[ReInspire]

#it #sysadmin #siecikomputerowe

[biczek]

@ReInspire: Dns

[Firenz]

@ReInspire: gorzej jak przez 9h na bridge'u jako platform engineer udowadniasz przy SVP, że it is the network mimo, że sieciowcy jak zawsze idą w zaparte i potem się okazuje, że rzeczywiście było i network engineer jedyne co miał zrobić to kopnąć palo alto jedno i drugie

[ReInspire]

@Firenz: tak też niestety bywa ¯\(ツ)/¯

[bartd]

@Firenz: 9h? Robisz 12h zmiany? ( ͡° ͜ʖ ͡°)

[Rudz1elec]

sieciowcy jak zawsze idą w zapart

@Firenz: bo w 99% to nigdy nie jest network issue. To zazwyczaj platformersi nie ogarniaja swoich gownianych serwisow i szukaja potem wszedzie problemu tylko nie u siebie( ͡° ͜ʖ ͡°)

[ReInspire]

@Rudz1elec: chyba nie mogłeś tego lepiej ująć. Najgorzej jest jak trafi się taki co to nie grzebanie u siebie i musisz mu udowadniać prze 9h że sieć działa dobrze ( ͡° ͜ʖ ͡°). Jak już pokażesz co u niego nie działa to wtedy łaskawie kliknie.

[Rudz1elec]

@ReInspire: mialem kiedys takich 3 debili. czy tam 5 juz nie pamietam.
Cos tam sie pluli, ze maja jakis problem z polaczeniem do serwera SFTP z internetu. Jako, ze to bylo duze korpo, to switchami zajmowal sie inny zespol, firewallami inny, a load balancerami inny. Ja jako stary dinozaur, to akurat robilem po trochu w kazdym z tych zespolow i mialem wszedzie dostep.
O ile kojarze problem byl ze logowali sie do

[ReInspire]

@Rudz1elec: ja to się często spotykam z takim problemem jak napisał @biczek czyli ludzie od wirtualizacji coś sobie skopią przy DNS i później na Windowsach się dziwne rzeczy dzieją. Raz prawie na 4h bank stanął bo koledzy migrując środowiska zostawili na starych serwerach główny DNS chodzący na windowsie baremetal. I w sumie na koniec dobrze skwitowali: „wirtualizację przenieśliśmy”. A że sieciowiec jak glupi szukał w logach na fw i

[Rudz1elec]

@ReInspire: i potem pada RCA:
odlaczono glowny serwer do sieci co spowodowalo awarie

DOciera do ajkiegos VP cyz CEO
"O wina sieci" :)

[Pasterz30]

@ReInspire: pracuje w duzym korpo przy duzej apce i jak srodowiska nie dzialaja to zawsze z winy sieciowcow albo dev opsow xD

[Firenz]

@Rudz1elec: @ReInspire: wiem że ludzie tak robią, ale ja tak nie robię. Obecnie jest śmieszna sytuacja, bo mój team + kontraktorzy z indii to jakieś 20 osób. Ale żeby pan principal network engineer nam uwierzył to ja muszę napisać bo inaczej będzie spychologia XD Zresztą w poprzednim korpo też tak miałem. Raz siedziałem na bridge’u w wielkanoc też gdzieś 10h mówiąc, że coś jest nie tak bo pakiety

[Firenz]

@bartd: nie, ale jak jedna ze stron nie działa i nie jest hajs robiony dla całych np. Włoch to się siedzi i pomaga, szczególnie mając on-calla. Zwłaszcza jak coś wskazuje na problem z siecią.

[Firenz]

Raz w ogóle mieliśmy taką sytuację, że na wszystko co nam potrzebne grzecznie requestowaliśmy rule w palo alto, któregoś dnia się budzimy i spora część naszych środowisk leży. Dopiero potem się okazało, że przez miesiące ruch nie szedł przez PA, wreszcie zmienili routing bez mówienia nam, a na końcu wyszło, że duża część tych ruli ma literówki, no i taka sytuacja xD

[ReInspire]

@Firenz tak trochę żartem odstępując od „wojny” między sieciowcami a systemowcami to uważam, że problemy zawsze zaczynając się pojawiać jak zespół rośnie powyżej ok 5 osób lub jeśli współpracują dwa niezależne zespoły. Wtedy wchodzi spychologia i udowadnianie sobie kto ma większego..
Zawsze bawi mnie taka przepychanka:
- wina sieci
- udowodnij, że nasza wina
- a Ty udowodnij, że nie wasza.

[Firenz]

- wina sieci

- udowodnij, że nasza wina

- a Ty udowodnij, że nie wasza.

@ReInspire: zawsze śmieszy. A jeszcze bardziej jak jest to jakieś bardzo high-security środowisko i nawet nie masz roota, icmp jest zablokowane, a sieciowcy każą ci zrobić traceroute'a,

[Rudz1elec]

icmp jest zablokowane, a sieciowcy każą ci zrobić traceroute'a,

@Firenz: osobiscie uwazam, ze brak icmp to jest paranoja a nie security. Odcinanie sobie reki do podstawowego tshootingu w zasadzie. :)

[Firenz]

@Rudz1elec: tak, uzasadnienie było takie że kiedyś ktoś im zrobił atak z użyciem icmp. Strach pomyśleć co jak ktoś użyje tcp do ataku.

[Rudz1elec]

@Firenz: albo z uzyciem karty sieciowej :D

[Rudz1elec]

@Firenz: w zasdzie przypomniales mi pewna historie. W poprzedniej robocie u mnie tez chcieli poblokowac ICMP, ale jakis konkrenty pakiet ICMP. CHyba ten co pytal o date hosta czy tam system daty hosta. Bo to "moze dac jakies informacje o hoscie".
Zapytalem sie debili z security, ze po h-j blokowac to na firewallu, skoro jesli nastapi ten rzekomy atak z tego samego vlanu, to ruch nigdy nie dotrze do firewalla

[ReInspire]

@Rudz1elec: majster zapomniałeś o broadcastach. Technicznie takie pakiety jest w stanie złapać ale nie jest w stanie nic z nimi zrobić. Albo na nie odpowie albo nie, zablokować nie może.
Jako przykład można podać sniffer na Fortku, który złapie arpy w vlanach.