Я системный инженер в головной компании холдинга. Одна из наших фирм арендует цеха и помещения у научно-исследовательского института за городом. Основной штат — рабочие и несколько человек за компьютерами. Своих бухгалтеров у фирмы нет, по совместительству работают бухгалтеры соседней фирмы. В бухгалтерии — два компьютера нашей фирмы и один — этой соседней. Компьютеры входят в локальную сеть НИИ, имеют доступ через неё в Интернет. Директор фирмы сидит в другом корпусе, локальной сети у него нет. 1С работает на обычном компьютере с Windows 7 SP1 x64 на Intel i3-2100, 8 ГБ RAM и парой полутерабайтников в зеркале на ICHR.

Мой начальник ставит мне задачу: дать удалённый доступ к 1С директору, вынести наши компьютеры в отдельную сеть, при этом третий (не наш) должен иметь доступ к 1С.

Телефонисты НИИ связь SHDSL-модемами по телефону внутри НИИ делать отказались, поэтому я пришёл к следующему решению. Наши компьютеры повесить на отдельный коммутатор, поставить в «сервер» ещё две сетевые карты, поставить на нём Windows Server 2008 R2 SP1 с 1С и терминалами, поднять в ней Hyper-V, там в такой же ОС поднять Kerio Control, подключить свой интернет со статическим IP, поднять на шлюзе VPN средствами RRAS. Разграничить доступ между нашей сетью, сетью НИИ и нашим интернетом Kerio. Подключить второй Интернет директору и паре работников, что сидят рядом с ним, настроить им доступ по VPN в первую сеть.

Я сказал, мне надо по крайней мере два дня. Начальник согласился.

В среду 2 мая у меня начинается отпуск. Куплены билеты на поезд к родителям и обратно. Тянул начальник с директором фирмы, тянул, наконец поставил выполнение в субботу 28 апреля (рабочую) и понедельник 30 апреля. 1 мая — выходной. Как раз два дня до отпуска.

Нужное оборудование закупили. Приехали в субботу в 10. Директор фирмы ошарашивает:

— А мы в понедельник не работаем.

— Э-э-э?

— Окей, если надо, выйдем посидим.

Хорошо. Работаю. Не спеша, обстоятельно, по разработанному плану. Поставил в сервер две сетевые карты. Забэкапил саму 1С и базы. Cнёс Windows 7 с сервера 1С, поставил 2008-й, драйверы. Поднял сервер терминалов и лицензий, создал пользователей. Обновил ОС. Скопировал обратно 1С. Подключил первый модем. Обнаружил проблемы с линией, пообщался с поддержкой — проблема осталась, дорешивать надо потом. Отключил сервер и два компьютера фирмы от коммутатора НИИ, включил в приобретённый. Поднял роль Hyper-V, создал виртуальные сети, назначил серверу 1С (одна сетевая) адрес в отдельной сети.

Итого: бухгалтеры доступа к 1С уже не имеют, интернета через сеть НИИ уже не получают, со своим интернетом проблемы, да и шлюз ещё не создан. Единственный компьютер из сети НИИ, который должен иметь доступ к 1С, тоже доступа не имеет — разные несоединённые коммутаторы. В 2008 с поднятым Hyper-V картой что-то странное, разобраться ещё не успел: пингуется, но по RDP не зайти, как будто сервера вообще нет, при этом телнетом на 3389 — пожалуйста.

14:30. Приходит главбухша: «А вы знаете, что в 15:30 здание обесточивается до среды?»

В общем, едва успел вернуть всё, как было, разве что теперь 2008-й с терминалами, но принтеры настроить на сервере терминалов не успел — в прошлый раз в «семёрке» много времени потратил, были проблемы, а тут чуть ли не выгоняли — нам здание закрывать надо, нам не платят за то, что мы вас ждём. А принтеры нужны, чтобы накладные печатать.

За это ещё и получил от начальника:

— А почему ты бэкап «семёрки» с принтерами не сделал? Так бы вернул назад.

— Зачем? 1С забэкапил, а больше там ничего не было.

— А вот на такой случай.

А я бы спросил: «Почему ты так запланировал — между праздниками перед отпуском — и не уточнил, как НИИ работает?»

Решил: схожу в среду, сделаю принтеры (надеюсь), к родителям уеду на два дня позже. Завтра пойду сдавать билеты.

Никогда не планируйте дела на последний день!

