Аренда блока IPv4-адресов на текущий момент - самый простой и быстрый способ получить возможность вывода своих ресурсов в сеть Интернет.

Цена на аренду блока адресов находится на уровне 24 тыс руб/мес. включая НДС.

Причем важно отметить - аренда подсети возможна как из блока крупного оператора, так и малой независимой сети минимального размера (/24 или 256 адресов). 

Важно учесть, что аренда из крупного блока вполне возможно будет сопровождаться необходимостью покупки других услуг (покупки трафика, необходимости размещения в дата-центре или покупки облачных ресурсов). Для крупного оператора гораздо интереснее «догрузить» клиента хорошим списком дополнительных услуг с высокой маржинальностью.

Скорее всего, в случае аренды сети из блока вы не сможете анонсировать эту сеть независимо от её владельца, например, с другими аплинками. Проговаривайте и проверяйте этот аспект ДО заключения договора аренды.

Аренда сетей у розничных, небольших операторов выглядит как более опасный, но на самом деле, вполне может оказаться более выгодным:

• Без навязанных дополнительных услуг

• Малые операторы строят бизнес именно на этой услуге, то есть будут стараться её поддерживать максимально долго

• Вполне могут оказать дополнительные консультации, без дополнительной оплаты: настройка нужных объектов в RIPE, советы по сетевому взаимодействию, советы по опыту работы в глобальной сети.

Как долго ещё будут требоваться IPv4 адреса?

Видимо, ещё довольно долго. 

Основная проблема - вы не можете отключить IPv4 адреса пока не сформирована критическая масса клиентов на IPv6 адресах. 

Если внимательно посмотреть статистику Google:

https://www.google.ru/intl/en/ipv6/statistics.html

можно заметить, что переход на IPv6 стал замедляться, но при этом сейчас в мире - чуть менее половины клиентов могут работать с IPv6 (45%). «Чуть менее половины» - это примерно каждый второй посетитель сайта может работать с IPv6, то есть половина - нет.

Готовы вы потерять половину посетителей своих ресурсов? Ну, решайте сами.

Критическая масса, видимо, возникнет, когда будет хотя бы 80-85% пользователей на IPv6. 

Ещё раз обратите внимание на график - с июля 2023 года переход фактически остановился.

Думаю, что с точки зрения перехода на IPv6 пространство впереди нас ждёт самый сложный период. Быстро не будет.

TeleGeography (by telecomEgypt)

Каждый год рисуют красивую карту в разных вариантах. В 2024 актуальная Submarine Cable Map 2024

FiberAtlantic.com

Удобная искалка по названию кабельной линии + информация о владельцах.

Submarine Cable Map

Undersea Telecommunication Cables

Карта на базе Google Maps.
Не знаю чьё авторство. Можно посмотреть конкретные кабельные системы поверх карт Google.

Undersea Telecommunication Cables

Запись: Аренда сети IPv4-адресов, читать

Как оператору связи сегодня получить хотя бы минимальную сеть IPv4 адресов?

Подсеть это сколько?

Давайте сразу отметим, что минимальная сетка - это 256 адресов или сеть /24.

Нет, чисто технически можно получить и меньшую сеть, но анонсировать в мир через ваших аплинков её будет крайне затруднительно, я бы даже сказал невозможно.

Причина проста - это хоть какая-то защита от переполнения таблицы маршутизации. На сегодняшний день в глобальной таблице около 900 тыс уникальных маршрутов. И при этом уже редко, но всё же ещё встречаются маршуртизаторы с аппаратным ограничением 1 млн маршрутов.

Поэтому операторы на своих стыках используют административное ограничение - сети, меньше чем /24 не принимаются.

Исчерпание адресного пространства

В 2019 году RIPE выделил последнюю подсеть из пула свободных адресов. То есть адреса закончились совсем. Вообще совсем.

https://www.ripe.net/manage-ips-and-asns/ipv4/ipv4-pool

Однако, до сих пор остаётся вариант получения через RIPE сети /24.

Вариант 1: LIR-статус в RIPE

Напрямую конечным клиентам RIPE не предоставляет никаких услуг. Для этого существуют его «представители» - LIR-ы, которым RIPE выделяет диапазоны адресов, а уже LIR-ы распределяют эти адреса по своим конечным клиентам.

LIR-ом может быть как оператор связи, так и любое другое юридическое лицо.

Стать LIR-ом можно через заявку на сайте RIPE
https://www.ripe.net/participate/member-support/become-a-member

Стоит это EUR1550 за первичную регистрацию и далее EUR1000 ежегодная плата.

https://www.ripe.net/participate/member-support/payment

После получения статуса LIR вы можете подать заявку на выделение вам подсети IPv4 адресов.

После этого надо подождать очередь примерно 400 дней и сеть ваша!

Посмотреть график очереди LIR-ов на получение адресов можно тут:
https://www.ripe.net/manage-ips-and-asns/ipv4/ipv4-waiting-list

То есть, вам нужно потратить минимум EUR2550 + накладные расходы + подождать год, месяц плюс ещё немного и сеть /24 ваша. Вероятно.

Вариант 2: купить

На рынке действительно есть возможность купить сеть практически любого размера. Вам нужен IPv4-брокер. 

Кстати, сам RIPE у себя на сайте ведёт реестр IP-брокеров:

https://www.ripe.net/manage-ips-and-asns/resource-transfers-and-mergers/brokers

Текущая стоимость покупки адресов - примерно USD 50-60 за 1 IP-адрес. То есть минимальная сеть 256 адресов будет стоить USD 12,800 - USD 15,360. Но скорее всего ещё дороже. Тут как сторгуетесь.

Вариант 3: арендовать блок адресов

Хороший вариант для решения срочных проблем, но плохой для построения долгосрочного бизнеса. 

Адреса в аренду сегодня в России можно найти за сеть /24 в диапазоне 12000-36000 руб/мес. Но рынок дикий, цены «с потолка», долгосрочной защиты клиента никакой, самое главное - стоимость, которая может непредсказуемо резко вырасти в любой момент. Что, разумеется, тут же отразится на вашей себестоимости.

Вариант 4: купить интернет-провайдера

Вполне возможный вариант - поглощение операторского или хостинг-бизнеса. Если компания уже работает и уже оказывает услуги в Сети, то, возможно, у неё действительно есть пул адресов.

Способ действенный, но очень важно проконтролировать что именно входит в предложение о продаже - адреса должны быть прописаны прямым текстом, с точным указанием всех диапазонов.

Важно понимать:

• Арендованные это адреса или свои

• Какими договорами обеспечивается их работа

• В каком LIR находятся на обслуживании

• Как давно был выполнен последний трансфер (напомню - трансфер возможен только раз в два года)

Лучше всего блоки адресов сразу перевести на подконтрольный LIR.

А то рискуете оказаться в ситуации, когда вы купили кучу клиентов и сервисов, а айпишники - нет.

И потом такую проблему решать невероятно сложно.

Итоги

Итого, сейчас всё таки существует несколько законных способов получения сетей IPv4-адресов. Все они - дорогостоящие, сложные, долгие.

Переход на IPv6 адресацию идёт, но пока вы не пожете 100% полноценно работать в сети только на IPv6, без использования IPv4 (ну, если только в своих технологических целях). 

Статистика Google показывает, что уже 45% трафика приходится на IPv6-диапазон. Но эта же статистика говорит, что 55% ваших клиентов не смогут воспользоваться вашими услугами, если это только IPv6.

https://www.google.ru/intl/en/ipv6/statistics.html

За последние 10 лет в этом вопросе очень многое изменилось. Но всё равно - пока далеко не всё. До критической массы, нужной для полного перехода, ещё очень далеко.

Теперь вы знаете почему аренда одного адреса стоит “так дорого” )

Читать статью: “Установка ТСПУ” о том, как происходит процесс и о том, на какие важные технические детали надо обратить внимание.

Стабильность комплекса

По-честному, надо отметить, что оборудование работает стабильно. Без сбоев и непонятных провалов. Если бы не изменения в фильтрах, которые накатываются без уведомления, то про него можно было бы и забыть.

Единственное, что иногда приходится делать - писать оперативному дежурному ЦМУ ССОП с просьбой добавить очередной vlan с новым аплинком. Или удалить уже не нужный.

Больше внимания к себе эта штука не привлекает.

Иногда приходят уведомления об обновлении программного обеспечения и работах на комплексе. Но пока ни разу не было, чтобы в результате таких работ что-то сбойнуло или развалилось. Обычно проходит незаметно.

Как фильтрует

Чёрт его знает. И не совсем понятны возможности комплекса.

Основное (вроде бы) - ждёт TCP ACK пакета извне, в ответ сам посылает RST, соединение не устанавливается.

Пару раз видели ситуацию, когда не проходят пакеты больше 272 байт, но достоверно установить не удалось (возможно была другая проблема).

Можно ли снять свои фильтры

Можно ли снять свои фильтры, которые у оператора были ещё с времён установки Ревизоров и можно ли, наконец-то, снять Ревизоры?

Нет, нельзя.

Несмотря на установку комплекса, вы всё равно должны самостоятельно фильтровать трафик. Эту обязанность каждого оператора связи никто не отменял. А централизованное управление фильтрацией “возможно только после внедрения ТСПУ везде и запуска всей системы целиком. А это ещё не скоро - пару лет точно”.

То есть, это ещё не конечная точка наших приключений - всё впереди.

Призмы байпаса

В составе комплекса предусмотрен оптический байпас. Смысл - в случае сбоя питания на комплексе, оптические призмы физически разворачиваются таким образом, чтобы замкнуть напрямую вход и выход оптического волокна. То есть исключить влияние сбоя оборудования / питания на работу оптических линков.

Сама идея - хорошая.

Допустим, у вас физически два узла связи - параллельных, для резервирования. Если узлы соединены достаточным количеством волокон, то оба узла можно включить через один комплекс ТСПУ, сделав “петлю” оптическими волокнами. Да, с точки зрения оптических кабелей надёжность ниже, но с точки зрения питания - как раз выше.

В этом случае, полный сбой по питанию одного узла (допустим, одной стойки), не приведёт к полному отказу связи - всё будет работать через вторую стойку.

А вот сбой питания на одном комплексе ТСПУ без оптического байпаса “убил” бы связь полностью.

Так вот, заявляется, что:

разворот оптических призм происходит за 3 миллисекунды, что гарантирует переключение на байпас без разрыва связи

Звучит красиво, но есть особенности.

