cg a écrit 1361 commentaires

et c'était là ma question, savoir si un VPN qui fait du L2 existait, pour n'avoir qu'un seul range réseau privé,et donc une seule interface sur les VMs

Alors, je pense que OpenVPN en mode bridge fait exactement ce que tu veux.

Tu peux en plus mettre des TTLs très courts sur ton DNS, en faisant des mises à jour dynamiques quand une des VMs tombe. Les navigateurs Web s'en sortiront très bien avec ça. Les applis qui cachent à l'infini les résolutions DNS (Java, par défaut), beaucoup moins bien.

Ça me rappelle qu'on avait un truc de ce genre à un ancien boulot sur une infra : un réseau niveau 2 entre deux site distants de 300km, avec des VMs qui pouvaient migrer d'un site à l'autre (pas à chaud si je me souviens bien). La migration fonctionnait bien, mais par contre le routage dans la VM utilisait toujours la gateway du site d'origine (il y avait une gateway par site pour sortir sur Internet sans faire 300km, on devait aller la modifier à la main), et niveau firewall il fallait tout bien prévoir en double pour que la VM puisse travailler normalement en cas de migration. Au final, ce n'était pas tellement pratique, et grande source de confusion pour tout ceux qui manipulent peu le routage (comme moi à cette époque).

Bon courage pour ta maquette alors !

Bonsoir,

mais quand le serveur1 tombe, les VMs qui sont dessus aussi.

et aussi le VPN, non, d'après ton schéma ?

Il faudrait un schéma plus précis, qui indique quel matériel porte quel composant (IP publique, endroit du NAT s'il y en a, reverse proxy, serveur d'application, VPN…).

Admettons que le serveur1 reste disponible, que le VPN est toujours ok, et que la VM soit relancée sur l'autre datacenter. Tu vas sans doute avoir un problème de routage : l'IP de ta VM 10.1.1.34 est maintenant de l'autre côté du VPN !

Il faut alors avoir prévu de monter un VPN qui travaille au niveau 2, avec un seul subnet qui se propage par le VPN, y compris les adresses MAC (exemple avec OpenVPN).

Un montage de VPN plus classique fonctionne avec du routage (niveau 3), auquel cas il faut pouvoir modifier le routage dynamiquement sur les VMs.

Pour finir, comme tu as exactement 2 serveurs dans ton exemple, en cas de problème réseau entre les deux serveurs, tu peux être victime d'un split-brain, c'est à dire que chaque serveur croit que l'autre est mort, et va prendre le rôle de l'autre. Un sacré bazar en perspective !

La solution du round-robin DNS proposée plus haut fonctionne plus ou moins bien selon les désirs du client qui y accède… Ça dépanne bien, c'est gratuit et c'est simple. Par contre tu ne maîtrise pas quelle IP va être choisie ! Pour le resolv.conf, l'ordre est respecté, mais dans le cas où 2 IPs sont en round-robin (C'est à dire 1 nom, 2 IPs), ben le serveur DNS va renvoyer les IPs dans un ordre différent à chaque fois. Donc tes services doivent tourner sur les deux serveurs… Et se synchroniser s'il y a une base de données par exemple :p.

J'avais vu il y a quelques temps une bibliotèque Javascript nommée Resilient qui implémente la haute disponibilité côté client. Bien sûr, ça ne fonctionne que dans le cas où tu maîtrises le client, ce n'est pas un mécanisme normalisé. Mais j'avais trouvé l'approche originale.

Bref, ce n'est pas impossible, mais il faut quelques composants en plus, qui peuvent eux-même tomber en panne :p.

Je ne crois pas qu'il existe des modules GSM non propriétaires (je rêve que quelqu'un me contredise !).
Tu peux trouver des assemblages open-source, mais pas 100% open/libre.

Voir par exemple : https://en.wikipedia.org/wiki/List_of_open-source_mobile_phones

Ah, sympa. J'avais mis Doudoulinux sur un vieux laptop il y a 3-4 ans. Mais les enfants ont grandi depuis… Je vais essayer !

Sinon, à l'allumage de mon PC, on se retrouve dans un xterm sous i3. Donc mes gamines doivent connaître les commandes pour lancer les jeux. Et elles les connaissent :D !

fsck c'est la commande qui répare les données. ça veut dire File System CHeck.

