu interfata de management.

Dupa un pic de butonat am aflat cum sa fac un tcpdump pe switch, si ce vad:

    2   0.000034  31.13.89.19 -> 10.200.13.199 TCP 66 [TCP Out-Of-Order] 80 -> 34834 [FIN, ACK] Seq=1 Ack=1 Win=256 Len=0 TSval=578835951 TSecr=1605084774
    3   0.000049  31.13.89.19 -> 10.200.13.199 TCP 66 [TCP Out-Of-Order] 80 -> 34834 [FIN, ACK] Seq=1 Ack=1 Win=256 Len=0 TSval=578835951 TSecr=1605084774
    4   0.000064  31.13.89.19 -> 10.200.13.199 TCP 66 [TCP Out-Of-Order] 80 -> 34834 [FIN, ACK] Seq=1 Ack=1 Win=256 Len=0 TSval=578835951 TSecr=1605084774
    5   0.000079  31.13.89.19 -> 10.200.13.199 TCP 66 [TCP Out-Of-Order] 80 -> 34834 [FIN, ACK] Seq=1 Ack=1 Win=256 Len=0 TSval=578835951 TSecr=1605084774
    6   0.000094  31.13.89.19 -> 10.200.13.199 TCP 66 [TCP Out-Of-Order] 80 -> 34834 [FIN, ACK] Seq=1 Ack=1 Win=256 Len=0 TSval=578835951 TSecr=1605084774
    7   0.000116  31.13.89.19 -> 10.200.13.199 TCP 66 [TCP Out-Of-Order] 80 -> 34834 [FIN, ACK] Seq=1 Ack=1 Win=256 Len=0 TSval=578835951 TSecr=1605084774
    8   0.000139  31.13.89.19 -> 10.200.13.199 TCP 66 [TCP Out-Of-Order] 80 -> 34834 [FIN, ACK] Seq=1 Ack=1 Win=256 Len=0 TSval=578835951 TSecr=1605084774
    9   0.000290  31.13.89.19 -> 10.200.13.199 TCP 66 [TCP Out-Of-Order] 80 -> 34834 [FIN, ACK] Seq=1 Ack=1 Win=256 Len=0 TSval=578835951 TSecr=1605084774
   10   0.000311  31.13.89.19 -> 10.200.13.199 TCP 66 [TCP Out-Of-Order] 80 -> 34834 [FIN, ACK] Seq=1 Ack=1 Win=256 Len=0 TSval=578835951 TSecr=1605084774
   11   0.000327  31.13.89.19 -> 10.200.13.199 TCP 66 [TCP Out-Of-Order] 80 -> 34834 [FIN, ACK] Seq=1 Ack=1 Win=256 Len=0 TSval=578835951 TSecr=1605084774
   12   0.000351  31.13.89.19 -> 10.200.13.199 TCP 66 [TCP Out-Of-Order] 80 -> 34834 [FIN, ACK] Seq=1 Ack=1 Win=256 Len=0 TSval=578835951 TSecr=1605084774
   13   0.000376  31.13.89.19 -> 10.200.13.199 TCP 66 [TCP Out-Of-Order] 80 -> 34834 [FIN, ACK] Seq=1 Ack=1 Win=256 Len=0 TSval=578835951 TSecr=1605084774
   14   0.000398  31.13.89.19 -> 10.200.13.199 TCP 66 [TCP Out-Of-Order] 80 -> 34834 [FIN, ACK] Seq=1 Ack=1 Win=256 Len=0 TSval=578835951 TSecr=1605084774
   15   0.000422  31.13.89.19 -> 10.200.13.199 TCP 66 [TCP Out-Of-Order] 80 -> 34834 [FIN, ACK] Seq=1 Ack=1 Win=256 Len=0 TSval=578835951 TSecr=1605084774
   16   0.000449  31.13.89.19 -> 10.200.13.199 TCP 66 [TCP Out-Of-Order] 80 -> 34834 [FIN, ACK] Seq=1 Ack=1 Win=256 Len=0 TSval=578835951 TSecr=1605084774
   17   0.000539  31.13.89.19 -> 10.200.13.199 TCP 66 [TCP Out-Of-Order] 80 -> 34834 [FIN, ACK] Seq=1 Ack=1 Win=256 Len=0 TSval=578835951 TSecr=1605084774
   18   0.000562  31.13.89.19 -> 10.200.13.199 TCP 66 [TCP Out-Of-Order] 80 -> 34834 [FIN, ACK] Seq=1 Ack=1 Win=256 Len=0 TSval=578835951 TSecr=1605084774
   19   0.000577  31.13.89.19 -> 10.200.13.199 TCP 66 [TCP Out-Of-Order] 80 -> 34834 [FIN, ACK] Seq=1 Ack=1 Win=256 Len=0 TSval=578835951 TSecr=1605084774
   20   0.000591  31.13.89.19 -> 10.200.13.199 TCP 66 [TCP Out-Of-Order] 80 -> 34834 [FIN, ACK] Seq=1 Ack=1 Win=256 Len=0 TSval=578835951 TSecr=1605084774

Si asta pentru un dispozitiv care se dezasociase mai face routerul unul, ca sigur sursa nu trimitea atatea pachete. Parea un fel de monkey see, monkey repeat ad infinitum.

