Pour compléter un tout petit peu, une socket UNIX est accessible en connaissant son chemin dans l'arborescence locale.
Tandis qu'une socket AF_INET/AF_INET6 (disons « internet ») sera en général exposée via un port TCP ou UDP, qui peut être limité à une écoute locale (type 127.0.0.1) ou distante (avec une IP donnée, ou en écoutant sur toute IP). Ces dernières peuvent ensuite être firewallées à coup d'iptables/nftables ou autre surcouche.
Je me permets de rebondir sur l'aspect technique plutôt que juridique.
Je vais me retrouver dans une situation similaire très prochainement, avec un poste mis à disposition par un client. Étant pour la toute première fois confronté à ce genre de situation (éventuel contrôle à distance par le client, pour déployer des composants/mises à jour… et donc accès root j'imagine, autant dire que je n'ai aucun contrôle), je me demandais comment limiter les effets de bord en local.
Mes pistes actuelles :
Branchement sur un switch configuré avec des VLAN pour m'assurer que le poste ne voit que la Freebox pour sortir sur internet (la question de la sécurité se poserait toujours côté Freebox, mais ça limite la connexion aux autres équipements). Inconvénient : Il va falloir que je m'équipe et que j'apprenne rapidement comment on configure ce genre de choses.
Utilisation du réseau invité de la Freebox. Inconvénient : Jamais utilisé jusque-là, je ne sais pas trop quel cloisonnement cela offre.
J'indiquais que dans certaines conditions, il peut être nécessaire de forcer l'enregistrement d'un système Linux dans la séquence de démarrage du firmware. Et que si on est dans le cas d'un dual-boot Windows/Linux, ce n'est pas trop délirant d'avoir Linux en premier puisque le chargeur de démarrage de celui-ci peut passer la main à Windows.
Si on est capable de lancer le système installé en forçant la main au démarrage une fois (en spécifiant le chemin complet jusqu'au bootloader), ou si on est capable de lancer un système d'installation, alors il est possible de faire la manipulation efibootmgr qui va bien pour modifier la séquence de démarrage du firmware. S'il n'y a pas de Windows dans l'équation, cela limite le risque de régression lors de manipulations à coup d'efibootmgr. :)
J'ai déjà vu un certain nombre de cas similairement foireux lors d'install parties… Notamment quand cela implique Windows + une variante d'Ubuntu.
Pour l'instant, je n'ai pas trouvé mieux que d'intervenir de la façon suivante :
Lancement d'un Linux en mode Live (plutôt qu'en mode installation).
Incantation efibootmgr pour vérifier la configuration actuelle, et ajouter une entrée pour Linux.
L'idée est d'utiliser efibootmgr pour avoir Linux dans la séquence de démarrage du firmware, et ce de façon prioritaire. Du moment que le paquet os-prober est installé (et c'est le cas par défaut sur Debian + Ubuntu), Windows devrait être détecté et proposé dans le menu du chargeur de démarrage (GRUB), ce qui rend acceptable — la plupart du temps — le fait d'avoir Linux qui démarre dans tous les cas : il est possible de basculer sur Windows depuis le menu GRUB.
C'est un peu délicat de donner des instructions à l'aveuglette, c'est le genre de manipulation qui est bien plus facile à faire en direct. Je t'invite à vérifier si un GULL existe à proximité.
Tu obtiens même the user variable is not set. avec deux espaces. ;)
Il y a une légère confusion : tu essaies de passer à ta fonction le nom de ta variable ou son éventuel contenu ?
Si tu passes son nom à la fonction, il va falloir demander à ton shell d'aller chercher son contenu. Cela peut se faire en utilisant eval (qui n'est pas trivial car il faut penser à la double évaluation que cela implique).
Si tu passes son contenu à la fonction, celle-ci n'a pas accès à son nom. Elle ne peut donc pas l'utiliser dans un éventuel message d'erreur.
Tu n'as donc jamais eu affaire à quelqu'un qui s'est mélangé les pinceaux, a explosé le début du (mauvais) disque, et n'a pas pu récupérer ses données parce qu'en MBR il n'y a pas de sauvegarde de la table de partitions ?
De ce que j'ai vu quand de telles vidéos ont commencé à être disponibles (à la louche, il y a 2 ans, je n'ai pas revérifié depuis), une des raisons pour lesquelles on n'a et n'aura pas de support x265 sur Freebox Revolution, c'est le manque de performances de la plateforme. Je ne serais donc pas aussi catégorique que toi sur l'aspect « très peu de puissance ».
On peut même faire un peu plus rigolo en utilisant borg mount sans le ::2020-04-16 final, histoire d'avoir sous la main toutes les sauvegardes incrémentales, et de pouvoir se balader dans chacune jusqu'à trouver celle(s) qui nous intéresse(nt). :)
Mais ça n'en fait pas un miroir français pour autant.
Exemple :
kibi@armor:~$ host deb.debian.org
deb.debian.org is an alias for debian.map.fastly.net.
debian.map.fastly.net has address 151.101.14.133
debian.map.fastly.net has IPv6 address 2a04:4e42:3::645
# https://whatismyipaddress.com/ip/151.101.14.133
City: Frankfurt am Main
Ailleurs :
kibi@armor:~$ ssh casulana.debian.org host deb.debian.org
deb.debian.org is an alias for debian.map.fastly.net.
debian.map.fastly.net has address 151.101.18.133
debian.map.fastly.net has IPv6 address 2a04:4e42:4::645
# https://whatismyipaddress.com/ip/151.101.18.133
City: London
Aucun problème avec KVM/NAT, debian-10.2.0-amd64-netinst.iso ou debian-10.3.0-amd64-netinst.iso et ftp.fr.debian.org (au passage, deb.debian.org n'est pas un miroir français).
