Модуль 02 — Сети

Все DevOps-проблемы в продакшене делятся на три типа: DNS, сети, кеш. Без сетей нет K8s, нет облака, нет безопасности. Это второй фундамент после Linux.

1. Модель OSI / TCP-IP

OSI имеет 7 слоёв, TCP-IP — 4-5. Знай оба, потому что инструменты называют разные слои.

В папке у тебя есть osi.html — визуальный справочник. Открой и просмотри.

На каком уровне работают типовые инструменты:

• L2 (Data Link): switches, MAC. Ты как DevOps это редко трогаешь.
• L3 (Network): IP routers, ip route, маршрутизация в облаке (route tables).
• L4 (Transport): TCP/UDP balancers (AWS NLB), iptables/nftables, security groups.
• L7 (Application): HTTP balancers (Nginx, ALB, Envoy), WAF, Service Mesh.

2. IP, подсети, CIDR

IPv4 и IPv6

IPv4: 32 бита, 4 октета (192.168.1.10). Закончились — но ты будешь работать с ними десятилетие. IPv6: 128 бит (2001:db8::1) — растущий стандарт.

CIDR — главное для DevOps

Запись 10.0.0.0/24: первые 24 бита — адрес сети, оставшиеся 8 — хосты (256 адресов).

Приватные диапазоны (RFC 1918)

• 10.0.0.0/8 — 16М адресов (любимое для крупных VPC)
• 172.16.0.0/12 — Docker по умолчанию использует 172.17.0.0/16
• 192.168.0.0/16 — домашние сети

3. TCP vs UDP

TCP states (must-know)

Видеть в ss -tan:

• LISTEN — сервер слушает
• ESTABLISHED — активное соединение
• TIME_WAIT — соединение закрыто, ждём 60s. Много TIME_WAIT — типичная продакшен-проблема под нагрузкой.
• CLOSE_WAIT — другая сторона закрыла, мы ещё нет. Если много — баг в приложении (не закрывает сокеты).

4. DNS глубоко ⭐⭐

«Это всегда DNS» — народная мудрость SRE. Половина инцидентов — DNS.

Иерархия и резолвинг

1. Браузер → cache OS → cache resolver (например 1.1.1.1)
2. Если нет — резолвер идёт к root (.) → TLD (.com) → authoritative для домена
3. Получает ответ, кеширует на TTL, отдаёт клиенту

Записи (record types)

Команды

dig example.com                    # A запись
dig example.com MX                 # MX записи
dig +short example.com             # только IP
dig +trace example.com             # ★ полный путь резолвинга
dig @1.1.1.1 example.com           # через конкретный резолвер
host example.com                   # упрощённо
nslookup example.com               # Windows-стиль

5. HTTP/HTTPS ⭐⭐⭐

Эволюция протокола

• HTTP/1.1 (1997) — текстовый, одно соединение = один запрос (с keep-alive — до закрытия)
• HTTP/2 (2015) — бинарный, multiplexing (параллельные запросы в одном TCP)
• HTTP/3 (2022) — поверх QUIC (UDP). Решает head-of-line blocking, лучше для мобильных. Cloudflare/Google/Meta уже используют. Учи!

Методы и статусы

curl — твой швейцарский нож

curl -v https://api.com               # подробный вывод (headers)
curl -I https://api.com               # только headers
curl -X POST -H "Content-Type: application/json" \
     -d '{"name":"alice"}' https://api.com/users
curl -o file.zip https://...           # сохранить
curl -w "@curl-format.txt" -o /dev/null -s https://...  # тайминг

6. TLS/SSL ⭐⭐

HTTPS = HTTP + TLS. Знать обязательно.

