Заметки on Владимир Ермаков

obserwrt: экспорт потоков на OpenWrt после netobserv, pmacct и softflowd

Sat, 17 Oct 2026 00:00:00 +0300

В августе мне захотелось посмотреть, что на самом деле ходит по mesh-сети: кто с кем общается, через какой туннель и сколько. С коллектором вопросов не было — Akvorado принимает IPFIX, сам опрашивает экспортёры по SNMP, чтобы знать имена интерфейсов, и умеет забирать BGP-маршруты по BMP. Сложности начались с экспортёра на роутерах.

В итоге получился obserwrt: eBPF-программы на TC считают потоки прямо в ядре, а небольшой агент забирает их из карты и отправляет в IPFIX. Возможности описаны в README. Здесь — о том, как я к нему пришёл: сначала три готовых экспортёра, потом свой, и что ломалось по дороге.

Бэкап OpenWrt-хостов и их виртуалок в Proxmox Backup Server

Fri, 16 Oct 2026 00:00:00 +0300

Часть моих коробок на OpenWrt — x86-машины, на которых под голым QEMU крутится ещё одна-две виртуалки. Всё остальное в хоумлабе бэкапится в Proxmox Backup Server, значит, и они должны. Этим занимаются два пакета из моего фида для OpenWrt.

Клиент

Для бэкапов в PBS нужен proxmox-backup-client, а он на Rust, и в OpenWrt его нет. Пакет proxmox-backup в фиде собирает из исходников upstream только клиент, с несколькими патчами: сборка cargo только клиента, без libsystemd и с системным zstd. Пока я проверял его только на x86_64.

siphon: как довезти WAL из CloudNativePG до Proxmox Backup Server

Fri, 09 Oct 2026 00:00:00 +0300

Всё в моём хоумлабе бэкапится в Proxmox Backup Server: с ротацией, верификацией и копией на ленту. В начале октября для баз данных это перестало быть правдой, и на исправление ушла неделя и небольшая утилита на Rust. siphon переносит S3-бакет в снапшот PBS и обратно; подробности — в README. А здесь — зачем он понадобился и что мешало.

Как базы выпали из PBS

3–7 октября. Я переносил сервисы с виртуалок и compose в небольшие кластеры Kubernetes: сначала Forgejo, потом Healthchecks, Woodpecker, Immich, Paperless, Open Archiver. Файлы по-прежнему уезжали в PBS: общий CronJob монтирует том рядом с работающим подом в режиме только для чтения и запускает клиент бэкапа, а при необходимости сначала выполняет подготовку (Paperless, например, перед этим выгружает документы).

pathosd: чего стоило анонсировать адрес, только пока сервис жив

Wed, 07 Oct 2026 00:00:00 +0300

Некоторые сервисы в моей сети работают в нескольких местах сразу — DNS-резолвер на каждом хабе, S3-шлюз больше чем на одной ноде хранилища. Клиенты должны видеть один стабильный адрес, а маршрутизация — отправлять их на ближайший экземпляр, который действительно работает. В маршрутизируемой сети это anycast: каждый экземпляр анонсирует один и тот же адрес по BGP. Загвоздка в слове работает — маршрут понятия не имеет, жив ли сервис за ним.

pathosd закрывает этот разрыв. Это проверка здоровья и источник BGP-маршрутов в одном процессе на Go: он проверяет сервис локально (HTTP, DNS, ping, TCP, UDP, gRPC) и анонсирует адрес, только пока проверка проходит, — или оставляет его с пониженным приоритетом, чтобы предпочитались другие. keepalived/VRRP решает похожую задачу, но в одном L2-сегменте с общим MAC, а не поперёк маршрутизируемой mesh-сети из туннелей.

Zone-o-Matic: как DynDNS-эндпоинт вырос в сторону записи моего DNS

Mon, 05 Oct 2026 00:00:00 +0300

Мой авторитативный DNS проще некуда: CoreDNS на хабах отдаёт обычные зонные файлы плагином file, который перечитывает их, когда меняется serial в SOA. Легко читать, легко бэкапить, легко смотреть diff в git.

Zone-o-Matic — небольшой сервис на Go, который пишет в эти файлы. Он не задумывался как большой проект — каждый API в нём появился вместе с новым клиентом, которому нужно было поменять запись.

