Создатели и поддерживающие
Всю жизнь в поддержке, завидовал тем кто создаёт. Оказалось инфраструктура — это и есть моё. Строю с нуля: бесплатно или за деньги.
Yushkov Blog
IT-инфраструктура · DevOps · Облака
AWS NACL: deny правило или разбить allow
Два способа закрыть порт в AWS NACL. Почему "очевидный" подход ломается при масштабировании, и причём здесь stateless природа NACL.
Мне нравятся метрики
Построил свою статус-страницу на метриках. Про то почему алерты - полумера, и как автоматизировать действие вместо уведомления. Без ИИ.
Kubernetes кластер: что покажет быстрый снимок
Разовый слепок k8s кластера без мониторинга и долгих настроек. Скрипт показывает что сомнительно — прямо во время созвона с клиентом.
Ты потерял $35,000. Хочешь знать где?
Разовый снимок AWS-инфраструктуры — сразу видно где утекают деньги. Без погружения в биллинг, без страха уронить прод. Ни один клиент не ушёл без находки.
Есть клиенты у которых деньги есть. Есть клиенты у которых денег нет. И есть третий тип.
Три типа владельцев бизнеса: успешные, загибающиеся и "так себе". Потратил неделю на третий тип. Их ответ: "это должно было быть в рамках контракта".
Меня попросили рассказать про самые запомнившиеся проекты.
Попросили рассказать о самых запомнившихся проектах. Звёздной истории нет. Стартап, серверлесс, два девопса, пара месяцев. Просто обычная работа.
Я не смог объяснить что я делаю.
Пытался объяснить взрослому современному человеку что такое сервер и облако - безуспешно. Как объяснить IT без терминов и лекций?
Всё началось с диска D.
От диска D и образов винды до контейнеров — одна и та же идея, двадцать лет спустя.
K8s 1.26->1.33. 4 часа нажатия кнопки "обновить" в Oracle Cloud.
Обновил OKE кластер с 1.26 до 1.33. Жёсткие нодпулы, ручная настройка AZ, 14 минут даунтайма на ноду. Через 4 часа - решил остановиться.
Вы дали ИИ больше прав чем новичку в его первый день?
Вы дали ИИ root-права? и чему вы удивляетесь?
Eisenhower Matrix, rice, WTF, and other four-letter words in engineering.
Матрица Эйзенхауэра, RICE и WSJF — три фреймворка приоритизации с реальными примерами из моего опыта. Когда интуиции не хватает для разговора.
«Ну и заодно дай доступ к CloudSQL.»
Вы сделали чтобы работало, отлично! Давайте теперь сделаем чтобы оно работало надежно и выгодно.
Это мистер Коди
Мистер Коди из Трассы 60 записывал лжецов в книжечку. «Все говорят» в LinkedIn - та же ложь: нет данных, только хайп.
Prometheus бесплатный. Пока не посчитаешь.
Реальный кластер: только мониторинг занимает 20+ подов и 9.5 GB RAM. Что «бесплатный» Prometheus стоит на самом деле - в ресурсах, времени и внимании.
Как сломать свой HA мониторинг одним дашбордом
Как ботнет, взрыв метрик и один дашборд положили HA мониторинг на Thanos — каждую реплику по очереди.
S3 дёшево. Пока не захочешь уйти.
Переезд с S3 может не окупиться никогда.
"Прод упал" — это не задача. Это начало разговора.
Когда приходит сигнал "прод упал" — первый вопрос не "что смотреть", а "какой именно прод". И почему AWS тут ни при чём.
У вас не прод. У вас MVP.
Если о падении прода вы узнали от клиента — у вас не продакшен, а MVP.
БД в рид-онли, ничего не работает.
Как одна строка в Helm values запустила бесконечный цикл исключений, забила диск и положила managed БД на OVH. Бэкап был. Повезло.
Им нужен Kubernetes. Это не мнение - я проверил.
Им нужен Kubernetes. Это не мнение - я проверил.
DataDog + CloudWatch: $7 000 в месяц по привычке
Компания платила $7 000 в месяц за два инструмента мониторинга на AWS. Причина: никто не задавал вопрос пять лет.
Bitnami charts: 500 строк - это не баг
Критиковал чарты Bitnami за сложность - пока сам не написал свой. Десять итераций, и вот уже 220 строк. Универсальность стоит сложности.
Потратил два часа делая всё правильно. Я ошибался.
Потратил 2 часа делать правильно: CodeBuild, Terraform, VPC endpoints. Потом посчитал. Правильное решение стоило дороже самой проблемы.
Kubernetes upgrade: две недели, один человек, весь ритм команды
Обновление нод кластера — не одна команда. Drain, upgrade, uncordon — одна нода за раз. И всё это в голове у одного человека.
"Доступно обновление системы" - знакомое сообщение?
Обновление инфраструктуры — это не кнопка.
Почему девопсы не любят обновления
От бабушкофона в MS Authenticator до исчезнувшего /usr/bin/python — обновления ломают. Это не лень. Это выученная боль.
