Заметки on Евгений Подолинский

GRUB на программном RAID: как не остаться без загрузки при вылете диска

Tue, 21 Jul 2026 00:00:00 +0000

Разбираемся, почему mdadm не зеркалирует загрузчик, куда именно ставить GRUB в Legacy/BIOS-режиме и как проверить, что сервер действительно поднимется с оставшегося диска.

[Часть 4]Три дня без policy-сервера: как iRedAPD умирает молча

Mon, 20 Jul 2026 10:03:01 +0300

Я собирался поставить rate limit на один почтовый адрес после мейл-бомбы. Для этого в iRedMail есть iRedAPD с плагином throttle. Полез настраивать и обнаружил, что policy-сервер не работает. Уже три дня.

История поучительна не столько поломками — они тривиальны, — сколько тем, как незаметно они прошли.

Первый признак

Смотрю конфиг Postfix и вижу закомментированное:

smtpd_recipient_restrictions =
 reject_non_fqdn_recipient
 reject_unlisted_recipient
 # check_policy_service inet:127.0.0.1:7777
 permit_mynetworks
 ...

При этом cron исправно гоняет /opt/iredapd/tools/cleanup_db.py — служебные скрипты iRedAPD на месте. То есть кто-то (я, при разборе другой проблемы) отключил обращение к политике, чтобы почта ходила, и забыл.

[Часть 3] Мейл-бомба через Google Groups: когда антиспам работает против вас

Mon, 20 Jul 2026 10:02:01 +0300

Разбирая логи почтового сервера по другому поводу, я наткнулся на четырёхминутный всплеск: пятнадцать писем на один адрес. Дальше стало интереснее.

Как это выглядит в логе

from=<pz+bncAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA@attacker.example>
from=<pz+bncBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB@attacker.example>
from=<pz+bncCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC@attacker.example>
...

Отправители с одного домена, все через mail-*.google.com, все на один мой адрес. Префикс pz+bnc — это VERP-формат Google Groups, служебный bounce-адрес рассылочного списка.

Темы писем выдают схему целиком:

"Your request has been received" (Zendesk)
"Potwierdzenie otrzymania wiadomości: NNNNNNNN"
"Ihre Kontaktanfrage an Mars Petcare"
"Servicecenter DB Regio Bus BaWü" (Deutsche Bahn)
"Zenzero ticket #NNNNNNN has been created"
"Encerramento do atendimento - Ticket NNNNNNNNNN" (Odoo)
"Revalize Customer Success Case #NNNNNNNN" (Salesforce)
"[Aktion erforderlich] Bestätigen Sie Ihre E-Mail" (Amazon SES)

Автоответы хелпдесков со всего мира. Немецкие, польские, португальские, испанские.

[Часть 2] Релей для iRedMail: почему рассылочный сервис не подходит для корпоративной почты

Mon, 20 Jul 2026 10:01:01 +0300

В предыдущей статье я выяснил, что весь /17 моего провайдера лежит в Spamhaus SBL и прямая отправка с сервера невозможна. Значит, нужен релей.

Казалось бы, задача на полчаса: прописать relayhost, добавить пароль, перезапустить. На практике всплыли два неочевидных момента — один про архитектуру Postfix, другой про то, чем «сервис отправки почты» отличается от «сервиса рассылок».

Задача

Есть iRedMail на Debian 12, три домена, полноценный почтовый сервер: принимает входящую, держит ящики, отдаёт по IMAP. Ломать это нельзя. Нужно только исходящую наружу отдавать на релей.

[Часть 1] Когда в блоклисте не ты, а весь дата-центр

Mon, 20 Jul 2026 10:00:01 +0300

Начиналось всё безобидно: я хотел разобраться, что такое «Почтовый сервис» у Selectel и можно ли через него отправлять почту с моего iRedMail. Закончилось тем, что я нашёл на сервере четыре независимых поломки, две из которых тихо лежали несколько дней.

Эта статья — про первую и самую фундаментальную.