Iar le-am zis sa opreasca jucariile din sigurante ca trebuie sa gandesc un pic.

M-am gandit vreo zi asa, si zic hai sa vad daca le pun la loc in router mode. Pierd un pic de vizibilitate de cine ce IP isi ia, da zic ca poate merge. Problema era cu pornitul, ca am cerut sigurante pentru fiecare router individual, dar electricienii s-au gandit mai bine si au tras niste circuite paralele pentru fiecare rand si din 20 de sigurante am ramas cu vreo 4. Daca porneam 5 o data, in vreo 2-3 minute se bloca totul, nici n-aveam timp sa dau Save & Apply la vreo setare.

Plan B: oprim totate routerele din buton si le pornim pe rand. M-au injurat un pic oamenii, ca distanta mare, alea un pic sus. S-au plimbat cu scara de s-au plictisit.

Pornit primul, schimbat in mod router, reboot, trafic normal. Pornit al doilea, schimbat, trafic normal.

Dupa aia ne-normal, ca se ridicau alte interfete pe switch decat ce m-asteptam eu. Zic ma ce sloboz, de unde sunt astea? Cer o poza de la switch si ce sa vezi, cineva a modificat cablurile din switch si din cum le lasasem eu configurate porturile in VLAN-urile care trebuie, cineva s-a gandit si-a zis probabil ca “cine ti-a lucrat aci sefu de ti-a pus toate cablurile pe un rand? Pe doua randuri se face treaba, ia sa vezi aici lucrare”. Da-i si reconfigureaxa si porturi, ca n-o mai facusem de mult…

Faza interesanta a fost ca daca aveam unul singur pus in mod AP, nu facea nimic iesit din comun. Doar cand erau mai multe o luau pe ulei. Si de aia cand le conectam pe rand la retea sa le configurez nu se intampla nimic.

Sase ore mai tarziu era toata lumea fericita. Chiar si baiatul cu scara :))

Morala povestii e ca uneori lucrurile care par simple nu’s.

macbook air m2

diverse,

De cand a aparut Macbook Air cu ecran calumea, gen Retina, m-am tot gandit ca ar fi cazul sa trec la Air, ca mi-am cam schimbat asa profilul cu ce fac, si nu mai am nevoie de cine stie ce super laptop, ca acum in mare parte imi petrec timpul in Terminal si in browser. Pe Macbook Pro-ul curent am avut o singura masina virtuala cu Windows si aia din cauza ca aia de la CheckPoint nu stiu sa faca o interfata web care sa inlocuiasca clientul lor de desktop. Si niste linucsi cu care am avut de experimentat anul trecut pe la inceput un pic, care insa mergeau pusi si undeva intr-un cloud sau ceva.

Si m-am tot gandit, intre timp a lansat Apple M1, si m-am tot gandit, da am zis ca sa vedem, ca abia luasem laptopul curent si era complet retardat sa-l schimb dupa un an.

Intre timp se anuntase M1 Max, si pentru un moment m-am gandit ca poate as putea sa imi iau alt Macbook Pro. Da am apucat sa le vad pe alea de 14″ si am zis ca “neah, no way”, prea greu si masiv asa fara nici un motiv.

Dupa aia am uitat un pic, si mi-am adus aminte cand au anuntat astia M2 si am vazut si noul design de Air. Si la vreo cre’ca doua saptamani dupa a aparut si la iStyle si m-am dus sa vad cum se simte in mana, cum arata tastele… chestii d’astea de UX. Si mi-a placut. Chiar mi-a placut.

Dupa am mai asteptat un pic sa vad ce zic review-urile. Ocazie cu care mi-am dat seama ca am imbatranit ca am ajuns sa ma uit pe YouTube la filme cu tot felul de oameni de au opinii mai mult sau mai putin profesionale despre noul Air.

Primele revire-uri n-au fost interesante ca toti cumparau modelul cel mai ieftin, asa numitul “base model”, care era un pic incet. La vreo luna dupa au aparut si aia cu bani care au prezentat si modelele cu mai multe core-uri si mai multa memorie si cu SSD mai mare.

Dupa am avut o perioada in care a durat ceva pana sa inteleg ce inseamna ca se incalzeste, ca titlurile pe la articole erau ceva de genul ca noul Air se incinge tare si dupa face throttling la procesor si tot asa. Cu asta m-am lamurit cand am aflat ca se incinge foarte tare cand ii dai in gura cu chestii foarte CPU/GPU intensive, gen exportat mai multe stream-uri de video la 4k/8K.

Ala a fost momentul in care am zis bine, deci jumate de review-uri sunt facute de cretini.

