GitHub OpenSource LoadBalancer

https://githubengineering.com/glb-director-open-source-load-balancer/

• Layer4 (Transport Layer) LB
• -> Взять один IP address -> обрабатывать входящие коннекты на разных машинах
• нужно скейлить также и LB-сервера
• Простейшая схема (client - …. router - … backend)
• Несколько путей - Equal-Cost-Multi-Path (ECMP) routing:
  • пускать пакеты по нескольким путям (consistent hash). Пути могут изменяться, но это не важно, до конца дойдут все пакеты
  • пускать пакеты к разным серверам: BGP (Border Gateway Protocol) анонсируют, что они один и тот же IP, пакеты идут к разным серверам, даже не зная, что это разные машины
Сервера изменились - коннекты могут отломиться, т.к. все сервера выглядят одинаково, на роутерах нет state-а
• Решение - выделить роль director у load balancer
  • Директор сохраняет информацию о маршрутах
  • Проблема: добавление директора - он не знает информацию о маршрутах
  • Решение: синхронизация маршрутов
• GLB:

  

• incoming connection -> hash -> primary and secondary server
• packet arrives to primary server and “isn’t valid” (??) -> seconday
• hashing сохраняется в lookup table
• новый proxy -> для 1/N коннектов становится мастером, слейвом - предыдущий -> старые коннекты продолжат работать
• GDB-directory - stateless, основная функция - выбирать primary & secondary proxy
• Таблица маршрутизации (65к строк, в каждой primary proxy + secondary proxy) -> 512kb
• Таблица одинаковая для всех директоров (?????)
• Инварианты:
  • в каждой строке - один сервер
  • каждый сервер - примерно в одинаковом числе строк
  • порядок серверов вычисляется только на основе списка серверов (+seed)
  • изменяются сервера - строки с другими серверами не изменяются
  • => rendezvous hashing алгоритм https://en.wikipedia.org/wiki/Rendezvous_hashing
• Состояния: Filling -> Active -> Drilling
  • Если Drilling - сервер переставляется с Primary -> Secondary, тогда все коннекты постепенно уходят на новый Primary
• Проблема: закодировать Secondary чтобы Primary знал, куда дальше слать пакет
• Решение: Generic UDP Encapsulation (GUE)
• Обратно пакеты идут мимо директора, напрямую клиенту (“Direct Server Return”). Очень полезно для небольшого потока Inbound, и большого потока Outbound

  

• glb-director написан на DPDK (OpenSource, very fast packet processing from Userland)

How I gained commit access to Homebrew in 30 minutes

https://medium.com/@vesirin/how-i-gained-commit-access-to-homebrew-in-30-minutes-2ae314df03ab

• 31 июня, автор решил попробовать взломать Homebrew GitHub репозиторий, через 30 минут ему это удалось
• 1 попытка - использовать gitrob. Тулза, которая скачивает все публичные репки организации, и ищет важные данные в файлах
• 2. Посмотрел предыдущие проблемы на https://hackerone.com/Homebrew
  • Jenkins на публичном адресе
  • bottle (бинарный пакет) собираются и пушаются c аунтентификацией в GitHub
  • открытый jenkins - данные доступны. Credentials - в переменных окружения, доступны для всех
• => возможность записать в репу (сделал коммит)
• написал письмо в Homebrew
• Сотни тысяч людей пользуются Homebrew, включая сотрудников ключевых компаний
• Наиболее часто установленный пакет (-30d) - openssl (500k раз)
• Нет защищенной ветки master, он мог сделать коммит в мастер, и кто-то сразу бы поставил пакет с уязвимостью
• Он смог войти за 30 минут, что сможет сделать отдельное “национальное государство”? Компы сотрудников топовых компаний можно было бы сломать
• Пакетные менеджеры и утечка credentials - очень большая проблема, системная проблема индустрии