Florent Peterschmitt

AMD GPU Power Limits

2026-03-09T13:00:00+01:00

LACT

The wonderful https://github.com/ilya-zlobintsev/LACT provides a daemon and a UI that can:

set various performance flags and values
monitor GPU activity
save and apply profiles

Nonetheless, you will need the Kernel cmdline parameter to expose the interface allowing to set parameters.

Please follow LACT documentations to set it up.

Kernel cmdline parameter

Add this kernel cmdline parameter to enable power controls: amdgpu.ppfeaturemask=0xffffffff

I added this to the grub configuration:

$ cat /etc/default/grub|grep ppfea
GRUB_CMDLINE_LINUX_DEFAULT="quiet amdgpu.ppfeaturemask=0xffffffff"
$ grub-mkconfig -o /boot/grub/grub.cfg

Then reboot, and verify:

$ cat /proc/cmdline |grep amdgpu.ppfeaturemask
BOOT_IMAGE=/vmlinuz-6.12.73+deb13-amd64 root=UUID=0162acaf-1924-4e08-8546-22f983a2c9d3 ro rootflags=subvol=@rootfs quiet amdgpu.ppfeaturemask=0xffffffff

Automatically set limits at boot without LACT

I'm using a systemd unit and a custom script that also sets cpupower:

Systemd

$ cat /etc/systemd/system/power-settings.service
[Unit]
Description=Power Settings
After=multi-user.target

[Service]
Type=oneshot
ExecStart=/usr/local/bin/power-settings.sh
RemainAfterExit=yes

[Install]
WantedBy=multi-user.target

This can conflict with power-profiles-daemon that will reset your CPU settings. In addition, the powersave mode of power-profiles-daemon is actually setting the max freq higher than the performance mode… it's garbage and i've got it disabled:

systemctl disable --now power-profiles-daemon
systemctl mask power-profiles-daemon

Custom script (cpupower + amdgpu)

Just in case you miss the link to the kernel documentation: v6.12 amdgpu pp-od-clk-voltage

#!/usr/bin/env bash

FREQ_CPU=3.0   # GHz
FREQ_GPU=1925  # MHz
GOV_CPU=powersave  # i can't really see any diff between these governors. jic.

if [ "$1" = "S" ]; then # MIN
    FREQ_CPU=1
    FREQ_GPU=1300
    GOV_CPU=powersave
fi

if [ "$1" = "M" ]; then # MAX
    FREQ_CPU=4.15
    FREQ_GPU=2600
    GOV_CPU=performance
fi

echo "CPU=${FREQ_CPU} GPU=${FREQ_GPU} GOV=${GOV_CPU}"
cpupower frequency-set -d 0.55GHz -u ${FREQ_CPU}GHz -g ${GOV_CPU} > /dev/null

# ArchLinux uses card1 for some reason, but Debian 13 on my machine is card0
cd /sys/class/drm/card0/device

# requires amdgpu.ppfeaturemask=0xffffffff on boot cmdline
# https://www.kernel.org/doc/html/v6.12/gpu/amdgpu/thermal.html#pp-od-clk-voltage
echo manual > power_dpm_force_performance_level
echo "s 0 500" > pp_od_clk_voltage
echo "s 1 ${FREQ_GPU}" > pp_od_clk_voltage
echo "c" > pp_od_clk_voltage

I can use this script any time with S or M as parameter to change performances.

Logitech G923 Linux Debian 13

2026-03-09T12:00:00+01:00

Ça va aller vite :D

Logitech G923 sur Linux Debian 13

USB Modeswitch + udev

Lorsque l'on connecte le volant, il faut utiliser usb_modeswitch pour passer le contrôleur en mode XBox :

$ apt install -y usb-modeswitch
$ cat > /etc/udev/rules.d/99-logitech-g923.rules <<EOF
ACTION=="add", SUBSYSTEM=="usb", ATTRS{idVendor}=="046d", ATTRS{idProduct}=="c26d", RUN+="/usr/sbin/usb_modeswitch -v 046d -p c26d -m 01 -r 01 -C 0x03 -M 0f00010142"
EOF
$ udevadm control --reload-rules
$ udevadm trigger

La valeur -M 0f00010142 est documentée dans le document du protocole Logitech Force Feedback V1.6 : https://opensource.logitech.com/wiki/force_feedback/Logitech_Force_Feedback_Protocol_V1.6.pdf page 44.

On peut exécuter la commande manuellement bien entendu.

Lorsque le mode change, la roue va se recalibrer et recentrer à nouveau.

Vérification USB

lsusb devrait vous lister au moins cette ligne :

$ lsusb |grep -i logitech
Bus 001 Device 007: ID 046d:c26e Logitech, Inc. G923 Racing Wheel for Xbox One and PC

Dirt Rally 2.0 - Steam

Steam

On l'installe avec le paquet officiel qui, de mémoire, ajoutera un repo APT.

https://store.steampowered.com/about/

$ apt install -y ./steam.deb

On devrait alors avoir ceci :

$ cat /etc//apt/sources.list.d/steam-stable.list 
deb [arch=amd64,i386 signed-by=/usr/share/keyrings/steam.gpg] https://repo.steampowered.com/steam/ stable steam
deb-src [arch=amd64,i386 signed-by=/usr/share/keyrings/steam.gpg] https://repo.steampowered.com/steam/ stable steam

Vérification du support de la wheel avec Steam

En partant du principe que vous avez déjà lancé steam, et que les fichiers sont bien présents :

$ ~/.steam/root/ubuntu12_32/steam-runtime/run.sh -- steam-runtime-input-monitor|grep G923
      "product" : "G923 Racing Wheel for Xbox One and PC",
      "DEVLINKS=/dev/input/by-id/usb-Logitech_G923_Racing_Wheel_for_Xbox_One_and_PC_00004fed845c5efb-event-joystick /dev/input/by-path/pci-0000:01:00.0-usb-0:9:1.0-event-joystick /dev/input/by-path/pci-0000:01:00.0-usbv2-0:9:1.0-event-joystick",
      "ID_MODEL=G923_Racing_Wheel_for_Xbox_One_and_PC",
      "ID_MODEL_ENC=G923\\x20Racing\\x20Wheel\\x20for\\x20Xbox\\x20One\\x20and\\x20PC",
      "ID_SERIAL=Logitech_G923_Racing_Wheel_for_Xbox_One_and_PC_00004fed845c5efb",
      "ID_USB_MODEL=G923_Racing_Wheel_for_Xbox_One_and_PC",
      "ID_USB_MODEL_ENC=G923\\x20Racing\\x20Wheel\\x20for\\x20Xbox\\x20One\\x20and\\x20PC",
      "ID_USB_SERIAL=Logitech_G923_Racing_Wheel_for_Xbox_One_and_PC_00004fed845c5efb",
      "name" : "Logitech G923 Racing Wheel for Xbox One and PC",
      "product" : "G923 Racing Wheel for Xbox One and PC",
      "product" : "G923 Racing Wheel for Xbox One and PC",

Vous pouvez Ctrl+C car le programme écoute les input continuellement.

Problèmes

Le pilote est rudimentaire et ne supporte que le Force Feedback. TRUEFORCE ainsi que les LED ne sont pas supportés...
Il faudra rebind les pédales dans les jeux.
Sur Dirt Rally 2.0, les contrôles pour le replay ne peuvent pas être changés. Ainsi le jeu croit que la pédale "brake" est toujours enfoncée, mais ça n'est pas le cas.

Namasté Népal (2017) - #6

2026-03-09T12:00:00+01:00

Article précédent

9 ans plus tard :) C'est toujours en 2017…

Malheureusement il s'est passé trop de temps pour que je puisse commenter. Il s'agit de temples, palais, quelques photos des rues (avec toujours les cicatrices des tremblements de terre de 2015), de boiseries.

Prenez le temps, c'est la fin !

Et si vous êtes du genre à passer la même musique en boucle pour regarder des photos, alors je vous propose RiveR - Solo.

On commence par Kathmandu, puis Bhaktapur.

Kathmandu - Patan

Bhaktapur

Namasté Népal (2017) - #5

2022-01-11T17:00:00+01:00

Article précédent

De retour à Kathmandu, nouvelle exploration à l’est de la ville, près du temple Bouddhiste Swayambunath. Lien google maps

Quelques photos prises sur le chemin :

Arrivé au pied :

Et il va falloir monter tout ça.

Tout en haut des escaliers !

Il y a toujours de la place pour ces yeux pénétrants !

Temple avec boiseries dorées.

Quelques petits plans panoramiques des alentours.

Sans oublier les tambours…

…et leur fidèle gardien :D

En redescendant, quelques statues :

Si on cherche des photos de ce même endroit, on trouvera de nombreux macaques. Pour ma part il n’y en avait pas tant que ça

À quelques centaines de mètres de ce temple, je suis passé près d’un artisant décorant des bols et proposant à la vente diverses objets en métal. Sur la dernière photo, on trouve le mari à gauche, son frère à droite et sa femme au milieu.

On a parlé un peu, le frangin traduisant en anglais pour qu’on s’y retrouve :D

On s’arrête là pour le moment, il me reste encore des photos à publier :D

Namasté Népal (2017) - #4.4

2022-01-11T16:00:00+01:00

Article précédent

On redescend de la montagne à dos de Jeep :)

Article suivant

Namasté Népal (2017) - #4.3

2022-01-11T15:00:00+01:00

Article précédent

Ça faisait longtemps que je m'étais promis de publier le reste de mes photos du Népal, en 2017.

Nous voici en 2022, cinq ans plus tard (vous avez vu ? je sais compter !)

Cette fois-ci j'aurai moins à dire… voire pas du tout. Donc, mettez une musique tranquille, et voyagez encore un peu !

Article suivant

Namasté Népal - #4.2

2019-01-20T21:30:00+01:00

Article précédent

La suite des photos de montagne, le 23 avril 2017 ^^

Notre pote singe blanc de la vielle ? Nah, il y en avait tout de même plusieurs ^^

La personne en bas à droite c’était mon guide. On parlait tout deux suffisemment d’anglais pour pouvoir discuter de choses et d’autres, de la situation du pays, de sa vie etc…

On commence à sortir de la forêt où la température était écrasante et l’absence de circulation d’air rendait la marche franchement difficile.

Maintenant c’est tout l’inverse : le vent souffle et il est froid ! Je me suis sévèrement enrhumé à ce moment là d’ailleurs… avec fièvre et tout le tintouin.

Sur les prochaines photos, on observe ce qu’il reste de la montagne qui s’est effondrée lors du tremblement de terre du 25 avril 2015 dans le pays.

Un village d’environ 200 habitants a été rasé et beaucoup y sont morts.

Le village a été reconstruit plus haut et c’est là qu’on passera la nuit.

Article suivant

Namasté Népal - #4.1

2019-01-13T16:15:00+01:00

Récapitulatif

Dans l’article précédent j’étais donc à Pokhara et je sortais d’une grotte remplie de chauves-souris. Une fois ressorti j’avais prévu de passer encore une journée sur place, après-demain sera donc le retour vers Kathmandu pour commencer le trekking de la vallée de Langtang.

Le départ est à Syapru Besi, un village à fond pour les touristes venant marcher dans les montagnes. Rien de très étonnant à vrai dire.

L’arrivée était prévue à 4500 mètres d’altitudes, je me suis arrêté à environ 3000 mètres, avec de la fièvre (oui, je suis retombé malade…) et le souffle coupé. Comme quoi il faut s’entraîner avant, oui bien être fumeur : d’après mon guide les fumeurs, même sans expérience de la montagne arrivent à aller au bout. Ce qui est compréhensible vu qu’un fumeur a régulièrement un manque d’oxygène dans les poumons !

J’ai découpé le trek en 4 articles à venir ; les photos sont déjà triées, reste plus qu’à en retoucher quelques unes et à publier.

Et comme toujours, un peu de shell :D

for img in $(find 2* -name "*.*"); do
    echo '![photo](/static/images/nepal2017/'${img}')' >> pics.md
done

22 Avril 2017 - Vallée de Langtang

Démarrage à 1600 mètres environ !

Sur la gauche de la photo, sur ce flan de montagne effondré, des nids d’abeilles. Elles font un miel qui est récolté.

Premier « singe blanc », qui n’a pas voulu montrer sa tête. Impossible de l’avoir en plus gros, le zoom était déjà à son maximum.

Arrivé au gîte (guest house) ce pti bonhomme parlait mieux anglais que quand j’avais son âge, et débordait d’énergie ! Il a voulu tester l’appareil photo, je l’ai laissé faire, bon, le résultat était pas probant :D

Des rhododendrons !

Soir nuageux.

Matin dégagé.

Article suivant

Namasté Népal - #3.2

2018-06-24T18:00:00+02:00

Plus d’un an après le dernier article sur le sujet… alala ^^'

Et comme d’habitude, un peut de shell pour corriger les images :

for i in $(find . -namae *.jpeg); do
    convert $i -auto-orient /tmp/out.jpeg
    mv /tmp/out.jpeg $i
done

Article précédent

Vadrouille - 17 Avril… 2017, hein :D

L’objectif était de visiter le musée Gurkha la grotte « Mahendra », où je me suis rendu compte après coup avoir été correctement plumé… ah bah on est touriste ou on ne l’est pas ^_^ !

Voici donc les photos prises pendant le trajet.

Bindabasini Temple

Endroit un peu en hauteur, vent frais. Je n’ai pas pris beaucoup de photos car j’ai une vidéo du lieu, trop lourde pour être postée ici malheureusement. J’aurais dû y penser, c’est trop tard maintenant !

Musée Gurkha

Étant très mauvais historien, je préfère encore vous rediriger vers la page wikipedia sur les Gurkhas plutôt que de tout recopier :)

Pour faire simple, les Gurkhas sont des unités armées britanniques, entraînées sur place.

Visite officielle et rumeurs...

Mousquets Martini Henry et India Pattern

Moderne et toujours présent

En allant vers la grotte

À l’intérieur de la grotte, à l’entrée, on trouve une roche ayant l’apparence d’une trompe d’éléphant, rapport à Ganesh, le dieu à tête d’éléphant. Peu de touristes sont présents ici, les personnes se bouscules pour faire une brève prière et s’attirer la bonne fortune.

Ce qui n’empêche pas l’endroit d’être jonché de bouteilles en plastique.

Le guide m’emmène vers le reste de la grotte, où seuls les touristes vont. Il avoue lui-même que les touristes Indiens ne sont pas respectueux des lieus et qu’il ne souhaite pas que cette partie soit publiquement accessible.

Bon par contre, vous remarquerez que j’ai honteusement dérangé ces charmantes chauves-souris…

À la sortie de la grotte, c’est là que le plumage a eu lieu. En grand champion, j’ai confondu, à l’orale, "1000" et "100" en anglais : le guide a annoncé 8000 roupies, j’ai compris 800. Résultat j’y ai laissé 80€ au lieu de 8 pour la visite… évidemment le guide n’allait pas refuser, et il a eu bien raison d’essayer !

En somme, une journée bien physique, crapahuter dans la grotte c’était quand même assez chouette, et puis surtout il y faisait bien frais :D

Article suivant

systemd, hostnamed, networkd et l’option 12 de DHCP

2017-06-21T20:54:00+02:00

Ce soir c’était installation d’un Hyper-V sous Windows 10 pour m’assurer que systemd-networkd, et plus précisément systemd-hostnamed peut changer le hostname d’une machine en le récupérant depuis l’option 12 d’une lease DHCP.

Tout cela a été fait sur CentOS 7 puisque c’est la cible du moment.

yum install -y systemd-networkd
mkdir /etc/systemd/network

Pour une interface réseau nommée eth0 :

Créer le fichier /etc/systemd/network/eth0.network :

[Match]
Name=eth0

[Network]
DHCP=yes

[DHCP]
UseHostname=yes

Activer le bousin :

systemctl enable systemd-networkd
systemctl enable systemd-hostnamed

Ensuite, sur CentOS 7 (systemd-219) et peut-être d’autres distributions, il faudra rajouter une règle PolicyKit :

https://bugs.freedesktop.org/show_bug.cgi?id=81626

Créer le fichier /etc/polkit-1/rules.d/00-systemd-hostnamed.rules :

polkit.addRule(function(action, subject) {
    if (action.id == "org.freedesktop.hostname1.set-hostname" &&
        subject.user == "systemd-network") {
            return polkit.Result.YES;
    }
});

La documentation de hostnamed fait mention de l’action PolicyKit.

Namasté Népal - #3.1

2017-06-05T21:00:00+02:00

Depuis le parc national de Chitwan, remontée vers Pokhara, deuxième plus grande ville du Népal après Kathmandu.

Vadrouillage libre pendant trois jours complets, entre ville, montagnes environnantes et lac.

Je découperai cette partie en plusieurs articles à cause du nombre de photos que je souhaite vous exposer, afin d’éviter une page trop lourde :)

Aussi, j’ai appliqué une modification sur toutes les photos postées jusque maintenant afin de les rendre plus légères.

convert -strip -interlace Plane -quality 80 in.jpeg out.jpeg

Voir ici : https://coderwall.com/p/ryzmaa/use-imagemagick-to-create-optimised-and-progressive-jpgs

Article précédent

Sauraha vers Pokhara - 15 Avril

Après une nuit pénible éveillé à se demander combien de litres d’eau pourraient encore déserter, et seulement une maigre demi heure endormi, on tambourine à ma porte. Le garde venait me chercher pour le petit déjeuner et me dire que le départ était prévu à 7h.

C’est donc les yeux fatigués, la mine décomposée mais le ventre à peu près rétabli que je finis de ranger mes affaires et sortir pour aller prendre le bus. Bus plus gros que le premier, avec plus de place pour les jambes. Il est aussi plus lent et le chauffeur n’hésitera pas à doubler de façon risquée, quitte à faire stopper tout le monde pour forcer le passage.

Pendant la nuit il a plu, rendant la matinée fraiche et l’air léger. Mais ça ne dure pas, dès que le ciel est dégagé, le soleil sèche tout et le festival de la poussière reprend.

En arrivant sur la route principale menant à Pokhara, on a droit à une drôle d’illusion d’optique. J’ai cru voire une montagne en demi sphère avec une route tournant autour. J’ai pensé à ces décors surréalistes que l’on peut voir dans certains mangas, m’attendant à une tortue géante se soulevant tout d’un coup.

Ça a duré un moment, jusqu’à ce que le bus et la montagne ne soient plus alignés et que tout redevienne normal. Une bête montagne et notre route passant devant, au final.

On arrive en milieu d’après midi à l’arrêt de bus touristique de Pokhara, tout près de « Lake Side » où j’ai mon prochain hotel.

Je reprends mon sac à dos, brûlant, recouvert de poussière et percé à un endroit. Sur les épaules il paraît encore plus lourd que d’habitude… ne pas avoir mangé ni dormis pendant 24h n’aidant pas.

Sur le trajet, à ma gauche, le lac de Pokhara, puis une petite montagne recouverte de végétation. Je retiens ça pour plus tard, il doit forcément y avoir un point de vue ou quelque chose à faire là haut.

La carte du GPS n’est encore pas à jour et je dois demander mon chemin. Pour ça, je rentre dans un autre hotel qui semble avoir pris la place de celui où j’ai réservé et demande.

En rentrant dans l’hôtel, un des serveurs me salue avant de disparaître dans une autre pièce comme s’il venait de se rappeler de quelque chose d’urgent à faire.

À l’accueil je demande l’hôtel dont je ne me souviens plus aujourd’hui le nom. Une charmante demoiselle me répond que c’est en bas de la rue avant d’être interrompue par le serveur de tout à l’heure. Il tient son plateau en l’avançant légèrement vers moi, avec un verre de jus de mangue.

« Sir, do you want a welcome drink? » me dit-il avec un grand sourire. Avant d’accepter je précise que je n’ai pas réservé dans l’hôtel, ce à quoi les trois personnes présentent à ce moment me répondent en même temps qu’il n’y a pas de problème, que c’est offert et que je peux le prendre. Roh, c’est gentil !

Avant de repartir, étant affamé je demande s’ils proposent des soupes de légumes en leur expliquant rapidement pourquoi. J’y reviendrai le soir, pour l’instant il faut absolument que je pose ce sac, trouve de l’eau et dorme !

L’hôtel est une maison d’hôtes entourée de verdure, au fond d’une grande allée. Sur le côté, un lavabo fuit, et de l’autre côté de l’eau s’écoule dans l’escalier permettant d’aller à l’étage. J’ai manqué l’accueil qui était juste sur ma droite en rentrant…

Petit problème de réservation, à mon avantage : au lieu de devoir laver le cochon presque dehors, ça pourra se faire dans une salle de bain fournie avec la chambre ! On est quand même bien content d’avoir son petit confort :)

Sieste, hydratation forcée, sieste encore et finalement je retourne voir le premier hotel.

Petite soupe de riz avec quelques légumes juste cuits, accompagné d’un thé au gingembre. Je ne l’avais pas demandé mais il sera très bon pour ce que j’ai.

La télévision diffuse une émission où des enfants jouent des sketchs. La chaîne s’appelle « color » et est notemment diffusée en Inde. Les serveurs semblent amusés pendant que je me demande bien ce qu’ils peuvent raconter de si drôle. À Mumbai cette même chaîne diffusait un genre de « Plus belle la vie » à base de grandes méchantes sorcières, de mariage saboté et de bisous bisous mon amoureux alala ils sont méchants, mais à la sauce Indienne.

Repas à 2.15€ et un accueil chaleureux, je n’en demandais pas tant ! Aller hop. Dodo.

Pokhara - Pagode de la paix - 16 Avril

Encore des patates en petit dèj. Humpf… Les jours suivants j’aurai trouvé un restaurant typique… pour les touristes en mal du pays : « Metro », ils y font de divines crêpes, pour tous les repas ! Miôm

Du coup, la veille j’avais vu sur la carte qu’il est possible de monter au sommet de la montagne, jusqu’à la pagode de la paix. En m’y rendant à pied, je longe la partie touristique du lac. Restaurants, boutiques de vêtements, agence de voyage, tout y est.

Histoire de changer d’ambiance, j’essaye de trouver un chemin plus proche du lac. Il y en a, traversant quelques parcs et petits cours d’eau.

Dans les parcs je croiserai quelques Népalais déjà ivres et quelques rares touristes. Ce chemin bordant le lac donne aussi sur les cours arrières de certains hôtels luxueux, ce qui n’empêche personne de brûler là les déchets et de jeter tout un tas de détritus dans l’eau.

Les rues sont calmes et bien entretenues, ici les routes sont presque toutes bitumées, évitant la poussière que l’on connaît à Kathmandu.

En suivant la route pour monter vers la pagode de la paix, je tombe encore sur un guide improvisé. À l’entrée du chemin vers la montagne, il me montrera un panneau indiquant que si les autorités nous voient nous aventurer seuls par là, une amende de 4500 roupies nous attend. C’est le prix d’un permis de trekking au Népal.

Du coup mon guide m’accompagne et monte à toute vitesse. Je le force à ralentir car de toute façon, je prends mon temps.

L’autre versant de la montagne.

Mon guide me dit que le chemin est vraiment très dangereux et que de nombreuses personnes trouvent la mort ici. J’ai vu bien pire et je commence à penser qu’il met en place une petite stratégie à base de peur en espérant me soutirer un peu trop d’argent.

Au bout de vingt minutes il m’abandonne en m’indiquant vaguement le chemin, mais pas sans me demander le lui laisser quelques dollars ou euros.

« I collect money, so if you have like 20 euros or dollars… »

Vingt euros ou dollars pour vingt minutes de marche, en plus en se moquant du monde. Quand je refuse une telle somme il commence à paniquer et à insister sur le fait qu’il collectionne la monnaie. Pour ma part j’insiste sur le fait que c’est vraiment se moquer du monde, et plus ça va, l’émotion monte et il est au bord des larmes.

Je lui laisse 300 roupies, qu’il refusera dans un premier temps, avant que je ne lui fasse quand même comprendre que refuser est pire que d’avoir moins que la somme espérée. Il prendra l’argent avant de repartir aussi sec.

Le chemin vers la pagode est très tranquille, entre les arbres et le vent rafraichi par la végétation circule.

Certaines statues n’ont pas bien l’air d’origine. Ça fait plastique tout ça.

En redescendant d’un étage, on peut avoir une vue sur le lac et la ville de Pokhara.

Aller, pause miam ! On ne dirait pas comme ça, mais ce petit trajet a bien pris deux à trois heures, tranquillou.

Sur la terrasse du restaurant, en regardant par la gauche en étant dos à la pagode, vue sur les montagnes et a priori l’Annapurna… pas sûr. Un groupe de français à côté en discutait et ne savait pas non plus.

Les photos sont grisatres, je n’ai pas trouvé les bons réglages, et pour ne rien arranger, les montagnes sont loin et l’athmosphère est chargée, comme d’habitude.

Aller, on redescend. Sur le chemin un vieil homme charge de grosses caillasses dans un panier porté sur le dos par une femme, pas beaucoup plus jeune.

La pente est raide, le chemin arrangé en escaliers. La vue est encombrée mais par moments, on a droit à une petite percée.

Arrivé en bas, la seule solution est de prendre un canot, propulsé à la force des bras de petits bonhommes d’une dizaine d’années seulement. Ou alors de remonter.

En attendant le fiston revenant avec deux autres touristes, on prend bien soin de rester les machoîres pendues devant les montagnes.

Embarquement immédiat ! Au moins celui-là je ne risque pas de le manquer… et il n’en coûtera que 400 roupies. C’est quand même beaucoup pour trois minutes de trajet jusqu’à l’îlot sur le lac.

Plusieurs petits temples sont présents sur l’île et il y a pas mal de monde.

Revenons sur la terre ferme.

Sur le chemin, un arbre est complètement envahi par ces drôles d’oiseaux ! C’est pas aussi bien que les canards de Wasquehal mais c’est pas mal non plus ;-)

Plus haut dans la ville…

…en se perdant un peu, des maisons se construisent, d’autres sont bien établies, mais toutes sont situées entre des champs ! Et pourtant je n’ai marché que pendant une demi heure.

Les gens me regardent avec insistance, je suis le seul blanbec recouvert de fringues de toutes les rues que je traverserai. Mais que font les autres touristes quand ils voyagent ? Bien souvent le plus intéressant, à mes yeux, s’est trouvé là où personne n’allait.

On trouve quelques cybercafés dans la ville, et c’est assez drôle de voir la deventure plongée dans le noir en imaginant qu’il y a quand même des machines capables de faire tourner CoD là dedans :D

Mais on retrouvera aussi des habitations plus typiques. D’ailleurs par rapport à Kathmandu, on en croise beaucoup plus.

Les temples sont partout, même au dessus d’autres bâtisses !

Sur une petite montagne

Un monastère bouddhiste se dresse. Le soleil est bas, je suis arrivé au « Matepani Gumba ». Ou en tout cas, au début des marches !

Au moment où je prends cette photo je me dis « il faudra que je le prenne de face », et évidemment, j’ai oublié.

Deux moines assis sur un banc en face de cette entrée discutent. Des enfants jouent à la corde à sauter, à la balle ou à ce qui pourrait être un cache-cache.

Ils sont tous vêtus de la robe bouddhiste, pourpre ou ocre.

Petit coin tranquille après le tumulte de la ville. Il faut pourtant y retourner, il est presque 18h, la nuit n’est pas loin.

Je prendrai un taxi afin d’arriver plus rapidement et d’éviter de marcher la nuit.

Article suivant

WeeChat et tmux sont dans une unité systemd

2017-05-23T20:29:00+02:00

Démarrer notre client IRC préféré dans une session Tmux, au démarrage de la machine, via une unité systemd pour un utilisateur précis.

Sur ArchLinux, systemd 232-8 :

useradd -m -G users florent
su - florent

# Petit problème avec certaines install Arch, certains ont corrigé le problème
# en réinstallant… c’est sensé être géré par le module pam_systemd.
# Essayez de le faire sans positionner cette variable manuellement.
echo 'export XDG_RUNTIME_DIR=/run/user/$(id -u)' >> ~/.bashrc
source .bashrc

# Ici logeront vos unités utilisateur.
mkdir -p ~/.config/systemd/user/

# L’unité en question. On s’assure d’avoir du réseau avant de démarrer.
# WeeChat sait très bien faire la reconnexion, mais je préfère.
cat > /home/florent/.config/systemd/user/weechat.service << EOF
[Unit]
Description=WeeChat IRC Client (in tmux)
After=network.target

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStart=/usr/bin/tmux -2 new-session -d -s irc /usr/bin/weechat
ExecStop=/usr/bin/tmux kill-session -t irc

[Install]
WantedBy=default.target
EOF

Ensuite on pourra tout simplement activer, démarrer et enjoyer :D

systemctl --user enable weechat.service
systemctl --user start weechat.service

Et quand on voudra récupérer notre WeeChat, tmux a -t irc et zou ^_^

Sources :

http://www.mythmon.com/posts/2015-02-15-systemd-weechat.html (je suis très feignant)
https://bbs.archlinux.org/viewtopic.php?id=201543

Namasté Népal - #2

2017-05-21T19:03:00+02:00

Direction le parc national de Chitwan, dans le Terraï. Long voyage, bestioles et bactéries…

J’en profite pour vous informer que la barre de droite peut être masquée en cliquant sur la séparation. Ça fait plus de place pour les photos.

Article précédent

Kathmandu vers Sauraha - 13 Avril

Réveil à 4h15 du matin, ça pique… il fait tout noir, les chiens n’aboient plus et tout est extrèmement calme. Toilette, chaussures, sac à dos et zou. J’ai cinquante minutes de marche devant moi, à travers la ville, avec pour seuls compagnons le GPS et la lampe torche. Quelle grande idée j’ai eu de l’emporter…

Le portail de l’hôtel était fermé avec un cadenas. J’avais prévenu le staff, ils m’ont dit de les réveiller. Je toque à la porte « STAFF ». Ça ronfle, et fort, mais ça ne bouge pas. Plan B !

Vu qu’il n’y a personne dans les rues et que tout le monde ronfle manifestement, je passe par dessus la grille, en ayant préalablement accroché les sacs sur les piques de la grilles afin de pouvoir passer sans risquer de riper, et de finir embroché.

Pouarf l’aterrissage était un peu lourd… c’était haut.

La traversée de la mort toute noire qui fait peur

Je disais donc, cinquante minutes à marcher dans le noir quasi complet, avec de temps en temps un pauvre lampadaire, mais surtout, oh la la, surtout, des chiens qui se réveillent tout d’un coup et me gueulent dessus ! Il y en a même un qui m’a suivi sur une centaine de metres en grondant derrière.

Je lui répondais à coup de pinceau de lumière bien éclatant dans la truffe. 300 lumens, je crois que même les chicots on vu le jour ! Quand le faisseau lui passait devant les yeux, il marquait un coup d’arrêt. Il a fini par lâcher l’affaire mais pas sans hurler à la mort et réveiller tous ces potes autour >__< Heureusement, eux, ils n’ont pas eu le courage de bouger.

Sur le chemin quelques dames marchent, en marmonant des choses. Plus ça allait plus je me posais des questions au sujet de la nature de ces incantations.

Un camion passe.

Je passe en plein milieu d’un petit marché. La faute au GPS dont les cartes ne sont plus exactement à jour. Tout le monde est occupé à marchander des patates, légumes, sacs de riz, épices et bonbonnes d’eau.

Un taxi passe.

Et bizarrement il n’a pas ralenti pour me proposer une course. Le temps passe, je suis à mi chemin et ces cabos me mettent les nerfs à vif.

Un taxi et un bus passent.

Quelques personnes marchent dans les rues, des vélos aussi.

Un camion, un bus, un scout et encore un camion passent.

Ah, ça commence à se réveiller. Il est environ 5h15, la nuit laisse place petit à petit à un pâle jour encore fatigué de la poussière de la veille.

Un camion un bus un taxi un bus un camion un vélo un taxi un bus.

La ville s’agite, le soleil est levé, et la poussière s’affaire, il est 5h30. Je suis arrivé à l’arrêt de bus indiqué par agenceman.

Des bus passent. Bizarrement ils ont tous un bandeau « Tourists only » sur le pare-brise. Ça m’inquiète cette histoire. Où qu’y sont les bus ? Ils déboulent tous d’une rue plus haut, après un angle. Je demande l’avis d’un bonhomme, qui me fait effectivement signe de remonter.

Et Ô magie, des bus, à perte de vue. « Tourists Only », « Deluxe », « Free WiFi » et tout et tout. Mais pas un seul n’a de panneau indiquant la destination, pour ça faut demander.

Vous voyez Pong ? Ben c’est le même principe, sauf que là, c’est avec les chauffeurs de bus, et il y en a une cinquantaine. Au bout d’un moment ya un vieux bonhomme avec une caisse remplie de gâteries sucrées… alala… j’ai envie… mais ça ne serait pas raisonnable, surtout avec le régime alimentaire relativement sain ^^ Je disais, un bonhomme haut comme trois pomme, qui me hurle, brouhaha oblige, « need help ?? ».

« Heu, yes, i go to Chitwan, do you know where is this bus? » lui dis-je, avec un superbe accent… Français mais en faisant des efforts, en lui montrant le ticket.

« Oh, this way, come. » Bon bah on verra bien. Finalement il s’occupe de demander aux chauffeurs et on trouve le bon.

« Friend, I helped you so… maybe you can help me » qu’il me dit en me montrant avec les mains le contenu de sa caisse. Va donc pour une bouteille d’eau, je crève la soif depuis que je suis debout.

« One hundred » WHHAAAAAAT, non non, pas moyen, une bouteille c’est maximum 30 roupilles, et la plupart du temps c’est seulement 20. Je lui propose 30, il refuse, propose 70, je maintiens 30, il refuse toujours et propose 60, je monte dans le bus sans bouteille d’eau. Et j’ai bien fais car le ticket comprend deux bouteilles, que le fiston du chauffeur distribuera un peu plus tard aux passagers.

8h dans le bus

Quelques derniers passagers montent en hâte.

Les genoux touchent le siège d’en face, ça va être fantastique. On démarre à 5h45, le départ était prévu à 5h40. A priori c’est bien huilé. Dans le guide j’ai lu que les bus tombent en panne, et que c’est quasi inévitable. On se rassure en disant que la figurine de bouddha posée en plein milieu du tableau de bord de la cabine du chauffeur (qui dispose de quelques places pour absorber quelques imprévus) nous portera bonheur.

Le bus s’extirpe de sa place, difficilement vu le traffic déjà complètement encombré. Ça vrombit, ça tremble, ça fait un vieux bruit de pièce usée, ça fait pouet pouet et d’autres sons impossibles à écrire, et on avaaaaance…

La route pour sortir de Kathmandu est infernale. Une simple voie en terre, avec des trous partout et des habitations autour qui prennent tellement la poussière qu’on en vient à se demander comment font-ils pour rester ici. Et d’ailleurs, la poussière rentre dans le bus. La veille je me suis procuré un de ces masque à mettre devant le pif et la bouche. Ça empêchera le plus gros.

Encore une fois, on voit de tout. Impossible de photographier tellement le bus bouge, au mieux la photo est floue, au pire l’objectif se prend un coup. Des gens brûlent des câbles électriques à même le sol, d’autres leurs déchets.

Un bus arrive en sens inverse, il n’a plus de pare-brise. C’est rassurant !

Ça monte ça monte… péniblement, mais sûrement.

À défaut du bus sans pare-brise, un magnifique camion défoncé ! La photo est floue, c’est pas facile depuis le bus quand on voit tout au dernier moment.

7h20, on est tout juste sorti de Kathmandu, de l’autre côté de la vallée. Premier arrêt pour une pause toilette(s) et miam.

Le trajet sera long et pénible, avec quelques travaux bloquant la circulation pendant dix à quinze minutes à chaque fois.

Voici quelques photos, prises sur le trajet vers Pokhara depuis Chitwan cependant.

Vers 12h on fera une pause déjeuner. Sans moi, les bosses du trajet m’ont retourné l’estomac.

Dans le bus, un groupe d’amis parlent en mélangant Anglais et Népali. Ils jouent à ce genre de jeu où on pose des questions stupides et parfois dérangeantes et si on ne souhaite pas répondre, on a un gage. En l’occurrence, le gage était de devoir partager ses biscuits.

Sauraha

Ou presque. Le bus s’arrête et annonce qu’il faut changer. Ah ben, c’est que j’en savais rien, ça fait tout bizarre. Je demande quel bus je dois prendre mais là, personne ou presque ne parle anglais, et à ce moment là je n’avais aucune idée du nom exact de l’endroit où je devais me rendre. Ce sont justement les étudiants de tout à l’heure qui m’ont aidé. Il y a toujours quelqu’un pour t’aider, c’est fantastique.

Je récupère mon sac à dos et… et attends, on doit entrer là dedans ? Ce micro bus déjà plein à craquer ? Mais heu ça va pas être possible avec ce sac !

Bon en fait si. Tout le monde écrase tout le monde mais tout va bien.

À côté de moi, un autre touriste a l’air tout aussi paumé, sauf que lui n’a même pas de téléphone pour savoir où il met les pieds. Soit il est plus courageux, soit il a perdu son matériel en route. Je ne lui ai pas demandé car j’étais très occupé à zieuter la route à la recherche d’un panneau indiquant l’hôtel où je suis attendu.

Au fur et à mesure que le bus avance, encore une fois sur une route complètement défoncée, et là, bonus, boueuse, on voit de grand panneaux avec des noms d’hôtels.

Du coin de l’œil j’aperçois « Hotel West Wood », ma destination. Je demande au chauffeur de s’arrêter… trois fois et en hurlant car il a l’air un peu dur de la feuille, souhaite bonne chance au collègue touriste, sors du bus… j’ai dis sors du bus… nan mais les gens, je sais que je suis enquiquinant, mais va falloir me laisser passer sinon on va rester planté là pendant des heures.

Le groupe d’étudiants m’adressent un « Good bye » tous en cœur, je leur répond la même chose main levée et grand sourire de couillon heureux d’être au bon endroit.

Piouh ça y est. Il fait chaud, archi-chaud, et la seule chose que j’ai vu pour le moment ce sont des champs à perte de vue et une forêt au loin. Peu de temps après je comprendrai qu’il n’y a rien à faire, car c’est une zone touristique et qu’en dehors des activités programmées par l’hôtel, on est coincé. Je suis parti seul et à l’arrache pour précisément faire ce que je voulais et me voilà coincé dans un hôtel un peu trop chic, avec un confort dont j’aurais pu me passer et en plus dans un coin sans intérêt.

C’est tellement prémâché qu’on vient te chercher pour manger. Bon de toute façon, il fait faim. Une demi journée de bus sans manger sous peine de tout renvoyer, ça creuse.

Repas typique Népalais. Soupe de légumes avec un fromage local, un « Népali set » composé de riz et quelques coupelles de légumes cuits dans diverses épices, une salade de fruit et fromage blanc. C’était bien trop peu épicé pour être un plat typique. Des deux jours à Kathmandu à chaque repas, nez qui coule et yeux qui pleurent des larmes, et là rien. Coin à touriste. Horreur.

Les autres touristes présents font la gueule et ne relèvent même pas la tête pour dire bonjour quand on les croise. Ambiance.

Profitons de ce vide pour se reposer, envoyer quelques nouvelles sur Whatsapp et tenter d’extraire quelques photos de l’APN via le Wifi.

Au soir, on viendra me dire que la « danse culturelle », programmée, est annulée à cause du nouvel an, et qu’on fera ça demain. Soit. Mangeons alors !

Un des serveur viendra discuter un peu. Anjan, 21 ans, désirant se rendre en europe pour y vivre, sans savoir quoi y faire en pensant que la vie est facile. Je lui ai proposé de discuter de ça avec le patron d’un restaurateur à Lyon, Népalais, via Facebook. De temps en temps, les prestations ça a du bon :)

En gagnant 70$ par mois, rien que le billet d’avion va lui bouffer d’éventuelles économies, et après il faudra bien avoir un projet, sinon c’est retour à l’envoyeur.

Je lui demande s’il est possible de se balader dans le quartier la nuit, il me répond qu’avec les tigres présents dans les rues peu fréquentées c’est très dangereux. Et que de toute façon on ne me laisserait pas sortir à cause de ça.

Sauraha - 14 Avril

Programme du jour :

Canoé sur la rivière, crocodiles, oiseaux.
Marche dans la jungle, m’a-t-on dit qu’il serait possible de voir des tigres et rinhocéroces. Me dira-t-on plus tard qu’il est nécessaire de se terrer trois jours dans une cabane au fond de la jungle pour avoir une chance d’en voir. Arnaque.
Visite du centre d’élevage d’éléphants.
La douche des éléphants. Qui n’aura pas lieu car les éléphants ont servi pendant le nouvel an. Ça m’était sorti de la tête ça, le nouvel an !
Safari dans la jungle, en jeep.

Mais d’abord, surprise, le gardien rentre dans la chambre pendant que tu es à moitié à poil pour que tu te ramène prendre ton petit déjeuner !

Petit dej à base de curry de pommes de terre, œufs, fruits.

Le guide vient me chercher et on part en jeep rejoindre la verte. Il est tôt, le soleil est encore assez bas et masqué par une sorte de brume épaisse. On traverse des champs de maïs, des rizières. Sur le bord de la route, quelques maisons en bois se réveillent et les fours traditionnels en terre cuite chauffent. Vent frais et humide, c’est vraiment, vraiment très agréable.

La seule photo potable que j’ai pu prendre sur le trajet, malheureusement.

La balade en canoé se fera avec d’autres touristes, sur une embarcation en bois poussée par un perchiste, typique mais néanmoins modernisée : les joints sont fait au goudron. Malheureusement les touristes seront bruillants et feront fuir les oiseaux.

Tranquilles les crocodiles. Ils ne bougeront pas d’un millimètre.

La marche dans la jungle durera à peine deux heures et à part de la végétation, point de tigres ni de rhinos. Et en plus, j’ai mal au ventre. Ah non… je suis pas en train de tomber malade hein ?!

Balèses ces pivers.

Cette plante parasite s’enroule autour des arbres, toujours dans le même sens, et fini par étouffer son partenaire.

C’est le moment de dire bonjour aux éléphants ! On sort de la jungle pour rejoindre le camps d’élevage. Et… mais qu’est-ce que c’est que ce bricolage ?

Bon, malheureusement, c’est bien ce que j’imaginais : les éléphants sont enchaînés et font du sur place, balançant leur trompe d’avant en arrière pour accompagner leur pattes mimant une marche.

Seuls les éléphanteaux sont libres de se balader dans le parc. N’étants pas assez forts pour entraîner des dommages aux installations et au personnel et étants dépendants de leur mère, il n’y a aucun intérêt à les maintenir captifs.

Les femelles sont tenues captives afin de permettre aux mâles de la jungle de venir s’accoupler avec elles. Le succès n’est pas forcément au rendez-vous en terme de taux de fécondation, le stress induit par la captivité et la fatigue du travail des éléphants afin de transporter leur propre nourriture « en seraient probablement la cause », expliquent les panneaux de présentation du centre.

Un groupe d’étudiants (collège / lycée) voudra que je prenne quelques photos avec eux. Une attraction à moi tout seul ! L’appareil photo autour du coup joue pour beaucoup aussi, j’ai cru comprendre que pas mal de monde pense que je suis photographe. Pwahaha s’ils savaient le nombre de photos ratées !

Évidemment j’accepte, ça leur fait plaisir. Je leur ai demandé d’où ils arrivaient et ils étaient d’une petite ville dans le Terraï, à quelques dizaines de kilomètres d’ici. Petit voyage scolaire.

Mon guide est pressé par le fameux programme, j’abandonne mes étudiants sans même penser à les prendre en photo…

Sur le chemin à pied depuis la rivière passant à proximité du camps, des plantes dégagent une odeur particulière. « Marijuana » me dit le guide. D’après lui, beaucoup en profitent et en abusent. Les plants ne sont pas contrôlés ni détruits, ça pousse là et puis c’est tout.

Finalement, le safari en jeep sera lui aussi annulé. En fait, ça n’aurait rien changé car je suis tombé malade pour le restant de la journée : diarrhée violente et presque dangereuse vu la quantité d’eau perdue. Si ça vous arrive, demandez urgemment des sels de réhidratation (rehydratation salts) et des bouteilles d’eau. Mélangez les trois quarts d’un sachet pour 1L d’eau et tâchez de boire plus que ce que vous perdez.

Ça a continué toute la nuit, vomissements et compagnie… bref, pas cool. Fort heureusement le voyage vers Pokhara se sera bien passé et tout sera rentré dans l’ordre. Violent mais court, heureusement.

Au final, je pense que si vous voulez découvrir le Terraï il vaut mieux prendre son temps. Les animaux sauvages demandent de la patience et ce n’est pas en deux heures de marche dans la jungle, ou alors avec énormément de chance, qu’on peut espérer voir quelque chose. Prenez garde aux arnaques dans les agences donc.

Clairement, ce n’étaient pas les meilleurs jours du voyage…

Article suivant

Édition le 23/05/2017 afin d’adoucir un peu l’ambiance :) Merci TiTi pour la relecture ^^

Namasté Népal - #1

2017-05-14T19:11:00+02:00

Voyage du 11 Avril au 5 Mai 2017

Vingt-quatre jours au Népal, seul, avec un sac à dos trop lourd, un appareil photo, mon téléphone et une batterie externe pour seuls gadgets électroniques, et aucune idée de ce que qu’il se passera ni de où j’irai vraiment.

Je prévois de découper le voyage en plusieurs articles, d’habord pour raconter les différentes étapes principales du voyage, au nombre de 5/6, et éventuellement un article supplémentaire, une sorte de conclusion sur l’ensemble du voyage.

Un total de 6 à 7 articles à venir. L’ensemble sera écrit après mon retour, je me suis contenté de prendre des notes sur un carnet durant le voyage.

Au sujet du contenu des articles, ça comprendra la quasi totalité de ce que j’ai pu vivre et voir, y compris des détails qui pourraient paraître insignifiants, mais qui pour moi sur place, étaient significatifs. Veuillez également excuser l’orthographe approximative… et le français approximatif en général.

Et comme je suis toujours utilisateur de GNU/Linux, les quelques images DNG (format standard RAW) ont été converties en JPEG grâce à dcraw et ImageMagick, voyez plutôt :

#!/bin/sh
for i in $(find . -name "*.DNG"); do
    imgname=$(echo $i | sed -re 's/(.*IMGP[0-9]+).DNG$/\1/g')
    jpg=${imgname}.JPG
    if [ ! -f $jpg ]; then
        dcraw -w -T $i && convert -quality 90 ${imgname}.tiff ${imgname}.jpeg && rm -f ${imgname}.tiff
    fi
done

for i in $(find . -name "*.jpeg" -or -name "*.JPG"); do
    convert $i -resize 30% $i.small.jpeg
done

for i in $(find . -name "*.small.jpeg"); do
    imgname=$(echo $i | sed -r 's/(.*)(\.jpeg|\.JPG)\.small\.jpeg$/\1.jpeg/g')
    mv $i $imgname
done

Enfin, n’hésitez pas à me poser des questions en commentaire, c’est fait pour ça ! Et peut-être que ça alimentera l’article final, car il se peut que ça soit intéressant :)

Départ - 10 Avril

Ben ou pas, déjà ! J’ai raté l’avion. Tant pis, j’en reprends un autre, avec onze heures d’attente à Bombay. Fantastique…

En survolant Bombay (Mumbai), on void déjà des bidonvilles partout, amassés entre de plus grands bâtiments, qui n’ont de toute façon pas l’air plus en forme que ces bidonvilles.

L’aéroport est entouré de bidonvilles. Premier choc.

On attend onze heures et puis, de bon matin, on décolle pour Kathmandu. Trois petites heures d’avion seulement.

Kathmandu - 11 Avril

« Mais qu’est-ce que je vais faire ici ? Qu’est-ce qu’il m’a pris de venir ici ! »

Et puis je me souviens que je voulais aller en Asie depuis quelques années, déranger mon petit confort et changer d’air.

Pour le coup, l’air a bien changé ! Je me fait tout juste embarquer par un taxis que je découvre l’air local : poussiéreux, pollué à l’essence plombée, s’engouffrant dans les rues défoncées et nues de la ville.

Les routes ont subi le tremblement de terre de 2015 : celles qui étaient faites de macadam sont coupées en deux et les crevasses remplies avec de la terre. Mais ça c’était un grand axe, les routes menant au plus près des habitations sont en terre.

Ça pique le nez et on a une furieuse envie de cracher cette glaire qui deviendra bientôt l’embryon d’une sculpture en terre cuite. Les Népalais le font, tout le temps.

C’est fascinnant de se dire qu’on a respiré de la poussière chargée par tous les crachats de la ville. Ça fait les défenses naturelles…

Le taxi m’enmène au centre ville après être passé par l’hôtel où je logerai pour quelques nuits.

On finit donc par arriver au centre, « here is the Thamel » qu’il me dit. Boutiques à touristes, vêtements de trekking sans marque et apparemment contrefaits, selon le taximan. Les rues sont vraiment très serrées, le taxi s’y enfonce, franchement on aurait pu continuer à pied plutôt que d’encombrer le passage.

Le taxi travaillait avec une agence de trekking, et c’est pour ça qu’on est allé au centre ville. C’était clairement affiché dès le début, pas de souci pour ça. Discussion d’une grosse heure avec le gars de l’agence, et c’est parti pour onze jours organisés : parc national de Chitwan, Pokhara (quatre jours où je fais comme bon me semble) puis un trek de huit jours dans la vallée de Langtang. Départ le 13 Avril.

Je me fais déposer à l’hôtel, « Dormitory Nepal » si un jour vous comptez y aller. C’est peu cher (5$ la nuit dans le dortoire) et très bien entretenu. Le seul problème c’est qu’il ne faut pas avoir peur de marcher pour rejoindre le centre : cinquante minutes. Comme j’avais prévu de me perdre dans la ville, et donc passer bien plus d’une heure sur les trajets, ça ne me posait pas de problème.

Le temps de regarder un peu la carte de la ville sur Maps.ME (openstreetmap sous le capot), et zou on va chercher à bouffer. Le repas dans l’avion était suffisant mais à 17h y fait déjà faim.

Je marche donc. Autour de l’hôtel il y a principalement de grandes maisons individuelles, fermées par des portails, ou de petits appartements à trois, quatre étages maximum, dont on devine les pièces petites et carrées. C’est très calme et ça semble être une zone assez riche de la ville. Ce qui n’empêche pas les routes d’être en terre !

Je rejoins le même grand axe de tout à l’heure, mais en sens inverse, pour y trouver un restaurant. Il y en a partout, et de différents types. De gros restaurants aseptisés destinés aux touristes, voire touristes fortunés, juste à côtés de petites canfouines, parfois sans vitres, tout ça au bort de la route générant son nuage de poussière.

Les trottoirs sont hauts et ravagés, mieux vaut regarder où on met les pieds. La circulation est dense et pour traverser, pas de passage piétons ou pas vraiment. Il vaudra mieux attendre une accalmie et traverser gentillement, en n’hésitant pas à s’arrêter en plein milieu de la route pour laisser passer une rafale, avant de continuer. Il faut rester vigilant, les piétons ne semblent pas avoir la priorité.

Sur le chemin, un type est en train de refaire l’appentis de son restaurant. Un bout de tôle pliée, qui a manifestement subit un quelconque sévice, auquel était suspendu un gamin afin de maintenir le tout proche d’une poutre en bois, pendant que le père / frère / quelqu’un était en train de marteler sur de gros clous.

Je trouve une boutique, ça vend des momos, sortes de ravioles en boule fourrées avec divers ingrédients : mélange de légumes épicés ou viande. En l’occurrence, mauvaise pioche, c’était pas très bon et à croire que ça a été mélangé avec du sable. Ah ben c’est ça aussi, on veut faire le malin en bouffant local, et voilà ce qui arrive quand on ne connaît pas !

Le resto était une simple pièce carrée, avec deux planches fixées au mur en guise de table, et des tabourets tressés pour se reposer sur son arrière train. Mes genoux touchent la table.

Derrière la seule vitre du petit restaurant, une sorte d’énorme cocotte-minute renferme les momos, cuits à la vapeur. Je n’ai jamais vraiment pensé à faire de belle photo des ustensiles, honte à moi.

Ce n’est pas ce resto là, je n’ai pas pris de photo du vrai, mais ça ressemblait à ça, une vitre en moins.

On me sert donc une assiette, une cuillère, une sauce qui arrache la langue, les gencives et les dents avec, et une bouteille d’eau dont je ne connais pas la provenance, et n’y ai donc pas touché. Dans mon guide papier, il est bien dit qu’il ne faut surtout pas boire autre chose que de l’eau en bouteille, sous scellé (un ruban de plastique autour du bouchon jusqu’à la base du goulot) : il n’y a pas d’eau courante sauf à quelques endroits publiquement accessibles et cette eau là est contaminée par divers germes et métaux lourds.

Aller hop, on se rentre à l’hôtel, la nuit est tombée. Je manque de me faire renverser par une moto dont le phare n’était pas allumé. Et ce fou furieux m’a hurlé dessus une fois passé derrière moi.

Avant de se coucher, vu qu’on se sent comme recouvert d’une épaisse couche de crasse, on commence par prendre une douche, mais avant de prendre la douche, on s’adapte : la salle de bain comprend un lavabo, un toilette, un robinet, un pomeau fixe et une évacuation d’eau dans un coin de la pièce, le tout sans aucune espèce de petite cloison ni rideau. Donc déjà, si on ne veut pas innonder ses fringues posées sur le bord du lavabo (à défaut de crochet, paix à son âme), on va prendre sa douche en se contortionnant comme un vers sous le robinet se trouvant à un mètre du sol. Et puis ensuite on découvre que l’eau chaude est un luxe, donc on se grouille parce que c’est froid ! Enfin ça va, on est dans la vallée, la journée il fait chaud. Vous allez voir, lors du quatrième article, que c’est très différent en montagne !

Je mets ma grosse batterie externe en charge, de crainte de manquer d’électricité un jour ou l’autre. Les hôtels sont pourvus de batteries afin de contourner les phases où l’électricité est coupée, mais on ne sait jamais.

S’endormir est un peu difficile, la poussière est présente absolument partout et râcle les voies respiratoires. En plus, des chients aboient. Beaucoup. En fait, dans les rues il y a des chiens errants, et la nuit, ils se parlent. J’ai pensé à prendre des bouchons d’oreille, j’ai bien fais. Mission impossible sinon !

Je suis seul dans le dortoire, pratique.

Kathmandu - 12 Avril

baille

s’étire

ouvre les yeux, il fait jour.

quelle heure est-il ?

CINQ HEURES ET DEMI ????? Ah nan… dodo là…

À 5h30 environ, il fait jour et toute la ville est debout, les chiens on arrêtés de hurler à la mort et la poussière vous caresse délicatement, mais sûrement, le museau.

Petit dej à base de pommes de terre, œufs et un jus de fruit, et zou dans la ville, direction le centre, Thamel. Les mêmes scènes qu’hier se déroulent sous mes yeux : poussière, trafic encombré, chiens errants, petites boutiques vendant tout un tas de conneries à bouffer (chips, sodas…) mais surtout des bouteilles d’eau. « Namasté » les mains jointes et un sourire immédiat apparaît. On demande sa bouteille d’eau à 20 roupies, et on repart. Il y a des bâtiments lézardés, voire abandonnés pour certains tellement ils sont habimés. Les bâtiments sont en brique ou en béton, d’ailleurs en survolant KTM on voit énormément de fabriques de briques. Le béton, c’est pour plus tard. Le réseau électrique aussi est dans un état franchement catastrophique. La plupart des potaux portent des fils coupés trainant sur le sol, quand d’autres servent de « routeurs ».

D’ailleurs, rares sont les petites boutiques à avoir de l’électricité, et ce même la nuit. La plupart est plongée dans le noir. Il n’y a que les boutiques à touristes qui sont éclairées.

Bref, je me promène, de « stupa » en stupa.

On me propose de la marijuana, d’acheter des bonnets, des tshirts, des taxis… bref, je suis un touriste et ça se voit. Quand un bonhomme d’une vingtaine d’année me tombe dessus et me propose de me faire visiter la ville. Un peu naïf, j’accepte son aide avant de vite comprendre que ce ne sera pas gratuit. Pourquoi pas après tout, du moment qu’il ne me raconte pas des salades. Il était habillé avec une polaire noire, par temps de plein soleil. Un peu plus tard je découvrirai que c’est bel et bien sa seule fringue disponible. Imaginez-vous une seconde n’avoir tellement rien en revenus que vous ne pourrez porter qu’un seul vêtement toute l’année.

Du coup on fait un tour dans la ville pendant trois bonnes heures, à différents endroits. Le mélange de temples boudhistes et hindous, d’architecture Newar et médiévale coincée entre des bâtiments de brique est atypique.

Quand on marche autour de ces temples, il faut impérativement tourner dans le sens horaire afin de ne pas s’attirer d’ennuis. Quand on sait qu’il y a des temples en plein milieu des routes, on est tenté de croire que c’est la raison pour laquelle tout le monde roule à gauche ! Une autre hypothèse serait que la présence des britanniques au Népal par le passé a pu influencer le pays.

Quelques rares maisons ont encore une allure médiévale. Elles ont bien souffert.

Ça, c’est un petit temple dédié aux dents. Selon mon guide improvisé, Sanjay, les gens venaient ici clouer une pièce en espérant que cela les soigne de leurs maux de dents mais « quand les gens s’aperçoivent que ça ne fonctionne pas, ils vont voir les vrais dentistes, qui sont tous dans la rue juste en face ! » me dit-il avec un sourir un peu moqueur.

Un autre temple, avec des boutiques de poteries tout autour.

Pour faire une photo sans un panneau publicitaire, c’est difficile… entre ça, les fils électriques et la circulation, on est pas rendu !

Une petite ruelle dédiée à ces dames.

Oui oui je sais, la photo est bancale.

On prend un taxi pour aller voir le plus gros stupa bouddhiste de la ville, dont j’ai eu la bonne idée d’oublier le nom. L’entrée est payante, 250 roupies pour les étrangers et quelque chose comme 30 pour les locaux.

Ganesh, divinité Hindou, est un peu partout dans les maisons mais aussi dans les cabines des bus et camions. Je suppose qu’ils en sentent le besoin, vu le chaos qui règne sur la route : on déboite sans regarder ce qu’il se passe derrière, ni vraiment devant en fait, on se double en forçant le doublé à freiner si quelqu’un arrive en face, ça freine, ça reprend… et les accidents arrivent !

On finit quand même par arriver au stupa, et en un seul morceau :p

On fera tourner cette roue dans le sens horaire en prononçant le mantra « Om mani padme hum », pour s’attirer la bonne chance.

J’ai bien plus de photos, mais le volume de 2.5GB fait qu’il sera impossible de tout uploader.

Sanjay me propose de venir chez lui prendre le thé. À vrai dire je me doute un peu que ça ne sera pas que pour prendre le thé, car au cours de la visite il m’a raconté que depuis la mort de son père, enseveli sous sa propre maison pendant le tremblement de terre, il n’avait plus de revenus suffisants. La mère mendie, sa sœur ne peut pas aller à l’école (~200$ / an, sans compter le matériel et l’uniforme, ce qui est énorme pour eux) et lui ne peut plus y aller. Étudiant en histoire de l’art, il s’improvise guide, avec le risque de finir en prison car il est interdit d’exercer sans une licence.

Évidemment, je ne m’attendais pas à une situation reluisante. L’endroit pue, est envahi par les mouches (qu’on ne voit pas sur la photo), et j’ai eu la bonne surprise de voir une puce grimper sur mon sac à dos. Heureusement pas de piqûre ni d’infestation. Une pompe est disponible pour ce bout de "quartier" pour obtenir de l’eau, polluée sans aucun doute.

Ensuite, j’ai eu droit à un sketch où ce fameux Sanjay m’a, pour faire simple, demandé 200$ afin de lui acheter une « boîte » pour cirer et réparer les chaussures. Un peu plus tard, je comprendrai qu’il s’agissait d’une arnaque totale. Je lui ai laissé de l’argent pour la visite, et un peu plus, mais certainement pas 200$.

Bref, je repars, me perds dans les hauts de la ville.

Oui oui, c’est bien de la viande derrière ce simple grillage à l’air libre ! Mais il y a pire. J’ai vu de la viande directement accessible, ou couverte sous un linge. Les mouches sont omniprésentes dans ces cas là.

Je passe par la rivière Bagmati, puante et dégueulasse.

De la poussière, toujours et encore.

Les camions de transport au Népal, c’est quelque chose ! Ils sont tous comme ça, décorés de partout et avec des klaxons dignes d’une fanfare ! Certains ont également de la ferronnerie tout le tour de la benne.

Une école, avec une phrase écrite au dessus de chaque salle de classe.

