Hasty Briefsbeta

全部标签

#networking

共 197 篇

双语

Tailscale Services
7 months ago
- Tailscale宣布推出Services功能，可为逻辑资源分配虚拟的Tailscale IPv4/IPv6地址对（TailVIPs）
- Services提供专属MagicDNS名称，并作为访问控制的策略单元
- Tailscale Services可通过智能路由替代传统负载均衡方案
- 早期用户已将该功能应用于CI流水线、数据库代理及内部应用系统
- 服务架构包含TailVIPs虚拟地址、MagicDNS、终端节点和服务主机四大组件
- 服务主机需经过验证，支持基于标签或IP地址的自动授权机制
- 通过Grants机制精确控制服务访问权限，可指定源地址与目标地址
- 借助多主机部署与智能路由技术实现服务高可用性
- Tailscale Services目前处于公开测试阶段，未来计划推出配置审计日志等特性
- 路线图包含状态验证、API注册接口和第三方代理集成等增强功能
Tailscale Peer Relays
7 months ago
- Tailscale Peer Relays 是客户自主部署和管理的流量中继机制
- 对等中继可为tailnet内任意节点转发流量（包括发往自身的流量）
- 相比Tailscale托管的DERP中继，对等中继提供更高吞吐量
- 测试显示其吞吐量接近直连速度，通常远高于DERP中继
- 对等中继能有效应对严格NAT环境和防火墙限制
- 该功能已内置在Tailscale客户端，部署便捷
- 对等中继基于UDP协议运行，可降低延迟和资源开销
- 只需开放单个UDP端口即可建立对等中继连接
- Tailscale优先建立直连，必要时自动切换至对等中继或DERP
- 所有流量始终通过WireGuard®保持端到端加密
- 特别适用于云NAT、防火墙环境及严格管控的网络
- 当前作为公开测试版提供，允许免费部署两个中继节点
One Organization, Multiple Tailnets
7 months ago
- Tailscale推出新功能：允许组织在同一身份提供商下创建和管理多个tailnet网络
- 多tailnet架构为测试、开发及客户连接管理提供隔离环境，无需额外身份系统
- 每个tailnet保持独立的策略文件、标签、设备及设置，支持自定义所有权和管理员分配
- 企业可跨所有tailnet同步Google Workspace、Okta或Microsoft Entra ID的群组分配
- 应用场景包括：测试沙箱tailnet、研发实验室tailnet，以及开发/预发布/生产环境独立tailnet
- Tailscale提供API编程创建tailnet，适用于自动化、OEM及系统集成场景
- API创建的tailnet为轻量级，完全通过API管理，便于产品集成
- 多tailnet管理及创建API功能目前通过alpha测试计划开放
- 未来将推出基于群组的tailnet用户分配、自助式tailnet创建和组织级管控功能
UDP Isn't Unreliable, It's a Convertible
7 months ago
- UDP常被贴上‘不可靠’的标签，但这其实是误称——它更多是指缺乏像TCP那样的内置可靠性机制。
- UDP仅提供最基础的数据帧处理且不作任何保证，给予纯粹的自由；而TCP则包含有序传输、重传等可靠性机制。
- UDP的‘不可靠性’源于协议设计上的无保证特性，而非数据包丢失问题，因为包括TCP在内的所有网络层都可能发生传输失败。
- UDP允许应用程序自主实现可靠性机制，这种特性使其成为游戏、语音通话和物联网等场景的理想选择。
- 仅需4字节的头部（包含确认请求和序列号）即可为UDP添加可靠性，无需引入TCP的复杂性。
- UDP的灵活性是其优势所在，它能支持根据具体需求定制的可靠性方案，这与TCP‘一刀切’的设计思路形成鲜明对比。
Auraphone: A simple app to collect people's info at events
6 months ago
- Auraphone是一款利用蓝牙技术在社交活动中收集人们信息的应用程序。
- 用户可以设置自己的姓名、照片，并选择要分享的信息（例如Instagram、电子邮件、LinkedIn）。
- 该应用通过广播和收集附近设备的信息，创建活动中遇到的人员记录。