Исходная задача: роутеры и acme.sh

Август 2025. Часть моих роутеров сидит за динамическими адресами, и мне хотелось держать их имена в своих зонах, а не у стороннего DynDNS-провайдера. Эти же роутеры получают TLS-сертификаты через acme.sh, которому нужно публиковать записи для вызовов dns-01.

Перевод community.openwrt с shell на ucode

Fri, 02 Oct 2026 00:00:00 +0300

Я управляю небольшим парком роутеров на OpenWrt через Ansible: облачные роутеры, VPS и домашние коробки. Инструмент для этого — community.openwrt, наследник старой роли gekmihesg.openwrt. Его фишка в том, что на роутере не нужен Python: модули были shell-скриптами, которые контроллер копировал по SSH и запускал в BusyBox самого роутера.

Это работает, но медленно — именно скорость и заставила меня его переписать. В shell-модуле uci каждая опция означала ещё несколько вызовов uci и jsonfilter, а моей mesh-сети нужно много опций на каждом роутере — по задаче и по пачке процессов на каждую. Вдобавок JSON собирается из shell-строк, экранирование — минное поле, а тестировать такие модули тяжело.

Домашняя mesh-сеть на AmneziaWG

Sat, 26 Sep 2026 00:00:00 +0300

Мои роутеры стоят в разных местах: несколько хабов на арендованных серверах в разных странах и несколько площадок — дом, стойка хоумлаба и ещё пара мест. Все на OpenWrt, а связаны между собой AmneziaWG — форком WireGuard, пакеты которого не похожи на WireGuard. Эта заметка — про маршрутизацию поверх, а не про сами туннели.

Устройство

Один туннель на линк. Каждый линк — отдельный интерфейс точка-точка ровно с одним пиром: хабы связаны в mesh-сеть, каждая площадка — с каждым хабом. Интерфейсов больше, зато каждый простой, со своими счётчиками, и перезапускается отдельно.
IPv6 внутри туннелей. На каждом линке /127 и link-local адрес. У каждого роутера есть loopback-адрес, по которому до него достаёт остальная сеть. Loopback-адреса живут на dummy-интерфейсах Linux, которые штатный OpenWrt не умеет объявлять в /etc/config/network, поэтому я собрал для них небольшой протокол netifd — netifd-proto-dummy, и страницу для LuCI — luci-proto-dummy.
Всё в Ansible. Интерфейсы, ключи, зоны файрвола и маршрутизация генерируются из инвентаря с помощью community.openwrt. Сами туннели — ключи, общие PSK, пиры, удаление лишнего — ведут модули wg_interface и wg_peer, которые я написал как раз для этой сети (#281), а всё остальное идёт пакетными операциями uci — см. заметку про ucode.

Маршрутизация

На каждом роутере один демон BIRD:

Наблюдаем за BIRD на OpenWrt: метрики, ubus и страница в LuCI

Sat, 12 Sep 2026 00:00:00 +0300

На каждом роутере моей mesh-сети крутится BIRD. birdc по SSH нормально для одной коробки и утомительно для десяти, поэтому я сделал три небольших пакета, которые смотрят на BIRD с трёх сторон: Prometheus, ubus и LuCI. Все они лежат в моём фиде для OpenWrt и все написаны на ucode.

Управляющий сокет BIRD

У BIRD простой строковый протокол на unix-сокете — тот же, что использует birdc. Подключаешься, читаешь приветствие, отправляешь команду и читаешь ответ; каждая строка ответа начинается с четырёхзначного кода и - (дальше есть ещё строки) или пробела (последняя строка). С модулем socket на ucode это говорится легко, так что ни одному пакету не нужен ни birdc, ни отдельный бинарник экспортера.

inotify-rsync: раскладываем файлы по роутерам, как только они изменились

Sun, 16 Aug 2026 00:00:00 +0300

Часть файлов на моих хабах появляется в одном месте: один хаб генерирует несколько статических файлов и скачивает несколько больших, а остальные хабы раздают копии. Копии должны догонять быстро. Задача в cron — это либо задержка, либо куча бесполезных запусков, поэтому хотелось, чтобы rsync срабатывал, когда что-то действительно поменялось.

inotify-rsync делает ровно это и ничего больше: следит за каталогами и при изменениях запускает rsync в нужное место.

Настройка

Одна секция UCI на каждое наблюдение: