cg a écrit 1452 commentaires

J'utilise Zabbix pour des serveurs Debian et les équipements réseau.

J'ai justement choisi Zabbix car il faut aussi bien le SNMP que les sondes réseau (checks de port TCP), que les scénarii web (suivre des liens, etc…).

C'est très facile à utiliser et à étendre.

Récemment, on a ajouté Grafana qui va chercher ses données directement dans l'API Zabbix, quand on regarde des graphs ou pour construire des tableaux de bord, c'est beaucoup plus évolué et souple. Mais je m'en suis passé pendant des années, c'est juste du confort, on peut faire tout ça dans Zabbix.

Avoir l'agent zabbix d'installé ajoute pas mal de possibilités quand même. Si tu as Ansible ou Puppet sous la main, c'est vite fait aussi.

Ce sont tous des 1.8°/pas à priori (200 pas/tour), rien d'extraordinaire.

Les 7 : Ils sont gros ! NEMA23, 57x57x76mm, 1.8°/pas. Marquage https://www.oyostepper.com/images/upload/File/23HS30-2804S.pdf

Les 8 : Alors ce ne sont pas exactement les mêmes… Ils sont très proches : tous deux NEMA17, Il y en a un noté RepRap GmbH FL42STH47-1304AC. http://www.mantech.co.za/Datasheets/Products/FL42STH.pdf . L'autre doit être du même tonneau.

Les 9 : C'est de la récup d'imprimantes, je n'ai pas les specs, mais pas grosse finesse.

Le 10 : NEMA17, 1.8°/pas. Marquage ITC-CNC-3 1.8° 1.33A (vient d'un kit CNC)

Si tu veux plus de finesse, tu peux essayer le microstepping, ou mettre des moteurs avec motoréducteur (j'en avais avec réducteur 99:1, soit 19800 pas/tour, très précis et coupleux, mais pas rapide et assez cher :-/)

Ah oui, alors je n'ai rien dit :).

Mais je vais faire une digression, désolé !

Voici comment se présentent les outils respectifs :

Boundary

Boundary provides access to applications and critical systems with fine-grained authorizations without managing credentials or exposing your network.

How Boundary works

Boundary is a secure remote access solution that provides an easy way to allow access to applications and critical systems with fine-grained authorizations based on trusted identities across clouds, local data centers, low-trust networks.

The Bastion

Welcome to The Bastion documentation!

Wait, what's a bastion exactly? (in 140-ish characters)

A so-called bastion is a machine used as a single entry point by operational teams (such as sysadmins, developers, devops, database admins, etc.) to securely connect to other machines of an infrastructure, usually using ssh.

The bastion provides mechanisms for authentication, authorization, traceability and auditability for the whole infrastructure.

---

En lisant les intros des deux logiciels, d'un côté j'ai une description claire de ce que ça fait et du public visé, et de l'autre une pile de formules génériques qui collent à des dizaines d'usages. Bon ça ne fait pas de Boundary un mauvais truc (je ne connais pas), mais je trouve dommage cette tendance à ne pas présenter les libs ou les outils d'un point de vue pratique.

Si j'ai bien compris, ce n'est pas le même modèle, pour des usages différents.

Boundary a l'air d'être un gestionnaire d'accès qui va piocher dans diverses sources pour décider de donner l'accès ou non, sans se mettre en coupure niveau réseau.

The Bastion est un bastion traditionnel, c'est à dire une passerelle intermédiaire par laquelle on doit passer pour aller dans un réseau (ou des machines) spécifique.

Boundary est sans doute plus adapté pour les systèmes qui consomment des ressources accessibles depuis Internet (une API), qui ne répondent pas toujours à une segmentation réseau qu'on maîtrise.

The Bastion est prévu comme un intermédiaire pour aller d'un réseau "utilisateur" à un réseau d'administration ou de production.

J'ai été inscrit un an à Twitter, il y a quelques années (genre 2017-2018). Au bout d'un an, j'ai remarqué que ça tournait en rond, et surtout que je passais un temps fou dessus (comme quoi ça fonctionne les techniques de captation de l'attention !).

Maintenant, je consulte 5-6 comptes, via Nitter (par exemple https://nitter.fdn.fr/bortzmeyer). Ça va plus vite, il n'y a a pas les distractions, et pas besoin d'être inscrit. En 10 minutes par jour, c'est plié.

Hello, je n'ai pas bien compris, le projet est de concevoir un module GPON qui s'interfacera à un router/un SBC existant ?

Ou de développer un routeur complet ? (et dans ce cas, pourquoi ne pas partir d'un design existant comme ceux d'Olimex par exemple ?

Au sujet de la CC0, ça me semble utile de repréciser que c'est parce qu'en droit Français, on ne peut pas abandonner son œuvre et la mettre directement dans le domaine public.

Il y a aussi le remplacement de visage qui se démocratise (voir par exemple ce mini-docu pas très technique sur la série Le monde de demain), le rajeunissement d'acteur (Romain Durris dans Eiffel par exemple), la génération de foules (dans plein de films)…

J'ai trouvé la captation vidéo de l'intervention de Guillaume Poupard, qui est plus complète que la transcription.