Intr-un final m-am dus la Apple pe site sa pun comanda si cam doua saptamani mai tarziu a fost livrat la un Apple Store. M-am dus frumusel sa-l ridic, mi-au dat astia o posetica la el si mi-am pus la subrat si m-am dus sa-l despachetez. Mi-am facut si un selfie cu posetica aia, da n-o sa-l fac public :))

Da, obviously, trebuia sa fie si o cafea de specialitate langa laptop cand i-am facut poza, ca altfel vine Apple si mi-l ia inapoi ca nu’s destul de hipster.

Primele impresii sunt mega pozitive:

  • Tine bateria maxim de mult. Ieri am avut un call pe Slack de o ora si inca unul pe Google Meet de vreo 30-40 de minute, si cand am terminat cu ambele aveam 99% baterie.
  • Este super fasnet, nu-mi vine sa cred ce repede pornesc chestiile scrie in Java, gen IDE-urile de la JetBrains.
  • Nu se incalzeste. Adica cum il folosesc eu: niste terminal + multe browsere cu multe tab-uri.
  • E usor. Are 1.2kg si comparativ cu vechiul MacBook Pro la 1.36 se simte un pic diferenta in minus de greutate.
  • Forma asta de acum, il face sa se simta super misto in mana. e ca o bucata super usoara de aluminiu.
  • De cand il folosesc in mod curent (cred ca se face o saptamanain curand) l-am incarcat peste noapte si ziua nici nu a trebuit sa ma gandesc la incarcator. Cel mai descarcat am ajuns cu el acasa pe la cred 65%-70% baterie dupa o zi de treaba.

Ce n-am testat pana acum este un adaptor USB-to-Serial. Daca merge si ala, sunt mai bine decat bine cu laptop-ul. Nu e nici o mare tragedie daca nu merge, dar ar fi frumos sa.

Mai am de migrat niste date, dar overall e fix ce-mi doream de nu stiu cati ani de la un laptop ultraportabil: sa tina bateria toata ziua la fel cum tine la telefon si noaptea sa-l pun la incarcat.

jocul d’a securitatea in IT

diverse, ,

De cand mi-o ard prin IT-ul asta, mare parte din timp mi-am petrecut-o si mi-o petrec in ceea ce lumea numeste cybersecurity, sau cum au tradus prostii aia de la academia rromana sau ceva: securitatea cibernetica.

Distractia asta e cam asa: tu ca si firma pui pe internet niste jucarii si niste baieti si/sau fete incearca sa-ti strice jucariile. Si pentru asta iti pui firewall-uri, antivirusi (antimalware acu), WAF-uri, IPS-uri, anti-zloboz etc. Si dupa aia te lauzi peste tot ce ce sigur esti :))

Din cand in cand mai apare prin presa ca o mai suge pana la cotor cate o firma din asta de e tare in gura pe security. Gen Microsoft, Solarwinds, Okta etc. Si multe alte firme mai mici.

Pe langa astia, sunt tot felul de alti omuleti care ar vrea ca aia de le-au dat-o astora sa infunde puscaria, ca nu e frumos ce-au facut, ca nu este legal, ca e furt, ca morti si raniti.

Opinia mea e ca in toata distractia cu cybersecurity, aia de reusesc sa sparga una alta si sa obtina informatii ar trebui premiati din oficiu. Ca sunt mai destepti decat aia de au programat sau configurat prost sisteme. Necesita mai multa inteligenta sa dai in cap la un sistem fara nici un fel de cunosinte despre el decat e sa-l configurezi prost cu toate informatiile despre el.

Si niste carnati isi doresc ca astia sa intre la parnaie. Ca si cum daca pierzi un joc de StarCraft online sa vina militia sa-l aresteze pe ala de te-a facut din butoane.

Asta e primul of cu starea industriei, ca de fapt toata lumea cumpara si sper sa fie bine, da nimeni nu vrea sa depuna efortul ala sa faci lucrurile ca la carte. Cum era acum multi ani, cand au zis aia de la BNR ca poti avea internet banking, o cerinta era ca fie dai bani la o firma sa faca “code audit” pe aplicatie sau sa-ti pui un WAF, ca sa asiguri cumva securitatea datelor. Cre’ca toate bancile si-au pus WAF, au bifat cerinta si si-au vazut in continuare de aplicatiile lor de cacat de internet banking – pentru cine e suficient de batran sa-si aminteasca ce oribile erau site-urile alea. Si exemplele pot continua.

Al doilea of pe care-l am, e cu “initiativa” diverselor companii de software cu notiunea de “responsible disclosure”. Adica gasesti o vulnerabilitate, o raportezi doar lor, si astepti cuminte s-o fixeze cand au ei chef si dupa faceti un fel de “press release” comun in care tu cercetator iti asumi creditul ca ai gasit problema si aia ca uite, au rezolvat-o ca’s baieti buni.