Особенности

1. Даже 3 мсек разрыв оптической линии связи детектируется оптическим трансивером. Канал падает. Очень кратковременно, но падает.

2. Протоколы маршрутизации, видя падение интерфейса, тут же кладут сессии / разрывают отношения соседства. Даже без BFD-протокола - просто по факту мигания интерфейса.

3. После любого падения линии комплекс переходит в режим байпаса для этой линии, возврат осуществляется дежурным вручную. Вы этого не видите, мониторить не имеете возможности. При возврате также возможна ситуация падения интерфейса.

Как защищаться

1. По возможности, ставить комплекс в разрыв между двумя коммутаторами (НЕ подключать к маршрутизатору).

2. НЕ ставить комплекс на физические линии связи к аплинкам (придется все линии переводить строго на 2 волокна и не будете иметь возможность контролировать падение аплинка).

3. Строить LACP через комплекс (да, он умеет LACP + Trunk) - чтобы иметь возможность переключать интерфейсы по одному.

4. Просить доп. инструкцию по настройке физических интерфейсов у инженеров комплекса. У них точно есть.

Рекомендации ГРЧЦ:

Данная ситуация происходит по следующим причинам:
- таймеры подавления, установленные на интерфейсах оборудования у оператора связи, не блокируют (не подавляют) потерю соединения на время до 50мс;
- при типовой настройке «hold-time up 1000 down 0» на оборудовании оператора будет зарегистрирована потеря сигнала на интерфейсе оборудования и
отключение интерфейса на 1 секунду, что влечет засобой потерю связности, определяемую
протоколом BFD (двунаправленный протокол
обнаружения переадресации), и как следствие - потерю соседства у OSFP, IS-IS, BGP и т.Д.

Рекомендации
В целях избежания указанных проблем рекомендуются следующие настройки в сети оператора связи, на интерфейсах оборудования в сторону ТСПУ:
«hold-time down» - не менее 50 мс.
«hold-time up» - минимальный (например, 0), чтобы BFD не успевал определить падение интерфейса и сохранялась стабильность в сети оператора связи.

Разворот призмы происходит не только при отключении питания на байпасе, но и просто при падении конкретного оптического линка, проходящего через комплекс.

Ложно-положительные

Регулярно. Вдруг перестаёт работать какой-то сервис: подключение происходит, но при согласовании SSL просто тайм-аут и всё. Перестаёт работать сайт, потому что живёт на CloudFlare, а она в списках. Перестаёт работать трансфер зон DNS потому что кому-то показалось, что второй DNS тоже в списках.

Как правило, проблемы единичные, но найти и диагностировать - предельно сложно. Никаких предупреждений о начале фильтрации нет.

Причем, как оказалось, правила вообще не одинаковые на разных ТСПУ-комплексах. У одного оператора может фильтроваться, у другого нет. Регулярно пишем, что-то типа “через Билайн доступно, через Мегафон - нет”. Ну, или наоборот.

Плюс надо понимать, что фильтрация происходит НЕ ТОЛЬКО по спискам РКН. Есть ещё отдельные ведомства и службы, которые запросто могут внести свои блокировки, и эти блокировки нигде не будут опубликованы.

Кто вносит в списки фильтрации

На сайте Роскомнадзора можно проверить внесен ли IP-адрес или домен в списки фильтрации.

Но - сюрприииииз! - там не всё.

Например, есть ещё НКЦКИ (Национальный Координационный Центр по Компьютерным Инцидентам), который может заблокировать ресурс, потому что тот, типа, содержит уязвимость. Говорят, что они сами уведомляют владельцев ресурсов о предстоящих блокировках. Но по каким контактным данным - пока не знаю.

Да и сам ЦМУ ССОП может по каким-то своим причинам ввести блокировку ресурса.

Позднее напишу отдельную статью на тему “Какие ведомства могут блокировать интернет-ресурсы в РФ”

Обход комплекса

Не рекомендую - расстреляют. Даже за бруствер не отведут.

Хотя, надо отметить, что пару раз приходили просьбы от ЦМУ ССОП о том, чтобы пустить либо один адрес, либо сеть оператора мимо комплекса. Но мы тут просто вынуждены были отказаться, потому что само техническое решение не подразумевает такой возможности.

В нашем случае комплекс стоит таким образом, что вообще весь трафик проходит фильтрацию - включая трафик присоединенных операторов. Это и хорошо и плохо.

Хорошо - присоединённым операторам не надо морочиться со своим комплексом. Мы подаём их в отчётности и на том вопрос решен.

Плохо - такие операторы находятся в зависимости от нас и не имеют собственной возможности переключить комплекс на байпас.

Был случай, когда существенно пострадала сеть присоединённого оператора - в момент включения фильтрации VPN. А у клиента пол-бизнеса на VPN построено. Быстрого решения не существовало, приходилось ругаться с РКН.

Взаимодействие с ЦМУ ССОП

По электронной почте - несколько часов / 2-3 дня - запросто. В случае срочной необходимости лучше звонить (телефон они дают).

Первая линия - сам NOC ЦМУ. Но чаще всего эта линия перенаправляет запрос дальше, на организацию, которая выполняла установку и настройку комплекса (ДЦОА - О «Данные – центр обработки и автоматизации»).