- 通过客户端-服务器模型简化蓝牙术语，以管理连接。
- 应用使用两个蓝牙特征：PROFILE_CHAR用于JSON数据，PHOTO_CHAR用于图像数据。
- 冷却列表防止重复连接同一设备，优化社交流程。
- 挑战包括处理BLE堆栈的复杂性、iOS和Android之间的差异以及连接错误。
- 用Golang创建的BLE堆栈模拟器对理解蓝牙更有帮助，而非修复错误。
- 实际设备测试和详细日志记录对调试和改进应用更有效。
- 应用要求手机保持在前台运行，鼓励用户专注于对话。
- Auraphone目前已在iOS应用商店和Android APK上架，并在BLANKSPACES卡尔弗城持续测试中。
How did I get here?
6 months ago
- 作者的服务器登上Hacker News头条，导致流量激增
- 开发了名为'ktr'的自定义路由追踪程序，用于探测互联网数据包路径
- 利用ICMP协议和TTL（生存时间）字段，通过逐步增加TTL值发送数据包实现路由追踪
- 该网站无需JavaScript即可实时加载路由追踪结果，运用CSS技巧模拟更新效果
- 采用反向路由追踪技术，但由于网络路径不对称性可能产生误差
- 自治系统（AS）是企业拥有的网络，通过BGP（边界网关协议）决定互联网路由
- 1994年推出的BGP v4至今仍是AS间路由的标准协议
- AS间的对等互联关系允许流量跨网传输，受商业协议和行政条款约束
- 使用WHOIS和PeeringDB查询AS归属及网络详细信息
- 该项目已开源，旨在普及互联网架构与协议知识
BGP zombies and excessive path hunting
7 months ago
- Cloudflare讨论了BGP僵尸路由问题，这些路由因前缀撤销信息丢失或未被处理而滞留在互联网默认自由区(DFZ)中
- BGP僵尸路由会引发流量环路或低效路径，导致网络流量异常，给运营商带来运维难题
- BGP路径搜寻现象发生在路由器撤回更具体前缀后重新计算最优路径时，会造成网络延迟
- 最小路由通告间隔(MRAI)机制人为延长了BGP更新时延，既加剧了路径搜寻问题，也增加了僵尸路由产生的概率
- Cloudflare观测到上游ISP网络和内部局域网均存在BGP僵尸路由，部分路由甚至持续滞留超过10分钟
- IPv4路径搜寻延迟比IPv6更严重，这很可能源于全球路由表中IPv4前缀数量更为庞大
- Cloudflare建议采用渐进式流量迁移和多阶段路由撤回等改进方案来缓解BGP僵尸路由影响
- 使用按需BYOIP服务的客户应当先在本地宣告相同长度前缀，再从Cloudflare撤回通告，以避免产生僵尸路由
- RFC9687标准(BGP发送保持定时器)有助于检测无响应路由器，从而减少长期滞留的僵尸路由
- Cloudflare呼吁网络运营商谨慎处理更具体前缀的宣告，以最大限度降低BGP收敛问题
Easel's State-of-the-Art Rollback Netcode Implementation
6 months ago
- 回滚式网络代码通过预测输入并在后续修正错误预测，使游戏在高延迟下仍保持流畅响应
- Easel通过自动处理回滚网络代码简化多人游戏开发，开发者可像制作单机游戏一样编写代码
- 回滚网络代码要求游戏具备确定性及状态快照/恢复能力，这正是Easel提供的核心保障
- Easel的回滚网络技术包含增量快照、纯点对点联网和公平延迟分配等创新特性
- 平台采用Cloudflare确保安全高效的节点连接，并通过服务器权威模型防止作弊行为
- 全平台操作保持严格确定性，彻底规避其他引擎常见的不同步问题
- Easel专为多人游戏设计，支持代码执行快照和持续时间同步等高级功能
- 开发者无需理解底层技术即可用Easel构建多人游戏
The Internet Is Cool. Thank You, TCP
6 months ago
- TCP是互联网的中坚力量，它能在网络不稳定的情况下确保数据的可靠传输。
- TCP工作在传输层，通过端口号将数据定向到主机上正确的应用程序。
- TCP处理数据包丢失、损坏、重复和乱序等问题，使开发者无需关心这些底层问题。
- TCP通过窗口字段管理缓冲区空间，实现流量控制，防止接收方被数据淹没。
- TCP的拥塞控制机制根据网络状况动态调整数据传输速率，避免网络过载。
- 一个简单的TCP服务器示例展示了套接字创建、绑定、监听和接受连接的过程。
- TCP报文段包含序列号、确认号、标志位（SYN、ACK、FIN、RST）和窗口大小等字段，以实现可靠通信。