Симптом

Смотрю лог после того, как настроил релей и отправил тестовое письмо. Оно уходит. И вместе с ним уходит что-то ещё:

postfix/selectel/smtp: 4gyhQs2LTQzyb3: to=<user@example.info>,
 relay=smtp.relay-provider.example[...]:1126, delay=71997, ... status=sent

delay=71997. Это секунды. Двадцать часов. А в следующей строке — delay=116847, то есть тридцать два часа.

Как я переносил корпоративную почту с Mail.ru на свой сервер

Fri, 17 Jul 2026 12:00:00 +0300

Задача звучала просто: перенести корпоративную почту с Mail.ru / VK WorkSpace на собственный сервер. Ящиков — несколько десятков, в каждом тысячи писем, накопленных за годы. Условие одно: не потерять ничего.

Казалось бы, IMAP — стандартный протокол, должны быть готовые решения. Они есть, но каждое упиралось во что-то своё: одни платные и по количеству ящиков, другие не умеют возобновляться после обрыва, третьи ломаются на кириллических именах папок. А обрывы при переносе гигабайтов почты — это не «если», а «когда».

Установка 3proxy на Ubuntu с парольной защитой

Fri, 17 Jul 2026 11:00:00 +0300

Небольшая практическая инструкция: как поднять на Ubuntu свой прокси-сервер 3proxy — сразу HTTP и SOCKS5, с доступом по логину и паролю. Проверено на версии 3proxy 0.9.6.

Отдельно разберу подводный камень, на котором залипают почти все, кто ставит 3proxy впервые: сервис показывает active (running), но порты не открывает. Причина неочевидная, а лечится одной командой — об этом ниже.

Что получим в итоге

HTTP-прокси на порту 3128
SOCKS5-прокси на порту 1080
Доступ только по логину и паролю (auth strong)

Установка из .deb

Начиная с версии 0.9.6 у 3proxy есть готовые .deb-пакеты — компилировать из исходников больше не нужно.

Кукловодим через OpenVox. Часть 4. Локальное зеркало репозитория

Thu, 16 Jul 2026 16:30:00 +0300

Четвёртая, дополнительная часть цикла — про то, как перестать зависеть от внешнего репозитория. В предыдущих частях ноды качали агент с apt.voxpupuli.org, и это работало — но медленно, а иногда и с обрывами. Решение простое и знакомое любому, кто держал локальный apt-mirror: поднять своё зеркало и раздавать пакеты из собственной сети.

Схема получается такая: rsync тянет пакеты с Vox Pupuli, nginx раздаёт их по HTTP на нестандартном порту, а профиль Puppet прописывает ноды на локальный источник. Всё разворачивается на puppet-сервере (puppet.example.com) под root.

Кукловодим через OpenVox. Часть 3. Роли, профили и правила

Thu, 16 Jul 2026 15:00:00 +0300

В первой части мы подняли сервер, во второй — подключили ноды. Всё это было подготовкой. Теперь начинается то, ради чего вся затея: собственно кукловодство. Будем писать правила, по которым голый сервер превращается в то, чем он должен быть.

Это самая большая часть цикла, потому что здесь — вся суть. Я разберу, где что лежит, как устроена архитектура, и дам готовые рецепты на частые задачи: добавить пакет, завести пользователя, настроить SSH, подцепить мониторинг. Всё это — примеры из живой инфраструктуры, а не из учебника.

Кукловодим через OpenVox. Часть 2. Настройка клиентов

Thu, 16 Jul 2026 13:30:00 +0300

В первой части мы подняли сервер управления и научили его раскатывать код из git через r10k. Сервер есть, а управлять ему пока нечем. Пора подключать первых клиентов.

Звучит как формальность — поставил агент, подписал сертификат, готово. На тестовой ноде так и есть. А вот когда начинаешь подключать живые серверы, где уже крутятся базы, почтовики и мониторинг, выясняется, что дьявол, как обычно, в деталях. Про эти детали и будет большая часть статьи — я собрал сюда все грабли, на которые наступил сам.

Кукловодим через OpenVox. Часть 1. Установка сервера

Thu, 16 Jul 2026 12:54:00 +0300

Первая часть цикла про то, как я приручил парк серверов через OpenVox — форк Puppet, который живёт и развивается, пока сам Puppet потихоньку закрывается. В этой части поднимаем сервер управления на Debian 13, кладём весь код под git и настраиваем автоматическую раскатку через r10k.