Решил наш экономический отдел как-то, что не устраивает их работа админа, так как не делает он то, что они ему пытаются «повелеть». Велели поставить отдельный терминальный сервер 1С и нанять аутсорсеров.

Зашел как-то админ на тот сервер — девственно чистый, только 1С, антивирус и четыре харда, собранные в RAID 10, но вот почему-то всё пространство дисковое в одном разделе. Задал админ вопрос: «А почему одним разделом?» А аутсорсеры ему ответили: «А там же RAID, значит, не нужны другие разделы».

Задумался админ. Решил, что в аутсорсеры не пойдёт, и пошел просить повышения зарплаты у генерального.

Здравствуйте, это снова я — тот самый якобы не начальник, а мечтатель, который якобы уволил трёх сисадминов. Хочу рассказать продолжение.

На работу я так никого и не взял, поскольку адекватных персонажей на горизонте не нашлось. Пришлось оставить компанию на аутсорсинге. И, знаете, мне понравилось.

Никто не рассказывает тебе, как и что должно быть организовано, никто не советует, как вести бизнес. Люди слушают описание проблемы или задачи, кивают, через полчаса приезжает специально обученный человек и всё делает так, как сказали.

Появляется нетрадиционная задача — нет проблем. Люди совершенно не видят сложностей в том, чтобы приобрести точно такой же комплект оборудования и разобраться, как оно работает, чтобы потом спокойно поддерживать такие же комбинации.

У специалистов есть и айфоны, и айпады, и андроидные приблуды, и маки — они ничему не удивляются и даже не пугаются, когда видят интерфейс на незнакомом языке (у нас многонациональная компания).

И что? У кого-то повернётся язык сказать о них что-то плохое? Даже если косячат, то не от ослиного упрямства, а просто потому, что все иногда ошибаются — опыт иначе не заработаешь.

Так что, дорогие гении с обжимным инструментом в карманах, не надо корчить из себя незаменимых и главных. Если вы своей работой создаёте сложности, а не устраняете их, — вас заменят. Если вы, руководствуясь не пойми чем, только попытаетесь кому-то куда-то ограничивать доступ, я лично расскажу, где выход из здания. Если вы начнёте хоть кому-то рассказывать, что его техника дерьмо, а надо Убунту — ну, вы поняли…

Офис за городом, интернет по ADSL около 2 Мбит/с и штат в 50 человек. Интернет раздавал обычный модем, настроить сервер под шлюз я ещё не успел. Соединение падало каждые две-три минуты, а людям работать нужно. Я знал, что некоторые сотрудники лазили в «Моём мире» и прочих социалках, а вот ограничить на тот момент не мог.

Временным решением было использование утилит для пентестинга: ettercap-ng для спуфинга и перехвата пакетов и icqdump для отображения, кто и куда. Помимо перехвата сообщений в аське, icqdump отображает ещё и веб-запросы, а также поисковые запросы в удобочитаемом виде.

Что только не искали сотрудники! Иногда звонил и подсказывал, куда пройти. А логи веб-запросов отправились на стол к начальнику, и одного сотрудника чуть не уволили. Зато после этого в интернет стали выходить только по необходимости. Работа у нас такая…

Если кто-то говорит, что работать с супругой на одном предприятии, да ещё и в сфере IT — это зло, знайте: ему не повезло либо с супругой, либо с работой, либо с межушным нервным узлом.

Украина, поезд. Где-то между Симферополем и Киевом. Мы с жинкой едем домой с запуска объекта. Вернее, едут наши тушки — последние двое суток мы почти не спали. Кроме нас, в купе ещё три (да продлит Аллах годы нашей ЖД) девицы — то ли студентки, то ли ещё кто.

Расположились на нижней полке — я с краю, жена под стенкой. Всё, что помню — не успев умоститься, засыпаю. Просыпаюсь от дикого хохота, буквально сотрясающего всё купе.

— %wife%, что это было?

— А ты сам не помнишь??

— Нет…

— Ну, ты заснул. Я тоже почти заснула, но вижу — сквозняк из окна дёргает занавеску, и она лупит тебе по мор… лицу. Я и говорю: «%name%, может, окно закрыть?» Ты отвечаешь сквозь сон: «Нет, не нужно. Сверни просто». Потом мне показалось, что ты падаешь с полки, и я тебя спросила: «Ты висишь там?» Твой ответ взорвал мозг всем: «Нет, я не вишу, я выполняюсь…»

С вами снова сисадмин из районной больницы. У меня на обслуживании есть «устаревшая» программа — АРМ врача. Написанная таким же врачом. Для врачей. Надо ли объяснять, что врачам в ней всё нравится? Работает быстро, осваивается за пять минут (хорошо, за день-два). Функциональность, с точки зрения врача, просто шикарная: тут и сводка главврачу, и обмен стационара с поликлиникой, и возможность всё исправить на лету.