Je finirai la marche par tomber sur une petite famille et quelques amis (à eux évidemment) m’ayant invité à boire un coup. Un alcool blanc, trouble, au goût de Saké. J’étais à quelques minutes de l’hotel, il commençait à faire nuit, quand j’entends un timide « Hello ! » derrière moi. Je me fais violence, me retourne et tente de discuter avec le gaillard, celui tout à gauche sur la photo.

Ils m’ont également proposé de dormir ici, mais avec le bordel que serait le lendemain, il était plus sage de rentrer meuson. À la lampe torche, vu que le quartier était complètment plongé dans le noir !

Article suivant

Les tags de dnsmasq + teaser

2017-03-27T15:18:00+02:00

Le sujet du jour : balancer des options DHCP à une machine particulière, via son adresse MAC.

/etc/dnsmasq.conf :

domain=local
dhcp-host=52:54:00:06:b7:53,set:untag,dahostname
dhcp-option=tag:untag,12,dahostname

$ host dahostname.local
dahostname.local has address 10.253.1.186

L’option 12 envoie un nom de machine au client DHCP, qui devra le positionner sur la machine cliente. En tout cas ça fonctionne avec dhclient. Achtuce : s’il n’y a pas de route par défaut présente, le client ne positionnera pas le nom de la machine. Pas trouvé pourquoi.

Windows 7/2008, Samba 3, Updates

2016-11-07T19:00:00+01:00

Des machines Windows 7 et 2008 R2 n’arrivent pas à se connecter à un partage de fichier, alors que d’autres machines sous les mêmes OS et le même réseau le peuvent.

Dans les logs Samba, on pouvait voir Connection reset by peer et Server exit (failed to receive smb request), alors qu’une connexion réussie ne retourne jamais ce genre d’erreur.

Pas de résolution en mettant à jour vers la dernière version de Samba 3.5, et pas plus en 3.6. Je n’ai pas pu tester Samba 4 car il était impossible de l’intégrer chez le client.

Donc, après avoir épluché :

les logs
les firewall
les jointures au domaine
les éventuels problèmes d’authentification et être allé jusqu’à la page 2 de Google…

…il apparaît que certaines MAJ de Windows sont en cause : en prenant un PC pas à jour, qui arrive à monter le partage, après mise à jour, plus rien ne fonctionne.

Sauf que trouver et supprimer les MAJ ne résoud rien. Modifier certaines clefs de registre (je ne sais plus lesquelles) ne résoud rien non plus.

J’ai en revanche trouvé l’option samba qui permet de remettre les choses en fonctionnement, en parcourant la doc de Samba 3 de haut en bas :

[global]
    server signing = auto

En passant cette option à disabled, je reproduis mon impossibilité d’accès au partage, et ce même après reboot des clients entre chaque changement de l’option —jouuur, nuit, jouuur, nuit, jouuur, nuit—.

Tips

Un petit truc qui m’a permit de récupérer facilement les informations sur les MAJ windows des machines :

Get-WmiObject -Class "win32_quickfixengineering" | Select-Object -Property "Description", "HotfixID", @{Name="InstalledOn"; Expression={([DateTime]($_.InstalledOn)).ToLocalTime()}}

Puis :

for i in $(cat hotfixes | sed -rn 's/.*KB([0-9]+).*/\1/gp'); do chromium "https://support.microsoft.com/en-us/kb/$i" ; read ; done

Ensuite jouez du clavier… je n’ai pas poussé l’automatisation, mais ça fait déjà gagner un temps certain.

ArchLinux - Kernel custom

2016-10-05T10:59:00+02:00

C’est pas nouveau, le kernel d’ArchLinux est géré d’une manière foireuse et certaines options ne sont pas présentes pour des raisons… mouais, bon.

Pour ma part, j’ai besoin du framework AUDIT, qui n’est pas compilé pour une raison que je trouve un peu légère.

En plus de ça, je pourrai passer d’un kernel PREEMPT à un kernel SMP classique car le module de la carte Wifi broadcom ne supporte que ce mode. Avec PREEMPT, on se retrouve à avoir des freeze du scheduler…

Mais bon peu importe : ce n’est pas compliqué de construire un kernel maison et packagé en prime !

Go

pacman -S abs
abs
cp -ar /var/abs/core/linux /tmp/ # je build dans /tmp car j’ai de la RAM
cd /tmp/linux/

makepkg --skippgpcheck -o # telechargement + extraction des sources

sed -i PKGBUILD -e 's/^pkgbase=linux/pkgbase=linux-custom/' # changer le nom parce ce qu'on veut

cd src/linux-4.7

make menuconfig # ou cp de sa configuration...

cd ../..
makepkg -e
pacman -U linux-custom-*.pkg.tar*

Ensuite on est prêt pour mettre à jour GRUB, évidemment :

grub-mkconfig -o /boot/grub/grub.cfg

Les modules gérés par DKMS seront pris en charge avec ce nouveau kernel.

Linux Kernel Network Namespaces et dnsmasq

2016-09-20T16:58:00+02:00

Modification du 28/06/2017 : utilisation de la fonctionnalité intégrée pour la gestion du resolv.conf

Bien souvent, nos clients nous mettent à disposition des VPN pour pouvoir les aider à distance pour les cas de support.

Parmis ces VPN, on a Juniper Network Connect, qui touche aux routes et ne permet pas de les modifier (il les remet comme il le souhaite).

Du coup aujourd’hui je suis obligé de passer par une VM/conteneur. C’est peu pratique, mais on va voir comment s’en sortir avec les namespaces réseau et dnsmasq.

Network Namespaces

Un article très intéressant détail ce que sont les namespaces, et je vous en recommande la lecture avant de lire la suite ici. Car en bonne feignasse... voilà.

En gros :

With network namespaces, you can have different
and separate instances of network interfaces and
routing tables that operate independent of each other.

Un peu de théorie

L’objectif est d’avoir un environnement réseau indépendant du reste du système, pour que la connexion VPN puisse y vivre sa vie, sans venir m’enquiquiner sur le reste de mes connexions.

Pour y arriver, j’ai choisi d’utiliser une configuration natée (le VPN est ipv4 uniquement) avec une interface virtuelle qui servira de pont entre mon interface physique et l’interface du namespace.

Mise en place du namespace

Création du namespace :

ip netns add juniper

Mais où sont passées nos interfaces ! ;-)

ip netns exec juniper ip l
ip netns exec juniper iptables -nL

On créer une paire d’interfaces :

jun1 : interface dédiée au namespace
jun0 : pont entre le lien physique (eth0) et l’interface du namespace (jun1)

ip link add jun0 type veth peer name jun1

On migre jun1 dans le namespace :

ip link set jun1 netns juniper
ip netns exec juniper ip l # Oooooh !

On configure le réseau comme on le ferait avec n’importe quel système. Note : j’utilise ip mais on pourrait utiliser ifconfig...

ip netns exec juniper ip a add 10.252.0.1/24 dev jun1
ip netns exec juniper ip l set jun1 up
ip netns exec juniper ip r add default via 10.252.0.254 dev jun1

On positionne jun0 comme passerelle :

ip a add 10.252.0.254/24 dev jun0
ip l set jun0 up
iptables -t nat -A POSTROUTING -s 10.252.0.0/24 ! -d 10.253.0.0/24 -j MASQUERADE

Voilà, notre namespace réseau juniper est configuré et actif. Maintenant on va pouvoir lancer notre VPN dans ce namespace :

ip netns exec juniper openconnect --juniper <endpoint>

Une histoire de résolution

Nouvelle version

Merci à Schnouki de m’avoir notifié de cette fonctionnalité, bien, bien plus simple :

mkdir -p /etc/netns/juniper
touch /etc/netns/juniper/resolv.conf

juniper est à remplacer par le nom de votre namespace évidemment :)

Et voilà c’est fini !

Vieille version

Le problème avec ce VPN, c’est le fichier /etc/resolv.conf qui sera écrasé par openconnect. Hé oui, on a isolé le réseau, mais rien de plus. Donc on va toujours pouvoir faire ping 8.8.8.8, mais par contre pour la résolution... ça va être compliqué.

Ou pas : avec dnsmasq, on peut faire ce qu’on veut !

Du coup, comme /etc/resolv.conf est partagé pour tous les namespaces… mais que chaque namespace dispose de sa propre pile réseau… on va pouvoir lancer un dnsmasq sur le système hôte, et un autre dans le namespace : chacun écoutera sur le port 53 de son namespace, et n’entrera pas en conflict avec son voisin !

Le but du jeu, c’est que le dnsmasq du namespace fasse les résolutions DNS pour ce qui concerne notre VPN, et l’autre fasse les résolutions habituelles.

En imaginant que mon VPN me donne accès à un réseau 10.0.0.0/8, que le serveur DNS "du VPN" soit 10.9.8.253 et que le domaine soit domaine.prive :

/etc/dnsmasq.conf

server=/domaine.prive/10.9.8.253

/etc/resolv.conf :

nameserver 127.0.0.1
nameserver <votre DNS public favoris>

Avec cette conf, dnsmasq va tout seul comprendre qu’il faudra forwarder les requêtes auxquels il ne peut répondre aux autres serveurs DNS configurés (resolv.conf), mais va en revanche contacter les serveurs DNS pour les domaines précisés, ici domaine.prive.

Une fois qu’on a fait ça, on démarre dnsmasq sur notre "hôte", et dans le namespace :

# on se met bien dans notre namespace
ip netns exec juniper /bin/bash
ip a add 127.0.0.1/8 dev lo
ip l set lo up
dnsmasq -d

On pourra même se targuer d’un chattr +i /etc/resolv.conf pour que personne ne vienne casser la conf. Et là, on est royal :

ip netns exec juniper su - wrk -c "export DISPLAY=:0; firefox"

Notre firefox est lancé dans un namespace réseau, donc il est dans le VPN juniper, pendant que le reste de notre système vit sa vie.

Un petit schéma peut-être ?

ActiveSync avec Z-Push, le mail

2016-08-13T21:33:00+02:00

Z-Push est une implémentation en PHP du protocol ActiveSync de Microsoft. Il permet de synchroniser ses mails, calendriers et contacts. Pour l’instant je ne couvrirai que le mail, le calendrier viendra plus tard éventuellement.

Le guide d’installation est assez spartiate.

Comme d’hab, je fais mes install sur CentOS 7 et avec PHP-FPM.

PHP

Déjà, installez PHP 5.6. Ça ne fonctionnera pas du tout avec PHP 7, pour le moment en tout cas. J’ai testé, laissez tomber l’idée. À moins d’avoir du temps pour dev, mais si eux n’ont pas encore sorti une version "PHP 7 proof", c’est que ça n’est sans doute pas si simple.

https://webtatic.com/packages/php56/

IMAP et SMTP

Avoir un serveur IMAP et SMTP disponible et déjà configuré.

Normalement ces deux bouzins là sont assez connus pour qu’Internet soit truffé de tutos…

Paquets

Les paquets ne sont pas signés malheureusement :/

/etc/yum.repos.d/z-push.repo

[z-push]
name=Z-Push noarch Enterprise Linux 7 - $basearch
baseurl=http://repo.z-hub.io/z-push:/final/RHEL_7
failovermethod=priority
enabled=1
gpgcheck=0

yum makecache
yum install z-push-common z-push-backend-imap z-push-ipc-sharedmemory

On pourra utiliser z-push-ipc-memcached à la place de sharedmemory.

Nginx et PHP-FPM

/etc/nginx/conf.d/peterschmitt.fr.conf

server {
    server_name peterschmitt.fr;

    location /Microsoft-Server-ActiveSync {
        fastcgi_split_path_info ^(.+?\.php)(/.*)$;

        include fastcgi_params_z-push;
        fastcgi_param SCRIPT_FILENAME /usr/share/z-push/index.php;
        fastcgi_param DOCUMENT_ROOT /usr/share/z-push/;
        fastcgi_pass unix:/srv/php-fpm/socks/z-push;
    }
}

La configuration automatique tente de joindre le domaine de l’adresse mail à configurer, sur la location détaillée ici.

J’ai récupéré cette information depuis la configuration Apache de Z-Push.

/etc/php-fpm.d/z-push.conf

[z-push]
access.log = access.log
listen = /srv/php-fpm/socks/z-push
listen.owner = nginx
listen.group = nginx
listen.mode = 0660

user = z-push
group = z-push

pm = dynamic
pm.max_children = 50
pm.start_servers = 5
pm.min_spare_servers = 5
pm.max_spare_servers = 35

slowlog = www-slow.log

chdir = /usr/share/z-push

catch_workers_output = yes

php_flag[display_errors] = on
php_admin_value[error_log] = php-error.log
php_admin_flag[log_errors] = on

php_value[session.save_handler] = files
php_value[session.save_path] = /session

Système

Les paquets sont configurés pour l’utilisateur apache, car il existe un paquet embarquant de la conf Apache. On adapte tout ça :

useradd z-push
chgrp z-push /etc/z-push/*
chown -R z-push:z-push /var/log/z-push/
chown -R z-push:z-push /var/lib/z-push/
systemctl restart php-fpm
systemctl restart nginx

Configuration

Faire in tour dans /etc/z-push/imap.conf.php et adapter les dossiers IMAP en fonction de ce qui est actif sur le serveur IMAP, puis passer la define IMAP_FOLDER_CONFIGURED à true.

Configurez-y aussi la connexion au serveur IMAP.

Pour SMTP, cherchez la variable $imap_smtp_params. Le fichier de configuration est très bien documenté, l’idéal étant une configuration du type :

<?php
$imap_smtp_params = array(
    'host' => 'ssl://smtp.peterschmitt.fr',
    'port' => 465,
    'auth' => true,
    'localhost' => 'smtp.peterschmitt.fr',
    'username' => 'imap_username',
    'password' => 'imap_password');

Test

Accéder à http://localhost/Microsoft-Server-ActiveSync et tester l’authentification.

Si déjà ça a fonctionné, vous pouvez passer à la suite, à savoir configurer un client mail voulant causer ActiveSync, comme un client mail mobile par exemple.

Enfin, testez l’envoi de mail en scrutant les logs de votre serveur mail.

Let's Encrypt, Certbot et Naemon

2016-08-11T13:01:00+02:00

Ou comment automatiser le renouvellement des certificats avec la supervision.

Naemon est simple donc pour mon petit serveur, pourquoi pas.

En fait peu importe la méthode de supervision : il s’agit en fait de déclencher la génération des certificats en peu en avance, sur détection de l’expiration.

Alors, oui, je sais qu’on peut simplement demander à Certbot de mettre à jour et il va se débrouiller pour savoir si le certificat est sur le point d’expirer. Mais autant les graphes c’est cool, et je m’en fiche, autant un truc qui ne va se mettre en route que quand il y en a vraiment besoin, c’est d’autant plus cool =D

Principe

On met de la sup sur son certificat. Chez moi la vérification passe par un plugin qui check directement le service, ici un nginx
On configure un event handler sur cette sup
L’event handler va lancer certbot, via sudo et relancer les services qui ont besoin de prendre en compte les nouveaux certificats

Conf

/etc/sudoers.d/naemon

Defaults    !requiretty
naemon      ALL=(ALL) NOPASSWD: /opt/cert-renew.sh

/etc/naemon/conf.d/sup.cfg

define command {
  command_name          evth_sudo_cert_renew
  command_line          /opt/evth-cert-renew.sh $SERVICESTATE$
}

define service {
  name                  certbot-domain
  use                   generic-service
  max_check_attempts    1
  check_interval        720 ; conformement a la doc certbot, on check toutes les 12 heures
  event_handler_enabled 1
  event_handler         evth_sudo_cert_renew
  register              0
}

define service {
  service_description   Web: https://peterschmitt.fr
  host_name             localhost
  use                   local-service
  check_command         check_http!-u / -H peterschmitt.fr -S -e 403
}

define service {
  service_description   x509: peterschmitt.fr
  host_name             localhost
  use                   certbot-domain
  check_command         check_ssl_expiry!peterschmitt.fr -p 443 -c 3 -w 4 ; la commande qui vous plaira pour la verif des certificats
}

define servicedependency {
  host_name                     localhost
  service_description           Web: https://peterschmitt.fr

  dependent_host_name           localhost
  dependent_service_description x509: peterschmitt.fr

  execution_failure_criteria    p,w,c,u
}

Scripts

/opt/evth-cert-renew.sh

#!/bin/sh
#echo "evth $0: args: $*" >> /tmp/evth
case "$1" in
    CRITICAL)
        #echo "evth $0: cert-renew.sh" >> /tmp/evth
        sudo /opt/cert-renew.sh 2>&1 >> /tmp/evth
        #echo "evth $0: rcode: $?" >> /tmp/evth
        ;;
esac
exit 0

/opt/cert-renew.sh

#!/bin/sh
certbot renew --force-renewal
cat /etc/letsencrypt/live/peterschmitt.fr/privkey.pem > /etc/nginx/ssl/peterschmitt.fr.key.pem
cat /etc/letsencrypt/live/peterschmitt.fr/fullchain.pem > /etc/nginx/ssl/peterschmitt.fr.crt.pem
systemctl restart nginx

Pour les tests on pourra ajouter --dry-run à la commande certbot renew pour, il me semble, éviter de consommer le nombre max d’essais par jour.

Améliorations possibles

Ici, dès la première erreur, on lance la génération et ça sera seulement au prochain check qu’on saura si tout va bien.

On pourrait plutôt mettre deux retry, se servir de l’état SOFT pour déclencher le renouvellement, et si lors du prochain check on passe en HARD, ce qui veut dire que le renouvellement a échoué, on envoie une notification.

Pour faire ça il faudra se servir de la macro $SERVICESTATETYPE$ dans le script de l’event handler.

Vieux Centreon et réplica MySQL/MariaDB : objectif MAJ

2016-08-05T11:22:00+02:00

Il sera question ici de la migration d’un vieux Centreon tout moisi, fonctionnant avec du Nagios et NDOUtils, vers un Centreon 2.7.6, un peu mieux, avec du Centreon Engine et Centreon Broker.

Je ne vais pas détailler le processus de MAJ de Centreon, ni son installation, la documentation de Centreon se suffit à elle-même, et je vais aussi partir du principe que vous connaissez les fichiers de configuration de Centreon, ainsi que les merdouilles liées au processus d’upgrade (modifier les fichiers de migration SQL à la main, tout ça...).

Ici on va parler réplication MySQL / MariaDB et reprise de service en douceur.

État des lieux

CentOS 6.x x86_64
Base de données MySQL 5.1
Centreon 2.3.3 installé avec les sources
Nagios 3.x + NDOUtils compatible avec Centreon
5 pollers dont un local (sur la machine BDD + Web)

Objectif et étapes

L’objectif est de migrer la totalité des composants vers des outils 100% made in Centreon, et avec le moins de temps de coupure possible, et le must, sans faire de trous dans les graphes \o/

CentOS 6.x x86_64
Base de donnée MariaDB 5.5 packagée par CES (Centreon)
Centreon 2.7.6 installé par les paquets
Centreon Broker Daemon, ou cbd, remplace ndo2db
Centreon Engine + Centreon Broker Module, remplace Nagios et ndomod
Réinstallation de l’instance BDD + Web sur une autre machine, ainsi que son poller local
Installation de Centreon Engine en parallèlle des Nagios.

La ré-installation de la BDD + Web sur une autre machine est en fait facultative, ici c’était parce que le client avec des thunes à mettre dans une grosse machines avec des gros SSD dégoulinants d’amour tout plein.

Aussi, pour passer facilement de Nagios à Centreon Engine, on va devoir utiliser temporairement la version 2.6.6 de Centreon, qui est la dernière version à prendre en charge Nagios et NDO. Au delà, le support est largué au profit de Centreon* uniquement.

Réplication de la BDD

La première étape, c’est de répliquer tranquillement les données en base. Centreon fonctionne quasi exclusivement avec sa BDD MySQL. On s’assure ainsi un dump complet de la base, et une récupération de l’état courant sans jamais oublier personne en chemin.

Note : même si on peut voir des modules InfluxDB apparaître pour Centreon-Broker, je ne l’ai pas testé (et Centreon n’étant pas une techno qui m’intéresse particulièrement, j’ai pas trop envie de m’y coller) et de toute façon le client n’aurait pas forcément souhaité installer grafana en plus.

Configuration

Déjà, il vous faut, de préférence, une base MySQL identique à la première : même configuration et même version.