Идея простая: ни одной настройки руками на боевых серверах. Всё, что делает инфраструктуру такой, какая она есть, лежит в git, проходит через ревью в виде коммита и раскатывается одной командой. Хочешь понять, почему сервер настроен именно так — смотришь историю. Хочешь откатить — git revert. Вот к этому и идём.

Windows: Вход в систему выполнен с временным профилем

Mon, 22 Jul 2024 23:26:02 +0300

При работе пользователей в терминальных сессиях иногда всплывает ошибка: «Вход в систему выполнен с временным профилем». Постоянный профиль при этом не создаётся, все изменения пропадают после выхода.

Причина почти всегда одна — в реестре, в ветке ProfileList, остался «осиротевший» раздел профиля или его .bak-копия. Из-за неё Windows не может подцепить нормальный профиль и подсовывает временный.

Перед правкой реестра сделайте его бэкап. Ошибка в regedit на боевом терминальном сервере обходится дорого, а экспорт ветки занимает несколько секунд.

Fix: Can't exec "locale": No such file or directory at /usr/share/perl5/Debconf/Encoding.pm

Thu, 29 Jun 2023 18:02:02 +0300

Проблема. При запуске install/remove в apt-get вылезает ошибка:

Can't exec "locale": No such file or directory at /usr/share/perl5/Debconf/Encoding.pm line 16.
Use of uninitialized value $Debconf::Encoding::charmap in scalar chomp at /usr/share/perl5/Debconf/Encoding.pm line 17.
dpkg: warning: 'ldconfig' not found in PATH or not executable
dpkg: error: 1 expected program not found in PATH or not executable
Note: root's PATH should usually contain /usr/local/sbin, /usr/sbin and /sbin
E: Sub-process /usr/bin/dpkg returned an error code (2)

Решение достаточно простое.

Возврат к старой схеме именования сетевых интерфейсов (ethX) в Debian

Wed, 01 Mar 2023 22:14:07 +0300

В Debian 10 и 11 используется схема согласованных имён сетевых устройств: интерфейс называется не eth0, а, например, enp0s3.

nano /etc/default/grub

GRUB_CMDLINE_LINUX="net.ifnames=0 biosdevname=0"

update-grub
reboot

Низкий показатель производительности Битрикс 24

Wed, 01 Feb 2023 11:11:55 +0300

Столкнулся с очень интересной проблемой c коробочной версией Битрикс 24. Виртуальная машина BitrixVM на Xen гипервизоре выдает кошмарные оценки производительности. Техподдержка разводит руками, и требует “Меняйте все на аппаратную платформу”.

Решение оказалось достаточно простым.

По умолчанию всегда включен модуль PHP xdebug, который и заставляет все тормозить. Отключаем его в файлике

В файле /etc/php.d/15-xdebug.ini комментируем строку загрузки расширения:

; zend_extension=xdebug.so

И перезапускаем httpd:

service httpd restart

Проблема решена)

Исправляем ошибку в bash "perl: warning: Falling back to a fallback locale ("ru_RU.UTF-8")."

Tue, 31 Jan 2023 09:53:39 +0300

При работе с консолью сервера по SSH может возникать ошибка:

perl: warning: Setting locale failed.
perl: warning: Please check that your locale settings:
	LANGUAGE = (unset),
	LC_ALL = (unset),
	LC_CTYPE = "UTF-8",
	LANG = "ru_RU.UTF-8"
 are supported and installed on your system.
perl: warning: Falling back to a fallback locale ("ru_RU.UTF-8").

Решение простое. В .bashrc пользователя, под которым работаем, прописываем переменные:

export LC_CTYPE=en_US.UTF-8
export LC_ALL=en_US.UTF-8

Обновление прошивки на Juniper SRX

Sat, 16 Apr 2022 18:04:11 +0300

Маленький мануал для обновления «по-быстрому» — понадобится флешка и несколько часов времени.

Достаём прошивку нужной версии.
Форматируем флешку в FAT и закидываем на неё tgz-архив с прошивкой.
Подключаемся через COM-порт к устройству.
Втыкаем флешку в USB.