Если требуется какое-то согласование, например, исключение в фильтрации - ну тут труба, ибо несколько дней. Готовьтесь.

Приключения

Чем дальше - тем больше.

Добавляются новые заблокированные ресурсы. Внедряются блокировки протоколов (например OpenVPN, WireGuard). И теоретически, вы должны уже быть к ним готовы в момент публикации таких запретов.

Дьявол, как всегда, в деталях. То вдруг оказывается, что банкоматы тоже по VPN работают. То заденет случайно какой-то сайт. То CloudFlare перестанет частично открывать кэшированные сайты.

Каждый раз это 2-3 часа поисков проблемы.

Регулярность - раз в 2 недели точно, бывает 3-4 дня подряд сыпятся такие приключения. Трудозатраты сами посчитаете.

Мало того, надо ж ещё найти причину и показать её клиенту. А вот когда заблокированного ресурса нет в списках РКН, тогда клиент однозначно считает, что провайдер виноват. И фик чего докажешь.

Отчётность

По работе комплекса - нет. Это они сами.

Ежегодно - опросник по обновлению комплекса. Какой план по росту производительности, какой план включения и каких операторов. Для небольших коммерческих операторов - то ещё приключение! А вдруг кого-то мощного включишь за хорошие деньги? И чего делать если канальной мощности не хватает? Ответа нет. Срочно расширяться не пробовали.

Периодически отчёты “какие присоединённые операторы включены через комплекс?”. И, разумеется, в режиме “очень срочно, несмотря на пятницу, надо сегодня к 18 часам!”. Лучше просто держать постоянно актуальные предзаполненные отчёты на эту тему.

Итого

Итого: жить как-то можно. Наверное, даже лучше с ним, чем со своими фильтрами и Ревизорами - можно сказать “ничего не знаю, у нас ТСПУ стоит на всей сети, сами там фильтруйте”.

Про “не требует затрат оператора” - враньё. Как минимум, пол-стойки оборудования на узле связи, плюс стоимость волокон (если разнесённые узлы).

Но самое обидное - оттягивает время инженеров NOC на поиск проблем.

Причем учтите, что проблема может быть не только на вашем комплексе, но и у каких-то других операторов. И дежурного надо отдельно просить, чтобы проверил на других ТСПУ.

А результат - ну вот вообще не уверен. И где взять статистику тоже не знаю. По моим наблюдениям, всем кому нужен был доступ к каким-то сайтам - у всех остался.

Резюме до сих пор публикуют на LinkedIn. Вакансии регулярно прилетают с Facebook (сайт запрещённой экстремистской организации Мета). Рилсы смотрят в Instagram.

Важно: версия RabbitMQ должна совпадать на всех машинах, в том числе на новой подключаемой.

Проверить версию можно командой

newnode$ sudo rabbitmqctl status

Вывод у команды длинный, но найти что-то типа “RabbitMQ version: 3.11.16” не составит труда. Можно грепнуть.

При этом версии и даже классы операционных систем, на которых установлен заяц, могут вообще не совпадать никак.

При попытке подключить новую ноду к существующему кластеру с другой версией кролика, вы получите сообщение
error: incompatible_feature_flags

Если версии НЕ совпадают, то варианта два:
1. менять версию на уже работающем кластере (как правило обновлять)
2. менять версию на новой ноде (как правило даунгрейдить)

Чтобы кластер собрался, обязательно должны совпадать Erlang cookie на всех машинах. Для точного совпадения копируем файл с куками с существующей машины. Просмотреть файл и скопировать его содержимое в другой файл не получится.

/var/lib/rabbitmq/.erlang.cookie

У файла должны быть правильные права доступа (400) и правильный владелец. Если что - chmod и chown вас спасут.

Рестартуем кролик-сервис. Чтобы без лишних сюрпризов.

newnode$ sudo systemctl restart rabbitmq-server

Останавливаем приложение на новой ноде

newnode$ sudo rabbitmqctl stop_app

Выполняем reset конфигурации нового кролика

newnode$ sudo rabbitmqctl reset

Добавляем ноду посредством подключения к существующей ноде в работающем кластере

newnode$ sudo rabbitmqctl join_cluster rabbit@<old-node-name>

ВАЖНО! Регистр имени ноды имеет значение! - должен совпадать с именем в RabbitMQ существующей ноды.

Запускаем обратно

newnode$ sudo rabbitmqctl start_app

Проверяем текущий статус кластера

newnode$ sudo rabbitmqctl cluster_status

Цель

Полный список российских IP-адресов (а также список адресов другой страны - аналогично) требуется в случаях:

1. выполнение требований российского законодательства по ограничению доступа к ресурсам (например, VoIP в России может работать только от российских сетей)

2. допуск нужной аудитории к ресурсу

3. Категоризация аудитории

И так далее.

Источник данных

Данные о принадлежности IP-адресов разным странам собирают различные сервисы. Например тут перечислено более 50 сайтов/сервисов, предоставляющих такие услуги.

Однако, алгоритмы сбора данных о принадлежности адресов в подавляющем большинстве случаев закрыты, не всегда понятно на основании каких именно критериев адреса относят к тем или иным странам.

Наиболее популярный - GeoIP.

