alfos

Astra Linux SE 1.7 обновления

alfos — Sat, 13 Dec 2025 22:32:40 GMT

Обновил ссылки на установочные диски Astra Linux SE 1.7.

НАЙС.ОС ≠ nice

alfos — Sat, 13 Dec 2025 22:03:09 GMT

На днях на крупных российских ресурсах, посвященных ИТ (LOR, Habr, opennet) появилась новость о выпуске отечественной ОС оптимизированной для контейнеров НАЙС.ОС. Мой интерес вызвал наличие этой ОС в реестре российского ПО, план сертификации по ФСТЭК и использование атомарности OSTree.

Скачал iso, развернул в виртуализации и начал изучать документацию. Документации на сайте нет от слова совсем. Документация сгенерирована ИИ, многих разделов нет, собственной утилиты mkostreerepo в дистрибутиве не оказалось. Все это уже стало наводить подозрения, что это очередной проект BolgenOS.

В новостях была ссылка на их GitHub куда я пошел посмотреть как они эту "чудесную" ОС собирают. Да никак, там ничего нет. Регистрация в GitHub была 18 сентября 2025 года. Судя по информации с их другого сайта разработка ведется аж с 2010 года. Картинку на всякий случай прикреплю, а то вдруг удалят информацию.

Такой вот нехилый жизненный цикл

На GitHub видим персональное имя владельца репозитория StaNislav Belikov, не компании. Соединив в поиске станислав беликов niceos я нашел landing страницу автора этого "шедевра".

Чудо российское инженерии

Дальше больше, по двум ИНН 5024245440 - ООО «НАЙС СОФТ ГРУПП», ИНН 7707748361 - ООО "ДиджиТекГруп" нашел еще один ресурс.

ДиджиТекГруп и вот их методы работы такие.

Подчините ваш сервер нам

Туда будут сливаться данные

Если такие методы работы они используют с клиентами, то что же тогда они такого добавили в свой "чудесный" дистрибутив. Какие там бэкдоры? Как такие "господа" допустили это ПО в реестр?

Эксперты всея Руси

Пока писал эту заметку нашел еще статью про НАЙС.ОС. И посмотрел конечно же профиль автора. Так же автор вышел с ответами к публике на opennet.

Выводы:
- реальный доступ к исходникам и инструментам сборки отсутствует, что сильно снижает доверие к безопасности и прозрачности ОС;
- на z.niceos.ru указано, что разработка ведется с 2010 года, но GitHub появился только в 2025;
- подозрительное несоответствие сроков - это типичный признак “мифической долгой разработки” без реальных доказательств;
- потенциальные риски для конфиденциальности и безопасности использования ОС на стороне клиента;
- возможные бэкдоры и сбор данных - сложно гарантировать, что их продукт безопасен;
- нельзя проверить, что именно попадает в iso;
- низкая поддержка и документация за 15 лет разработки.

По всем признакам, НАЙС.ОС выглядит как потенциально небезопасный проект с сомнительной историей, минимальной прозрачностью и отсутствием открытой экосистемы. Попадание в реестр российского ПО объясняется формальными критериями, а не технической надёжностью.

Update: добавил ссылки на web.archive.org, а то "господа" начали в суете подчищать информацию на страницах.

Оперативное обновление Astra Linux SE 1.7.6UU2

alfos — Thu, 05 Dec 2024 05:44:06 GMT

Вышло оперативное обновление для Astra Linux 1.7.6. Ознакомиться с изменениями релиза можно на вики. Ссылки для скачивания iso обновлены.

ВЫСТУПИЛИ ДОСТОЙНО?!

alfos — Mon, 02 Dec 2024 13:06:15 GMT

Анализировать выступления гимнасток без итоговых протоколов крайне сложно. Родители, как правило, хотят сравнить результаты своего ребенка с достижениями других спортсменок. Художественная гимнастика — это спорт, где важны оценки и турнирные таблицы. Заменять объективный анализ фразой "выступили достойно" — недостаточно, ведь у каждого участника свое понимание этого слова.

Демонстрация итогового протокола соревнований решает проблему, делая все прозрачно и понятно. Неудачные выступления не следует прикрывать размытыми формулировками — важно называть вещи своими именами.

Возникает закономерный вопрос: почему тренеры, судьи и организаторы, даже на соревнованиях всероссийского уровня, избегают публиковать результаты выступлений в открытых источниках?

Отсутствие итоговых протоколов соревнований в художественной гимнастике создает сложности для объективной оценки выступлений спортсменов, провоцируя недовольство родителей и вопросы к организаторам. Вместо расплывчатых формулировок о "достойности" выступлений, важно публиковать результаты для прозрачности и справедливости.

Оперативное обновление Astra Linux SE 1.7.6UU1

alfos — Tue, 19 Nov 2024 07:11:32 GMT

Оперативное обновление Astra Linux SE 1.7.6 и 1.8.1 UU1

alfos — Mon, 09 Sep 2024 07:19:02 GMT

Несколько дней назад разработчики Astra Linux выкатили оперативные обновления Astra Linux SE 1.7.6 и 1.8.1 UU1. Об изменениях можно почитать на wiki 1.7.6 и 1.8.1 UU1.

Пожалуй одно из самых ожидаемых обновлений для Astra Linux SE 1.7 - это возможность миграции до версии 1.8.1, которое разработчики обещали в 1.7.6. Разработчики оправдали ожидания наверное многих админов и пользователей и такой функционал в 1.7.6 появился. Миграцию с версии 1.7.6 до 1.8.1 необходимо проводить строго по инструкции. Конкретно этап миграции описан в 7-ом разделе на странице 51. Так что читаем и выполняем все действия строго по инструкции.

Ссылки для скачивания установочных образов 1.7 и 1.8 обновлены.

Update: Ссылки на установочный образ Astra Linux 1.8 UU1 изменились. Так как они засветились на вики. Куда образы переехали пока что информации нет.

MikroTik: разруливаем траффик с помощью Layer 7

alfos — Sat, 07 Sep 2024 22:46:26 GMT

В Интернете можно найти множество информации о том как с помощью Layer 7 Protocol на MikroTik заблокировать доступ к каким-либо ресурсам. Layer 7 Protocol в MikroTik прекрасный инструмент для сбора данных в потоках с заданными шаблонами на основе регулярных выражений. Блокировка это один из процессов, но что если необходимо не блокировать, а например направить траффик через другой шлюз.

При использовании Layer 7 Protocol следует учитывать, что большое количество подключений значительно увеличивает нагрузку на память и процессор. Что касается производительности Layer 7 Protocol, то она самая минимальная.

Согласно документации MikroTik общий принцип работы Layer 7 Protocol следующий:

Layer 7 Protocol собирает первые 10 пакетов соединения или первые 2 Кб соединения и выполняет поиск шаблона в собранных данных. Если шаблон не найден в собранных данных, дальнейшая проверка сопоставления прекращается. Выделенная память освобождается и протокол считается неизвестным.

Раздел настройки Layer 7 находится в /ip firewall layer7-protocol. В этом разделе создаются шаблоны регулярных выражений. К примеру в случае если необходимо найти пакеты направляющиеся к видеохостингу Youtube, то добавляем следующее регулярное выражение:

/ip firewall layer7-protocol
add comment=Youtube name=Youtube regexp="^.+(youtube.com|youtu.be|googlevideo.com).*\$"

Далее необходимо создать правило в Mangle, которое будет анализировать траффик на предмет запросов к ресурсам видеохостинга Youtube. Если такой траффик будет обнаружен, то в качестве действия укажем чтобы IP адреса назначения были добавлены в Address Lists.

/ip firewall mangle
add action=add-dst-to-address-list address-list=Youtube address-list-timeout=6h chain=prerouting comment=Youtube in-interface=bridge layer7-protocol=Youtube src-address=192.168.88.0/24

Это правило Mangle при совпадении траффика с регулярным выражением описанным в Youtube, исходящим с адресов 192.168.88.0/24 локальной сети и входящем на интерфейс bridge, добавляет IP адреса назначения в список Address Lists под названием Youtube. Так же следует обратить внимание, что если к этими IP адресам не будет запросов в течении 6-ти часов, то они из списка будут удалены, а иначе это время будет сбрасываться до 6-ти часов при новом запросе к IP адресу из этого списка. Для проверки, что правило Mangle срабатывает корректно необходимо ввести команду:

/ip/firewall/mangle/print stats where comment=Youtube

Счетчики BYTES и PACKETS должны увеличиваться. В Address Lists с названием Youtube должны появляться IP адреса с timeout меньше 6-ти часов. Команда для просмотра списка IP адресов, попавших в Address List следующая:

/ip/firewall/address-list/print where list=Youtube

Таким образом MikroTik уже может понимать, что траффик направляется до видеохостинга Youtube и добавлять IP адреса в список. Далее необходимо этот траффик направить по другому маршруту.