Eu cred ca daca erau baieti buni nu scriau cod prost. Si ca imediat cum gasesti o vulnerabilitate s-o dai la liber sa foloseasca fiecare cum doreste informatia respectiva. Si atunci sa vedem daca firmele astea sunt bune si scot imediat un fix sau ii doare la banana si doar plang ca li s-a stricat planning-ul ca uite, acum trebuie sa fixeze ceva ce au facut prost de la inceput. Si ca din cauza cercetatorilor pot sa sufere clientii – alt text care-mi place maxim cand e folosit de lenesi.

certes networks

diverse

Articolul asta a iesit asa ca din motive contractuale cu un client, a trebuit sa particip la un “training” pentru un produs. Il scriu pentru ca am asa o ura maxima pe training-uri tinute de vestici. Trebuia sa-l public acu vreo doi ani, dar m-am luat cu altele si am uitat. Da’ noroc ca mi-am luat notite atunci si am scris o mare parte din el.

Asa, Certes astia produc niste cutii de fac criptare la L2, L3 si L4.

L2 inseamna ca fac un mesh asa intre doua mai multe locatii si dupa proxy arp pentru host-urile remote. Un fel de overlay transport network. Intre ele, pe partea “unsecure” fac IPsec stateless intre ele cu manual keying, fara IKE.

L3 e IPsec tot asa stateless, ca si cum ti-ai scrie singuri reguli cu “ip xfrm”, ceea ce banuiesc foarte tare ca fac, ca appliance-urile lor ruleaza Linux.

L4 inseamna ca fac criptare doar la payload in pachete si restul de lucruri sunt in clar. Si fiind iar stateless, poti sa-l rulezi transparent in retea si sa cripteze fara sa-ti bati capul cu ce e mai jos, ca nu trimiti nimic non-standard pe fir.

Solutia de management se cheama CFNC, si e un CentOS6 cu un softache facut in Java si cu interfata din aia HTML old-school.

In asta adaugi toate dispozitivele, si dupa aia faci reguli intre ele, gen vreau criptate doar traficul pe portul 25 intre host-ul X si host-ul Y (ca si idee de granularitate) sau traficul intre subnetul Q si subnetul W, fiecare in spatele la cate un dispozitiv din asta de criptare care se cheama CEP.

E, si fiecare politica din asta are o prioritate, adica 1 e aia cea mai ce si 65535 e aia cea mai putin ce. Daca ai multe CEP-uri din astea si un design prost de retea, poti sa ajungi usor sa ai cateva zeci de mii de politici.

Asa, ce m-a secat maxim in curs a fost marketingul agresiv in care prezentau capabilitatile solutiei:

  • Performance drops when you start doing crypto. Firewalls were not created with crypto in mind.
  • Same with SD-WAN, encryption costs and performance drops significantly
  • At Layer3 to debug the network you have to turn off encryption and it is difficult to set up
  • Key rotation often manual. Very difficult to manage.

Am clipit mai mult decat trebuia la ce tot debita baiatul ala de tinea trainingul. Si mai avea si un tick verbal in care alterna intre “obviously” si “kind of”.

Ce m-a agravat maxim e ca folosea “weasel words” sa arate ce tare e produsul lor. Mor pe astia care mint asa in dusmanie.

La un moment dat prezenta el o topologie in care punea firewall inainte de cutia lor si firewall dupa, ca sa fii super-duper safe. Desi cutia lor stia de unde sa accepte trafic si sa blocheze restul. Sunt curios cati pun botul la exemplele astea cretine de topologii.

Au fost asa super amuzanti intr-un mod retardat, ca au trimis clientului niste CEP-uri din astea configurate prost si ca sa le reparam on-site, m-au pus sa semnez un NDA ca sa-mi dea o imagine de stick USB bootabila care continea un utilitar basit sa modific ceva in hardware si cu o procedura din aia mega alambicata. Si in timp ce citeam la ea, cum ca trebuie sa ma conectez cu seriala, sa dau reboot, sa bag stickul in portul nustiucare, sa ma fut in cur cu negri si sa fac tumbe, mi-am dat seama ca merge cacatul ala si online, pe SSH si dupa doar trebuie un reboot si gata. Si in loc sa mor de frig in datacenter si sa apas taste aiurea, a durat fix 2min pe dispozitiv sa-l repar plus vreo alte 3 minute pana se reboota sistemul. Cateodata am impresia ca nici aia de fac echipamente nu prea inteleg cum functioneaza creatiile lor.

Da a fost clientul super mega secure dupa? A fost. Cu cea mai criptare din lume.

Abia astept sa gasesc urmatorul client sa caute un specialist in Certes :)))))

ios-xe port channels & switchports

diverse, ,

Am avut prin August un mic proiect sa bag niste Layer 2 peste balta la un client. In general, daca nu am constrangeri, folosesc Juniper pe switch-uri managed L2/L3 din motive de obisnuinta, familiaritate etc.

Anul asta, din cauza de pandemie si timpi de livrare mari, peste 4 luni in medie, am pus niste Cisco Catalyst cu IOS-XE.