• Captation vidéo : http://videos.senat.fr/video.3008437_633b624b3e4ca.plf-2023---audition-de-mm-stephane-bouillon-sgdsn-de-guillaume-poupard-anssi-et-de-de-m-emmanu?timecode=6402000 (il intervient aussi plus tôt dans la session pour les curieux)

• Transcription : https://www.senat.fr/compte-rendu-commissions/20221003/etran.html#toc7

En bonus y'a une petite sortie sur le logiciel libre à la fin :).

et Graphviz bien sûr, dans cette gamme d'outils :).

Merci pour les liens, je testerai voir !

Oui, c'est semble-t-il ce qui est prévu ici aussi, j'ai trouvé cette info au conditionnel entre temps.

Encore une fois, je vois bien le problème, et je suis majoritairement d'accord avec toi.

Je te concède que l'exemple de la fausse affiche est très mauvais et dessert mon propos.

Ce n'était peut-être pas très clair : je persiste à penser qu'il y a quelques usages pour lesquels un générateur (fondé sur une IA ou pas) et un humain ne sont pas vraiment en concurrence. Notamment le cas que tu cites du client dédaigneux ("mon fils de 3 ans peut le faire") face au graphiste qui est frustré qu'on lui demande de faire de la merde pour pas cher.

Je ne parle aucunement de travail de haute qualité : là où je travaille (post-production, VFX), je vois passer des story boards ou du concept art fait à la main (crayon, aquarelle, ou de plus en plus directement en numérique), qui sont souvent magnifiques et pourraient être publiés. C'est des semaines de boulot et seulement une poignée de personnes les verront. Dans le genre qui ressemble à un dessin vite fait mal fait, on peut citer Reiser, dont les dessins font passer une ambiance et une expressivité en seulement quelques traits. Du vrai boulot !

(note: je travaille dans le cinéma et ait travaillé dans le spectacle vivant, et j'ai beaucoup de proches qui sont décorateurs/trices ou illustrateurs/trices pour le ciné et le théâtre. Je n'ai aucun mépris pour ces métiers. Si c'est ce qui ressort de mon message, alors j'ai vraiment des progrès à faire en rédaction)

Je suis globalement d'accord avec ce que tu écris, en particulier sur le fait que c'est impressionnant mais peu marquant. J'ai eu cette sensation d'effet wow aussi la première fois que j'ai incrusté du texte sur une image de fond avec gd en PHP ;).

Mais il y a une autre finalité possible à ces images.

Il y a le cas où tu ne cherches pas à faire une image particulièrement originale ou créer une œuvre unique, mais que tu veux un truc "vite fait" pour illustrer un texte, que l'ordi te fasse un dessin à partir d'une phrase, parce que tu sais pas dessiner (ou plutôt, que tu es trop timide pour montrer un dessin que tu as fait).

Il y a le cas où tu veux faire une fausse affiche d'époque (ou une pochette de disque d'un groupe fictif) pour mettre dans un décor lors d'un tournage de film.

Des trucs comme ça, pour lesquels justement tu vas t'appuyer sur des documents et des esthétiques préexistantes, et que plus c'est dans le cliché, plus c'est crédible.

Un truc que je trouverai bien utile, c'est, à partir d'une description de mon réseau, en Français dans le texte, avoir un logiciel qui sache me sortir un schéma pas bordélique, ce que je suis totalement incapable de faire ;).

• L'ANSSI encourage le status quo
• Dans six mois, on retrouve Guillaume Poupard chez un GAFAM¹

---

[1] Wikipedia nous dit : « Au début de l'année 2022, il annonce son départ qui devrait être effectif après les élections présidentielles et législatives »

Des banques américaines exigent encore un fax pour faire des virements. Notre opérateur ToIP propose un service Hylafax. Pour faire les virements, on envoie l'ordre par email avec toutes les infos, doublé d'un fax illisible reprenant les infos, pour l'aspect légal.

Le mail comme le fax n'étant sécurisés ni l'un ni l'autre, bien sûr…

Un peu comme ceci :D ?

Je me rend compte que je ne sais même pas si mon ordi est sur X11 ou Wayland (j'ai vérifié, et c'est X11).

Ceci dit, il y a des technologies (non spécifiques à Linux) qui ont mis vachement de temps à s'imposer, comme le Ogg Vorbis ou le PNG par exemple.

Peut-être pas un core dev, mais un peu :

[…] I fixed enough mpv Wayland bugs that I eventually gained commit rights […]. Thus, I became the de-facto mpv Wayland developer.

Divagations

Ah ah ok, j'ai compris (enfin je crois), en me remémorant les migrations de nfs3 vers nfs4.