Ensuite, on va configurer comme suit notre MySQL "master", qui est la base qui contient présentement les données :

[mysqld]
net_write_timeout = 3600
max_allowed_packet = 1G
log-bin=mysqld-log-bin
server_id=1
open-files-limit = 32000
binlog_format=MIXED

Et sur notre MySQL "slave", qui ne contient rien du tout pour le moment :

[mysqld]
relay-log=mysqld-log-relay
net_write_timeout = 3600
max_allowed_packet = 1G
server_id=2
read-only
open-files-limit = 32000
slave-skip-errors = 1062

Pour la réplication, un utilisateur dédié est nécessaire. Le/les slave(s) vont se connecter au master via cet utilisateur.

Création sur le master :

create user 'replication_user'@'%' identified by 'the_super_password';
grant replication slave on *.* to replication_user;
flush privileges;

Enfin il ne coûte rien de vérifier que nos MySQL vont pouvoir causer entre eux :

$ mysql
MariaDB [(none)]> show variables like 'skip_networking';
+-----------------+-------+
| Variable_name   | Value |
+-----------------+-------+
| skip_networking | OFF   |
+-----------------+-------+
1 row in set (0.00 sec)


$ netstat -laputen|grep 3306
tcp        0      0 0.0.0.0:3306                0.0.0.0:\*                   LISTEN

Et là on peut redémarrer nos deux MySQL pour prendre en compte la configuration.

service mysqld restart

Initialisation

Cette étape consiste à charger un gros dump en live dans notre slave, pour ensuite lui dire de rejouer les binlog à partir d’un certain point.

Attention : il vous faut impérativement vérifier l’espace disque disponible sur vos machines, et estimer le temps que ce dump va mettre. Sinon vous risquez de ne plus avoir de place pour les binlog, et je ne vous fait pas un dessin : ça va tout planter !

Bon, déjà, je n’ai pas vraiment trouvé de bonne méthode pour faire ça très proprement, vous allez voir.

Sur le master, on va exécuter ça :

mysqldump -uroot -ppassword --all-databases --skip-lock-tables --single-transaction --flush-logs --master-data=1 --quick | head -n 30|grep '^CHANGE MASTER TO'

On va se prendre un Got errno 32 on write, ce qui est normal vu qu’avec head on a fermé stdin alors que mysqldump contiuait à écrire. C’est la même erreur qu’on se prendrait en cas de fulldisk si je ne m’abuse.

Retenez cette valeur : MASTER_LOG_POS=XXX

Exemple de retour : CHANGE MASTER TO MASTER_LOG_FILE='mariadb-log-bin.000018', MASTER_LOG_POS=106;

Dans l’exemple, la valeur à retenir est 106. On va s’en servir pour faire démarrer notre slave à la bonne position de départ dans le prochain log-bin qui va être créé quand on démarrera le dump.

Pour les options utilisées dans la commande mysqldump, je vous laisse man mysqldump, c’est très bien expliqué.

Bien, maintenant on va réellement lancer le dump. Préparez deux shell : un dans un screen ou tmux, et l’autre sur la console MySQL de votre master.

Dans le premier, faites feu :

mysqldump -uroot -ppassword --all-databases --skip-lock-tables --single-transaction --flush-logs --master-data=1 --quick | gzip | ssh root@host_slave "zcat | mysql -uroot"

Sans attendre, dans le second :

mysql> SHOW MASTER STATUS\G
... bla bla bla ...
Master_Log_File: mysqld-log-bin.XXXXXX
... bla bla bla ...

Ça les amis, c’est le fichier à partir duquel notre slave va devoir rejouer les instructions, pour commencer la récupération.

Donc on se retrouve au final avec ces deux infos :

MASTER_LOG_POS=106
MASTER_LOG_FILE=mysqld-log-bin.XXXXXX

Ah ouais, heu, XXXXXX, ça va être des chiffres. Mettons, pour la suite, que ce nombre est 000002.

Mise en marche du slave

Déjà, attendez que votre mysqldump ai terminé et sans erreur. À la moindre coupure, vous pouvez tout recommencer.

Si ça arrive, sachez que vous pouvez supprimer les binlog du master qui ne sont plus en activité : ils ne servent plus à rien.

Par contre, si tout va bien, ne supprimez rien du tout, car naturellement, on va en avoir besoin.

Ouvrez une console MySQL sur le slave, on va changer sa configuration et lancer le processus de réplication.

Exécutez cette commande, en adaptant avec vos valeur pour MASTER_LOG_POS et MASTER_LOG_FILE :

CHANGE MASTER TO
  MASTER_HOST='host_master',
  MASTER_USER='replication_user',
  MASTER_PASSWORD='the_super_password',
  MASTER_PORT=3306,
  MASTER_CONNECT_RETRY=10,
  MASTER_LOG_FILE='mysqld-log-bin.000002',
  MASTER_LOG_POS=106;

Vous pouvez vérifier que les infos ont bien été prises en compte avec la commande SHOW SLAVE STATUS\G.

Quand tout va bien, exécutez SLAVE START;.

Tout au long de la récupération du slave sur le master, on devra avoir quelque chose comme ça :

show slave status \G;
# On ne doit pas trouver d’erreur :
    Last_IO_Errno: 0
    Last_IO_Error: 
    Last_SQL_Errno: 0
    Last_SQL_Error:
    Slave_IO_Running: Yes
    Slave_SQL_Running: Yes

# Le compteur de retard ne doit pas sans cesse s’incrémenter :
    Seconds_Behind_Master: XXXXX

Le compteur Seconds_Behind_Master va devoir tendre vers 0 avec le temps. Il pourra momentanément augmenter, mais s’il ne fait que d’augmenter, alors vous avez un problème : votre slave n’est pas capable d’absorber la charge ou votre master ne répond pas assez vite, ou les deux.

Vous vous souvenez de l’option slave-skip-errors = 1062 dans la configuration ? Visitez directement ce lien : http://www.ducea.com/2008/02/13/mysql-skip-duplicate-replication-errors/

Ça va vous arriver, en tout cas avec Centreon. Je n’ai pas eu le temps d’investiguer sur le pourquoi du comment, en revanche je sais qu’il n’y a pas réellement de problème et qu’il n’y aura pas de corruption. Ce genre d’erreur est à confronter avec votre environnement et la/les application(s) qui utilisent vos bases.

En tout cas, il est nécessaire de zapper cette erreur, sinon vous vous retrouverez à devoir manuellement, ou scriptemochement, sauter les erreurs. MySQL a déjà une option pour ça, utilisons la.

Quand le compteur Seconds_Behind_Master tombe à zéro, on pourra poursuivre la migration.

Transfert du master vers le slave (arrêt du master)

On va maintenant reconfigurer notre slave pour être utilisé en temps que master, et abandonner le master actuel.

Connectez-vous sur votre Centreon et modifiez la conf des ndomod (ou faites le à la main, je m’en fiche du moment que c’est fait) pour qu’ils aient un fichier de rétention en cas d’injoignabilité de ndo2db.

Modifiez aussi la configuration ndo2db pour pointer sur la BDD slave. Ne relancez surtout pas ndo2db pour le moment.

Appliquez cette conf, et faites un petit test pour vous assurer que le fichier est bien créé consommé lorsqu’une règle iptables empêche notre Nagios de causer avec ndo2db, puis consommé quand on la retire.

Arrêtez tous les services Centreon (centcore et centstorage).

Quand c’est fait, coupez vos instances de ndo2db. Et là encore, attention à l’espace disque sur les pollers : il ne s’agirait pas de faire un full parce que /var est taillé à la serpe.

Avant toute chose, vérifiez que votre slave a bien fini de se synchroniser avec le master.

Arrêtez l’instance de MySQL sur le master.

Ensuite, avec MySQL 5.1, on va devoir redémarrer le slave une fois pour repasser en mode "normal".

Supprimez la configuration qui a été ajoutée pour le slave
Exécutez sur le slave slave stop; reset slave;
Redémarrez mysqld du slave
Vérifiez avec show slave status\G que vous n’obtenez plus rien. Si ce n’est pas le cas, je me suis vautré dans les commandes précédentes \^_\^

Eh bah là on est bon les enfants. On va pouvoir redémarrer ndo2db, qui, avec sa nouvelle conf, va venir peupler notre nouvelle base, et modifier les fichiers de configuration Centreon pour que centcore et centstorage viennent taper sur notre nouvelle base.

Les fichiers de conf sont normalement dans /etc/centreon, mais si c’est une installation par les sources, vous les avez peut-être dans /usr/local/centreon/etc/. Adaptez la conf des bases.

Reprise de service

Redémarrez donc ndo2db, centcore et centstorage. Constatez la bonne reprise du service.

Pour l’instant, seule la base SQL a été migrée. On va pouvoir passer aux choses sérieuses avec la MAJ.

MAJ

Coupez encore une fois ndo2db, centcore et centstorage.

Débrouillez-vous pour passer en version 2.6.6. Avec yum-plugin-versionlock, voici le versionlock.list approprié :

centreon-2.6.6-5.el6.noarch
centreon-base-2.6.6-5.el6.noarch
centreon-base-config-nagios-2.6.6-5.el6.noarch
centreon-common-2.6.6-5.el6.noarch
centreon-installed-2.6.6-5.el6.noarch
centreon-perl-libs-2.6.6-5.el6.noarch
centreon-web-2.6.6-5.el6.noarch
centreon-plugins-2.6.6-5.el6.noarch
centreon-plugin-meta-2.6.6-5.el6.noarch
centreon-trap-2.6.6-5.el6.noarch
ndoutils-1.4b9-6.el6.x86_64
centreon-broker-2.10.5-2.el6.x86_64
centreon-broker-cbmod-2.10.5-2.el6.x86_64
centreon-broker-core-2.10.5-2.el6.x86_64
centreon-broker-cbd-2.10.5-2.el6.x86_64
centreon-broker-storage-2.10.5-2.el6.x86_64
ndoutils-1.4b9-6.el6.x86_64

Installez Centreon en utilisant centreon et centreon-base-config-nagios, copiez les fichiers de conf Centreon, puis passez le processus de MAJ de Centreon.

Vous pouvez maintenant redémarrer vos ndo2db, centcore et centstorage, et vérifier que ça marche.

Passage en Centreon-Engine + Centreon Broker

Installer centreon-engine et centreon-broker-cbmod sur les pollers
Installer centreon-broker-daemon sur votre Central
Configurez chaque future instance de centreon-engine, ainsi que centreon-broker-module et centreon-broker-daemon
Copiez le ~/.ssh de l’utilisateur centreon sur votre nouvelle machine, c’est nécessaire pour joindre les pollers

Pour cela, la documentation de centreon devrait suffire, sinon il y a d’autres tutos qui expliquent comment configurer tout ce beau monde.

Une fois que vous avez tout configuré, poussez vous conf mais ne démarrez rien.

Démarrez cbd sur le central, vérifiez qu’il tourne bien et accepte les connexions
Arrêtez ndo2db, votre supervision continueras de tourner et en cas de pépin, la reprise de service avec NDO est faisable simplement en relançant le service
Configurez Centreon pour utiliser Centreon Broker. Ça se trouve dans les paramètres d’administration
De là vous ne devriez plus avoir de status, car cbd écrit dans centreon_storage, alors que NDO écrit dans centreon_status. Le fait d’avoir configuré Centreon en mode Centreon Broker fait qu’il regarde dans centreon_storage.
Lancer vos Centreon Engine. Les status devraient montés quasi immédiatement. Si ça n’est pas le cas (du style le compte d’hôte qui passe de 0 à 100, puis re à 0, puis à 200, puis à 0 etc... vous vous êtes viandé dans la conf des instances de pollers)

À partir de là, si tout fonctionne, arrêtez vos Nagios

MAJ version Centreon 2.7.x

Ben là ya pas plus simple : on arrête les services Centreon du central, on retire le versionlock.list, on upgrade tout le monde (pollers compris, centreno-engine et cbmod), et on relance.

Vous devrez aussi lancer une reconstruction des graphes à partir des données en base. Les migrations des RRD n’ont jamais bien fonctionné, même avec les rrddump et rrdrestore.

Aussi faites gaffe, vous aurez peut-être besoin de faire du nettoyage pour certaines métriques inexistantes :

use centreon_storage; # adapter...
delete from metrics where (select count(*) from data_bin as db where db.id_metric=metric_id) = 0;

check_vmware_api.pl et Timeout

2016-01-07T21:36:00+01:00

Si jamais ça arrive, que check_vmware_api.pl vous rende un vilain timeout, c’est sans doute que certaines libs perl ne sont pas dans la bonne version.

Donc, pour installer check_vmware_api.pl, il vous faudra :

Une saloperie de compte chez VMWare.
Un VMware-vSphere-Perl-SDK que l’on peut trouver ici. là., pour vSphere 6.0, 5.5 et 5.1.
http://search.cpan.org/dist/libwww-perl/ en version 5.x, en tout cas pour ce qui est de la version 5.5 du SDK Perl de VMWare. Sinon… samarchpa.

Et en gros :

# Installer les libs perl suivantes : Crypt::SSLeay, Data::Dumper, Class::MethodMaker, XML::LibXML, LWP, UUID, SOAP::Lite
apt-get install -y libcrypt-ssleay-perl libclass-methodmaker-perl libxml-libxml-perl libuuid-perl libsoap-lite-perl
tar xf VMware-vSphere-Perl-SDK-5.5.0-2043780.x86_64.tar.gz
cd vmware-vsphere-cli-distrib
perl Makefile.PL && make install

Et si notre distro pas préférée, genre, Debian Jessie, ne propose pas libwww-perl dans la bonne version… j’ai envie de dire qu’on va se contenter d’une installe en mode gros porc dégueulasse :

wget http://search.cpan.org/CPAN/authors/id/G/GA/GAAS/libwww-perl-5.837.tar.gz
tar xf libwww-perl-5.837.tar.gz
cd libwww-perl-5.837
perl Makefile.PL && make install

Normalement elle sera chargée en priorité sur un libwww-perl. Pour savoir si ça sera bien le cas, exécuter ceci :

$ perl -e 'print join "\n", @INC'
/etc/perl
/usr/local/lib/x86_64-linux-gnu/perl/5.20.2
/usr/local/share/perl/5.20.2
/usr/lib/x86_64-linux-gnu/perl5/5.20
/usr/share/perl5
/usr/lib/x86_64-linux-gnu/perl/5.20
/usr/share/perl/5.20
/usr/local/lib/site_perl

journald et rsyslog sont dans un serveur

2015-09-17T22:08:00+02:00

Dans mon précédent billet, j’avais défragmenté /var/log/journald pour récupérer un temps de démarrage correct avec journald.

Maintenant, j’ai récupéré un temps de démarrage normal en le dégageant :

Un petit coup de man journald.conf, puis édition de /etc/systemd/journald.conf :

[Journal]
Storage=none
ForwardToSyslog=yes

On installe, active et démarre rsyslog (ou syslog-ng, peu importe), et on redémarre journald :

systemctl enable rsyslog
systemctl restart rsyslog
systemctl restart systemd-journald

Si on veut pouvoir conserver journald, mais pour la durée de vie de l’uptime en cours, volatile pourra être utilisé à la place de none pour l’option Storage.

systemd + btrfs + journald flush = long boot time

2015-09-12T10:27:00+02:00

À chaque démarrage de ma machine, l’unité systemd-journal-flush.service (Flush Journal to Persistent Storage) mouline pendant plus de 30 secondes. Je veux bien mais… la machine vient seulement de démarrer, il n’y a normalement pas grand chose à écrire sur le disque… et il est sollicité comme jamais.

Ceci dit, je n’ai jamais remarqué le problème avec ext4, et il est rencontré sur des Fedora, voir #1006386 chez RedHat alors que je suis sur Gentoo et n’est pas récent.

À la fin du post, on trouve ceci :

btrfs fi defrag /var/log/journal/*/*

Eh beh ça fonctionne…

La cause n’est pas la multiplicité des fichiers, pas plus que leur taille :

┌(amidala)─(0)──(/home/wrk)
└─> tree /var/log/journal/
/var/log/journal/
├── 39608e9264f183478332d7ff55b7cdf2
│   ├── system.journal
│   ├── user-1000.journal
│   ├── user-1001.journal
│   ├── user-1002.journal
│   ├── user-1003@83a1f3012ae34bd1b86fd5dac6689c05-000000000001ce49-00051ed86d1efb13.journal
│   └── user-1003.journal
└── remote

2 directories, 6 files
┌(amidala)─(0)──(/home/wrk)
└─> ls -lh /var/log/journal/39608e9264f183478332d7ff55b7cdf2/
total 107M
-rw-r-----. 1 root systemd-journal  64M Sep 12 10:40 system.journal
-rw-r-----+ 1 root systemd-journal 8.0M Aug 10 15:00 user-1000.journal
-rw-r-----+ 1 root systemd-journal 8.0M Sep 11 23:58 user-1001.journal
-rw-r-----+ 1 root systemd-journal 8.0M Sep 12 10:30 user-1002.journal
-rw-r-----+ 1 root systemd-journal 8.0M Sep  3 19:11 user-1003@83a1f3012ae34bd1b86fd5dac6689c05-000000000001ce49-00051ed86d1efb13.journal
-rw-r-----+ 1 root systemd-journal 8.0M Sep  3 19:12 user-1003.journal

En revanche, le wiki de btrfs nous apprend que ce type de défragmentation ne s’intéresse qu’aux métadonnées. Hum. Affaire à suivre.

Édition du 17/09/2015 : la suite ici

systemd-networkd v219 et au delà

2015-04-27T22:53:00+02:00

Un petit billet pour dire que si tout d’un coup, après passage en version 219 ou supérieure de systemd vous vous retrouvez avec vos interfaces virtuelles et bridges ne pouvant plus faire de NAT, et que vous gérez ces mêmes interfaces avec networkd, alors il vous faudra faire un peu plus de configuration.

Prenons par exemple un fichier lxcbr0.network :

[Match]
Name=lxcbr0

[Network]
Address=10.2.2.254/24
IPForward=yes
IPMasquerade=yes

[Route]
Gateway=10.2.2.254/24

Le bout de ChangeLog qui nous intéresse :

* networkd gained support for configuring bridge forwarding
     database entries (fdb) from .network files.

* networkd .network files gained support for configuring
     per-link IPv4/IPv6 packet forwarding as well as IPv4
     masquerading. This is by default turned on for veth links to
     containers, as registered by systemd-nspawn. This means that
     nspawn containers run with --network-veth will now get
     automatic routed access to the host's networks without any
     further configuration or setup, as long as networkd runs on
     the host.

Et le bout de man correspondant :

[NETWORK] SECTION OPTIONS

... bla bla bla bla bla bla ...

IPForward=
    Configures IP forwarding for the network interface. If enabled incoming packets on the
    network interface will be forwarded to other interfaces according to the routing table.
    Takes either a boolean argument, or the values "ipv4" or "ipv6", which only enables IP
    forwarding for the specified address family.

IPMasquerade=
    Configures IP masquerading for the network interface. If enabled packets forwarded from the
    network interface will be appear as coming from the local host. Takes a boolean argument.
    Implies IPForward=yes.

Si je ne me trompe pas, dans le cas de l’utilisation d’interface de type veth, avec LXC par exemple (;-P), les paquets entrants seront transférés à l’interface vethBLAH appartenant au conteneur.

Et la seconde option nous sert pour faire notre SNAT.

Tout cela avec sysctl net.ipv4.ip_forward=1 et iptables -t nat -A POSTROUTING -j MASQUERADE, un coup de systemctl restart systemd-networkd et pouf.

Notez qu’avec Ubuntu 15.04, c’est systemd 219 qui est embarqué.

Backups avec BURP, LXC, LUKS et un montage réseau

2015-04-15T16:54:00+02:00

Petite problématique de sauvegarde chiffrée à travers le réseau, dans un conteneur. Au programme :

LUKS pour le chiffrement
Configuration LXC
mknod (obscure)
BURP (BackUp and Restore Program)

Contraintes

Stockage délégué à l’hébergeur via un stockage réseau SFTP ou CIFS
Minimisation de l’espace occupé via de la sauvegarde incrémentale (ça coûte des sous, hein)
Installation du système de backup isolée dans un conteneur LXC

Configuration LXC

Dans le fichier config de votre machine LXC, ajouter ces lignes :

# /dev/loop0
lxc.cgroup.devices.allow = b 7:0 rwm
# /dev/mapper/control
lxc.cgroup.devices.allow = c 10:236 rwm
# /dev/mapper/<votre luks>
lxc.cgroup.devices.allow = b 253:* rwm

Redémarrez le conteneur mais pas avec reboot.

Une fois que c’est fait, il vous faudra avoir chargé le module loop sur la machine hôte et créé le node loop0 dans le conteneur :

mknod /dev/loop0 b 7 0

LUKS

Premièrement, montons notre stockage réseau. Pour cela j’ai une entrée fstab avec le point de montage. On oubliera pas de peupler le fichier backup-credentials :

echo '//backup-host/backup /root/srv-backup-cifs cifs iocharset=utf8,rw,credentials=/root/backup-credentials,uid=root,gid=root,file_mode=0600,dir_mode=0700,noauto 0 0' >> /etc/fstab
mkdir /root/srv-backup-cifs
mount /root/srv-backup-cifs

Création d’un fichier sparse de 1Tio. Je n’ai pas cet espace de stockage, mais si un jour il y en a besoin, le fichier est déjà prêt. Bon enfin c’est juste pour faire joujou hein.

cd /root/srv-backup-cifs
dd if=/dev/zero of=luks.backup.raw count=0 seek=1024G
cryptsetup luksFormat luks.backup.raw # passez les options que vous souhaitez pour chiffrer votre conteneur

Une fois que c’est fait, on va pouvoir ouvrir notre LUKS et y créer un système de fichier afin de stocker normalement nos fichiers :

cryptsetup luksOpen luks.backup.raw luks_backup # --key-file vous sera utile pour stocker une passphrase dans un fichier afin de monter le volume sans intervention manuelle. À conserver à l’abrit des regards indiscrets…

mkfs.ext4 /dev/mapper/luks_backup

BURP

Cette solution de sauvegarde et restauration est simple, légère (129KB!) , en mode client/serveur, gère les sauvegardes incrémentales et leur restauration, utilise SSL pour les communications, se configure très facilement… et tout un tas d’autres choses, j’en parlerai une autre fois.

Et voici un exemple de configuration qui va bien :

---
burp_server_clients:
    - { cname: '01-mail', password: 'secret' }

burp_server_timer_args:
    - '1s'

burp_server_script_pre: '/root/mount-backup.sh'

En tout cas, par défaut, BURP sauvegarde dans /var/spool/burp.

Bon bah, il ne nous reste plus qu’à faire notre montage :

mount /dev/mapper/luks_backup /var/spool/burp

Voici la configuration serveur BURP qui nous intéresse :

mode = server
directory = /var/spool/burp
working_dir_recovery_method = delete
user=root
group=root

Tous les fichiers seront stockés en root:root dans le répertoire vu plus haut. Et voici la configuration d’un client :

mode = client
server = host-backup-burp.local
cname = 01-mail
user=root
group=root
include = /var/vmails/
exclude_fs = sysfs
exclude_fs = tmpfs
min_file_size = 0 Mb
max_file_size = 0 Mb

Une fois que nous aurons lancé un backup sur le client et que celui-ci sera terminé (burp -a b), nous aurons un petit nouveau dans /var/spool/burp :

├── 01-mail
│   ├── 0000001 2015-04-15 16:28:36
│   │   └── data
│   │       └── t
│   │           └── var
│   │               └── vmails

... bla bla bla bla bla bla bla bla bla bla bla ...

│   └── current -> 0000001 2015-04-15 16:28:36

Si je recommance un backup un peu plus tard, un nouveau dossier daté sera créé et le pointeur current sera déplacé sur ce nouveau dossier. Et je n’aurai en tout que le différentiel du backup.

Scripter BURP

Pour s’assurer que nos backup seront bien faits sur notre luks, et pas notre machine locale, ajoutons un script qui se lancera à chaque connexion d’un client :

server_script_pre=/root/mount-backup.sh

mount-backup.sh

#!/bin/sh
if [ ! -e /dev/loop0 ]; then
    mknod /dev/loop0 b 7 0 || exit 1
fi

if [ "$(mount|grep "/var/spool/burp"|grep -v grep)" = "" ]; then
    mount /root/srv-backup-cifs || exit 1
    cryptsetup luksOpen /root/srv-backup-cifs/luks.backup.rawdisk luks_backup --key-file /root/luks_backup_keyfile 2>&1 || exit 1
    mount /dev/mapper/luks_backup /var/spool/burp || exit 1
else
    echo "already mounted"
fi

C’est un peu moche et pas franchement résistant à la panne… que se passe-t-il si coupure réseau ? Le mieux serait de démonter notre "disque" à chaque fin de backup si possible (= pas d’autre backup en cours).

Je ne sais pas si une unité systemd serait plus efficace dans ce genre de job, en tout cas ça serait à tester.

Conclusion

Il me semble n’avoir rien oublié, aussi si ça ne fonctionne pas, un petit mail et je corrige.

Ansible (>=1.9) et LXC

2015-03-26T21:07:00+01:00

Ansible ton conteneur !

On va pouvoir créer de A à Z notre environnement à base de conteneurs LXC, grâce au module lxc_container maintenant supporté par Ansible 1.9.

Pour cela, je vais faire une mise en œuvre assez simple, se basant sur l’inventaire ansible pour créer un conteneur à partir d’un template.

Prérequis

Premièrement, soit vous installez à la mode gros porc, soit vous utilisez les paquets, soit il n’y a pas de paquet et vous utilisez virtualenv.

Je vais vous montrer l’installation via un environnement virtuel, car c’est la moins simple et que je ne veux pas traiter la méthode dégueue concistant à pourrir sciemment son système.

Déjà, débrouillez-vous pour installer, selon votre distribution, virtualenv pour Python 2. Car c’est avec cette version que Ansible fonctionne. Pour Debian/Ubuntu et CentOS/RedHat, le paquet devrait s’appeler python2-virtualenv ou python-virtualenv.

Ensuite, suivez le guide :

virtualenv pyvenv-ansible
source pyvenv-ansible/bin/activate
pip install ansible
git clone https://github.com/lxc/python2-lxc.git
cd python2-lxc
python setup.py install
cd ../

Inventaire

Disons que nous avons trois machines :

Celle qui exécute Ansible et qui va donc héberger les conteneurs.
Une machine qui n’existe encore pas et que nous allons LXC-ifier.
Une autre machine mais qui n’est pas sous LXC.

À partir de là, nous aurons donc besoin de faire un rôle un peu "intelligent" capable de dire si oui ou non nous allons créer la machine avec LXC.

Déjà, commençons par notre inventaire :

# hosts

[setuplxc]
localhost ansible_connection=local ansible_python_interpreter=python2 mytype='physical'

[blabla]
01-mail mytype='lxc' mytemplate='debian'
02-web mytype='kvm'

Quelques explications sur les variables de localhost :

ansible_connection=local : permet de ne pas lancer de connexion SSH.
ansible_python_interpreter : il se peut que votre $ python soit un Python 3. Pour utiliser l’interpréteur de votre choix, et de préférence un qui fonctionnera, je précise ici python2. C’est le cas de ArchLinux par exemple.

Playbook

Le playbook quant à lui se passera d’explications :

--- localhost-site.yml
- hosts: localhost
  roles:
    - setuplxc

Heu oui enfin, quand même, tu le sors d’où ton rôle setuplxc ?

Chhhhhhh… laissez-moi finir.

Rôle

Bon… je disais… oui, le rôle setuplxc.

Bien, on attaque la partie un poil poilue, le filtrage de notre inventaire pour ne garder que les machines devant tourner sous LXC. Ce n’est pas spécialement compliqué une fois qu’on est tombé sur le bon bout de documentation permettant d’utiliser les variables :

--- roles/setuplxc/tasks/main.yml
- name: setup containers
  lxc_container:
    name: "{{ item }}"
    container_log: true
    template: "{{ hostvars[item]['mytemplate'] }}"
    state: started
  when:
    - hostvars[item]['mytype'] == 'lxc'
  with_items:
    - "{{ groups['all'] }}"

Vous l’aurez sans doute compris, groups contient tous les groupes d’hôtes disponibles dans l’inventaire.

Nous appelons ici le group spécial all, et nous bouclons sur toutes les entrées pour en trouver qui aient leur variable mytype à la valeur lxc. Le seul problème ici, c’est qu’une entrée n’ayant pas la variable va un peu faire planter le bouzin. Mais un peu de rigueur ne fait pas de mal, donc mettez cette variable, un point c’est tout.

Ensuite bah, on utilise tout simplement le module lxc_container ! Je pense que les quelques paramètres présents sont limpides, aussi je vous laisser aller lire la documentation du module que vous pourrez trouver en find pyvenv-ansible -name lxc_container.py -exec $EDITOR {} \;

Exécution | FIRE!

Bon, là, il faut soit passer en root directement, soit demander à ansible d’exécuter la tâche en root via un sudo: yes \ sudo_user: root, mais je vous laisse faire.

Puis, en toute simplicité :

ansible-playbook -i hosts localhost-site.yml

LXC Autostart / lxc-autostart / lxc.conf

2015-03-25T19:00:00+01:00

Démarrer ses conteneurs LXC

Je ferai peut-être un jour un article plus conséquent sur la configuration complète d’un conteneur LXC, mais pour le moment on va s’intéresser à ceci : le démarrage automatique des conteneurs.

Ici, c’est LXC 1.0 qui est utilisé.

La commande lxc-autostart

Cette commande va permettre de démarrer tous les conteneurs ayant été configurés pour démarrer automatiquement. Les autres seront ignorés.

On pourra déjà utiliser cette commande pour voir l’état de notre configuration :

lxc-autostart -L # liste les conteneurs restant à démarrer, avec leur ordre

Et pour démarrer les conteneurs restant à démarrer automatiquement :

lxc-autostart # zatsaul bro'

La configuration de nos conteneurs

Ici, rien de magique, juste un peu de de RTF^W lecture attentive du manuel :

man lxc.conf
man lxc.container.conf

Et voici les options qui nous intéressent :

lxc.start.auto = 0|1
lxc.start.order = num relatif
lxc.start.delay = num secondes

Et voici comment les utiliser :

Pour lxc.start.auto, tout va bien, 0 indique qu’on ne démarrera pas automatiquement ce conteneur, et un 1 fera l’inverse.

Et maintenant, un peu d’ordre : lxc.start.order. Plus le nombre est grand, plus votre conteneur démarrera tôt. Pour faire simple, celui qui a la plus grosse gagne. Pour des numéros égaux, ça démarrera en "même temps".

Enfin, on complète notre série avec lxc.start.delay. Cette variable va intercaller un délais avant le démarrage du prochain conteneur sur la liste.

Exemple pratique

J’ai trois conteneurs, disons dns, postgresql et prosody.

Comme j’adresse tous mes conteneurs entre eux via le DNS, il vaut mieux qu’il fonctionne. Donnons lui une conf qui va lui permettre, par rapport aux autres, de démarrer le premier, et on s’assurera que les conteneurs suivants auront le DNS directement accessible lors de leur démarrage respectif avec un petit délais :

# lxc.name = dns
lxc.start.auto = 1
lxc.start.order = 9000
lxc.start.delay = 20

On démarre dns, puis on attend 20 secondes avant de démarrer le prochain.

Ensuite, on aura remarqué que prosody dans sa branche 0.9.x ne réessaye pas de se connecter à sa base SQL configurée. Du coup, on va horriblement contourner le problème de la sorte :

# lxc.name = postgresql
lxc.start.auto = 1
lxc.start.order = 1000
lxc.start.delay = 30

# lxc.name = prosody
lxc.start.auto = 1
lxc.start.order = 100
lxc.start.delay = 0

Et voilà qui est fait. Le conteneur prosody ayant une priorité plus basse que le conteneur postgresql, et comme nous avons configuré un délais de 30 secondes entre les conteneurs de priorité 1000 et ceux de priorité inférieure, PostgreSQL aura le temps de démarrer correctement et prosody d’avoir une base lancée à laquelle se connecter.

GitLab - Version de Ruby alternative sans RVM

2014-07-28T18:10:00+02:00

Testé pour la version 7.1 avec la distribution Debian Wheezy.

Installation par les sources avec MySQL.

Sous Debian

apt-get install build-essential zlib1g-dev libyaml-dev libssl-dev libgdbm-dev libreadline-dev libncurses5-dev libffi-dev curl

Compilation de Ruby

export GRV="2.1.2"
wget "http://cache.ruby-lang.org/pub/ruby/$(echo -n "${GRV}" | sed -rn 's/(.*)\.[0-9]*$/\1/p')/ruby-${GRV}.tar.gz"
tar xf ruby-${GRV}.tar.gz
cd ruby-${GRV}
./configure --prefix=/opt/ruby-${GRV} --disable-install-rdoc
make -j3
make install
ln -sf /opt/ruby-${GRV} /opt/ruby

Environnement

echo 'export PATH="/opt/ruby/bin:$PATH"' > /etc/default/gitlab    
sed -e '1s@.*@#!/opt/ruby/bin/ruby@g' -i /home/git/gitlab-shell/hooks/update

Installation des gems pour GitLab

/opt/ruby/bin/gem install bundle
su - git
cd /home/git/gitlab
ruby -v # vérifier qu’on a bien la bonne version…
bundle install --without development test postgres --deployment # adapter la commande selon qu’on utilise postgres…

GO

service gitlab restart

Un cluster MongoDB avec redondance et répartition de charge

2013-09-15T21:10:00+02:00

Buts de la réplication avec MongoDB

Assurer la résistance à la panne d’au moins une machine.
Permettre des accès en lecture plus rapides.
Dans un environnement géographiquement étendu, réduit les latences réseau si l’application utilisant la base n’a pas besoin des informations de dernière date.

Choix d’architecture

Le premier (et nécessaire pour le second) est une architecture simple avec un maître (primaire) et des esclaves (secondaires).

Les écritures sont contrôlées par le primaire et retransmises aux secondaires (qui peuvent être plus que deux).

C’est l’architecture de « réplicats » :

               Clients
               Driver
                 ||
                 ||
              Primaire                 }
        /-----^      ^-----\           } base mongodb
Réplica1                    Réplica2   }

Le problème de cette architecture étant la répartition de la charge sur de grosses bases. Si une base subit plus de transactions que la machine ne peut en satisfaire (limitation des disques, CPU…), il devient intéressant d’utiliser une architecture en « shards » :

                            Clients
                            Driver
                              ||
                              ||
                            Routeur_________
                               |            \_____Serveurs de configuration (>1)
                      _________|____________/
                     |      |     |      |           }
                     |      |     |      |           } base mongodb
                    Shard Shard Shard  Shard (>0)    }

Le routeur se chargera de communiquer avec les serveurs de configuration pour pouvoir trouver les données et les donner aux bons shards.

Les shards peuvent être des bases mongo seules mais seront plutôt des réplicats.

En production, MongoDB recommande d’utiliser trois serveurs de configuration pour assurer la continuité de service. Le choix du nombre de shards est une science que je n’ai pas encore apprise.

Pour se connecter à une base MongoDB, nous devons utiliser un « driver » qui est en fait une brique logicielle qui nous utiliserons dans toute application voulant utiliser MongoDB. J’ai choisi le driver en Python pour réaliser les tests.

L’architecture en shards est ce qu’on pourrait appeler une extension bigrement essentielle des réplicats et permettent de distribuer le travail au travers de multiples machines.

Environnement de travail

Trois machines virtuelles hébergeront chacune une instance de mongod, une base MongoDB.

Machines :

Debian sid
MongoDB 2.4.5
Heartbeat 3.0.5 installé et configuré. Fichier haresourses vide.

Réseau :

Réseau privé 192.168.56.0/24
hôte : .1
mongodb0 : .2
mongodb1 : .3
mongodb2 : .4

Faire

Nous allons voir comment mettre en place un « replica set », la réplication simple avec la répartition de charge que peut offrir les secondaires en lecture.

1. Configurer Heartbeat sur toutes les machines

/etc/ha.d/ha.cf

bcast eth1
deadtime 5
keepalive 2
mcast eth0 239.0.0.1 694 1 0
node mongodb2.localhost mongodb1.localhost mongodb0.localhost

/etc/ha.d/authkeys

auth 1
1 md5 cacc670d1040becee271a4be61cf303d

/etc/ha.d/haresources

-vide-

2. Configurer les DNS

Nous devons avoir des hôtes suivant ce schéma :

mongodb0.localhost # primaire
mongodb1.localhost # secondaire1
mongodb2.localhost # secondaire2

3. Sur chaque machine

Configurer la base MongoDB :

$EDITOR /etc/mongodb.conf
: replSet = rs0

replSet sert à indiquer à notre base à quel « replica set » elle appartient. Le nom est donc arbitraire mais doit être identique pour toutes les bases voulant appartenir au même groupe, évidemment.

Lancer la base MongoDB si ce n’est pas déjà fait (Debian prend soin de tout lancer à notre place, même quand on ne le veut pas…).

$ service mongodb start

4. Sur la machine maître, ou primaire

S’y connecter :

$ mongo

Initier la réplication :

> rs.initiate()
{
    "info2" : "no configuration explicitly specified -- making one",
    "me" : "mongodb0.localhost:27017",
    "info" : "Config now saved locally.  Should come online in about a minute.",
    "ok" : 1
}

MongoDB va générer une configuration pour la réplication, nous pouvons l’afficher :

> rs.config()
{
    "_id" : "rs0",
    "version" : 1,
    "members" : [
        {
            "_id" : 0,
            "host" : "mongodb0.localhost:27017"
        }
    ]
}

Ajouter les secondaires :

> rs.add('mongodb1.localhost')
{ "ok" : 1 }
> rs.add('mongodb2.localhost')
{ "ok" : 1 }

Statut de la réplication (des champs ont été retirés) :

mongodb0 :

rs0:PRIMARY> rs.status()
{
    "set" : "rs0",
    "date" : ISODate("2013-09-14T15:00:44Z"),
    "myState" : 1,
    "members" : [
            {
                    "_id" : 0,
                    "name" : "mongodb0.localhost:27017",
                    "stateStr" : "PRIMARY",
                    "self" : true
            },
            {
                    "_id" : 1,
                    "name" : "mongodb1.localhost:27017",
                    "stateStr" : "SECONDARY",
                    "syncingTo" : "mongodb0.localhost:27017"
            },
            {
                    "_id" : 2,
                    "name" : "mongodb2.localhost:27017",
                    "stateStr" : "SECONDARY",
                    "syncingTo" : "mongodb0.localhost:27017"
            }
    ],
    "ok" : 1
}

Un peut d’attente est nécessaire pour que l’élection se fasse, de l’ordre de quelques secondes. Nous voyons que mongodb1 et mongodb2 se synchronisent sur mongodb0, car c’est le primaire.

Les serveurs secondaires doivent voir chacun de leurs copains :

mongodb1 :

rs0:SECONDARY> rs.status()
{
    "set" : "rs0",
    "date" : ISODate("2013-09-14T15:03:06Z"),
    "myState" : 2,
    "syncingTo" : "mongodb0.localhost:27017",
    "members" : [
            {
                    "_id" : 0,
                    "name" : "mongodb0.localhost:27017",
                    "stateStr" : "PRIMARY",
                    "pingMs" : 3
            },
            {
                    "_id" : 1,
                    "name" : "mongodb1.localhost:27017",
                    "stateStr" : "SECONDARY",
                    "self" : true
            },
            {
                    "_id" : 2,
                    "name" : "mongodb2.localhost:27017",
                    "stateStr" : "SECONDARY",
                    "pingMs" : 1,
                    "syncingTo" : "mongodb0.localhost:27017"
            }
    ],
    "ok" : 1
}

Statut des bases à ce stade :

mongodb0 -> primaire
mongodb1 -> secondaire
mongodb2 -> secondaire

5. Tester l’élection

Coupons le primaire (mongodb0) (brutalement ou pas) :

mongodb1 :

rs0:PRIMARY> rs.status()
{
    "set" : "rs0",
    "date" : ISODate("2013-09-14T15:14:53Z"),
    "myState" : 1,
    "members" : [
            {
                    "_id" : 0,
                    "name" : "mongodb0.localhost:27017",
                    "stateStr" : "(not reachable/healthy)",
            },
            {
                    "_id" : 1,
                    "name" : "mongodb1.localhost:27017",
                    "stateStr" : "PRIMARY",
                    "errmsg" : "db exception in producer: 10278 dbclient error communicating with server: mongodb0.localhost:27017",
                    "self" : true
            },
            {
                    "_id" : 2,
                    "name" : "mongodb2.localhost:27017",
                    "stateStr" : "SECONDARY",
                    "syncingTo" : "mongodb1.localhost:27017"
            }
    ],
    "ok" : 1
}

Le champs "stateStr" nous indique que mongodb0 n’est plus existante. Aussi, un nouveau primaire a été élu, il s’agit de mongodb1. De ce fait, mongodb2 se synchronise sur mongodb1. On pourra voir –presque– la même chose sur la machine restée secondaire.

Redémarrons maintenant l’ancienne machine primaire (mongodb0) :

mongodb1 :

rs0:PRIMARY> rs.status()
{
    "set" : "rs0",
    "date" : ISODate("2013-09-14T15:15:44Z"),
    "myState" : 1,
    "members" : [
            {
                    "_id" : 0,
                    "name" : "mongodb0.localhost:27017",
                    "stateStr" : "SECONDARY",
                    "syncingTo" : "mongodb1.localhost:27017"
            }
…

Nous voyons maintenant que la base mongodb0 se synchronise avec la nouvelle machine primaire mongodb1.

Désormais, nous avons :

mongodb0 -> secondaire
mongodb1 -> primaire
mongodb2 -> secondaire

6. Tester la réplication

J’ai réalisé un petit script pour faciliter les essais. Le script écrit et lit dans la base « test » et la collection « posts ».

#!/usr/bin/env python

import datetime
import time
import signal
import argparse
import inspect
import sys

import pymongo

class MongoDBTest:
    CONTW = True

    def sigtrap_int(self, signum, frame):
        MongoDBTest.CONTW = False

    def __init__(self, readsec, servers=[
        'mongodb0.localhost:27017',
        'mongodb1.localhost:27017',
        'mongodb2.localhost:27017']):

        self.client = pymongo.MongoReplicaSetClient(
                'mongodb://{}/'.format(','.join(servers)),
                replicaSet='rs0',
                connectTimeoutMS=1000,
                socketTimeoutMS=1000)

        self.db = self.client['test']
        rpref = pymongo.read_preferences.ReadPreference
        if readsec:
            # read from secondaries
            self.db.read_preference = rpref.SECONDARY
        else:
            self.db.read_preference = rpref.PRIMARY

        signal.signal(signal.SIGINT, self.sigtrap_int)

    def insert(self):
        date = datetime.datetime.now()
        insert_post = {'date': date.strftime('%H:%M:%S')}
        self.db.posts.insert(insert_post)

    def remove(self, oid=None):
        if not oid:
            oid = self.db.posts.find_one()['_id']
        self.db.posts.remove(oid)

    def printall(self):
        header = '#### {} : {} | Secondaries: {}Master: {} ####\n'
        poststr = 'id: {} | date: {}\n'

        secs = self.db.connection.secondaries
        secstr = ''
        primary = 'None'
        try:
            primary = self.db.connection.primary[0]
        except TypeError:
            pass
        posts = self.db.posts.find()
        date = datetime.datetime.now().strftime('%H:%M:%S')
        caller = inspect.stack()[1][3]
        for sec in secs: secstr += str(sec[0]) + ' '

        sys.stdout.write(header.format(date, caller, secstr, primary))
        for post in posts:
            sys.stdout.write(poststr.format(post['_id'], post['date']))
        sys.stdout.flush()

    def drop(self):
        for post in self.db.posts.find():
            self.remove(post['_id'])

    def fill(self, count):
        if count < 1:
            count = 1
        for i in range(0, count):
            self.insert()

    ############## TESTS ##############

    def test_fill_roll(self):
        self.remove()
        self.insert()

def main():
    parser = argparse.ArgumentParser()
    parser.add_argument('--init', dest='init', action='store_true')
    parser.add_argument('--add', dest='add', action='store_true')
    parser.add_argument('--show', dest='show', action='store_true')
    parser.add_argument('--test-fill-roll', dest='test_fr', action='store_true')
    parser.add_argument('--read-sec', dest='readsec', action='store_true',
            default=False)
    parser.add_argument('--forever', dest='forever', action='store_true',
            default=False)
    args = parser.parse_args()

    mtest = MongoDBTest(args.readsec)

    while MongoDBTest.CONTW:
        try:
            if args.init:
                mtest.drop()
            if args.add:
                mtest.fill(2)

            if args.test_fr:
                mtest.test_fill_roll()

            if args.show:
                mtest.printall()

            if not args.forever:
                break
            else:
                time.sleep(1)

        except pymongo.errors.AutoReconnect:
            sys.stderr.write('Cannot auto-reconnect\n')
            time.sleep(1) # should not exists, but 20% cooler for tests
        except pymongo.errors.ConnectionFailure:
            sys.stderr.write('Cannot connect to a master\n')
            time.sleep(1) # should not exists, but 20% cooler for tests
        except ConnectionRefusedError:
            pass
            time.sleep(1) # should not exists, but 20% cooler for tests
        except AssertionError:
            pass
            time.sleep(1) # should not exists, but 20% cooler for tests
        finally:
            sys.stderr.flush()

if __name__ == '__main__':
    main()

Vider la base y écrire des données et les afficher (lecture depuis le primaire) :

python mongotest.py --init --add --show

#### 19:15:09 : main | Secondaries: mongodb1.localhost mongodb2.localhost Master: mongodb0.localhost ####
id: 5235eb1dbb45f954fea1a8ec | date: 19:15:09
id: 5235eb1dbb45f954fea1a8ed | date: 19:15:09

Éteindre le nœud primaire, attendre l’élection d’un nouveau primaire et tenter de lire les données. Elles doivent être identiques.

python mongotest.py --show

#### 19:16:46 : main | Secondaries: mongodb1.localhost Master: mongodb2.localhost ####
id: 5235eb1dbb45f954fea1a8ec | date: 19:15:09
id: 5235eb1dbb45f954fea1a8ed | date: 19:15:09

Ajouter des données et vérifier leur présence :

python mongotest.py --add --show

#### 19:17:15 : main | Secondaries: mongodb1.localhost Master: mongodb2.localhost ####
id: 5235eb1dbb45f954fea1a8ec | date: 19:15:09
id: 5235eb1dbb45f954fea1a8ed | date: 19:15:09
id: 5235eb9abb45f956252e2a26 | date: 19:17:14
id: 5235eb9bbb45f956252e2a27 | date: 19:17:15

Rallumez le précédent nœud (mongodb0), attendez sa synchronisation puis éteignez le nouveau nœud primaire (mongodb2), les données du premier et second ajout (--add) doivent être présentes :

python mongotest.py --show

#### 19:21:22 : main | Secondaries: mongodb1.localhost Master: mongodb0.localhost ####
id: 5235eb1dbb45f954fea1a8ec | date: 19:15:09
id: 5235eb1dbb45f954fea1a8ed | date: 19:15:09
id: 5235eb9abb45f956252e2a26 | date: 19:17:14
id: 5235eb9bbb45f956252e2a27 | date: 19:17:15

Voyons ce qu’il se passe quand nous voulons écrire, puis lire depuis les secondaires :

python mongotest.py --test-fill-roll --show --forever --read-sec

#### 17:56:22 : test_fill_roll | Secondaries: mongodb2.localhost Master: mongodb0.localhost ####
id: 5235d8a3bb45f943f54f71dd | date: 17:56:19
id: 5235d8a4bb45f943f54f71de | date: 17:56:20
id: 5235d8a5bb45f943f54f71df | date: 17:56:21
#### 17:56:23 : test_fill_roll | Secondaries: mongodb2.localhost Master: mongodb0.localhost ####
id: 5235d8a4bb45f943f54f71de | date: 17:56:20
id: 5235d8a5bb45f943f54f71df | date: 17:56:21
id: 5235d8a6bb45f943f54f71e0 | date: 17:56:22
id: 5235d8a7bb45f943f54f71e1 | date: 17:56:23

test-fill-roll supprime le premier enregistrement (le plus vieux) et ajoute un enregistrement immédiatement après. Une pause d’une seconde est faite entre chaque.

On voit ici qu’un insertion n’a pas eu le temps de percer jusqu’au secondaire et il se trouve que nous avons lu depuis ce secondaire, d’où un enregistrement manquant. Quand on lit depuis le primaire, nous n’avons pas ce problème, les données reçues sont celles écrites récemment.

Amusons nous à couper le maître, par exemple. Ici une extinction brutale de la VM ne posera pas de problème, mais on peut aussi le faire plus doucement avec l’ACPI.

Nous obtiendrons cela, par exemple :

python mongotest.py --test-fill-roll --show --forever

#### 18:37:59 : main | Secondaries: mongodb2.localhost mongodb0.localhost Master: mongodb1.localhost ####
id: 5235e264bb45f94e2c774f1c | date: 18:37:56
id: 5235e265bb45f94e2c774f1d | date: 18:37:57
id: 5235e266bb45f94e2c774f1e | date: 18:37:58
id: 5235e267bb45f94e2c774f1f | date: 18:37:59
Cannot auto-reconnect
Cannot auto-reconnect
Cannot auto-reconnect
Cannot auto-reconnect
Cannot auto-reconnect
Cannot auto-reconnect
Cannot auto-reconnect
#### 18:38:11 : main | Secondaries: mongodb2.localhost Master: mongodb0.localhost ####
id: 5235e265bb45f94e2c774f1d | date: 18:37:57
id: 5235e266bb45f94e2c774f1e | date: 18:37:58
id: 5235e267bb45f94e2c774f1f | date: 18:37:59
id: 5235e273bb45f94e2c774f20 | date: 18:38:11

Le temps pendant lequel nous ne pouvons pas nous connecter dure quelques secondes, dépendant de la configuration Heartbeat.

7. L’accès en lecture seule

Très simple, lancer les trois bases et le test de lecture seule, puis éteindre le primaire :

python mongotest.py --show --forever --read-sec

#### 20:34:55 : main | Secondaries: mongodb0.localhost mongodb2.localhost Master: mongodb1.localhost ####
id: 5235eb1dbb45f954fea1a8ec | date: 19:15:09
id: 5235eb1dbb45f954fea1a8ed | date: 19:15:09
id: 5235eb9abb45f956252e2a26 | date: 19:17:14
id: 5235eb9bbb45f956252e2a27 | date: 19:17:15
#### 20:34:56 : main | Secondaries: mongodb2.localhost Master: mongodb0.localhost ####
id: 5235eb1dbb45f954fea1a8ec | date: 19:15:09
id: 5235eb1dbb45f954fea1a8ed | date: 19:15:09
id: 5235eb9abb45f956252e2a26 | date: 19:17:14
id: 5235eb9bbb45f956252e2a27 | date: 19:17:15

Aucune action d’écriture n’est réalisée dans cet essai. Pendant le temps où aucun primaire n’a été ré-élu, on a continué à lire les donnés présentes et la reprise s’est faite sans aucun problème. Pas de coupure non plus lors de l’extinction du primaire.

Conclusion

La réplication avec MongoDB est presque magique, après quelques heures de documentation et essais on arrive à une installation pleinement fonctionnelle.

J’ai préféré mettre l’accent sur des démonstrations plutôt que de me lancer dans une architecture à shards, bien que le principale soit fait avec les réplicats. À suivre dans un prochain épisode.

À propos de ce qui est fait :

La configuration est très simple, j’ai même cru à un piège concernant Heartbeat.
Viandage au début, écrire sur la base « local » n’est pas une bonne idée car contenant la configuration de la base…
La reprise de service (élection d’un nouveau primaire) est tout de même longue : 10 secondes environ.

À faire/tester :

Éloignement géographique.
Sauvegarder une base MongoDB.
Les bases en « shards », avec les routeurs et serveurs de configuration.
Comparer avec d’autres bases, comme CouchDB par exemple, qui propose une réplication à double sens.

Une petite vidéo (qui vaut le coup d’installer flash) : http://www.youtube.com/watch?v=jyx8iP5tfCI

Installer Debian sur un volume LUKS/LVM existant

2013-08-21T13:37:00+02:00

L'installation de Debian sur un volume LUKS existant n'est manifestement pas prit en charge par l'installateur et une petite manipulation s'impose.

Mon disque dur est partitionné de cette façon :

Linux Boot ext2 -> sda1
LUKS -> sda3

Et dans le LUKS, un gros volume physique LVM2, un VG (nommé linux chez moi) et des LV. Rien de bien extraordinaire donc.

Démarrage

Démarrer l'installation et aller jusqu'à l'étape de partitionnement et entrer en manuel.

Ouvrir (ou déverouiller) le volume LUKS

Continuer le partitionnement en mode manuel, sélectionner la partition censée être chiffrée et l'utiliser en temps que volume chiffré. À partir de là, l'installateur va charger les composants de cryptsetup. Désactivez le formattage.

Revenez en arrière deux fois pour atterrir sur le menu de sélection des étapes d'installation.

Allez dans une TTY et ouvrez votre disque avec cryptsetup :

cryptsetup luksOpen /dev/sda3 [un nom au pif]

Bien, ben maintenant on peut activer les volumes logiques LVM :

vgchange -ay linux

On revient dans notre installateur et on va à l'étape « Détecter les disques ».

TADAAAM ! Nos volumes sont là !

Configurer et installer

Le disque chiffré doit être marqué d'un K (comme Keep).
Pour le reste, eh bien allez-y, configurez les volumes que vous voulez pour l'installation de Debian.
N'oubliez pas non plus de configurer le disque pour /boot…

Et maintenant ? On attend. Parce que c'est long. Si si.

On installe le boot-loader et on redémarre. On choisi alors sa Debian toute fraîchement installée, on a les erreurs "normales" à propos des LVM non trouvés, par contre après atteinte d'un timeout de quelques secondes, l'initramfs rendra la main.

Le drâme

Ben le drâme c'est qu'après avoir fait tout ça, Debian n'a pas configuré un initramfs pour notre configuration LUKS. Pourtant on lui a bien précisé d'utiliser le disque LUKS. Non ? Si, mais il n'a pas donné de nom au volume et n'a pas généré le /etc/crypttab correspondant.

Donc quand l'initramfs nous rend la main, on pourra ouvrir manuellement le volume LUKS et activer les volumes logiques :

cryptsetup luksOpen /dev/sda3 [nom au pif]
vgchange -ay linux

Ensuite on exit et ça démarre. Ouf.

Pour avoir fait une installation « from scratch » en VM, le fichier n'est pas sensé être vide et doit contenir ceci, sachant que mon volume LUKS est sur /dev/sda3 :

sda3_crypt /dev/sda3 none luks

Après avoir man crypttab on se rend compte qu'il faut utiliser en target (le premier champ du fichier) le nom sous lequel est ouvert notre volume LUKS dans /dev/mapper/

En essayant de générer l'initrd, on obtient un warning qui nous donne cet nom.

cryptsetup: WARNING: invalid line in /etc/crypttab for cryptroot -

cryptroot est ici notre cible, que nous allons utiliser dans /etc/crypttab :

crypttab /dev/sda3 none luks

Et on peut enfin régénérer notre initrd :

update-initramfs -u

Et tout doit rouler.

Firewall – VLC – RTP – FreePlayer

2013-08-14T23:15:00+02:00

Pour ceux qui ne sont pas intimes avec le FAI Free, on peut accéder à la télévision via le « freeplayer » grâce à l'adresse « mafreebox.freebox.fr », pointant sur l'IP 212.27.38.253. Le protocole RTP, pour Real Time Protocol, permet la diffusion temps réelle d'un flux d'informations, tel la vidéo ou le son par exemple.

Je précise que j'ai utilisé iptables (pouah), mais que le principe est évidemment le même pour tout le monde…

RTP

Le protocole va demander au client d'ouvrir un port UDP et TCP. Le port TCP choisi sera le port UDP + 1. Si 1024 a été choisi pour l'UDP, on aura le port 1025 pour TCP.

FreePlayer

Une connexion sur le port 554, RTSP pour Real Time Streaming Protocol, est nécessaire en sortie. C'est rare de filtrer la sortie pour son propre poste, mais pour ceux qui le font… voilà.

Il faudra également autoriser la réception en UDP sur le port 15947, un paquet sera émis sur l'adresse multicast 228.67.43.91. Je n'ai pas saisi tout de suite la spécificité de cette adresse… un petit lien ouistitipédia

La capture tcpdump (avec wireshark ça marche aussi) :

IP sidious.15947 > 228.67.43.91.15947: UDP, length 11

Faïeurwhale, qu'il est beau

*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [349:27582]
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p udp -m udp --dport 31336 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 31337 -j ACCEPT
-A INPUT -p udp -m udp --dport 15947 -j ACCEPT
-A INPUT -s 212.27.38.253/32 -p udp -m udp --dport 40000:50000 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-proto-unreachable
COMMIT

Le but étant de ne pas accepter n'importe qui en entrée, on drop tout en entrée et sur le forwarding et bon, on est pas des bêtes, on laisse tout passer en sortie.

Comme on peut le voir, j'autorise bien l'entrée en UDP sur le port 31336 qui correspond au port choisi par VLC pour faire sa tambouille (on peut en choisir un autre bien entendu), et j'ai donc ouvert le port 31337 en TCP, comme demandé par le protocole RTP.

Utiliser gpg-agent pour ssh

2013-08-13T18:30:00+02:00

gpg-agent

Lancez l'agent GPG dans votre console, ou votre session X.org (via le fichier .xsession pour ceux qui l'utilisent), pour ça on pourra faire indifféremment du type de session :

eval $(gpg-agent --daemon --enable-ssh-support)

On pourra ajouter l'option suivante pour avoir une zolie interface fort pratique pour nous demander la passphrase, qu'on souhaite mémoriser, de la clef GPG ou SSH voulue :

--pinentry-program USRBINDIR/pinentry(-gtk|-qt4|-ncurses)

Pour SSH, petite manip'

Le manuel de gpg-agent stipule qu'il faudra exécuter un premier ssh-add pour que le support des clefs SSH soit effectif.

Enjoy

DDOS via torrent pourravé ?

2013-08-12T11:46:00+02:00

Aujourd'hui j'ai voulu mettre à télécharger une ISO d'ArchLinux sur le serveur. Rien d'anormal jusque là, et c'était vraiment un torrent de l'image d'ArchLinux, prise sur archlinux.org et tout et tout.

Ajout du torrent sur Transmission, okay.
Attente de quelques secondes pour voir le torrent apparaître dans la liste, …
Heu… syn ? syn ? syn ? … ping ?

ALAAAAAAARM !

Remonter le temps : qu'ai-je fais avant que tout cela n'arrive ?
Installé /usr/libexec/mail.local via les sources car après jailage de postfix, il vaut mieux réinstaller le sendmail de base. Ce que je n'ai pas fait et donc ce programme était manquant.
Ajouté ce torrent.

Comme j'utilise FreeBSD 9.2-RC1 avec ZFS en système de fichier, je n'ai pas pu utiliser le rescue-pro fourni pour OVH car la version de ZFS est trop récente. Erf. Et ils ne proposent plus le vKVM. Re-erf.

À ce moment là je ne pensais pas que transmission pouvait être en cause, et je suis donc parti sur mail.local, vu qu'il a été compilé via les sources et qu'il ne provenait donc pas des tarbaballes de base. À part un segfault il n'aurait pas pu faire grand chose d'autre… mais peu importe.

Redémarrage bourrin via l'interface de gestion d'OVH, les yeux rivés sur le ping 5.135.177.31, un ssh katana rm -rf /usr/libexec/mail.local prêt à bondir dès que le serveur répond et… la commande s'exécute… puis plus rien. Le ping ne trouve plus de pong, ça n'était donc pas ça.

À nous deux, face de torrent

(Re)²boot, ssh katana service transmission stop

La magie opère, le problème venait donc de là. Dans les logs on trouvera :

Aug 12 11:26:16 katana kernel: Limiting closed port RST response from 543 to 200 packets/sec

RST

Avec TCP, reset, permet de mettre fin à une connexion. C'est ce qui va se passer quand on veut joindre un port fermé par exemple, la connexion est fermée avec RST. Donc ça veut dire quoi, qu'on a floodé le serveur sur un port fermé jusqu'à ce qu'il crève sous les réponses à envoyer ?

Malheureusement je n'ai pas d'informations à ce sujet, ou du moins pas encore, pflog (oui, en français) va bien me cracher quelque chose.

Des sysctl sympatiques

En plus d'un firewall, on peut se prémunir de ce genre d'attaque en utilisant les sysctl suivantes :

net.inet.tcp.blackhole
net.inet.udp.blackhole

Avec la valeur 1 ou 2. Voir man blackhole pour plus d'informations (a priori FreeBSD only)

Portal premier du nom sous GNU/Linux

2013-05-10T19:38:00+02:00

Ça marche bien, quelques freeze habituels avec les jeux Valve sous Linux (liés à ma carte graphique Intel HD3000 sans doute) mais… un nouveau joueur verrait ses parties gâchées par quelques glitchs. Voyez plutôt :

L'IPv6 sur FreeBSD 9-STABLE

2013-05-09T20:19:00+02:00

Les variables ipv6_enable et ipv6_prefer sont dépréciées sur FreeBSD 9.1-RELEASE et encore plus sur 9-STABLE, et après un long moment à me demander pourquoi le serveur perdait sa route par défaut, qui en plus était mauvaise, un peut de man rc.conf et j'ai fini par trouver comment bien faire.

Un prérequis pour toutes les confs :

ipv6_activate_all_interfaces=yes # pour activer l'ipv6 sur toutes les interfaces
ipv6_network_interfaces="em0" # em0 pour l'interface sur laquelle on souhaite activer l'ipv6 si on en veut pas partout
ip6addrctl_policy="ipv6_prefer"

Configuration statique :

ifconfig_em0_ipv6="inet6 abcd:ef01:2345:6789::1 prefixlen 64"
ipv6_defaultrouter="abcd:ef01:2345:6789:ff:ff:ff:ff"

Configuration automatique :

ifconfig_em0_ipv6="inet6 accept_rtadv"

Une définition d'alias sur une interface :

ifconfig_em0_alias0="inet6 2001:41d0:8:b81f::2 prefixlen 128"

Exécuter le script /etc/netstart pour que la configuration soit prise en compte sans redémarrage. Attention à ne pas se tromper, ça pourrait bien couper la connexion SSH :)

Xen et le QuelquechoseBridge d'Intel

2013-03-22T22:55:00+01:00

Pour le projet tuteuré de cette année de licence pro Administration de Systèmes, Réseaux et Applications à base de Logiciels Libres, nous sommes trois à travailler sur la virtualisation. J'ai une Gentoo comme machine personnelle et un SandyBridge en guise de processeur/carte graphique, ainsi qu'une nVidia collée aux fesses de la carte Intel embarquée dans le processeur.

Le sujet

La carte nVidia n'est pas une carte dédiée, pour l'utiliser il faut lui demander de calculer un rendu, qui sera donné à la carte Intel qui refilera ensuite l'image à l'écran (pour simplifier). Cette carte nVidia, quand bien même inactive, consomme masse d'énergie pour rien sous Linux. Il existe un module permettant de la désactiver, faisant partie du projet bumblebee. Ce module s'appelle bbswitch. Vous le chargez, un :

echo "OFF" > /proc/acpi/bbswitch

et voilà que la carte est désactivée, votre ordinateur retrouvant sa sérénité.

Le problème

Le dæmon xend ne semble pas aimer cette extinction forcée et voici ce qu'on peut trouver dans les logs :

PciDeviceParseError: Looped capability chain: 0000:01:00.0
[2013-03-22 22:54:17 8579] INFO (SrvDaemon:227) Xend stopped due to signal 15.

0000:01:00.0 correspond à l'adresse PCI de la carte nVidia. Visiblement, xend tente d'en tirer des informations et il semblerait que la désactivation de la carte soit à l'origine de ce problème.

Solution ou « workaround »

Fort simple, il ne faut pas désactiver la carte avant le démarrage de xend. Le chargement du module ne gêne aucunement. Il est possible de désactiver à nouveau la carte après le démarrage de xend, pour le plus grand bonheur de tous ceux ayant une carte aussi moisie que celle-ci.

Persistance

Dans /etc/modprobe.d/bbswitch.conf :

options bbswitch load_state=0 unload_state=1

Cela permet de charger de module en lui disant de désactiver la carte au chargement, et de la réactiver au déchargement. Il faut aussi mettre dans le fichiers /etc/modules-load.d/bbswitch.conf :

bbswitch

Bon et bien entendu, peu importe le nom du fichier, il faut juste qu'il porte l'extention .conf.

Apache mod_proxy

2013-03-09T00:17:00+01:00

mod_proxy pour les nuls

J'utilise le module mod_proxy d'Apache pour « proxyfier » une application web standalone et qui écoute sur un port donné par défaut et ne dispose pas du ssl.

Comme je souhaite que l'application ne soit pas directement accessible ainsi qu'un accès ssl, je passe donc par un proxy Apache :

ProxyRequests On
ProxyPreserveHost Off
ProxyPass /truc http://127.0.0.1:1234
ProxyPassReverse /truc http://127.0.0.1:1234

Oui mais

Oui mais voilà, si on ne prend pas garde à ce qu'on fait (comme moi) on se retrouve très vite avec des logs du genre :

216.244.93.124 - - [09/Mar/2013:00:24:34 +0100] "GET http://ib.adnxs.com/tt?id=1074619&size=300x250 HTTP/1.0" 200 251 "http://freddyo.com/photos-rihanna-vacations-in-itty-bitty-tiny-bikini/photos/" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; .NET CLR 1.0.3705; .NET CLR 1.1.4322; Alexa Toolbar)"

Que se passe-t-il ici ?

Eh bien on essaye tout simplement de se connecter à un autre site en se faisant passer pour le serveur ayant reçu la requête, c'est à dire nous-même. Outre le fait que Rihanna en bikini, je m'en tamponne l'oreille avec une babouche, c'est parfaitement dangereux pour vous et très mauvais pour Internet.

Comment savoir ?

Comment pouvez-vous savoir si votre serveur est un « open relay » ?

$ telnet monserveur.fr 80
$ GET http://www.google.fr/ HTTP/1.1
$ Host: www.google.fr

Si la totalité du site vous revient, c'est que vous avez un joli serveur docile à toutes les demandes. Dans le cas contraire, je ne vois pas pourquoi vous lisez cet article ;-)

Solution

Elle est toute simple. Il suffit de ne pas autoriser tout le monde à utiliser votre proxy :

<Proxy *>
    Order deny,allow
    Deny from all
</Proxy>

On peut bien entendu affiner avec une authentification ou une liste d'IP, un sous-réseau…

<Proxy http://127.0.0.1:1234>
    Order deny,allow
    Require ip 1.2.3.4
</Proxy>

Dans ces deux cas, un client non autorisé aura une réponse 403

Mieux encore, si vous n'utilisez mod_proxy qu'en interne, c'est à dire que seul le serveur fera des requêtes et pas les clients, légitimes ou pas :

ProxyRequests Off

Et là c'est un 404 qui sera répondu.

À bon entendeur, salut !

Source : doc apache

ZFS - FreeBSD 9.0-RELEASE - MAJ : 9.1

2013-02-19T13:18:00+01:00

Il se peut que l'article ne soit pas très clair. J'étais jeune et si vous me le demandez (on sait jamais), je pourrai le clarifier plus tôt que prévu :)

UFS, c'est bien beau, mais c'est vieux et ça ne permet plus de faire ce qu'on veut. Ce système de fichier antique, hérité de 4.2BSD ne correspond plus à ce qu'on peut attendre d'un système de fichier aujourd'hui, à savoir la prise en charge native des volumes logiques, des quotas, de la compression à la volée et j'en passe. En plus, UFS est poussif. ZFS est maintenant supporté sous FreeBSD, depuis sa version 6, et je souhaite vous faire partager mon installation de FreeBSD sur un disque ZFS. La prouesse n'a rien d'original car on trouve facilement de la documentation partout sur internet, mais pour ceux qui ne veulent pas formater tout leur disque pour avoir une unique partition gpart (geom), cela pose problème. Dans un premier temps, je vous expliquerai le script original trouvé sur internet, puis la modification que j'y ai apporté pour pouvoir utiliser ZFS, en tout cas partiellement, afin de palier (plus ou moins salement) à l'impossibilité pour gpart de faire une partition GPT sur ada0s1 quand ada0 est en MBR.

Commencer une installation à partir de zéro

Attention, cette méthode n'est adaptée que si vous êtes prêt à effacer votre disque dur tout entier. Lisez quand même à titre informatif, car une bonne partie des informations présentes ici ne seront pas répétées dans l'autre méthode. Lancez votre installateur de FreeBSD, faites comme si vous vouliez faire une installation classique, mais sortez de là quand il vous propose de partitionner vos disque, puisque nous allons le faire nous-même. Entrez dans le shell. et chargez le module zfs.

$ kldload zfs

Script original

Voici la marche à suivre qu'on peut trouver sur une vidéo Youtube (lien plus bas), ou même sur la documentation en ligne. Pour simplifier, tout ce qui existe sur notre disque (ada0) est détruit, puis on créer une partition GPT avec gpart, dans laquelle on va y mettre une partition freebsd-boot de quelques Kio, un SWAP (de la taille que vous voulez) et enfin tout le reste sera alloué à ZFS. En effet, comme ZFS supporte la gestion des volumes logiques de façon native (et que c'est même la meilleure façon de faire ses disques), nul besoin de séparer les points de montage. Sauf s'il y a une raison particulière, comme changer quelques points de montage sur un autre disque physique. La séparation de partitions sur un même disque dur ne présente, à mon avis, plus d'intérêt face aux volumes logiques qui sont bien plus souples. Sauf dans le cas où on va se servir d'un espace d'échange entre deux OS et qu'on ne voudrait pas que notre partition soit corrompue. La partition ZFS aura un label nommé FBSD-ZROOT, ce qui est optionnel, mais je vous le conseil pour la suite. La mini partition de démarrage, freebsd-boot, est remplie de zéros, parce que nous allons y écrire un code qui fait moins que la taille de cette partition, et par mesure de précaution, il est préférable de tout effacer. A proprement parler, on sort dd est on y écrit nos zeros, ensuite avec gpart on inscrit notre « bootcode ». Maintenant que l'espace est alloué, que la partition de démarrage est écrite, tout le reste doit être écrit, mais sur du ZFS. C'est là que zpool entre en jeu, puis zfs :

$ zpool create -> créer un « disque » ZFS
$ -f  -> préciser sur quel périphérique
$ -m none -> pas de "mountpoint" pour l'instant
$ -o altroot=/mnt -> on met notre pool sur /mnt, là où l'installation sera faite
$ -o cachefile=/tmp/zpool.cache -> Le fichier de cache des pool ne s'installera pas où il voudra, au moins on est sûr de trouver le bon
$ tank -> donnez le nom que vous voulez, mais à chaque fois que vous verrez "tank", remplacez par celui que vous avez donné. Il s'agit du nom de notre pool
$ gpt/FBSD-ZROOT -> vous vous souvenez, le label ? Cette donnée sert à -f Une fois ceci fait, créons alors nos volumes logiques à l'intérieur de notre pool

Une pool (ne pond pas d’œuf ici) s'apparente à un disque physique, et nos volumes logiques à des partitions physiques. Sauf qu'ici, et c'est là tout l'intérêt, c'est que c'est virtuel. Bienvenu dans la matrize. Je pense que vous allez comprendre ce qu'il se passe, et je ne vous expliquerai pas que zfs create -o mountpoint=/truc tank/trucmuch créer un volume logique dans notre pool tank avec le nom trucmuch, à sa racine, et que le tout sera monté sur /truc de notre partition racine. Vala vala. Z'êtes contents ? Bon bah, c'est pas tout, mais il faut dire où on va démarrer ! zpool set bootfs=tank/root tank, c'est pas sorcier ! Voilà toutes les commandes :

$ gpart destroy ada0
$ gpart create -s gpt ada0
$ gpart add -t freebsd-boot -s 128 ada0
$ gpart add -t freebsd-swap -s 4G ada0
$ gpart add -t freebsd-zfs -l FBSD-ZROOT ada0
$ dd if=/dev/zero of=/dev/ada0p1 count=560 bs=512
$ gpart bootcode -b /boot/pmbr -p /boot/gptzfsboot -i 1 ada0
$ zpool create -f -m none -o altroot=/mnt -o cachefile=/tmp/zpool.cache tank gpt/FBSD-ZROOT #si vous ne mettez pas de label à la commande précédente, utilisez /dev/ada0p3 pour indiquer la partition ZFS.
$ zfs set atime=off tank # qui s'inquiète de l'accès temporel aux fichiers ? Pas moi en tout cas. Attention, ceci fera que tous les volumes dépendants de tank héritent de cette propriété
$ zfs create -o mountpoint=/ tank/root #obligatoire, le reste peut se faire selon votre convenance.
$ zfs create -o mountpoint=/usr tank/root/usr
$ zfs create -o mountpoint=/var tank/root/var
$ zfs create -o mountpoint=/tmp tank/root/tmp
$ zfs create -o mountpoint=/usr/local tank/root/usr/local
$ zfs create -o mountpoint=/usr/ports tank/root/ports #très facultatif. Vous pouvez aussi mettre /usr/src.
$ zfs create -o mountpoint=/usr/home -o atime=off tank/root/usr/home
$ zpool set bootfs=tank/root tank

Quittez le shell, vous reviendrez au processus d'installation qui va extraire les paquets. Faites ce qu'il vous demande de faire par la suite (mot de passe root, etc.), ne discutez pas et admirez. Mais SURTOUT, ne redémarrez PAS. Ca n'est pas finit, et il vous faut encore paramétrer votre installation toute fraîche pour qu'il comprenne que, oui, vous êtes un bon et donc vous utilisez ZFS. Comme on va tout mettre sur notre partition ZFS, il ne reste que notre SWAP à monter, car ça ne se met pas sur du ZFS. Sortez de l'installateur, et quand il vous demande si vous voulez configurer manuellement votre système, répondez Oui.

$ echo '/dev/ada0p2 none swap sw 0 0' >> /etc/fstab
$ echo 'zfs_enable="YES"' >> /etc/rc.conf
$ echo 'opensolaris_load="YES"' > /boot/loader.conf
$ echo 'zfs_load="YES"' >> /boot/loader.conf
$ echo 'vfs.root.mountfrom="zfs:tank/root"' >> /boot/loader.conf

Le "vfs.root.mountfrom...blablabla", vous comprendrez qu'on indique clairement qu'on veut que notre partition racine soit tank/root, et que notre très aimé noyau FreeBSD trouvera son bonheur là dedans. Sortez du chroot et choisissez enfin le mode Live CD proposé. Ensuite, on « déconnecte » notre pool (comme quoi, les poules pondeuses automatiques, ça n'est pas pour dans longtemps) pour pouvoir y copier proprement notre cache de pool. Vous sentez venir la blague foireuse ? Quand les poules jouent à cache cache sur la route, gare aux tanks. Bon et enfin on copie notre cache de pool là où il va être utilisé dans notre système installé. A savoir, /boot/zfs, ce qui devient /mnt/boot/zfs dans le cas présent.

$ zpool export tank
$ zpool import -o altroot=/mnt -o cachefile=/tmp/zpool.cache tank
$ cp /tmp/zpool.cache /mnt/boot/zfs/

Redémarrez, c'est prêt !

Installation partielle UFS/ZFS, pour ceux qui en ont gros sur le disque dur

Voilà voilà, Windows 7, un Linux (inutile de dire lequel, tous les six mois ça change. Ok, OpenSUSE, Mandriva, ArchLinux, Debian, Ubuntu, Fedora, dans différentes versions. Je crois que c'est tout pour le moment), ben ça ne colle pas avec gpart, qui veut tout. Tout. Donc un disque entier. Et ça ne fonctionne pas si on lui demander de faire son nid sur un ada0sX par exemple, non. Bref, passons à l'action, il n'y en a plus pour longtemps. Allez, c'est tipar ! Lancez donc toujours l'installateur de FreeBSD, allez jusqu'à partitionnement (et partitionnez cette fois) pour arriver à cela :

-> ada0sX BSD
-> ada0sXa : freebsd-ufs, minimum 4Go si vous choisissez l'option sécurité, sinon 2G. mountpoint : /
-> ada0sXb : freebsd-swap
-> ada0sXc : freebsd-zfs, pas de point de montage. Prenez tout l'espace disque restant.

Concernant ce que j'appelle « l'option sécurité », il s'agit d'installer les sources sur cette partition UFS. Vous allez voir que, si vous vous bricolez un noyau personnalisé, le jour où vous oublierez ZFS ou un module dépendant, vous serez vraiment HEUREUX d'avoir les sources à disposition, ainsi que le compilateur et tout le tralala ! Finish him ! Quand il vous proposer de vous mettre en chroot (manual configuration) dans le système, allez-y, les modifications seront bien plus facile à faire et il n'y aura pas de transfert de cache et ainsi de suite. Chargez le module zfs, et nous voilà prêts. Bien, maintenant, créez une pool sur ada0sXc (<- adaptez les numéros et les lettres bien entendu) que vous nommerez par exemple... TheRoot. Comprendra qui pourra. C'est connu pourtant. Sans rire, nous allons la nommer tank, c'est plus simple à écrire.

$ zpool create tank /dev/ada0sXc

Avant de vous jeter sur zfs create -o mountpoint=/truc tank/truc, dites vous bien que si vous essayez de faire zfs create -o mountpoint=/ tank/root, vous allez droit dans le mur ! De même que si vous essayez de monter un quelconque dossier du système de base comme /bin, /usr/bin ou /sbin, /usr/sbin dans votre tank. Le montage étant immédiat, d'une vous ne pourrez plus rien faire de votre chroot, et au prochain redémarrage vous vous apercevrez bien vite que vous pourrez recommencer l'installation. Donc nous allons tricher en ne montant que le nécessaire et en jouant, un peu forcé, la carté sécurité (vous vous souvenez, laisser le système de base sur un disque USF prit en charge par le noyau sans oubli de module et tout et tout). Faites donc un peu cela, par exemple :

$ zfs set atime=off tank
$ zfs create -o mountpoint=/var tank/var # attention à cela tout de même, si ZFS n'est pas chargé à un moment donné, vous risquez de perdre des informations en remontant le volume ZFS.
$ zfs create -o mountpoint=/tmp tank/tmp
$ zfs create -o mountpoint=/usr/local tank/usr.local
$ zfs create -o mountpoint=/usr/home tank/usr.home

Vous pouvez aussi séparer vos ports :

$ zfs create -o mountpoint=/usr/ports tank/usr.ports

Et tout ce que vous voudrez, mais PAS le système de base. Point important : vous ne pouvez pas faire tank/usr/home car cela suppose d'avoir un volume tank/usr. Vous pouvez le faire, alors il ne vous faudra pas donner de point de montage. Dans le cas présent, je trouve plus judicieux de séparer /usr/local de /usr/home. Bien, maintenant n'oubliez pas d'éditer /boot/loader.conf, /etc/rc.conf et /etc/fstab comme suit :

/boot/loader.conf :

# krpc_load="YES" # je vous conseil d'ajouter "options KRPC" dans le fichier de configuration de votre noyau, car c'est une dépendance de ZFS.
# opensolaris_load="YES" # ligne non nécessaire, mais au moins on est fixé. # zfs_load="YES"

/etc/rc.conf :

# zfs_enable="YES" # cela autorise le montage automatique des volumes ZFS. Mieux vaut le mettre, non ?

/etc/fstab :

# /dev/ada0sXa /    ufs  rw,noatime 0 0 # ces deux lignes devraient être présentes. # /dev/ada0sXb none swap sw 0 0

Dans le cas où vous oubliez de modifier loader.conf et rc.conf, pas d'inquiétude, votre système de base étant sur de l'UFS, vous aurez tout le loisir d'effectuer la manipulation une fois le système démarré sans aucun problème, mais en mode mono-utilisateur pour garantir un accès minimum aux fichiers. Cependant, n'oubliez pas de le faire avant d'installer des ports, de créer des utilisateurs et ainsi de suite. Pensez aussi à faire un backup de /var (tar -cf /var.tar /var), pour le décompresser dans votre nouvelle partition logique ZFS tank/var correspondante (toujours dans l'hypothèse où vous avez oublié de modifier lesdits fichiers). Mise à jour du système de base, déplacement des sources. Maintenant vous vous posez la question de savoir comment mettre vous sources sur un volume ZFS tank/usr.src, sans pour autant délaisser votre bien aimé /usr/src sur UFS. Ben, en fait c'est simple :

$ zfs unmount tank/usr.src, et voilà, vous avez de nouveau accès à /usr/src.

Et comment accéder de nouveau à tank/usr.src ? Devinez.

$ zfs mount tank/usr.src

Pour la mise à jour de votre système de base, faites comme d'habitude, mais veillez à ce que les deux emplacements (tank/usr.src et /usr/src) soient en synchronisme. Si vous ne voulez pas télécharger toutes les sources sur la partition UFS, mettez au moins src-sys, src-contrib, src-crypto et src-base (pas dans l'ordre, mais ce n'est pas grave). Dans contrib se trouve ZFS. Il serait donc intelligent de ne pas l'oublier.