Однако, нужно понимать, что в случае соблюдения требований российского законодательства источник данных должен быть:

1. достоверным

2. признанным

Вряд ли вы сможете доказать, что GeoIP предоставляет действительно достоверные данные. И эта проблема касается как ложно-положительных, так и ложно-отрицательных случаев.

С точки зрения российского законодательства существует только три достоверных источника данных об IP-адресах: IANA, RIPE и РАНР.

IANA - управляет глобальным распределением крупных адресных блоков континентальным регистратурам. Принадлежность заданной сети конкретному пользователю тут не узнаешь, зато можно получить вообще представление о том, какой диапазон выделен какому континенту.

RIPE - региональная Европейская регистратора (если быть точным, то Europe, the Middle East, and Central Asia). При выделении сети конечному клиенту RIPE обязательно спрашивает в каком регионе будет использоваться заданная сеть.

РАНР (Реестр адресно-номерных ресурсов) - копия базы данных RIPE российских ресурсов. Реестр пока ещё только создаётся, поэтому пока нельзя сказать, что его база хоть сколько-нибудь полная. Да и вытащить оттуда список ресурсов (не один конкретный, а именно список) - та ещё задачка.

Таким образом, если список адресов нужен для целей, связанных с определением достоверности информации, стоит полагаться именно на RIPE

Как получить актуальный список адресов

#curl https://stat.ripe.net/data/country-resource-list/data.json?resource=RU | jq -r '.data.resources.ipv4 | .[]' > ru.txt

stat.ripe.net - ресурс предоставляет статистические данные об использовании интернет-ресурсов, в том числе в формате JSON

resource=RU - российские ресурсы

jq -r ‘.data.resources.ipv4 | .[]’ - извлекает IPv4 адреса из JSON, полученного от stat.ripe.net. Извлекает из строки JSON-а каждый IPv4-элемент.

> ru.txt - складываем полученные данные в файл ru.txt

В итоге у вас получается файл размером примерно 11тыс. строк.

ВАЖНО: НЕ ВСЕ строки в файле одинакового формата!

В подавляющем большинстве строки в файле выглядят как CIDR-подсеть:

2.56.24.0/23
2.56.26.0/23
2.56.88.0/22
2.56.112.0/22

Однако, если сделать поиск строк, в которых нет слеша, получим примерно 20 строк в формате диапазона:

$ cat ru.txt | grep -v "/"
31.135.244.0-31.135.251.255
46.149.66.0-46.149.71.255
62.122.208.0-62.122.212.255
78.31.178.0-78.31.183.255
81.162.48.0-81.162.53.255
87.239.32.0-87.239.34.255

Их можно либо игнорировать, либо поправить вручную - как вам больше нравится.

В итоге, получаем файл из которого можно далее собрать либо ACL, либо правило для firewall, либо использовать этот список ещё каким-либо образом.

Кроме того, вы всегда можете сослаться на достоверный источник данных - RIPE. Достовернее не бывает.

Ручная проверка принадлежности сети

На сайте RIPE.net в правом верхнем углу - строка поиска:

В выдаче вас будет интересовать объект inetnum (все остальные объекты создаются на его основе):

Может ли одна и та же сеть использоваться в разных странах одновременно?

Да, запросто. В случае честного оформления объекта в БД RIPE будет несколько строчек country: с разными идентификаторами стран, в которых сеть будет использоваться.

В выгрузку stat.ripe.net такая сеть попадёт несколько раз - по одному разу для каждой страны.

Считаем.

В месяце:

60 секунд * 60 минут * 24 часа * 30 дней = 2 592 000 секунд

Тогда, в секундах в месяц:

1%= 25 920 секунд0,1% = 2 592 секунд0.01% = 259 секунд

Надёжность 99% = нормальный простой сервиса 1% времени

Если SLA рассчитывается “в месяц”:

99,9% = 0,1% времени = 25 920 секунд = 7,2 часа
99,99% = 0.01% времени = 2 592 секунды = 43 минуты
99,999% = 0.001% времени = 259 секунд = 4,3 минуты

Но всё ещё интереснее, когда SLA насчитывается как показатель “в год”:

99,9% = 0,1% времени = 25 920 секунд = 7,2 часа * 12 = 86 ЧАСОВ! = 3.5 ДНЯ!
99,99% = 0.01% времени = 2 592 секунды = 43 минуты = 8,6 ЧАСА!
99,999% = 0.001% времени = 259 секунд = 4,3 минуты = 51 минута. Почти час.

Стройте ваши сервисы с учётом подписанных SLA

Так вот, “надёжность три девятки”, она же 99,999% - на самом деле это 4.3 минуты в месяц и 51 минута в год.

PS: видел тут недавно договор, в котором надежность прописана как 97%. Это 77 760 тыс секунд в месяц. Это 21.6 часа, так на секундочку. А нафик в этом случае вообще SLA? ))

Наш опыт использования сравнительно небольшой - всего дважды мы строили “длинную” гигабитную линию связи на атмосферной оптике. Но нам понравилось.

Технология

FSO (Free Space Optics) - линия связи через открытые, незакрываемые пространства на дальности несколько километров. Суть в том, что два модема должны в прямом смысле “видеть” друг друга по прямой. Например с одной крыши здания на другую.

Несущая - инфракрасный луч, модулируемый сигналом передачи данных.

Фактически такой модем - это лазерная указка плюс фотоприёмник. Пара таких устройств создаёт линию связи.