Подготовка. Создаём каталог для монтирования, монтируем флешку, переходим в каталог с прошивкой:

mkdir /var/tmp/usb
mount /dev/da1 /var/tmp/usb
cd /var/tmp/usb

Обновление. Заходим в CLI:

cli

Делаем резервную копию текущей прошивки и проверяем её:

request system snapshot slice alternate
show system software backup

Запускаем обновление и после завершения перезагружаемся:

Debian 9 стандартные репозитории

Mon, 25 Oct 2021 16:02:28 +0300

Стандартный /etc/apt/sources.list для Debian 9 (stretch):

deb http://deb.debian.org/debian/ stretch main contrib non-free
deb-src http://deb.debian.org/debian/ stretch main contrib non-free
deb http://deb.debian.org/debian/ stretch-updates main contrib non-free
deb-src http://deb.debian.org/debian/ stretch-updates main contrib non-free
deb http://security.debian.org/debian-security/ stretch/updates main contrib non-free
deb-src http://security.debian.org/debian-security/ stretch/updates main contrib non-free

Debian 10 стандартные репозитории

Thu, 21 Oct 2021 15:14:39 +0300

Стандартный /etc/apt/sources.list для Debian 10 (buster):

deb http://ftp.debian.org/debian buster main contrib non-free
deb-src http://ftp.debian.org/debian buster main contrib non-free
deb http://ftp.debian.org/debian buster-updates main contrib non-free
deb-src http://ftp.debian.org/debian buster-updates main contrib non-free
deb http://security.debian.org/ buster/updates main contrib non-free
deb-src http://security.debian.org/ buster/updates main contrib non-free
deb http://ftp.debian.org/debian buster-backports main contrib non-free

Создание файла подкачки в Linux (Create Swap file)

Thu, 21 Oct 2021 00:52:15 +0300

Быстрый способ добавить swap файлом, без отдельного раздела:

sudo fallocate -l 1G /swapfile
sudo chmod 600 /swapfile
sudo mkswap /swapfile
sudo swapon /swapfile
echo "/swapfile swap swap defaults 0 0" | sudo tee -a /etc/fstab

Последнюю строку намеренно даю через tee: команда sudo echo "..." >> /etc/fstab не сработает, потому что перенаправление выполняется от вашего пользователя, а не от root.

Debian 11 стандартные репозитории

Tue, 14 Sep 2021 23:18:59 +0300

Стандартный /etc/apt/sources.list для Debian 11 (bullseye):

deb http://ftp.debian.org/debian bullseye main contrib non-free
deb-src http://ftp.debian.org/debian bullseye main contrib non-free
deb http://ftp.debian.org/debian bullseye-updates main contrib non-free
deb-src http://ftp.debian.org/debian bullseye-updates main contrib non-free
deb http://security.debian.org/ bullseye/updates main contrib non-free
deb-src http://security.debian.org/ bullseye/updates main contrib non-free
deb http://ftp.debian.org/debian bullseye-backports main contrib non-free

Переустановка ОС на MacBook с M1

Wed, 31 Mar 2021 15:05:48 +0300

Иногда на компьютерах с процессором M1 случается неприятность: затирается раздел восстановления, и штатный процесс восстановления ОС становится недоступен. Machine не грузится, а привычный Recovery уже не помогает. Лечится это «оживлением» (revive/restore) через второй, живой Mac.

Что понадобится

Живой компьютер с macOS.
Кабель USB-C — USB-C для соединения двух машин.
Установленные на живом Mac Apple Configurator 2 и Xcode.

Порядок действий

На живой Mac ставим Apple Configurator 2 и Xcode.
Соединяем «мёртвый» Mac с живым кабелем USB-C.
Переводим «мёртвый» Mac в режим DFU.
В Apple Configurator 2 запускаем восстановление.

Как ввести M1 в режим DFU

Это самый капризный шаг — важно, какие клавиши слева, а какие справа.