/dev/sda1 etc… est le nom sous Linux pour les partitions (là où les données sont stockées).

Et donc l'espace est important entre la commande (fsck) et le paramètre (/dev/sda1 etc…).

Par contre, je suis pas tout à fait certain pour le message d'erreur. Input/Output Error peut indiquer un problème matériel au niveau du disque dur lui-même (usure ou défaut).

Essaye ces commandes et répond y à toutes les questions :

fsck /dev/sda1
fsck /dev/sda2
fsck /dev/sda3
(etc... jusqu'à ce qu'il dise que ça n'existe pas)
reboot

Souvent ça suffit.

Ce qu'il s'est passé, c'est que l'ordinateur a planté et le/les systèmes de fichiers sont corrompus de telle manière que le système ne veut pas prendre la responsabilité de réparer tout seul. fsck va essayer de remettre tout en ordre, mais va te demander confirmation. Comme ça si ça foire ben c'est ta faute, malin non :D ?.

Autre solution : démarrer sur une clé bootable de Mint en mode "sans installation", et tenter de réparer depuis ce système.

Je ne sais pas si l'installeur de Mint propose de réinstaller par dessus un système sans reformater (risqué !).

J'ai revérifié tout à l'heure. La doc (qui recouvre 3-4 modèles proches) dit qu'on peut envoyer les scans directement à son serveur SMTP (petit moment de solitude là :-/). Sauf qu'on peut pas sur ce modèle précis, une erreur dans la doc sans doute (ça va, je suis pas encore sénile :D).

J'ai aussi retrouvé les refs vers le webservice et ses CGU, qui sont relativement raisonnables (par-rapport à un revendeur de publicité), mais posent quand même problème quand on scanne un NDA.

La doc qui dit comment envoyer le scan vers un mail, mais qui ne fonctionne pas.

La doc qui dit comment utiliser le webservice aux US, et ses conditions d'utilisation.

Le point le plus gênant dans cette histoire c'est qu'il est très difficile de savoir tout ça avant l'achat.

En gros la logique classique de l'imprimante d'entreprise, à savoir "l'imprimante sait chercher les adresses mails dans mon LDAP et envoyer un mail sur le serveur mail de mon choix" n'est pas supportée.

Pour nuancer, je dirais que pour des gens qui utilisent Google Drive, Dropbox ou poser leur fichier sur un partage Sharepoint, SMB ou FTP, oui c'est super, ils peuvent envoyer les scans direct dedans.

Bref, au prochain achat d'imprimante, je serais très vigilant.

Un reverse proxy, SJNMA (Si Jeune, et déjà Mabuse) c'est pour permettre à un serveur (genre Apache ou Nginx) de "passer la main à / laisser passer les requetes vers" un autre serveur (typiquement Python, Node, etc.) non ?

Pas que. En l'occurrence, Traefik, HAProxy, Pound, et certains modules Apache comme mod_proxy_balancer etc… font de la répartition de charge, et savent surveiller les noeuds qui tombent en rade pour les enlever/mettre dynamiquement du pool. Et bien plus encore.

L'autre intérêt d'avoir un reverse proxy est d'accéder à des fonctions qui ne sont pas forcément dans le serveur applicatif, comme la réécriture d'URLs, l'authentification, les protections DDoS et j'en passe (voir la liste des modules Apache par exemple).

Aussi, le reverse proxy va servir à faire une rupture protocolaire, qui va (souvent) permettre de faire un filtrage plus fin entre des zones de sécurité, et limiter l'impact des bugs présents dans le serveur d'appli, qui souvent est plus complexe que le proxy, et à accès à plus de choses (genre base de données).

Enfin, on voit beaucoup de reverse proxies mutualisés entre services : par exemple, au lieu de mettre sur le grand net sauvage tous tes serveurs, tu n'exposes que les proxies (typiquement une paire en HA).

Tout n'est pas rose, bien sûr : si tes reverse proxies mutualisés plantent, toutes les applis derrière deviennent indisponibles.

Bref, c'est bien plus qu'un passe plat ;)

Ah oui, dans ce cas-là tu as des règles et des ordres contradictoires. Dans ce contexte, ça semble en effet risqué de ne pas pouvoir passer root en mode dégradé. Dans un autre contexte, c'est à réfléchir…

Bon courage !

Les caches en général (des navigateurs ou des clients mails, de gimp, etc…) bénéficient bien d'un SSD, quand même.

L'idéal serait de faire un tiering intelligent (le système place les fichiers accédés fréquemment sur le SSD tout seul), mais ce n'est hélas pas trivial.

Moi non plus je ne comprend pas. Voici toute de même une petite histoire d'horreur sur le sujet.

On a une imprimante multifonction au boulot. Le scanner se configure simplement : on met son mail dans un raccourci une première fois et voilà. Ensuite on met ses docs dans le scanner, on tape sur le raccourci "Jean-Doux" et zou, on a les docs dans sa boîte mail.

Et puis un jour, je vois qu'on ne peut créer que 10 (ou 12) comptes pour les scans. Ne comprenant pas bien d'où vient cette limite, je m'intéresse de plus près à la chaîne technique entre le scanner et ma mailbox. Donc je scanne un truc, et je regarde les en-têtes de mail reçus de la part du scanner.

Et là, horreur ! Je découvre que l'imprimante envoie les documents à un webservice hébergé sur AWS (aux États-Unis d'après l'IP), qui me le renvoie ensuite en PDF par mail. Me voilà doublement contrarié : je voulais justement couper l'accès à Internet à cette imprimante, mais la fonction scanner ne peux pas fonctionner sans, et aussi je pense à tous ces contrats et NDAs qui sont passés par chez Amazon ! Les bras m'en tombent.

Le calme revenu, je cherche ensuite comment indiquer à l'imprimante de bien vouloir utiliser mon serveur SMTP. J'ai du mal voir, ce n'est pas possible autrement. En effet, c'est possible, mais juste pour recevoir les messages d'erreur ou les logs, pas pour recevoir les scans !

Au final, je contourne le problème : il y a un mode dans lequel l'imprimante peut déposer les PDFs sur un serveur SFTP interne installé pour l'occasion. Et donc ce serveur SFTP transfère les docs déposés par mail (avec quelques modifs à ftpmail fourni dans proftpd). Tout reste dans mon réseau interne, ouf !

Tout ça pour dire que "le cloud" c'est tellement trop pratique que même du matériel "pro" va considérer que ce n'est pas un problème ou une question d'envoyer tes documents (parfois des choses très confidentielles) à l'autre bout du monde. Et va le proposer comme option par défaut. Bien sûr la doc n'en fait mention nulle part.

Pour le boot en mode crash, il y a le init=/bin/sh déjà mentionné (est-ce que ça fonctionne sur Solaris ?), mais aussi le démarrage sur le réseau, sur USB (ou floppy 5'¼ avec tomsrtbt dans ton cas ;) ). Bref, ça ne me semble pas un argument très fort.

Ce que j'ai plus de mal à comprendre, c'est le sens de "désactiver le root". Plein de processus tournent en user root/0. Certes, tu peux enlever le sticky de /bin/su ou blinder pam (puis faire un sudo su à la place), mais comme ça pour moi la phrase n'a pas de sens :-/ . Y'à un truc que j'ai pas compris ?

Hello,
si tu as /usr et /home sur le HDD, il ne va quasiment rien rester sur le SSD… /etc et /var pour faire court. En résumé, tu ne profiteras pas de la vitesse du SSD.

Ce que je ferais :

• Utiliser LVM pour le partitionnement, comme ça tu peux changer la taille des partitions après coup si tu as vu trop juste.

• Mettre tout ton système et ton home sur le ssd. Par exemple :

/       30/40Go si tu installes plein de trucs
/var    4-5 Go suffit en général
/home   180 Go (garder quelques gigas pour pouvoir resize le `/` tranquillement au cas où).
swap    pourquoi pas, mais j'en ai longtemps pas mis.

• Mettre les trucs qui prennent de la place et n'ont pas besoin trop de vitesse, comme des videos ou des images ISO, voire des photos, sur le HDD et faire un montage dans ton home (par exemple monter /dev/sdb1 sur /home/heronmaiden/grospepere/).

Comme ça tu as un système rapide pour quasiment tout.

Et le jour où tu as un second SSD, tu peux facilement migrer ton HDD dessus.

(Edit: zut j'avais pas vu que c'est déjà mentionné dans les réponses, désolé !)

Est-ce vous avez essayé Vagrant ?

C'est certes basé sur des machines virtuelles, mais ça normalise et automatise leur fabrication.

Super ! Comme je suis sur Archlinux chez moi, j'ai pu installer ton paquet.
Avant l'installation, je me suis dit « ouais bon galère d'apprendre une nouvelle keymap ».
Mais en fait, ce qui est génial, c'est que cette nouvelle disposition est pour l'essentiel compatible avec altgr-intl, et que la disposition est plus logique pour certaines lettres ! La transition devrait se faire pas trop mal.

Deux bémols :

• pas dispo sur Debian par défaut (donc pas à mon boulot)
• comme le altgr-: fait un ô, il va falloir que je trouve une autre touche pour le fameux point médian à l'origine de cette dépêche, le comble :D .

Merci pour la découverte !

Super ! Le post est bien documenté, c'est sympa.

J'ai trouvé quelques coquilles:

l'option exclude de rsync est --exclude, pas -exclude

Cette ligne semble comporter un espace de trop après vieux_dd :

sudo ln -s /mnt/futur_point_de_montage_vieux_dd /home/bourdon/$FILE /mnt/nouveau_dd/home/bourdon/$FILE

et devrait être :

sudo ln -s /mnt/futur_point_de_montage_vieux_dd/home/bourdon/$FILE /mnt/nouveau_dd/home/bourdon/$FILE

Enfin, pour les noms de fichiers avec espace, il faut faire deux choses :

pour la boucle, il faut dire à bash de délimiter sur les retours à la ligne au lieu des espaces. La variable IFS (Input Field Separator) fait ça. Ensuite, il faut mettre des guillemets autour des noms :

FILES_LIST="$(cat liste)"
OLDIFS="$IFS"
IFS="
"
for FILE in $FILES_LIST ; do
    sudo ln -s "/mnt/futur_point_de_montage_vieux_dd/home/bourdon/$FILE" "/mnt/nouveau_dd/home/bourdon/$FILE"
    sudo chown -P -h 1000:1000 "/mnt/nouveau_dd/home/utilisateur/$FILE"
done
IFS="$OLDIFS" # on remet la valeur d'origine

Je ne suis pas certain d'avoir bien compris, mais je tente une réponse quand même…

Redmine est adapté pour faire un service type helpdesk, il fait des notifs par mail, il a une API REST, et des clients en CLI. De mémoire, il faut ajouter un plugin pour avoir les templates de tickets.

Et donc avec un gestionnaire de liste de diffusion (sympa ou mailman) qui reçoit les messages de Redmine, tu peux faire une liste par service, les utilisateurs s'abonnent/se désabonnent aux listes.

Redmine peut aussi prendre les inscriptions des utilisateurs directement, auquel cas ils peuvent (si tu as donné la permission) aller sur l'interface web de Redmine pour réagir aux tickets, ou encore répondre aux mails (option à activer également).

Ok, bon ben contacte-moi sur cette adresse mail basesoixantequatrisée: Y2cgQCBmc2NrIC4gZnI=

J'ai des copines pacsées qui ont adoptées un enfant, et je perçois bien le soulagement pour elles de ne pas se sentir être le bug dans la matrice (jeu de mots involontaire) devant un formulaire.

On rencontre parfois même responsable 1/responsable 2, pour les cas où les tuteurs ne seraient pas les parents.

J'ai peine à imaginer un formulaire qui prenne tous les cas de figure en compte :-/ .

J'ai aussi une Cybook Muse HD, choisie par-rapport à un cahier des charges proche du tien. Et passé la période d'enthousiasme initial, des bugs (freezes complet, rafraîchissement) : affichage très lent et pas si beau (malgré des PPP élevés), tenue en charge pas si folle (2 semaines après un an ?), ergonomie moyenne (malgré les boutons physiques pour tourner les pages).

J'ai totalement laissé tomber quand je s'en suis arrivé à acheter un livre qui m'a obligé à installer Windows et créer un compte Adobe pour la DRM Adobe Digital Editions. Maintenant ma liseuse moisit dans un coin, j'achète des livres papiers, et je suis très content de ce choix.

(Quelqu'un la veut ? Je la donne avec plaisir [Est Parisien])

En effet, c'est important et c'est à prendre en compte.

Mais dire « exclut définitivement » me semble exagéré. Si un jour cette forme spécifique d'écriture devient très courante, les logiciels de lecture évolueront pour supporter cette syntaxe (et/ou les autres formes), d'une manière ou d'une autre.

J'aime bien l'idée pointée par ckiller de "contourner" le problème en écrivant autrement. Mais je n'ai pas du tout l'ambition de défendre l'écriture dite inclusive ou le système académique. Je veux juste pouvoir taper ce · sur mon clavier.

Bon dimanche,
Charles

Cette page du wiki Ubuntu donne une procédure qui me semble approchante de ce que tu veux faire : https://wiki.ubuntu.com/komputes/HowToCloneFilesystem .

C'est juste dans les paramètres rsync qu'il faut ajouter quelque chose du genre --exclude=/home/bourdon.

Tu dois faire bien attention, comme déjà dit, au /etc/fstab et aux UUIDs (voir la commande blkid, et ne pas confondre UUID et PARTUUID).

Si ton home n'est pas dans /home, tu peux avoir des soucis avec snap et apparmor. Le mieux est de modifier le /etc/fstab pour monter ton ancienne partition directement au lieu d'avoir un lien symbolique.

Et surtout: fais une sauvegarde complète (du windows et du linux) avant de démarrer !

Mais je suis d'accord avec Grégoire: c'est plus simple de réinstaller, c'est toujours l'occasion de faire un coup de propre.

Merci pour ce retour ! Dans les quelques entretiens que j'ai eu avec des Québecois, la fourchette semblait honnête, mais c'est vrai pour s'expatrier, ça fait sans doute juste.

Pour avoir passé quelques semaines à Montréal, j'ai l'impression que c'est surtout la vraie nourriture qui coûte cher (légumes/fruits bruts de qualité, qui sont souvent importés).

Debian est un choix assez sage pour un serveur : pas de surprise, peu d'évolutions qui cassent le système d'une version à l'autre, LTS à tous les étages…

On s'ennuie avec Debian, et c'est une bonne chose !

(Source: je gère seul 350 serveurs et 80 workstations Debian au boulot).

Je travaille depuis plus de 10 ans en environnent 99% Linux. Les rares fois où j'ai du installer MS Office sur des PCs Windows, j'ai cru que j'allais devenir fou %-). Acheter le logiciel ne suffit pas ! Tu dois donner ton nom, le nom de ton chien, te loger, trouver la bonne version "desktop" et pas la web, dire non 75 fois au OneDrive, etc… Bref, c'est une vraie chierie ! [note: c'est pas mieux sur Mac avec iCloud, Siri et consorts].

Libreoffice, tu récup un installeur (ou tu fais un apt-get ou pacman ou tu le met dans puppet), et zou, tu peux l'installer sur tes 200 postes et bosser. Et tu n'as pas un commercial qui va te téléphoner 4 fois par an pour te vendre un truc.

D'une manière générale, la gestion des licences, que ce soit pour MS Office, les softs Adobe ou Autodesk, les softs Leica de LIDAR ou que sais-je, c'est un bordel sans nom. En plus, il devient rare de pouvoir acheter un soft, tu dois le louer.

Et c'est vraiment ce truc que j'adore dans les écosystèmes libres genre Debian : tu peux utiliser tout ce qui est dans la distrib et à aucun moment tu n'as un jobard cravaté qui vient te demander des comptes. Quel repos, quel calme ! En tant qu'admin, ça a une vraie valeur.

Pour parler de LO en lui-même, de mon expérience, les versions sont de mieux en mieux. Par exemple, j'ai moins (quasiment plus, même) de problèmes de corruption de documents chez les utilisateurs maintenant qu'il y a 3 ans.

Désolé je suis un peu hors sujet je crois :)