“Незакрываемое” пространство означает, что не должно быть ни постоянных (понятно) помех, ни временных - раскачивающиеся деревья, летняя листва, рекламные плакаты, плотный дым из труб и тд.

Преимущества

Самое главное - НЕ требуется никаких лицензий на такую линию связи. ИК-диапазон не контролируется.

Эфир не засоряется. Линия связи строго точка-точка, “шум” как в WiFi, от других передатчиков здесь не существует в принципе.

Возможность организации на большой высоте. Проводные “воздушки” видны, портят вид, их регулярно срезают, они боятся грозы и тд.

Защищённость. Перехватить такую линию связи весьма сложно, так как луч очень узконаправленный (на дистанции 8 км у нас было пятно 2-3 метра в диаметре).

Самое главное: в некоторых случаях решает проблему невозможности организации линий связи традиционными методами.

Недостатки

Требуется открытое пространство. Помним, что модемы должны “видеть” друг друга. И не всегда можно оперативно определить что именно закрыло луч.

Относительная сложность монтажа и выбор места крепления. Крепится такая штука “намертво” к стационарным конструкциям (дома, мачты, дымовые трубы…). Здесь важно отметить, что мачта (или другая конструкция) не должна раскачиваться от ветра.

Старые модели были весьма громоздкими.

Дорогостоящее оборудование (наш комплект в 2012 стоил примерно 250 тыс. руб.).

Устойчивость сигнала

Вот этот момент стал приятным сюрпризом: за несколько лет эксплуатации мы всего дважды натыкались на отказ линии связи по погодным условиям: была околонулевая температура, сильный ветер и мокрый снег.

Косой снег налипал на оптику и блокировал прохождение сигнала.

Через примерно 10 минут оптика оттаивала за счёт внутреннего подогрева оборудования и сигнал восстанавливался.

Наши ожидания: нестабильный канал, чувствительный к дождю, туману, прямому солнцу и тд.

Реальность: ей почти всё равно. За 4 года общий простой канала составил примерно 20-30 минут. Плюс штатное переключение на комплектный WiFi - полностью решали проблему.

В 2015 году мы использовали оборудование петербургского производителя ООО “Оптические ТелеСистемы” (Lantastiсa.ru).

Сейчас ООО НПК «Катарсис» (ООО “Оптические ТелеСистемы”) выпускают уже намного более технологичные системы, включающие системы автоматической настройки (да, в те времена мы настройку выполняли вручную, путём затягивания регулировочных болтов - это отдельное приключение, надо сказать) и системы управления качеством лазерного пучка.

Итого

Системы атмосферной оптики оказались на удивление надёжными, устойчивыми, вполне достойными для реализации в сложных условиях.

Кстати, у нас демонтированная система до сих пор лежит на складе, ждёт своего следующего включения и никаким образом не считается морально устаревшей. Совершенно точно ещё поработает.

Apple (пользовательские сервисы)

https://www.apple.com/ru/support/systemstatus/

Apple (сервисы для разработчиков)

https://developer.apple.com/system-status/

Meta Status (статусы всея Мета; открывается из РФ, но содержимое не подтягивается)

https://metastatus.com

Facebook business status

https://status.fb.com

WhatsApp business

https://status.fb.com/whatsapp-business-api

Google Workspace

https://www.google.com/appsstatus/dashboard/

Google Cloud

https://status.cloud.google.com

Google рекламные сервисы

https://ads.google.com/status/publisher/

Twitter API

https://api.twitterstat.us

Yandex.Cloud

https://status.cloud.yandex.com/dashboard

GitHub

https://www.githubstatus.com

OVHcloud

https://status.us.ovhcloud.com

Lumen / Level3 / Century Link status

https://status.ctl.io

Akamai

https://www.akamaistatus.com

Cloudflare

https://www.cloudflarestatus.com

Общероссийский Looking Glass и Downdetector в одном лице от РКН
https://portal.noc.gov.ru/ru/lg/

Пишите в комментариях какие ещё сервисы нужно добавить в список.

Утекают данные по-разному - выносят сотрудники, ломают хакеры, админы забывают закрыть публично-доступные сервисы типа Elastics, данные уходят при слиянии / разделении компаний и тд. Одним словом, течёт всеми возможными способами.

Причем если ранее утекали базы в тысячи строк - сейчас уже миллионами и десятками миллионов. И почти каждую неделю.

Примеры утечек в 2022 году

…
Март 2022. Яндекс.Еда. 49 млн. записей (25 млн уникальных). ФИО, телефон, адрес, комментарии к доставкам.Март 2022. Вкусные Суши (СПб). 67 тыс. ФИО, email, телефон, адрес.

Март 2022. Фотострана. 800тыс. ФИО, дата рождения, телефон, IP-адрес, ссылки на профили в соцсетях.

Май 2022, Гемотест, 30 млн, ФИО, телефон, почта, адрес, данные документов.

Май 2022, Сколково, 623тыс. ФИО, телефоны, почта, адрес, место работы и должность, другая информация.