Mno, pentru redundanta & stuff, sunt mare fan bundle-uri de X x 1GE sau X x 10GE (in functie de nevoi & stuff).

Pe Juniper, la modul cel mai simplu, un port channel se cheama o interfata ae (aggregated ethernet) si se configureaza in doi pasi.

Prima oara ii zici la interfata fizica din ce port-channel face parte:

ge-0/0/0 {
    description "to xyz vmnic0";
    ether-options {
        802.3ad ae1;
    }
}

ge-1/0/0 {
    description "to xyz vmnic1";
    ether-options {
        802.3ad ae1;
    }
}

Si dupa configurezi si interfata de port channel:

description "to xyz";
mtu 9216;
unit 0 {
    family ethernet-switching {
        interface-mode trunk;
        vlan {
            members [ v101, v121 ];
        }
    }
}

Easy peasy lemon squeezy.

Cu Cisco nu prea am avut treaba in ultimii ani, si am zis ca hei, trebuie sa fie la fel din ce mai tineam eu minte de and era la moda sa fac PAgP pe IOS clasic.

E, e cam la fel si pe IOS-XE. La nivel de interfata ii zici:

interface TenGigabitEthernet1/1/3
 channel-protocol lacp
 channel-group 1 mode active
 lacp rate fast
!
interface TenGigabitEthernet1/1/4
 channel-protocol lacp
 channel-group 1 mode active
 lacp rate fast
!

Si dupa configurezi interfata PortChannel1

interface Port-channel1
 switchport trunk allowed vlan 101-121
 switchport mode trunk
!

E, si te astepti ca la un “sh ru” sa vezi prin configuratie fix acelasi lucru.

Dar nu, IOS-XE e cu “surprise motherfucker”, si zice asa:

interface Port-channel1
 switchport trunk allowed vlan 101-121
 switchport mode trunk
!
interface TenGigabitEthernet1/1/3
 switchport trunk allowed vlan 101-121
 switchport mode trunk
 channel-protocol lacp
 channel-group 1 mode active
 lacp rate fast
!
interface TenGigabitEthernet1/1/4
 switchport trunk allowed vlan 101-121
 switchport mode trunk
 channel-protocol lacp
 channel-group 1 mode active
 lacp rate fast
!

Cand am vazut asta, zic ma oi fi fost io obosit si am scris gresit, si am bagat configuratia si la interfata si la port channel. Si m-am mancat in cur sa “repar” de la distanta treaba asta. Si am sters configuratie de switchport si trunk de pe te/1/1/3. N-a fost chiar cea mai buna idee a mea.

Dupa ce am reparat printr-o sesiune de TeamViewer problema, in sensul ca am facut de la zero toata configuratie de port channel, m-am dus sa ma culc ca se facuse tarziu la mine.

Fast forward vreo 2-3 saptamani, iar a trebuit sa umblu un pic la switch-uri sa mai adaug ceva VLAN-uri, si bam, iar configuratie de switchport pe interfetele din port chanel. Si eram, ba da am sters si-am pus la loc. Ce mortii ma-sii se intampla. Si atunci mi s-a aprins un pic beculetu, si zic ia sa vad daca adaug un VLAN pe interfata de port channel, se pune si in configuratie la interfetele care formeaza port channel-ul?

Raspunsul e da. Si uite asa am invatat eu ca IOS-XE mirroreaza configuratia de pe PortChanel pe interfetele prinse in port chanel.

Nu e mare inginerie treaba asta cu un port channel intre 2 switch-uri, dar lucrurile par complicate cand nu prea ai parte de experienta pe niste echipamente si lucrezi cu ele doar din joi in pasti. Exista si un termen sa zicem stiintific pentru asta: skill fade. Si problema e ca ti se pare ca stii, da de fapt nu prea :(

nereus

diverse, ,

In ultima vreme, pe unde am apucat, am schimbat certificatele digitale folosite cu cele emise de Let’s Encrypt. Mai ales ca certbot face minuni pus in cron.

In materie de client-to-site VPN, in ultimii ani am tot bagat PaloAlto ca au un client dragut, configurare este usor de facut si merge si pe IPv6 cum trebuie, inclusiv sa aloce adrese de IPv6 pe tunel.

Problema cu asta e ca e un pic obositor la 3 luni sa uploadez de mana certificat nou, ca automat nu stie. Si pe langa asta, are o cretinatate ca vrea parola la cheia privata daca o uploadez si pe aia o data cu certificatul. Si cum certbot nu pune parole la cheile private, ar trebui sa ma dau un pic si cu OpenSSL sa ii pun parola la cheie, s-o concatenez cu certificatul si dupa sa uploadez totul.

Pe langa asta, eu tot cochetez asa sporadic cu programarea, ca e cam complicat sa faci si DevOps fara Dev :)) Ca ma mai scap sa fac si d’astea.

