Dryusdan.space

Le cold brew pour un café froid

Dryusdan — Tue, 23 Jun 2026 08:24:00 +0200

Avec un titre comme ça, tout le monde va se dire "Berk, le café froid c'est déguelasse". Alors oui, celui qui a une infusion classique (67°C) ou avec un percolateur. Mais avez-vous essayé le "cold brew" ?

Le cold brew c'est une méthode d'infusion à froid qui, grosso modo, prend entre 8 et 12h (voire 24h si vous l'aimez très corsé). Niveau histoire ça remonterait au 17ème siècle. Le café est moins acide, moins amer (ça tabasse pas le bide) et les arômes sont présents et ne sont pas gâchés par trop d'amertume (lorsque je me loupe sur le café).

Mais je vous en parle aujourd'hui car il fait UNE CHALEUR (vous vous en êtes sûrement rendu compte) ce qui m'empêche de lancer le moindre truc qui chauffe. Sauf que vu la chaleur des nuits, il me faut du café pour tenir. Et là je me remémore un truc : il existe un café infusé à froid. Pas un expresso on the rock, vraiment un café infusé à froid. Tu prends une cafetière à piston (french press) ou une bouteille spécialement prévue pour, tu fous ton café, tu colles ça au frigo et quand tu te lèves le lendemain matin (soit grosso modo 8h après avoir préparé ton café) tu te sers.

Franchement entre le profil aromatique très intéressant, le fait que ça ne chauffe pas, le fait que ça ne peut pas refroidir je ne peux que le recommander. Apparemment il existerait plein de recettes aussi pour tuner son café, genre mettre du sirop de canne, une lamelle de citron, de l'eau pétillante, du tonic (hu?)... J'ai quand même suivi un tuto pour faire mon premier cold brew.

Bref je recommande

Bon courage pour cette chaleur !

Chaleur

Dryusdan — Sat, 20 Jun 2026 13:05:00 +0200

Petit billet d'humeur sur la chaleur actuelle et les 40°C prévus demain à Nantes et 45°C lundi selon le modèle ARPEGE (source météociel)

Mais qui aurait pu le prévoir ? En 2024 le gouvernement nous a lâché un énorme "va falloir s'adapter à une augmentation des températures climatiques de 4°C.". Maintenant, paniqué il nous demande de boire de l'eau et d'appeler un numéro vert (et Paris achète des climatiseurs).

S'adapter est le maitre mot et je suis d'accord parce que malheureusement on a plus le choix. J'ai personnellement actionné un bon nombre de levier de mon côté pour éviter ce +4°C, il en reste encore (comme le fromage dont les vaches laitières vont terriblement souffrir (Dr. Serge Zaka)). La faune et la flore en général vont souffrir (y a qu'à voir la taille des salades au mois de mai, elles étaient minuscules).

Mais après les leviers personnels, qu'est-ce qu'il reste ?

Est-ce qu'on a vu des actions visant à densifier la végétation en ville ? À lutter contre les ilots de chaleur (d'ailleurs météofrance à sortie une carte et Nantes fait un +4°C) ? À protéger les logements du soleil et plus généralement à protéger les personnes ?

Non. Nous avons élu un gouvernement (il s'agit d'un raccourci, je n'ai pas parlé de la manipulation et des ingérences étrangère) qui décide de nous protéger uniquement contre les menaces physiques (et se protéger par la même occasion), mais ni contre une ingérence étrangère (coucou Twitter) ni contre la chaleur. Après c'est compliqué de coller une balle aux rayons UV.

Pourtant il y a des choses "simples" à mettre en place, mais comme cela nécessiterait de contraindre une partie de la population, nos politiques font le choix de laisser des gens dans des appartements sans volets, sous les toits en zinc.

Vraiment, quand je parle de choses simples, je parle pas de refaire l'architecture de tous nos bâtiments ou de remplacer le capitalisme (chaque chose en son temps pour éviter de perdre trop de monde), mais simplement d'imposer des volets extérieurs à chaque fenêtre et Velux, idéalement des auvents, faciliter voir imposer l'installation de ventilateur de plafond car oui, même si c'est moche ça fait circuler l'air, permet de réduire la chaleur ressentit ou d'aider à réchauffer la pièce en hiver (Leroymerlin même si plein de site semblent d'accord ainsi que des retours que j'ai eus), d'interdire la taille des haies et des arbres après mars / avril (non parce que les tailles haies sous 35°C en mai, c'était quoi le plan ? Faire crever la végétation ?) et idéalement de réduire le nombre de place de parking pour y mettre des énormes bacs à fleur plein de fougère et d'arbustes. Peut-être réduire le nombre de lumière allumé la nuit (pour pouvoir dormir le volet ouvert) et imposer une limite sonore aux véhicules (comment ça la limite sonore ça existe déjà ?).

Bien sûr que ce n'est pas un truc qui se fait en 6 mois, mais en 2024 on nous annonçait déjà "on va devoir s'adapter". En 2026 on aurait déjà pu un peu s'adapter et peut-être subir un peu moins la chaleur la nuit.

Après nous avons du technosolutionnisme comme ce magnifique essai d'ilot de fraicheur à Rezé dans une zone ultra minérale (je ne sais même pas ce qu'il en est devenu d'ailleurs).

De mon côté j'ai acheté des films anti UV pour mes fenêtres orientées plein sud sans volet, ça marche très bien. La couverture de survie aussi en vrai mais c'est plus fragile. J'ai couvert mon balcon d'un caillebotis en bois, car le bois stock moins la chaleur et renvoie une partie des rayons pour éviter que le balcon chauffe et fasse chauffer le bâtiment (couvrir la terrasse de caillebotis c'est, malheureusement, hors de prix). J'en ai vu les effets, la salle avec les fenêtres plein sud ne chauffe plus par effet de serre et le balcon est plus frais plus rapidement selon le thermomètre.

Petit disclamer, j'habite Nantes pas totalement par choix mais surtout parce que j'y travaille. J'ai grandi à la campagne, pas loin de Nantes, donc être entouré de béton c'est pas vraiment mon kiff (et je pense pas pour beaucoup)?

D'ailleurs pour les Nantais·e·s, Nantes à fait une carte et a mit en place quelques zones de fraicheur : https://metropole.nantes.fr/actualites/fortes-chaleurs-270-lieux-ou-se-mettre-au-frais-a-nantes-et-dans-la-metropole (Bon, il faut sortir et on ne peut pas y dormir).

Classique, ça devait être une note, c'est quasiment un article. J'avais besoin d'une soupape, la chaleur a le même effet pour moi que les phares d'une voiture pour un lapin sur l'autoroute.

Et je suis tombé sur cette chronique sur Instagram : https://www.instagram.com/p/DZc21VcNo0a qui essaye de faire prendre un peu de recul sur le discours moralisateur "vous faites pas assez d'effort".

Sur ce, hydratez vous bien, force et courage !

Photo de Jonas Weckschmied

Ne pas perdre le lien entre l'interface Incus et SystemD

Dryusdan — Sun, 17 May 2026 18:06:00 +0200

J'ai rencontré⋅e avec mon lab un petit problème, surtout en ce moment où il y a une faille critique détectée tous les deux jours : si je redémarre systemd-networkd, Incus n'arrive plus à utiliser l'interface créée par SystemD à laquelle Incus est rattachée (Épisode 3 de ma série "Mon lab").

J'ai ouvert un bug côté Incus qui m'a répondu qu'une commande existe (et que c'est systemd qui supprime et recréer l'interface) :

ip link set vxlan5 parent br5

Problème, il n'y a pas d'équivelent à parent dans la documentation de SystemD (enfin facilement trouvable=. Mais il existe 4 autres options qui permettent de se lier à une interface parente (dont BATMAN)

Mais là où ça devient plus intéressant c'est que juste au dessus systemd présente une autre option qui permet que lors d'un reload ou restart, l'index de l'interface ne va pas changer, ce qui correspond TOTALEMENT avec mon problème vu que Incus perd l'interface car l'index change. Il s'agit de KeepMaster. Je l'ai mis sur mes interfaces VXLAN et je peux redémarrer systemd-networkd sans aucun problème !

Sur ce, à bientôt !

Mon lab - Épisode 4 : Étendre les réseaux

Dryusdan — Fri, 15 May 2026 10:30:00 +0200

Dans l'article précédent, j'ai expliqué comment créer une multitude de réseaux ethernet (L2) isolés les uns des autres grâce au VXLAN.

Aujourd'hui je vais expliquer comment j'ai pu étendre un VXLAN jusqu'à un hyperviseur hébergé dans un datacenter et donc étendre un réseau de type L2 sur plusieurs centaines de kilomètres.

Il y a une petite subtilité dans mon infrastructure : mon routeur possède un tunnel Wireguard dispensant ainsi mes hyperviseurs d'en avoir un chacun. S'il tombe, mes hyperviseurs n'ont de toute manière plus internet. De plus, je laisse au routeur tous les calculs à faire pour fragmenter des paquets, car sur mon lab j'ai un MTU de 9200 et que souvent les équipements réseaux sont configurés avec un MTU de 1500 (enfin d'un point de vue utilisateur).

La réalisation

Tunnelisons avec Wireguard

Pour étendre le réseau, je vais partir de l'article précédent. Je connecte d'abord chacun de mes hyperviseurs entre eux avec Wireguard. Cependant, je configure le tunnel Wireguard à l'aide de systemd-networkd et non wg-quick. Mais contrairement au précédent article je ne vais pas configurer les VXLANs sur l'interface eno1 mais sur wg0. Comme, par exemple, dans mon fichier /etc/systemd/network/50-wg0.network :

[Match]
Name=wg0

[Network]
Address=100.64.0.5/32
Address=fd42:6c33:87f2::a/128

# VXLAN
VXLAN=vxlan199876

[Route]
Destination=100.64.0.1/32
Scope=link

[Route]
Destination=fd42:6c33:87f2::1/128
Scope=link

[Route]
Destination=100.64.0.13/32
Scope=link

[Route]
Destination=fd42:6c33:87f2::f/128
Scope=link

[Route]
Destination=172.25.0.0/24
Scope=link

Je vais pas vous présenter comment configurer Wireguard avec systemd-networkd, ce n'est pas le but de cet article mais voici un article que j'ai trouvé bien expliqué (archive).

Toujours dans la configuration réseau, je vais devoir modifier la valeur de la clé Local dans /etc/systemd/network/20-vxlan10.netdev et la remplacer par l'IP de l'interface wg0. Je vous assure que j'ai galéré quelques temps, car je ne comprenais pas pourquoi FRR annonçait comme next-hop l'IP public de mon instance et non wireguard. Tout ça parce qu'en réalité le VXLAN était annoncé sur l'IP public.

Dernier petit détail très important : le MTU. Wireguard utilise un MTU de 1420. Dans l'article précédent je vous indiquais que VLXAN utilise 50 bytes s'il communique en IPv4 et 70 s'il communique en IPv6. Il faut donc adapter en conséquence la valeur de MTUBytes par 1370 (IPv4) ou 1350 (IPv6) sur les interfaces VXLANs (donc dans les fichiers vxlan*.network).

Annonçons avec FRR

Dans cette partie-là il n'y a quasiment rien à adapter, vous annoncez votre peer auprès de tous vos FRR et voilà. Il peut cependant être de bon aloi d'éditer légèrement la configuration du deamon bgp (dans le fichier /etc/frr/daemons) pour qu'il écoute uniquement sur l'adresse IP de l'interface Wireguard et non de toutes les interfaces en replaçant la ligne

bgpd_options="   -A 127.0.0.1"

par

bgpd_options="   -A 127.0.0.1 --listenon 100.64.0.5"

Et c'est tout. Honnêtement je m'attendais à quelques galères en plus mais la plus grosse complexité a été de comprendre pourquoi FRR annonçait l'IP public et pas l'IP du peer (la fameuse histoire du Local plus haut).

Les performances

Avant de parler performance, je présente un peu l'environnement des tests. Mon lab est hébergé sur une ligne Free à Nantes, les hyperviseurs étaient deux instances hébergées chez Scaleway, une dans l'AZ Paris 1 et l'autre dans Paris 2. Il est possible que les performances aient pu bénéficier d'un impact positif du fait que Free et Scaleway sont dans le même groupe.

Pour en revenir aux performances, je n'ai rien vu de notable. Le ping entre deux LXC dans un VXLAN sur les deux instances étaient similaires à ce que j'ai en passant par l'interface publique.

root@cloud-hv ~ # ping -c 4 151.115.146.191
PING 151.115.146.191 (151.115.146.191) 56(84) bytes of data.
64 bytes from 151.115.146.191: icmp_seq=1 ttl=54 time=2.00 ms
64 bytes from 151.115.146.191: icmp_seq=2 ttl=54 time=1.72 ms
64 bytes from 151.115.146.191: icmp_seq=3 ttl=54 time=1.71 ms
64 bytes from 151.115.146.191: icmp_seq=4 ttl=54 time=1.63 ms

--- 151.115.146.191 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3006ms
rtt min/avg/max/mdev = 1.634/1.764/1.999/0.139 ms


root@test-cloudy:~# ping 10.0.0.112 -c 4
PING 10.0.0.112 (10.0.0.112) 56(84) bytes of data.
64 bytes from 10.0.0.112: icmp_seq=1 ttl=64 time=1.70 ms
64 bytes from 10.0.0.112: icmp_seq=2 ttl=64 time=2.22 ms
64 bytes from 10.0.0.112: icmp_seq=3 ttl=64 time=1.71 ms
64 bytes from 10.0.0.112: icmp_seq=4 ttl=64 time=1.57 ms

--- 10.0.0.112 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3005ms
rtt min/avg/max/mdev = 1.569/1.799/2.224/0.250 ms

Et entre mon lab et le container sur l'instance, le ping est terriblement raisonnable

root@test-cloudy:~# ping 10.0.0.1 -c 4
PING 10.0.0.1 (10.0.0.1) 56(84) bytes of data.
64 bytes from 10.0.0.1: icmp_seq=1 ttl=64 time=15.0 ms
64 bytes from 10.0.0.1: icmp_seq=2 ttl=64 time=15.3 ms
64 bytes from 10.0.0.1: icmp_seq=3 ttl=64 time=15.2 ms
64 bytes from 10.0.0.1: icmp_seq=4 ttl=64 time=15.6 ms

--- 10.0.0.1 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3018ms
rtt min/avg/max/mdev = 15.042/15.294/15.592/0.198 ms

Pour vérifier si des plus gros paquets n'allaient pas rencontrer de vrais problèmes, j'ai lancé un iperf entre un LXC sur mon lab et un container chez Scaleway. Et je n'ai rien vu de problématique

root@gw-test ~ # iperf3 -c 10.0.1.185
Connecting to host 10.0.1.185, port 5201
[  5] local 10.0.0.1 port 51856 connected to 10.0.1.185 port 5201
[ ID] Interval           Transfer     Bitrate         Retr  Cwnd
[  5]   0.00-1.00   sec  89.5 MBytes   750 Mbits/sec    0   2.04 MBytes
[  5]   1.00-2.00   sec   103 MBytes   863 Mbits/sec    0   2.04 MBytes
[  5]   2.00-3.00   sec  84.6 MBytes   711 Mbits/sec  330   1.56 MBytes
[  5]   3.00-4.00   sec  91.0 MBytes   764 Mbits/sec    0   1.69 MBytes
[  5]   4.00-5.00   sec  87.0 MBytes   729 Mbits/sec  181   1.26 MBytes
[  5]   5.00-6.00   sec  75.0 MBytes   629 Mbits/sec    0   1.34 MBytes
[  5]   6.00-7.00   sec  82.1 MBytes   689 Mbits/sec    0   1.40 MBytes
[  5]   7.00-8.00   sec  78.8 MBytes   661 Mbits/sec    0   1.44 MBytes
[  5]   8.00-9.00   sec  80.9 MBytes   677 Mbits/sec    0   1.47 MBytes
[  5]   9.00-10.00  sec  72.6 MBytes   610 Mbits/sec   44   1.06 MBytes
- - - - - - - - - - - - - - - - - - - - - - - - -
[ ID] Interval           Transfer     Bitrate         Retr
[  5]   0.00-10.00  sec   844 MBytes   708 Mbits/sec  555            sender
[  5]   0.00-10.02  sec   842 MBytes   705 Mbits/sec                  receiver

Alors certes il y a un peu de retransmit, ce qui est léger voire normal compte tenu de l'ajout de couches, de mon réseau, du fait que je suis sur une fibre partagée, que l'hyperviseur hébergeant l'instance est également partagé. Bref, ça ne me choque pas.

Et voilà comment étendre une VXLAN entre plusieurs datacenter 😁

Cet article signe la fin de cette série. Série qui m'a demandé beaucoup de recherches, du développement et de longues soirées pour la mettre en place. Série que j'ai adoré écrire et vous partager.

Sur ce, portez-vous bien :)

Photo de Danny Postma

Qu'est ce qui tourne chez moi ?

Dryusdan — Sat, 09 May 2026 14:00:00 +0200

Après avoir refait mon lab par une infra bien plus complexe (mais bien plus drôle), j'ai commencé à rechercher des outils que j'aimerais mettre ou remettre en place. Sachant que ces outils sont quasiment tous déployés soit avec mes playbooks Ansible ou avec ArgoCD sur mon cluster Kubernetes.

Et pourquoi ne pas vous en parler ? Vous pourriez découvrir certaines applications ou m'en partager d'autres (tant que je n'ai pas remis les commentaires, vous pourrez trouver tout ce qu'il faut pour me contacter sur la page /hello).

Je possède deux types d'applications : les applications du quotidien et les applications techniques.

Au quotidien

Nextcloud + CollaboraCode : Un cloud selfhosted avec l'édition de fichiers collaboratifs en ligne. C'est lourd, mais pour le moment ça reste encore suffisament user friendly et ça répond encore à mon besoin pour avoir la flemme de chercher autre chose.
Jotty : Un outil de prises de notes, de To-do list et de Kanban. Découvert grâce à Linuxine. Il a très vite été adopté et a remplacé Vikunja qui ne voulait pas démarrer avec un container rootless sur Kube.
SignaturePDF : Un petit outil en PHP qui permet tout un tas de modifications de PDF (signer, mettre un filigrane, supprimer des pages, changer l'orientation...). Franchement une très bonne boite à outils, un indispensable selon moi, ça ne prend pas de ressources et ça permet de remplir tous plein de documents.
Tandoor recipes. Lorsque je l'ai installé c'était un outil de recettes de cuisine qui peut importer les données de certains sites. Aujourd'hui il gère le menu de la semaine, les recettes, les courses, le contenu du frigo. Je n'utilise clairement pas tout, mais je le garde quand même, ça reste pratique.
Ovumcy : Un outil de suivi des cycles menstruels. Au-delà d'éviter une grossesse ou à l'inverse concevoir, je découvre que ce type d'outils peut tout simplement permettre un suivi de santé liée aux périodes du cycle en proposant de décrire ses symptômes. Ces informations peuvent être, au besoin, utilisées lors d'un suivi médical. Forcément l'application est self-hosted et mobile first. Ça permet donc que ces données ne soient pas accessibles par une entreprise quelconque ou qu'un trou du cul puisse faire la chasse aux avortements.
Paperless-ngx : Un outil pour trier et classifier vos documents. Il se base, notamment, sur NLTK pour faire de la reconnaissance automatique. Cette semaine, par exemple, j'ai mis ma fiche de paie qui a été triée dans le dossier "Fiches de paie" et taggué au nom de ma boite en y ajoutant la date et tout. J'ai également reçu le reçu fiscal de Framasoft qui a directement été trié dans le dossier impôt, la bonne date, et marqué comme type "Reçu fiscal".
Vaultwarden. Je pense que vous connaissez déjà celui-ci, mais je vais tout de même le présenter. Il s'agit d'un gestionnaire de mots de passe self hosted et qui possède différentes extensions et applications mobiles très complètes. Il retire le côté chiant de devoir synchroniser un .kdbx sur tous ses appareils et donc il est plus avenant pour les néophytes, mais la surface d'attaque est donc plus grande.
Fittrackee : Il s'agit d'une application permettant de suivre ses activités sportives. Je l'utilise principalement pour conserver mes données et ainsi éviter de m'enfermer dans une marque d'équipement.
Kresus : Un gestionnaire de compte. Je l'utilisais beaucoup, malheureusement ma banque a explosé son interface il y a plusieurs mois empêchant le scrapping des données 🙁. Et je le protégeais derrière GoAuthentik (que je mentionne plus bas). :D
Jellyfin : Un média center.
Hortufox : Un tracker de plantes chez soi. Je l'utilise notamment pour enregistrer la fréquence d'arrosage, le type de terre et si elles sont malades ou pas.
Wallabag : Un read it later, alternative à Pocket. Ça permet de mettre dans un coin une page web (avec sauvegarde en cache local) et la relire plus tard.
FreshRSS : Un outil d'agrégation de flux RSS. Pour les non techniques, un fichier RSS est un fichier mis à disposition par un site pour être récupéré par une application comme celle-ci. Cela permet d'avoir une application de news pour tous les sites au lieu d'une application par site. C'est bien pratique.
Addy.io : Un outil de gestion d'alias et de forward d'email. Mozilla propose un service similaire avec 5 alias.
Wishthis : Un outil de gestion de listes de souhaits. Je l'ai utilisé un temps, je l'ai délaissé depuis, mais il est encore présent. Faut en avoir l'utilité.
GoAuthentik : Mon SSO/LDAP. On pourrait penser que ce n'est pas utile, mais dès qu'on partage certaines applications à des ami⋅e⋅s ou à sa famille, c'est tout de suite bien plus pratique pour tout le monde. Ils n'auront qu'un mot de passe à utiliser, je sais à quelles applications ils ont accès et je peux forcer la double authentification ou imposer une "robustesse" du mot de passe.

Voilà globalement tous les services non techniques que j'utilise et que je partage à mes proches :)

Les services techniques

J'ai aussi deux trois services techniques, soit pour gérer ça, soit pour le fun

Forgejo : C'est ma forge logicielle
Healthchecks : Un outil qui me permet de monitorer certaines tâches cron (genre les backups, certains fetch de donnée) et qui m'alerte en cas de fail.
Rudder : Un outil de maintien en conformité de mes serveurs. Vous vous souvenez de copy.fail ? En 5 minutes toutes mes machines ont été patchées et j'étais sûr qu'elles l'ont été.
Knot DNS : Mon serveur DNS faisant authorité
Archivebox : Un outil pour sauvegarder son morceau du web, de page que je ne souhaite pas voir disparaitre. J'en ai même fait un article
Zabbix : Pour mon monitoring.
Bientôt de la métrologie (Prometheus ou Victoriametrics)
Hockeypuck : Un serveur de clé PGP fédéré (utilisé par Canonical qui eux ne fédèrent pas è_é)
Netbox : Mon outil de gestion d'infrastructures. J'y ai mes switch, mes 70 machines, sur quel port RJ45 est branché quel hyperviseur...
OpenBao : Un fork de Hashicorp Vault pour la gestion des secrets (très utile avec l'automatisation)

Je pense avoir fait le tour des applications principales. C'est grosso modo une liste, mais si elle peut vous faire découvrir certaines applications, je suis content⋅e.

Sur ce, portez-vous bien :)

Photo de Mudit Jain

Augmenter la taille d'un RAID5 et son LVM

Dryusdan — Mon, 16 Feb 2026 08:00:00 +0100

Il arrive, parfois, d'être à court de place sur son NAS maison. Dans ce cas vous avez 3 options :

Faire du ménage
Changer les disques un à un par des disques plus gros
Si vous NAS le permet : ajouter un disque

J'ai déjà dû, par le passé, remplacer les disques un à un pour des disques plus grands. Ça prend la semaine à faire et j'avoue ne pas l'avoir documenté. Mais aujourd'hui je vais rajouter un disque dans mon NAS.

J'utilise des Western RED 6To (qui ont pris 60€ en 2 ans) 😵‍💫 en RAID 5. Je n'ai jamais été déçu et ils ont remplacé avec brio mes Western RED 3To qui ont tourné de 2018 à 2024 sans relâche (et qui vont de nouveau être utilisés pour le cloud familial).

Bon, il est l'heure de changer le disque ! La partie hardware je vous laisse la faire, y a rien de bien sorcier mais chaque machine étant montée différemment présenter comment faire ici serai peu utile. Par contre la partie software ça je vais vous montrer comment faire 😁

Une fois le nouveau disque installé, il faut le partitionner. Soit vous vous souvenez de votre partition, soit un coup de sfdisk (qui vient avec fdisk) suffit si c'est le même disque.

sfdisk --dump /dev/sda | sfdisk /dev/sdb

Ça fonctionnera surement avec un disque similaire, mais vous pouvez avoir un message concernant une taille de cylindre différente.

Il va maintenant falloir ajouter le disque dans la grappe RAID (5, toujours)

mdadm --add /dev/md0 /dev/sdb1

Mais on ne s'arrête pas en si bon chemin, il faut spécifier à mdadm qu'il faut utiliser 4 disques et non 3 comme avant, notamment pour éviter que le nouveau disque soit ajouté comme disque de spare (ça fait cher le stockage sinon).

mdadm --grow --raid-devices=4 /dev/md0

Il ne reste plus qu'à attendre en regardant /proc/mdstat (ça a mit 36h pour moi)

root@cookie ~ # cat /proc/mdstat
Personalities : [raid6] [raid5] [raid4] [raid0] [raid1] [raid10]
md0 : active raid5 sdb1[4] sdc1[0] sda1[1] sdd1[3]
      17581168128 blocks super 1.2 level 5, 512k chunk, algorithm 2 [4/4] [UUUU]
      bitmap: 2/44 pages [8KB], 65536KB chunk
      [>....................]  resync =  0.01% (957244/17581168128) finish=4125min speed=95724K/sec

unused devices: <none>

(c'est pas totalement la vraie sorti mdadm, j'ai oublié de les noter pour l'article).

Au bout de ces 36h, il faut indiquer à lvm que le disque est plus grand pour pouvoir augmenter la taille du LVM dessus et infine la taille du filesystem.

pvresize /dev/md0
lvextend -l +100%FREE /dev/mapper/srv--data-data
resize2fs /dev/srv-data/data

Bien entendu le srv--data-data c'est le chemin vers mon lv, indiquez le vôtre à la place

Et vous voilà avec un nouveau disque en plus ! (ça va aussi me servir de note, je ne fais pas ça tous les jours)

Sur ce, portez-vous bien :)

Photo de William Warby

Rétrospective Janvier 2026

Dryusdan — Fri, 13 Feb 2026 17:30:00 +0100

Hey o/

As usual, la rétrospective qui arrive 15 ans après le début du mois. J'ai d'ailleurs bougé toutes mes rétrospectives dans les notes. Je trouve que ça "pollue" un peu trop ma homepage.

Moi

En janvier j'ai publié l'article finalisant la série d'article "mon home lab". Je me suis pas mal arraché pour l'écrire, entre l'apprentissage et la mise en œuvre. Aujourd'hui je suis sur la fin de la migration de mon infrastructure legacy vers la nouvelle, ça prend un temps monstre. Cependant je m'attendais à un peu plus d'engouement 😅. Je pense que j'ai pas eu la bonne mentalité, certes je l'ai fait pour moi mais aussi pour prouver ce que je pense valoir. Je n'ai pas vu l'article partagé, et vu qu'au boulot on essaye de m'expliquer comment fonctionne le bouton power de mon ordinateur en ce moment (je caricature un peu mais vite fait), j'ai un peu de mal à avoir l'impression d'être bon 😓. J'en reste fier, c'est mon cloud maison, j'ai appris ou revu pas mal de truc (incluant du Kubernetes, BGP + BGP EVPN, du VXLAN), mais c'est pas impressionnant ni compliqué quoi :D

Projet

Bloguidien a repris, il faut que je m'y remette également.

Météo

IL PLEUT... Tellement que je dois vider l'eau de mes bacs à fleur/fraise. J'espère ne pas perdre de plante là.

Série

Je me suis lancé dans la série Fallout, le gore visuel tranche beaucoup avec le burlesque des scènes. Ça reste une série sympa à regarder, bien que classique. Ça me donne envie de jouer aux jeux.

Les chiffres

Je ne les ai pas oubliés, juste décalé

Comme d'habitude : les chiffres.

Données	Valeurs	Tendances
Minutes de musique écouté	2 499 minutes	📉
Commit réalisés	732	📈
Article rédigé	1	📈
Commit réalisés	732	📈
Articles et notes rédigés	1	📈
Total de mots (en novembre)	2525	📈
Temps de lecture (183 mots par minute)	14 minutes de lecture	📈
Trafic généré	11,58 Go	📉
Liens partagés sur Dryusdan.link	6	📈

Sur ce, portez-vous bien.

Photo Daniel Lerman

Mon lab - Épisode 3 : Isoler les réseaux

Dryusdan — Sat, 17 Jan 2026 15:10:00 +0100

Dans l'article précédent, j'ai présenté l'objectif de ce projet, réaliser une infrastructure cloud like et pour ça je vais créer ce qu'on appelle communément dans le jargon : des VPC

Un schéma représentant 2 hyperviseurs dont leurs machines partages un même réseau tout en étant isolé des autres.

Avec quelle technologie ?

Il y a plusieurs approches pour isoler des réseaux les uns avec les autres, mais je n'en connais que deux :

Le VLAN
Le VXLAN

Le VLAN va taguer un paquet ethernet (L2) en indiquant l'ID du vlan. Il y a comme limite 4096 IDs (ce qui est beaucoup pour un réseau de particulier) et est difficilement scalable, par exemple vous pouvez difficilement tirer votre VLAN entre deux régions (sauf peut-être avec du L2TP). Par exemple si vous avez un hyperviseur à Nantes et un autre à Amsterdam, le VLAN ne sera pas le choix le plus judicieux ni le plus simple à mettre en place. Et ce n'est pas vraiment prévu pour être étendu.

Le VXLAN va, quant à lui, encapsuler un paquet ethernet dans un paquet UDP (L4) en ajoutant les infos nécessaires devant le paquet ethernet comme le VNI (un identifiant), le port source et le port de destination. On passe aussi d'une limite de 4096 IDs à 4 millions, c'est plus lourd d'un point de vue réseau (paquet plus gros, encapsulation), mais plus scalable et plus extensible. Vous pouvez plus facilement étendre ce réseau de type L2 virtuel entre plusieurs DC. D'un point de vue professionnel, le VXLAN a été principalement pensé pour les datacenters et le cloud, pour isoler les client⋅e⋅s entre elleux en leurs permettant de jouir pleinement de leur L2 comme s'ils étaient tout⋅e⋅s seul⋅es. Point bonus, si vous voulez jouer à Mario Kart sur Switch avec un⋅e pote à distance sans payer l'abonnement ? Vous collez votre switch dans un vxlan et vous êtes logiciellement côte à côte. Attention cependant, on parle d'encapsulation de L2 dans du L3, car on ne peut transporter un paquet ethernet que sur du L2 ou L3 et que parler de L4 perd un peu de sens. J'ai donc parlé de L4 (ce qui est vrai) mais on parle plus souvent de L3 dans ce cas.

Vous l'aurez compris, je vais donc utiliser du VXLAN, c'est plus gros, plus fun, plus Cloud.

Le VXLAN

Pour fonctionner, le VXLAN a besoin d'une VTEP qui est l'interface sur lequel il reçoit les paquets et un moyen de communiquer. La communication sert à deux choses, déjà recevoir les paquets (logique) mais aussi annoncer où se trouve telle ou telle adresse mac.

Déjà pourquoi annoncer une adresse MAC ? C'est le fonctionnement de la couche 2. Pour communiquer entre deux machines d'un même réseau local, votre ordinateur va hurler sur le réseau physique local "à qui appartient cette IP ?" et va enregistrer l'adresse mac de la réponse dans la table ARP. L'adresse MAC est un élément essentiel du fonctionnement du réseau physique.

Il y a plusieurs manières de faire communiquer plusieurs VTEP entre elles.

Multicast

La première est la plus simple : le multicast. Cette méthode va annoncer à tous les membres d'une adresse multicast les paquets de type broadcast, unknown unicast et multicast (aussi appelé "BUM"). Chacun des membres va profiter de l'annonce pour récupérer l'adresse MAC et l'insérer dans la "Forwarding Data Base" ou "FDB". En gros, vous avez deux VM dans un même vxlan (enfin segment réseau) sur deux machines différentes, la première va faire une requête ARP qui est un broadcast qui sera envoyé à toutes les VTEP, pour être transmise à toutes les VM de ce segment. Les VTEP qui reçoivent le paquet en profitent pour noter l'adresse MAC source qui a émis ce paquet et d'où il vient "Le paquet reçu à telle adresse MAC et a été envoyé par cette VTEP ci". L'inconvénient de cette méthode c'est que sur une infrastructure conséquente ça bombarde de paquets pour savoir à qui appartient quoi à travers tout le réseau sur lequel est ce multicast. C'est là où intervient la seconde manière : l'unicast.

Unicast

Le principe ici est d'indiquer à chaque VTEP où sont les autres, ça a le mérite d'éviter de ne pas saturer le réseau avec du multicast, mais à chaque nouvel ajout de machine (ou suppression) il faut reconfigurer toutes les VTEP pour ajouter une nouvelle.

BGP EVPN

Pour éviter de reconfigurer chaque VTEP il existe un moyen qui est... D'écrire manuellement la FDB ou d'automatiser ça avec BGP ! Et c'est ce que j'utilise !

Rapide aparté (encore) sur ce qu'est le BGP. BGP pour Border Gateway Protocol est un protocole d'échange de route. Une route c'est le chemin que va faire un paquet entre le routeur A et le next-hop (le routeur suivant) qu'on va appeler routeur B.

Pour faire simple, pour aller de ton PC à 192.0.2.5, ton paquet va aller de routeur en routeur par un chemin qui a été (très probablement) défini par des échanges BGP.

Pour faire encore plus simple et article sensationnel : Ça porte internet (et internet, les connexions entre réseaux, pas le web avec des applications chez AWS là que les journalistes appellent internet)

(C'est très simplifié car bien évidement c'est plus complet et complexe que ça)

J'utilise plus particulièrement BGP EVPN (RFC 7432) qui permet ainsi de créer des routes avec des MAC (route de type 2) et non pas des IPs.

kida.srv.dryusdan.net# sh evpn mac vni 436
Number of MACs (local and remote) known for this VNI: 5
Flags: N=sync-neighs, I=local-inactive, P=peer-active, X=peer-proxy
MAC               Type   Flags Intf/Remote ES/VTEP            VLAN  Seq #'s
10:66:6a:5f:80:a1 local        tap1503e6bb                    1     0/0
10:66:6a:31:61:5b remote       198.51.100.30                          0/0
10:66:6a:9f:8d:a4 remote       198.51.100.30                          0/0
10:66:6a:cb:93:62 remote       198.51.100.28                          0/0
10:66:6a:79:a7:8d remote       198.51.100.30                          0/0

Dans l'exemple ci-dessus on aperçoit que les adresses MACs 10:66:6a:31:61:5b, 10:66:6a:9f:8d:a4 et 10:66:6a:79:a7:8d sont joignables à l'adresse IP 198.51.100.30, donc les requêtes vers ces MACs là seront envoyéds vers cette IP. Mais BGP EVPN ne s'arrête pas là, il partage également les VNI (route de type 3) afin d'indiquer par tel VTEP on peut joindre tel VNI.

Vous avez la théorie ? Maintenant on va passer à la pratique :D

Pratiquons

Dans les articles précédents j'ai indiqué que j'utilise Incus. Bien entendu il est possible de faire fonctionner un VXLAN avec Proxmox ou Opennebula (par exemple) mais je n'expliquerai pas comment ici. Libre à vous de partager comment vous avez fait ;)

Dans les exemples ci-dessous, les hyperviseurs sont situés dans le réseau 198.51.100.0/24.

BGP danse avec FRR

J'utilise FRR pour faire du BGP EVPN, notamment, car il va aller trifouiller la FDB du Linux et récupérer les VNI pour créer les routes de type 3 ainsi que les veth présents sur la machine pour partager les macs (route de type 2). Il va grosso modo faire une bonne partie du boulot.

L'installation est très simple

apt install frr

Ensuite dans le fichier /etc/frr/daemons je passe la ligne bgpd à yes : bgpd=yes. Une fois cela fait je configure frr au travers de son fichier /etc/frr/frr.conf

!
password COIN
!
no ip forwarding
no ipv6 forwarding
!
!
router bgp 65534
  bgp router-id 198.51.100.29
  no bgp default ipv4-unicast
!
  neighbor fabric peer-group
  neighbor fabric remote-as 65534
  neighbor fabric capability extended-nexthop
!
  address-family l2vpn evpn
    neighbor fabric activate
    advertise-all-vni
  exit-address-family
!
  neighbor 198.51.100.28 peer-group fabric
  neighbor 198.51.100.28 password COIN
  neighbor 198.51.100.28 description Kashekim
!
!
  neighbor 198.51.100.29 peer-group fabric
  neighbor 198.51.100.29 password COIN
  neighbor 198.51.100.29 description Kida
!
!
  neighbor 198.51.100.30 peer-group fabric
  neighbor 198.51.100.30 password COIN
  neighbor 198.51.100.30 description Audrey
!
!

Je crée d'abord un router BGP portant le numéro d'ASN 65534. Bien entendu il est préférable de prendre des numéros d'ASN interne (référencé sur Wikipedia). Je définis un identifiant unique (ici c'est l'IP mais ça peut être autre chose).

Je crée un groupe nommé fabric et je lui permets de peer en IPv6 en plus de l'IPv4.

Ensuite j'accepte les routes de type l2vpn evpn et j'annonce les routes de type 3 avec la commande advertise-all-vni (j'active tout simplement l'EVPN).

!
  address-family l2vpn evpn
    neighbor fabric activate
    advertise-all-vni
  exit-address-family
!

Puis je définis mes peers.

systemctl restart frr

Je redémarre FRR et cette partie est finie !

Interfaçons Linux

Après FRR, il faut s'attaquer aux VTEP. Incus permet de configurer pour nous des interfaces vxlan, cependant uniquement en multicast ou unicast. Donc cela ne me convient pas (vu que j'utilise BGP). Il va falloir les configurer "à la main". Personnellement j'utilise systemd-networkd, ce qui est pratique en plus, car je peux générer la configuration dans Ansible avant de sortir un to_ini.

Cela me parait aussi être le moment idéal pour vous parler du MTU. L'encapsulation VXLAN prend 50 bytes en IPv4 et 70 en IPv6. C'est-à-dire que sur les 1500 par défaut il va rester entre 1450 (IPv4) et 1430 (IPv6) pour la trame ethernet encapsulé.

Petite explication, le MTU c'est la taille maximale qu'une trame ethernet va pouvoir faire. Par défaut c'est 1500 bytes, mais dans des environnements maitrisés il peut être plus grand (souvent 9000).

Lorsqu'un paquet plus grand que ce qui est configuré sur l'interface arrive, il est tout simplement ignoré. Si un paquet arrive par une interface avec un MTU de 9000 et doit sortir avec sur un MTU de 1500, le routeur va découper le paquet en plus petit morceau. Cette opération va avoir un coût en termes de ressources consommées.