TLS handshake (упрощённо)

1. Client Hello — клиент: «вот мои поддерживаемые шифры»
2. Server Hello — сервер: «вот мой выбор + сертификат»
3. Клиент проверяет сертификат (цепочка → корневой CA)
4. Обмен ключами (ECDHE, для forward secrecy)
5. Зашифрованное общение

TLS 1.3 — стандарт сейчас. Быстрее (1-RTT), безопаснее. TLS 1.0/1.1 — отключи в продакшене.

Сертификаты в реальности

• Let's Encrypt — бесплатно, автоматически через ACME (certbot, cert-manager в K8s)
• AWS ACM — бесплатно для AWS-сервисов (CloudFront, ALB)
• EV / OV сертификаты — платные, для банков/корпораций. Для большинства — DV от LE достаточно.

mTLS (mutual TLS)

Не только сервер, но и клиент предоставляет сертификат. Стандарт в Service Mesh (Istio, Linkerd) и Zero Trust.

Команды

# Посмотреть сертификат сервера
openssl s_client -connect example.com:443 -servername example.com </dev/null \
  | openssl x509 -noout -text

# Дата истечения
echo | openssl s_client -connect example.com:443 2>/dev/null | openssl x509 -noout -dates

# Цепочка сертификатов
openssl s_client -connect example.com:443 -showcerts

7. Балансировка и проксирование ⭐⭐

L4 vs L7

• L4 (Transport): балансирует по IP/port. Не видит HTTP. Быстрее, проще. Примеры: AWS NLB, HAProxy в TCP-mode.
• L7 (Application): парсит HTTP — может рутить по path/host/headers, делать SSL termination, WAF. Примеры: AWS ALB, Nginx, Envoy, Traefik.

Алгоритмы

• Round-robin — по очереди (default). Просто, но не учитывает нагрузку.
• Least Connections — туда, где меньше активных. Лучше для долгих соединений.
• IP Hash — sticky sessions (один клиент — один backend).
• Power of Two Choices — современный, выбирает лучший из двух случайных. Используется в Nginx, Envoy.

Главные продукты

8. Firewall и сегментация

• nftables — современный стандарт Linux (заменил iptables)
• ufw — упрощённый frontend для Ubuntu
• Cloud Security Groups (AWS) — stateful, белый список
• Network ACL — stateless, на subnet level

Правило №1: default deny. Открывай только необходимое. Это база Zero Trust.

# ufw (Ubuntu)
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp           # SSH
sudo ufw allow 443/tcp          # HTTPS
sudo ufw enable
sudo ufw status numbered

9. VPN и туннели

• WireGuard ⭐ — современный, простой, быстрый. Стандарт сегодня.
• Tailscale — управляемый WireGuard mesh для команд (легко настроить).
• OpenVPN — старый, всё ещё работает, тяжелее.
• IPSec — энтерпрайз, site-to-site VPN в облаках.
• SSH туннели — см. модуль Linux.

10. CDN и Edge

CDN — географически распределённый кеш. Ускоряет доставку, снижает нагрузку на origin, защищает от DDoS.

• Cloudflare — бесплатный план мощный, защита, Workers (edge compute)
• AWS CloudFront — интеграция с AWS, Lambda@Edge
• Fastly — для тех, кто пишет VCL вручную
• Akamai — корпоративный лидер

11. Современные темы

• HTTP/3 + QUIC — становится мейнстримом, твои Nginx/Envoy уже умеют
• eBPF networking (Cilium) — будущее K8s сетей. Заменяет kube-proxy, даёт L7 visibility без sidecar
• Service Mesh — Istio, Linkerd: mTLS, traffic shaping, observability
• Zero Trust Network Access (ZTNA) — отказ от VPN в пользу identity-based access

Чек-лист

Лучшие источники

• Книга: «Computer Networking: A Top-Down Approach» — Kurose, Ross. Стандарт CS.
• Бесплатно: Beej's Guide to Network Programming
• Видео: NetworkChuck, Practical Networking (YouTube)
• Wireshark: Sample Captures — учись читать дампы
• Из папки: osi.html — справочник OSI
• HTTP: MDN HTTP