Пытаются внедрить супер-пупер-КМИС. Она тормозит, сложна в освоении, а чтобы добавить страховую компанию, нужно моё вмешательство. Зачем? Зачем она нужна врачу? Да не нужна вовсе. Но нужна пациенту, чтобы записаться на приём через интернет. Нужна регистратуре, чтобы видеть расписание врачей в областной поликлинике и записать пациента на удобное время. Нужна статистикам, чтобы облегчить подсчёт вылеченных больных и выставить счета на оплату страховым компаниям, из денег которых и платят врачу. Она позволяет разделить доступ врачей к историям болезней, чтобы офтальмолог не видел, кто там посещал дерматовенеролога. Для сисадмина достаточно поставить галочку — и при следующей репликации хирург сможет обмениваться информацией с рентгенологом. Вот и принимается решение: «В целях дальнейшего развития системы электронного документооборота…» А врачу — новые проблемы на старости лет (не так у нас много молодых).

Вот и скажите, кто тут прав? Вроде как у каждого своя правда получается. Сверху результата требуют, а результат легко просматривается через эту же КМИС — кто, сколько, когда… И вот едешь устанавливать систему в участковую больницу. А там, как на грех, врач-энтузиаст (только не своего дела) начинает доказывать, что линукс — это круто, IE — отстой, что нам надо развивать СПО и открытые стандарты. И начинается капание на мозги и мне, и главврачу, находится какой-то там аналог…

Мало, чтобы врач взял на себя обязанность по обслуживанию своей крохотной участковой больницы. Вы возьмите на себя ещё и ответственность — я вам отдам половину своей ставки. Но нет, почему-то ответственность брать не хочется.

Может, всё-таки будем шире смотреть на жизнь — не только о себе думать, но и о других? И не только о настоящем, но и на ближайшую перспективу?

Как-то справляли с приятелями день админа. Как обычно, начальство праздник не признало и заданий дало выше крыши — нужно было запустить новый внутренний сервер для бухгалтерии. Выход нашли быстро: справляли прямо в серверной. Работа была совмещена с празднованием.

После трёх часов «усердной» работы админ дошёл до ввода пароля и состояния нестояния. Недолго думая, ввёл пароль с последующим подтверждением (!) двумя ударами кулака по клаве.

На следующий день мы застали обхваченную двумя руками похмельную голову админа, в которой со слышимым за версту скрипом перебирались варианты пароля.

Выход подсказал наш электрик дядя Гриша. Доведённому до вчерашнего состояния админу между делом предложили повторить вчерашний трюк. Ввод прошёл на ура! Практику только пришлось прекратить, дабы пожалеть бедную админскую печень.

Иду мимо серверной. Слышу из-за двери разговор двух админов:

— Интересно, какую нашему электрику операцию будут делать?

— Не знаю, он не уточнил.

Блин! Я запрос в гугл «снятся ли сны во время общего наркоза» не потому задал, что мне будут операцию делать, а чисто из спортивного интереса — ну, узнать захотелось. А вот подглядывать нехорошо!

Дело было во времена моего эникейства. Был у нас на заводе (да чего был — до сих пор там работает) супер-мега-админ — Вадык. Именно так. Комплекс Бога во все щели при крайне скудных знаниях в области системного администрирования, ограничивающихся линейкой «окон».

Писал я здесь когда-то, как это чудо заблокировало 80-й порт для «простых смертных», включая нас, оставив открытыми все остальные. Тогда я решил вопрос с помощью установки Squid у себя дома.

Наконец-то осознав, что сделал что-то не так, наш гений докумекал закрыть всё. Мы опять расстроились. Но директорат, понятное дело, к простым смертным не относился. А поскольку Вадык всех директоров боялся до усрачки, он оставил для них открытым всё и вся с фильрацией по МАС-адресу.

Это и стало его главной ошибкой. Вадык верил (и, судя по всему, верит до сих пор), что МАС-адрес — это такая штука, которая намертво вшивается в сетевой девайс, и изменить её ну никак нельзя.