Dans systemd-networkd nous allons créer 2 fichiers et modifier la définition réseau de l'interface de la machine. Le premier sera la définition de l'interface virtuelle vxlan10 que j'ai créé : /etc/systemd/network/20-vxlan10.netdev

[NetDev]
Name = vxlan10
Kind = vxlan

[VXLAN]
VNI = 10
Local = 198.51.100.29
MacLearning = False
DestinationPort = 4789
KeepMaster = True

Ici je crée une interface qui a pour nom vxlan10 que je la définis comme étant de type vxlan. Ensuite j'indique l'adresse IP sur laquelle cette VTEP sera présente (en l'occurance l'IP de la machine vu que je n'ai qu'une seule carte et pas de vrf), je définis le VNI qui est l'identifiant unique sur 4 millions (10 ici), je désactive l'apprentissage des adresses mac source, car c'est FRR qui s'en charge et je mets le port de destination à 4789 qui est le port officiel (bien que par défaut il est à 8472 pour des raisons de legacy). L'option keepMaster permet, en cas de redémarrage de systemd-networkd, (par exemple avec une mise à jour) de conserver le lien avec l'interface parente sinon le bridge d'Incus perd l'interface systemd et doit être reconfiguré.

L'interface virtuelle est créée, maintenant il faut configurer son réseau dans le fichier /etc/systemd/network/30-vxlan10.network

[Match]
Name = vxlan10

[Link]
MTUBytes = 1450

[Network]
LinkLocalAddressing = False
IPv6AcceptRA = False
ConfigureWithoutCarrier = True
RequiredForOnline = no-carrier

[Bridge]
NeighborSuppression = True

Ici, je configure l'interface vxlan10 en paramétrant le MTU à 1450 (sinon systemd va le définir tout seul en fonction du MTU configuré sur la carte à laquelle cette VTEP sera raccroché). Je désactive tout réseau dessus, car cette carte ne va faire que transiter du paquet. Donc pas de link-local, pas de SLAAC et on ajoute un peu de tambouille systemd pour éviter que ça bloque le démarrage.

Maintenant j'ajoute une petite ligne dans la définition de l'interface eno1 dans le fichier /etc/systemd/network/10-eno1.network

[Match]
Name=eno1
Type=ether

[Network]
DHCP=ipv4
SLAAC=yes
ClientIdentifier=mac
# VXLAN
VXLAN=vxlan10

[Link]
MTUBytes=1500

[DHCP]
UseDNS=yes

Un redémarrage de systemd-networkd et la première VTEP apparait dans nos listes d'interfaces.

systemctl restart systemd-networkd

Si vous ne voulez pas utiliser systemd-networkd, la commande suivante va configurer cette interface. Cependant, ce n'est pas "reboot proof"

ip link add vxlan10 type vxlan id 10 dstport 4789 dev eno1
ip link set dev vxlan10 up

Virtualisons !

La dernière étape, configurer Incus. En tant normal j'aurais apprécié brancher les machines dessus mais Incus bloque. Je vais donc créer un bridge qui va inclure cette interface (comme un switch en gros).

Pour cela rien de plus simple, c'est bouclé en UNE commande :

incus network create br10 \
   bridge.driver=native \
   bridge.external_interfaces=vxlan10 \
   bridge.mtu=1450 \
   ipv4.address=none \
   ipv6.address=none

J'ajoute l'interface créée juste avant (vxlan10) et je force le MTU à 1450, car par défaut Incus va utiliser un MTU de 1500... Qui est donc plus grand que 1450 (et donc ça fait des chocapics). Comme pour l'interface au-dessus, je n'attribue aucune adresse IP. De toute façon ces adresses vont être configurées dans un dnsmasq qui n'est pas dans ce vxlan, donc ça va servir à rien.

Maintenant je crée une machine normalement en indiquant le réseau fraichement créé

incus launch images:debian/13/cloud test --network br10 --storage lvmfs

La machine a démarré sur ce réseau isolé des autres. Vous allez très vite le constater, mais dans un réseau comme celui-ci, il n'y a ni DHCP, ni DNS, ni gateway pour contacter l'extérieur, ni RIEN, NADA. L'article précédent mentionne l'automatisation mise en place pour traiter ce cas, mais ce n'est pas obligatoire (vous avez peut-être un usecase qui nécessite une machine isolée).

Mon lab - Épisode 2 : Automatiser ses gateways

Il est temps de refaire une nouvelle infra, surtout pour le fun et la technique. Le socle est en place, mais comment je fais transiter les paquets ? Et surtout comment automatiser tout ça ?

C'est le dernier épisode de cette saison 1, je m'attendais à ce qu'il soit beaucoup plus gros mais finalement pas tant que ça malgré des explications au début (j'adore les articles qui expliquent). Mine de rien je suis sur ce lab depuis mi-septembre sur mon temps libre (qui a été un peu bouffé les trois premiers mois) et j'ai commencé à migrer quelques applications depuis 2 semaines. Certes j'ai appris Kubernetes entre-temps et l'infrastructure conçu et développé pour être réinstallable sans effort (sans compter les backups à récupérer). Ce genre de conception prend pas mal de temps. C'est, mine de rien, un gros projet qui m'a permis d'apprendre pas mal de choses.

Y a une saison 2 qui arrivera pas avant Mars (pour des raisons de coût) qui va montrer l'intérêt de VXLAN notamment en l'étendant dans des datacenters et donc étendre mon lab sans que les machines ne voient de différence (enfin techniquement). C'est en projet, mais avant : je vais migrer mon infra actuelle vers cette belle infra (ça va me permettre de réinstaller mon serveur legacy par la même occasion 😁).

Voici quelques ressources que j'ai utilisées pour apprendre

VXLAN & Linux

VXLAN est un protocole réseau pour transporter du trafic L2 au-dessus d'un réseau IP. Explorons comment l'utiliser sous Linux.

VXLAN: BGP EVPN avec FRR

VXLAN est un protocole réseau pour transporter du trafic L2 au-dessus d'un réseau IP. BGP EVPN est une des options de déploiement.

systemd.netdev

Aucune description n'a été trouvé pour ce site.

systemd.network

Aucune description n'a été trouvé pour ce site.

Bridge network

As one of the possible network configuration types under Incus, Incus supports creating and managing network bridges. A network bridge creates a virtual L2 Ethernet switch that instance NICs can co...

(Oui, mine de rien les documentations des projets sont pas mal pour apprendre ^^)

Et mes développements d'automatisation (que je n'ai malheureusement pas documentées, peut-être un jour)

incus

tofu-cluster

(Oui, y a un mot de passe en clair qui traine... Dès qu'il a fuité il a été changé).

Sur ce, portez-vous bien :)

Photo de Max van den Oetelaar

Rétrospective de décembre 2025 et de l'année

Dryusdan — Tue, 13 Jan 2026 22:30:00 +0100

Hello ! Bonne année (oui, il est encore temps !).

C'est parti pour les chiffres de Décembre et de l'année complète si je les ais.

Données	Valeurs	Tendances
Minutes de musique écouté	2 181 minutes en décembre pour un total de 24 880 minutes en 2025.	📉
Commit réalisés	240 en décembre pour un total de 2 119 commits.	📉
Article rédigé	0 en décembre pour un total de 14 cette année	📉
Articles et notes rédigés	2 en décembre pour un total de 56 en 2025	📉
Total de mots	170 mots en décembre pour un total de 33 614 mots cette année	📉
Temps de lecture (183 mots par minute)	1 minute de lecture soit environs 184 minutes (3h) en 2025 !	📉
Trafic généré	14 Go en décembre pour atteindre les 154Go de traffic cette année	📈
Liens partagés sur Dryusdan.link	5 liens partagé pour un total de 103 en 2025	📉

Moi

Franchement, je ne sais pas quoi penser de cette année, mais la fin d'année m'a permis d'être enfin stable (c'est cool quand on arrive à 30 ans je pense). Je pense que j'ai enfin découvert le "laché prise" et ça fait un bien fou, mais c'est si compliqué à avoir.

Côté technique, mine de rien j'ai appris à utiliser Terraform. Honnêtement je trouve que les recruteurs sont extrêmement sévère pour mettre Terraform comme mandatory pour avoir un poste (c'est après 3 refus que j'ai appris à l'utiliser). C'est un bon wrapper d'API, certes, mais c'est pas non plus très complexe. J'ai également appris à administrer Kubernetes. J'indique administrer car je vois une différence entre juste pousser un pod et déployer + manager ce bazar. Petite fierté, je déploie un cluster k3s (avec cilium, kgateway, vault secret operator...) en 88 secondes. 3 minutes avec le déploiement et le bootstrap des machines !

Lab

J'aurais énormément apprécié sortir mon prochain article fin 2025, mais en plus d'être important à écrire, j'ai passé trop de temps à apprendre Kubernetes :/

J'ai refait aussi l'intégralité du réseau à la maison en m'offrant un Turris Omnia NG (j'ouvre un datacenter sous la TV bientôt 😂).

Plantes

Rien de bien fou, j'ai 45 plantes en vie et une en soin intensif, j'espère qu'elle va repartir en au printemps, mais je ne crois pas trop... Les 40°C lui ont été fatal :(

Faut aussi que je plante mes nouvelles boutures de Pothos (qu'est-ce quelle pousse celle-ci oO).

Sur ce, portez-vous bien.

Photo Daniel Lerman

Rigoler à en avoir mal au crâne

Dryusdan — Fri, 09 Jan 2026 22:14:00 +0100

Hey o/

Je sais, j’ai des articles à écrire mais ce soir c’était comédie avec comme première partie Hadir Smine (Hadir en rodage) de Lou Trotignon

Hamir qui sera au micro comedy club à Nantes (quai de la fosse) dès le 23 janvier, vraiment allez voir cette meuf c’est des barres de rire

Et parce que c’est NANTES ICI la salle à la cité des congrès a été remplie très vite donc y a une nouvelle date pour le 9 novembre 2026. Et franchement TOUT PAREIL allez voir ce mec, c’est issu d’énorme barre de rire (j’en ai même mal au crâne 😂)

Créer un utilisateur PGbarman avec Ansible

Dryusdan — Tue, 09 Dec 2025 08:53:00 +0100

Par pur mémo (et surtout parce que j'ai galéré toute la soirée hier è_é) la définition Ansible pour créer un utilisateur standard avec les bons droits pour PGbarman

postgresql_privs:
  - db: postgres
    roles: barman
    type: "group"
    objs: "pg_read_all_settings,pg_read_all_stats"
    state: 'present'
    admin_option: true
  - db: postgres
    roles: barman
    privs: "EXECUTE"
    objs: pg_backup_start(text:boolean),pg_backup_stop(boolean),pg_switch_wal(),pg_create_restore_point(text)
    type: "function"
    schema: "pg_catalog"
    state: 'present'

Rétrospective d'octobre et novembre 2025

Dryusdan — Sat, 06 Dec 2025 11:15:00 +0100

Hey o/ Bon, je suis un poil très occupué ces derniers temps, entre mon nouveau boulot (où je me remet à jour à côté) et mon lab, je n'ai pas eu le temps de faire les retrospectives d'octobre et de novembre. Comme d'habitude : les chiffres qui devront bien augmenter pour ce mois de novembre.

Données	Valeurs	Tendances
Minutes de musique écouté	2 577 minutes en octobre et 2614 minutes en novembre	=
Commit réalisés	57 en octobre et 320 en novembre	📈
Article rédigé	0 en octobre et 4 en novembre	📈
Articles et notes rédigés	0 en octobre et 7 en novembre	📈
Total de mots (en novembre)	13 006	📈
Temps de lecture (183 mots par minute)	71 minutes de lecture	📈
Trafic généré	10,87 Go en octobre pour 146 672 accès, 11.87 Go en novembre pour 172 722	📈
Liens partagés sur Dryusdan.link	1 en octobre, 8 en novembre	📈

Les minutes de lectures n'excluent pas les configurations, c'est un wc -w. Et pour le nombre de commit j'ai viré 10 ans d'apprentissage Ansible, ça aide (j'ai maintenant plus de 55 rôles sur mon repo).

Moi

Pas grand chose d'autre à ajouté, Halloween est passé (j'adore cette période), maintenant arrive noël (ça j'aime pas).

Mon lab commence à récupérer quelques applications, ça va plus vite que prévu et bien entendu il fonctionne bien. Je me remet à l'écriture du projet épisode après une pause technique histoire de bien tester la solidité :D).

Sur ce, portez-vous bien.

Photo Daniel Lerman

Encore un tattoo

Dryusdan — Fri, 05 Dec 2025 18:54:00 +0100

Je ne les vous présentes plus... Enfin si je vous les présentes encore :D

Je vous laisse deviner la référence (et puis éventuellement le reflet dans ma vie si jamais :D)

je vous recommande très fortement La Barbe Tatoo (son Instagram. Je sais que ça fonctionne beaucoup grâce à ça) !

Au tour de uceprotect de péter un plomb

Dryusdan — Mon, 24 Nov 2025 14:52:00 +0100

Qu'est ce que je déteste les spammer listing, surtout quand ils ont des règles à la con.

Je peux comprendre le blocage d'une IP, mais là mon IP principal parce que quelqu'un dans le même range d'IP a fait de la merde... Le range est un /14 ! Soit 262 142 ips.

On a bloqué 262 142 personnes car quelques personnes ont été victimes d'un spambot (via une application ou un pc vérolé)

Groumph... Ça tend à rejoindre le niveau de Spamhaus

Générer ses certificats Let's Encrypt sans effort en s'appuyant sur Knot DNS

Dryusdan — Sun, 23 Nov 2025 16:00:00 +0100

D'aussi loin que je me souvienne, j'ai hébergé un serveur DNS faisant autorité. Je pense à peine après avoir loué mon premier VPS et ça a toujours été NSD. Pourquoi ? Je ne me souviens plus vraiment, Bind n'avait pas très bonne presse à ce moment-là et sa configuration n'est pas des plus sexy. Il ne m'en a pas fallu plus pour choisir NSD... J'ai probablement utilisé ce logiciel aussi, car j'apprenais à utiliser Docker et Xataz (présent sur un forum commun) en avait fait une image à l'époque.

Bien que ce logiciel, qui m'a accompagné tant d'années (j'ai même créé un rôle Ansible), ne m'a jamais fait défaut, j'avais deux choses à lui reprocher. Il ne régénérait pas de RRSIG tout seul ce qui fait qu'au bout de 2 semaines, si je n'avais pas modifié mes zones, toute mon infra s'effondrait, car ces signatures n'étaient plus valides (un cron pour relancer le playbook toutes les semaines solutionne le problème). Et un autre point qui m'a bloqué : il ne gère pas la RFC 2136 qui permet de mettre à jour une zone DNS sans avoir à modifier le fichier zone (faire un SED en SSH ça fonctionne, mais une erreur peut avoir de mauvaise conséquence).

Avec mon futur lab (si vous n'avez pas vu passer les articles je vous les redonnes par pure bontée d'âme 😇 : Mon lab - Automatiser le socle et Mon lab - Automatiser ses gateways ) j'ai pour volonté de rapprocher au maximum les certificats x509 des applications pour notamment éviter un énorme SPOF, utiliser davantage les IPv6 (au détriment de ceux qui sont en IPv4) mais également pour les applications type Ejabberd (XMPP) éviter d'avoir une tâche cron qui déplace les certificats du HAProxy à la VM hébergeant ce logiciel mais d'avoir deux certificats distincts.

Aujourd'hui niveau fonctionnement c'est très basique, je génère un certificat en standalone car HAProxy ne sait pas délivrer de fichier, je détecte quand l'URL possède le chemin de Let's encrypt et je l'expédie vers le serveur certbot qui tourne.

frontend http-in
  bind :80
  bind :::80
  mode http
  acl acl_letsencrypt path_beg /.well-known/acme-challenge/
  use_backend backend_letsencrypt if acl_letsencrypt

backend backend_letsencrypt
  mode http
  server srv_letsencrypt 127.0.0.1:63443

Cette configuration amène quelques limites. Les certificats ne seront générés que sur la machine du reverse proxy et cela ne fonctionne pas pour les certificats Wildcard, car il faut carrément utiliser le challenge DNS et ainsi aller modifier sa zone DNS directement, ce qui est difficilement automatisable.

C'est là que la RFC 2136 plus communément appelé DDNS ou Dynamic DNS (pour Dynamic Updates in the Domain Name System) vient à notre secours. Cette norme, qui date de 1997, propose un mécanisme pour modifier une zone DNS en réalisant une requête de type UPDATE qui indique quel enregistrement veut-il ajouter ou modifier. Le serveur DNS de son côté met à jour sa base de donnée, modifie le SERIAL du domaine et notifie les serveurs secondaires qui viendront récupérer les changements. Ça a été beaucoup utilisé pour notifier un serveur DNS du changement de notre IP, vu que les FAI commençaient à les changer de plus en plus régulièrement.

J'ai donc remplacé mon serveur NSD par un Knot, fait un rollover des DS records, grogné contre le manager débilement compliqué (et buggué) d'OVH où il me reste UN domaine que j'administre, puis vérifié avec ZoneMaster que tous mes domaines sont bons et vérifier si mon monitoring se met à hurler ou non. Bien entendu j'ai créé le rôle Knot pour Ansible.

Knot embarque d'autres avantages que gérer les requêtes UPDATE. Il sait notamment gérer la signature DNSSEC ainsi que les rollovers automatique, la signature RRSIG avec leurs rotations régulières. On peut même y rajouter des modules comme geoip pour modifier ses réponses DNS en fonction de la localisation de la requête.

Bon, trêve de blabla, passons à la technique !

Installer et configurer Knot

Déjà il faut installer Knot, j'en profite pour ajouter deux trois paquets qui ajoute des helpers.

dryusdan@mul:~$ sudo apt-get install knot knot-dnssecutils knot-doc

On retrouve une configuration basique dans le fichier /etc/knot/knot.conf. Basique, car les valeurs par défaut sont déjà bien suffisantes. D'ailleurs il s'agit de YAML simplifié, ce qui fait que le templating avec un poil plus complexe que lâcher un yaml.dump(). Ici je vais surtout rajouter les clés TSIG (pour avoir des serveurs DNS secondaires), créer une ACL pour autoriser les transferts et notify puis je définis mes peers avant de claquer mes domaines. J'aurais d'ailleurs pu définir mes zones directement dans la DB de Knot (à grand coup de commande), mais j'aime bien le format fichier. Sachant que les zones sont au même format que NSD (donc cette partie n'a pas été réécrite dans mon playbook) qui est le même que le format Bind9.

server:
  # On écoute sur toutes les interfaces IPv4
  listen: 0.0.0.0@53
  # On écoute sur toutes les interfaces IPv6
  listen: ::@53
  # L'utilisateur utilisé par knot pour faire tourner le serveur
  # (on évite root évidement)
  user: knot:knot
log:
  - target: syslog
    any: info
database:
  storage: /var/lib/knot

# Vous pouvez générer les clés avec la commande keymgr --tsig secondary
key:
  - id: secondary
    secret: FhrN0CHlZFXr1LQSgwO29JDkn3OO+DTFcdA8S6mvFbY=
    algorithm: hmac-sha256
  - id: lecygnenoir
    algorithm: hmac-sha256
    secret: McjZZASgChl0U59UlQyhQXDYtSguY/E1jD3emJWEUpo=

# On défini les remotes et on les associes à une clé
remote:
  - id: secondary
    address: [10.8.0.2]
    key: secondary
  - id: lecygnenoir
    address: [10.10.10.10]
    key: lecygnenoir

# Je n'autorise que le serveur DNS secondaire
# à être notifié et à faire des requêtes IXFR/AXFR avec la clé nommé secondary
# Si la directive automatic-acl est à on, techniquement cette section là n'est
# pas utile
acl:
  - id: dryusdan_secondary_dns
    key: [secondary]
    address: [10.8.0.2]
    action: [notify, transfer]
  - id: lecygnenoir_secondary_dns
    key: [lecygnenoir]
    address: [10.10.10.10]
    action: [notify, transfer]

policy:
  - id: dnssec
    signing-threads: 2
    # Ou ECDSAP256SHA256 pour les tld type .net par exemple
    algorithm: ECDSAP384SHA384

# Le but de ces templates va être d'éviter de dupliquer toutes ces lignes,
# mais il est possible de les surcharger
template:
  # Le template par défaut récupère uniquement les fichiers .zone dans
  # /var/lib/knot
  - id: default
    storage: /var/lib/knot
    file: %s.zone
  - id: dnssec
    # Je ne défini qu'une ACL, car certains de mes domaines
    # n'utilisent pas le DNS secondaire de lecygnenoir
    acl: [dryusdan_secondary_dns]
    # Ce domaine sera signé avec DNSSEC
    dnssec-signing: True
    # On attribue la policy DNSSEC défini plus haut
    dnssec-policy: dnssec
    # Pareil que dans le template default
    storage: /var/lib/knot
    file: %s.zone
    # On demande à notifier dryusdan_secondary uniquement en cas de différence du SOA.
    zonefile-load: difference
    notify: secondary

zone:
  - domain: dryusdan.space
    template: dnssec
    acl: [drysudan_secondary_dns, lecygnenoir]
    notify: [secondary, lecygnenoir]

Et hop, le serveur Knot est fonctionnel. Pour la partie DNSSEC, je vous laisse lire l'article d'Alarig à ce sujet, c'est bien expliqué et ce n'est pas le but de mon article 😛.

Et certbot dans tout ça ?

Je ne l'ai pas oublié ! J'utilise le plugin certbot-dns-rfc2136

dryusdan@mul:~$ sudo apt-get install certbot python3-certbot-dns-rfc2136

Je crée une nouvelle clé TSIG pour certbot.

dryusdan@mul:~$ /usr/sbin/keymgr --tsig certbot
key:
  - id: certbot
    algorithm: hmac-sha256
    secret: okYvWtZFj8XcGX7XBF2fuzV6H2RYXLuGk1d/I3SFwgo=

Puis je la mets dans knot.conf. Tant qu'à être dans ce fichier, j'en profite également pour rajouter une nouvelle ACL

acl:
  - id: certbot_update
    key: [certbot]
    address: [127.0.0.1,10.55.8.6]
    action: update
    update-type: [TXT]

Vous l'aurez saisi, je crée une règle qui autorise la clé TSIG certbot provenant soit de localhost soit d'une autre machine d'effectuer un update UNIQUEMENT pour un champ TXT, ce qui, en cas de scénario catastrophe, permet de limiter au maximum les dégâts possibles. Là, seuls les enregistrements TXT demandé par certbot seront créés, le reste sera refusé.

J'oublie pas de reload Knot

dryusdan@mul:~$ sudo systemctl reload knot

Côté Certbot il faut créer un fichier ini contenant la clé TSIG pour faire cette requête. Je vais le placer dans /etc/letsencrypt/rfc2136.ini

# L'adresse IP du serveur Knot
dns_rfc2136_server = 127.0.0.1
dns_rfc2136_port = 53
# Le nom de la clé TSIG
dns_rfc2136_name = certbot
# La clé TSIG
dns_rfc2136_secret = okYvWtZFj8XcGX7XBF2fuzV6H2RYXLuGk1d/I3SFwgo=
# Et son algorithme
dns_rfc2136_algorithm = HMAC-SHA256
# TSIG sign SOA query (optional, default: false)
dns_rfc2136_sign_query = false

Une fois ça fait, c'est terminé ^^

root@mul ~ # certbot certonly \
  --dns-rfc2136 \
  --dns-rfc2136-credentials /etc/letsencrypt/rfc2136.ini \
  -d dryusdan.space \
  -d *.dryusdan.space

Par défaut il y a un délai de 60 secondes (modifiable par --dns-rfc2136-propagation-seconds) avant que les checks soient effectués.

Pour vos certificats déjà existants, modifiez la section [renewalparams] du fichier /etc/letsencrypt/renewal/dryusdan.space.conf

[renewalparams]
reuse_key = True
account = 0123456789abcdef0123456789abcdef
key_type = ecdsa
elliptic_curve = secp384r1
authenticator = dns-rfc2136
dns_rfc2136_credentials = /etc/letsencrypt/rfc2136.ini
server = https://acme-v02.api.letsencrypt.org/directory

Et voilà.

Maintenant plus besoin d'être présent pour générer des certificats wildcard ni même déplacer vos certificats entre votre reverse proxy et votre serveur XMPP 😊

Sur ce, portez vous bien :)

Photo de Daniil Komov

Bloguidien revient prochainement

Dryusdan — Fri, 21 Nov 2025 11:17:00 +0100

Bloguidien c'est un petit projet lancé par Lord et moi il y a un an. Vous avez été très nombreuxes à y participer, à rédiger des "prompts". Merci à vous.

Mais vous avez vu, presque 6 mois ensuite, plus de stock et il était relativement difficile d'en trouver de nouveau.

Mais le projet était cool et revient ! Légèrement modifié car il passe à un format hebdomadaire ! Au lieu d'un prompt par jour nous en auront un par semaine (mais ça s'appellera encore bloguidien).

Votre contribution est aussi la bienvenue. Vous avez une idée de prompt ? Ou plusieurs ? Un sujet que vous souhaiteriez que plein de mondes creusent ? Ajoutez la sur le Framapad.

Mon lab - Épisode 2 : Automatiser ses gateways

Dryusdan — Sat, 15 Nov 2025 14:30:00 +0100

Je ne sais pas si vous vous souvenez, mais dans l'article précédent j'ai présenté la prochaine infrastructure et plus particulièrement la gestion des VMs et des réseaux.

Un schéma représentant 2 hyperviseurs dont leurs machines partages un même réseau tout en étant isolé des autres.

Les machines (VMs et containers) seront sur leurs réseaux et n'ont aucun moyen de joindre l'extérieur ni même l'hyperviseur hôte. Il va falloir créer une passerelle. Autre point, si ces serveurs n'ont pas accès à l'hôte, ils n'ont pas accès à un serveur DHCP ou DNS. Autant le DNS ce n'est pas bien problématique, autant le DHCP cela signifie qu'il faut assigner des IPs à nos machines manuellement... Et je n'ai pas du tout envie de gérer des IPs (alors que j'ai netbox, mais ce n'est pas le sujet). Il y a une dernière fonctionnalité que j'aimerais mettre en place : joindre certains réseaux entre eux. Pour celleux qui travaillent sur des infrastructures cloud, vous voyez très bien où je vais : les VPC.

Un schéma représentant 2 hyperviseurs dont leurs machines partages un même réseau tout en étant isolé des autres.

Pour celleux qui n'ont jamais joué avec des VPC, l'idée est que les machines présentes dans VPC 1 peuvent communiquer entre elles sans être dans les mêmes réseaux privés mais celles de VPC 2 ne peuvent pas contacter les machines de VPC 1 ou VPC 3.

Mais qui dit cloud dit création de ses propres images pour les déployer par la suite sans avoir besoin de lancer un playbook Ansible pour faire toute la configuration. Dans mon cas, je cherche à déployer rapidement les passerelles afin de permettre aux instances présentes dans un réseau privé d'avoir accès à internet et d'être accessible par la même occasion.

Il faut bien entendu stocker ces images. Sur Incus il y a deux moyens. Stocker ses images sur une des instances. Pratique, pas de dépendance tierce, mais peu résilient en cas de panne de l'instance. L'autre méthode est de créer un serveur "simplestreams".

Créer une image pour un host avec Packer
- La création de l'image
- L'auto-configuration du DHCP
Le serveur simplestreams
Améliorer la partie Packer
Sans utiliser Packer

Créer une image pour un host avec Packer

Pour celleux qui ne connaissent pas Packer, il s'agit d'un outil développé par Hashicorp pour créer des images identiques pour différents clouds providers. J'ai fait le choix d'utiliser Packer, car ce dernier récupère une image déjà existante comme base, la configure comme je veux et l'export en image le tout en 26 secondes. Il est possible de le faire sans Packer, je vous la décris plus bas, mais je n'ai pas retenu cette méthode.

La création de l'image

Il existe un plugin Incus pour Packer. Ce plugin permet de récupérer une image source et de configurer l'image formée par l'outil. C'est accompagné d'un builder qui se base sur une source et qui lance tout un tas de "provisionner" c'est-à-dire des actions pour altérer l'image et la modeler comme nous le souhaitons. Étant plutôt bien à l'aise avec Ansible j'ai tenté d'utiliser le provisionner Ansible sans grand succès, car je n'ai à aucun moment réussi à me connecter en SSH. Je suis donc parti⋅e sur notre bon vieux script bash accompagné tout de même d'un provisionner file.

Si vous avez lu le premier article, comme à chaque fois tout se trouve sur mon repository. Vous allez également constater la même arborescence de fichier :

dryusdan@Nemo:~/gateway-image-packer$ tree
.
├── dhcp_maker
│   ├── dhcp-maker.py
│   ├── poetry.lock
│   └── pyproject.toml
├── packer
│   ├── build.pkr.hcl
│   ├── plugins.pkr.hcl
│   ├── source.pkr.hcl
│   └── variables.pkr.hcl
├── provisioning.sh
└── rootfs
    └── etc
        ├── default
        │   └── unbound
        ├── locale.gen
        ├── nftables.conf
        ├── ssh
        │   └── sshd_config.d
        │       └── pxe-boot.conf
        ├── sysctl.d
        │   └── 10-forwarding.conf
        ├── systemd
        │   └── system
        │       ├── dhcpmaker.service
        │       └── nftables.service
        └── unbound
            └── unbound.conf.d
                ├── forwardzone.conf
                └── server.conf

13 directories, 20 files

Côté Packer j'ai donc créé un dossier pour tout ranger. Honnêtement, je ne vais pas présenter plugins.pkr.hcl et variables.pkr.hcl. Par contre source.pkr.hcl m'intéresse

source "incus" "debian" {
  image = var.image
  output_image = var.output_image
  publish_properties = {
    aliases = var.aliases
    description = var.description
    os = var.os
    release = var.release
    architecture = var.architecture
    public = true
    variant = var.variant
  }
  reuse = true
}

"image" c'est l'image de base que je récupère, output_image est le nom de l'image exporté et reuse est pour dire que si l'image, existe tant pis, il faut écraser. Maintenant la directive publish_properties. Il s'agit en réalité des metadata properties que vous pouvez retrouver d'une simple commande

dryusdan@Nemp:~$ incus config metadata show meet-collie
architecture: amd64
creation_date: 1761465660
expiry_date: 1764057660
properties:
  architecture: amd64
  description: Debian trixie amd64 (cloud) (20251026_07:49)
  name: debian-trixie-amd64-cloud-20251026_07:49
  os: debian
  release: trixie
  serial: "20251026_07:49"
  variant: cloud

Bien sûr, j'ai collé le tout dans des variables pour pouvoir automatiser tout ça. Il ne reste plus que le fichier build.pkr.hcl pour comprendre tout le reste de l'architecture de ce projet.

build {
  sources = [
    "incus.debian"
  ]

  provisioner "file" {
    destination = "/"
    source      = "./rootfs/"
  }


  provisioner "file" {
    source = "./dhcp_maker/dhcp-maker.py"
    destination = "/usr/local/bin/dhcp-maker"
  }

  provisioner "shell" {
    script = "./provisioning.sh"
  }
}

Ici je copie l'intégralité de mon rootfs à la racine du container pour déployer facilement toutes mes configurations (tiens, ça ne vous rappelle pas un rsync -azvP rootfs / ? 😇). Je copie aussi mon programme dchp-maker que je présenterai plus tard. Je lance ensuite le script ./provisioning.sh. Ce script va installer quelques dépendances pour dhcp-maker mais également nftables pour réaliser un NAT.

export DEBIAN_FRONTEND=noninteractive

apt-get update
apt-get -yq -o Dpkg::Options::="--force-confold" install \
  curl \
  dnsmasq \
  less \
  nftables \
  python3 \
  python3-yaml \
  unbound \
  resolvconf

À savoir que resolvconf va désinstaller systemd-networkd.

Ensuite ce script rend exécutable dhcp-maker, active nftables, recharge systemd pour pouvoir activer le service dhcpmaker, car ce dernier vient de la copie du rootfs plus haut.

echo "Add execution right for dhcp-maker"
chmod +x /usr/local/bin/dhcp-maker

echo "Enable nftables"
systemctl enable nftables

echo "Enable dhcpmaker"
systemctl daemon-reload
systemctl enable dhcpmaker

Ensuite il va permettre à la machine de faire office de passerelle réseau en activant l'IPv4 et IPv6 forwarding.

echo "Add sysctl"
echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/10-forwarding.conf
echo "net.ipv6.conf.all.forwarding=1" >> /etc/sysctl.d/10-forwarding.conf

"dnsmasq" arrive avec tout un tas de valeurs par défaut déjà activées... Donc le script retire ça pour utiliser les configurations de dhcp-maker

echo "Disable and mask dnsmasq"
systemctl disable dnsmasq
systemctl mask dnsmasq

echo "Remove default dnsmasq config"
rm -f /etc/default/dnsmasq

J'ai également retiré la configuration trust-anchor de Unbound qui vient avec lui. Cette configuration ne fonctionne uniquement si resolveconf est installé et embarque le téléchargement des anchors-keys soit les clés et chemins vers les roots DNS. Sauf qu'ici chaque gateway ne va pas contacter les roots DNS directement, donc cela ne sert à rien.

echo "Remove Unbound bad config"
rm -f /etc/unbound/unbound.conf.d/root-auto-trust-anchor-file.conf

Maintenant, très important, il va falloir réinitialiser cloud-init pour pouvoir utiliser la machine comme modèle et non comme copie d'une machine.

apt-get clean

echo "Remove machine-id files"
rm -f /var/lib/dbus/machine-id /etc/machine-id

echo "Reset cloud-init"
cloud-init clean --logs

L'auto-configuration du DHCP

J'utilise plusieurs services pour faire fonctionner correctement et de manière fluide cette passerelle. Tout d'abord, dnsmasq. Il gère la partie DHCP sur les interfaces dans le VPC, de serveur DNS autoritaire pour chaque réseau afin de ne pas avoir à connaitre l'IP d'une machine mais également de forwarder DNS vers Unbound. Vu qu'il peut y avoir plusieurs réseaux au sein d'un VPC, il peut y avoir plusieurs instances dnsmasq, mais toutes les instances ne peuvent pas écouter sur l'interface publique de cette gateway, ni se partager entre elles leurs baux DHCP. J'ai donc mis sur l'interface "public" un Unbound qui forward les requêtes DNS vers un autre serveur DNS mais également qui cache les réponses pour tous les réseaux du VPC. Cet Unbound permet également de forward vers dnsmasq les requêtes liées à un hostname.

J'ai fait un schéma pour essayer d'être plus clair.

Un schéma représentant la logique des requêtes DNS au sein d'un VPC.

Pour faire simple. dnsmasq fait du DHCP et grâce à ça construit sa zone DNS, car il connait l'IP et le hostname associé. Si une requête ne correspond à rien dans sa zone, il transmet la requête à Unbound qui lui va avoir 2 instructions : s'il connait le domaine demandé (genre pn2.dryusdan.net) il transmet la requête au dnsmasq associé, sinon il renvoie la requête au serveur DNS principal qui fait sa tambouille.

Sachant que tout cela doit être automatique, j'ai développé un script qui configure tout à la création de la machine. Ce script va

Récupérer toutes les interfaces comportant un nom particulier et les trier
Retourner une liste de sous-réseau en fonction d'un réseau défini (en gros je split 10.0.0.0/8 en /22).
Attribuer un sous-réseau à chaque interface détectée.
Générer les configurations de dnsmasq, unbound et de systemd-networkd
Écrire ces configurations
S'occuper des services pour être reboot proof.

Je ne vais pas passer sur l'intégralité du script qui se trouve sur mon repository git, parce qu'il sera amené à évoluer (pour intégrer l'IPv6 par exemple) mais je vais tout de même m'arrêter sur trois fonctions.

La fonction config_service va spécifiquement générer la configuration de dnsmasq. Je crée une configuration liée à l'interface iif (qui sera écrite ensuite sous forme /etc/default/dnsmasq.{iif} pour être appelée par un service dnsmasq déjà existant). Ici j'indique à dnsmasq d'ignorer le fichier resolv.conf localisé dans /run/dnsmasq/resolv.conf et de ne pas bind l'interface lo (notamment utilisée par Unbound). Puis je bind dnsmasq sur l'interface {iif}, je lui indique son domaine qui est le nom de l'interface + le hostname (en réalité ça me fait des noms à rallonge du genre pn50.gw1.cluster.dryusdan.net mais le domaine est géré par CoreDNS avec comme source Netbox). J'indique ensuite quel range dnsmasq doit utiliser pour son DHCP et la durée du bail.

def config_service(self, iif_net: dict) -> dict:
configs: dict = {}
for iif in iif_net:
    net = iif_net[iif]
    configs.update(
        {
            iif: {
                "dnsmasq": {
                    "IGNORE_RESOLVCONF": "yes",
                    "DNSMASQ_EXCEPT": "lo",
                    "DNSMASQ_OPTS": f'"--interface={iif} --except-interface=lo --bind-interfaces --domain {iif}.{socket.gethostname()} --dhcp-range {net["ipv4"][2]},{net["ipv4"][-1]},12h --server ::1 --server 127.0.0.1"',
                },
                "networkd": {"ipv4": net["ipv4"][1]},
            }
        }
    )
return configs

Cette fonction permet de configurer Unbound pour lui indiquer que les requêtes pour le domaine pn50.gw1.cluster.dryusdan.net se trouve au niveau de l'IP que dnsmasq écoute.

def write_unbound_configs(self, configs: dict) -> None:
p = Path("/etc/unbound/unbound.conf.d/")
for iif in configs:
    q = p / f"forwardzone-{iif}.conf"
    unbound_conf: dict = {
        "forward-zone": {
            "name": f"{iif}.{socket.gethostname()}",
            "forward-addr": str(configs[iif]["networkd"]["ipv4"]),
        }
    }
    with q.open("w") as f:
        yaml.dump(unbound_conf, f, default_flow_style=False)

Cette fonction va rechercher systemd-networkd, désactiver dhcpmaker pour éviter une modification des configurations ci-dessus puis activer le service "variable" packagé avec dnsmasq.

def do_with_systemd(self, configs: dict) -> None:
subprocess.run(["systemctl", "reload", "systemd-networkd"])
subprocess.run(["systemctl", "disable", "dhcpmaker"])
for iif in configs:
    subprocess.run(["systemctl", "enable", "--now", f"dnsmasq@{iif}"])

Limitations

"dhcp-maker" a plusieurs limitations. Pas de conservation des IPs, en cas de redémarrage il est possible que le serveur DHCP attribue d'autres IPs. Il est également possible qu'en cas de réinstallation les attributions des ranges d'IPs changent également. Si on rajoute une interface, le script ne se relance pas, il faut même recréer la machine. Ce ne sont que des axes d'amélioration mais ces limitations existent (Quoique relancer le dhcp-maker devrait maintenant suffire).

Le serveur simplestreams

Bon c'est cool, j'ai build une image avec Packer je l'ai importé sur une des machines. Mais si je réinstalle cette machine (comme il est prévu qu'elles soient réinstallables à volonté), je suis obligé⋅e de reconstruire l'image et de la pousser à nouveau. Je pourrais la déployer sur chaque machine, mais au final ça corrige le problème de SPOF, pas de réinstallation. L'idéal serait de trouver un moyen d'héberger une image comme le fait Linuxcontainers. Canonical à l'époque de LXD a développé un protocole nommé simplestreams et cela a été repris dans Incus. Bon, protocole c'est TRÈS vite dit, il s'agit plutôt d'une convention de nommage et d'organisation de fichiers accessible via HTTPS. Ce protocole est utilisé si on veut que notre serveur héberge ses propres images mais n'est que peu documenté... Cependant, assez récemment les gens derrière Incus ont développé un outil pour permettre de gérer facilement les images et de créer les fichiers nécessaires afin d'héberger ses images derrière n'importe quel serveur Web, S3, whatever. La commande incus-simplestreams vient avec le paquet incus-extra pour Debian ou incus-tools pour Archlinux.

Pour créer une image publique, il faut une archive .tar.xz contenant les metadata et soit une image qcow2 si c'est une VM soit un squashfs si c'est un container.

dryusdan@Nemo:~/images$ incus-simplestreams add incus.tar.xz rootfs.squashfs
dryusdan@Nemo:~/images$ incus-simplestreams list
+------------------------------------------------------------------+------------------------------------+--------+---------+---------+--------------+-----------+----------------------+
|                           FINGERPRINT                            |            DESCRIPTION             |   OS   | RELEASE | VARIANT | ARCHITECTURE |   TYPE    |       CREATED        |
+------------------------------------------------------------------+------------------------------------+--------+---------+---------+--------------+-----------+----------------------+
| bb98cde6f1616ac60ac75fed1a45a347042dd128e9fbbd03bf46aef75bd5516a | debian trixie amd64 (202511141828) | debian | trixie  | gateway | x86_64       | container | 2025/11/14 00:00 UTC |
+------------------------------------------------------------------+------------------------------------+--------+---------+---------+--------------+-----------+----------------------+
dryusdan@Nemo:~/images$ tree
.
├── images
│   ├── 10d7770cf96df16551b5c09e5c6548de61d95e37182aa223ee781dad1b84f3a3.incus.tar.xz
│   └── 10d7770cf96df16551b5c09e5c6548de61d95e37182aa223ee781dad1b84f3a3.squashfs
└── streams
    └── v1
        ├── images.json
        └── index.json

4 directories, 6 files

Ces fichiers-là, vous les exportez où vous voulez. Puis sur votre serveur Incus, tapez la commande :

root@kida ~ # incus remote add customimage https://images.example.tld --protocol=simplestreams

Honnêtement quand j'ai découvert ça, ça m'a beaucoup aidé. J'ai un peu de configuration à perfectionner (comme automatiser le push des images) mais la base est présente.

Améliorer la partie Packer

Je vais tout de même améliorer le déploiement avec Packer, parce que même si cette solution nous sort une image à exporter, en l'exportant on récupère les metadonnées nécessaires qu'on a modifié, un rootfs qu'on peut "squashfs-isé" et des templates dont je vous parlerai en temps voulu.

Je reprends globalement tout ce que j'ai déjà fait. Je variablise quelques informations

IMAGE="images:debian/13/cloud"
OUTPUT_IMAGE="debian-gateway"
ALIASES="${OUTPUT_IMAGE}"
DESCRIPTION="Gateway image for Dryusdan's cloud"
OS="debian"
RELEASE="trixie"
ARCHITECTURE="amd64"
VARIANT="gateway"

# Ici j'ai quelques variables utilisées plus tard
EXPORT_PATH="$(mktemp -d)"
REBUILD_PATH="$(mktemp -d)"
IMAGE_PATH="images"
IMAGE_NAME="${IMAGE_PATH}/rootfs.squashfs"

Je lance le build de Packer.

packer build \
 -var "image=${IMAGE}" \
 -var "output_image=${OUTPUT_IMAGE}" \
 -var "aliases=${ALIASES}" \
 -var "description=${DESCRIPTION}" \
 -var "os=${OS}" \
 -var "release=${RELEASE}" \
 -var "architecture=${ARCHITECTURE}" \
 -var "variant=${VARIANT}" \
 ./packer

Je récupère l'image.

fingerprint=$(incus image ls "${OUTPUT_IMAGE}" -f json | jq -r .[].fingerprint)
incus image export "${fingerprint}" "${EXPORT_PATH}/${fingerprint}"

En root, j'extrais l'image, je récupère les fichiers metadata.yaml et templates/ pour les recompresser. Puis je crée un squashfs avec le dossier rootfs.

Je viens de constater que sans être root, le tar désarchive en utilisant l'utilisateur actuel, le miens étant 1000, tout mon système était donc avec l'UID 1000 et non 1. Il faut donc lancer cette partie en root.

tar --same-owner --extract --file "${EXPORT_PATH}/${fingerprint}.tar.gz" --directory "${REBUILD_PATH}"
tar --same-owner --create --xz --file "${IMAGE_PATH}/incus.tar.xz" --directory "${REBUILD_PATH}" metadata.yaml templates/
mksquashfs "${REBUILD_PATH}/rootfs" "${IMAGE_NAME}" -comp xz -e boot

Je vais m'attarder sur les fichiers contenus dans incus.tar.xz. Le fichier metadata.yaml est créé par Incus et Packer, donc il est formaté comme je le souhaite. Le dossier "templates", lui, possède des fichiers qui seront copiés dans le container ou la VM lors de son déploiement, notamment le hostname.tpl pour que son hostname justement soit le nom donné dans Incus. Ou encore des pré-configurations pour cloud-init.

J'ai créé un script nommé bootstrap.sh qui effectue toutes ces actions. Tout ce qu'il reste à faire après c'est ajouter l'image dans le "serveur simplestreams".

Sans utiliser Packer

Avant de saisir comment était formée une image construite avec les méthodes précédentes, j'ai développé une méthode pour construire ses propres images. Ça se base forcément sur du debootstrap. Cette fois-ci le repository a changé : gateway-image mais ne sera pas maintenu, la méthode est fonctionnelle et je vous la présente parce que certain⋅e⋅s ne voudront pas utiliser Packer 😉.

Les configurations du rootfs sont celles tirées du repository gateway-image-packer. Le fichier get-templates.sh va récupérer l'archive contenant les metadatas et les templates qui sont utiles pour cloud-init notamment. Le fichier generate_metadata.py va basiquement altérer le fichier metadata.yaml pour y modifier certaines valeurs comme la date de création ou surtout les propriétés. Le fichier make-squashfs.sh va lancer un debootstrap (vu et revus), installer des dépendances, supprimer des fichiers et configurer systemd. Ça ressemble à ce que je vous ai montré au tout début de cet article. Puis je run un mksquashfs.

En réalité, il existe même un fichier bootstrap.sh (encore un) qui permet de lancer tout ça en une seule commande.

Je ne m'attarde pas plus sur cette méthode, car la différence entre celle-ci et Packer réside dans le debootstrap, debootstrap vu dans l'article précédent ou dans Installer une Debian stock sur un Raspberry PI.

Maintenant vous savez créer une image custom pour votre infrastructure Incus, notamment une gateway qui nous sera utile dans le prochain article !

À bientôt pour l'épisode 3 ! Et si vous ne voulez pas le louper, abonnez vous au flux /RSS

Sur ce, portez vous bien :)

Photo de Wai Siew

Mon lab - Épisode 1 : Automatiser le socle

Dryusdan — Sat, 08 Nov 2025 14:00:00 +0100

Au tout début

Mon lab, je l'hérite de quand j'étais étudiant, c'était mon premier PC qui a évolué progressivement, nouveau boitier, nouvelle carte mère + CPU + RAM, nouveau disque... Bref, la machine de 2025 ne ressemble plus du tout à celle de 2012. Autant vous dire que ce serveur en a vu des horreurs, je me suis fait les dents dessus. Lorsqu'il a quitté sa fonction de PC pour devenir un NAS (Et oui, au début j'en avais fait un NAS !) c'était une Debian 8. Debian qui a connu que des mises à jour à coup de dist-upgrade.

Aujourd'hui le serveur tourne bien et porte 80% de mes usages d'internet, mais son aspect unique, centralisé, juste branché en direct sur la Freebox et à la merci de mes tests me dérange un peu. Surtout que, même si en termes de puissance il reste très bien équipé, des projets et tests gourmands sont à l'étroit et dégradent les autres applications disponibles. Je discute aussi avec des gens qui ont des labs plus intéressants que le mien et qui me font rêver. Rajoutez un changement de boulot dans une équipe orientée réseau (où j'ai tout à ré-apprendre) et vous avez tous les ingrédients pour me donner envie de redessiner intégralement mon infrastructure.

Un schéma d'une infrastructure basique, il y a deux rectangles, représentant un PC et un serveur. Un autre rectangles représentant tout le reste. Le tout est branché sur un rond représentant la box internet du FAI.

L'idée est que demain mon lab ressemble à ça :

Un schéma d'une infrastructure BEAUCOUP plus poussé séparant l'infrastructure sur 3 zones réseaux. Une zone domestique, une zone lab maison et une zone lab hébergeur. Ces deux dernières zones sont relié au routeur qui lui ai relié à la box internet. Et dans chacune de ces zones se trouve tout un tas de serveur relié à des switchs relié au routeur.

Je n'ai certes pas prévu d'avoir autant de machines et non je n'ai pas simplement branché des machines sur un switch relié à un routeur (même si vous venez de grossièrement décrire le fonctionnement d'internet), les serveurs seront des hyperviseurs gérant eux-mêmes leurs réseaux comme ceci

Un schéma représentant 2 hyperviseurs dont leurs machines partages un même réseau tout en étant isolé des autres.

Bref, beaucoup d'Overengineering pour héberger un serveur Minecraft (et deux trois autres trucs).

J'ai envie que dans mon lab tout soit reproductible, de toute façon c'est la mode avec l'infrastructure as code et le "cloud". Il y a aussi la raison derrière qui est que si je fais une erreur assez grave comme modifier tous les droits de mon système, je peux tout remettre d'équerre facilement (en théorie). Ça amène aussi l'évolutivité de la plateforme et les mises à jour. Au revoir les binaires legacy en python2.7 qui trainent sur mon serveur, mes erreurs de jeunesse et autres configurations fantômes qui font tout tenir et que le jour où je modifie ça, tout explose.

Pour répondre à cette envie, j'ai pas mal creusé et réfléchi. La première question est : Comment automatiser l'installation du socle ?

Au tout début
Quel outil choisir ?
- MaaS, Foreman et d'autres outils entrent dans la pièce
- Mais seul PXE reste
Le netboot
- Debian avec preseed
- Faire sa propre image Debian Netboot
  - Le script install.sh
  - Les autres fichiers dans rootfs
Maintenant le boot PXE
- PXE avec le preseed
- PXE avec le squashfs

Quel outil choisir ?

J'ai cherché un moyen pour installer automatiquement et à l'identique plusieurs serveurs en prenant en compte le partitionnement et les logiciels de base utilisés par le système et ce, sans aucune intervention manuelle (je n'ai pas d'IPMI pour intervenir).

MaaS, Foreman et d'autres outils entrent dans la pièce

J'ai découvert MaaS. MaaS pour Metal as a Service est un outil développé par Canonical pour déployer facilement et à grande échelle des serveurs. Par défaut l'outil embarque Ubuntu LTS ou CentOS. Pour avoir une image Debian (ou autre) il faut utiliser Packer (en soi c'est bien, c'est reproductible) mais sur la documentation Debian est flaggué en Beta. La création de cette image ne me convient pas. Il faut lancer Packer qui va exécuter des scripts shell qui vont configurer le serveur en ajoutant des PPA et des dépôts Ubuntu pour finir par fournir une sorte d'ISO déployable par MaaS. MaaS s'installe via Snap (😬) ou PPA et avec le changement de licence qu'ils ont fait sur LXD, je me méfie. Bref ça rajoute énormément de complexité (c'est curieux d'écrire ça au vu de ce que va être mon infra) pour une petite infrastructure ainsi que de surcouche alors que je ne maitrisais même pas la base à ce moment-là.

Pour les curieux⋅ses un petit article qui pourraient vous intéresser d'une personne qui a testé et poussé MaaS.

Premiers pas avec MAAS - Metal as a Service, l’outil de déploiement de machines baremetal de Canonical

Cet article fait partie d’une série d’articles dédiés à la découverte de MAAS, un outil de déploiement d’OS sur un parc de serveurs (souvent baremetal mais pas que) :\nPremiers pas avec MAAS - Metal as a Service, l’outil de déploiement de machines baremetal de Canonical Un peu plus loin avec MAAS - Metal as a Service, l’outil de déploiement de machines baremetal de Canonical Déployer un hyperviseur VMware ESXi avec MAAS Introduction Il y a quelques mois, après plusieurs discussions avec mon collègue (et ami!) Julien, j’ai voulu tester MAAS (Metal As A Service) sur mon homelab.\n

Il y a son pendant sous Fedora, mais il faut compiler les paquets pour Debian : Cobbler. J'ai testé de le faire tourner, mais sans grand succès, j'ai fini par lâcher l'affaire. J'ai également regardé du côté de Foreman, mais 4Go de RAM pour faire tourner un serveur PXE ça m'a un peu refroidi. Je comprends cependant l'intérêt dans un datacenter, mais pour un petit lab c'est un peu overkill. Il m'a été proposé iVentoy, du célèbre outil Ventoy, mais le fait qu'il ne soit que partiellement open-source me rebute. Il existe aussi Netboot.xyz qui, sur le papier est très bien mais qui ajoute une surcouche et je n'ai pas vu comment gérer l'installation sans brancher un clavier. Il m'a également été proposé Clonezilla qui, dans son approche, est pas mal, car on ne crée une image qu'une fois et on la restaure sur chaque machine. Dans mon cas j'ai très peu de machines similaires, certaines possèdent des NVME, d'autres des SSD SATA (Clonezilla fait la différence), de l'Intel, de l'AMD (là c'est Debian qui installe les paquets spécifiques au CPU)... Une en multi-disque. On finit par faire autant d'images qu'on a de machines, ce qui perd de son intérêt.

Mais seul PXE reste

Il me restait donc PXE et iPXE. Bon, iPXE c'est une évolution de PXE, soit il est présent sur la carte réseau, soit il faut la flasher (vu que la mienne est soudée sur la CM c'est pas possible), soit il faut boot en PXE, charger iPXE puis charger l'image ensuite. iPXE a de nombreux avantages, boot d'une ISO en HTTPS, support donc d'HTTPS, du scripting plus avancé et retire la dépendance à TFTP (Trivial File Transfert Protocol) qui n'est pas sécurisé (pas d'authentification, utilisation de l'UDP, pas de chiffrement). Dans mon cas je n'y vois pas de grand intérêt, tout est local et mon facteur de risque rend difficilement envisageable un ajout de backdoor sur mon serveur TFTP. Donc du PXE ça me va. Et ça me laisse des axes d'améliorations 😛

Donc je pars sur du PXE.

PXE c'est assez simple, lorsqu'il démarre le service fait un DHCPDISCOVER pour demander une IP, le serveur DHCP lui en donne une avec deux options :

l'adresse IP d'un second serveur sur lequel il pourra récupérer sa configuration
le chemin du fichier de configuration que le service doit récupérer.

Ensuite le PXE va télécharger le fichier de configuration qui est le bootloader, l'éxecute. Le bootloader quant à lui va lancer et télécharger les kernels, initramfs et tout ce qu'il a besoin.

Le netboot

Déjà pourquoi partir sur Debian ? J'utilise cet OS depuis bientôt 10 ans et tous mes playbooks sont configurés pour Debian. Il y a aussi le fait que je n'aime pas Ubuntu (vraiment avec Snap là brrrrrrrrrrr). Proxmox aurait sûrement pu répondre à mon projet qui devait s'appuyer sur 2 technos (que vous verrez dans un prochain épisode) mais pas sûr... Et il fallait faire beaucoup de réécriture de mes recettes terraform actuelles.

Je garde quand même un atout dans ma manche : PXE. Demain je veux installer Proxmox ou tout autre OS, je génère une nouvelle image et zou.

Debian avec preseed

Debian propose un installeur en PXE netboot. Mais l'installeur est interactif, ce qui est contraire à l'automatisation... Sauf si on utilise un fichier Preseed. En réalité le fichier Preseed va "simplement" répondre aux questions de l'installeur à notre place sauf s'il n'a pas réussi à résoudre une question.

Je vous partage tout de même cette méthode que j'ai creusé mais je ne l'utilise pas. Vous pouvez directement passer à la méthode « Faire sa propre image Debian Netboot » si vous souhaitez un truc qui marche 😛

Le Preseed, une fois la machine installée, se récupère avec la commande debconf-get-selections --installer . C'est illisible et très lourd pour ce que c'est. J'ai pris une autre option, créer mon fichier Preseed en m'appuyant notamment sur ce site preseed.valete.fr.

Pour le coup les commentaires, bien que en anglais, sont assez éloquents.

## locales

# Preseeding only locale sets language, country and locale.
d-i debian-installer/locale string fr_FR.UTF-8

d-i debian-installer/language string en

d-i debian-installer/country string FR

d-i keyboard-configuration/xkb-keymap string fr(latin9)

## Network

# Disable network configuration entirely. This is useful for cdrom installations on non-networked devices where the network questions, warning and long timeouts are a nuisance.
d-i netcfg/enable boolean true

# netcfg will choose an interface that has link if possible. This makes it skip displaying a list if there is more than one interface.
d-i netcfg/choose_interface select auto

# Any hostname and domain names assigned from dhcp take precedence over values set here. However, setting the values still prevents the questions from being shown, even if values come from dhcp.
d-i netcfg/get_hostname string kida

# If non-free firmware is needed for the network or other hardware, you can configure the installer to always try to load it, without prompting. Or change to false to disable asking.
d-i hw-detect/load_firmware boolean true

### Mirror settings
# If you select ftp, the mirror/country string does not need to be set.
d-i mirror/protocol string http
d-i mirror/country string fr
d-i mirror/http/hostname string deb.debian.org
d-i mirror/http/directory string /debian
d-i mirror/http/proxy string

Globalement, ici j'ai configuré mon clavier en FR, activé le réseau et le DHCP pour finir par nommer ma machine kida.srv.dryusdan.net. Puis j'ai configuré apt pour utiliser deb.debian.org.

La suite du fichier Preseed va créer un compte (avec comme mot de passe azerty :p ). Il est important de noter qu'il faut soit créer un compte utilisateur soit définir un mot de passe sur le compte root. Et si on veut uniquement se connecter en SSH... Il faut gérer ça plus tard. J'en profite pour régler l'heure et la timezone de la machine (qui de toute façon seront réécrites par mes playbooks).

## accounts

# Skip creation of a root account (normal user account will be able to use sudo)
d-i passwd/root-login boolean true

# mkpasswd -s -m sha-512
d-i passwd/root-password-crypted password $6$fmioCke46GgEcazY$Orn2E3TT3Vbr17gSiFjgi0x5pbSQjL1S6uSlAdBUSGI/F/KtMDV2968H7ckj6NzLjEigpQmY4pMBtczXocRev.

# Le mot de passe est bidon, c'est azerty :p

# Skip creation of a normal user account.
d-i passwd/make-user boolean false


## Clock and timezone

# Controls whether or not the hardware clock is set to UTC.
d-i clock-setup/utc boolean true

d-i time/zone select

J'attaque maintenant le partitionnement. Tout d'abord si le disque n'est pas détecté (par exemple sur une machine virtuelle), on peut forcer son utilisation en décommentant la ligne d-i partman-auto/disk string /dev/vda. Je souhaite la création d'un LVM faisant 100% de l'espace restant (restant car je partage une partie du disque avec la partition EFI). Je confirme la suppression de tout block device type LVM ou MDADM encore présent sur le disque puis je confirme l'écriture sans remplir les disques de 0. Je demande ensuite que le fstab soit généré avec des UUID car ça marche bien et ça ne change pas.

## Partitioning

#d-i partman-auto/disk string /dev/vda

# use LVM to partition the disk
d-i partman-auto/method string lvm

# You can define the amount of space that will be used for the LVM volume group. It can either be a size with its unit (eg. 20 GB), a percentage of free space or the 'max' keyword.
d-i partman-auto-lvm/guided_size string 100%

# If one of the disks that are going to be automatically partitioned contains an old LVM configuration, the user will normally receive a warning. This can be preseeded away...
d-i partman-lvm/device_remove_lvm boolean true

# The same applies to pre-existing software RAID array.
d-i partman-md/device_remove_md boolean true

# And the same goes for the confirmation to write the lvm partitions.
d-i partman-lvm/confirm boolean true

# And the same goes for the confirmation to write the lvm partitions.
d-i partman-lvm/confirm_nooverwrite boolean true

# This makes partman automatically partition without confirmation.
d-i partman-partitioning/confirm_write_new_label boolean true

# This makes partman automatically partition without confirmation.
d-i partman/choose_partition select finish

# This makes partman automatically partition without confirmation.
d-i partman/confirm boolean true

# This makes partman automatically partition without confirmation.
d-i partman/confirm_nooverwrite boolean true

# Ensure the partition table is GPT - this is required for EFI
d-i partman-partitioning/choose_label string gpt

# Ensure the partition table is GPT - this is required for EFI
d-i partman-partitioning/default_label string gpt

# When disk encryption is enabled, skip wiping the partitions beforehand.
d-i partman-auto-crypto/erase_disks boolean false

# This makes partman automatically partition without confirmation.
d-i partman-md/confirm boolean true

# The default is to mount by UUID, but you can also choose "traditional" to use traditional device names, or "label" to try filesystem labels before falling back to UUIDs.
d-i partman/mount_style select uuid

Là ça devient fun, si fun que j'ai rédigé l'autre méthode qui est présentée plus bas.

Tout d'abord je crée un volume logique nommé vg d'une taille de 30GB extensible jusqu'à 1TB, une partition efi de 768MB en fat32 qui sera bootable et une partition /boot de 1GB en ext4 qui sera également bootable.

Puis j'écris un lv-root de 5GB dans vg qui sera en ext4, monté sur /. Pareil pour /var, hormis qu'il s'agit d'un lv de 10GB.

Puis je passe sur incus qui sera un petit lv monté sur /var/lib/incus d'une taille allant de 10GB à 1TB.

Pour finir je crée un swap qui fait 200% de ma mémoire vive

d-i partman-auto-lvm/new_vg_name string vg

d-i partman-auto/expert_recipe string                         \
    boot-root ::                                              \
        768 768 768 fat32                                     \
            $primary{ } $bootable{ }                          \
            method{ efi } format{ }                           \
        .                                                     \
        1024 1024 1024 ext4                                   \
            $primary{ } $bootable{ }                          \
            method{ format } format{ }                        \
            use_filesystem{ } filesystem{ ext4 }              \
          ker ce  mountpoint{ /boot }                               \
        .                                                     \
        30000 100 1000000 ext4                                \
            $defaultignore{ }                                 \
            $primary{}                                        \
            method{ lvm } format{ }                           \
            vg_name{ vg }                                     \
        .                                                     \
        5000 101 5000 ext4                                    \
            $defaultignore{ }                                 \
            $lvmok{ }                                         \
            in_vg{ vg } lv_name{ lv-root }                    \
            method{ format } format{ }                        \
            use_filesystem{ } filesystem{ ext4 }              \
            mountpoint{ / }                                   \
        .                                                     \
        10000 101 10000 ext4                                  \
            $defaultignore{ }                                 \
            $lvmok{ }                                         \
            in_vg{ vg } lv_name{ lv-var }                     \
            method{ format } format{ }                        \
            use_filesystem{ } filesystem{ ext4 }              \
            mountpoint{ /var }                                \
        .                                                     \
        10000 101 -1      ext4                                \
            $defaultignore{ }                                 \
            $lvmok{ }                                         \
            in_vg{ vg } lv_name{ lv-incus }                   \
            method{ format } format{ }                        \
            use_filesystem{ } filesystem{ ext4 }              \
            mountpoint{ /var/lib/incus }                      \
        .                                                     \
        200% 100 200% linux-swap                              \
            $defaultignore{ }                                 \
            $lvmok{ }                                         \
            in_vg{ vg } lv_name{ lv-swap }                    \
            method{ swap } format{ }                          \
            use_filesystem{ } filesystem{ linux-swap }        \
        .                                                     \

Vous avez dû tiquer sur la ligne 10000 101 10000 ext4. C'est théoriquement assez simple en surface. Le ext4 vous avez compris c'est le format de la partition. En revanche le premier nombre (ici 10000) c'est la taille minimale requise pour cette partition. Le second nombre c'est la priorité utilisée par l'algorithme pour attribuer la place restante sur le disque pour s'approcher de la taille maximum demandée par chaque partition. Le 3ème nombre c'est la taille maximale. Dans mon cas hormis Incus, toutes les partitions sont définies avec une taille fixe. Lorsqu'il y a un -1 c'est pour indiquer "prend toute la place qu'il te reste". Et je viens de l'apprendre, j'avais cru lire auparavant que c'était pour indiquer que la taille minimale suffisait...

C'est principalement le gros problème de Preseed, je n'ai pas trouvé de documentation claire. C'était que des bouts de documentation à droite à gauche, des posts sur des forums (qui sont en plus sur inscription only maintenant) et je ne vous ai même pas parlé d'utiliser BTRFS et ses subvolumes... L'histoire du -1 plus haut, je me suis dit qu'en cherchant à écrire cet article, je venais de comprendre un truc, donc j'ai de nouveau testé

Ça n'a pas fonctionné. La seule documentation trouvée c'est l'algorithme lui-même quand je cherchais à comprendre pourquoi il y a 3 nombres dans les recettes partman.

J'ai quand même décrit cette partie avec Partman, car j'ai passé trop de temps à essayer de comprendre pour ne pas en parler :D

Théoriquement c'est censé être simple à comprendre, mais cela m'a excessivement cassé les pieds. En plus de Partman, l'installeur de Debian me demandait toujours s'il devait analyser un CD en tant que repository. Sauf que non, no way. Mais impossible de le désactiver... J'ai trouvé la réponse sur un post de 2005, en fait la partie CD-ROM était une demande de "l'installeur du média d'installation" (apt-cdrom-setup) et non de "l'installeur Debian" (d-i)... Pour être sûr que ça ne me demande JAMAIS l'ajout d'un CD, j'ai tout collé.

## Apt setup

# Choose, if you want to scan additional installation media
# (default: false).
d-i apt-setup/cdrom/set-first boolean false
d-i apt-setup/cdrom/set-next boolean false
d-i apt-setup/cdrom/set-double boolean false
d-i apt-setup/cdrom/set-failed boolean false
d-i apt-setup/disable-cdrom-entries boolean true

# Faut-il analyser d'autres supports d'installation ?
apt-cdrom-setup apt-setup/cdrom/set-double      boolean false
apt-cdrom-setup apt-setup/cdrom/set-failed      boolean false
apt-cdrom-setup apt-setup/cdrom/set-first       boolean false
apt-cdrom-setup apt-setup/cdrom/set-next        boolean false

Ici ça reste classique, j'active tous les repos Debian, je ne choisis rien dans le run_tasksel (celui qui demande si vous voulez un serveur d'impression, ssh, web...). Je demande d'installer openssh-server (que je configure plus bas) et je désactive le popularity-contest. Puis je force Debian à installer grub en indiquant qu'il est le seul OS sur cette machine.

d-i apt-setup/use_mirror boolean false

# You can choose to install non-free firmware.
d-i apt-setup/non-free-firmware boolean true

# You can choose to install non-free software.
d-i apt-setup/non-free boolean true

# You can choose to install contrib software.
d-i apt-setup/contrib boolean true

# If you don't want to have the sources.list entry for a DVD/ BD installation image active in the installed system(entries for netinst or CD images will be disabled anyway, regardless of this setting).

## Package selection
# Or choose to not get the tasksel dialog displayed at all (and don't install any packages):
d-i pkgsel/run_tasksel string

# Individual additional packages to install
d-i pkgsel/include string openssh-server

# Some versions of the installer can report back on what software you have
# installed, and what software you use. The default is not to report back,
# but sending reports helps the project determine what software is most
# popular and include it on CDs.
popularity-contest popularity-contest/participate boolean false


## Boot loader

# This is fairly safe to set, it makes grub install automatically to the UEFI partition/boot record if no other operating system is detected on the machine.
d-i grub-installer/only_debian boolean true

Là y a deux trois petites astuces. Déjà Debian va forcément vous demander une confirmation pour reboot. Ça se désactive avec la ligne finish-install/reboot_in_progress. Ensuite un coup de exit/reboot ça fonctionne. Mais dans mon cas, je préfère un shutdown pour le remettre sur le réseau standard et lui claquer un WOL, pour éviter qu'il s'installe à l'infini.

Pour les late_command c'est là où ça devient intéressant. Je retire le mot de passe root, je bloque le compte. Puis je lui crée un répertoire .ssh pour autoriser ma clé SSH à entrer sur le serveur et je modifie la configuration d'OpenSSH pour autoriser la connexion à root.

## Finishing

# This is how to make the installer shutdown when finished, but not reboot into the installed system.
#d-i debian-installer/exit/reboot boolean true
d-i finish-install/reboot_in_progress note

## Advanced options
d-i preseed/late_command string \
    in-target /usr/bin/passwd -dl root; \
    in-target /usr/bin/mkdir -p /root/.ssh; \
    in-target /usr/bin/echo 'ssh-ed25519 MASUPERCLESSH' > /root/.ssh/authorized_keys; \
    in-target /usr/bin/sed -i "s/#PermitRootLogin prohibit-password/PermitRootLogin yes/" /etc/ssh/sshd_config;

Comme dit plus haut, j'ai privilégié une autre méthode. Mais vous pouvez tout de même accéder au preseed complet

Faire sa propre image Debian Netboot

Je suis assez content⋅e, car je commence à réussir à faire des liens entre mes articles. Il y a beaucoup de similitudes avec un précédemment écrit : l'installation d'une Debian sur un Raspberry PI

Installer une Debian stock sur un Raspberry PI

Pour réussir à faire l'installation que je souhaite, j'ai créé une image live qui va inclure un script d'installation et ce script va simplement partitionner la machine, puis lancer un debootstrap.

Sur IRC, on m'a lancé le défi d'utiliser l'initramfs en PXE pour y lancer les instructions d'installation ... J'ai regardé mais pas réussi.

Cependant pour les curieux⋅ses j'ai un petit article de Lord :

Se créer un initramfs manuellement

ou Se monter un système Linux minimal 🔗 Alors que quelques années en arrière, le wiki d'Arch Linux était une des rares documentations à aborder des sujets assez variés et techniques, désormais le wiki Gentoo s'améliore grandement et arrive à faire au moins aussi bien. Il lui arrive même de dépasser son concurrent et a l'avantage d'être plus centré sur ma distro favorite. Il intègre désormais le fameux handbook permettant d'installer sa Gentoo. Aujourd'hui je vais vous faire un ptit TL;DR de la partie dédiée à l'InitramFS.

Déjà pour réussir ça, il faut saisir comment boot un Linux. C'est expliqué dans le lien de Lord juste au dessus, mais je vais très succinctement le résumer ici :

BIOS/EUFI → Bootloader → Initramfs → Linux

Le bootloader est un noyau Linux archi light et compressé mais qui aura plus de capacité pour lancer la suite que le BIOS/EUFI. Il est nommé vmlinuz. vmlinuz va ainsi pouvoir booter l'initramfs (en RAM) qui est plus complet, notamment, car il peut être amené à déchiffrer un disque. Ensuite là c'est peanut, initramfs a les clés nécessaires pour boot Linux en suivant les instructions transmises par l'initramfs qui l'a récupéré du bootloader. Bref, on démarre deux Linux avant d'avoir notre Linux final.

Je vais extrêmement grossir le trait, mais décompressez une Debian netinstall ou une iso Ubuntu et vous aurez grosso modo le même mécanisme qu'avec un PXE. Il y a un secteur d'amorçage, qui va lancer le grub puis de bootloader puis initramfs et pour finir par décompresser et exécuter le système de fichier en lecture seule.

Donc je vais créer un mini système que sera ensuite compressé pour boot dessus. Pour finir ce système va lancer une installation automatique créé avant. (En réalité ça me fait penser à Subiquity de Canonical... Mais en plus simple)

Pour créer ce système, il faut quelques paquets :

debootstrap pour installer Debian
squashfs-tools pour créer un système de fichier compressé
rsync pour copier les données en conservant les permissions et envoyer le résultat sur notre serveur TFTP.

Et c'est tout (vous pensiez que c'était plus compliqué que ça ? :D). À vrai dire, là c'est ça va être la base, mais vous pouvez retrouver le script d'installation sur mon repository git.

je crée le système de base

ROOTFS="$(mktemp -d)" #Créer un dossier temporaire
debootstrap --arch=amd64 \
         --components=main,non-free,non-free-firmware \
         --variant=minbase \
         --include=arch-install-scripts,btrfs-progs,ca-certificates,console-setup,curl,debootstrap,dbus,dosfstools,e2fsprogs,iproute2,iputils-ping,linux-image-amd64,live-boot,locales,openssh-server,parted,systemd-resolved,systemd-sysv,systemd-timesyncd,zstd \
         --force-check-gpg \
         trixie \
         "${ROOTFS}" \
        http://deb.debian.org/debian

Comme pour installer le Raspberry PI. J'ai rajouté arch-install-scripts, par pur fainéantise pour faire un chroot ou encore btrfs-progs pour créer et gérer un système de fichier en btrfs. J'inclus également live-boot qui est une composante nécessaire pour Debian pour se lancer sur un squashfs (j'ai testé sans, ça a fini en Kernel Panic). Et un openssh-server pour pouvoir se connecter sur la machine si, par hasard, le script d'installation échoue.

J'ai créé un répertoire rootfs comportant quelques fichiers et exécutables tels que mes clés SSH, ou encore le script d'installation. Ce répertoire est copié sur le système créé par debootstrap.

dryusdan@nemo:~/git/pxe-hv-install$ tree
rootfs/
├── etc
│   ├── hostname
│   ├── locale.gen
│   ├── ssh
│   │   └── sshd_config.d
│   │       └── pxe-boot.conf
│   └── systemd
│       ├── network
│       │   └── 10-dhcp.network
│       └── system
│           └── install.service
├── root
│   └── .ssh
│       └── authorized_keys
└── usr
    └── local
        └── bin
            └── install.sh

J'explique en premier le script install.sh, le plus intéressant mais également le plus basique, pas d'installation compliquée avec des outils compliqués. Il reste cependant adapté à un petit lab, car il est basique mais n'offre que peu de personnalisation "facilement".

Le script install.sh

Tout d'abord le script commence par choisir un disque, plus ou moins arbitrairement. Soit je l'ai indiqué dans le serveur TFTP, soit il se débrouille. J'évite aussi les disques attachés à un soft raid (j'ai une machine qui a 3 disques /dev/sdX en soft-raid et un /dev/nvme0n1).

TFTP_SERVER=172.26.0.1
DISK_FORCE_INSTALL_FILE="config/install-disk"

disk=$(curl -s "tftp://${TFTP_SERVER}/${DISK_FORCE_INSTALL_FILE}")
rc=$?
if [ $rc -ne 68 ]; then
    echo "File exist, choose disk ${disk}"
else
    echo "No disk choosed. Fetch disks"
fi

if [ -z "$disk" ]; then
    if [ ! -f /proc/mdstat ]; then
        info "No mdadm found"
    else
        md=$(cat /proc/mdstat)
    fi
    for disk in $(lsblk --nodeps --exclude 7 -io NAME --noheadings --sort NAME)
    do
        if [[ "${md}" = *"${disk}"* ]]; then
           echo "${disk} is in mdadm. Don't rewrite it"
           echo "If you want to rewrite it, please fix in on tftp server ${DISK_FORCE_INSTALL_FILE}"
        else
            echo "Choosing ${disk}"
            break
        fi
    done
fi

Une fois le disque choisi, je supprime ses entêtes et je crée une partition efi pour l'EUFI et une partition qui va comporter tous les subvolumes BTRFS. Pourquoi BTRFS ? On m'a dit que c'était bien, je ne connaissais pas donc je vais tester.

parted "/dev/${disk}" --script mktable gpt
parted "/dev/${disk}" --script mkpart EFI fat32 1MiB 512MiB
parted "/dev/${disk}" --script mkpart LINUX btrfs 512MiB 100%

# Petit trick parce que le nommage d'une partition nvme et sda n'est pas identique
if [[ "${disk}" = *"nvme"* ]]; then
    bootpart="${disk}p1"
    fspart="${disk}p2"
else
    bootpart="${disk}1"
    fspart="${disk}2"
fi

info "Formating disk"
mkfs.vfat -F 32 -n EFI "/dev/${bootpart}"
mkfs.btrfs -f -L LINUX "/dev/${fspart}"

Je monte la partition puis je crée les subvolumes

info "Mounting /dev/${fspart} on ${ROOTFS}"
mount /dev/${fspart} ${ROOTFS}
cd ${ROOTFS}

info "Creating subvolumes"
btrfs subvolume create @
btrfs subvolume create @var
btrfs subvolume create @incus

Je démonte tout ça pour monter progressivement les subvolumes en créant les points de montages et également pour créer les quotas.

echo "Unmount base"
cd /
umount /mnt

echo "Mount root subvolume into ${ROOTFS}"
mount -o subvol=@ "/dev/${fspart}" "${ROOTFS}"
btrfs quota enable "${ROOTFS}"
btrfs qgroup limit 10G "${ROOTFS}"

echo "Creating var"
mkdir -p "${ROOTFS}/var"

echo "Mounting var subvolume"
mount -o subvol=@var "/dev/${fspart}" "${ROOTFS}/var"
btrfs quota enable "${ROOTFS}/var"
btrfs qgroup limit 16G "${ROOTFS}/var"

echo "Creating incus"
mkdir -p "${ROOTFS}/var/lib/incus"

echo "Mounting incus subvolume"
mount -o subvol=@incus "/dev/${fspart}" "${ROOTFS}/var/lib/incus"

echo "Mounting efi partition"
mkdir -p ${ROOTFS}/boot/efi
mount "/dev/${bootpart}" ${ROOTFS}/boot/efi

Puis je lance debootstrap pour installer. Comme d'habitude, vous pouvez choisir vos propres paquets. Cependant gpg est quand même très utile pour apt.

echo "Debootstrap in ${ROOTFS}"
debootstrap --arch=amd64 \
         --components=main,non-free,non-free-firmware \
         --variant=minbase \
         --include=btrfs-progs,ca-certificates,console-setup,curl,dbus,dosfstools,e2fsprogs,firmware-misc-nonfree,gpg,grub-efi,iproute2,iputils-ping,linux-image-amd64,lm-sensors,man-db,less,locales,openssh-server,python3,systemd-resolved,systemd-sysv,systemd-timesyncd,vim,zstd \
         --force-check-gpg \
         trixie \
         "${ROOTFS}" \
        http://deb.debian.org/debian

Je configure le fstab en utilisant le label parce que c'est plus simple que de récupérer l'UUID du disque ou le chemin vers ce disque.

info "Configure fstab"
cat <<EOF > "${ROOTFS}/etc/fstab"
LABEL=LINUX /              btrfs   subvol=@,defaults,rw,noatime,autodefrag,compress=zstd 0 1
LABEL=LINUX /var           btrfs   subvol=@var,defaults,rw,noatime,autodefrag,compress=zstd 0 2
LABEL=LINUX /var/lib/incus btrfs   subvol=@incus,defaults,rw,noatime,autodefrag,compress=zstd 0 2
EOF

Je configure le reste du serveur, qui ressemble étrangement (ou pas) au dossier rootfs vu plus haut. Peut-être un prochain axe d'amélioration.

echo "Configure server"
echo "fr_FR.UTF-8 UTF-8" >> "${ROOTFS}/etc/locale.gen"
echo "en_GB.UTF-8 UTF-8" >> "${ROOTFS}/etc/locale.gen"

echo "Configure network"
mkdir -pv "${ROOTFS}/etc/systemd/network/"
cat <<EOF > "${ROOTFS}/etc/systemd/network/10-dhcp.network"
[Match]
Name=e*

[Network]
DHCP=ipv4

[DHCP]
UseDNS=yes
EOF

echo "Configure ssh server"
cat <<EOF > "${ROOTFS}/etc/ssh/sshd_config.d/first-boot-conf.ssh"
PasswordAuthentication no
PermitEmptyPasswords no
PermitRootLogin prohibit-password
EOF

echo "Add ssh authorized_keys in root"
mkdir -vp "${ROOTFS}/root/.ssh/"
cat <<EOF > "${ROOTFS}/root/.ssh/authorized_keys"
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIPP4tMAPIWv4fMMI7xLfdVFe54weHoFe2ZVZU+ZVPl8d
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAINF+bi103OW7hfuVXoO/MLzR9Ymi7wx0HGt7WvH8vrSa
EOF

echo "Change hostname"
echo "pxe-install" > "${ROOTFS}/etc/hostname"

echo "Fix /etc/hosts"
cat > "${ROOTFS}/etc/hosts" << EOF
127.0.0.1 localhost
127.0.1.1 pxe-install

# The following lines are desirable for IPv6 capable hosts
::1     localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
EOF

Puis je lance les dernières configurations au travers du chroot, je régénère l'initramfs, le grub, je force l'écriture sur disque et j'éteins la machine !

Alors petit trick, le PATH de arch-chroot n'embarque pas /usr/sbin sauf que des binaires (notamment utilisés par locale-gen se trouvent dedans, j'ajoute ce chemin dans le PATH et je le retire après mes actions pour éviter de foutre la grouille sur mon terminal.

OLD_PATH=$PATH
export PATH="/usr/local/sbin:/usr/local/bin:/usr/bin:/usr/sbin"

info "Prepare nextboot"
arch-chroot "${ROOTFS}" locale-gen
arch-chroot "${ROOTFS}" timedatectl set-ntp true
arch-chroot "${ROOTFS}" timedatectl set-timezone Europe/Paris
arch-chroot "${ROOTFS}" systemctl enable systemd-networkd
arch-chroot "${ROOTFS}" systemctl enable systemd-resolved
arch-chroot "${ROOTFS}" update-initramfs -u
arch-chroot "${ROOTFS}" grub-install --target=x86_64-efi --efi-directory=/boot/efi --bootloader-id=debian --recheck --no-nvram --removable
arch-chroot "${ROOTFS}" update-grub

export PATH=$OLD_PATH

sync;sync;

info "Install completed. Shutdown"
shutdown -h 0

Les autres fichiers dans rootfs

Il n'y avait pas qu'un install.sh dans le rootfs 😉. On y trouve aussi le fichier pxe-boot.conf qui autorise la connexion au compte root en SSH.

# rootfs/etc/ssh/sshd_config.d/pxe-boot.conf
PasswordAuthentication no
PermitEmptyPasswords no
PermitRootLogin prohibit-password

Le fichier locale.gen possède que deux locales, rien de folichon

# rootfs/etc/locale.gen
fr_FR.UTF-8 UTF-8
en_GB.UTF-8 UTF-8

Le fichier 10-dhcp.network quant à lui va activer le DHCP sur toutes les interfaces commençant par e

# rootfs/etc/systemd/network/10-dhcp.network
[Match]
Name=e*

[Network]
DHCP=ipv4

[DHCP]
UseDNS=yes

Le service install.service est la pièce maitresse, sans lui rien ne sera lancé automatiquement. Mais même s'il est basique il embarque deux trois dépendances liées au réseau

# rootfs/etc/systemd/system/install.service
[Unit]
Description=Install
Requires=network.target network-online.target time-sync.target local-fs.target

[Service]
Type=simple
ExecStart=/usr/local/bin/install.sh

[Install]
WantedBy=default.target

Il y a beaucoup de require, car le network.target attend uniquement que l'interface soit up, network-online.target attend que l'IP soit montée sur l'interface, time-sync.target attend que le client NTP lance une synchronisation et local-fs.target attend que les disques soient réellement montés.

Autant network-online.target est utile parce que le script se lance, DHCP ou non et c'est un peu ennuyeux. Autant time-sync.target c'est utile si la pile de votre machine est KO, fraichement remplacée et que vous utilisez les dépôts Debian en HTTPS.

En rajoutant des dépendances aux services, il va falloir les activer au lancement du serveur (et c'est là que arch-chroot va être utile :D)

#Je désactive le réseau de base Debian
arch-chroot "${ROOTFS}" /bin/systemctl disable networking

# J'active systemd-networkd et wait-online qui attend que le DHCP se soit lancé
arch-chroot "${ROOTFS}" /bin/systemctl enable systemd-networkd systemd-networkd-wait-online.service

# J'active systemd-timesyncd et wait-sync pour forcer la synchronisation de l'horloge système
arch-chroot "${ROOTFS}" /bin/systemctl enable systemd-timesyncd.service systemd-time-wait-sync.service

# J'active le script
arch-chroot "${ROOTFS}" /bin/systemctl enable install

Si vous voulez activer un mot de passe sur votre compte root (au cas où le réseau ne monte pas par exemple), attention le clavier sera en qwerty.

arch-chroot "${ROOTFS}" bash -c 'echo -e "azerty" | passwd root --stdin'

Et voilà, le système est prêt à être compressé. Ce qui se fait assez facilement d'ailleurs. Mais avant de continuer il faut récupérer l'initramfs et vmlinuz, car ils sont utiles au démarrage de la machine en PXE

NETSYSTEM_PATH="$(pwd)/netsystem"
mkdir -p "${NETSYSTEM_PATH}"
rsync -azvP "${ROOTFS}/boot/initrd.img"* "${NETSYSTEM_PATH}/initrd.img"
rsync -azvP "${ROOTFS}/boot/vmlinuz"* "${NETSYSTEM_PATH}/vmlinuz"

Puis je lance une compression excluant le /boot vu que ces fichiers ont été récupérés juste avant, mieux vaut éviter les données inutiles sinon ça ralentit le temps de téléchargement de l'image pour rien. La compression est du lzma. C'est plus gourmand en ressource pour compresser, mais j'ai quelques cores dans le boitier.

mksquashfs "${ROOTFS}" "${NETSYSTEM_PATH}/dry-debian-custom.squashfs" -comp xz -e boot

Puis j'envoie tout ça sur la machine qui va gérer le PXE.

Comme je vous l'ai dit plus haut, tout est disponible sur mon repository git, les fichiers sont un peu plus travaillés. Et vous pouvez les copier coller sans avoir besoin de les réassembler.

Maintenant le boot PXE

Maintenant que tout est prêt, je vais m'attaquer au boot. mais après un moment de réflexion.

Dans mon cas, j'ai un serveur DHCP géré par mon routeur. Si j'indique à mon routeur d'envoyer les options DHCP pour le PXE, à chaque reboot de la machine elle va se réinstaller en PXE (et au final former un boot reinstall loop). Je dois donc éviter ça. Et j'aimerais éviter les erreurs de manipulation aussi.

Je n'avais pas trouvé de meilleure solution que coller sa machine dans un VLAN spécifique, le serveur DHCP + TFTP dans ce même VLAN et boot.

Depuis j'ai constaté, en augmentant le verbose de mon tftp, qu'une ligne m'intéresse

RRQ from 172.26.0.19 filename efi64/pxelinux.cfg/01-ad-6a-a9-c8-8f-c0

Ça veut, théoriquement, dire qu'au lieu que syslinux utilise le fichier default (comme j'ai trouvé partout), je pourrais utiliser un fichier ayant comme nom l'adresse mac de la machine, ce qui me permettrait d'écrire les instructions de boot dans un fichier spécifique par machine.

Bon, aujourd'hui j'ai plutôt une machine que je branche sur un autre réseau avec un VLAN et comme ça ce requête via l'API du Mikrotik c'est automatisable.

Pour faire simple, au lieu de passer par le routeur je passe par le RPI qui fait office de routeur. Pas le même réseau, ça m'évite aussi de faire une connerie si jamais

Un schéma reprenant l'infrastructure futur-lab, mais épuré. La différence se voit dans un serveur qui passe maintenant par le raspberry PI.

Mais ça pourrait faire une nouvelle évolution à mener 😇

EDIT : En relisant une source de l'article j'ai vu que Debian l'expliquant, j'aurais pu économiser un peu de temps...

Then SYSLINUX/PXELINUX will try to search its configuration at different paths, from the most specific to the least:

pxelinux.cfg/GUID

pxelinux.cfg/MAC

pxelinux.cfg/default

Maintenant que j'ai le comment, il va falloir passer à la configuration. Je vous laisse gérer votre configuration réseau, la mienne est un poil alambiquée pour d'autres raisons que ce projet.

Pour mettre en place ce boot PXE je vais avoir besoin de 3 choses :

Un serveur DHCP
Un serveur TFTP
Un bootloader

Pour le serveur DHCP je pars sur isc-dhcp-server. La configuration est relativement simple, dans le fichier /etc/dhcp/dhcpd.conf je supprime tout pour y coller ces quelques lignes

default-lease-time 600;
max-lease-time 900;
ignore-client-uids true;

subnet 172.26.0.0 netmask 255.255.255.0 {
  range 172.26.0.10 172.26.0.250;
  option domain-name-servers 192.168.1.221;
  option routers 172.26.0.1;
  option broadcast-address 172.26.0.255;
  deny unknown-clients;
}

group {
  next-server 172.26.0.1;
  filename "efi64/syslinux.efi";

  host srv1 { hardware ethernet AD:6A:A9:C8:8F:C0; }
  host srv2 { hardware ethernet 43:BD:7F:D8:3E:82; }
}

Le ignore-client-uids est là pour éviter d'assigner une nouvelle IP, ou d'assigner la même IP sur tous les clients qui ont le même UUID (ça m'est arrivé, c'est chiant). Le subnet défini le réseau. Au début, j'utilisais un /29. Mais j'ai de l'espace et aucun intéret à me comprimer dans un /29 (qui m'a apporté des doublons d'IP). La petite particularité est le deny unknown-clients; qui est là pour éviter qu'en cas de maladresse mon serveur principal, mon pc ou whatever démarre en PXE sur le même VLAN que mon RPI et se fasse réinstaller, je n'autorise les requêtes DHCP que des adresses MAC connues.

Adresses MAC qui sont définies dans la section group en dessous. L'option next-server c'est l'adresse du serveur qui a d'autres configurations à filer à la machine (aka notre serveur TFTP) et filename c'est le fichier de "configuration" que notre serveur va récupérer.

Ensuite on édite /etc/default/isc-dhcp-server pour faire écouter le serveur DHCP sur une seule interface.

INTERFACESv4="eth0.100"

On commente tout le reste et la configuration du serveur DHCP est terminé.

Côté serveur TFTP maintenant, c'est encore PLUS SIMPLE, déjà j'installe le paquet tftpd-hpa et modifie la configuration présente dans /etc/default/tftpd-hpa (Le verbosity n'est pas de trop je trouve)

TFTP_USERNAME="tftp"
TFTP_DIRECTORY="/srv/tftp"
TFTP_ADDRESS=":69"
TFTP_OPTIONS="--secure --verbosity 4"
RUN_DAEMON="yes"

Maintenant il ne reste plus qu'à aller créer un dossier /srv/tftp et y mettre les droits pour tftp et zou !

PXE avec le preseed

Sauf qu'il manque le bootloader ! Au tout départ j'ai pris celui de Debian netboot. Ça fonctionne, mais j'utilise plus le netboot de Debian. (Je vais quand même vous le montrer)

mkdir -p /srv/tftp
cd /srv/tftp
wget https://deb.debian.org/debian/dists/trixie/main/installer-amd64/current/images/netboot/netboot.tar.gz
tar -xvf netboot.tar.gz ./
ln -s debian-installer/amd64/grubx64.efi .
ln -s debian-installer/amd64/grub .
chown -R tftp:tftp /srv/tftp

Dans la config DNS je modifie l'option filename pour pointer vers grubx64.efi. Pour indiquer où est l'URL du preseed et que Debian démarre tout seul correctement, je révise le fichier /srv/tftp/grub/grub.cfg pour remplacer tous les menuentry par celui ci-dessous en rajoutant au passage 2 options en plus : un timeout de 2 secondes avec une présélection par défaut sur l'entrée fraichement créée.

menuentry 'Install' {
  set background_color=black
  linux    /debian-installer/amd64/linux vga=788 --- quiet auto=true preseed/url="http://preseed.dryusdan.net/preseed.cfg" netcfg/get_hostname=debian netcfg/get_domain=""
  initrd   /debian-installer/amd64/initrd.gz
}

set timeout=2
set default=""Install""

PXE avec le squashfs

Pour cette étape, il va falloir installer deux paquets et configurer le répertoire /srv/tftp en conséquence

apt install -y syslinux-common syslinux-efi

Une fois les bootloaders récupérés je les mets en place dans le répertoire tftp

mkdir -p /srv/tftp/{boot,pxelinux.cfg,efi64}
cp /usr/lib/SYSLINUX.EFI/efi64/syslinux.efi /srv/tftp/efi64/
cp /usr/lib/syslinux/modules/efi64/* /srv/tftp/efi64/
cd /srv/tftp/efi64
ln -s ../pxelinux.cfg/ ./
ln -s ../boot/ ./

Côté menu de démarrage je crée le fichier /srv/tftp/pxelinux.cfg/default en y ajoutant :

DEFAULT vesamenu.c32
TIMEOUT 100
MENU TITLE Starting menu
ALLOWOPTIONS 0
MENU AUTOBOOT Auto start in #

LABEL NETSYSTEM
    MENU LABEL PXEBOOT
    KERNEL boot/netsystem/vmlinuz
    APPEND boot=live initrd=boot/netsystem/initrd.img vga=792 config noswap noprompt fetch=tftp://172.26.0.1/boot/netsystem/dry-debian.squashfs root=/dev/ram0 rw net.ifnames=0 showmounts toram quickreboot
    TEXT HELP
    Boot on PXE
    ENDTEXT

Le menu va boot automatiquement sur vmlinuz qui va charger l'initramfs. L'initramfs lui va charger le squashfs en RAM sans swap et en lecture-écriture (pour les applications qui vont écrire leurs logs). L'instruction toram va charger tout l'OS en RAM (d'où la nécessité d'un OS léger). Le quickreboot va redémarrer sans demander à l'utilisateur de retirer sa clé et showmounts, quant à lui, va afficher le squashfs dans un point de montage sur la machine. Ces options nous viennent du paquet live-boot

Il y a 10 minutes, j'ai déplacé le dossier netsystem vers ce serveur. Ce dossier comporte un vmlinuz, un initrd.img et le squashfs. Il ne reste plus qu'à les déplacer du répertoire où ils nous attendent au serveur TFTP dans /srv/tftp/boot/netsystem/. Maintenant il faut tester en installant les serveurs via PXE ! 😊

Avec mon RPI 4 branchés sur une borne WIFI et faisant routeur (je vous ai dit que cette partie-là est spéciale) je boucle une installation en moins de 4 minutes.

À bientôt pour l'épisode 2 ! Et si vous ne voulez pas le louper, abonnez vous au flux /RSS

Sur ce, portez vous bien :)

Photo de Ildefonso Polo

PS :systemd J'ai essayé d'être le plus clair et explicite possible. J'ai essayé de vulgariser un peu tout en étant le plus juste possible. Mais si j'ai fait une erreur, n'hésitez pas à me le dire par e-mail ou sur le fediverse (tout est sur ma page Hello ) 😊

Sources

DebianInstaller/Preseed - Debian Wiki

Aucune description n'a été trouvé pour ce site.

Debian Netboot Rescue System

Aucune description n'a été trouvé pour ce site.

Installer une Debian stock sur un Raspberry PI

live-boot(7) — live-boot-doc — Debian trixie — Debian Manpages

Aucune description n'a été trouvé pour ce site.

PXEBootInstall - Debian Wiki

Aucune description n'a été trouvé pour ce site.

PXE - Antoine Pernot

Ingénieur en systèmes informatiques, réseaux et télécommunications

Squashfs — Wiki doc

Aucune description n'a été trouvé pour ce site.

Sécurité routière et piéton

Dryusdan — Sun, 02 Nov 2025 21:31:00 +0100

La sécurité routière nous a encore pondu un magnifique message de prévention

https://m.youtube.com/watch?v=LHx-sSjIw_s

« Ils sont un danger pour les autres : les piétons »

Putain mais quelles bandes de connard à la sécurité routière, vraiment

Ça j’en suis à me demander si cette pub est légal.

La pub qui fout des fumées de cheminé lié aussi voitures c’est interdit par contre ça ban pas de problème tout va bien

Nan vraiment, des connards fini dans cet organisme

Je sais pas pour égaliser ça ils auraient pu foutre 10 conducteurs de voiture fonçant dans la foule. Mais non ça aurait été du terrorisme.

Combien j’ai de pote, de connaissance qui ont été shooté par un automobiliste sans être sur leurs téléphones.

Combien de blessé et de mort sur la route à cause de conducteur qui sont sur leurs téléphones ? Mais non c’est plus facile de blâmer et d’insulter le piéton qui déjà galère à avoir un trottoir. Faire porter le chapeau le plus total à ces derniers.

Comme d’hab en fait… Faire porter le poids de l’irresponsabilité à des milliards de victime.

Ha et n’oubliez pas votre bracelet de reconnaissance attaché à votre cheville. Au cas où hein

Humanité, IA et le règne animal

Dryusdan — Sat, 01 Nov 2025 14:20:00 +0100

Cette semaine, pendant mes nombreuses heures perdues dans le train, j'écoutais un podcast : "Chat GPT peut-il être un bon psy ?". Sans même écouter le podcast j'aurais dit non, mais j'avais encore 2 heures devant moi, donc j'ai mis mes écouteurs et je l'ai fait.

Pour rajouter un peu de contexte, quelques jours auparavant j'ai eu une discussion que je vais pouvoir résumer en une simple question :

Être gentil, simple histoire d'humanité ou évolution inutile ?

Cette question vient de 2 faits :

j'ai aidé un petit vieux totalement alcoolisé incapable de parler il y a 3 semaines au détriment de mon train à prendre.
On m'a appris qu'à Paris, il ne faut penser qu'à soi.

Pour appuyer sur cette dernière phrase, en discutant avec des collègues parisiens, je me plaignais de la chaleur du métro, il doit y faire au moins 30°C et il m'a répondu qu'une fois une personne a fait un malaise dans sa rame. Il l'a mise en PLS, a tiré la sonnette d'alarme et... S'est fait engueulé par les autres personnes de cette même rame. Ça fait écho avec la discussion que j'ai eue (qui a généré cette question) : "Le fort vit, le faible non, si le fort aide le faible c'est un couillon. Regarde, le loup chasse le lapin, si le lapin se blesse, le loup va pas l'aider."

Sauf que le loup il n'a pas inventé le feu, le loup ne vit pas entouré de 10 millions d'individus (au contraire on galère à les réintroduire en France). Le loup ne tue pas la planète à petit feu, n'a pas lancé de guerre pour un bout d'os (relique pardon). Le loup n'a pas évolué comme l'humain. Je ne peux pas croire que l'humanité se résume à l'individualisme de masse, sinon nous n'aurions pas la Croix-Rouge, Médecin sans frontière ou encore la Chorba. Seulement nous ne voyons que ce qu'on nous montre au travers des médias ou ce qu'on entend à travers des discussions tandis que les associations citées plus haut agissent dans l'ombre.

Ça peut paraitre bizarre le lien entre ce podcast qui parle d'IA et l'individualisme latent dont je fais mention depuis tout à l'heure. Mais il y en a bien un ! Dans ce podcast, outre la section qui mentionne les discussions Reddit pour avoir le meilleur prompt possible pour remplacer le psychologue, deux autres sections m'ont interpelé.

La première est la solitude. Ça peut paraitre bizarre, mais dans notre monde ultra connecté les gens sont seuls. Mais on oublie très vite que les "réseaux sociaux" tels que Tiktok ou Instagram pour n'en citer que deux, consomme un temps monstrueux, procure de la dopamine à foison mais... Ce n'est pas un réseau social, juste un écran publicitaire en plus (je grossis légèrement le trait) nous bombardant d'informations déprimantes, d'idéaux à la con et de jugements débiles. Un moule dans lequel il faut rentrer, sinon t'es un couillon (ho, un lien). Mais tu as aussi le jugement des autres. Qui n'a jamais reçu une réflexion parce qu'on a porté un truc qui ne plaisait pas à quelqu'un ? (bon, mon passé aide peut-être à penser qu'on est toujours critiqués, haaaa l'école...). J'ai de la chance aujourd'hui d'avoir des ami⋅e⋅s qui ne me jugent pas, mais c'est pas le cas de tout le monde. L'IA générative est conçue pour être toujours de ton côté, pour répondre les mots les plus justes pour toi. Donc oui, elle ne te jugera pas et paraitra gentille (sans même connaitre ce concept, cette émotion).

L'autre point c'est le paraitre, à force de nous rabâcher que nous ne sommes pas importants, qu'on est facilement échangeables (qu'on vit comme ça tous les jours au final), que d'autres ont de plus grands problèmes, plus de problèmes ou comme ils sont magnifiques ils valent mieux que toi. baaah t'as l'impression que ton impression d'être submergé par les évènements, des émotions négatives, que tu penses que tu ne vas pas t'en sortir, que tout t'écrases, c'est pas si grave, c'est normal c'est un petit coup de blues. Une tisane et un plaid et c'est fini... Non, juste fucking non. Alors oui l'état du système de santé en France d'autant plus sur les problèmes d'ordre mental c'est une catastrophe et ça ne va pas en s'arrangeant, mais les problèmes existent et c'est toujours important quoi qu'on en pense.

De mon côté, ce que j'ai retenu de cette semaine, c'est que beaucoup semblent être sur ce délire de la loi du plus fort entouré de 66 millions d'autres, que 10 minutes c'est plus important qu'aider une personne en détresse. Qu'au final, l'IA générative semble être un bon point d'entrée parce qu'elle semble sympa, humaine.

Je ne saurais dire si c'est triste qu'une IA parait plus humaine que des humains, ou si on se sent entourés de monstres à cause des médias (et je colle dans ce groupe les réseaux sociaux chargés à l'algorithme). Toujours est-il que penser aux autres n'est pas une faiblesse, les juger en revanche est désastreux pour notre société. Penser à la loi du plus fort et forcer les gens à rentrer dans un moule c'est le contraire d'une société. Tout uniformiser pour empêcher la dissidence empêche juste d'évoluer en tant qu'individu et en tant que société. Si on retire toute dissidence, de notre société on retire toute évolution et là nous ne serions pas mieux qu'une IA générative, car elle aussi n'évolue pas. Dans sa conception et dans son exécution, l'IA n'est pas humaine, ni gentille. Elle ne sera pas notre amie et le risque que cette technologie se retourne contre nous (la vie privée, le secret médical tout ça) n'est clairement pas à exclure, surtout vu le monde vers lequel on se dirige.

Si ça va pas, qu'importe le sujet, allez voir un psychologue. Vraiment.

Cet article devait être une note au début, c'est finalement un article. Peut-être un peu décousu. On va dire que ces dernières discussions m'ont un peu scié, penser qu'à sa gueule est un moyen de paraitre évolué, quand on vit en société j'ai eu beaucoup de mal à le digérer. L'IA en tant que psychologue m'a sidéré également mais ça s'explique... J'avais besoin de mettre ça sur le papier. Mais il ne faut pas oublier le travail astronomique qu'abattent les associations comme celles citées plus haut.

Photo de Anthony Da Cruz Compliqué à trouver mine de rien car trouver une photo qui montre l'humain et pas une vague de voiture c'est pas simple.

Rétrospective d'aout et septembre 2025

Dryusdan — Wed, 08 Oct 2025 16:40:00 +0200

Pas mal de mouvement pour ma part, je suis donc bien moins présent sur mon blog. J'vais donc faire un condensé d'Aout et de Septembre avec l'option "J'affiche que les données que j'ai en un claquement de doigt"

Données	Valeurs	Tendances
Minutes de musique écouté	1 393 minutes en août et 1613 minutes en septembre	=
Article rédigé	1	=
Articles et notes rédigés	4	📈
Total de mots	1 867	📈
Temps de lecture (183 mots par minute)	11 minutes de lecture	📈
Trafic généré	6 Go en août, 7 Go en septembre	📉
Liens partagés sur Dryusdan.link	5	=

Moi

Bon, en soit gros gros changement pour moi, j'ai enfin retrouvé un taff intéressant. Pour les curieux je suis maintenant SRE dans une équipe Network Product, et je vais trifouiller du HAProxy mais aussi du BGP pour faire (très simple). Bref de quoi bien s'amuser et surtout apprendre. Mine de rien ça a relancer ma passion pour l'informatique, bref je m'éclate enfin... Mais au prix de 4h30 de transport chaque jour pendant quelques mois.

J'ai dû me mettre aux podcasts avec tout ce temps, si vous en avez des bons à me conseiller, je suis preneur ! Et faudrait que j'arrive à partager ce que j'écoute mais c'est du Apple Podcast.

Mon lab

L'article sur le Raspberry Pi est un avant gout, mais j'ai une énorme chantier sur mon lab de prévu, ça devrait arriver progressivement dans quelques mois. En tout cas j'ai acquis quelques mini PC d'occasion, un Switch Multi Layer (Mikrotik) et des cables réseau :D

Mon jardin

J'ai récupéré quelques plantes (encore) dont une Plumbago qui semble s'éclater !

Juste avant de vous quitter, vous avez sûrement dû en entendre parler mais vous devez absolument voir le film K-Pop deamon hunter. Voilà, c'est cool, entrainant et j'écoute encore la musique tout les matins x) (Ha et j'vais me faire un nouveau tatouage aussi, mais le mois prochain, bref)

Sur ce, portez-vous bien.

Photo Daniel Lerman

Confection d'une huile piquante

Dryusdan — Sun, 28 Sep 2025 18:40:00 +0200

Mon épicier local des piments Habanero en stock (du coin en plus, on a un producteur dans la région nantaise oO). Donc pourquoi pas en faire une huile piquante pour pizza 😋

Sur internet j'ai vu qu'il y avait deux écoles, une qui fait frémir le mélange, l'autre non. J'ai donc testé les deux :p

J'ai y ai une gousse d'ail par bouteille, 3-5 branches de thym, une demi branche de romarin, 3-4 gros piments habanero et 2 feuilles de laurier. Pour la bouteille qui a chauffé, j'ai mis à feux doux (3 sur ma plaque vitro) jusque ça commence à frémir.

Plus qu'à attendre 3-5 semaines pour déguster (moins apparement pour la bouteille qui a chauffé)

Installer une Debian stock sur un Raspberry PI

Dryusdan — Sun, 28 Sep 2025 14:00:00 +0200

J'ai quelques Raspberry PI en stock, un qui me servait de serveur DNS, un qui fait du build de temps en temps et un dédié à Homeassistant (faudrait que je vous en parle un jour). Autant j'adore cette petite carte, autant l'OS proposé avec (Raspberry OS anciennement appelé Raspbian) n'a pas réussi à me conquérir. Beaucoup de modifications de cet OS ne me plaisent pas énormément, Trixie n'est pas encore proposé et la surcouche Raspberry me semble lourde.

Théoriquement, Debian est compatible avec le Raspberry PI, mais pour l'installer on quitte le côté "j'écris sur la carte SD, j'envoie, bisous". Et c'est justement ce qu'on va faire ici.

Alors attention, tout d'abord je n'ai testé que sur un Raspberry 3B+ et 4. Ensuite le projet Raspberry a quand même édité un peu de code notamment sur la gestion des ventilateurs du POE Hat (lorsque j'écris ces lignes mon Raspberry PI4 est en sécurité suite à une surchauffe). Je ne saurais être tenu responsable des dégâts occasionnés sur vos Raspberry.

Maintenant que vous êtes averti et que mon Raspberry est refroidi on va pouvoir s'atteler à la préparation de la création de la MicroSD bootable.

La méthode fun

Bien évidemment il y a deux approches, une fait à la main, c'était fun mais dans le cas spécifique d'utilisation du POE HAT c'était cuit (littéralement), car le Kernel maison de Raspberry (juste un fork hein, rien de folichon) apporte quelques modifications pour justement ce HAT. Même si évidemment on peut se débrouiller avec la Debian stock pour récupérer le kernel côté Raspberry. Fork qui d'ailleurs a été fusionné dans le kernel officiel mais dont l'option n'est pas compilée sur le kernel Debian nativement.

Mais je vais quand même vous donner la méthode fun, et ensuite la méthode moins fun mais tout aussi efficace

Si vous êtes sur une architecture amd64, vous allez devoir utiliser une sorte de "virtualiseur" d'architecture. Son but sera d'émuler un comportement arm64 tout en réalisant des actions pour une architecture amd64.

Pour celleux sur Debian ou dérivé :

apt install qemu-user qemu-user-binfmt arch-install-scripts

J'embarque arch-install-scripts notamment pour utiliser arch-chroot qui rajoute juste les points de montage /sys et tout

Pour celleux sur Archlinux ou dérivé

pacman -S debian-archive-keyrings qemu-user qemu-user-binfmt

Sur Archlinux j'embarque debian-archive-keyrings pour valider la signature des paquets

Une fois le système prêt, on va passer au partitionnement de la carte SD. Pour cela il va nous falloir une partition de 256Mo (personnellement la mienne fait 512Mo) de type W95 FAT32 (LBA) qui sera un secteur d'amorçage. Le reste sera une partition Linux standard.

root@mul ~ # fdisk /dev/sdd
 Commande (m pour l'aide) : n
 Type de partition
    p   primaire (0 primaire, 0 étendue, 4 libre)
    e   étendue (conteneur pour partitions logiques)
 Sélectionnez (p par défaut) :

 Utilisation de la réponse p par défaut.
 Numéro de partition (1-4, 1 par défaut) :
 Premier secteur (2048-124735487, 2048 par défaut) :
 Dernier secteur, +/-secteurs ou +/-taille{K,M,G,T,P} (2048-124735487, 124735487 par défaut) : +512M

 Une nouvelle partition 1 de type « Linux » et de taille 512 MiB a été créée.

 Commande (m pour l'aide) : t
 Numéro de partition (1,2, 2 par défaut) : 1
 Code Hexa ou synonyme (taper L pour afficher tous les codes) :0c

 Type de partition « Linux » modifié en « W95 FAT32 (LBA) ».

 Commande (m pour l'aide) : a
 Numéro de partition (1,2, 2 par défaut) : 1

 L’indicateur d’amorçage de la partition 1 est maintenant activé.

La partition dédiée au boot est créée. On passe maintenant à la partition globale qui va comporter tout le reste de la machine (je ne segmente pas sur un raspberry pi j'avoue)

Commande (m pour l'aide) : n
Type de partition
   p   primaire (1 primaire, 0 étendue, 3 libre)
   e   étendue (conteneur pour partitions logiques)
Sélectionnez (p par défaut) :

Utilisation de la réponse p par défaut.
Numéro de partition (2-4, 2 par défaut) :
Premier secteur (1050624-124735487, 1050624 par défaut) :
Dernier secteur, +/-secteurs ou +/-taille{K,M,G,T,P} (1050624-124735487, 124735487 par défaut) :

Une nouvelle partition 2 de type « Linux » et de taille 59 GiB a été créée.

Il n'y a plus qu'à enregistrer et c'est bon !

Commande (m pour l'aide) : w

La table de partitions a été altérée.
Appel d'ioctl() pour relire la table de partitions.
Synchronisation des disques.

Maintenant que les partitions sont créées, on va s'attaquer au formatage. C'est pas bien compliqué, on cherche du fat32 pour la partition 1 et de l'ext4 pour la 2. Je les renomme quand même en PIBOOT et PIROOT vous verrez pourquoi ensuite.

mkfs.vfat -F 32 -n PIBOOT /dev/sda1
mkfs.ext4 -L PIROOT /dev/sda2

Maintenant on monte ces partitions

mount -v /dev/sdd2 /mnt
mkdir -pv /mnt/boot/firmware
mount -v /dev/sdd1 /mnt/boot/firmware

Et on y installe Debian !

debootstrap --arch=arm64 \
            --components=main,non-free,non-free-firmware \
            --variant=minbase \
            --include=bluez-firmware,ca-certificates,console-setup,dbus,dosfstools,e2fsprogs,firmware-brcm80211,firmware-misc-nonfree,iproute2,iw,libgpiod3,linux-image-arm64,lm-sensors,locales,man-db,less,raspi-firmware,sudo,systemd-resolved,systemd-sysv,systemd-timesyncd,vim,wpasupplicant,zstd \
            --force-check-gpg \
            trixie \
            /mnt \
           http://deb.debian.org/debian

En fonction des performances de votre microSD cela peut être plus ou moins long.

Si vous souhaitez d'autres paquets sur votre Raspberry PI, rajoutez dans le --include ces paquets. Personnellement j'y ajoute openssh-server, python3, gpg, bash-completion pour pouvoir lancer ansible juste derrière.

Une fois tout cela terminé, on va générer les locales. Je mets la fr_FR pour la traduction française et la en_GB en fallback (parce que je ne veux pas de la en_US).

echo "fr_FR.UTF-8 UTF-8" >> /mnt/etc/locale.gen
echo "en_GB.UTF-8 UTF-8" >> /mnt/etc/locale.gen

On configure le réseau avec systemd-networkd en indiquant que toute carte réseau commençant par un e est en DHCP. Au moins pour le first boot c'est bon

mkdir -pv /mnt/etc/systemd/network/
cat <<EOF > /mnt/etc/systemd/network/50-dhcp.network
[Match]
Name=e*
[Network]
DHCP=ipv4
[DHCP]
UseDNS=no
EOF

On configure le fstab. Vous constaterez l'usage des labels défini plus haut, cela permet d'ignorer si le support est une carte SD, une clé USB, un NVME ou même un pigeon.

cat <<EOF > /mnt/etc/fstab
LABEL=PIROOT / ext4 noatime 0 1
LABEL=PIBOOT /boot/firmware vfat defaults 0 2
EOF

On configure SSH vite fait pour une première connexion en interdisant les mots de passe mais autorisant root

cat <<EOF > /mnt/etc/ssh/sshd_config.d/rpi-first-boot-conf.ssh
PasswordAuthentication no
PermitEmptyPasswords no
PermitRootLogin prohibit-password
EOF

Forcément on ajoute notre clé SSH dans le fichier authorized_keys du compte root.

mkdir -vp /mnt/root/.ssh/
cat <<EOF > /mnt/root/.ssh/authorized_keys
ssh-ed25519 votresuperbeclepubliquessh
EOF

J'aime bien les noms prédictibles, donc je force le ifnames à 1 et je spécifie que le root est en ext4

cat <<EOF > /mnt/etc/default/raspi-extra-cmdline
rootfstype=ext4 elevator=deadline net.ifnames=1
EOF

Maintenant on rentre dans le système avec arch-chroot qui va s'occuper pour nous de faire tous les binds nécessaires

arch-chroot /mnt

Puis on rajoute /sbin et /bin, on déclare la variable ROOTPART en mentionnant le label de la partition root qui sera utilisé dans le build de l'initramFS. Puis on génère les locales, on active le NTP, on paramètre la timezone. On active au prochain redémarrage netword et resolved, on définit le hostname.

export PATH="$PATH:/sbin:/bin"
export ROOTPART="LABEL=PIROOT"
locale-gen
timedatectl set-ntp true
timedatectl set-timezone Europe/Paris
systemctl enable systemd-networkd
systemctl enable systemd-resolved
hostnamectl hostname coincoin

Enfin on crée l'initramfs (enfin !), cela pourra prendre un peu de temps en fonction de votre microSD

update-initramfs -u

Puis on démonte tout

exit
umount /mnt/boot/firmware
umount /mnt/
sync;sync;

On branche dans le raspberry, on lance tout ça et TADAAAAAAAAAAAAAA (normalement).

Comme dit plus haut on perd quelques fonctionnalités, notamment le POE HAT qui ne ventile plus rien. À partir de là soit on essaye de chopper le kernel build par Raspberry, soit on tente de compiler notre propre kernel, soit on se lance dans la méthode moins fun mais plus efficace.

La méthode moins fun

Raspberry a sorti leur builder d'image, en gros c'est un énorme script qui va passer par différente étape pour finaliser une image plus ou moins complète. Étant donné qu'une image light me suffit, je ne vais pas dépasser l'étape 2. MAIS, et c'est là tout l'intérêt de la chose, c'est qu'en modifiant à quelques endroits on peut retirer toutes les commandes inutiles. Ça a l'avantage d'utiliser Debian et non Raspbian pour l'arm64 !

Par exemple dans mon fork j'ai retiré network-manager et je passe par toute la suite systemd. J'ai également retiré toute la suite de package de build excepté python qui sera utilisé par Ansible.

Pour le coup je ne peux pas trop expliquer, le readme est très explicite et au final c'est "simple" si on est à chercher à faire un système adapté à vos besoins.

En tout cas n'hésitez pas à utiliser mon fork, et si jamais il vous souhaitez que je publie les images faites moi signe et je verrais ce que je peux faire :).

Sur ce, portez vous bien :)

Photo de Harrison Broadbent

Est ce que je suis à la bourre dans mes articles ?

Dryusdan — Mon, 15 Sep 2025 16:45:00 +0200

Oui !

Je reviens dès que possible mais avec le début du nouveau travail et la vie familial j’ai pas trop de temps !

Mais la rétrospective arrive ^^

Rétrospective de juillet 2025

Dryusdan — Wed, 06 Aug 2025 11:35:00 +0200

C'est parti pour la retrospective de juillet. o/

Comme à chaque fois, on commence par les chiffres.

Données	Valeurs	Tendances
Cafés bu	149	📈
Commit réalisés	60	📉
CD acheté	0	📉
Minutes de musique écouté	1 079 minutes	📉
Article rédigé	1	📈
Articles et notes rédigés	2	📉
Total de mots	524	📉
Temps de lecture (183 mots par minute)	3 minutes de lecture	📉
Trafic généré	12,1Go	📉
Liens partagéis sur Dryusdan.link	5	📉
Kilomètres à vélo	256,41km	📉

Jardin (enfin balcon)

Les fraisiers sont revenu à la vie et j'ai acquéri une petite pompe solaire pour humidifié les plantes. Tout repars c'est vraiment cool !

Vélo

Mon vélo quotidien est en train de mourir (roulement tout ça) et les pièces sont de plus en plus spécifique... Donc je roule uniquement en Bullitt (j'ai mal aux jambes)

Et puis une autre nouvelle aujourd'hui mais on est en aout donc vous saurez ça dans un mois !

Sur ce, portez-vous bien.

Photo Daniel Lerman

Nouveau tattoo (encore)

Dryusdan — Sat, 02 Aug 2025 18:15:00 +0200

Eh oui, encore un ! J'avoue que j'avais prévu un nouveau tatouage Cyberpunk mais le projet nécessite plus de temps.

Du coup un petit tatouage pour l'été 😇

C'est toujours de La Barbe Tattoo (Instagram).

Rétrospective de juin 2025

Dryusdan — Wed, 16 Jul 2025 09:15:00 +0200

C'est parti pour la retrospective de juin (avec du retard). o/

Comme à chaque fois, on commence par les chiffres.

Données	Valeurs	Tendances
Cafés bu	50	📉
Commit réalisés	220	📉
CD acheté	1	📈
Minutes de musique écouté	2 395 minutes	📉
Article rédigé	0	📉
Articles et notes rédigés	7	📈
Total de mots	1 453	📉
Temps de lecture (183 mots par minute)	7 minutes de lecture	📉
Trafic généré	14Go	📉
Liens partagéis sur Dryusdan.link	8	📉
Kilomètres à vélo	276,06km	📈

Projets

J'en ai un sur le feu, je ne peux pas vous en dire plus pour le moment.

J'ai testé Apache Airflow au passage, c'est vraiment intéressant comme outil.

Jardin (enfin balcon)

Dernière vague de chaleur, les fraisiers ont grillés. :(

Un mois de juin pas très ouf, juillet est dans la même veine je pense. On resiste à la chaleur, on cuit et le boulot est naze.

Sur ce, portez-vous bien.

Photo Daniel Lerman

Grid Legend : ça rigole pas

Dryusdan — Mon, 14 Jul 2025 14:31:00 +0200

J'ai relancé Grid Legend aujourd'hui. En soit le jeu est bien, bien devant l'ancien Grid ou Dirt 5. J'aime beaucoup.

Je l'ai testé sur mon simulateur et bordel la difficulté est bien plus présente qu'avec la manette, ça fait plaisir (mais j'ai perdu xD).

Bref, top de chez top

Retour sur Kagi

Dryusdan — Sun, 06 Jul 2025 15:25:00 +0200

Il y a un mois je vous partageais que j'allais tester Kagi. Beaucoup d'entre vous m'ont partagé vouloir un retour, donc le voici 😁

Déjà qu'est-ce que c'est que Kagi ? Kagi c'est un mix entre un moteur de recherche et un méta moteur de recherche mais payant. Pourquoi ? Parce que faire un index à partir de 0 c'est long. Donc il y a un mix.

Alors quelle grosse différence ? Bon, déjà 10€/mois, c'est un certain prix en effet. (On me signal que je suis un bon consommateur, certain⋅e⋅s de mes abonné⋅e⋅s ne consomme pas autant et le forfait à 6€ suffit). Kagi indique n'afficher aucune pub ni ne revend d'information. Outre chercher (🥁) à se financer sans la revente de donnée, kagi possède ses propres crawler qui ont pour but de réduire au maximum la dépendance avec d'autres moteurs de recherche legacy (Kagi est un moteur et méta moteur de recherche). Autre gros point positif on peut adapter sa recherche. Par exemple le site officiel (genre la doc PostgreSQL) est intéressant, on le "force" à remonter plus facilement que certains sites qu'on pense être des sites 100% basé sur l'IA

Bon ce qui me chafouine c'est le côté métamoteur et l'arrivée de l'IA chez eux aussi. L'IA est désactivable d'un clic et côté moteur de recherche je n'ai pas l'impression d'être pollué (quelques fois mais c'est rare) par des sites bidons ou généré par IA. Tandis que sur du Google entre les liens sponsorisés et les sites pourri, j'ai l'impression de devoir aller sur la page 2 voir 3 parfois.

Niveau alternative il y a DuckDuckGo ou Ecosia par exemple qui sont très dépendants de Google ou Qwant qui est très dépendant de Bing. Dans les métas moteurs opensource je pense voir SearXNG, mais je me souviens d'avoir de gros problème avec les bots qui en abusaient (en soit peut être qu'un coup d'Anubis devant peut résouddre le souci maintenant). J'ai beaucoup apprécié Yacy mais le peu de monde qui l'ont déployé et donc les résultats sont trop pas vraiment top (mais je garde mon node !).

Ça fais un bon mois que j'utilise Kagi et franchement j'apprécie beaucoup, c'est rapide, fluide, intuitif. Bref, je recommande ;)

Je précise que cet article n'est pas sponsorisé, mais si Kagi a envie de m'offrir un ou deux mois, je ne dis pas non hein 😇

Sur ce, portez vous bien :)

Petit plaisir des CD

Dryusdan — Sat, 21 Jun 2025 17:46:00 +0200

J'aime bien acheter des CDs, t'as toujours un petit truc en plus, une attention particulière (j'ai reçu un mot notamment), des photos, une infographie, des explications...

Bref, toujours un petit banger à chaque fois :3

(Après est-ce que c'est parce que c'est pas de l'énorme production mais plus des indés ? Peut-être)

Dryusdan.space est accessible via Netcat !

Dryusdan — Fri, 13 Jun 2025 17:30:00 +0200

En ce moment je passe mes journées à jongler entre Microsoft Teams et Excel (en passant par SharePoint et autre truc là) qui sont un délire d'interface web horrible et moche (genre VRAIMENT).

J'avais besoin de vide, de changement d'air d'être loin de tout truc qui ressemble à du web lourd et lent ! Bon nombre d'entre vous me dirons tout simplement de prendre un livre (ce qui est une bonne réponse) mais ce n'est pas assez technique 😜

Il est vrai aussi que j'avais aussi envie de me lancer dans un projet de minitel mais je n'ai clairement pas les connaissances. Et là Von me parle de BBS qui est accessible via netcat. Roh trop bien !

Bref, j'ai développé un petit serveur TCP tout bête en Python qui va chercher des fichiers textes généré grâce à un plugin pelican basé sur une librairie de FLozz un poil retravaillé.

Ha, et pour y accéder, rien de plus simple :

echo "" | nc dryusdan.space 9334

On va dire que c'est pour les 10 ans du blog 😁

(PS, j'ai envie de faire évoluer ce projet, faire un truc un peu plus complet que juste mon blog en format texte)

Ho mais j'ai oublié les 10 ans du blog :o

Dryusdan — Fri, 13 Jun 2025 11:10:00 +0200

J'ai oublié les 10 ans du blog, c'était le 7 juin 2015 avec l'article Le début du commencement.

Le blog a pas mal évolué quand même ^^

Merci de me lire depuis tout ce temps :3

Écrire le point médian sous Linux en AZERTY

Dryusdan — Sun, 08 Jun 2025 20:10:00 +0200

Je n'arrivais pas à faire de point médian ⋅ et j'avoue que sur les recherches internet il y avait de tout et rien qui fonctionnait franchement pour moi. Le plus proche était le point des listes à puces ou une petite croix ×.

Et là, je vous ai demandé sur le fediverse... Et il y avait tout un tas d'option différente, toute dépendante du layout. Layout qui pour moi reste l'AZERTY, car je n'ai pas eu la volonté d'en essayer un autre.

J'ai donc appris deux méthodes :

La touche compose qui permet de faire © en tapant super / windows + o puis c on obtient © ou encore super / windows + shift + b puis a on obtient ẵ (je ne sais même pas ce que c'est comme lettre). Pour le point median c'est super / windows + shift + . puis -
Utiliser le layout FR (variante) quhi gère tout un tas d'option cool tel que les lettres accentuées majuscule. Et pour le fameux point un simple alt gr (ou alt pas content) + shift + . : ⋅

Et voilà !

Merci à tous⋅tes pour vos réponses !

Montage de mon nouveau PC \o/

Dryusdan — Fri, 06 Jun 2025 22:00:00 +0200

Nouveau petit PC à la maison, celui ci est... Portable Et oui, c'est un Framework.

C'est très satisfaisant de le monter mais également de voir ce qu'on peut réparer ou améliorer à l'avenir !

Et c'est tout bien rangé, c'est super stylé (en tout cas j'ai bien apprécié)

Je me suis cependant loupé sur un truc, pensant pouvoir démonter et remonter la carte graphique alors que... Vaut mieux éviter.

Allez, je vous laisse le beau covering de mon PC.

Je m'en fais tester Kagi

Dryusdan — Wed, 04 Jun 2025 19:08:00 +0200

Lord en a parlé à diverse reprise sur IRC ou sur le fediverse : Kagi.

Il s'agit d'un moteur de recherche (j'y revient) payant pour ne pas faire de tracking. Ils génèrent leurs propres Index mais se repose encore sur diverse moteur de recherche. C'est donc un mix entre un moteur de recherche et d'un meta moteur de recherche.

En tout cas j'en entends que du bien et je vais enfin pouvoir tester Kagi. Je vous ferai peut-être un article plus tard.

Publier les routes IPv6 de votre lab

Dryusdan — Wed, 04 Jun 2025 06:46:00 +0200

La Freebox offre la possibilité de gérer votre /64 d'IPv6. Ça a quelques avantages notamment la gestion complète des règles de pare-feu pour cette range ci, tout en utilisant le pare-feu par défaut pour le range "délégué à la Freebox". En gros ça permet d'éviter que votre imprimante ou votre TV soit accessible en IPv6 sur la planète entière tout en profitant de l'IPv6 pour votre lab.

Sauf que sur votre ordinateur ne peut pas accéder à votre lab en IPv6

[dryusdan@Nemp ~]$ mtr -brwe 2a01:e0a:21a:17a6::d
Start: 2025-06-04T06:26:09+0200
HOST: Nemp                 Loss%   Snt   Last   Avg  Best  Wrst StDev
1.|-- 2a01:e0a:21a:17a0::1  0.0%    10    3.5   3.6   2.6   5.6   0.9
2.|-- ???                  100.0    10    0.0   0.0   0.0   0.0   0.0

Alors que l'extérieur le peut très bien

root@mail ~ # mtr -brwe 2a01:e0a:21a:17a6::d
Start: 2025-06-04T06:23:02+0200
HOST: mail.dryusdan.fr                                        Loss%   Snt   Last   Avg  Best  Wrst StDev
1.|-- fe80::                                                   0.0%    10    2.9   3.3   2.2   5.0   0.9
2.|-- 18498.your-cloud.host (2a01:4f8:0:e0c0::580b)            0.0%    10    0.5   0.9   0.3   4.5   1.3
3.|-- 2a01:4f8:0:e0c0::5801                                    0.0%    10    5.3  57.1   5.3 193.6  65.5
4.|-- spine6.cloud1.nbg1.hetzner.com (2a01:4f8:0:e0c0::a1dd)   0.0%    10    1.1   1.3   1.0   1.9   0.4
5.|-- spine15.cloud1.nbg1.hetzner.com (2a01:4f8:0:e0c0::a289)  0.0%    10    0.5   0.5   0.4   0.7   0.1
6.|-- core12.nbg1.hetzner.com (2a01:4f8:0:3::2e1)              0.0%    10    0.5   0.6   0.4   0.8   0.1
7.|-- core4.fra.hetzner.com (2a01:4f8:0:3::f5)                 0.0%    10    3.6   3.8   3.6   4.0   0.1
8.|-- decix.proxad.net (2001:7f8::3022:0:1)                   10.0%    10   13.6  13.5  13.4  13.8   0.1
9.|-- 2a01:e04:6003::6                                        10.0%    10   13.4  13.5  13.3  13.9   0.2
10.|-- 2a01:e00:6000::5                                        20.0%    10   13.6  13.8  13.6  13.9   0.1
11.|-- 2a01:e03:600e::1                                        80.0%    10   26.9  26.9  26.9  26.9   0.0
12.|-- 2a01:e03:2009::1                                         0.0%    10   26.9  26.9  26.7  27.2   0.2
13.|-- 2a01:e03:2008::1                                         0.0%    10   27.0  26.9  26.7  27.2   0.1
14.|-- 2a01:e03:2007::1                                         0.0%    10   28.1  27.0  26.8  28.1   0.4
15.|-- 2a01:e03:2006::5                                         0.0%    10   26.8  26.8  26.7  27.0   0.1
16.|-- 2a01:e03:2006:1700:fe00::8bce                            0.0%    10   26.5  26.6  26.2  28.9   0.8
17.|-- 2a01:e0a:21a:17a0::1                                     0.0%    10   27.0  27.2  26.7  27.7   0.4
18.|-- 2a01:e0a:21a:17a0:1:5ee:bad:c0de                         0.0%    10   28.1  27.4  27.0  28.1   0.4
19.|-- 2a01:e0a:21a:17a6::d                                     0.0%    10   27.5  27.3  26.8  27.7   0.3

Il semblerait donc que la Freebox n'avertit pas votre /64 lab sur votre réseau standard. Dans le fonctionnement la box sait vers qui router mais personne d'autre

Qu'à cela ne tienne, on va utiliser le paquet Router Advertisement (RA) en IPv6 pour informer tout le monde sur le LAN (en fe80:: donc) qu'une route est disponible et ça... Avec RADVD !

interface eno1 {
        AdvSendAdvert on;
        AdvDefaultLifetime 0;
        route 2a01:e0a:21a:17a7::/64 {};
        route 2a01:e0a:21a:17a6::/64 {};
};

En gros, j'indique avec AdvSendAdvert on que l'interface eno1 (celle branchée sur ma Freeboite) répond aux sollicitations RA, il faut l'activer sinon ça sert à rien. Avec AdvDefaultLifetime 0; j'indique que ce routeur n'est pas un routeur et donc la route default ne doit pas lui être associé. Et ensuite je lui donne mes routes à transmettre sur le réseau.

Et voilà, vous pouvez accéder à votre lab en IPv6 de votre ordinateur sans trifouiller les routes.

Rétrospective de mai 2025

Dryusdan — Mon, 02 Jun 2025 15:50:00 +0200

C'est parti pour la retrospective de mai. o/

Comme à chaque fois, on commence par les chiffres.

Données	Valeurs	Tendances
Cafés bu	91	📉
Commit réalisés	276	📈
CD acheté	0	=
Minutes de musique écouté	2 819 minutes	📈
Article rédigé	2	📉
Articles et notes rédigés	6	📉
Total de mots	6 807	📈
Temps de lecture (183 mots par minute)	37 minutes de lecture	📈
Trafic généré	25.53Go	📉
Liens partagéis sur Dryusdan.link	30	📈
Kilomètres à vélo	238,20km	📉

Projets

Garmin-to-fittrackee (sur Github) semble de plus en plus utilisé et de plus en plus apprécié. Je reçois de plus en plus d'issues (principalement pour améliorer :p ). Je m'attendais pas à ce que ce petit script soit utilisé.
Anubis c'est pas de moi, mais je suis le 6ème contributeur et mon pseudo est dans toutes les dernières releases :D (En vrai je fais que du yaml mais bon).
Madeinfrance.bike je pense le fermer. J'ai découvert de bonne adresses, mais c'est un temps monstrueux pour chercher, faire les mails, écrire... Et vu l'état des recherches Google, ça m'étonnerai que quelqu'un tombe dessus. Je l'ai vu passer à un endroit mais rien de bien fun. Si vous vous sentez chaud pour continuer l'aventure, contactez-moi ;)

Compétences

Je me suis attaqué à Terraform (enfin OpenTofu). Entre une doc approximative si on quitte le provider AWS, les recherches Google qui ne trouvent plus rien hormis des sites qui n'ont fait que cloner la doc officielle c'est pas franchement la panacée. Enfin, en 4j c'était plutôt bien ficelé. Et dire qu'on m'a refusé des postes en arguant que Terraform c'est dur si on ne connait pas, c'te blague.

Bref, y a un nouvel article sur le feu et j'ai acquis une nouvelle compétence.

Boulots

Vous l'avez sûrement vu passer, le dernier changement c'est mensonge sur mensonge et j'ai arrêté la technique pour faire du clickodrome et de l'Excel toute la journée alors que je devais faire du Linux, Ansible et Python toute la journée... Et la recherche est pas aisée. D'un autre côté c'est un peu ce que tout le monde vie en fait, juste j'étais sur mon nuage d'informaticien et là BAM l'abondance c'est fini.

J'ai quand même l'impression que les CVs et les lettres de motivation ne sont juste plus lus. Je suis même quasiment sûr que je si je fais un nuage de tag en guise de CV que ça serai pareil. Alors oui je refais des lettres de motivations et oui c'est une purge codifiée que je n'approuve pas. Cependant quand on vient me demander qu'est-ce que je sais faire avec Proxmox et est-ce que je fais de la haute disponibilité quand sur mon CV il y a un lien vers un de mes articles. Ou encore

Est-ce que vous savez utiliser Ansible ?

C'est marqué sur mon CV, sur mon blog, sur mon git qui est lié à mon CV, t'as des rôles accessibles publiquement et tout.

On a beaucoup de serveur à gérer, vous avez du en gérer combien dans votre expérience professionnelle ?

C'est marqué sur la première page, plus de 17 000 serveurs en fait... Surtout qu'après on me dit que eux c'est plus : moins de 8 000... Même la réponse n'a pas été écoutée.

Vous avez déjà utilisé du Linux dans votre vie professionnelle ?

...

Je n'invente rien en plus, c'est vraiment des questions qui m'ont été posées telles quelles.

J'ai quand même passé un temps monstrueux à juste réciter mon CV pour au final qu'on me dise "Ha ouai, nan mais vous connaissez pas Terraform ni K8S, donc on vous prend pas". C'était visible que je ne les maitrise, vu que j'affiche Oracle DB mais pas Terraform c'est PEUT-ÊTRE PARCE QUE JE NE LE MAITRISE PAS... Dans les énormes blagues j'ai eu un refus d'une entreprise américaine qui m'a refusé parce que j'étais stressé (à la rigueur je peux comprendre quand je suis censé être face aux clients) alors que j'ai passé leur test technique face à un Bostonnais (niveau accent c'est velu) et j'ai essuyé un refus d'une boite française parce que je ne savais pas parler anglais (lol). J'ai aussi eu le droit à "nan mais vous êtes qu'administrateur système". C'est fatiguant parce qu'entre DevOps, SysOps, SRE, administrateur système, cloud architect plus personne ne sait à quoi correspond quelle fiche de poste... Et alors osez expliquer que vous êtes quelqu'un qui adore quand c'est cassé et que vous aimez tout autant faire en sorte que ça ne casse plus voir même améliorer la stabilité générale. La galère. Si c'est cassé et qu'il y a du diagnostic à faire et c'est donc le travail d'un tech support et donc d'un administrateur système et donc niveau salaire vous vous asseyez dessus. (D'ailleurs il faudrait un nom genre Sys gyroscope engineer pour parler d'un poste dont le but c'est de faire de la stabilité)

Bref, ça m'énerve, j'ai essuyé beaucoup de refus sur des conneries, je finis par perdre confiance en moi, donc le stress augmente de plus en plus, donc j'échoue de plus en plus... On en est à un stade où j'ai galéré sur du bash 😭 (alors que pour la blague j'ai fait un serveur un serveur HTTP dans ce langage).

Anyway, si pour une fois quelqu'un lit mon CV et tombe là-dessus ça va surement jouer en ma défaveur... Mais vu que personne ne le lit, j'ai 0 inquiétude 😂 (et si jamais vous avez lu jusqu'ici, dites "cacahuètes" ! ). Si, pour une ou une autre vous voulez mon CV (au hasard vous avez un poste qui se libère pour un SRE), le voici en français et en anglais (en français et en anglais, je vais pas leak mon adresse postale ou mon numéro de téléphone (après ça doit trainer dans la nature pas loin de mon RIB vu les dernières fuite de donnée.

Jardin (enfin balcon)

Les fraisiers sont bien repartis ! Mais le citronier se fait bouffer par les cochenilles, c'est assez résistant comme bestiole.

Sur ce, portez-vous bien.

Photo Daniel Lerman

Petit album sympa : Porte du desert

Dryusdan — Sat, 24 May 2025 08:19:00 +0200

Scylla et Furax Barbarossa ont fait un petit feat sur un album complet sorti hier : Porte du desert.

Et bah franchement je recommande

Jour 3

Dryusdan — Wed, 14 May 2025 16:20:00 +0200

Ouai vous allez pleurer, vous allez faire que de l’Excel et des PV quand vous aurez les accès. Vous allez dire « on vous a pas vendu ça »

😶😐😑😵😵‍💫

Nouveau job : jour 2 (je cherche un job)

Dryusdan — Tue, 13 May 2025 14:28:00 +0200

Bon, c’était pas une série mais vu le sketch que c’est…

Ingénieur DevOps Sénior, je viens d’avoir un PC, je commence à avoir les infos (mais pas les accès). Le pc est de prêt, le miens arrivera éventuellement cette semaine.

En résumé : je bosse sur Microsoft et Office 365, sans accès à internet du tout et mon job va être de relire des playbook ansible et de passer des données d’un Excel à une interface web entrecoupé de réunion .

On m’a menti, je devais faire de la technique, de la recherche de bug, du patch… Sauf que les RACI ne sont pas d’accord.

Bref, je cherche un job (again)

Nouveau job, jour 1

Dryusdan — Mon, 12 May 2025 14:31:00 +0200

Allez, nouveau boulot, pas très enchanté mais ils m’ont mit dans le bain. J’ai pas de PC… Et officiellement j’en ai pas rattaché à mon nom. Peut être qu’il arrivera demain ou après demain. Peut être que je pourrais commander un frame.work et qu’il arrive avant d’en avoir un.

On dira ce qu’on voudra du public mais au moins j’avais des outils de travail le jour même.

(Nan ça sera pas une série hein)

HTTPS et SSH sont dans un bateau (nommé HAProxy)

Dryusdan — Thu, 08 May 2025 10:00:00 +0200

Cet article devait être une note mais... Il s'avère que j'ai creusé deux trois points que je vais expliquer ici ce qui ferait une très longue note.

L'idée aujourd'hui ne va pas être comment faire passer SSH dans de l'HTTPS car Victor Hery l'a déjà bien expliqué dans son article mais d'améliorer ce petit bout de configuration. D'ailleurs, si vous n'avez pas lu son article, go ! Je vais pas rentrer dans les mêmes détails que Victor.

SSH over Openssl over Haproxy - - contourner les blocages

contourner les blocages

De mon côté j'ai surtout essayé de réduire la configuration à ce qui m'intéressait mais également utiliser les abstracts namespaces et que dryusdan.space soit accessible en HTTP/2.

HTTP/2 et ALPN sont dans la même barque

Lorsque j'ai testé l'accès à mon blog j'ai constaté que ce dernier me répondait en HTTP/1.1. Pourtant en vérifiant sur le frontend http ce dernier me répondait bien en HTTP/2.

[dryusdan@Nemp ~]$ curl -I https://dryusdan.space
HTTP/1.1 200

Pourquoi un frontend TCP (donc par définition sur la couche 4 du modèle OSI) intervient sur le choix du protocole ? Ça devrait être le backend qui devrait dicter le protocole applicatif (la couche 7 du même modèle) utilisé, pas le frontend. Sauf qu'ici, notre frontend TCP fait un petit truc intéressant en plus que du simple proxy TCP : il déchiffre aussi les paquets.

Mais qu'est-ce que TLS vient faire dans le choix du protocole applicatif ?! Je vous assure que c'est extrêmement simple et bien expliqué mais ça m'a valu un peu de recherche. Bon, cette recherche se résume à : lire la RFC relative à HTTP/2 soit la RFC 7540 et plus spécifiquement les chapitres : 3.1. HTTP/2 Version Identification et 3.3. Starting HTTP/2 for "https" URIs. Les titres sont d'ailleurs suffisamment clairs pour éviter de lire toute la RFC. Grace à cette lecture, on constate qu'on peut utiliser HTTP/2 sans TLS (j'ai appris l'inverse quand HTTP/2 venait de sortir... Mais j'ai appris ça pendant mes études de développement web), mais également lors de la négociation TLS ! Négociation qui, chez nous, se fait sur le frontend TCP et non HTTP grâce à l'extension ALPN !

ALPN qu'est-ce que c'est du coup ? Selon la RFC 7301 et la documentation passé juste au-dessus, ALPN c'est une extension TLS qui se déroule lors de la négociation TLS. Lorsque le client (navigateur) fait la première requête, il envoie, entre autres, les protocoles qu'il va gérer, un identifiant de session, une clé aléatoire, des ciphers mais également l'Application-Layer Protocol Negotiation qui est ni plus ni moins que la liste des protocoles qu'il gère (HTTP/1.1 et HTTP/2). Et le serveur répond quel protocole il sélectionne. Si le serveur ne répond pas à l'Application-Layer Protocol Negotiation, dans le cadre d'un navigateur ce dernier va automatiquement utiliser HTTP/1.1.

Dans notre cas, ALPN n'était pas activé dans le frontend TCP, donc la négociation TLS ne l'effectuait pas résultant un fallback sur HTTP/1.1.

Les exemples ci-dessus sont en TLS1.2 et non TLS1.3 car la négociation du protocol applicatif présent dans un Server Hello en TLS1.3 est chiffré.

Pour HTTP/2 la modification est donc assez simple, la décision d'utiliser HTTP/1.1 ou HTTP/2 se réalisant lors de l'handshake TLS, il faut indiquer à HAProxy de proposer l'extension ALPN et les protocoles HTTP/2 (h2) et HTTP/1.1 La documentation d'HAProxy sur les options de bind aurait essaye de nous aider bien qu'elle fasse une fixette sur le frontend HTTPS.

Donc on modifie le bind en ajoutant les directives suivantes :

bind :443 ssl crt /etc/haproxy/certs/ alpn h2,http/1.1
bind :::443 ssl crt /etc/haproxy/certs/ alpn h2,http/1.1

On teste pour valider que cela fonctionne en HTTP/2

[dryusdan@Nemp ~]$ curl -I https://dryusdan.space
HTTP/2 200

Maintenant vous savez mettre HTTP/2 sur un frontend TCP HAProxy et pourquoi :D

Bon, après m'être pas mal creusé la tête pour essayer de vous l'expliquer, Lord et Lanodan sont venu⋅e⋅s à ma rescousse et m'ont parlé d'un autre modèle qu'OSI : TCP/IP. Bien que le modèle OSI est utilisé dans la documentation officielle de HAProxy, le modèle TCP/IP est un peu plus "léger" et moins strict que le modèle OSI. Le TLS se trouve en couche applicative (5) et HTTP aussi (5). Dans l'article sur le TLS dans Wikipedia SSL a le cul entre deux chaises :

Dans la pile de protocole TCP/IP, SSL se situe entre la couche application (comme HTTP, FTP, SMTP, etc.) et la couche transport TCP.

Et en creusant un peu avec ce qu'on m'avait dit en tête, le modèle OSI n'est pas vraiment adapté pour les applications TCP/IP. Le modèle OSI est un modèle que j'ai appris et qu'à chaque situation un peu complexe j'utilise, principalement par habitude.

Habituellement, les trois couches supérieures du modèle OSI (Application, Présentation et Session) sont considérées comme une seule couche Application dans TCP/IP. Comme TCP/IP n'a pas de couche session unifiée sur laquelle les couches plus élevées peuvent s'appuyer, ces fonctions sont généralement remplies par chaque application (ou ignorées).

(Source : Suite des protocoles Internet > Couches TCP/IP sur Wikipedia)

Tout ça pour dire que ma réflexion à base de modèle OSI au-dessus était un poil capillotracté pour rien. (Et au passage je vous ai parlé d'un autre modèle 😋 )

Vous savez donc mettre votre frontend en HTTP/2, c'est cool, mais vous communiquez avec votre backend en HTTP/1.1 ce qui au final est dommage, car vous perdez quelques avantages d'HTTP/2. En plus, nous avons vu plus haut que HTTP/2 fonctionne aussi bien avec que sans TLS et HAProxy a même documenté comment faire. En gros, nous allons devoir dire au backend de contacter la destination en HTTP/2

Dans la configuration de Victor (l'article source rappelez-vous) nous allons faire une petite modification de son backend bk_local_https vers lequel il renvoie le trafic détecté comme étant de l'HTTP :

backend bk_local_https
    mode http
    http-request add-header X-Forwarded-Proto https
    server httplocal 127.0.0.1:80 send-proxy-v2 proto h2

On passe donc de ceci :

2a01:e0a:21a:17a0:83bb:eb6b:e85a:99b9:58734 [03/May/2025:09:19:24.027] tcpssl~ forward_http/loopback-http 0/0/1 29177 -- 30/1/8/8/0 0/0 dst:dryusdan.space http:1 ssh:PRI * H
2a01:e0a:21a:17a0:83bb:eb6b:e85a:99b9 58734 [03/May/2025:09:19:24.027] https-in web-apache/2 0/0/0/1/1 200 21248 - - ---- 30/25/7/6/0 0/0 {Mozilla/5.0 (X11; Linux x86_64; rv:138.0) Gecko/20100101 Firefox/138.0||dryusdan.space:35443|012d511f1a9ab2570a9d57b5895837d6} "GET / HTTP/1.1" 0/-/-/ -/0 -/-/-

à ceci :

2a01:e0a:21a:17a0:83bb:eb6b:e85a:99b9:35420 [03/May/2025:09:21:46.223] tcpssl~ forward_http/loopback-http 0/0/15 118071 -- 18/1/0/0/0 0/0 dst:dryusdan.space http:1 ssh:PRI * H
2a01:e0a:21a:17a0:83bb:eb6b:e85a:99b9 35420 [03/May/2025:09:21:46.285] https-in web-apache/2 0/0/0/1/1 200 22922 - - ---- 18/10/0/0/0 0/0 {Mozilla/5.0 (X11; Linux x86_64; rv:138.0) Gecko/20100101 Firefox/138.0||dryusdan.space:35443|012d511f1a9ab2570a9d57b5895837d6} "GET / HTTP/2.0" 0/-/-/ -/0 -/-/-

Le proto h2 vous avez sûrement compris c'est pour l'HTTP/2. La modification de l'option send-proxy par send-proxy-v2 est plus pour des questions de performance, l'entête PROXY est lisible avec send-proxy alors qu'avec send-proxy-v2 elle est encodée en binaire. HAProxy décrit d'ailleurs leur protocole PROXY, le but et la technique.

D'ailleurs si on retire le protocole PROXY voici ce que ça donne dans nos logs :

2a01:e0a:21a:17a0:83bb:eb6b:e85a:99b9:33100 [03/May/2025:09:22:43.452] tcpssl~ forward_http/loopback-http 0/0/7 21424 -- 9/1/1/1/0 0/0 dst:dryusdan.space http:1 ssh:PRI * H
unix 7 [03/May/2025:09:22:43.454] https-in web-apache/2 0/0/0/13/26 200 117892 - - ---- 9/6/0/0/0 0/0 {Mozilla/5.0 (X11; Linux x86_64; rv:138.0) Gecko/20100101 Firefox/138.0||dryusdan.space:35443|012d511f1a9ab2570a9d57b5895837d6} "GET / HTTP/2.0" 0/-/-/ -/0 -/-/-

Côté frontend il n'y a pas de modification à faire. En cherchant à savoir si le frontend à besoin qu'on lui spécifie s'il doit utiliser HTTP/2 ou non, j'ai découvert que par défaut, HAProxy sait gérer les deux. Spécifier proto h2 en option sur le bind revient à désactiver le support de HTTP/1.1. Donc avec la bonne commande curl, on peut taper sur mon site en HTTP/2 sans TLS :

[dryusdan@Nemp ~]$ curl -sI --http2-prior-knowledge http://dryusdan.space
HTTP/2 301
content-length: 0
location: https://dryusdan.space/

(Vous pensiez tout de même pas que mon site était accessible sans TLS ? Mais au moins il répond un 301 en HTTP/2)

Les abstracts namespace

Autre point d'amélioration remplacer le bind localhost:port par un abstract namespace. Pourquoi des espaces de nom abstrait plutôt que des sockets unix ? Au tout début parce qu'après l'avoir vu dans la configuration HAProxy de Hockeypuck j'avais trouvé ça cool d'utiliser une fonction que je ne connaissais pas.

Avant de comprendre ce que c'est les abstract namespace (que je vais appeler abns pour éviter la répétition) il faut décortiquer un peu chaque option qui nous sont présenté ! Ici nous avons plusieurs options : un listener TCP ou UDP, un Unix socket un abns ou encore un file descriptor.

Pour les listeners TCP/UDP (ou plus généralement avec une IP et un port) il faut remonter sur le modèle OSI que j'ai mentionné plus haut (oui oui, il est de retour)

Quand vous ou votre HAProxy effectue une requête vers un autre service vos paquets vont descendre une à une les couches. En gros le contenu de la requête va être divisé en plein de petits paquets qui vont être tous encapsuler dans d'autres paquets un poil plus gros nommé TCP qui vont à leurs tours être encapsulés dans des paquets plus gros encore nommé IP qui seront également encapsulés dans des paquets nommés ethernet et le récepteur va devoir désencapsuler un à un chaque paquet. C'est lourd dit comme ça, c'est tout aussi lourd pour le système. Excepté pour l'interface local/lo qui est une interface virtuelle et donc n'a pas besoin des couches 1 à 3 (donc évite 3 niveaux d'encapsulation) mais on conserve toujours l'encapsulation des couches supérieures et donc la séparation en paquets ainsi que l'ajout de contrôle (et donc de calcul) et le rituel de TCP avec ses SYN/ACK.

Les sockets unix sont, quant à eux, une autre approche. Ceux utilisés par HAProxy (et en fait par toutes les applications web) sont de type SOCK_STREAM (comment ça j'ai regardé sur internet ?). Étant donné que tout ce passe dans le système (kernel même) la complexité des paquets est bien moindre. Il s'agit de stream continue donc aucune fragmentation de paquet, aucun besoin de contrôle d'intégrité, de vérification d'ordre... Donc le nombre d'encapsulation est ridiculement petit. L'exemple ci-dessous (récupéré avec socketdump d'un côté (il n'y a que 3 couches) et Wireshark de l'autre).

Un socket se définit souvent par un fichier, comme tout sur Unix car "tout est fichier" mais présent sur le système de fichier ajoutant donc une couche de gestion et de droit à gérer. Cette petite mention rajoute donc de la complexité et du calcul. Et c'est là que va intervenir les abstract namespace !

J'ai, depuis ma première implémentation des abstract namespace dans ma config HAProxy, fais un peu de recherche pour savoir ce qu'était un abstract namespace. Il s'agit d'un système propre à Linux (désolé les utilisateurs de FreeBSD). Les sources concordent (man 7 unix, ChrisSiebenmann, Rust lang, StackExchange) sur le fait que c'est une sorte de socket qui ne crée pas de ressource sur le système de fichier. Cela supprime la "complexité" de devoir gérer des fichiers, leurs permissions, leurs suppressions... surtout si l'application est chrooté. Bon, ça veut aussi dire que qui que ce soit connait le nom du namespace et est déjà sur la machine peut interagir avec lui sans plus de limitation. Dans notre cas cet individu peut faire des requêtes HTTP, niveau danger y a pire on va dire.

On a donc les avantages du socket, plus rapide, plus efficace sans les inconvénients et la lourdeur du système de fichier.

Pendant mes recherches j'ai trouvé un outil pour comparer les différentes méthodes de communication inter-processus (IPC). Outil qui s'accompagne d'un article pour expliquer la méthode utilisée.

Ces tests ont été effectués sur un AMD Ryzen 5 5600X sur un NVME Corsair Force MP510

[dryusdan@Nemp socket-speed]$ python3 ip_client.py
Receiving messages...
Received 14222 messages in 1 second(s).

[dryusdan@Nemp socket-speed]$ python3 uds_client.py
Receiving messages...
Received 51406 messages in 1 second(s).

[dryusdan@Nemp socket-speed]$ python3 ans_client.py
Receiving messages...
Received 55511 messages in 1 second(s).

On observe bien une très grande différence entre TCP et les socket unix et une plus légère entre les sockets et les abstract namespace.

Pour revenir sur la configuration il va falloir modifier le backend et le frontend !

Pour le backend en remplace 127.0.0.1:80 par abns@loopback-http-in

backend bk_local_https
    mode http
    http-request add-header X-Forwarded-Proto https
    server httplocal abns@loopback-http-in send-proxy-v2 proto h2

Et le frontend

frontend http_in
    # Local frontend
    bind abns@loopback-http-in accept-proxy
    mode http

Vous rechargez votre configuration et banco !

Pour valider quand même que ces modifications sont un peu plus performantes, j'ai lancé un benchmark avec bombardier et j'ai récupéré le temps de réponse moyen de 100 requêtes effectuées avec 2 clients et ce au début et après chaque modification :

Test n°	fe https-in	fe tcp > https-in via abstract namespace	fe tcp > https-in via tcp request
1	10.34ms	10.28ms	12.75ms
2	11.12ms	10.91ms	12.52ms
3	11.40ms	11.36ms	13.18ms

Le défaut de ce test est que je n'ai fait que 3 run sur un serveur de production qui est donc soumis à son trafic de base et sa propre charge qui peuvent fluctuer.

Et si on allait plus loin ?

Grâce à cet article j'ai compris pas mal de chose notamment le fonctionnement d'HTTP/2 grâce à ALPN (Application-Layer Protocol Negotiation). Mais aussi que cette extension TLS, qui est en clair lors du Client Hello peut : soit nous êtes utile lors du routage de la requête, soit nous desservir si le pare-feu est très agressif (et intrusif) avec du Deep Packet Inspection un peu énervé.

Aujourd'hui les navigateurs utilisent tous ALPN mais la majorité des scripts non (depuis la charge des scrappers j'ai 75% des requêtes en HTTP/1.1).

Dans un environnement "très sécurisé" (kof, bien sur) ne pas mettre d'ALPN peut être suspect. Donc ne pas mettre d'ALPN ou en mettre un custom peut éventuellement nous desservir (j'ai pas ce genre de pare-feu sous la main). Mais si ce n'est pas le cas, pourquoi ne pas l'utiliser ? o:)

La commande openssl s_client possède un argument -alpn (openssl-s_client(1)) qui nous permet d'y mettre ce qu'on veut

Et côté HAProxy alors ? Il y a plusieurs moyens d'utiliser cette "variable".

La première serait d'utiliser la variable req.ssl_alpn mais comme indiqué dans la documentation :

Note that this only applies to raw contents found in the request buffer and not to the contents deciphered via an SSL data layer, so this will not work with "bind" lines having the "ssl" option.

Il faudrait avoir un premier frontend en TCP pur qui forward vers un second frontend pour désencapsuler SSH de TLS pour enfin accéder au backend

En reprenant la configuration de Victor, on aurait rajouté une ACL pour lire la valeur de l'extension ALPN

##############
### TCP IN ###
##############
frontend 443-in
    bind YOUR_IP:443
    mode tcp # On est en TCP ici et pas encore en http

    # On verifie les types de trafics parmi tcp over ssl, http et SSH
    tcp-request inspect-delay 5s # Une connexion ssh peut être longuette à s'établir, on prends le temps d'inspecter le flux
    acl trafic_ssl       req.ssl_ver    gt 0
    acl trafic_ssh_raw req.payload(0,7) -m str SSH-2.0

    # On récupère la valeur d'ALPN dans le Client Hello
    acl trafic_ssh_over_ssl req.ssl_alpn ssh

    # Si SSL on envoie au backend TCP pour dechiffrement
    use_backend bk_tcpssl if trafic_ssl
    # Si ssh direct on envoie au backend ssh
    use_backend bk_ssh if trafic_ssh_raw

    # Si c'est du SSH dans TLS on renvoie vers un autre backend
    use_backend bk_sshssl if trafic_ssh_over_ssl

frontend ssh-over-tls-in
    bind abns@loopback-ssh-over-tls
    mode tcp ssl crt /etc/haproxy/certs/

    use_backend bk_ssh

backend bk_sshssl
    mode tcp
    server abns@loopback-ssh-over-tls

C'est plus lourd et bien plus complexe que la méthode suivante que je vais vous proposer.

J'vous ai dis au tout début de cet article que la directive alpn dans HAProxy (et en général) permet d'avoir une liste des protocoles que vous "proposez". En fait, si vous lisez le schéma de la RFC 7301 (ci-dessous) vous pouvez apercevoir que le serveur ne propose rien mais sélectionne ce qui correspond entre ce que le client propose et sa propre liste

Client                                              Server

ClientHello                     -------->       ServerHello
  (ALPN extension &                               (ALPN extension &
   list of protocols)                              selected protocol)
                                                Certificate*
                                                ServerKeyExchange*
                                                CertificateRequest*
                                <--------       ServerHelloDone
Certificate*
ClientKeyExchange
CertificateVerify*
[ChangeCipherSpec]
Finished                        -------->
                                                [ChangeCipherSpec]
                                <--------       Finished
Application Data                <------->       Application Data

L'idée est donc d'ajouter ssh à la liste des protocoles proposés dans ALPN et de travailler avec ça !

frontend tcpssl-alpn
    bind :::443 ssl crt /etc/haproxy/certs/ alpn h2,http/1.1,ssh
    log-format "%ci:%cp [%t] %ft %b/%s %Tw/%Tc/%Tt %B %ts %ac/%fc/%bc/%sc/%rc %sq/%bq alpn:%[ssl_fc_alpn]"

    mode tcp

    acl trafic_ssh ssl_fc_alpn "ssh"
    tcp-request content accept if trafic_ssh
    use_backend forward_ssh if trafic_ssh
    default_backend forward_http

Et pouf !

2a01:e0a:21a:17a0:83bb:eb6b:e85a:99b9:56568 [04/May/2025:20:38:05.241] tcpssl-alpn~ forward_ssh/ssh_mul 9/0/260 4044 -- 75/1/0/0/0 0/0 alpn:ssh
2a01:e0a:21a:17a0:83bb:eb6b:e85a:99b9:37900 [04/May/2025:20:38:14.714] tcpssl-alpn~ tcpssl-alpn/<NOSRV> -1/-1/6167 0 PR 87/1/0/0/0 0/0 alpn:h2

En plus en TLS1.3 une bonne partie du Server Hello est chiffré, ça devient plus compliqué de voir que le serveur en face répond à cette requête "bizarre".

Niveau performance, en reprenant le tableau plus haut j'ajoute le frontend sans analyse du payload :

:header-rows: 1
Test n°	fe https-in	fe tcp > https-in via abstract namespace	fe tcp > https-in via tcp request	fe tcp > https-in via abns sans analyse du payload
1	10.34ms	10.28ms	12.75ms	11.25ms
2	11.12ms	10.91ms	12.52ms	10.82ms
3	11.40ms	11.36ms	13.18ms	11.44ms

On constate ni d'amélioration, ni de dégradation (c'est exactement les mêmes conditions de test donc ce n'est pas non plus très fiable).

Quels sont les inconvénients alors ? L'analyse du payload est légèrement moins fiable si le client SSH innove sur sa version (bon, j'y crois moyen) mais le module "beg" dans HAProxy permet de très vite invalider le payload sans trop de calcul. De plus cette version est plus discrète en cas de pare-feu agressif avec cette commande :

ssh  -o ProxyCommand="openssl s_client -quiet -alpn h2,http/1.1 -connect IP_HAPROXY:443 -servername IP_A_SSH"  -l USER dummy.name

Tandis que l'autre utilise à fond ALPN, c'est donc légèrement moins discret.

Après, peut-être qu'il faudrait faire des vrais tests dans des conditions optimales pour voir si le check du payload est plus gourmand que l'ALPN ou non.

Au final

La configuration a un peu évolué et la voici

frontend tcpssl
    bind :443 ssl crt /etc/haproxy/certs/ alpn h2,http/1.1,ssh
    bind :::443 ssl crt /etc/haproxy/certs/ alpn h2,http/1.1,ssh
    log-format "%ci:%cp [%t] %ft %b/%s %Tw/%Tc/%Tt %B %ts %ac/%fc/%bc/%sc/%rc %sq/%bq alpn:%[ssl_fc_alpn] dst:%[var(sess.dst)] http:%[var(sess.ishttp)] ssh:%[var(sess.isssh)]"

    mode tcp

    acl trafic_ssh_alpn ssl_fc_alpn "ssh"
    acl trafic_ssh req.payload(0,7) -m beg "SSH-2.0"

    tcp-request inspect-delay 5s
    tcp-request content set-var(sess.dst) ssl_fc_sni
    tcp-request content set-var(sess.ishttp) req.proto_http
    tcp-request content set-var(sess.isssh) req.payload(0,7)
    tcp-request content accept if trafic_ssh # Pour une raison que j'ignore il faut ceci pour l'ACL trafic_ssh, sinon l'autre fonctionne sans
    use_backend forward_ssh if trafic_ssh || trafic_ssh_alpn
    default_backend forward_http # Le default_backend est surtout là pour dire "Si y a pas de trafic spécifique, je suis un serveur web normal

frontend https-in
    bind abns@loopback-http-in accept-proxy
    log-format "%ci %cp [%tr] %ft %b/%s %TR/%Tw/%Tc/%Tr/%Ta %ST %B %CC %CS %tsc %ac/%fc/%bc/%sc/%rc %sq/%bq %hr %hs %{+Q}r %[fc_err]/%[ssl_fc_err,hex]/%[ssl_c_err]/ %[ssl_c_ca_err]/%[ssl_fc_is_resumed] %[ssl_fc_sni]/%sslv/%sslc"

    mode http

        #[...] vos ACL et règle de votre frontend

backend forward_http
    mode http
    server loopback-http abns@loopback-http-in send-proxy-v2 proto h2

backend forward_ssh
    mode tcp

    timeout server 1h
    stick-table type ipv6 size 1m expire 12h store conn_rate(30m)
    tcp-request content track-sc0 src
    tcp-request content reject if { sc_conn_rate(0) le 3 }
    tcp-request content reject if { sc_conn_rate(0) gt 50 }

    server ssh_mul 127.0.0.1:22

Durant mes recherches, j'ai vu que les modifications de l'ALPN est plutôt courant en fait, notamment avec Letsencrypt et son challenge TLS-ALPN-01 (RFC 8737) ou XMPP et sa XEP 0368.

Sur ce, portez-vous bien !

Photo de Markos Mant

Protéger tous ses sites avec Anubis

Dryusdan — Wed, 07 May 2025 14:00:00 +0200

Depuis que Forgejo est protégé, le nombre de scrapper qui venait piller mon infra a drastiquement baissé... Jusqu'à fin avril où, selon mes graphiques, j'ai énormément de requêtes d'un coup sur des sites totalement aléatoire. Puis, à grand coup de veille technique, je suis tombé sur cet article.

Botnet Part 2: The Web is Broken

I guess you have all heard about the growing problem of AI companies trying to aggressively collect whatever data they can get their hands on to train their models. This has caused an explosive surge in web crawlers relentlessly hitting servers big and small. But who runs these crawlers? Turns out — it could be you!

Pour faire court, Jan Wildeboer a mit en lumière un nouveau business model bien dégueulasse : utiliser le terminal d'un utilisateur avec une application incorporant un SDK qui va permettre à la société de scrapper une page web. Quelques-unes (beaucoup) de ces sociétés se targuent de permettre de scrapper pour des IAs à partir de millions de sources différentes.

Dans le milieu de la sécurité, on appelle ce SDK un malware et le terminal de l'utilisateur un zombie ou bien un botnet. L'idée étant d'effectuer une action à distance à l'insu de l'utilisateur⋅ice.

C'est quand même dingue tout ce qu'on peut faire avec l'étiquette IA: voler des œuvres littéraire, graphique, cinématographique sous licence, piller du contenu web sous licence, impacter négativement des infrastructures web d'entreprise ou bénévole... Bref, je m'égare.

Qui dit millions de source différentes, dit qu'il va être impossible de gérer des restrictions ou des limitations simples. Les protections anti-dos classique ne vont juste plus fonctionner vu qu'on va parler de millions d'IPs. Alors oui, les botnets et les attaques DDoS existaient depuis des années, c'est pas nouveau, mais avant c'était vendu sur le marché noir et c'était soit politique, soit parce que t'avais énervé un gamin sur Minecraft. La maintenant c'est "légal", "publiquement accessible" et toléré car y a le flag IA qui se balade. Donc, si je résume, on a des millions d'IPs différentes de dizaines de pays différent qui vont venir impacter les infrastructures.

Depuis que j'ai installé Anubis devant Forgejo j'ai constaté que le nombre de requêtes ont considérablement baissée et surtout : elles ne passent plus ! Donc la solution serait de mettre Anubis devant tout le monde ? Alors oui mais... Non en réalité, on va essayer de mettre un peu d'eau dans son vin. J'ai pas envie que tous mes sites ressemblent à "Anubis > Proof of work > profitez du contenu". Déjà parce que l'expérience utilisateur est naze, mais aussi parce que certaines personnes naviguent sans javascript (alors oui je sais, il existe go-away) ou via des terminaux.

L'idée ici serait de basculer le trafic derrière Anubis en cas de trafic anormalement élevé détecté ! On utilisera ici quelques concepts d'HAProxy (forcément, j'allais pas utiliser Nginx 😇) notamment les sticky-table et Anubis.

Pour Anubis cela ne sera pas compliqué, notamment si vous suivez mon précédent article à ce sujet. Pour HAProxy un peu plus cependant (en tout cas j'y ai passé quelques heures à rechercher). On va d'abord mettre en place la pièce angulaire de cette sécurité : la sticky table.

backend host_sticky_table
    stick-table type string len 64 size 1m expire 10m store gpc0_rate(10m),gpc1_rate(1s)

Tout d'abord on crée un "dummy backend" pour pouvoir l'appeler facilement de partout, puis on y ajoute une stick-table. Le but d'une stick-table c'est d'allouer un espace mémoire pour HAProxy pour enregistrer certaines informations sur un seul nœud ou sur un cluster, notamment le nombre de requête provenant d'une IP, le nombre de requête sur une URL spécifique... Ils ont écrit un article d'ailleurs sur les protections anti bot. Bref, ici on crée une stick-table qui va stocker deux compteurs et qui auront comme index une chaine de caractère de 64 caractères maximum (à adapter, la limite d'un domaine complet est de 253 caractères de toute façon). Le premier compteur va stocker les entrées pendant 10 minutes tandis que le second pendant 1 seconde. C’est-à-dire que les entrées plus vieilles de 10 minutes dans le premier compteur seront automatiquement supprimés. Le but étant d'avoir un compteur qui permette de constater un trafic anormal sur du "long terme" tandis que l'autre va réagir tout de suite.

Maintenant le frontend, il y a plusieurs spécificités. Déjà j'ai une liste d'IPs autorisé, notamment pour éviter que le monitoring + un peu de trafic à côté déclenche la sécurité. Cette liste est stockés dans /etc/haproxy/allowed.ips. Ensuite je fais en sorte d'incrémenter les compteurs quand la page renvoyée est en HTML. Au début je vérifiais l'extension à la fin de l'URL (.css, .mp4, .avi...) pour exclure ces requêtes des compteurs, mais ce n'est pas forcément fiable, un peu compliqué et sur Peertube notamment ça déclenchait très facilement la protection.

frontend https-in
    bind :443 ssl crt /etc/haproxy/certs/ alpn h2,http/1.1
    bind :::443 ssl crt /etc/haproxy/certs/ alpn h2,http/1.1

    mode http

    acl dryusdan_space hdr_beg(host) dryusdan.space

    # Si HAProxy détecte un cookie nommé within.website-x-cmd-anubis-auth
    acl has_anubis_cookie req.cook(within.website-x-cmd-anubis-auth) -m found
    # Si HAProxy détecte que le chemin demandé est la validation de Anubis
    acl acl_anubis path_beg /.within.website/x/cmd/anubis

    # Si la limite sur le compteur de 10 minutes dépasse 150
    acl exceeds_soft_limit sc_gpc0_rate(0) ge 150
    # Si la limite sur le compteur de 1 seconde dépasse 10
    acl exceeds_hard_limit sc_gpc1_rate(0) ge 10

    # Si la réponse est en HTML
    acl is_html_response res.hdr(Content-Type) -m sub "text/html"

    # Si l'IP est dans les IPs autorisé
    acl is_allowed src -f /etc/haproxy/allowed.ips

    # Récupère l'entête HTTP Host
    capture request header Host len 150

    # Active le tracking de la connexion dans la stick-table défini dans le backend host_sticky_table
    http-request track-sc0 hdr(Host) table host_sticky_table

    # Incremente les compteurs si la réponse est en HTML et ne vient pas d'une IP autorisé
    http-response sc-inc-gpc0(0) if is_html_response !is_allowed
    http-response sc-inc-gpc1(0) if is_html_response !is_allowed

    # Utiliser le backend Anubis si l'URL détecté est l'URL de validation de Anubis
    use_backend main_anubis if acl_anubis

    # Utiliser le backend Anubis si la limite de 150 requêtes sur 10 minutes est dépassé et qu'il n'y a pas le cookie within.website-x-cmd-anubis-auth
    use_backend main_anubis if exceeds_soft_limit !has_anubis_cookie
    # Utiliser le backend Anubis si la limite de 10 requêtes sur 1 seconde est dépassé et qu'il n'y a pas le cookie within.website-x-cmd-anubis-auth
    use_backend main_anubis if exceeds_hard_limit !has_anubis_cookie

    use_backend web-apache if dryusdan_space

Vous avez surement vu que j'ai joué aussi avec les cookies, pourquoi ?

Dans le fonctionnement d'Anubis, lorsque votre navigateur a trouvé une preuve de travail, il va la renvoyer à Anubis, mais si le nombre de requête passe tout juste sous la limite, le backend utilisé est le backend normal et on se retrouve donc avec une url type dryusdan.space/.within.website-x-cmd-anubis-auth/ que mon site ne possède pas, car c'est utilisé que par Anubis en reverse proxy. Pour permettre de finaliser la validation il faut simplement détecter l'URL et rediriger vers le backend Anubis si on détecte cette URL.

Autre point, Anubis va "simplement" boucler vers le frontend https-in quand le POW sera résolu, sauf que si la limite est toujours élevée on rebascule vers le backend Anubis et ça fini en boucle infini. Donc il faut un moyen de sortir de cette boucle. Pour ça il faut valider si le cookie Anubis est présent. Il s'agit ici d'un très gros trou dans la raquette mais j'en parle juste en dessous.

backend main_anubis
    mode http

    option forwardfor
    option httpchk

    http-request add-header X-Forwarded-Proto https if { ssl_fc }

    acl is_html_response res.hdr(Content-Type) -m sub "text/html"
    http-request set-header X-Forwarded-Proto https
    http-request set-header X-Forwarded-Scheme https
    http-request set-header X-Forwarded-Host %[req.hdr(Host)]
    http-request set-header X-Real-Ip %[src]
    server anubis 127.0.0.1:13002

Et voilà, vous avez une protection basique qui se déclenche quand le trafic toute source confondu devient important sur un de vos sites web. Oui, car cela ne se déclenche pas pour tous mais uniquement pour le site visé par l'attaque.

Côté HAProxy d'ailleurs la sticky table ressemble à ça :

echo "show table host_sticky_table" | socat stdio UNIX-CONNECT:/var/run/haproxy/admin.sock
# table: host_sticky_table, type: string, size:1048576, used:45
0x55920bddead8: key=dryusdan.space use=0 exp=597902 gpc0_rate(600000)=297 gpc1_rate(1000)=0

En écrivant ces lignes, j'ai testé quand même d'outre passer cette limitation notamment en faisant la requête avec les cookies DryCookie_Anubis et within.website-x-cmd-anubis-auth et malheureusement ça passe. Donc ça limite l'impact des bots assez stupide mais c'est pas très optimal... Le mieux serait d'avoir plusieurs frontend, un frontend tcp qui ensuite forward la requête soit vers https-in soit vers Anubis (qui lui va passer ensuite vers https-in). Hé bien c'est ce qu'on va faire là, et en plus on retire le trou béant détecté plus haut !

On va garder le même backend host_sticky_table créé plus haut. On va également adapter les frontends sans changer grand-chose. Enfin un peu quand même. Le premier frontend sera en TCP et écoutera sur le port 443 tandis que le second écoutera avec socket unix special. On va également traquer le SNI et non plus l'entête Host.

frontend tcpssl
    bind :443 ssl crt /etc/haproxy/certs/ alpn h2,http/1.1,ssh #Oui, ssh ! C'est pour un autre article, oui je tease !
    bind :::443 ssl crt /etc/haproxy/certs/ alpn h2,http/1.1,ssh

    mode tcp

    tcp-request inspect-delay 5s
    tcp-request content track-sc0 ssl_fc_sni table host_sticky_table

    acl exceeds_soft_limit sc_gpc0_rate(0) ge 150
    acl exceeds_hard_limit sc_gpc1_rate(0) ge 10

    # On passe sur anubis uniquement si on dépasse une limite
    use_backend main_anubis if exceeds_soft_limit || exceeds_hard_limit
    default_backend forward_http

frontend https-in
    bind abns@loopback-http-in accept-proxy # Pareil, petit teasing !

    # Si HAProxy détecte que le chemin demandé est la validation de Anubis
    acl acl_anubis path_beg /.within.website/x/cmd/anubis

    # On rebascule sur le backend anubis si on a pas le cookie anubis mais notre cookie (ça veut dire qu'on est passé dans le backend anubis mais qu'il n'a pas pu finir son process)
    use_backend main_anubis if acl_anubis
    default_backend web-apache

Pareil qu'avec la configuration précédente, il faut s'assurer qu'Anubis puisse finir son travail, même si on est descendu en dessous de la limite. C'est principalement pour éviter un 404 et donc éclater un peu l'expérience utilisateur. Autre point, on vérifie aussi si le user agent contient Mozilla ou Opera. Dans le cas où la requête est autorisé par Anubis sans déposer un Cookie, comme c'est le cas pour tous les clients non challengé (Mastodon, Kaji...) on bouclait sur l'utilisation du backend main_anubis. Là on rajoute une sécurité en plus pour éviter justement que les robots autorisés soient coincé dans une boucle infini.

Les backends, quant à eux, auront un peu plus d'intelligence

backend main_anubis
    mode http
    option forwardfor
    option httpchk

    http-request add-header X-Forwarded-Proto https if { ssl_fc }
    # On réécrit l'entête host
    http-request set-header Host "%[ssl_fc_sni]"

    # On vérifie que la réponse est de l'HTML
    acl is_html_response res.hdr(Content-Type) -m sub "text/html"
    # On vérifie que les IPs sont dans la liste des IPs autorisé
    acl is_allowed src -f /etc/haproxy/allowed.ips

    http-request set-header X-Forwarded-Proto https if { ssl_fc }
    http-request set-header X-Forwarded-Scheme https if { ssl_fc }
    http-request set-header X-Forwarded-Host %[req.hdr(Host)]
    http-request set-header X-Real-Ip %[src]

    # Incremente les compteurs si la réponse est en HTML et ne vient pas d'une IP autorisé
    http-response sc-inc-gpc0(0) if is_html_response !is_allowed
    http-response sc-inc-gpc1(0) if is_html_response !is_allowed

    # On rajoute un cookie pour dire qu'on est passé par le backend.

    server anubis 127.0.0.1:13002

backend forward_http
    mode http

    http-request add-header X-Forwarded-Proto https if { ssl_fc }
    # On réécrit l'entête host
    http-request set-header Host "%[ssl_fc_sni]"

    # On vérifie que la réponse est de l'HTML
    acl is_html_response res.hdr(Content-Type) -m sub "text/html"
    # On vérifie que les IPs sont dans la liste des IPs autorisé
    acl is_allowed src -f /etc/haproxy/allowed.ips

    # Incremente les compteurs si la réponse est en HTML et ne vient pas d'une IP autorisé
    http-response sc-inc-gpc0(0) if is_html_response !is_allowed
    http-response sc-inc-gpc1(0) if is_html_response !is_allowed

    server loopback-http abns@loopback-http-in send-proxy-v2 proto h2

Pourquoi réécrire l'entête Host ? Pour justement éviter que quelqu'un indique la bonne entête Host mais avec le mauvais SNI. En faisant une requête avec un SNI vers dryusdan.space mais en utilisant un entête Host vers fittrackee, j'arrive sur Fittrackee. Or, dans notre cas, cela va incrémenter le compteur pour dryusdan.space.

[dryusdan@Nemp ~]$ curl -v --resolve dryusdan.space:443:192.168.1.254 -H "Host: fittrackee.dryusdan.fr" https://dryusdan.space
* ALPN: curl offers h2,http/1.1
* TLSv1.3 (OUT), TLS handshake, Client hello (1):
* TLSv1.3 (IN), TLS handshake, Server hello (2):
* TLSv1.3 (IN), TLS change cipher, Change cipher spec (1):
* TLSv1.3 (IN), TLS handshake, Encrypted Extensions (8):
* TLSv1.3 (IN), TLS handshake, Certificate (11):
* TLSv1.3 (IN), TLS handshake, CERT verify (15):
* TLSv1.3 (IN), TLS handshake, Finished (20):
* TLSv1.3 (OUT), TLS change cipher, Change cipher spec (1):
* TLSv1.3 (OUT), TLS handshake, Finished (20):
* SSL connection using TLSv1.3 / TLS_AES_256_GCM_SHA384 / x25519 / id-ecPublicKey
* ALPN: server accepted h2
* Server certificate:
*  subject: CN=dryusdan.space
*  start date: Apr  8 05:11:56 2025 GMT
*  expire date: Jul  7 05:11:55 2025 GMT
*  subjectAltName: host "dryusdan.space" matched cert's "dryusdan.space"
*  issuer: C=US; O=Let's Encrypt; CN=E6
* Connected to dryusdan.space (192.168.1.254) port 443
* using HTTP/2
* [HTTP/2] [1] OPENED stream for https://dryusdan.space/
* [HTTP/2] [1] [:method: GET]
* [HTTP/2] [1] [:scheme: https]
* [HTTP/2] [1] [:authority: fittrackee.dryusdan.fr]
* [HTTP/2] [1] [:path: /]
* [HTTP/2] [1] [user-agent: curl/8.13.0]
* [HTTP/2] [1] [accept: */*]
> GET / HTTP/2
> Host: fittrackee.dryusdan.fr
> User-Agent: curl/8.13.0
> Accept: */*
>
< HTTP/2 200
< date: Wed, 07 May 2025 10:29:48 GMT
< content-type: text/html; charset=utf-8
<!DOCTYPE html>
<html lang="en">
  <head>
    <title>FitTrackee</title>

De ce simple fait, on peut utiliser plein de SNI différent pour scrapper uen même cible et donc passer entre les mailles du filet. À l'inverse, en redéfinissant l'entête HTTP Host avec la valeur du SNI, on s'assure que le site affiché correspond bien à celui du certificat et évite ce que je vous ai présenté juste avant.

[dryusdan@Nemp ~]$ curl -v --resolve dryusdan.space:443:192.168.1.254 -H "Host: fittrackee.dryusdan.fr" https://dryusdan.space
* ALPN: curl offers h2,http/1.1
* TLSv1.3 (OUT), TLS handshake, Client hello (1):
* TLSv1.3 (IN), TLS handshake, Server hello (2):
* TLSv1.3 (IN), TLS change cipher, Change cipher spec (1):
* TLSv1.3 (IN), TLS handshake, Encrypted Extensions (8):
* TLSv1.3 (IN), TLS handshake, Certificate (11):
* TLSv1.3 (IN), TLS handshake, CERT verify (15):
* TLSv1.3 (IN), TLS handshake, Finished (20):
* TLSv1.3 (OUT), TLS change cipher, Change cipher spec (1):
* TLSv1.3 (OUT), TLS handshake, Finished (20):
* SSL connection using TLSv1.3 / TLS_AES_256_GCM_SHA384 / x25519 / id-ecPublicKey
* ALPN: server accepted h2
* Server certificate:
*  subject: CN=dryusdan.space
*  start date: Apr  8 05:11:56 2025 GMT
*  expire date: Jul  7 05:11:55 2025 GMT
*  subjectAltName: host "dryusdan.space" matched cert's "dryusdan.space"
*  issuer: C=US; O=Let's Encrypt; CN=E6
*  SSL certificate verify ok.
* Connected to dryusdan.space (192.168.1.254) port 443
* using HTTP/2
* [HTTP/2] [1] OPENED stream for https://dryusdan.space/
* [HTTP/2] [1] [:method: GET]
* [HTTP/2] [1] [:scheme: https]
* [HTTP/2] [1] [:authority: fittrackee.dryusdan.fr]
* [HTTP/2] [1] [:path: /]
* [HTTP/2] [1] [user-agent: curl/8.13.0]
* [HTTP/2] [1] [accept: */*]
> GET / HTTP/2
> Host: fittrackee.dryusdan.fr
> User-Agent: curl/8.13.0
> Accept: */*
>
* Request completely sent off
* TLSv1.3 (IN), TLS handshake, Newsession Ticket (4):
* TLSv1.3 (IN), TLS handshake, Newsession Ticket (4):
< HTTP/2 200
< content-type: text/html
<!DOCTYPE html>

<html data-theme="dark" lang="fr">
    <head>
        <title>Dryusdan.space 🚀 Voyagez dans mon espace</title>

Si vous avez Anubis devant votre forge git et que vous ajoutez Anubis devant tout ce petit monde, il faut reconfigurer ce dernier très légèrement. Pour ça dans les deux configurations de Anubis rajoutez la variable ED25519_PRIVATE_KEY_HEX avec une clé aléatoire, sinon le premier et le second Anubis vont mutuellement bloquer leurs requêtes, car la réponse dans le cookie ne sera jamais la bonne.

Et vous voilà avec une protection basique rapide et efficace contre les scrappers !

Sur ce, portez-vous bien et à très bientôt ;)

Photo de Joshua Tsu

EDIT 15/06/2025 : Suite à quelques soucis rencontré j'ai amélioré la redirection vers le backend Anubis quand on passe par le frontend TCP. Le soucis semble être résolu, j'ai donc corrigé l'article !

Rétrospective de mars et avril 2025

Dryusdan — Sat, 03 May 2025 11:30:00 +0200

C'est parti pour la rétrospective de mars et avril. o/

Oui, deux rétrospectives en une parce que mars c'était viiiiide et avril plus intéressant tout de même.

On commence par les chiffres du mois de mars.

Données	Valeurs	Tendances
Cafés bu	96	📉
Commit réalisés	179	📈
CD acheté	0	=
Article rédigé	1	📈
Articles et notes rédigés	3	📈
Total de mots	1947	📈
Temps de lecture (183 mots par minute)	10 minutes de lecture	📈
Trafic généré	12,85Go	📈
Liens partagé sur Dryusdan.link	10	📉
Kilomètres à vélo	391,50	📈

Et on va enchainer sur le mois d'avril :D

Données	Valeurs	Tendances
Cafés bu	96	=
Commit réalisés	203	📈
CD acheté	0	=
Article rédigé	3	📈
Articles et notes rédigés	8	📈
Total de mots	5233	📈
Temps de lecture (183 mots par minute)	29 minutes de lecture	📈
Trafic généré	41,32Go (oO)	📈
Liens partagé sur Dryusdan.link	11	📈
Kilomètres à vélo	249	📉

Un mois de mars relativement calme de mon côté, malgré plus d'une 20ène d'entretien (mais comme je ne connais pas Terraform et Kubernetes mon profil n'est jamais passé -.-

Beaucoup de moment désagréable aussi à base de RH qui rabaissent mon niveau. Il y a quand même quelques boites (3) en fait qui ont eu le mérite d'aller plus loin, notamment en faisant des tests techniques. Ça m'a fait remonter mon estime de moi 😊 (bon, c'est pas passé parce qu'il y avait meilleur que moi U_U).

Mais bon, maintenant je suis un outil qu'on loue pour aller bosser sur un PC Windows dans une boite très loin de mes valeurs...

Bref, un mois de mars éreintant et un mois d'avril beaucoup plus libre comme l'indique le nombre d'article. Il y a même eu un article à succès semblerait-il (j'ai pas de stat exact :D) avec 11 000 visites pour L'IA et Forgejo.

Un de mes sides project commence à décoller : Garmin to Fittrackee (également présent sur Github). Je l'ai donc également publié sur Pypi car Thovi98 me l'a porté sur YunoHost. Le but de cet outil : synchroniser vos activités Garmin l'outil auto hébergé "fittrackee" !

Sur ce, portez-vous bien.

Photo Daniel Lerman

Nouveau tattoo (again)

Dryusdan — Sun, 20 Apr 2025 10:51:00 +0200

Haha, une fois n’est pas coutume, un nouveau tattoo est apparu sur mon avant bras !

« Petite » référence à mon jeu vidéo préféré, mais également à toute une période assez importante de ma vie à base de remise en question et de changement… 😊

je vous recommande très fortement La Barbe Tatoo (son Instagram. Je sais que ça fonctionne beaucoup grâce à ça) !

IRC, Minecraft, Bloguidien et Naopix... Mes petits side project

Dryusdan — Sun, 13 Apr 2025 15:56:00 +0200

En écrivant l'article sur "L'IA et Forgejo", j'ai mentionné DryIRC et quelques personnes sont venus 😊... En fait je n'ai pas vraiment communiqué dessus. Enfin si, sur le fediverse, mais on peut facilement le louper.

J'ai donc modifié le menu du site pour avoir plus de place et donc partagé deux trois projets.

Bloguidien

Un que vous avez surement dû entendre parler (car j'en ai déjà parlé), il a sa propre catégorie : Bloguidien (c'est la catégorie /prompts). Il est malheureusement actuellement en attente de nouveau prompt à lui donner.

Bloguidien Chaque jour un nouveau sujet pour votre blog

Chaque jour un nouveau sujet pour votre blog

Il s'agit d'un projet mené avec Lord ayant pour but de donner un sujet par jour pour écrire sur un blog.

IRC

Lui j'en ai mal fait la promotion ! J'héberge mon propre serveur IRC accessible à l'adresse irc.dryusdan.net. Il s'agit d'un serveur Ergo supportant très bien IRCv3. Il intègre les commandes qu'on a l'habitude de voir tel que ChanSrv, NickSrv mais nativement. L'historique de chat est également supporté. Et la documentation est clairement très bien écrite (mais en anglais). J'ai également mis un kiwi chat avec WebUI ^^

Kiwi IRC

Aucune description n'a été trouvé pour ce site.

Petite précision, il y a le chan #global quand vous arrivez, mais il en existe hein #fediverse (si vous avez eu accès à cet article via le fediverse hein o:) )

Feel free pour passer dire bonjour ou rester hein 😉

Minecraft

Pareil qu'IRC, j'ai monté un petit serveur Minecraft communautaire depuis quelques mois et pareil je n'en ai que très peu fait la promotion et exclusivement sur le fediverse.

Y a même un petit site et un wiki très léger

Accueil

Un petit serveur Minecraft

Naopix

Lors de la dernière grosse migration Meta > Fediverse, j'ai monté une petite instance Pixelfed : Naopix. J'en avais fait un article dessus d'ailleurs (contrairement à IRC et Minecraft). Je suis dessus, mais je partage que très peu, c'est pas trop mon type de média ^^

NaoPix

Naopix est une plateforme de partage d'images, une alternative éthique aux plateformes centralisées.

Sur ce, portez vous bien :)

Renvoyer un code HTTP 402 ou 418 avec HAProxy

Dryusdan — Sun, 13 Apr 2025 10:13:00 +0200

La semaine passé je cherchais à retourner un code de retour HTTP "IA get out". En réalité, un 403 ça suffit pleinement... Enfin à l'heure où je vous écris le bot AliyunSecBot/Aliyun s'est mangé plus de 12 000 403 en 6h sans que ça ne le gêne...

Dans les codes de retour HTTP, 2 m'amuse : 402 payment required et 418 I'm a teapot. Code de retour qui ne sont pas gérés par la directive errorfile de HAProxy. Je pense car très spécifique, trop peu utilisé voir très libre à interprétation.

Vous avez sûrement bien lu, c'est uniquement errorfile qui nous refuse ça... Mais on peut très bien renvoyer un 487 qui n'existe pas si on veut 😁

C'est une directive qui est très simple et totalement inspiré de mon article :

Empêcher les IA de siphonner votre site grâce à HAproxy

Vous le savez tous, les IA sont maintenant partout. C'est passé du web à votre ordinateur ou votre téléphone en moins de temps qu'il faut pour le dire. Pour les moins technique d'entre vous ou les startupnationpeur (surtout eux), vous ne savez peut être pas, mais une IA, pour devenir …

acl is-bad_ua hdr_sub(user-agent) -i -f /etc/haproxy/bad_uas.txt
http-request deny if is-bad_ua

Sauf qu'au lien de deny la request, on va retourner un code :

http-request return status 402 content-type "text/html;charset=utf-8" file /etc/haproxy/errors/402.html if is-bad_agent

La principale différence entre errorfile et ce fichier, c'est qu'avec errorfile on définit toutes les entêtes dans le fichier, là c'est purement un fichier HTML. Cependant, selon la documentation, on peut remplacer la directive file par string et ainsi ne même pas avoir à gérer de fichier en plus !

Point bonus, le 402 peut être remplacé par N'IMPORTE quel code, je viens d'essayer 483 et ça fonctionne. Et autre point bonus, si on ne retourne aucun contenu, ça fonctionne aussi :

[dryusdan@Nemp ~]$ curl -H "User-agent: GPTBot" https://dryusdan.space -I
HTTP/2 483
content-length: 0

Je n'ai cependant pas vérifié si un return custom comme ça consomme plus de ressource qu'un deny nativement géré.

Have fun !

Protéger Forgejo avec Anubis

Dryusdan — Thu, 10 Apr 2025 20:20:00 +0200

Ça fait un moment que je réfléchis à un moyen pour limiter les bots et surtout les pilleurs de contenu nommé IA. Depuis plus d'un an maintenant je vois le trafic vers ma forge logicielle grimper de plus en plus. Bien que, jusqu'à là, le trafic était principalement contenu avec des scrappers clairement identifiables (de Facebook, ByteDance et AmazonBot) et peu destructeurs. Mais ces derniers temps, tous les hébergeurs de forge logicielle ont vu leurs trafics accroître.

L'IA et Forgejo

Tout comme Lord, je suis tombé sur un article défendant l'IA mais avec un argument accusateur : Laisser l'IA apprendre : une position éthique. Laisser l'IA apprendre : une position problèmatiqueJe suis tombé sur cet article de blog : Laisser l'IA apprendre : une position éthique et il m'a pas mal hérissé et donc …

J'ai partagé avant-hier mon expérience sur le trafic jusqu'au DDoS subit par ce qui ressemble largement à des scrappers pour entrainer des IA et je ne suis clairement pas le seul, entre ceux qui m'ont partagé les mêmes déboires, ceux qui ont constaté en effet que le trafic a augmenté significativement sur leurs forges.

Il fallait donc commencer à agir. Pour ça j'ai un peu réfléchi à comment contrer un bot sans contrer un vrai internaute. J'ai constaté que de plus en plus de sites se trouvaient protégés par des bannières "anti robot", je pense à Hetzner ou tous les sites derrière du Cloudflare qui maintenant affiche une page "vérifiez que vous n'êtes pas un robot" avec une case à cocher. Hetzner a au moins l'avantage d'avoir une URL facile à lire : hray/pow.

Ok, qu'est-ce que c'est que POW ? Hé bien POW c'est l'acronyme de Proof Of Work et c'est justement ça que je cherchais : Comment s'assurer que le client en face est bien réel ? En lui demandant d'effectuer une action ! Cloudflare par exemple affiche une petite croix à cocher, Hetzner... Et bah je savais pas pour Hetzner mais avant même d'avoir eu le temps de creuser, quelqu'un l'a fait. Et là, un monde s'est débloqué (non). En vrai j'ai continué à creuser, comme j'ai partagé sur DryLink il y a quelques mois maintenant, de plus en plus de personnes tentent de mettre en place des POW pour limiter en fait les bots.

Pour l'anecdote j'ai commencé à apprendre le LUA pour en faire un moi-même avec HAProxy. Je ne mets pas cette idée au rebu pour autant ;)

Mais entre la recherche d'idées, chopper la technique et développer tout ça (ou le mettre en place), il fallait du temps... Et les DDoS sont arrivés.

Selon les logs, j'ai reçu plusieurs dizaines de milliers de connexions provenant d'autant d'adresses IPs avec des user-agent [1] de navigateur web. Bien sur, les adresses IPs n'étaient pas réutilisées ensuite. J'ai eu de tout, du Google Cloud Plateform, de l'AWS, du Starlink, du Cyber Internet Services Pakistan... Donc bannir une IP ne sert à rien (comme tout bon DDoS au final).

Je n'ai eu que très peu de choix qui s'offraient à moi :

Désactiver l'IPv4, car les attaques se sont fait en IPv4
Bloquer des AS complets comme le fait Codimp, mais c'est pas vraiment une technique que j'affectionne et ça peut potentiellement plus gêner qu'autre chose
Bloquer sur la base d'un regex les user-agent problématiques

J'ai estimé que si on accède à Forgejo, on a au moins un Windows à jour ou un Firefox ESR. Le reste j'ai bloqué. Je n'ai pas partagé mes regex avant-hier, bien qu'on me les ait demandés, car l'impact est très important (notamment j'ai bloqué l'intégralité des Windows sur Forgejo pour un . en moins). Je vous le partage mais pour la forme, le plus intéressant arrive ;)

J'ai donc écrit un fichier /etc/haproxy/bad_bot.txt contenant :

Android [1,2,3,4,5,6,7,8,9,10,11]
MSIE
Windows (95|98|CE)
Windows NT [1,2,3,4,5,6]\.
iPad OS
iPhone OS (\d{1}|[0-7]{2})_
Mac OS X 10_(\d{1}|[0-1]{2})_
(Windows NT (10|11)|Linux x86_64).* (Firefox|Chrome)\/([1-9]|[1-9][0-9])\..
Linux i686
Presto\/

Et dans HAProxy, au niveau de mon backend forgejo j'ai rajouté

backend forgejo
    mode http
    option forwardfor
    option httpchk

    timeout queue 5s
    http-check send meth GET uri /api/healthz
    http-check expect string pass

    acl is-bad_agent hdr(user-agent) -m sub -m reg -i -f /etc/haproxy/bad_bot.txt
    http-request deny if is-bad_agent

    server forgejo 127.0.0.1:3000 maxconn 10 check inter 10s fall 5 rise 5

Du coup si une requête arrive avec un user agent qui contient les lignes ci-dessus : BAM 403

Mais, comme dit plus haut, c'est très risqué et il y a du dégât collatéral. Mais une fois ça en place cependant, le trafic s'est volatilisé et ne revient qu'à de très rares occasions.

Mais ce n'est pas un POW. Ce n'est pas un mécanisme avec peu d'impact. Là clairement il y en a !

Et en vous partageant mon expérience, Flozz m'a parlé d'Anubis, un petit projet open-source qui semble avoir émergé en janvier dernier. Petit projet open-source qui a commencé à prendre une grande ampleur, car même Gnome Project l'a déployé à cause... D'un scrapping (potentiellement d'IA) intensif qui a downtime leur Gitlab. Pareil pour SourceHut en réalité !

Bref, regardons Anubis !

Anubis a été créé en réponse aux scrappers toujours plus agressifs.

Et Xe, l'auteur⋅ice explique sur son blog pourquoi iel a développé ça et comment cela fonctionne. Basiquement, Anubis utilise le principe de HashCash (pour les anglophones, l'article en anglais est plus complet). Pour résumer le principe, le serveur attend le résultat d'une opération mathématique spécifique, il envoie l'opération à effectuer par le client qui va devoir dépenser du temps et de l'énergie pour calculer le hash d'une chaine de caractères avec X 0 au début. Évidemment, les scrapper évitent de dépenser de l'énergie et donc changent de cible.

Dans l'implémentation actuelle d'Anubis, j'y vois quelques inconvénients (et l'auteur⋅ice également et ça c'est cool de voir un projet qui parle des limites). Anubis fonctionne comme un reverse proxy, de ce fait, il en faut un par service, ça ajoute un risque de panne. Au passage, si on veut ajouter plus de services protégés, on doit déployer plus d'Anubis (ou alors un qui ensuite renvoie la requête au reverse proxy qui suit le cheminement complet, mais je n'ai pas testé). Autre point négatif, les utilisateurs avec de vieux navigateurs ou ceux qui ont désactivé le Javascript (j'en connais, si si) seront bloqué à l'extérieur. Dernier point, c'est le jeu du chat et de la souris, aujourd'hui les scrappers n'embarque pas de JS ou de veilles versions, mais on est pas à l'abri qu'à l'avenir il se comporte comme un navigateur normal (coucou Chromium Headless).

Ce n'est certes pas parfait, mais j'avoue que c'est quand même mieux que juste bloquer tout un tas de navigateurs. Le mieux est l'ennemie du bien comme on dit. Petit détail quand même, Anubis consomme 6Mo de RAM par instance... Ça va !

Bon, on va peut-être faire un peu de technique non ?

Allez, installation time !

L'idée ici va être de mettre en place de manière la plus transparente possible Anubis sans toucher une demie seconde à votre reverse proxy et sans Docker ! (si si, je vous assure). Hier, les mainteneurs du projet ont ajouté les paquets Debian, RedHat ou même un binaire basique à utiliser.