Anyways, long story short, zilele astea am butonat la un mic script/app (ca toate’s app-uri acum) care automatizeaza distractia asta cu Let’s Encrypt si PAN.

Asa a aparut Nereus. Scris in Python, cat se poate de curat si cat am duce pe mine acum capul sa scriu cod curat.

google cloud support

diverse, , ,

Una din corporatiile pe unde ma mai duc la produs are chestii in GCP. Si pe acolo am facut si eu un proiect sa tin cateva VM-uri, nimic complicat. VM-urile alea trebuie sa vorbeasca cu niste componente care sunt intr-una din locatiile clientului. Pentru asta am facut un tunel IPSec intre GCP si locatie.

Asta se intampla la inceputul lui August. Acu vreo saptamana, intr-o luni, ma suna omenii din locatia respectiva ca “nu mai merge ping-ul din google la ei in locatie”. Ma uit si eu, si chiar nu mai exista conectivitate. Ma uit pe acolo prin dashboard-ul de la GCP, toate verzi. Ma uit la mine, toate verzi.

Au astia la GCP un “Connectivity tester” si alea zicea ca poa sa dea ping. Nu chiar pana la capat, da a dedus el ca ar trebui sa mearga. Nu vroia ping-ul ala sa mearga neam. Am sapat pe acolo prin loguri pana mi-au sarit mucii, nimic util. Zic bine, hai sa pun tcpdump sa vad ce si cum.

Dau ping din locatie intr-un VM din GCP, ajung pachetele la ala, raspunde la ele, la mine in locatia ajungea fix o pula. M-am scremut un pic sa fac o captura de pachete la mine, ca firewall-urile astea enterprise sunt la fel de utile ca igrasia cand ai de debugat, ca abia poti vedea una alta. Nimic util, nici un pachet.

Zic trec la planul B, imi fac un Linux cu Strongswan si vad pe ala ce se intampla, ca macar pot sa-l debughez calumea. Mai fac repede un tunel cu GCP, se ridica imediat, dau ping, la fel, ajungeau cum trebuie pana acolo, cand sa se intoarca… se intorceau prin gura.

Ma zic, nu e de la mine, hai sa vad daca e de la astia. Ca na, se mai strica si cloud-ul din cand in cand si zic poate pot sa-mi zica si mie daca din “Google Cloud VPN” ies pachetele cum trebuie, ca era pe traseu singura necunoscuta.

Dau acolo $100 sa pot sa deschid caz, fac cazul cu toate astea si in vreo doua-trei ore asa imi raspunde un baiat ca s-a uitat el prin loguri si problema e ca e de la mine, ca nu stie VPN-ul de la mine sa faca tunele ESP, ca zice clar in loguri ca “ESP_TFC_PADDING_NOT_SUPPORTED” si ca sa il configurez sa faca tunele cum trebuie. Si ii zic, bosulache, ia fii atent aici schema: pleaca pachetele de la mine, ajung la voi, VM-ul meu raspunde la ele, dar de la voi ciuciu, deci nu ca nu fac eu tunelul cum trebuie. Si i-am explicat si ce cacat e TFC, sa nu mai aibe idei pe langa daca mai vede asta vreodata. Asa mult imi displac oamenii astia de la suport pe care-i doare in pula de problema ta si cauta repede “error” in loguri ca poate, poate e de la tine ceva si nu trebuie ei sa faca nimic.

Aproape o zi liniste, gen vreo 21-22h de liniste de puteai sa auzi pachetele pe cablu. Mai bag o fisa si upgradez la $250 sa pot sa apas pe butonul de escalate, in ideea ca o sa ma bage cineva in seama. Intr-o ora-doua asa imi raspunde iar baiatul asta si zice ca da, interesant, dar poate e din cauza ca am firewall pus si de aia nu merge. Ii trimit screenshot cu “n-am nimic pus”, si dupa mai raspunde tot asa un pic cu intarziere ca este posibil sa necesite investigatii amanuntite treaba asta si sa completez un template de sloturi disponibile sa facem un call cu screen sharing sa se uite si aia sa vada ce si cum.

Ne intelegem la un slot orar pe la 10 noaptea la mine si ma paseaza la o alta echipa. Se face ora, intra doi in call si le arat exact ce si cum, fix cat puteam sa vad eu loguri in GCP acolo. O ora jumate si dupa ce am trecut cred ca de 4-5 ori prin fix aceleasi meniuri, loguri, pasi. M-au intrebat si astia daca n-am firewall, le-am aratat ca nici macar iptables nu aveam pe una din masini. Astia foarte “thorough” asa, au vrut sa vada de cel putin vreo 2-3 ori daca chiar n-am firewall pe masini. Si intr-un final mi-au zis ca ei n-au acces asa sa vada ce se intampla cu VPN gateway-ul lor si daca scoate pachete cum trebuie.

Dimineata imi dau mail ca “fii antena, tre sa dezactivezi VPC mode auto, ca de aia nu-ti merge ca ai facut VPN-ul gresit”. Zic babaieti, mergea de vreo luna jumate pana cand brusc n-a mai mers. Si a doua la mana, mai am un VPN facut tot asa, fix in proiectul asta care ala n-a sughitat deloc. Nu mai bine reparati voi ce-ati stricat si sa faceti sa mearga lucrurile asa cum erau inainte?

Si ce sa vezi, alt mesaj cu “Nu, la noi e ok, daca schimbi cum ti-am zis o sa mearga, ca asa cum e acum nu are cum sa mearga”. Le mai dau o data screenshot-ul ala cu alt VPN mergand, l-au ignorat cu succes si au tinut-o pe a lor.

Pentru ca statea productia, am facut ce vroiau ei si a luat-o. Doar, doar sa nu se uite la ei sa vada ce sloboz au stricat si sa repare.

Din tot ce am investigat si asa, parea destul de clar ca era o problema de rutare pe undeva prin burta lu’ GCP, ca pachetele ajungeau teoretic unde trebuie, doar ca nu erau criptate mai departe si trimise la mine.

Am trecut in 3 zile prin 4 oameni, unu’ cu cea mai mare durere posibila in pula, altii doi un fel de Lolek si Bolek, ei nu stiau, da erau convinsi ca nu poa’ sa fie de la ei, si un al treilea la care am tipat ca si asta era “noi nu gresim”. Doar, doar sa nu dea un tcpdump la ei sa vada daca ies pachetele cum trebuie sau daca nu ies, sa vada de ce nu ies.

M-au umplut de spume, ca in primul rand i-a durut fix in cur de problema, probabil daca nu dadeam mai multi bani sa pot apasa butonul de escalate raspundea baiatul ala cand ii mai venea lui cheful, probabil peste cateva zile dupa ce-si facea siesta. In al doilea rand au facut tot posibilul sa nu investigheze ceva pe partea lor. In al treilea rand ca mi-au dat un workaround pe post de solutie, desi nu cred ca a fost vreun mesaj in care sa nu le amintesc ca “a mers si brusc n-a mai mers”. Si in al patrulea rand pentru “stonewalling” si faptul ca desi le aratam ca merge ce ziceau ei ca nu merge, insistatau ca nu are cum – ba cu poza in fata gen, ei erau cu “nu merge, ti se pare”.

Ca si cu multe altele, e bine sa n-ai probleme cu cloud-ul, ca daca ai, o sugi cu gratie ca nu-i pasa nimanui de la suport sa-ti rezolve problema.

automation

diverse

Cateodata mai am si zile din alea in care chiar trebuie sa muncesc, nu doar sa am opinii despre ce ar trebui altii sa faca. Da stiu, maxim de trist, da’ cateodata mai trag paiu’ scurt…

Cand am mult de lucru, mai ales pe implementari, incerc s-o dau pe automatizare cat se poate de mult din vreo doua motive mari si late:

  • sa nu-mi pierd mintile
  • sa nu gresesc prea mult ca mi-am pierdut mintile

Pentru asta ma dau in general cu Python ca mi-e la indemana si so far mi se pare tata’lor la structuri de date. Adica pentru ca pentru un fisier de intrare de genul:

smc3r01-t1,11.12.13.14,tf
snc4l01-t1,15.16.17.18,t
snt3b02-e1,19.20.21.22,f
tmc5o04-c1,23.24.25.26,tf

pot sa scot o structura de date de tip key/value intr-o linie de cod (bine, 3, da’ oricum):

#!/usr/bin/python3
import csv

with open('t.csv', mode='r') as t_infile:
  reader = csv.reader(t_infile)
  t_nodes = {rows[0]: [rows[1], rows[2]] for rows in reader}

Si dupa aia sa fac chestii cu t_nodes gen:

for n in t_nodes:
  print(n,t_nodes[n][0],t_nodes[n][1])

Pentru ca de fapt t_nodes arata de fapt asa:

{'smc3r01-t1': ['11.12.13.14', 'tf'],'snc4l01-t1': ['15.16.17.18', 't'], 'snt3b02-e1': ['19.20.21.22', 'f'], 'tmc5o04-c1': ['23.24.25.26', 'tf']}

Pai sa ai un key/value store (sau dictionary cum ii zice de fapt) in 3 linii de cod in care valorile sa fie o lista, genius. Sa nu mai zic ca poti avea un dictionare de dictionare pentru cand lucrurile chiar sunt complicate.

Exemplul asta l-am dat ca ca mi-a dat clientul un Excel cu cateva mii de linii si un alt Excel cu doar cateva sute de linii si mi-a zis sa fac sa fie bine :)

Varianta aia indiana era sa zic ca mai am nevoie de cativa oameni care sa utilizeze un GUI, unde dureaza minim 30-40 de secunde de dat click-uri, introdus date si validat sumar pentru fiecare linie din aia din fisier, si asta dupa ce intri intr-un ritm cat de cat decent de lucru.

