Что важно знать
- /16 — 65 536 адресов, /24 — 256.
- Наружу смотрит прокси, а не приложение.
- Диагностику ведут по слоям снизу вверх.
Этап 9 из 15 · ≈ 6 ч
Сети на сервере
Основа с Junior
Подсети и CIDR, firewall и порты, reverse proxy на nginx, поиск причины недоступности сервиса.
Критерии освоения
Junior ≈ 6 ч
- Читает запись CIDR и разбивает сеть на подсети
- Открывает наружу только нужные порты и ставит reverse proxy перед приложением
Практика. Поднять приложение за nginx с TLS на виртуальной машине, закрыв все порты, кроме 22, 80 и 443.
Middle ≈ 6 ч
- Ищет причину недоступности сервиса по слоям — DNS, маршрут, порт, firewall, TLS, приложение
Практика. Составить для команды чек-лист «сервис A не видит сервис B» с командами для каждого шага.
Проверка знаний
Войдите, чтобы пройти тест: сданный тест отмечает тему пройденной на карте и в ИПР.
Вопросы с собеседований
Смотреть всеЧто означает запись 10.0.0.0/16 и как разбить сеть на подсети?Junior
CIDR: адрес и число бит префикса сети. /16 — первые 16 бит фиксированы, остаётся 32 − 16 = 16 бит на адреса: 65 536 адресов (10.0.0.0–10.0.255.255). /24 — 256 адресов, /32 — один адрес. Каждый шаг префикса делит сеть пополам. Частные диапазоны: 10.0.0.0/8…
Полный разборКак ограничивать сетевой доступ к серверам и сервисам?Junior
Принцип — запрещено всё, что не разрешено явно. Слои защиты: файрвол хоста (nftables/iptables, ufw), облачные security groups у каждой машины, сетевые ACL подсетей, NetworkPolicy в Kubernetes. Наружу открыты только 80/443 балансировщика; БД, кэши и брокеры …
Полный разборЧто такое reverse proxy и какие задачи решает nginx перед приложением?Junior
Reverse proxy стоит перед серверами и принимает запросы от их имени (forward proxy — наоборот, от имени клиентов). Задачи nginx: терминация TLS, балансировка между экземплярами, маршрутизация по домену и пути, статика, сжатие, кэширование, лимиты (rate limit…
Полный разборСервис A не может подключиться к сервису B. Как вы будете искать причину?Middle
Идти по уровням снизу вверх: DNS (dig b.internal — резолвится ли и в тот ли адрес) → маршрут и доступность (ping, traceroute/mtr) → порт (nc -zv host 8080) → TLS (openssl s_client) → HTTP (curl -v). Характер ошибки подсказывает уровень: connection refused …
Полный разборРазборы темы
- Сети на сервере — подсети, firewall, reverse proxy и диагностика
Как читать CIDR и планировать подсети, как ограничивать сетевой доступ, зачем nginx перед приложением и как искать, почему сервис A не видит сервис B.
Партнёр платформы
Разбор собеседования
Разбор собеседования с sotto
После собеседования sotto разбирает разговор: оценка, каждый вопрос — хорошо, частично или слабо, чего не хватило в ответе и над чем поработать к следующему разу. Первые 30 минут бесплатно.