Pour les plus impatients, j'ai créé un role Ansible qui supporte Debian et RedHat.

anubis

Tout d'abord vous téléchargez et installez votre paquet

wget https://github.com/TecharoHQ/anubis/releases/download/v1.16.0/anubis_1.16.0_amd64.deb -O /tmp/anubis.deb
apt-get install /tmp/anubis.deb

Puis, vous allez créer votre fichier de configuration dans /etc/anubis/forgejo.env

BIND=127.0.0.1:3000
BIND_NETWORK=tcp
METRICS_BIND=127.0.0.1:9090
METRICS_BIND_NETWORK=tcp
USE_REMOTE_ADDRESS=True
TARGET=unix:///var/run/forgejo/forgejo.sock
COOKIE_PARTITIONED=False
DIFFICULTY=4 #edit c'est la valeur par defaut
SERVE_ROBOTS_TXT=False
OG_EXPIRY_TIME=24h
OG_PASSTHROUGH=False

La configuration ici est relativement simple, on écoute sur le port 3000 en localhost et on redirige les requêtes vers le socket de Forgejo. On ne redémarre rien, car ce n'est pas fini !

Pour Forgejo, vous allez éditer le service

systemctl edit forgejo.service

Pour y ajouter

[Service]
RuntimeDirectory=forgejo

L'avantage de systemctl edit c'est que ça va automatiquement trigger un daemon reload.

Et là vous le voyez venir, on va modifier la configuration de Forgejo pour écouter sur un socket et non plus en TCP !

Remplacez les valeurs

[server]
PROTOCOL = http
HTTP_ADDR = 127.0.0.1
HTTP_PORT = 3000

Par

[server]
PROTOCOL = http+unix
HTTP_ADDR = /var/run/forgejo/forgejo.sock

Puis redémarrez les services

systemctl restart forgejo
systemctl enable --now anubis@forgejo

Et pouf, vous êtes maintenant protégé !

La documentation d'Anubis est très bien faite et complète. Vous pouvez modifier comme bon vous semble la configuration de ce dernier.

Là j'ai glissé Forgejo derrière Anubis, car c'était vraiment l'outil le plus sollicité, mais vous pouvez facilement y glisser d'autres applications !

Sur ce, portez-vous bien, moi je vais aller faire une PR pour améliorer le botPolicies d'Anubis :D

Photo de Benedikt Jaletzke

[1]	Petite définition : un user-agent et un entête HTTP permettant d'identifier un programme navigant sur le web. Vous pouvez le définir comme vous voulez, car il n'y a aucune vérification possible. Je peux par exemple dire au programme `curl` que c'est un Google Chrome sous Windows 11.

L'IA et Forgejo

Dryusdan — Tue, 08 Apr 2025 14:56:00 +0200

Tout comme Lord, je suis tombé sur un article défendant l'IA mais avec un argument accusateur : "Laisser l'IA apprendre : une position éthique".

Laisser l'IA apprendre : une position problèmatique

Je suis tombé sur cet article de blog : Laisser l'IA apprendre : une position éthique et il m'a pas mal hérissé et donc j'avais envie de répondre. Je sors donc mon clavier et c'est parti ! Richard Dern, l'auteur du blog raconte comment il est passé de méfiant à utilisateur réfléchi (mais bon à le lire je dirai même convaincu). On arrive donc à la partie 4 titrée « Pourquoi se pose-t-on cette question ? » ; la question étant « Comment bloquer l'accès de votre site aux scrapers d'IA ? ». Il énonce 4 raisons couramment données :

Je ne vais pas vraiment m'étendre sur le sujet, Lord en a parlé dans son article et ma vision en reste très proche. Les commentaires m'ont fait sourire, mais j'y reviendrais. Je vais plutôt parler technique et surtout un retour d'expérience.

Si vous trainez sur IRC (sur Geeknode ou Hostux voir même sur DryIRC (je m'aperçois que je n'en ai pas fait la promo :o)) vous avez sûrement dû me voir pester TRÈS fortement sur des attaques DDoS et ce n'est pas un terme utilisé à la légère.

Il va falloir un peu de remise en contexte. Depuis quasiment un an, je constate un TRÈS fort trafic sur Forgejo (ma forge logicielle, d'ailleurs y a tout plein de playbook ansible et d'application et même des plugins Pelican, servez-vous :D). Ce trafic provient de Facebook, AWS selon les IPs (AS) et les User Agent. J'aperçois un peu de ByteDance (TikTok). Ça tabasse Forgejo mais "ça va". Mais ça va un jour, deux jours, trois jours... Puis ça commence à me gonfler, qu'est-ce que Facebook et ByteDance ont à foutre de mon code sérieux ? Et puis en quoi c'est suffisamment important pour générer 50% de mon trafic web à eux deux ? L'impact est "minime", 50% de mon trafic web c'est 33 requêtes par secondes (1980 requêtes par minute, ça va l'infrastructure le supporte). Enfin minime on parle de quelques centimes d'électricité chaque mois parce que Forgejo chauffe un peu, 15% du CPU environs. Ça me soule, je dégomme ça directement dans HAProxy.

Empêcher les IA de siphonner votre site grâce à HAproxy

Tout redevient calme, ça me va. Quelques mois plus tard, ma supervision m'alerte comme quoi un service est inaccessible pendant 5 minutes la nuit. Pièce centrale d'une bonne partie de mes services (oui c'est un SPOF), mais n'ayant pas de temps disponible là tout de suite et puis "c'est que 5 minutes à 2h30 du mat pendant les sauvegardes ça va", c'est arrivé une fois... Je remise donc le diagnostic à plus tard. Les coupures sont de plus en plus fréquentes, on passe d'une fois aléatoirement à deux fois par nuit très rapidement. Je regarde brièvement mais sans trop chercher. Après tout c'est mon infra perso, ça arrive quand personne ne l'utilise, tant pis. Mon serveur git est quand même premier sur mon "Top requested domains".

Sauf que bien sur, et ça je le savais pourtant par expérience, laisser un problème dans un coin c'est le laisser pourrir et donc de le voir empirer. L'alerte devient de plus en plus fréquente. Mais l'alerte n'est pas seule et pendant une mise à jour que j'effectuais sur le serveur BAM plus d'accès à ma machine.

Presque aussitôt un proche qui utilisait un service m'envoie un SMS "Hey, c'est pété". Bon, bah là j'ai pas le choix.

Un autre terminal ouvert aussi en SSH survit et je fais le diagnostic basique :

uptime
sar -u 1
top

Hum, j'ai un ffmpeg et Minecraft qui tourne, mesure d'urgence, ça dégage. Le serveur respire de nouveau. Je sais que le problème ce n'était pas eux, mais j'ai plus de problème.

Quelques minutes plus tard le serveur galère de nouveau avec une load normalisé à 112,5, plus rien ne répond. Impossible de récupérer la main sur mon serveur. Ça timeout... Je laisse donc le serveur 20 minutes dans les choux, de toute façon je ne peux rien faire. Ça va, c'est pas bien grave, c'est ma musique et la thèse de ma compagne qui sont impactés par cette indisponibilité. Après 20 minutes j'arrive difficilement à accéder au serveur, mais hormis constater avec Prometheus que lui-même était mort j'ai RIEN. À vrai dire j'ai sysstat qui s'est lancé et je découvre que le proc a été bouffé à 100% par un utilisateur. Bye bye la panne machine donc. Je vois aussi grâce à Loki que ma forge logicielle semble ciblée. C'est curieux, forgejo est résistant pourtant et HAProxy en frontal est, d'expérience, indestructible. Bon, je farfouille les logs et je découvre que Forgejo se fait dégommer, toutes les requêtes qu'il subit sont faites vers des URL bizarres... Forgejo qui indique entre deux lignes de log qu'il n'arrive plus à gérer le cache et que certaines connexions sont abandonnées avant qu'il ai le temps de répondre. Donc les 700 requêtes par secondes sur Forgejo curieusement il kiff pas (NO SHIT). Petite configuration dans HAProxy, je limite le nombre de connexion vers Forgejo, je glisse le reste en "file d'attente" et je timeout la file d'attente très rapidement. Oui, je m'impacte directement... Ça commence à me gonfler, mais au moins je n'ai plus d'alerte pendant 1 semaine.

Vous avez bien lu, 1 semaine de répit, YOUPI. Je vous laisse deviner, ça a été l'apocalypse ensuite.

Avant de continuer, petite interrogation quand même : Pourquoi uniquement forgejo ? Et pourquoi je mentionne l'IA dans mon titre ? C'est vrai, j'ai pas mal de ressource accessible, plutôt intéressante et bien écrit, je pense à mon blog (😁) mais également open-freax ou encore Von, alors pourquoi tabasser ma forge logicielle ? Parce qu'il a été découvert que pour affiner l'IA et ajouter une sorte de logique il faut du code !

(Pour ceux qui n'arrive pas à lire la vidéo voici le liens : https://www.youtube-nocookie.com/embed/AfgAEIK9F8c?start=672 )

J'ai eu de plus en plus de forte charge. 700, 900, 1000 requêtes par secondes... Jusqu'à 4000 requêtes par secondes. Le serveur s'écroule de nouveau bien sûr. J'arrive à voir ce qui coince : HAProxy et Crowdsec. Oui, j'ai branché HAProxy sur Crowdsec et erreur courante je l'ai mis en live et non en stream donc chaque nouvelle IP équivalait à une requête vers Crowdsec. Je tique, comment ça chaque nouvelle IP ? Genre j'ai 100 000 nouvelles IPs par minutes qui débarquent ?! Bingo... En fait il y a deux choses, la stick-table n'est pas assez grande pour tout stocker ET j'ai bien 80 000 IPs différentes. J'essaye de fixer mon mécanisme de protection et passer en stream mais rien n'a faire, à l'attaque suivante ça s'écroule. Je finis par dégommer le lien Crowdsec — HAProxy à contrecœur et désactiver l'option captcha. Oui certains proches arrivaient à déclencher le captcha et ça m'évitait donc de devoir les débloquer manuellement.

Et ça a fonctionné, donc j'ai eu ENCORE plus de requête et donc l'infra c'est naturellement écroulé. Logique en même temps, j'ai 4 000 requêtes par secondes pendant quelques minutes, HAProxy collait les connexions en file d'attente, ça saturait ses pools et vu les "maigres" ressource physique que j'ai à ma disposition et bien je ne peux pas supporter plus. J'ai donc plusieurs options qui s'offre à moi :

Migrer mon code sur Framagit et coller ma forge derrière un SSO
Mettre un CDN comme CloudFlare en frontal
Bloquer comme je peux.

Pour l'option 2 c'est hors de question, bien que je comprennes que pour se protéger de tout ça, un CDN avec un "Proof of Work" qui te demande de cliquer fonctionne...

L'option 1 non, mon instance forgejo c'est pour moi et aussi pour les autres. Tout déplacer sur Framagit c'est un taff monstrueux et ça va venir me casser les pieds de devoir bypass le SSO en CLI.

Donc il me reste plus que bloquer comme je peux. Mais comment ? Avec une allow list ? Une deny list ? Et sur quel critère ? Comment ? Comme dit plus haut, j'ai 80 000 IPs en une minute, donc le blocage IP c'est inutile. Le user agent ? On peut mentir avec et puis ceux-là ne me parle que de... Windows 95 avec Chromium ? Heuuuu... Et bah voilàààààà

1 Mozilla/5.0 (Windows NT 6.0; cv-RU; rv:1.9.0.20) Gecko/2918-07-10 04:40:19.053303 Firefox/11.0
1 Mozilla/5.0 (Windows NT 6.0; cs-CZ; rv:1.9.2.20) Gecko/3588-01-30 14:43:02.298790 Firefox/3.6.14
1 Mozilla/5.0 (Windows NT 6.0; brx-IN; rv:1.9.1.20) Gecko/9696-01-11 17:31:49.584930 Firefox/15.0
1 Mozilla/5.0 (Windows NT 6.0; bg-BG; rv:1.9.0.20) Gecko/8595-09-13 14:53:04.249512 Firefox/3.6.8
1 Mozilla/5.0 (Windows NT 6.0; az-AZ; rv:1.9.2.20) Gecko/6751-01-17 16:30:55.867737 Firefox/3.8
1 Mozilla/5.0 (Windows NT 6.0; ar-DZ; rv:1.9.2.20) Gecko/5519-07-23 09:07:44.640991 Firefox/3.6.7
1 Mozilla/5.0 (Windows NT 6.0) AppleWebKit/536.2 (KHTML, like Gecko) Chrome/63.0.886.0 Safari/536.2
1 Mozilla/5.0 (Windows NT 6.0) AppleWebKit/536.2 (KHTML, like Gecko) Chrome/41.0.825.0 Safari/536.2
1 Mozilla/5.0 (Windows NT 6.0) AppleWebKit/536.2 (KHTML, like Gecko) Chrome/38.0.823.0 Safari/536.2
1 Mozilla/5.0 (Windows NT 6.0) AppleWebKit/536.1 (KHTML, like Gecko) Chrome/58.0.858.0 Safari/536.1
1 Mozilla/5.0 (Windows NT 5.2; bg-BG; rv:1.9.2.20) Gecko/6144-04-13 09:46:39.179108 Firefox/3.8
1 Mozilla/5.0 (Windows NT 5.2; ar-BH; rv:1.9.2.20) Gecko/9990-07-19 08:59:31.454987 Firefox/3.6.5
1 Mozilla/5.0 (Windows NT 5.1) AppleWebKit/531.0 (KHTML, like Gecko) Chrome/39.0.820.0 Safari/531.0
1 Mozilla/5.0 (Windows NT 5.1) AppleWebKit/531.0 (KHTML, like Gecko) Chrome/33.0.894.0 Safari/531.0
1 Mozilla/5.0 (Windows NT 5.1) AppleWebKit/531.0 (KHTML, like Gecko) Chrome/32.0.870.0 Safari/531.0
1 Mozilla/5.0 (Windows NT 5.1) AppleWebKit/531.0 (KHTML, like Gecko) Chrome/19.0.863.0 Safari/531.0
1 Mozilla/5.0 (Windows NT 4.0) AppleWebKit/531.0 (KHTML, like Gecko) Chrome/18.0.856.0 Safari/531.0
1 Mozilla/5.0 (Windows NT 11.0; xh-ZA; rv:1.9.2.20) Gecko/7467-01-26 14:00:37.052307 Firefox/9.0
1 Mozilla/5.0 (Windows NT 11.0; vi-VN; rv:1.9.0.20) Gecko/6515-08-12 17:33:35.702820 Firefox/3.6.12
1 Mozilla/5.0 (Linux; Android 2.3.2) AppleWebKit/533.0 (KHTML, like Gecko) Chrome/60.0.827.0 Safari/533.0
1 Mozilla/5.0 (Linux; Android 2.3.2) AppleWebKit/532.1 (KHTML, like Gecko) Chrome/45.0.864.0 Safari/532.1

Vous aurez vite compris, je ne vous ai pas mis toutes les requêtes mais quelques-unes. Et de ça j'ai sorti un pattern pour bloquer les bots. C'est pas parfait, un pote sous Windows 10 a été bloqué (c'est fixé) mais au moins ma forge respire.

Juste après avoir bloqué tout ça dans HAProxy, j'ai vu passer de nouveau 2000 requêtes secondes puis plus rien. De temps en temps (comme aujourd'hui) j'ai de nouveau des tentatives, mais comme HAProxy répond direct par un 403, je n'ai plus de saturation de mes pools de connexion.

En résumé, j'ai perdu plusieurs jours à essayer de palier à des attaques incessantes (oui, dans mon métier, saturer un système au point de le rendre indisponible à partir de multiple point ça s'appelle un DDoS (Attaque par déni de service)) d'entreprises souhaitant juste profiter de mes "connaissances" et "créations". Ces entreprises ne respectent ni mes ressources matérielles, ni réseau, ne respecte pas la base du web et même vont mentir sur leurs noms. J'ai dû couper des services, réduire la simplicité d'utilisation et donc augmenter le "support" auprès de mes proches. J'ai également vu une augmentation de ma facture électrique d'environs 1€ avec des pics à 150W alors que ma machine consomme entre 40W et 80W.

Pour que quelqu'un d'autre se fasse du fric, j'ai dû perdre du temps, de l'argent et du confort pour moi et mes proches.

À quel moment on juge ça normal ? Demain vous avez Bernard Arnaud qui demande à venir dans votre voiture pour aller à l'autre bout de la ville (là où vous n'allez pas) mais en dégageant tout le monde de votre voiture sauf vous, en chiant sur le fauteuil et en se barrant sans rien dire vous trouveriez ça normal ?

Je m'en contre fou de savoir si l'IA générative va être un avantage pour l'Humain. Aujourd'hui je paye en temps et en argent ce que des connards vont monnayer ensuite sans que je touche un kopec.

Google, comme il a été mis dans les commentaires de Lord, ne m'a jamais dégommé l'infra comme ça. Les scrappers qui cherchent des failles non plus. J'ai bossé de nombreuse année dans l'hébergement web et j'ai JAMAIS vu le comportement décrit plus haut.

L'humain je l'aperçois depuis 2016 sur mon blog, sur DryCat même, JAMAIS il m'a mis à mal comme ça ET POURTANT l'infra est là pour les servir, partager et aider.

Bref, l'IA pose des problèmes sociétaux très grave et autant des problèmes environnementaux. Le système dans lequel on vit n'est pas là pour arranger le tout. Je ne cautionne pas l'IA, je suis même contre. Mais non content de constater que tout le monde s'en carre, je dois supporter en plus les couts de ces IA directement chez moi ? Et si je ne suis pas content j'ai qu'à avoir une infrastructure professionnelle à plusieurs centaines d'euros ? Go fuck yourself ! (Deep breath, calm down).

Please stop externalizing your costs directly into my face

Aucune description n'a été trouvé pour ce site.

Mon infra est designé par et pour des humains, pour un trafic raisonnable. Certes si demain l'intégralité du fediverse décide d'aller voir mon blog ça risque de chauffer un peu (C'est déjà arrivé ^_^) mais c'est le risque et je l'accepte. Mais j'en tire une satisfaction personnelle quand vous le lisez mon blog, quand vous laissez un petit mot sympa, partagez un article, posez une question... Quand c'est englouti par du code, pour profiter à quelques entreprises j'en tire que dalle, ni visite, RIEN, juste un abus de consommation. Ça sera vomi, plus tard, par du code ailleurs sans dire que j'ai mon infra et moi-même avons aidés.

Je sais que c'est le jeu du chat et de la souris et qu'il va falloir trouver d'autres méthodes à l'avenir et franchement, pas merci.

Allez, je vous laisse avec un petit article

La fin d’un monde ?

La fin d’un monde ? par Ploum - Lionel Dricot.

(je découvre d'ailleurs que je ne suis pas sur planet-gemini.fr :( )

EDIT: c'est bon j'y suis o:)

Photo de Chris Ried

Désolé pour le spam dans vos lecteurs RSS

Dryusdan — Tue, 08 Apr 2025 13:40:00 +0200

Je viens de rencontrer un problème lors de la génération automatique du site... 😅

Pour faire court, j'ai ni fixé la version des dépendances à Pelican, ni suivit les releases des dépendances (oups).

Bref, désolé 😅

Visionnage : Novocaïne

Dryusdan — Mon, 07 Apr 2025 23:33:00 +0200

Une fois n'est pas coutume, j'ai fait un tour au cinéma (mon PEL aussi et il ne s'en est pas remis) pour aller voir Novocaïne (interdit aux moins de 12 ans).

Novocaïne c'est l'histoire d'un type qui ne ressent pas la douleur et qui part sauver sa copine.

Ouai, le scénario ne vend pas du rêve mais... C'est terriblement drôle. Tout le concept du film repose sur du trash plutôt hardcore et sur un humour très bien dosé. Ce n'était à aucun moment lourd ni gras. Il n'y a pas 8 000 explosions, pas de concours de testostérone, pas trop de sang inutile (ouai si vous êtes hémophobique évitez). Vraiment ce côté brut, héros mais pas super et encore moins héros j'aime bien.

On est pas sur un scénario de l'année, ni sur une morale qui force une remise en question, mais on ne s'est pas ennuyé une seule fois.

Plus j'y repense, plus ça me fait penser à Deadpool, c'est un humour totalement décalé, trash et en même temps très loin du super héros. Bien que l'humour de Deadpool est parfois plus lourd que celui de Novocaïne. C'est sympa à regarder, on rigole bien, on détourne le regard de temps en temps. Franchement c'est le genre de film que je regarderai de nouveau.

Je vous ai cherché la bande annonce "publicité" YouTube qui ne spoil rien (et c'était pas évident).

Franchement j'suis pas fan de gore mais ça m'a bien fait marrer et si vous pensez que c'est votre style, go for it hein, il y a de grande chance que vous passiez un bon moment :D

Sur ce, portez vous bien :)

Daily prompts 01 avril 2025

Dryusdan — Tue, 01 Apr 2025 13:37:00 +0200

None

(prompts)

Null !

Allez, plus sérieusement nous sommes à court de prompt ! N'hésitez pas à nous aider : https://semestriel.framapad.org/p/prompt-pour-blogger-aah5 😊

Créer son template de VM pour un cloud

Dryusdan — Tue, 01 Apr 2025 13:30:00 +0200

Debian 12.10 est sorti, je n'ai pas de système de génération d'image automatique (comme avec Packer) donc je dois regénérer une nouvelle image pour l'hyperviseur au boulot (Opennebula).

Je l'avais fais à l'époque pour Proxmox mais je n'avais rien noté... Donc autant s'y atteler maintenant !

Bon, en réalité j'ai tout noté dans mon wiki, il est prévu pour ça.

Créer un nouveau templ... | DryWIki

Télécharger l'image D'abord, nous téléchargons l'image cloud officielle. Pour Debian : Debian Offic...

Mais j'ai quand même deux commandes à partager :

cloud-init clean --logs
journalctl --vacuum-time=1s
rm -f /root/.ssh/authorized_keys /home/debian/.ssh/authorized_keys /home/ubuntu/.ssh/authorized_keys
history -c

On indique à cloud-init qu'il ne s'est jamais lancé, on dégomme tous les journaux (apt, boot etc...) et on vire l'historique et les clés SSH autorisées pour que ça fasse propre.

Petit plaisir du velotaff

Dryusdan — Wed, 19 Mar 2025 08:23:00 +0100

Daily prompts 17 mars 2025

Dryusdan — Mon, 17 Mar 2025 08:41:00 +0100

As-tu déjà écrit sur d'autres plateformes de blogging ?

(prompts)

Yep, avant j'utilisais Ghost. En soi le rendu est cool, le moteur de blog fonctionne bien et est bien efficace. La documentation de développement de thème est complète.

Mais entre les upgrades (très) fréquente et le fait que parfois, aléatoirement certaines mises à jour ajoute des dépendances (genre portal) qui apportent des dépendances externe et qui n'y a aucun moyen documenté pour empêcher ça c'est un poil gonflant. (Il y a un paramètre dans le fichier de configuration pour utiliser une version selfhost de portal).

Mine de rien, Ghost c'était 200Mo de RAM constant, sans compter la base de donnée. Et dans un esprit de lowtech, ça commençait à fortement m'agacer.

Daily prompts 14 mars 2025

Dryusdan — Sun, 16 Mar 2025 17:25:00 +0100

C'est quoi ton vélo préféré ?

(prompts)

Heuuuu... J'hésite... Tous ? 😇

Bon, à vrai dire mon fixie est mon préféré, je me le suis même fais tatouer sur le bras.

En seconde place y a mon Bullit ^^

Daily prompts 15 mars 2025

Dryusdan — Sat, 15 Mar 2025 10:08:00 +0100

Si tu as un blog, quelle plateforme utilises-tu pour gérer ton blog et pourquoi l'as-tu choisie ?

(prompts)

J'utilise Pelican, un générateur de site statique. L'énorme avantage est que je suis extrêmement libre sur tous ce que je veux faire. Par exemple le listing de prompt ou de notes sont une catégorie normal mais j'ai pu modifier le template pour que ces pages ai leurs aspects actuelle. Également, c'est tellement modulable que j'ai pu rentre le blog accessible sur Gemini et Tor (sans rien leak en dehors) sans grande modification

Le moteur de rendu utilise Jinja2, qui est le moteur de template de Ansible que j'utilise énormement. Pelican est en Python donc je peux très aisément développer des plugins dessus (comme le plugin jamming ou bookmarks).

C'est vraiment un excellent moteur de blog !

D'ailleurs tous est listé dans ma page /colophon

/colophon

Note finale d'un ouvrage écrit, fournissant les références de cet ouvrage et donnant les indications relatives à son impression. Yes, ça c'est du mot qu'on n'utilise pas souvent. Dryusdan.space se repose sur le CMS open-source Ghost. Le thème utilisé est Casper, un thème HandlebarJS développé par l'équipe de Ghost

Les oubliés de la supervision : Le DNS

Dryusdan — Mon, 10 Mar 2025 10:46:00 +0100

Quand on pense supervision, très souvent on pense à superviser l'état de la machine, la RAM dispo, l'espace disque occupé. À la rigueur les applications qui sont dessus voir même les sites web et dans un cas extrême les certificats x509.

Et le DNS alors ?

Le DNS (surtout le DNS faisant autorité), est un élément souvent très important de nos infras, à peine moins important que le serveur lui-même et son réseau. Pourtant il n'est que très faiblement supervisé. C'est vrai qu'une fois en place et configuré, on y touche très peu et c'est stable (surtout si on peut faire confiance à son prestataire).

Mais le DNS ce n'est pas qu'un seul prestataire. Il y a le fournisseur de service DNS faisant autorité, le bureau d'enregistrement et le registre. Vous avez donc au minimum 2 prestataire de service. Et si vous faites les choses bien, vous en avez un 3ème qui fournit des serveurs DNS secondaire, pour éviter que la panne d'un prestataire vous impact (oui, le DNS est très résilient).

Bref, à chaque brique un problème peut s'ajouter et parfois de manière pernicieuse. Les enregistrements DS (DNSSEC) qui sont supprimés ne protégeant plus votre domaine des DNS menteurs, votre DNS secondaire qui n'est pas mis à jour, le certificat poussé n'est plus le même que celui renseigné dans votre enregistrement TLSA (DANE)... Bien sûr j'avance pas ces idées avec des "Et si ?", "C'est possible j'vous jure", avant de creuser la supervision de mes DNS j'ai essuyé quelques incidents avec un prestataire.

L'enregistrement DS disparu

Ça c'est le plus grand scandale que j'ai rencontré, j'ajoute un nouveau serveur DNS chez mon bureau d'enregistrement qui envoie ça au registre, tout ce passe bien. 3 semaines plus tard je joue avec ZoneMaster et je découvre avec stupeur que la signature du domaine n'est plus validé, car les enregistrements DS ont disparu de chez le registre.

Le serveur secondaire qui vous empoisonne

Celui-ci n'a pas été facile à trouver, j'ai changé une IP d'un de mes enregistrements et pour une raison inconnue je voyais toujours l'ancienne. Je vide mon cache DNS, rebelote j'ai la mauvaise IP. Je vérifie sur mon serveur DNS principal, c'est pourtant la bonne IP. Je re nettoie mon cache DNS et POUF ça marche. Bon bah nickel, j'passe à autre chose... 2h passe ET BOOM ça re-casse avec le même problème... Je passe donc manuellement sur CHAQUE serveur DNS faisant autorité qui porte ma zone (principal et secondaire) et je découvre qu'un de mes serveurs secondaires ne s'étaient pas mis à jour. Bon, une petite défaillance, je relance un notify et ça passe. 3j plus tard je change une autre IP et je me fade le même problème.

Vous l'aurez compris, le coup du serveur DNS secondaire qui ne se met pas à jour, il aurait été monitoré je n'aurais pas cherché plus loin.

Le décomissionnement partiel d'un serveur DNS

Un petit dernier pour la route, suite à ma précédente découverte, j'ai dégagé ce serveur secondaire en retirant l'enregistrement NS de ma zone en oubliant totalement d'avertir le registre que je n'utilise plus ce serveur. Ça vous laisse quelques surprises aléatoires ensuite.

Mini-cours vite fait, pourquoi mon registre est censé connaitre mon enregistrement DS et mes serveurs DNS ?

C'est le fonctionnement de base du DNS, c'est récursif. Je vais prendre un exemple tout simple : dryusdan.fr.

Pour récupérer les données d'un enregistrement (TXT, OPENPGPKEYS...) il faut demander, mais à qui on demande ? C'est là que la récursivité rentre en compte. Comme je ne sais pas qui porte dryusdan.fr, je vais demander aux roots DNS (.) "qui porte fr. ?". Ils vont me répondre que c'est l'AFNIC. Je vais voir l'AFNIC et je lui demande "qui porte dryusdan.fr. ?". L'AFNIC va donc me répondre que c'est mes 7 serveurs DNS. Au passage l'AFNIC va me dire "la zone est signé par cette clé, donc si la signature (RRSIG) que le serveur va te répondre est invalide, tu considères que l'enregistrement n'est pas bon. J'arrive sur mes serveurs DNS (admettons ns1.lecygnenoir.info. histoire de vous épargner l'histoire de la GLUE) qui va enfin me filer la réponse que j'ai demandée.

Donc si là-dedans l'AFNIC connait un mauvais serveur DNS et que votre serveur récursif le contact, ça peut faire des pétales de maïs soufflé au chocolat.

Vous l'aurez compris, il faut monitorer, mais pour ça il faut savoir ce qu'il faut monitorer. J'ai noté tout ça :

L'expiration du nom de domaine (c'est con mais ça arrive)
La cohérence entre la liste des NS connu au niveau registre et dans notre domaine
Le serial (présent dans le SOA) identique sur chaque serveur autoritaire (pour éviter le serial drifting)
La validation du DNSSEC
La cohérence entre vos enregistrements TLSA et vos certificats (bah ouai, vaut mieux éviter de péter les mails pour un oubli comme ça)

D'ailleurs si vous chercher à mettre en place DANE (TLSA) je ne peux que vous recommander l'article de Codimp.

L'avantage de Debian c'est qu'il existe des paquets déjà existant pour superviser vos enregistrements TLSA et DNSSEC : dnsutils qui nous fournit le binaire delv et hash-slinger qui nous fourni le binaire tlsa. Il y a plus qu'à construire des scripts autour !

Comme il s'agit de script orienté pour Zabbix, j'utilise des outputs 0 ou 1 mais vous pouvez facilement modifier ça.

check-dnssec.sh :

#!/bin/bash
# Zabbix utility to check if domain is OK
delv "${1}" 2>/dev/null | grep -q "fully validated" && echo 0 || echo 1

0 signifie que le domaine est correctement signé
1 signifie qu'il y a un problème

check-tlsa.sh :

#!/usr/bin/env bash
## author      : Dryusdan
## date        : 30/05/2024
## description : TLSA check
## usage       : ./check_tlsa example.tld

SUBDOMAIN="${1}"

if [ -z "${SUBDOMAIN}" ]; then
  echo "Subdomain name must be defined" 1>&2
  exit 1
fi

for port in $(jq -r '.[]."'"${SUBDOMAIN}"'".ports[]' /etc/dane_tlsa.conf | cut -d'.' -f 1 | sed "s/_//g" | sort | uniq)
do
    if ! tlsa --verify --port "${port}" --protocol tcp "${SUBDOMAIN}" 1>/dev/null
    then
        echo "1"
        exit 1
    fi
done

echo 0

Lui il est un poil plus velu à mettre en place. Le script tout pareil renvoie 0 si c'est bon et 1 si y a un souci. Mais le truc le plus important est le fichier /etc/dane_tlsa.conf. De mon côté il est généré automatiquement via Ansible (avec ce playbook). Dans l'idée je récupère toute la liste des ACL "domain" géré par HAProxy et par Nginx puis je combine les données avec la variable dane_custom_config de cette manière:

---
dane_custom_config:
  - "irc.dryusdan.net":
     ports:
       - "_443._tcp"
       - "_6697._tcp"
     ttl: 3600
     enabled: True
  - "dryusdan.im":
     ports:
       - "_443._tcp"
       - "_5223._tcp"
       - "_5270._tcp"
       - "_5349._tcp"
     ttl: 3600
     enabled: True

Pour finir par générer un fichier comme ceci :

[
    {
        "dryusdan.space": {
            "enabled": true,
            "ports": [
                "_443._tcp"
            ],
            "ttl": 3600
        },
        "irc.dryusdan.net": {
            "enabled": true,
            "ports": [
                "_443._tcp",
                "_6697._tcp"
            ],
            "ttl": 3600
        }
    }
]

Une fois ça fait, quand on lance check-tlsa.sh dryusdan.space, le script récupère ce fichier et essaye chaque port tcp indiqué, et si un échoue ça retourne 1.

Pour récupérer la liste des sous domaine je lis ce fichier et récupère toutes les clés (avec Ansible)

Pour vérifier l'expiration des domaines, initialement j'utilisais WHOIS... Mais je suis tombé sur RDAP qui permet de simplifier tout ça... Pour les registres qui le supporte (bien sûr, sinon ça serait trop facile). J'ai donc pris le code de l'AFNIC que j'ai un poil adapté pour Zabbix tout en supportant whois en fallback. Il n'a aucune particularité autre que retourner un exit code à 0 ou 1 : domain_expire.py. Ça ne fonctionne pas avec le .eu qui a un whois très pauvre et ne supporte pas le RDAP.

De manière identique, le script check_ns_whois.py parsait le retour du whois pour récupérer les serveurs. Au final j'ai réecrit ça grâce au script domain_expire. Je récupère les domaines grâce au RDAP et sinon je fallback sur le whois... Avant de me rendre compte que je peux récupérer les NS que renvoie directement le serveur DNS du TLD (et au final j'aurais pu éviter le rdap mais bon, c'est fait).

Le serial est la dernière chose qu'il manque ici pour la liste des choses à monitorer. Pour rappel, le serial est un élément d'un enregistrement de type SOA (pour Start Of Autorithy). Le fonctionnement est assez simple et l'outil ne dépend que de la librairie DNS python. L'outil n'est pas de moi mais fonctionne très bien et est bien expliqué. Les sources sont disponibles sur Github

Pour ceux qui utilisent Zabbix, j'utilise un playbook ansible pour le populer tout ça mais ça veut dire que j'ai des userparams pour ça :)

UserParameter=dns.domains.discovery,data=$(echo {\"data\":[]});for domain in $(cat /etc/zabbix/check_config/domain_list.txt);{%- raw -%}do data=$(echo ${data} | jq '.data += [{"{#DOMAIN}": "'${domain}'"}]'); done{%- endraw -%};echo "${data}" | jq -cr
UserParameter=dns.subdomains.discovery,data=$(echo {\"data\":[]});for domain in $(cat /etc/zabbix/check_config/domain_list.txt /etc/zabbix/check_config/subdomain_list.txt | sort | uniq);{%- raw -%}do data=$(echo ${data} | jq '.data += [{"{#SUBDOMAIN}": "'${domain}'"}]'); done{%- endraw -%};echo "${data}" | jq -cr
UserParameter=dns.serial_drift[*],/usr/local/bin/check_serial/check_serial.py -t 1 -m mul.dryusdan.fr $1 >/dev/null; echo $?
UserParameter=dns.ns_diff[*],/usr/local/bin/check_ns_whois/check_ns_whois.py $1 >/dev/null; echo $?
UserParameter=dns.expire[*],/usr/local/bin/check_ns_whois/domain_expire.py --domain $1 2>/dev/null
UserParameter=dns.check_dnssec[*],/usr/local/bin/check_dnssec/test-dnssec.sh $1 2>/dev/null
UserParameter=dns.tlsa[*],/usr/local/bin/check_tlsa/check_tlsa.sh $1 2>/dev/null

Bien sur il faut le template adapté (présent aussi sur mon git).

Aujourd'hui c'est un article moins fun. Il reste technique mais... Pas de la même veine que d'autres de mes articles. Mais ça reste utile techniquement.

Sur ce, portez-vous bien.

Photo de Ibrahim Boran

J’ai testé 12train

Dryusdan — Sun, 09 Mar 2025 10:51:00 +0100

C’est toujours sympa de tester des nouvelles choses et aujourd’hui (enfin hier) c’était 12train.

Ce que je vais retenir c’est que réserver un billet pour 3 personnes (enfin 3 billets du coup) à été plus rapide en enregistrant tout le monde à la main et en tapant la carte bleu (à grand coup de copier coller) sur 12train plutôt que de cliquer 5x sur suivant puis payer avec Apple Pay sur sncf-connect.

À voir si utiliser un autre navigateur que Firefox Focus permet d’avoir plus d’auto complétion ou avoir Apple Pay.

J’avoue que si je devais raler, il manque juste l’enregistrement de profil pour faire de la sélection rapide mais ça c’est plus de la faute des amis avec des noms à rallonge et de la sncf qui impose les réservations des billets TER avec des identités complètes.

Sur ce, bonne journée o/

Rétrospective de février 2025

Dryusdan — Fri, 07 Mar 2025 09:35:00 +0100

C'est parti pour la retrospective de février. o/

Comme la dernière fois, on commence par les chiffres.

Données	Valeurs	Tendances
Cafés bu	107	📉
Commit réalisés	325	📈
CD acheté	0	📉
Article rédigé	0	📉
Articles et notes rédigés	1	📉
Total de mots	334	📉
Temps de lecture (183 mots par minute)	2 minutes de lecture	📉
Trafic généré	11,23Go	📉
Liens partagé sur Dryusdan.link	12	📈
Kilomètres à vélo	303,27	📉

Je cherche un nouveau travail !

Ha et j'ai une nouvelle année au compteur.

J'ai pas grand chose à raconter ce mois ci ^^

Sur ce, portez-vous bien.

Photo Daniel Lerman

Daily prompts 04 mars 2025

Dryusdan — Tue, 04 Mar 2025 07:40:00 +0100

C'est quoi tes/les excursions urbex qui t'ont le plusse marqué ?

(prompts)

Je n'en fais pas ! Mais j'ai découvert deux Youtubeur qui en fond et les photos sont très impressionnantes. Il s'agit du duo Hit the Road ;)

Je vous met une de leurs vidéos ici. Vraiment les images sont vraiment jolie et travaillé !

Daily prompts 27 février 2025

Dryusdan — Thu, 27 Feb 2025 10:23:00 +0100

Là, comme ça, qu’est est le dernier jeu que t’as apprécié·e

(prompts)

ENCORE ?

Cyberpunk 2077... Je vous ai dis que je le joue pour la 4ème fois en mode hardcore ?

...

Allez, j'vais trouver autre chose.

Un jeu que j'avais beaucoup apprécié : Dust: An Elysian Tail.

Un action RPG que j'ai trouvé vraiment sympa à jouer et là fin m'a un peu ému. On est sur une recherche de son identité bien sûr (j'ai l'impression que c'est ma ligne éditoriale).

C'est dispo sur Linux, Mac, Windows, Switch et trouvable sur Gog ou Steam :)

Daily prompts 25 février 2025

Dryusdan — Tue, 25 Feb 2025 17:02:00 +0100

Les cadeaux de Noël sont déjà en rayon. Tu vas craquer ou tu t'en fous de Noël ?

(prompts)

C'est tôt cette année dit donc oO

Daily prompts 24 février 2025

Dryusdan — Mon, 24 Feb 2025 10:05:00 +0100

Les jeux vidéos qui t'ont marqués à vie.

(prompts)

Cyberpunk 2077 !

Je suis à ma 4ème run, cette fois ci en hardcore et Cyberpunk 2077 arrive toujours à autant me remuer.

Instant jeux vidéo : Cyberpunk 2077

⚠️ Attention, cet article contient des élements pouvant vous spoiler le jeu. S'il y a un jeu qui m'a beaucoup marqué ces dernières années, c'est Cyberpunk 2077. Un petit résumé pour ceux qui ont suivi de très loin le jeu, qui n'ont entendu parler que des bugs (dont j'ai été épargné …

Daily prompts 23 février 2025

Dryusdan — Mon, 24 Feb 2025 09:58:00 +0100

Quelle est la randonnée que tu as préféré faire ?