- TCP通过三次握手（SYN、SYN-ACK、ACK）建立连接，通过四次挥手（FIN、ACK、FIN、ACK）终止连接。
- TCP校验和通过验证传输的报文段正确性来确保数据完整性。
- 互联网的可靠性和可扩展性很大程度上归功于TCP强大的机制。
libwifi: an 802.11 frame parsing and generation library written in C
6 months ago
- libwifi是一个快速、简单的C共享库，用于在Linux和macOS上生成和解析802.11无线帧。
- 它注重代码简洁可读性，支持跨架构使用并具有严格的错误检查机制。
- 该库通过易用的函数和结构体简化了WiFi帧的解析与生成。
- 使用示例可在源代码的examples目录中找到。
- 解析功能方面，libwifi会将捕获的数据包（如通过libpcap）转换为通用数据类型，再处理为特定帧数据。
- 生成功能方面，用户只需向`libwifi_create_beacon()`等帧生成函数提供必要数据。
- 构建libwifi需使用CMake命令：`mkdir build`、`cd build`、`cmake ..`、`make`及`sudo make install`。
- 基准测试显示libwifi的信标帧解析速度极快，最低仅需0.0000010秒。
- 文档可通过源代码注释和在线资源获取，包含结构体示意图和帧布局说明。
Ubiquiti Flex Mini 2.5G Review Ubiquiti Does a Cheap 5-Port 2.5GbE Switch
6 months ago
- Ubiquiti Flex Mini 2.5G是一款5端口2.5千兆以太网交换机，支持PoE输入和UniFi管理
- STH独立采购该交换机，拒绝签署Ubiquiti的'网红测试保密协议'以保持评测独立性
- 该交换机体积紧凑（11.7×8.9×2cm），采用塑料外壳且无可见散热孔，存在散热挑战
- 供电方式支持通过第5端口PoE输入或USB Type-C 5V电源输入
- 内部采用Realtek RTL8372N交换芯片，该芯片也见于其他平价2.5G/10G交换机
- 由于塑料外壳限制散热，采用定制散热片进行被动冷却
- 用户反馈存在意外关机问题，可能与过热或电源分配有关
- 评测指出缺乏温度数据和功耗测试结果的遗憾
- 关于LAGG聚合支持及固件更新稳定性等功能仍存在疑问
I finally understand Cloudflare Zero Trust tunnels
6 months ago
- Cloudflare Zero Trust + Warp 提供私有网络连接方案，可公开暴露私有服务，并创建仅通过Warp VPN访问的专用网络
- 通过Zero Trust的Argo隧道能实现私有网络互联、在公共主机名暴露内网服务，以及创建带精细访问策略的私有网络
- Cloudflare Zero Trust与Tailscale对比：Tailscale采用点对点连接速度最优，而Cloudflare通过边缘网络路由会增加延迟但能规避NAT问题
- Warp客户端将用户接入Cloudflare网络并执行策略，Cloudflared则用于创建暴露服务或网络的隧道
- 隧道(Tunnels)、路由(Routes)和目标(Targets)是零信任核心组件：隧道作为流量出口，路由负责导向，目标定义受保护的基础设施
- 零信任中的访问策略可控制权限范围，支持基于Warp连接等条件要求认证或免认证
- 部署Warp客户端需配置注册权限和策略文件，例如定义协议类型和IP排除规则等行为参数
- 典型配置包括：将流量路由到私有IP的隧道、外部访问用的公共DNS记录、以及认证相关的访问策略
- Cloudflare零信任支持密钥免登SSH认证、warp-to-warp路由、以及在零信任网络内分配私有IP等特性
PPP-over-HTTP/2: Having Fun with dumbproxy and pppd
6 months ago
- 为dumbproxy实现了新的运行模式，可作为子进程通过stdin/stdout通信，适用于OpenSSH的ProxyCommand场景。
- 扩展dumbproxy支持通过HTTP代理传输PPP隧道，结合TLS加密、认证能力和防火墙穿透特性实现PPP隧道传输。
- 配置服务端参数，包括pppd选项、IP转发规则及用于流量转发的iptables规则。
- 创建客户端pppd配置，通过dumbproxy经上游代理连接服务端pppd进程。
- 新增路由配置脚本，确保PPP连接建立后流量不会回环进入隧道。
- 通过成功建立PPP连接及经远程服务器的流量路由，验证方案功能性。
- 探索替代性客户端方案，使用openssl和chat工具模拟传统调制解调器连接方式。
A 'small' vanilla Kubernetes install on NixOS
6 months ago
- Kubernetes抽象了系统管理任务并自动化蓝绿部署等流程
- 本文探讨如何搭建一个自主管理的小型多节点Kubernetes集群
- 该方案规避了公钥基础设施(PKI)、NixOS Kubernetes模块及K3s/K0s等发行版的复杂性
- 尽管存在配置交织问题，仍采用NixOS管理Kubernetes软件包和systemd组件
- 测试环境包含QEMU虚拟化支持，可通过文末链接获取
- 基础NixOS配置包含启用nftables防火墙和systemd-networkd网络服务
- 目标使用Kubernetes 1.34版本，需谨慎处理版本升级问题
- 网络配置涉及容器子网划分、WireGuard加密隧道及防火墙/NAT规则
- 通过k8s.internal域名配置主机名以支持Kubernetes服务发现
- API服务器配置包含etcd存储、加密设置及静态令牌文件认证
- CoreDNS部署于Kubernetes外部，由NixOS管理DNS解析服务
- 分别配置kube-proxy管理服务IP，kubelet管理容器运行时
- 测试验证了kubectl命令功能及容器互联网连通性
- 后续建议添加Ingress控制器、存储供应器和数据库管理功能
- 关键收获包括小规模部署的复杂性认知及SQLite支持等简化可能
Hyperoptic: IPv6 and Out-of-Order Packets
6 months ago
- 由于上游路由器未响应路由器请求(RS)数据包导致的Hyperoptic IPv6连接问题
- 临时解决方案：更改WAN接口MAC地址以触发未经请求的路由器通告(RA)
- 替代方案：手动添加默认IPv6网关地址
- Hyperoptic仅分配前缀委托(ia_pd)而不分配非临时地址(ia_na)
- 数据包乱序问题与以'4'或'6'开头的WAN MAC地址有关
- 解决数据包乱序问题：将WAN MAC地址更改为不以'4'或'6'开头的地址
Windows Clat Enters Private Preview: A Milestone for IPv6 Adoption
6 months ago
- 全球IPv6采用率已达43-48%，法国、德国和印度处于领先地位
- IPv4地址枯竭与移动/IoT设备激增推动IPv6普及
- 美、德等国政府要求2025年前实现纯IPv6环境
- 过渡技术包括隧道技术、双协议栈和转换技术(NAT64/DNS64)
- CLAT(用户侧转换器)是纯IPv6网络关键组件，属于464XLAT架构
- Windows CLAT功能现已开放私有预览版，响应社区需求
- CLAT通过无状态转换使IPv4应用可在纯IPv6网络中运行
- CLAT激活需通过RA PREF64或DNS方式发现NAT64前缀
- Windows CLAT支持政府合规要求及未来网络发展需求
Pingap: Simple and efficient reverse proxy based on pingora
6 months ago
- Pingap是一个单一、自包含的可执行文件，原生支持ARM和x86架构。
- 基于musl提供完全静态链接的构建，确保跨Linux发行版的兼容性。
- 内置Web管理界面，简化设置、部署和维护流程。
- 采用灵活的插件化架构设计，可适应多样化使用场景。
- 包含认证模块、动态数据压缩、静态资源服务及缓存等插件功能。
- 基于Rust语言开发，使用Pingora框架实现高性能与内存安全。
- 通过Rust的并发模型实现高网络吞吐量与低延迟。
- 在严苛的生产环境中保障安全性与可靠性。
Migrating from Legacy Networking to systemd-networkd on Ubuntu 24.04
6 months ago
- 在Ubuntu 24.04上从传统ifupdown迁移到systemd-networkd以实现现代网络管理
- Systemd-networkd提供可预测的接口命名、更快的启动时间和统一配置等特性
- 迁移步骤包括检查当前设置、安装systemd-networkd、创建网络配置文件及配置systemd-resolved
- 通过控制台访问、定时回滚脚本和自动化工具来应对远程迁移风险
- 使用migrate_to_systemd_networkd.sh和upgrade_watchdog.sh等自动化脚本确保平稳过渡和回退能力
- 成功迁移可实现服务器现代化、与自动化工具集成并为Ubuntu 24.04做好准备
C++ Web Server on my custom hobby OS
6 months ago
- 作者在长时间中断后成功在其业余操作系统上实现了Web服务器
- 初期工作重点在于网络协议栈的实现，包括以太网、IP、ARP、UDP、TCP、DHCP和DNS协议
- 遇到了终端缓冲区实现和E1000网卡驱动处理传入数据包的问题
- 解决了与TCP相关的性能错误，特别是处理浏览器刷新时产生的RST数据包
- 开发了HTTP引擎来解析请求，不再仅限于静态响应
- 从另一个项目(c-web-modules)移植了独立的HTTP解析器到该操作系统
- 创建了具有路由功能的Web引擎，支持路径和方法的匹配及处理函数
- 实现了带缓存支持的FileRepository用于静态文件服务
- 下一步计划包括改进用户界面、实现优雅关机，最终目标是开发网页浏览器
Imgur Geo-Blocked the UK, So I Geo-Unblocked My Network
6 months ago
- Imgur对英国实施了地理封锁，导致多个平台上的链接失效。
- 作者发现托管在Imgur上的Minecraft着色器预览图无法加载。
- 考虑过使用VPN但最终放弃，因为会导致网速下降且设备管理不便。
- 最终通过Pi-hole、Traefik、Gluetun和Nginx搭建了网络层解决方案。
- 该方案能拦截Imgur请求并通过VPN路由，无需修改客户端设置。
- 这个透明解决方案适用于所有设备，在保持非Imgur流量高速传输的同时完美运作。

About|Login

#networking

Tailscale Services

Tailscale Peer Relays

One Organization, Multiple Tailnets

UDP Isn't Unreliable, It's a Convertible

Auraphone: A simple app to collect people's info at events

How did I get here?

BGP zombies and excessive path hunting

Easel's State-of-the-Art Rollback Netcode Implementation

The Internet Is Cool. Thank You, TCP

libwifi: an 802.11 frame parsing and generation library written in C

Ubiquiti Flex Mini 2.5G Review Ubiquiti Does a Cheap 5-Port 2.5GbE Switch

I finally understand Cloudflare Zero Trust tunnels

PPP-over-HTTP/2: Having Fun with dumbproxy and pppd

A 'small' vanilla Kubernetes install on NixOS

Hyperoptic: IPv6 and Out-of-Order Packets

Windows Clat Enters Private Preview: A Milestone for IPv6 Adoption

Pingap: Simple and efficient reverse proxy based on pingora

Migrating from Legacy Networking to systemd-networkd on Ubuntu 24.04

C++ Web Server on my custom hobby OS

Imgur Geo-Blocked the UK, So I Geo-Unblocked My Network