- FRsAG - frsag.org

Re: [FRsAG] Cessation d'activité
by Guillaume Tournat 06 Dec '20

06 Dec '20

Bonjour Ceci peut m’intéresser. Vous pouvez me contacter en privé sur : guillaume (A) ironie.fr Même si je préfère Nginx aujourd’hui à Apache ;-) > Le 6 déc. 2020 à 11:57, Jonathan Leroy | Inikup via FRsAG <frsag(a)frsag.org> a écrit : > > jonathan(a)inikup.com

1 0

Re: [FRsAG] cold backup, vous connaissez du "vrai" glacier ?
by Daniel Caillibaud 03 Dec '20

03 Dec '20

Le 02/12/20 à 16h41, Yann Pretot <yann(a)pretot.fr> a écrit : > Hello Daniel, > > AWS fait ça dans Glacier avec les Vault Locks. Tu peux définir une > politique de conservation pour une durée donnée, et tant qu’elle n’expire > pas, rien ni personne ne peut supprimer le contenu de tes archives. > > La FAQ donne un bon premier aperçu du fonctionnement : > https://aws.amazon.com/glacier/faqs/?nc1=h_ls#Vault_Lock Merci Yann. À voir comment implémenter ça coté client, mais ça semble pas si compliqué - créer un coffre-fort https://docs.aws.amazon.com/amazonglacier/latest/dev/creating-vaults-cli.ht… - envoyer dedans des fichiers chiffrés https://docs.aws.amazon.com/cli/latest/reference/glacier/upload-archive.html - verrouiller le coffre-fort https://docs.aws.amazon.com/cli/latest/reference/glacier/initiate-vault-loc… https://docs.aws.amazon.com/amazonglacier/latest/dev/vault-access-policy.ht… https://docs.aws.amazon.com/amazonglacier/latest/dev/vault-lock-policy.html https://docs.aws.amazon.com/cli/latest/reference/glacier/complete-vault-loc… Reste à voir la gestion de la durée de vie, pas vu si on devait mettre le TTL sur le vault ou sur chaque archive qu'on envoie dedans, mais ça doit pas être si compliqué (dans les exemple trouvés on interdit l'effacement pendant une durée mais ensuite faut le lancer). Sur https://docs.aws.amazon.com/amazonglacier/latest/dev/vault-lock.html et https://docs.aws.amazon.com/amazonglacier/latest/dev/vault-lock-policy.html ils expliquent comment verrouiller les droits d'accès du vault, mais ça parle pas d'expiration et suppression automatique. Par ailleurs, d'après ce que je comprends, si le propio du compte aws arrête de payer ça supprime tout (mais ça c'est le cas partout). Reste à demander à ceux qui se disent "S3 compliant" s'ils implémentent tout ça (pas sûr, S3 ≠ S3 glacier), et choisir le presta. -- Daniel L’arithmétique, c’est être capable de compter jusqu’à vingt sans enlever ses chaussures. Walt Disney

3 3

Antivirus Raspbian ARM v8
by Hugo SIMANCAS 01 Dec '20

01 Dec '20

Bonjour, Je cherche plusieurs antivirus pour Raspbian ARM v8. Scan de fichier uniquement. une idée hormis ClamAV ? Payant ou non Merci d'avance Hugo Les informations contenues dans ce courrier électronique sont confidentielles et protégées par le secret professionnel. En tout état de cause, elles ne sont destinées qu'à la personne ou entreprise dont le nom est mentionné ci-dessus. Veuillez aviser l'expéditeur de toute difficulté ou de toute erreur dans la transmission de ce document. Si vous n'êtes pas le destinataire du présent courrier, vous n'êtes pas autorisé, sous peine de poursuites à en prendre des copies, le divulguer ou le diffuser. La présence de cette note prouve également que ce message électronique a été vérifié par un logiciel anti-virus.

4 6

Réglages de cette liste
by Daniel Caillibaud 28 Nov '20

28 Nov '20

Salut, Sur le thread ansible j'ai eu un truc bizarre, je n'ai d'abord pas vu les réponses parce que j'étais en To et la liste en Cc, et que le seul mail qui m'est parvenu n'avait pas de header List-Id, c'est normal ? C'est le gestionnaire de liste qui ne reposte pas à un abonné s'il est déjà dans les destinataires ? Je dis ça car je trouvais ça curieux, et c'est la seule liste qui me fait ça (je trie par list-id et en dernier y'a un répondeur qui dit qu'il doit y avoir une erreur d'aiguillage). J'ai changé mes règles, pour ne plus ennuyer ceux qui ont pris la peine de répondre à mes posts, désolé pour les bounces malheureux. -- Daniel L'avenir est un lieu commode pour y mettre des songes. Anatole France

2 1

Pb de vars ansible
by Daniel Caillibaud 27 Nov '20

27 Nov '20

Bonjour, Après avoir hésité pendant des années, je me penche sur ansible (j'ai ~50 conteneurs lxc sur 4 hosts, tout en debian, ça bouge très peu et je gérais ça à la main avec des scripts chargés d'harmoniser). J'y vais doucement car j'ai de l'existant hétérogène et il s'agirait pas qu'une nouvelle task ansible vienne casser un truc qui marche. J'y vais donc progressivement, à partir d'une organisation basée sur les roles, j'ajoute des tasks, je les teste avec du --check puis sans, d'abord sur peu de vm. Si y'a une stratégie meilleure qu'une autre je suis preneur de tout conseil. Concernant les variables j'ai lu pas mal de doc dont https://docs.ansible.com/ansible/2.9/user_guide/playbooks_variables.html https://docs.ansible.com/ansible/2.9/user_guide/playbooks_vars_facts.html https://docs.ansible.com/ansible/2.9/user_guide/playbooks_advanced_syntax.h… https://docs.ansible.com/ansible/2.9/user_guide/complex_data_manipulation.h… avec des filtres tout prêts pour gérer des ips https://docs.ansible.com/ansible/2.9/user_guide/playbooks_filters_ipaddr.ht… puis les conditions https://docs.ansible.com/ansible/latest/user_guide/playbooks_conditionals.h… mais je patauge encore pas mal, par ex avec group_vars/all.yml : ipv4_private: "{{ ansible_all_ipv4_addresses | ipaddr('private') | first | mandatory }}" # attention, celle-là peut être undefined ipv4_public: "{{ ansible_all_ipv4_addresses | ipaddr('public') | first}}" test.yml - name: essais de création de vars dynamiques hosts: mulet tasks: - name: show ipv4 private adress debug: msg: "On a trouvé l'ip privée {{ ipv4_private }}" when: ipv4_private is defined - name: show ipv4 public adress debug: msg: "On a trouvé l'ip publique {{ ipv4_public }}" when: ipv4_public is defined => sur ce host qui n'a qu'une ip privée (et c'est normal), ça me l'affiche bien sur la 1re tâche mais ensuite ça plante avec "msg": "The conditional check 'ipv4_public is defined' failed. The error was: error while evaluating conditional (ipv4_public is defined): No first item, sequence was empty. Et là je vois pas pourquoi :-/ Une idée ? -- Daniel C'est en voulant gagner du temps qu'on le perd. John Steinbeck

4 7

DHCPd : Kea plutôt que isc DHCPd ?
by Nicolas Ecarnot 18 Nov '20

18 Nov '20

Bonjour, Dans une ancienne vie, on avait monté une infra DHCP bien musclée d'un ensemble de paires de failovers, basée sur le vénérable serveur dhcpd d'ISC. Et nous fûmes ravis. Dans ma nouvelle vie, j'envisage de faire de même mais vu que ISC semble avoir placé son énergie sur le dev de Kea, le remplaçant de dhcpd, je voulais savoir si certains d'entre vous l'utilisent, l'éprouvent, et s'il tient ses promesses ? Je ne suis pas particulièrement inquiets en terme de performances, mais plutôt sur le bon fonctionnement général, la _stabilité_, l'évolution au fur des mises-à-jour, le ressenti global (doc, communauté...) Merci à vous. -- Nicolas ECARNOT

2 3

GPO : W10 télécharge tout le dossier scripts ?
by Job 18 Nov '20

18 Nov '20

Bonjour, Nous avons constaté un comportement différent entre W7 et W10 quant à l'application des GPO. Le problème nous a été remonté lors du premier confinement : les utilisateurs W10 voyaient un fort trafic descendant sur le VPN, quand bien même ils ne faisaient rien sur le réseau. Les utilisateurs W7 ne constataient rien d'inhabituel. Après plusieurs recoupements et tests, on s'est aperçu que cela provenait des GPO : à chaque gpupdate, des 100aines de Mo étaient téléchargés. Dans la façon dont les GPO ont été créées : - un .bat et le binaire sont tous les deux chargés dans le dossier de la GPO (\\foret\sysvol\domain\Policies\{GUID}\(Machine|User)\Scripts) - le .bat identifie si l'execution du binaire est nécessaire - si c'est nécessaire, il est appelé via son chemin complet - c'est bien le .bat qui est la cible de l'éxecution de la GPO. Cependant j'ai un gros doute : savez-vous si - c'est uniquement le fichier cible de la GPO qui est téléchargé pour execution sur le poste utilisateur - ou *tout* le contenu des dossiers Scripts\(Logon|Logoff|Startup|Shudown) pour ensuite executer la cible de la GPO J'ai l'impression d'avoir ma réponse rien qu'en posant la question mais je ne trouve pas de réponse claire à ce sujet sur le Technet. Merci, IG -- 232 avenue Napoleon BONAPARTE 92500 RUEIL MALMAISON Capital EUR 219 300,00 - RCS Nanterre B 408 832 301 - TVA FR 09 408 832 301

2 1

Re: [FRsAG] Quel orchestrateur KVM choisir ?
by Daniel Caillibaud 16 Nov '20

16 Nov '20

Le 13/11/20 à 21h33, "s.caps via FRsAG" <frsag(a)frsag.org> a écrit : > Hello,Xen pourquoi pas oui il permettrait de répondre a votre besoin > d'éviter pygrub.Sinon est-ce que o-virt répondrait au besoin de la partie > d'orchestration? (J'ai pas encore eu le temps d'essayer) Mais j'imagine > qu'il n'apportera rien en plus que kvm/libvirtd pour la partie grub.En > kvm/libvirtd lors de l'installation avec virt-install il télécharge le > kernel et initrd dans /var/libvirt/images (de mémoire) et le définit dans > le fichier de définition xml. Je dois pouvoir retrouver la syntaxe exacte > si vous voulez.Mvg,Seb J'avais écarté oVirt car dans la liste https://www.linux-kvm.org/page/Management_Tools il ne propose qu'une UI web, pas vraiment ma tasse de thé (qu'il en propose une ne gène pas, mais je voudrais au moins un moyen de pouvoir tout faire en cli). Par ailleurs il ne semble pas gérer de storage sur un bête lvm local, ça semble conçu pour de la HA "by design", et je n'ai pas besoin de HA. -- Daniel Ceux qui écrivent clairement ont des lecteurs ; ceux qui écrivent obscurément ont des commentateurs. Albert Camus

3 4

Re: [FRsAG] Quel orchestrateur KVM choisir ?
by s.caps 13 Nov '20

13 Nov '20

Hello,Xen pourquoi pas oui il permettrait de répondre a votre besoin d'éviter pygrub.Sinon est-ce que o-virt répondrait au besoin de la partie d'orchestration? (J'ai pas encore eu le temps d'essayer) Mais j'imagine qu'il n'apportera rien en plus que kvm/libvirtd pour la partie grub.En kvm/libvirtd lors de l'installation avec virt-install il télécharge le kernel et initrd dans /var/libvirt/images (de mémoire) et le définit dans le fichier de définition xml. Je dois pouvoir retrouver la syntaxe exacte si vous voulez.Mvg,Seb -------- Message d'origine --------De : jean rave <jr(a)captainadmin.com> Date : 13/11/20 21:18 (GMT+01:00) À : Daniel Caillibaud <ml(a)lairdutemps.org> Cc : French SysAdmin Group <frsag(a)frsag.org> Objet : Re: [FRsAG] Quel orchestrateur KVM choisir ? Hello, KVM c'est sympas mais pas toujours facile à appréhender.J'ai beaucoup utilisé libvirt+virsh associé à des systèmes de déploiement auto.On est content quand ça finit par marcher mais plus le temps passe, et plus ça devient old school.Depuis quelque temps, je suis passé pleinement sur proxmox + lxc Une gestion facile à prendre en main, le passage en cli ou via l'interface web ne gène pas.C'est flexible et agréable, et les commandes pct permettent énormément d'action pour la gestion.La mise à disposition de template basique ou la création de ses propres images, la gestion des ressources à chaud, un mode cluster etc ....Pour ton besoin de montage des vm, la commande pct mount @numvm ne fonctionne pas dans ton cas ?Logiquement il ne devrait pas te manquer grand-chose pour basculer dessus.Tous les paramètres sont accessibles à base de fichiers plats pour gérer tes vm, les dupliquer ou ta gestion des sauvegardes via lvm.Proxmox6 est assez mûr maintenant, installé avec debian, ça devient une combinaison plus intéressante que vmware par exemple.En mode cluster avec un filesysteme correctement partagé, on a une redondance avec un failover performant.Dans un vrack ovh par exemple on obtient une bascule automatique des ip entre les serveurs et donc une tolérance de panne importante.En espérant que ça puisse t'aider.Bonne soiréeLe ven. 13 nov. 2020 à 19:15, Daniel Caillibaud <ml(a)lairdutemps.org> a écrit :Bonjour, Je vous lis depuis qq temps mais c'est mon premier post ici, bonjour tout le monde ! Sur un host debian devant héberger des vms debian, je cherche un orchestrateur kvm en cli me permettant : 1) chaque vm dans son lv, avec ce lv montable sur le host 2) conf réseau permettant de définir une (ou deux) interface dans la vm sur le (ou les) bridges du host (un public et un privé, la plupart des vms n'ont pas d'ip publique) 3) si possible pas de grub dans la vm, on la démarre avec noyau/initrd du host 4) pas de nat (sauf snat pour que les vm privées puissent sortir sur internet), ni dhcp, ni dnsmask, ni autre fioriture. Pas besoin de HA (ni drbd ni ceph) J'ai testé, plus ou moins rapidement - libvirt+virsh : man virsh fait un peu peur, galère pour arriver à booter une première VM et s'y connecter, pas réussi à configurer le réseau proprement - ganeti : leur système de hook debootstrap semble sympa, mais idem, je suis resté comme un idiot sur la conf réseau. - proxmox : la doc est pas mal, commandes cli claires, j'ai une vm qui boot mais je réalise qu'avec un storage lvm-thin je peux pas monter son filesystem sur le host, je me suis arrêté là. Le montage du lvm sur le host, c'est ce qui me permet du backup incrémental avec plein de snapshots sur le serveur de backup (j-1, j-2, …, month-12, merci btrfs), ne pas avoir ça serait une vraie galère (doubler toute la procédure de backup/snapshots, car j'ai encore des hosts en stretch/lxc2). Si c'est plus simple avec xen plutôt que kvm, why not, mais j'ai pas l'impression que j'arriverai mieux à mes fins… Je suis donc preneur de tout conseil, merci à ceux qui prendront un peu de temps pour en donner ! PS: un peu plus d'infos sur le contexte J'utilise depuis pas mal d'années lxc en cli (vm debian sur host debian), tout marchait très bien - un lv par vm - création de vm simple avec - pour le contenu copie de lv ou debootstrap sur un lv vide - génération du /var/lib/lxc/lavm/config avec awk (y'a que l'ip qui change) - config réseau très simple avec un bridge sur le host et ip/nic déclarée dans la conf de la vm (en fait deux, br0 pour l'interface publique et br1 pour l'interface privée, sur vrack ovh), rien à modifier dans la vm (le host crée un nic veth-lavm qui s'appelle veth0 dans la vm et a la bonne ip) Mais depuis buster et lxc3, les choses se compliquent, y'a plein de services qui déconnent à cause de la nouvelle gestion des cgroup par systemd, et d'après mes lectures (nombreuses), pas tellement d'espoir, ma façon de faire avec un linux complet dans un conteneur n'est plus tellement dans l'esprit de lxc, le seul moyen d'y parvenir à peu près est de faire sauter pas mal d'isolations, lxc servirait alors plus à grand chose, autant tout faire tourner sur le host directement. -- Daniel Un jour Dieu me dit « cette chemise va t'aller » et "oh my Gad, Elmaleh" _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/