(prompts)

Dans un tout premier temps je pensais à ma sortie avec des amis, du VTT en étant ado pour faire Gétigné - Tiffauge. En vrai, on avait rien planifié, on allait là où le chemin semblait intéressant ^^

Puis je me suis souvenu à la marche autour de Camaret-sur-Mer, un moment sympa avec ma compagne tout en profitant du paysage et de la nature qui reprend progressivement ce qui lui a été retiré pendant la guerre.

J'ai le début de mon épreuve d'ultra cyclisme qui était superbe... Mais je me suis blessé, c'est donc pas ma préféré.

Au final je vais mettre mon escapade de 2j en Bretagne ! Mais je vais vous mettre le lien vers cet article ;)

Mon premier voyage à vélo réussi !

J'ai plusieurs fois (trois fois) tentés de voyager à vélo. Mais chaque voyage n'était pas réellement couronnés de succès. Je me fixais des objectifs atteignables mais compliqués, sans trop m'écouter. La première fois j'ai embarqué mon vélo et la remorque. Autant vous dire que la vélodyssée à vélo avec une …

Daily prompts 22 février 2025

Dryusdan — Mon, 24 Feb 2025 09:50:00 +0100

C'est quoi ton sport préféré ?

(prompts)

Le vélo !

Daily prompts 21 février 2025

Dryusdan — Mon, 24 Feb 2025 09:29:00 +0100

Quelle est la photo que tu as prises dont t'es ela plusse fier'e ?

(prompts)

J'en ai fais un paquet, mais même si j'aime bien les compositions des photos du musée "Stratt art", la beauté de ces photos repose principalement sur l'oeuvre elle même.

Alors je suis revenu sur les bateaux de Camaret-sur-Mer.

Je n'arrive pas à me décider entre les deux l'une d'elle est cramé mais la couleur du bateau est plus proche de la réalité. À l'inverse l'autre est plus petite et trop centré sur le bateau.

En écrivant un autre article je suis tombé sur celle ci aussi que j'aime beaucoup. Entre Douardenez et le moment, je la trouve superbe

Daily prompts 19 février 2025

Dryusdan — Mon, 24 Feb 2025 09:17:00 +0100

Quel album de quel artiste dont t'as aimé chaque morceau sans exception ?

(prompts)

Procès verbal de Davodka.

J'aime bien son style, ses musiques et on peut rajouter à ça une petite attention à son album physique qui possède des musiques non disponible sur les plateformes de streaming ;)

Daily prompts 16 février 2025

Dryusdan — Mon, 24 Feb 2025 09:14:00 +0100

Dans quelle mesure pensez vous réduire vos déchets ?

(prompts)

Houla heuuuu... On fait un effort considérable.

Très peu de commande sur internet, peu de course alimentaire en dehors de notre épicerie vrac locale.

Ça aide pas mal... Après prendre une pizza surgelé ça remplis déjà la poubelle en carton et plastique -.-

Je vais dire "On fait au mieux mais peut mieux faire quand même"

Daily prompts 13 février 2025

Dryusdan — Mon, 24 Feb 2025 09:05:00 +0100

Quel avantage non-officiel de votre boulot préferez-vous ?

(prompts)

Le temps libre ! Je dois avoir environs 35h de temps libre sur 38h12 de travail en présentiel par semaine.

Sans déconner j'en peux plus, c'est pour ça que j'ai fais appel à vous... Et puis je ne suis pas super bien payé non plus, donc même louer un serveur ou acquerir du matos d'occas c'est 2 mois d'économies minimum... C'est compliqué quand on veut jouer un peu avec sa passion ^^'

Daily prompts 12 février 2025

Dryusdan — Mon, 24 Feb 2025 08:59:00 +0100

Si tu pouvais être une créature de fiction, ce serait la-quelle ?

(prompts)

Un chat ! Y en a toujours, dans les fictions ou pas d'ailleurs (ok, peut-être pas dans Le Seigneur des Anneaux).

Daily prompts 11 février 2025

Dryusdan — Mon, 24 Feb 2025 08:56:00 +0100

Là, comme ça, qu’est est le dernier film que t’as apprécié·e

(prompts)

Je vais tricher et parler d'un film que j'ai vu ce week-end et pas le 11 février

The Wild Robot ! Nommé Le Robot sauvage en Français et Robot sauvage pour nos ami⋅es québécois⋅es.

Je n'arriverai pas tant à vous le décrire là comme ça, et n'importe quel synopsis est dispo sur Wikipedia. Mais j'ai trouvé la direction artistique magnifique et le film est très touchant (et quand je dis très touchant il m'a arraché des larmes à plusieurs reprises è_é).

Bref, foncez et regardez-le !

Daily prompts 08 février 2025

Dryusdan — Mon, 24 Feb 2025 08:55:00 +0100

Là, comme ça, qu’est est la dernière musique que t’as apprécié·e

(prompts)

Alors la dernière je sais plus trop, mais je vais dire Mirage de Yuston XIII.

J'aime bien le rythme et le style

Friendly reminder : faites des backups !

Dryusdan — Fri, 07 Feb 2025 17:35:00 +0100

Faites des backups !

Vraiment !

J'attends...

... Allez ! Je rigole pas è_é

Bon, plus sérieusement aujourd'hui elles viennent de sauver plus de 48h d'heure d'audio et de retranscription pour une thèse. Une sombre histoire de dossier que j'ai supprimé (oups) par mégarde.

Mais alors, comment sont effectués mes sauvegardes ? Parce que dire "oui, faites des sauvegardes !" ces mignons 5 minutes mais ça ne vous aide pas à savoir comment faire.

J'utilise Borg, il est simple, redoutablement efficace, peu gourmand en espace disque et Borg apporte une couche de chiffrement.

Alors oui c'est une CLI, mais si j'en parle c'est qu'il n'y a pas qu'une CLI !

Il existe Borgmatic qui est une CLI aussi (oups).

Bon, en vrai il existe VortaBackup comme interface graphique pour sauvegarder ses données. C'est compatible Linux et MacOS facilement sans bidouille et Windows en bricolant un peu. Le site l'explique bien cependant.

Comme c'est chiffré j'utilise Hetzner storagebox qui ont même fait un tuto. Mais il y a d'autres listés sur le site de Borg.

Vraiment c'est pas compliqué à mettre en place (enfin je trouve), c'est efficace et on l'oublie assez rapidement jusqu'au moment où on en a besoin (et vraiment ça sauve) :D

Sinon dans les autres options possible si vous êtes sous MacOS, si la box de votre FAI le supporte (comme la FreeBox POP) vous y collez un disque dur externe, activez le support d'Apple dessus et configurez TimeMachine sur votre PC et zou vous avez une sauvegarde par heure.

Ha et si vous avez envie d'essayer le "cloud" d'Hetzner j'ai un referal link qui vous donne 20€ :) (et je l'ai listé dans mon /save)

/save

Une liste de liens de référence et de codes de réduction pour les produits que vous recommandez /save sur slashpage Une page excessivement vide dans mon cas. Mais j'ai quand même un lien. Un referal link chez Hetzner qui vous offre 20€ de crédit sur leur gamme cloud. Et si

Daily prompts 06 février 2025

Dryusdan — Thu, 06 Feb 2025 09:49:00 +0100

Quel artiste musical souhaites-tu faire découvrir ?

(prompts)

Hum... Un autre artiste ?

Connaissez vous Deadi ? C'est un artiste que j'ai découvert dans un feat de Euphonik et Davodka. Il arrive à mixer pop-culture, hip-hop et rythme avec une aisance impressionnante.

Franchement j'aime bien, ça s'écoute très facilement même sur à vélo (avec une enceinte bien sur) :D

Daily prompts 05 février 2025

Dryusdan — Thu, 06 Feb 2025 09:00:00 +0100

As-tu un·e artiste méconnu·e que tu aimerais partager ?

(prompts)

J'ai beaucoup hésité à répondre à ce prompt. Je me disais qu'encore une fois recommander des artistes musicaux booon...

Mais un artiste ce n'est pas qu'un musicien en fait... Mais oui !

Du coup je partage mon vélociste 😁 Il fait des sculptures avec des vieilles pièces de vélo. C'est vraiment très beau

L'Art Cyclique de Marko

Aucune description n'a été trouvé pour ce site.

Il a aussi un Instagram (faut que je fasse du lobying pour naopix)

Rétrospective de janvier 2025

Dryusdan — Tue, 04 Feb 2025 15:41:00 +0100

C'est parti pour la retrospective de janvier. o/

Comme la dernière fois, on commence par les chiffres.

Données	Valeurs	Tendances
Cafés bu	110	📈
Commit réalisés	304	📈
CD acheté	3	📈
Article rédigé	1	=
Articles et notes rédigés	10	📈
Total de mots	2218	📉
Temps de lecture (183 mots par minute)	12 minutes de lecture	📉
Trafic généré	12,63Go	📉
Liens partagé sur Dryusdan.link	8	📈
Kilomètres à vélo	388,74	📈

J'ai un nouveau tatouage o/

Ce mois-ci j'ai vu deux séries : "Arcane" et "Cyberpunk Edgerunner". Sans déconner, les deux arrivent à me remuer.

Pour la musique, je commence à lentement sombrer dans l'achat de CD, je suis parti pour me faire mon cloud musical à moi. C'est principalement motivé par des choix politiques, déjà avec ce qui se passe aux US mais aussi pour aider les artistes, surtout s'ils sont indépendants et pour finir arrêter avec ces plateformes qui, du jour au lendemain, peuvent faire disparaitre un titre. Et puis c'est sympa les disques, j'y découvre des goodies, des affiches, mais aussi quelques chansons uniques introuvable sur le web. Franchement c'est une petite attention qu'on oublie vite avec l'abondance des plateformes.

Côté informatique j'ai commencé à patcher quelques libs public (3 patchs) et j'ai reçu ma première issue sur un des outils que je développe o/ J'ai aussi report quelques bugs à Opennebula.

J'apprends ci et là que pas mal de personne me lisent plus ou moins régulièrement, je trouve ça cool, vraiment, de savoir que je raconte suffisamment de truc intéressant pour que les gens s'abonnent !

Je pense que je vais finir sur une note moins joyeuse. L'extrême droite est de plus en plus présente et l'un des pays les plus puissants au monde a viré au fascisme en moins de 8h menaçant ainsi des milliers de personnes. Sans déconner ça va nous tomber dessus très rapidement. Oui on a déjà l'extrême droite en France qui est particulièrement violente sur le fond comme sur la forme, qui stigmatise et attaque les plus démunis ainsi que les femmes et les personnes racisés. Oui la presse est déjà gangréné par l'extrême droite et maintenant même les réseaux sociaux qui ont une très grande influence sur notre société donnent les pleins pouvoir aux fachos. Les sites vitrine par Facebook et Instagram, les horaires par Google, les communications officielles des institutions par X ou Facebook. Oui, notre société en est dépendante. Et cette dépendance couplée aux algorithmes donne la pleine visibilité aux fachos qui se sentent plus représenté, plus nombreux plus légitime et donc plus dangereux pour tous⋅tes. Avec ce qui se passe aux USA, la phrase "je n'ai rien à cacher" résonnent amèrement aujourd'hui. On ne va pas y échapper, mais on a moyen de s'en protéger aujourd'hui. Quitter les plateformes, proclamer son indépendance en utilisant des outils libres (je pense à XMPP pour discuter), rendre accessible tout un tas de ressource au travers du réseau TOR, archiver et partager les connaissances via Bittorrent (comme les documents des USA).

On peut commencer à switcher et à se prémunir contre les ingérences de gouvernement étranger et contre l'extrême droite. Résister contre le fascisme en réduisant leurs surfaces d'attaques et donc leur emprise éventuelle sur nous.

Fin bref, c'est très alarmiste et je m'en excuse.

Sur ce, portez-vous bien (et mangez du XMPP).

Photo Daniel Lerman

Daily prompts 04 février 2025

Dryusdan — Tue, 04 Feb 2025 09:24:00 +0100

Quelle forme d'art te laisse 100% indifférent·e ?

(prompts)

Bien que la peinture abstraite me laisse réellement indifférent, je pense que ce qui m'indiffère à 100% est la sculpture. Je n'arrive pas à y déceler les émotions, le but de l'œuvre ou toute forme de beauté. C'est dommage, il y a surement quelque chose de très bien dedans mais ce n'est pas pour moi.

Daily prompts 01 février 2025

Dryusdan — Sat, 01 Feb 2025 10:47:00 +0100

Là, comme ça, qu’est est le dernier livre que t’as apprécié·e

(prompts)

Houla, je lis tellement peu maintenant... Faut que je m'y remette.

Bref, comme d'hab, la saga de l'Épouvanteur. Certes c'est pour ado, mais franchement ça arrive à me captiver et je peux pas m'en décrocher. En vacance je t'en lis un en deux jours x).

Daily prompts 31 janvier 2025

Dryusdan — Sat, 01 Feb 2025 10:23:00 +0100

Quel instrument de musique voudriez-vous savoir jouer sans avoir à apprendre ?

(prompts)

La guitare électrique. J'ai beau adorer la batterie, j'aime bien la guitare aussi, mais avec mes doigts carré c'est vraiment un instrument où je galère et c'est rarement un plaisir à apprendre quand c'est échec sur échec. Donc savoir en jouer sans avoir à apprendre clairement je signe !

Roh mince, j'ai loupé les 10 ans de Dryusdan.fr

Dryusdan — Thu, 30 Jan 2025 20:00:00 +0100

En discutant aujourd'hui, j'ai découvert que dryusdan.fr date de juin 2014. Je sais pas pourquoi je pensais qu'il était de 2016 (comme le dit archive.org).

Bon bah bon anniversaire loupé mon nom de domaine 😁

Daily prompts 30 janvier 2025

Dryusdan — Thu, 30 Jan 2025 14:07:00 +0100

À quoi te fait penser le mot "Champignon" ?

(prompts)

Daily prompts 25 janvier 2025

Dryusdan — Tue, 28 Jan 2025 10:01:00 +0100

Quel est ta météo/saison préférée et pourquoi ?

(prompts)

J'hésite entre l'automne et l'hiver.

L'hiver ! Il ne fait pas trop chaud, j'ai pas ces allergies aux graminées. Mais l'automne non plus et s'il fait beau je peux profiter du Golden Hour qui reflète sur les arbres une couleur dorée. Allez, j'vais partir sur l'automne.

Daily prompts 24 janvier 2025

Dryusdan — Tue, 28 Jan 2025 10:00:00 +0100

Aimes un plat ou une catégorie culinaire surprennent ou au potentiel insoupçonné ? Lequel ?

(prompts)

Les sandwichs ! Même si on aperçoit de plus en plus, en ville du moins, une diversité grandissante dans les sandwichs, pas mal de boulangerie proposent des sandwichs classiques comme le complet poulet, thon ou jambon beurre.

Pourtant, curieusement, les sandwichs tu peux en faire énormément ! Du plus basique au plus épicé en passant par les options végétariennes ou végans. Il y en a pour tous les gouts.

Allez, une recette facile à faire : vous faites revenir un peu de tofu fumé dans une poêle, vous tapissez votre pain de pesto vert. Puis vous mettez votre tofu dedans, rajoutez un peu de salade, une tomate séchée (ou deux) et BAM. Vous pouvez remplacer votre tofu par de la coppa aussi.

Vous voulez un truc un peu épicé ? Pain, Comté, Salade et piment mariné.

Bref, on peut tous faire avec des sandwichs et c'est pas forcément plus compliqué à faire 😃

Daily prompts 28 janvier 2025

Dryusdan — Tue, 28 Jan 2025 09:58:00 +0100

L'automne qui arrive, ça t'inspire quoi ?

(prompts)

Qu'on est en hiver.

Plus sérieusement, que les arbres vont arborer leurs robes dorées, que les couchés de soleil seront de plus en plus tôt et que la chaleur va peu à peu laisser place au froid hivernal.

Petite séance au théâtre hier soir

Dryusdan — Tue, 28 Jan 2025 09:15:00 +0100

Hier soir, petite sortie pas du tout ordinaire (déjà il a fallu me faire sortir de ma grotte) pour aller voir une pièce de théâtre : “Grains de beautés”.

Entre un début assez... Explicite sur le corps humain qui m'a rendu pas bien, pour enchainer sur des scènes tantôt provocatrices, tantôt militantes le tout rythmé par des intermèdes musicaux.

Franchement j'ai beaucoup apprécié, et si vous êtes dans le coin et qu'il reste une place, n'hésitez pas 😉

Daily prompts 22 janvier 2025

Dryusdan — Fri, 24 Jan 2025 15:30:00 +0100

Quelle œuvre aimerais-tu oublier pour la redécouvrir ?

(prompts)

J'hésite entre Cyberpunk 2077 et Ghost in the Shell.

Autant estomaqué et retourné par ces deux oeuvres.

Daily prompts 23 janvier 2025

Dryusdan — Fri, 24 Jan 2025 15:22:00 +0100

Tu peux faire un autre boulot pendant un mois : tu fais quoi ?

(prompts)

Milliardaire ! Ha non c'est vrai que le travail ne rend pas riche.

Alors franchement, je me tenterai bien au barman. Je sais pas pourquoi, je déteste décevoir les gens, mais les gens sont plutôt chill dans un bar et curieusement avec ma carrure t'as personne qui viendra me casser les pieds.

Temporairement, pour tester, mais ça me brancherai bien.

Daily prompts 21 janvier 2025

Dryusdan — Tue, 21 Jan 2025 19:56:00 +0100

Quel est ton dernier achat compulsif ?

(prompts)

Des CD de Davodka !

Bon, je vais vous donner les titres, il y a les albums :

Héritage
Procès verbal
À juste titre

Déçu qu'il n'y avait pas l'album "La mise au poing" disponible.

NaoPix : l'instance Pixelfed au beurre salé

Dryusdan — Tue, 21 Jan 2025 15:55:00 +0100

Vous n'avez même pas fini votre part de Kouign Amann des rois que BAM je vous en remets une couche avec du beurre salé.

Vous l'aurez de toute façon compris au titre, après que l'extrême droite ait décidé d'écraser toute forme de discours autre que haineux, au mieux en invisibilisant le contenu bienveillant (vous ne pourrez pas dire qu'on ne vous avait pas prévenu) il faut se bouger un tanti poil le fion et battre le fer tant qu'il est encore chaud.

J'ai donc décidé de monter une instance Pixelfed. J'ai pris un nom localisable pour éviter de reproduire certains schémas de monopole (coucou mastodon.social). Vous l'aurez compris, Nao pour Naoned, le nom breton de Nantes et pix pour pixel :)

NaoPix

Naopix est une plateforme de partage d'images, une alternative éthique aux plateformes centralisées.

C'est donc une instance pixelfed pour les habitants du bassin nantais (plus ou moins, je n'irai pas vérifier).

J'avais essayé d'héberger l'application il y a quelques années, et je peux dire que Pixelfed a vraiment bien évolué depuis. C'est stable, utilisable, il y a une application iOS et Android et la connexion au fediverse est plutôt bien aboutie. Franchement on peut profiter du fediverse facilement, c'est cool. Si vous voulez me suivre d'ailleurs : @dryusdan@naopix.fr

Oui, il reste les noms un peu à rallonge, mais c'est inhérent à la décentralisation (comme les mails).

Et si vous découvrez le fediverse avec cet article, je vous invite à lire l'article de Alyve

Petit guide du Fediverse 2025

Explication de ce qu’est le Fediverse, ses logiciels, les applications mobiles, ses instances et ses bonnes pratiques. Bref, tout ce qu’il faut savoir pour démarrer et choisir où poser ses valises.

Rattrapage des Daily prompts

Dryusdan — Mon, 20 Jan 2025 11:20:00 +0100

Quel est ta ou ton artiste préféré ?

(prompts du dimanche 19 janvier 2025)

Curieusement je n'ai pas d'artiste préféré :/

Quelle profession aurais-tu pu exercer ou souhaites-tu encore réaliser ?

(prompts du mercredi 15 janvier 2025)

Je ne sais pas :D mais quand j'étais plus jeune, avant de comprendre que j'étais naturellement bon en informatique (curieux) je voulais devenir garde forestier.

Qu'est ce que tu aimes dans la période de noël ?

(prompts du vendredi 10 janvier 2025)

Rien ? Vraiment j'aime pas

Quel est ton talent inutile ?

(prompts du dimanche 05 janvier 2025)

Je suis capable de sauter 4-5 repas sans problème.

Dans quel pays souhaiterais vivre ?

(prompts du mercredi 01 janvier 2025)

Les Pays Bas. C'est un projet mais qui semble s'éloigner de plus en plus. Mais j'apprécie énormement ce pays et la mentalité qui en découle, pourtant y a l'extréme droite qui remonte bien chez eux aussi...

Donnes nous ta fleur préféré, pourquoi ? À quoi te fait-elle penser ?

(prompts du mardi 31 décembre 2024)

Le lotus. Mais-est ce que c'est parce que c'est une fleur proche de l'eau (et j'adore l'eau) ou parce que c'est splendide ? Je ne saurais dire :/

Quel est votre premier souvenir avec un ordinateur ?

(prompts du lundi 30 décembre 2024)

Houuuu, heuuuuuu... Le premier PC famillial était un Packard Bell iMedia 6007a. Une bestiole avec 20Go d'espace disque, 128Mo de RAM, un AMD Athlon de 1,4GHz en guise de CPU et une ATI Radeon VE. Ce fut ensuite mon premier PC perso en 2009 (qui s'est vu offrir 512Mo de RAM) car mes parents aimaient pas le temps que je passais sur ma PSP. 2009, entre 2001 et 2009 l'informatique a énormément évolué mine de rien :o.

Bref, mon père avait récupéré un jeu de course de vaisseau spacial et m'a laissé faire un course. J'ai rien compris ni réussi à faire, mais j'avais bien aimé quand même :D

Tu peux te réincarner en n’importe quel animal. Lequel choisis-tu ?

(prompts du samedi 28 décembre 2024)

Un chat !

Évidences exceptées (clés, portefeuille, téléphone, etc) y a-t-il un objet dans ton sac de tous les jours que tu transportes toujours ?

(prompts du jeudi 26 décembre 2024)

Une pince multi-tool et un multi tool vélo. Je peux couper pas mal de truc, revisser, régler un vélo et même réparer un crevaison tubeless alors que j'ai pas de tubeless :D (puis des décapsuleurs aussi)

Quels sont tes plaisirs coupables ? 👀 Que ça soit alimentaire, film, musique ou autre…

(prompts du mercredi 25 décembre 2024)

Un repas à base de sandwish, j'adore, mais surtout le sandwish à base de pain de mie, de tranche de lerdamer, de salade, de jambon blanc (bon maintenant un substitue) et une Monster. C'est naze, j'bouffe 1600kcal, mais j'adore ça x)

Est-ce que tu as un·e tatoueureuse à nous partager ? Pourquoi ?

(prompts du lundi 23 décembre 2024)

La Barbe Tattoo à nantes ! (le tout sur un site web). Les couleurs sont top et il est très sympa !

Dans quel lieu méconnu aimeriez-vous vous retrouver pour 1h ?

(prompts du dimanche 22 décembre 2024)

Je veux retourner sur la presqu'ile de Crozon. C'est tellement calme et appréciable. Même 1h.

Quelle est ta prochaine modification corporelle ? (tatouage, piercing,…)

(prompts du jeudi 19 décembre 2024)

Un tatouage inspiré Cyberpunk 2077 ! Et un gros.

Où te vois-tu dans 10 ans?

(prompts du mercredi 11 décembre 2024)

Je ne sais même pas ce que je vais faire demain, alors dans 10 ans... Allez, je vais réver un peu. Je veux revenir proche de la nature, voir les étoiles la nuit, le lever de soleil le jour. Pouvoir être à l'ombre sous 40 degrés, pouvoir faire pousser 3 carottes et 2 salades... Mais bon, ma vie fait que ce genre de choix n'est pas envisageable car ce n'est pas vivable à terme pour tous le monde :(

Quelle technologie obsolète/disparue regrettes-tu ?

(prompts du samedi 07 décembre 2024)

En ce moment j'ai une envie de cassette audio avec le lecteur qui va bien avec. Je regrette ça en ce moment :D

Et si je rangeais le smartphone un mois ?

(prompts du vendredi 06 décembre 2024)

Heuuuuuuuuuuuuuuu, faudrait oui, que j'essaye mais c'est loin d'être pleinement envisageable maintenant. J'en suis dépendant pour le côté pratique (oui, j'ai pas de réseau social qui me doppe à la dopamine).

Quel sentiment as tu ressenti lors de ton dernier trajet domicile – Travail. Explique ce qui a généré ce sentiment ?

(prompts du jeudi 05 décembre 2024)

IL CAILLE ! Enfin ! Bon en vrai mes trajets c'est quasiment que de la ville, rien de fun, c'est chiant.

Quelle sont les raisons qui te motivent à réaliser des choses.

(prompts du mercredi 04 décembre 2024)

Le fun ! :D

Pour toi, quels métiers nécessiteraient d'être récupérés (et protégés) par l'État ?

(prompts du mardi 03 décembre 2024)

Toute la gestion des produits de première nécessité ! Les agriculateurs notamment. Aujourd'hui manger dépend d'industriel qui essore les aggriculteurs et les acheteurs ? Sans dec, pourquoi un produit de première nécessité n'a pas le même traitement que l'eau des robinets ? Certes il y a un peu (mais vraiment) un peu de régulation de la part de l'État mais bon...

Un anime qui t’as marqué·e, retourné·e, ému·e et que tu souhaites absolument partager.

(prompts du lundi 02 décembre 2024)

Ghost in the Shell ! C'est le seul nom qui me reviennent en tête. "Qu'est ce que la vie ?"

Te souviens tu de ton premier Roman lu ? Peux-tu nous en parler ? Que t'évoque t'il ?

(prompts du dimanche 01 décembre 2024)

Peggy Sue et les Fantômes. Ça s'efface dans ma tête, mais tout ce que je me souviens c'est que c'était de la fantaisy sympa à lire.

Ça a été le déclencheur. Suite à ça je me suis mis à engloutir des livres.

À quelle époque aimerais-tu vivre ?

(prompts du samedi 30 novembre 2024)

Maintenant ! Les droits pour tous avance. Même si ça stagne un peu encore. Donc c'est maintenant qu'il faut vivre et se battre pour éviter que la haine et le fachisme gagne !

Les choses que tu as faites dont tu es le plus fier !

(prompts du vendredi 29 novembre 2024)

DryCat ! Il m'arrive encore de regretter de l'avoir fermé :(

(Bon, maintenant j'ai un peu la flemme de remonter, faudrait que je script ça :D)

Daily prompts 20 janvier 2025

Dryusdan — Mon, 20 Jan 2025 10:40:00 +0100

Une série qui t’as marqué·e, retourné·e, ému·e et que tu souhaites absolument partager.

(prompts)

Hummmmm, j'en ai deux qui me viennent en tête là mais je vais respecter le titre.

La série ARCANE ! Sans dec, la saison 1 est à couper le souffle, la deux est monstrueuse à en donner des frissons, la direction artistique, la bande son, TOUT est UN TOTAL BANGER ! Je la recommande à 800% !

J'ai laissé le loup entrer dans la bergerie, maintenant fait le sortir

Dryusdan — Mon, 20 Jan 2025 10:06:00 +0100

Petit coup de gueule, avec l'arrivée massive des internautes provenant de Meta dans le fediverse (et c'est cool) on a pu aussi tomber sur des politiciens qui ont sauté le pas (tant mieux) et qui lâche un bon oui mais facebook me coute rien pour prévenir mes citoyens d'un imprévu et vous proposez pas de solution autre que faire venir mes citoyens sur le fediverse pour voir ces imprévus. Vous répondez à rien, c'est nul.

Déjà, la "prévention" est déléguée à une plateforme américaine qui a la fâcheuse tendance à foutre tellement d'algorithme que le fait qu'elle soit lue tiens déjà du miracle. Puis tu as obligé tes citoyens à venir sur Facebook parce que "c'était simple" pour prévenir sans tenir compte qu'il existe des gens, de plus en plus, qui n'ont pas Facebook.

Le foutage de gueule total, tout est géré par Facebook maintenant, il faut trouver un autre moyen, mais vous les libristes là vous êtes bien mignon à rien proposer alors que ça fait 15 ans, voir même plus, que vous demandez à ne pas tout centraliser sur Facebook pour justement prévenir ce genre de situation !

Donc non, la clairement ça passe pas.

J’ai donné mon premier cour

Dryusdan — Fri, 17 Jan 2025 19:24:00 +0100

Aujourd’hui j’ai donné mon premier cours (en anglais pour plus de fun) officiel.

Après 3h de cours hier accompagné par deux profs j’ai sauté dans la baignoire ce vendredi

Eh bien c’était cool ! (Mais les élèves qui utilisent l’IA ça ce voit à des kilomètres…)

Ouai ton taff ? Bah j'l'ai fais avec ChatGPT

Dryusdan — Wed, 15 Jan 2025 10:45:00 +0100

Ha, bah écoute, t'as donc pas besoin de moi, salut.

En vrai, je suis mi-terrifié, mi-impressionné. En fait depuis 1 mois j'ai tous les jours un laïus comme quoi l'IA c'est pas mal, tu peux tous faire facilement, avoir des réponses facilement à des questions, développer facilement (certains passes le pas).

Mais je me retrouve comme mon grand-père qui a lutté contre l'implémentation de l'informatique dans les chantiers navals de Nantes. Tu augmentes la productivité (selon je ne sais quel foutu critère m'enfin) et donc tu réduis mécaniquement le nombre d'employé pour le même travail effectué.

C'est vrai qu'aujourd'hui se passer d'informatique devient compliqué et hors norme. On est constamment joignable, notre temps de cerveau disponible est aussitôt aspiré par notre téléphone, on a réduit le nombre d'humain pour une interface web et précariser les emplois derrière. (Pourtant j'adore l'informatique c'est ma grosse dissonance cognitive).

L'IA générative est arrivée assez récemment et peut faire des choses folles, avec un coût sociologique et environnemental énorme cependant. Sauf qu'on commence à l'apercevoir, l'IA remplace peu à peu les derniers emplois précaires du tertiaire (notamment le support téléphonique, e-mail ou par chat) et ça commence à remplacer les professions supérieures.

Je ne peux pas voir un outil dans l'IA générative, non pas parce que ce n'est pas ça, mais parce que dans notre société actuelle un outil n'est là que pour rendre précaire d'autres personnes, non pas pour réduire le travail à effectuer et partager les richesses produites par la machine.

Aujourd'hui c'est mon travail qu'on m'a retiré pour laisser une IA le faire.

Daily prompts 13 janvier 2025

Dryusdan — Mon, 13 Jan 2025 09:52:00 +0100

Quel est ton concert le plus marquant ?

(prompts)

Hum 🤔

Je n'ai pas été à beaucoup de concert, en réalité je suis allé dans quatre festivals et deux concerts. Pour les festivals j'ai, pour la moitié été, "À la folle journée" à Nantes et l'autre moitié au Hellfest.

Bien que j'aie beaucoup apprécié les Folles Journées, j'ai aussi pas mal aimé le concert de KISS au Hellfest.

Sauf que la question parle de concert (et puis ça m'arrange :D) c'est donc les concerts de Lindsey Stirling que j'adore. Entre la musique, les danseuses, le spectacle tout court, le tout souvent un peu sur élevé histoire de voir le concert même dans la fosse. Franchement c'est top de chez top. Seul regret, elle ne vient que très peu en France (quoique le climat préfère).

J’ai fini Arcane saison 2

Dryusdan — Sun, 12 Jan 2025 23:18:00 +0100

J’ai fini Arcane saison 2…

C’était tellement intense, vraiment un pur régal. Les graphismes, les voix, les sentiments, l’énergie même dans cette saison… Vraiment très prenant.

(À ça d’acheter les éditions collectors DVD)

Arcane ou l’histoire mélangée à l’actualité critiquée ?

Dryusdan — Sat, 11 Jan 2025 21:57:00 +0100

(Attention, cela peut spoiler un morceau d’Arcane saison 2. Allez voir la série avant de lire ce bout d’article)

J’ai l’impression de voir dans la série Arcane une sorte de critique de la société actuelle. Une critique ancrée sur cette volonté qu’une caste de la population chanceuse (d’être né du côté facile de la vie) laisse fomenter tous les problèmes.

Et une fois que tous les problèmes ont bien pourri, on fait descendre les pacifieurs… la police pardon pour taper sur ceux qui espèrent, qui croient en quelqu’un ou quelque chose. Juste envoyer les corps armés pour frapper, mutiler et détruire toutes traces d’espoirs, sans une seule seconde rechercher la source du problème et encore moins se remettre en question. Juste provoquer la peur et déchaîner la violence pour détruire l’espoir et encore mieux asservir.

L’histoire nous l’a pourtant appris, l’actualité nous le fait revivre, mais ça doit bien être profitable a quelques-uns.

Daily prompts 11 janvier 2025

Dryusdan — Sat, 11 Jan 2025 17:02:00 +0100

Là, comme ça, qu’est est le dernier jeu vidéo que t’as apprécié·e

(prompts)

Je ne vais quand même pas reparler de Cyberpunk 2077 bien que ce jeu est un vrai régal.

Non, aujourd'hui je vais vous parler d'un petit jeu que m'a fait découvrir @kolo@piou.kolo.fr : Gatekeeper !

Gravity Lagoon

CREATING IMPRESSIONS

Il s'agit d'un roguelike assez nerveux réalisé par un petit studio du Kazakhstan. Le but, partir à la recherche du cœur de l'Universe et rasez... Nettoyez toute trace d'éventuelle menace qui garde les portes de leurs planètes.

Si j'ai bien compris le synopsis, à vrai dire la bande son et les graphismes m'ont plus et c'est ce qui m'a importé le plus. L'histoire j'ai pas trop saisi, j'ai tout cramé.

Installer Kresus sur Debian 12

Dryusdan — Sat, 11 Jan 2025 14:45:00 +0100

Kresus est un gestionnaire de finance se reposant sur Woob. Comme vous vous en doutez avec un gestionnaire de finance, ça permet de créer des budgets, de trier, de renommer vos dépenses et surtout de recevoir un mail de l'état de vos comptes (ce que j'utilise beaucoup 😁). Le gros avantage c'est que c'est opensource et développé par des passionnés (Kresus comme Woob), il n'envoie pas ses données dans une énième entreprise. Il y a par contre quelques inconvénients :

Toutes les banques n'y sont pas (je pense à Green-got par exemple)
Quand une banque décide de changer son interface d'authentification, il est fort probable que Woob ne puisse plus y accéder pendant quelques semaines.
Kresus ne gère pas d'authentification, vous devez donc gérer l'authentification avec votre proxy.

Aujourd'hui j'ai dû migrer mon instance sur une nouvelle machine suite à un souci de carte SD, l'instance tournait depuis 6 ans environs sur mon raspberry PI 3B+. Quitte à refaire une installation, autant la faire au propre. Malheureusement les liens vers les tutoriels sont invalides ou un peu daté. Donc autant en faire un en même temps que l'installation.

Nous allons avoir besoin ici de 5 choses :

Python avec virtualenv et pdfminer
NodeJS (Debian ou LTS ça suffit)
Debian (testé sur Debian 12)
PostgreSQL
SystemD

L'installation

Tout d'abord nous allons installer les dépendances

apt-get update
apt-get install python3 python3-pdfminer python3-virtualenv python3-venv nodejs npm postgresql

Puis nous créons l'utilisateur et les dossiers nécessaires

useradd -s /bin/false -d /home/kresus -m kresus
mkdir /opt/kresus
mkdir /var/log/kresus
chown kresus: /opt/kresus
chown kresus: /var/log/kresus

Maintenant nous accédons à l'utilisateur et nous installons Kresus et Woob

su - kresus -s /bin/bash
cd /opt/kresus
python3 -m venv woob-venv
source woob-venv/bin/activate
pip3 install woob
/usr/bin/npm install --prefix /opt/kresus/ kresus@latest

Voilà (nan, pas le groupe de rock), Kresus est installé avec Woob. Mais il manque la base de donnée et la définition du service SystemD ainsi que le logrotate.

Rendez-vous dans votre base de donnée

su - postgres
psql

Maintenant nous allons créer l'utilisateur et sa base de donnée

CREATE USER kresus WITH PASSWORD 'Kr3sus_S3cr3t';
CREATE DATABASE kresus OWNER kresus ENCODING 'UTF-8' LC_COLLATE 'fr_FR.UTF-8' LC_CTYPE 'fr_FR.UTF-8';

Allez, il ne reste quasiment plus rien à faire avant le démarrage, nous allons mettre en place le service SystemD

[Unit]
Description=Gestionnaire de finances personnelles
Documentation=https://kresus.org/doc.html
After=network.target postgresql.service

[Service]
Type=simple
User=kresus
WorkingDirectory=/opt/kresus
Environment=NODE_ENV=production
Environment=KRESUS_WOOB_DIR=
Environment=PATH=/opt/kresus/woob-venv/bin:/usr/local/bin:/usr/bin:/bin:/usr/local/games:/usr/games
Environment=PORT=3000
Environment=HOST=127.0.0.1
Environment=KRESUS_SALT=S3cr3T
Environment=KRESUS_EMAIL_TRANSPORT=smtp
Environment=KRESUS_EMAIL_FROM=kresus@example.tld
Environment=KRESUS_EMAIL_HOST=127.0.0.1
Environment=KRESUS_EMAIL_PORT=465
Environment=KRESUS_EMAIL_USER=kresus@example.tld
Environment=KRESUS_EMAIL_PASSWORD=s3cre3t
Environment=KRESUS_DB_TYPE=postgres
Environment=KRESUS_DB_HOST=127.0.0.1
Environment=KRESUS_DB_USERNAME=kresus
Environment=KRESUS_DB_PASSWORD=Kr3sus_S3cr3t
Environment=KRESUS_DB_NAME=kresus
ExecStart=/usr/bin/node /opt/kresus/node_modules/kresus/bin/kresus.js
Restart=always
StandardOutput=append:/var/log/kresus/kresus.log
StandardError=inherit
SyslogIdentifier=kresus

; Quelques directive pour limiter un peu Kresus
PrivateTmp=yes
ProtectHome=yes
ProtectSystem=strict
ProtectProc=noaccess
ProcSubset=pid
ProtectHostname=yes
ProtectClock=yes
PrivateDevices=yes
PrivateUsers=self
PrivateIPC=yes
PrivatePIDs=yes
CapabilityBoundingSet=
ReadWritePaths=/opt/kresus
NoNewPrivileges=yes

[Install]
WantedBy=multi-user.target

Il y a tout un tas de variable d'environnement à utiliser documenté dans le fichier de configuration. Les directives limitantes sont toutes décrites dans la documentation de systemd

Bien entendu tous les mots de passe sont à remplacer par ceux que vous avez généré, n'utilisez pas ceux présents dans cet article.

Il ne manque plus qu'à créer le logrotate ! Vous allez écrire le fichier /etc/logrotate.d/kresus

/var/log/kresus/kresus.log {
    daily
    missingok
    rotate 7
    compress
    delaycompress
    notifempty
    copytruncate
    sharedscripts
    prerotate
    endscript
    postrotate
    endscript
}

Maintenant vous n'avez plus qu'à démarrer kresus et à l'activer au démarrage du système

# systemctl version 220
systemctl --now enable kresus.service

# systemctl < version 220
systemctl enable kresus.service
systemctl start kresus

Vous pouvez améliorer cette installation en remplaçant la configuration SMTP actuelle par un postfix satellite (afin de gérer les delays, bounce...)

Sur ce, portez-vous bien.

Photo de Christian Wiediger