Проблемы с токенами Сбербанк

Tue, 30 Mar 2021 15:53:01 +0300

Наиболее популярные вопросы 1. При установке драйвера выдается сообщение об ошибке с кодом 39 Ответ: установите обновление и обновление ОС , затем повторите установку драйвера

2. При попытке войти в интерфейс администрирования токена выдается сообщение о том, что он в неактивном режиме, или список учетных записей пуст, или сообщение о таймауте Ответ: Повторите попытку подключить токен 2-3 раза. Если ситуация воспроизводится, необходимо заменить токен

3. При подключении токена, вместо страницы логина в браузере открывается текстовый файл “SSLGATE.URL” примерно c таким содержимым: [InternetShortcut] URL=….. То же самое происходит при кликании на “sslgate.url” с диска токена.

Что просто реализовать на Linux сервере.

Tue, 02 Feb 2021 18:32:34 +0300

Каждый человек, который живет в Windows окружении спрашивает : «А нафига ваш Линух нужен, если есть винда? Что он может?».

Самое просто оправдание использования Linux - бесплатность системы, ее гибкость, простота дальнейшего администрирования, легкость обновлений .

Проблемы с зависимостями уже давным давно в прошлом, собирать из исходников софт так же не нужно. Репозитории содержат актуальные и стабильные версии нужных компонентов, и обновляя необходимый, мы тут же получим полноценное и обновлённое окружение.

Несколько полезных команд в Postgres

Tue, 02 Feb 2021 17:40:44 +0300

Несколько команд, которые всегда под рукой.

Размер базы:

SELECT pg_size_pretty( pg_database_size('sample_db') );

 pg_size_pretty
----------------
 36 GB

Размер таблицы вместе с индексами:

SELECT pg_size_pretty( pg_total_relation_size('table') );

 pg_size_pretty
----------------
 6341 MB

Размер таблицы без индексов:

SELECT pg_size_pretty( pg_relation_size('table') );

 pg_size_pretty
----------------
 1341 MB

Настройка сервера 1С и базы Postgres Pro на Debian 9

Mon, 28 Dec 2020 18:45:39 +0300

Установка производилась на чистый, свежеустановленный Debian 9.13 без графической оболочки. Каталог var вынесен на отдельный раздел (в /var/lib/pgpro/ хранятся базы данных). Все команды выполняются под root.

Значительная часть материала опирается на статью с linux-bash.ru. Пароли и IP-адреса в примерах — плейсхолдеры, замените их на свои.

Добавляем нужные локали

При установке Debian была выбрана ru_RU.utf8 по умолчанию, добавил ещё en_US.utf8:

dpkg-reconfigure locales
locale -a

После выбора вывод должен быть таким:

C
C.UTF-8
en_US.utf8
POSIX
ru_RU.utf8

Установка Postgres Pro

Postgres берём с 1c.postgres.ru. Выбираем ОС и версию — на почту прилетит инструкция, как и откуда ставить.

Кто такой системный администратор?

Fri, 06 Nov 2020 00:55:57 +0300

Кто такой системный администратор? Лесной маг? Оракул? Гэндальф Синий? Прежде чем дёргать вашего — прочитайте эту статью. Сэкономите нервы и себе, и ему.

Системный администратор — это сотрудник, который отвечает за работу вашей техники, сети и ПО. Админ вам не друг, не враг и не родственник. Не стоит дёргать его по каждой мелочи: пока он разбирается с чужими пустяками, он не успевает делать собственно свою работу.

Он может настроить права доступа к файловым сервисам, подключить SIP-телефон, настроить принтер (да, опять принтер), установить рабочую программу и выдать удалённый доступ, если вам нужно работать из дома.

Контроллер домена на Samba — CentOS 7

Fri, 16 Oct 2020 14:46:08 +0300

Samba давно умеет быть контроллером домена на предприятии — стабильно и нетребовательно. Да, по функциональности это уровень 2012R2, но далеко не везде нужны серьёзные леса доменов с Exchange и прочими дорогостоящими хотелками. Авторизовать пользователей, хранить о них информацию, играть групповыми политиками и раздавать адресную книгу по LDAP — всё это Samba делает без проблем.

Подготовка

Для начала стоит проработать вопрос с IP и DHCP — сервер в начало сети и так далее, тут уже на вкус и цвет.