Il y a un truc pas du tout intuitif, c'est que quand tu mets ceci dans le /etc/exports :

/srv/nfsroot        192.168.1.0/255(rw)
/srv/nfsroot/boring 192.168.1.0/255(rw)
/srv/nfsroot/fun    192.168.1.0/255(rw)

Pour y accéder en nfs3, tu montes avec : mount serveur:/srv/nfsroot/boring /mnt
Mais en nfs4 (ou 4.2 ?), il faut faire : mount serveur:/boring /mnt

(c'est ce qu'on voit dans la commande qui force le nfs 4.2 : mount.nfs4: mounting 192.168.1.16:/srv/partagenfs failed, reason given by server: No such file or directory.)

Hypothèse foireuse : il doit exister soit un downgrade en nfs3 en cours de route, soit un mode de compatibilité, qui fait que les ports 111 et consorts sont utilisés quand même.

J'ai vu des infos intéressantes sur le wiki de Archlinux, en particulier au niveau de la mention fsid=0, à laquelle je n'avais jamais trop fait attention.

Chez toi

Au final, je pense que si tu changes le premier champ de la fstab comme ceci :

192.168.1.16:/ /media/partagenfs/ nfs user,rw,x-systemd.requires=NetworkManager-wait-online.service,noatime,intr 0 0

Ça devrait fonctionner avec seulement le port 2049.

Chez moi

Par exemple dans un de mes /etc/exports j'ai :

/vol       192.168.0.0/23(rw,async,fsid=0,crossmnt,no_subtree_check)
/vol/data  192.168.0.0/23(rw,async,no_subtree_check)

et dans /proc/mount :

unserveur.interne.example.com:/data /mnt/boring nfs4 
    rw,relatime,vers=4.2,rsize=1048576,wsize=1048576,
    namlen=255,hard,proto=tcp,timeo=600,retrans=2,sec=sys,
    clientaddr=192.168.1.42,local_lock=none,addr=192.168.0.12 0 0

et dans la config autofs :

automountInformation: -fstype=nfs4,async unserveur.interne.example.com:/data

On voit bien que /vol côté serveur devient / côté client, et que je monte le sous-répertoire /data. Ça m'avait surpris lors du passage des serveurs de Debian 8 à Debian 10, il y a quelques années, j'avais totalement oublié.

Chouette !

J'ai revérifié, et sur mon infrastructure, il n'y a que le port 2049 utilisé en TCP pour NFS. Pourtant j'ai bien un processus rpc.mountd :-/. J'utilise nfs 4.2, sur Debian 11 (client et serveur).

Wikipedia nous dit ceci, aussi :

One big advantage of NFSv4 over its predecessors is that only one UDP or TCP port, 2049, is used to run the service, which simplifies using the protocol across firewalls.

Peut-être que quand tu fais le mount, le client nfs fait un genre de sondage pour déduire quelle version utiliser, et choisis NFS4 à la fin ?

Si tu montes l'export directement dans la ligne de commande, avec la version, et seulement le port 2049 ouvert, est-ce que ça fonctionne ? Je suis curieux ;) :

mount -t nfs4 -o nfsvers=4.2 192.168.1.16:/srv/partagenfs /media/partagenfs/
(ou bien)
mount -t nfs4 -o nfsvers=4.2 192.168.1.16:/               /media/partagenfs/
(ou bien)
mount -t nfs4 -o nfsvers=4 192.168.1.16:/srv/partagenfs  /media/partagenfs/

Dans la même logique de faire le rendu principalement côté serveur, il y a aussi stimulus, sous-titré comme "un framework javascript léger pour le HTML que vous avez déjà".

C'est peut-être parce que ces règles sont avant celles qui autorisent le port 2049 :

-A INPUT -p tcp -m tcp --tcp-flags FIN,PSH,URG FIN,PSH,URG -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,PSH,ACK,URG -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
-A INPUT -p tcp -m tcp --tcp-flags SYN,RST SYN,RST -j DROP

Mais du coup je me demande pourquoi ssh (port 22) fonctionnerait.

Excuse mon ignorance, mais que veux tu dire par "booter sans timeout" ? Cela signifie qu'avec autofs tu n'as pas de délais dû à la réponse NFS du serveur ?

Ah pardon, j'ai été un peu vite et ce n'était pas très clair. C'est dans le cas où le serveur NFS est éteint. Le point de montage NFS ne fait alors pas partie de la séquence de démarrage, mais est monté à la demande automatiquement, et démonté lorsqu'il n'est plus accédé.

C'est très pratique.

Ton journal me fait furieusement penser au déplombage des jeux sur disquette des années 80/90 :)

Excellent !

Vu que tu utilises le port tcp 2049, j'imagine que tu cherches à utiliser nfs4, mais est-ce vraiment le cas ?

Selon les versions et les fonctionnalités, il faut parfois ouvrir d'autres ports, pour les appels RPC (le 111 en udp et tcp par exemple, et parfois même des plages de ports). Tu peux forcer la version de NFS avec l'option nfsvers.

Sinon, au passage, pour quand tu auras réglé ton problème de firewall : j'utilise autofs pour monter les exports NFS à la demande. Ça permet de booter sans timeout même si le serveur NFS est éteint.