Таймер дешёвого девопса
Когда соглашаешься на низкую ставку, цена определяет отношение — в обе стороны. Система которую я выработал.
The Gluu Affair
Никто не смотрел внутрь два года. Незачем было. Я посмотрел - там жил призрак уволенного коллеги. Он ушёл. Скрипты - остались.
FinOps: он вам вообще нужен?
Когда FinOps инженер реально окупается? Математика, проблема полномочий и что делать, если расходы на облако меньше $500k в год.
Вредные советы: почему не нужно писать документацию
Руководство в стиле Григория Остера - как сделать жизнь коллег невыносимой и обеспечить себе вечную незаменимость.
Grafana-налог $2000 в год: реальная история про стоимость мониторинга на AWS
Как предпочтения PM обошлись стартапу в $2000 в год - и почему это всё равно не было провалом.
ECS vs EKS: почему «стандарт индустрии» стоит 30% времени команды
ECS против EKS: реальная стоимость - $73/мес фиксированно за control plane и 20-30% времени команды на поддержку вместо фич.
AWS App Runner: лимит в 120 секунд, который ломает видеостриминг
Как жёсткий лимит App Runner в 120 секунд сломал видеостриминг, стоил неделю переделок и заставил смотреть на ECS и Cloud Run.
Твой VPN работает. Сертификат протух 3 месяца назад. Ты не знаешь.
CA-сертификат на VPN-серверах протух тихо - без мониторинга, без алертов. Как проверить свои сертификаты и настроить алерты до инцидента.
Команда из 8 человек. 12 почти одинаковых файлов. Каждое изменение копируется вручную.
Копипаста Kubernetes-конфигов привела к падению прода. Сравнение Helm, Kustomize и гибридного подхода - ошибки деплоя снизились на 80%.
Знаете, как положить весь проект из-за... нехватки соединений с базой?
Два реальных инцидента: лимит коннектов к БД убил прод без ошибок и предупреждений. Почему connection pooling и мониторинг - не опция.
Сделал CI/CD. Docker правильный, билды быстрые. Prod упал через 2 дня.
Dev-версия зависимости в проде уронила прод через 2 дня. Почему надёжный CI/CD требует автоматических проверок, а не надежды на то, что все помнят правила.
Запустил один и тот же API на AWS и GCP.
Один API, 15 млн запросов: AWS Lambda $33 против GCP Cloud Functions $16. Реальный расчёт и почему архитектура экономит больше, чем выбор провайдера.
Пароль от админа в конфиге - это норма?
Пароль LDAP-админа в git-репозитории в переменной PASSWORD. Почему секреты попадают в код и что реально помогает изменить культуру команды.
$17,000 потерь в год. Клиент хотел аудит бесплатно.
Нашёл потери на $17,000 в год: устаревший тариф, забытая нода, нулевой автоскейлинг. Клиент хотел внедрение без аудита. Почему это рулетка с продакшеном.
Bitnami переехали за ночь и сломали тысячи деплоев
Bitnami без предупреждения переехали с образами MongoDB и положили тысячи Kubernetes-деплоев. Решение: зеркалить критичные образы в собственный реджистри.
Когда Google закрыл goo.gl: ловушка зависимости от бесплатных сервисов
Google закрыл goo.gl в 2018-м без возможности миграции. 15 лет в инфраструктуре — одно правило: бесплатное для экспериментов, критическое под контролем.
Я нашёл $50 000 потерянных денег в трёх аудитах. Вот что чаще всего упускают.
Три реальных аудита вскрыли $50k потерь через кладбища снапшотов, зомби-ресурсы и IAM-хаос. Фреймворк ROI для расчёта окупаемости аудита вашей инфраструктуры.
Я каждый день нахожу что-то новое. Или разновидность старого косяка
Почему тег :latest — это не «последняя стабильная», а «что сейчас там лежит». Два реальных инцидента: Azure Kubernetes и MongoDB v8 в dev.
Почему ArgoCD, а не просто kubectl apply из Jenkins
Jenkins говорит «успех», а production лежит. Почему pull-based ArgoCD замечает то, что пропускает CI/CD — и кто реально контролирует ваш прод.
126 IAM пользователей в AWS. Почти 100 — потенциальная точка взлома.
В одном AWS аккаунте — 126 IAM пользователей, пароли до 10 лет, MFA не у всех, половина не логинилась годами. Вопрос не лояльности, а статистики.
Альтернатива GCP ALB: Nginx-Ingress в кластере
Nginx-Ingress + Cert-Manager внутри GKE против managed ALB: стоимость, компромиссы и когда что выбирать. 20 сервисов за $90-255 вместо $367.
Платите за каждый Load Balancer в GCP? Есть способ урезать счёт
20 микросервисов в GKE, каждый со своим LB: $500-600/месяц. Один Application LB с host-based routing снизил счёт до $367. Как устроена экономия.