Май 2022, Delivery Club, 1 млн. В таблице более 500 полей, например адрес доставки с кодом домофона.
SkyEng, МирТесен, GeekBrains, Корпоративная база сотрудников Ростелеком, «Умный Дом» (тоже Ростелеком), база сотрудников РЖД, Яндекс.Практикум, ТУТУ.ру (включая 32 млн записей по заказу билетов - дада, с номерами документов), СДЭК, DNS, ЕСИА, Whoosh, Дом.ру, МЭШ (17млн, включая СНИЛС - это про детей!), Ситимобил, СпортМастер.

2022й был “громким”, но 2023й уже бьёт все рекорды:

Январь 2023, база пользователей Mail.ru, 3,5млн., ФИО, почта, телефон.

Январь 2023, СогазЖизнь (страховая компания), 700тыс., ФИО и персональные данные.

Февраль 2023, платежная система Best2Pay, 350тыс, ФИО и персональные данные + платежи и некоторые цифры банковских карт.

Февраль 2023, несколько утечек магазинов Puma, Бристоль, Дикси (данные покупателей)

Февраль 2023, СберЛогистика, 600тыс, ФИО, почта, телефон.

Март 2023, “Навигатор поступления” (сервис помощи поступающим в ВУЗы), 500тыс., ФИО, почта, школьный класс.

Март 2023, СберПраво, 116 тыс., ФИО, почта, телефон, дата рождения.

Март 2023, СберСпасибо, 49 млн. записей. ФИО, телефоны, дата рождения.

Масштаб утечек поражает, а уровень сервисов говорит, что в Интернете вообще нет никакой защищенной информации. Всё что когда-то попало в Сеть - может быть доступно широкому кругу лиц.

Систематизация и обогащение данных

Одна, даже пусть самая большая утечка, на самом деле не так уж и страшна: вы понимаете какие данные стали доступны и можете примерно понять какие риски вы несёте и как от них защититься.

Но дальше можно объединить базы данных от различных утечек.

Допустим, вы получили какую-то одну базу данных. Это, скорее всего, таблица с данными. В ней - строки (пользователи) и столбцы (конкретные данные, например почта или телефон). А дальше…. Вы берёте такую же таблицу из второй утечки и пытаетесь сравнить данные из первой и второй. Какие-то данные совпадут, например номер телефона или email. И скорее всего, в итоге вы получите ещё более подробную и полную объединённую таблицу. По совпадению телефонного номера вы дополните строки email-ами и адресами. По совпадению почты - логинами в соцсетях. И так далее. И каждая следующая утечка данных даёт вам ещё более полную информацию о конкретном человеке: ФИО, телефон, почта, адрес, номер паспорта, медицинские данные, должность и компания, СНИЛС, девичья фамилия матери, ваши фотографии из соц.сетей…

В общем, когда начинаешь осознавать масштабы слитых данных и вероятные объёмы баз данных про каждого из нас - становится страшновато. 

Что делать?

Первое:
- принять мысль, что про вас в Интернете известно всё. Вообще всё. И речь сейчас не про спецслужбы.

- не думать, что вы защищены, потому что «небезопасный сервис разорится, так как потеряет доверие пользователей» - это ошибочная мысль. Яндекс Еда, кажется, даже не пошатнулась. СДЭК как работал, так и продолжает. Ростелекому вообще всё равно.

- принять мысль, что любая буква, написанная вами на каком-то ресурсе в Сети может быть прочитана, сохранена, структурирована и положена в ваше личное досье агрегатором утечек или просто частным лицом.

- принять мысль, что злоумышленники могут использовать вообще любую информацию о вас при общении с вашими друзьями, работодателем, сервисами, банком и тд.

Осознание проблемы = половина её решения.

Второе:

- определить для себя приемлемый состав данных, которыми вы можете поделить с online-сервисами. Телефон? Email? Номер паспорта?

- определить насколько вы вообще готовы «жить в Сети», насколько ваш профиль деятельности соответствует этой задаче.

Третье: попытаться разделить «значимое» и «общественно-доступное»:

- использовать только уникальные пароли, причем автоматически сгенерированные;

- использовать разные номера телефонов для значимого (банки, финансы, госсервисы) и для публично доступного (соцсети, почта, еда, доставки…)

Четвёртое (самое важное):

- уповать на лучшее, но быть морально готовым к худшему, а именно - к использованию ваших данных другими людьми и к возможному противостоянию этому.

То есть должен вообще перестать существовать вопрос “Откуда вы это про меня знаете?!”. Помните, что все данные о вас известны.

- указывать уникальные логины, ФИО и другие данные - где это возможно. Например, для не особо значимых сервисов рассылки указывать ФИО не реальное, на, например «Артём МагазинОдежды»;

Законодательство, регулирование

Законодательство в отношении хранения и обработки персональных данных функционирует в России с 2006 года. Хранение персональных данных регулирует 152ФЗ. Законом и подзаконными актами регулируются правила создания систем сбора и хранения данных, степень и процедуры их защиты и тд. Часто эти процедуры - формальные, ради “соответствия”.

Ответственность за утечку данных регулируется ст. 13.11 КоАП РФ. Максимальный штраф - 500 тыс. рублей с организации.

Сравните масштабы перечисленных выше утечек, масштабы организаций и размер максимального штрафа.

Проблема поднималась многократно, в том числе про введение оборотных штрафов. Согласно поручению Президента, правительство РФ должно до 01 июля 2023 разобраться с вопросом оборотных штрафов в этой сфере.