1 0

Proxmox 6.2 : lenteur vzdump + très faible occupation CPU de pigz
by Guillaume LUCAS 10 Nov '20

10 Nov '20

Bonjour, Nous avons deux clusters Proxmox. L'un en version 4.4, l'autre en 6.2. Nous avons migré nos VMs de l'un à l'autre (4.4 = > 6.2). La plupart de nos VMs occupent moins de 20 Go. Nous avons quelques rares VMs dont le disque dur atteint 1 To. Chaque nuit, un script maison fait un vzdump --pigz de toutes nos VMs. La destination est un MÊME montage NFS . Nous utilisons vzdump -mode snapshot -compress gzip -pigz 1 -dumpdir $ partage _NFS $ VMID : * En moyenne, le débit est de ~ 137 Mo /s sur l e cluster Proxmox en version 4.4 ; * En moyenne, le débit est de ~ 31 Mo /s sur le cluster Proxmox en version 6.2 . Le s serveurs sous Proxmox 6.2 sont plus récent s ( 2 CPU de 64 thread s, 754 Go de RAM) que c eux en version 4.4 (2 CPU de 32 thread s, 300Go de RAM) , donc ils devraient fournir un débit supérieur ou égal . Ce n'est pas le cas. Nous utilisons -pigz 1 : * Sur l'ancien cluster, on constate, avec htop, que la moitié des cœurs CPU est utilisée à 100 % tout le long du vzdump ; * Sur le nouveau cluster, la moitié des cœurs CPU est utilisée durant les 5 premières secondes du vzdump, après quoi, l'occupation CPU est invisible. On a joué avec les options -compress, -pigz, -zstd : on a toujours un débit inférieur et une occupation CPU moindre à ce que l'on a sous P roxmox 4.4 . Le paquet pigz est installé. La version de pigz est plus récente sur les nouveaux Proxmox. Remplacer le binaire par celui des anciens Proxmox n'apporte pas de résultat. Quelqu'un a une idée ? Bonne fin de journée.

6 12