А что такое эникейщик? Это не только то существо из IT-мира, которое абсолютно безнаказанно (ну, почти) может пнуть абсолютно любой юзверь, если у него с первого раза не запустилась «жёлтая программа», но и человек, имеющий учётку локального админа на всех подчинённых ему ПК. Машины генерального и его зама админил сам Вадык, но директоров у нас, как и на любом заводе, было гораздо больше, чем толковых специалистов. Посему остальные диры по самым разным вопросам были в нашей компетенции.

Жертву нашли быстро: бывший гендир, ныне почивающий на лаврах по коммерческим вопросам. Подключаемся к диску С:, вырезаем ntldr и ребутим комп с помощью самой популярной программой для удаленного администрирования.

— Да, Сан Саныч! Что? Компьютер не работает? Ай-яй-яй… Сейчас-сейчас!

Забираем комп дира, меняем ему МАС на свежесгенерённый, а его МАС прописываем на заныканном мною в нашей локалке серваке с Дебианом. Снова поднимаю Squid.

Заработал веб, заработал FTP, но мои разгильдяи хотели World of Tanks. «Танки» не работали. В уже работающем вебе полез искать. Ага, вот тут-то мы и знакомимся с TCP и UDP. Казалось бы, решить бы всё изящно, красиво, но в тот момент я был эникейщиком, потому про TCP/UDP я узнал, а про iptables — нет. Тогда я ещё не был в курсе, что инет можно пустить через шлюз. Я знал, как настроить прокси, в эту сторону и пошёл рыть.

Запрос в Гугл: «Прокси-сервер, работающий с UDP». Squid не умеет, это не то… О! 3proxy. Всё хорошо, но UDP работает только через SOCKS5. Так, прописываем в браузере порт 1080… Инет, понятное дело, работает, но World of Tanks с пятыми «носками» не дружит.

Второй запрос в гугл: «Как заставить программу работать через SOCKS5». Это платное, это тоже… FreeCAP. Настраиваем, прописываем экзешник WoT… «ИСы», «Маусы» — товарищи прилипли к экранам.

Прошло с тех пор уже года два. Накопил опыта, знаний, но понял главное: любим мы костыли в нашей работе. Красивые они по-своему. Proxy over proxy, UDP over TCP — а я ведь тогда об этом даже не догадывался.

Многие, наверное, слышали про синдром вахтёра? Это когда неплохой вроде бы человек, получив в руки инструкцию и власть над турникетом, внезапно ощущает себя самой большой шишкой в компании. Вот так и некоторые энтерпрайз-админы, а проще — сотрудники какого-нибудь отдела рабочих мест, внезапно ощущают себя законодателями IT-инфраструктуры.

Я уважаю ваш порой нелёгкий труд, но будем честны сами с собой: вы — обслуживающий персонал, как электрики и телефонисты. Ваша работа, безусловно, важна, как и работа уборщицы, без которой сверкающий корпоративный сортир очень быстро превращается в помойку. Но отнюдь не уборщица определяет порядок работы, скажем, бухгалтерии. Что? Вы — не рядовой сотрудник, а бригадир? Это что-то меняет?

Когда я впервые пришёл в «крупную международную компанию», именно вы, энтерпрайз-админы, три дня не могли никак выдать доступ к корпоративной сети. Именно с вами и со службой безопасности пришлось воевать, чтобы получить наконец необходимый уровень доступа для выполнения моих прямых обязанностей. Именно вы усердно мешали рабочему процессу, блокируя работу необходимых (отнюдь не ворованных) программ. Пришлось привлекать руководство, чтобы победить ваши «корпоративные стандарты» и установить необходимую для работы Убунту. Да, с Файрфоксом вместо любимого вами IE. Да, не интегрирующуюся в домен и не управляемую вашими политиками. Настраивать обход вашего корпоративного прокси-сервера, чтобы попадать на необходимые по работе, но заблокированные вами ресурсы. Поднимать собственные почтовый и DNS-сервера, а также вики-сайт по проблематике нашей рабочей группы. Настраивать собственную систему удалённого доступа. Просто потому, что от вас, кроме пафоса и заменённой мыши (одной штуки) пользы никакой мы так и не дождались.

Когда мне всё это надоело, я ушёл. И сейчас у меня собственная компания (правда, не «Вектор»), а разрабатываемое нами ПО успешно эксплуатируется в конторах от уровня «пивного ларька» до федеральных госучреждений. А вы как были энтерпрайз-админами с «умывальников начальником» во главе, так и остались. С чем и поздравляю.