Прежде необходимо прописать маршрут на MikroTik, куда будет перенаправляться траффик до Youtube. В приведенной ниже команде прописан маршрут до сети 0.0.0.0/0 через интерфейс wg0 с дистанцией 10 и помещен в таблицу vpn. Т.е. это еще один маршрут по умолчанию, но с низким приоритетом который находится в таблице vpn. Сделано это так, потому что по этому маршруту будет ходить не весь траффик.

/ip route
add disabled=no distance=10 dst-address=0.0.0.0/0 gateway=wg0 routing-table=vpn scope=30 suppress-hw-offload=no target-scope=10

Помимо дополнительного маршрута так же еще надо создать правило для маршрутизации.

/routing rule
add action=lookup comment="VPN" disabled=no routing-mark=vpn src-address=192.168.88.0/24 table=vpn

Это правило выполняет следующее действие - все пакеты с маршрутной меткой vpn (routing-mark=vpn) исходящие с адресов 192.168.88.0/24 должны использовать таблицу маршрутизации vpn.

Теперь необходимо прописать правило, которое будет ставить маршрутную метку vpn к пакетам направляющимся к IP адресам из Address Lists с названием Youtube. Это правило должно быть в Mangle в цепочке prerouting. В правилах маркируется (action=mark-routing) маршрутной меткой vpn (new-routing-mark=vpn) траффик идущий с адресов 192.168.88.0/24 (src-address=192.168.88.0/24) на IP адреса из списка Youtube (dst-address-list=Youtube) на порты 80,443 (dst-port=80,443) входящий на интерфейс bridge (in-interface=bridge). Создать рекомендуется два правила - одно для протокола TCP, второе для UDP.

/ip firewall mangle
add action=mark-routing chain=prerouting comment=VPN dst-address-list=Youtube dst-port=80,443 in-interface=bridge new-routing-mark=vpn passthrough=yes protocol=tcp src-address=192.168.88.0/24
add action=mark-routing chain=prerouting comment=VPN dst-address-list=Youtube dst-port=80,443 in-interface=bridge new-routing-mark=vpn passthrough=yes protocol=udp src-address=192.168.88.0/24

И команда проверки срабатывания правила:

/ip/firewall/mangle/print stats where comment=VPN

Astra Linux Special Edition 1.8 Installation disc

alfos — Thu, 01 Aug 2024 15:25:56 GMT

Astra Linux SE 1.8.1 UU1 (1.8.1.12)
installation-1.8.1.12-29.08.24_15.37.iso
installation-1.8.1.12-29.08.24_15.37.iso.gost
installation-1.8.1.12-29.08.24_15.37.iso.md5
installation-1.8.1.12-29.08.24_15.37-di.iso
installation-1.8.1.12-29.08.24_15.37-di.iso.gost
installation-1.8.1.12-29.08.24_15.37-di.iso.md5
extended-1.8.1.12-29.08.24_15.37.iso
extended-1.8.1.12-29.08.24_15.37.iso.gost
extended-1.8.1.12-29.08.24_15.37.iso.md5

Astra Linux SE 1.8.1 (1.8.1.6)
installation-1.8.1.6-27.06.2024_14.12.iso
installation-1.8.1.6-27.06.2024_14.12.iso.gost
installation-1.8.1.6-27.06.2024_14.12.iso.md5
installation-1.8.1.6-27.06.2024_14.12-di.iso installation-1.8.1.6-27.06.2024_14.12-di.iso.gost installation-1.8.1.6-27.06.2024_14.12-di.iso.md5
extended-1.8.1.6-27.06.2024_14.12.iso extended-1.8.1.6-27.06.2024_14.12.iso.gost extended-1.8.1.6-27.06.2024_14.12.iso.md5