Varianta mea dureaza 2 secunde pe linie ca e API-ul un pic incet. Si nici nu face greseli. Scriptul meu adica, ca API-ul nu e scris de mine sa fie perfect =)))

Alteori lucrurile sunt mai complicate decat a citi stuff dintr-un CSV, dar alea’s povesti pentru alte alta data.

O alta chestie de vreau sa zic, ca tot am adus vorba de Python, ala de a inventat f” string sa aiba noroc de-un harem de tinere si sa dea la buci pana o sa-i cada pula, ca e absolut geniala functionalitatea asta.

def mkgeneric(what, element):
  if element == '':
      return f' {what} "Any"'
  if len(element.split(',')) == 1:
      return f' {what} "{element.strip()}"'
  if len(element.split(',')) > 1:
      element = element.split(',')
      el = []
      for i in range(len(element)):
          el.append(f'{what}.{i+1} "{element[i].strip()}"')
      return ' '.join(el)

Fara asta scriam la .format() de-mi ieseau ochii, asa il bag direct pe unde trebuie fara nici o treaba, si asta e un exemplu simplu…

Tot pentru automatizare, dar mai mult pentru prototipare (da’ gay mai e cuvantul asta in romana) folosesc Postman, care este genial – mai ales ca poate sa iti zica si cam cum ar trebui sa arate codul intr-un limbaj de programare, gen Python, pentru ce incerci sa faci.


Pe langa treaba de mai sus, cu Postman poti face super debugging cand vrei sa vorbesti cu un API. M-a scos de cateva ori cand vorbeam cu API-uri necunoscute si cu documentatie scrisa de autisti…

Si e bun si cand iti faci singur API si vrei sa-l validezi ca si merge :))

Long story short, lucrurile devin un pic mai usoare daca le faci programatic.

force multiplication

diverse,

Ma screm la postul asta de vreo luna si ceva. Nu ca ar fi greu, da’ nu pleacau cuvintele din degete spre taste sa ajunga pe ecran.

La fizica e un capitol in care te invata de scripeti si parghii, gen cum sa depui mai putin efort ca sa obtii ceva. Un sistem destept de scripeti sau parghii iti dau posibilitatea sa obtii foarte mult depunand cat mai putin efort.

Cateodata e filosofica asa fizica asta. Si nu, nu baui nimic de scriu asta. M-am mai desteptat un pic pe masura ce am mai imbatranit.

Din comunism am ramas cu punga cu pungi si sertarul in care pui chestii pe principiul ca niciodata nu stii cand iti trebuie o tubulara e 13 sudata intr-o cheie de 16.

Eu am dat sertarul de tubulare pe sertarul cu cunostinte. Punga cu pungi inca e acolo, si la modul ala de “cum recunosti un roman in strainatate”, am punga cu pungi in hotelul unde stau de ceva vreme. Pe principiul ca poti sa scoti romanul din romania, da’ nu poti sa scoti romania din roman.

Dar sa revenim la sertar. Scriam pe la inceputul lui 2019 despre lucrurile de baza. Si nu s-a schimbat nimic de atunci, doar ca am realizat ca nu toate problemele le poti rezolva cu cheia de 13, cateodata trebuie s-o prinzi de aia de 22 sa poti aplica mai multa forta sa insurubezi cum trebuie ceva sau sa desurubezi ceva strans bine. La fel cum cum 2-3 scripeti si un pic de sfoara face anumite lucruri sa fie mai usoare de cat sunt.

Anyways, cu cat ai mai multe cunostinte din cat mai multe domenii sau subdomenii, cu atat poti sa faci mai repede inferinte si sa iti dai seama cum poti rezolva o problema complexa. Asa cum o forta poti s-o desparti in vectorii componenti, asa si o problema complexa o desparti in problemele mai mici si le rezolvi pe toate alea si cand o rezolvi pe ultima mica ai rezolvat si problema mare :) Gen ca atunci cand rezolvi un sistem de necunoscute multiple la algebra.

Cumva ce incerc sa zic e ca cu cat stii mai mult, cu atat poti sa-ti faci treaba mai bine si fara sa ai nevoie de prea mult ajutor din exterior. Problema e ca toata distractia asta nu scaleaza nici vertical si nici orizontal, adica nici nu pot tasta mai repde si nici nu ma pot clona.

Mi-a venit sa scriu asta cumva legat de un proiect in care m-a mancat in cur anul trecut sa ma bag unde toata lumea si-o arde foarte enterprise si corporatist, unde sunt echipe si echipe care stiu doar anumite lucruri si nu e treaba lor sa stie si altceva si gen sunt singurul care nu are nevoie de nimic – independent si autonom ca ungurii, si mai am timp sa le explic si la altii una alta, ca specializarile astea nasc monstri si monstrii cand se imperecheaza nasc nu neparat fotomodele… ca sa termin asa asa pe un ton filosofic subtil.

Pe scurt, cu cat stii mai multe, cu atat lucrurile devin mai usoare si mai simple si au mai multa logica ;)