Таким образом, приходим к выводу, что на сегодняшний день законодательство фактически не работает. Защиты от утечек нет, ощутимых мер наказания - тоже.

Цена утечки на сегодняшний день существенно ниже, чем комплекс мероприятий, обеспечивающий безопасное хранение данных.

Как проверить что про вас знает Интернет?

Никак. Если вы - не профессиональный участник рынка личных данных (разумеется, это незаконно и уголовно наказуемо), то вряд ли вы сможете найти вариант проверки. Да и нет на самом деле, такого единого места или организации, где это можно проверить.
В Сети есть куча ресурсов, которые типа дают возможность «без регистраций и смс» или «всего за 100 рублей» проверить какая ваша информация доступна. Но тут надо помнить, что пользуясь таким сервисом вы добровольно предоставляете дополнительные данные о себе. Например, при проверке через Telegram-бот вы, как минимум, даёте о себе данные: имя пользователя, имя в Телеграм, уникальный идентификатор… То есть в общей базе данных к вашей записи вполне может быть добавлена ещё пара-тройка полей. Ну а если сервис платный, то ещё и платёжные данные.

Агрегаторы

В сети действительно есть агрегаторы утечек, основная задача которых - предупредить пользователя о том, что их данные были украдены:

HIBP (haveibeenpwned.com) - один из самых известных международных сервисов. Поиск по телефону и email.

Firefox Monitor - организация Mozilla, создатель одноименного браузера, запустила свой сервис проверки email адресов.

DeHashed - сервис поиска по широкому набору данных (телефоны, почта, ip-адреса и тд).

Заметим: систематизированные данные об утечках могут быть, в том числе, украдены с ресурса агрегатора. Так сказать, сразу оптом. По этой причине перестал существовать сервис PwnedList - из-за уязвимостей, позволявших искать данные пользователей.

DataLeaks - российский агрегатор и Telegram-канал об утечках персональных данных.

Личный опыт: что про меня известно агрегатору

Для эксперимента я попытался проверить в каких именно утечках фигурировал мой номер мобильного телефона. Результат меня поразил, хотя и вполне ожидаемо:

📱 Телефон найден в 23 утечках:

💧️ asi.ru [12.2021]

💧️ avito.ru [2015]

💧️ cdek.ru [07.2022] 🇷🇺 | 📦

💧️ cdek.ru [2021] 🇷🇺 | 📦

💧️ corbina.net [2021]

💧️ gemotest.ru [2021] 🇷🇺 | 💉

💧️ jivo.ru [11.2020]

💧️ letovo.ru [08.2022]

💧️ mail.ru 🇷🇺 | 🌐

💧️ numbuster.com [2018] 🇷🇺 | 📱

💧️ ok.ru [11.2021]

💧️ parking.mos.ru [01.2019] 🇷🇺 | 🚗

💧️ parking.mos.ru [11.2018] 🇷🇺 | 🚗

💧️ parking.mos.ru [2014-11.2017] 🇷🇺 | 🚗

💧️ sberbank.ru [2021] 🇷🇺 | 💰

💧️ school.mos.ru [08.2021] 🇷🇺 | 🏫

💧️ skolkovo.ru [09.2021] 🇷🇺 | 🏫

💧️ skyeng.ru [2021] 🇷🇺 | 🏫

💧️ spasibosberbank.ru [02.2022] 🇷🇺 | 💰

💧️ spb.rt.ru [2016]

💧️ sportmaster.ru [10.2013-05.2018] 🇷🇺 | 🏃‍♂️

💧️ vkontakte.ru [2012] 🇷🇺 | 🌐

💧️ whoosh-bike.ru [11.2022] 🇷🇺 | 🛴

Судя по списку сервисов и примерно понимая какие именно данные утекли в сеть, могу сказаться что про меня известно примерно всё: от работы до медицинских данных.

Понятно, что имея такую информацию, можно попробовать вполне успешно решить задачу обмана меня или, например, банка от якобы моего имени средствами социальной инженерии.

Например, в статье WashingtonPost уже описывают случаи подделки с помощью нейронных сетей голосов ваших родственников, которые якобы звонят с просьбой о помощи.

А вот тут статья о том, как энтузиаст с помощью генерации голоса вполне успешно осуществил авторизацию в банке по голосу. Акцент: энтузиаст в домашних условиях. Утверждается, что нейросети достаточно короткой записи вашей речи, чтобы выполнить успешное обучение.

И это ровно то, о чем я писал в посте про технологии, которые нас уничтожат “Армагеддон будет тихим”.

Будущее уже на пороге.

Все будет хорошо. Готовьтесь.

Есть ли надежда?

Разумный вопрос: есть ли вообще надежда на исправление ситуации? Кажется, что проблема сейчас выглядит как лавина - остановить процесс утечек не может никто.

Очень похоже, что путь исправления будет долгим и сложным. Вполне может быть, что некоторым компаниям придётся действительно закрыться - в случае, если действительно будет принято законодательство об оборотных штрафах, мало того - если оно ещё и исполняться будет.

Построение систем защиты информации - это весьма дорогостоящее мероприятие. И пока будет дешевле платить штрафы ничего принципиально не изменится.

Но стоит обратить внимание на один момент:

До сегодняшнего дня не было информации о сливах банковской информации: состоянии счетов, банковских проводках, переводах. То есть все таки можно…