Comme suggéré dans une autre réponse, avoir le /var/log/syslog de l'erreur pourrait être un bon début.
Il n'y a aucune raison évidente qui pourrait expliquer cela.
Avoir besoin de faire un apt-get update avant l'installation d'un paquet dont la version a changé dans les dépôts, oui (mais c'est une erreur évidente type 404 sur le téléchargement, ce qui est a priori bien différent).
Avoir besoin de le faire pour récupérer des fichiers d'index à jour quand on utilise une distribution limitée dans le temps (cf. champ Valid-Until dans testing, unstable, etc.), oui. Mais ça n'est pas le cas pour les distributions stables.
Dans tous les cas, ces fichiers étant téléchargés dans leur version la plus récente pendant l'installation, je ne vois pas comment ils pourraient ne pas être à jour… pendant l'installation.
Tu es sûr que c'est le miroir réseau qui pose problème, plutôt que les quelques paquets qui sont sur l'image d'installation que tu utilises ? Celle-ci a-t-elle été téléchargée correctement, vérifiée, et déployée correctement sur ton périphérique d'installation ?
As-tu un proxy (± transparent), des réglages réseau rigolos (MTU, etc.) ?
Le plus simple, ce serait de mettre à disposition /var/log/syslog quelque part.
[^] # Re: ce qui donnerait :
Posté par Cyril Brulebois (site web personnel) . En réponse au message retrouver le "vrai nom" d'une partition dont on connais le PARTLABEL. Évalué à 2.
Je n'ai pas de
PARTLABELsous la main pour tester mais ça fonctionne avecLABEL=etPARTUUID=à tout le moins :Il y a plein d'options sympathiques dans
blkidetlsblk, je te laisse faire ton marché. :)Debian Consultant @ DEBAMAX
[^] # Re: Noyau
Posté par Cyril Brulebois (site web personnel) . En réponse au message Sécurisation de ssh : activation de seccomp. Évalué à 2.
C'est activé :
Debian Consultant @ DEBAMAX
[^] # Re: Sockets UNIX?
Posté par Cyril Brulebois (site web personnel) . En réponse au message Socket . Évalué à 3.
Pour compléter un tout petit peu, une socket UNIX est accessible en connaissant son chemin dans l'arborescence locale.
Tandis qu'une socket
AF_INET/AF_INET6(disons « internet ») sera en général exposée via un port TCP ou UDP, qui peut être limité à une écoute locale (type127.0.0.1) ou distante (avec une IP donnée, ou en écoutant sur toute IP). Ces dernières peuvent ensuite être firewallées à coup d'iptables/nftablesou autre surcouche.Debian Consultant @ DEBAMAX
[^] # Re: Séparation réseau ?
Posté par Cyril Brulebois (site web personnel) . En réponse au message Cadre légal d'accès à un poste en Télétravail. Évalué à 5.
La séparation que j'envisage, c'est justement pour ne pas avoir besoin de me poser la question de si j'ai confiance ou non.
Debian Consultant @ DEBAMAX
# Séparation réseau ?
Posté par Cyril Brulebois (site web personnel) . En réponse au message Cadre légal d'accès à un poste en Télétravail. Évalué à 4.
Je me permets de rebondir sur l'aspect technique plutôt que juridique.
Je vais me retrouver dans une situation similaire très prochainement, avec un poste mis à disposition par un client. Étant pour la toute première fois confronté à ce genre de situation (éventuel contrôle à distance par le client, pour déployer des composants/mises à jour… et donc accès root j'imagine, autant dire que je n'ai aucun contrôle), je me demandais comment limiter les effets de bord en local.
Mes pistes actuelles :
Debian Consultant @ DEBAMAX
[^] # Re: Évaluation en deux temps
Posté par Cyril Brulebois (site web personnel) . En réponse au message Questions sur les fonctions. Évalué à 1.
Oui. Ce que tu proposes appelle le contenu de
$1en tant que commande en positionnant temporairementvar1àeval…Debian Consultant @ DEBAMAX
[^] # Re: efibootmgr ?
Posté par Cyril Brulebois (site web personnel) . En réponse au message No boot HP ProBook 650 G1. Évalué à 2.
Euh, ce n'est pas ce que je suggérais.
J'indiquais que dans certaines conditions, il peut être nécessaire de forcer l'enregistrement d'un système Linux dans la séquence de démarrage du firmware. Et que si on est dans le cas d'un dual-boot Windows/Linux, ce n'est pas trop délirant d'avoir Linux en premier puisque le chargeur de démarrage de celui-ci peut passer la main à Windows.
Si on est capable de lancer le système installé en forçant la main au démarrage une fois (en spécifiant le chemin complet jusqu'au bootloader), ou si on est capable de lancer un système d'installation, alors il est possible de faire la manipulation
efibootmgrqui va bien pour modifier la séquence de démarrage du firmware. S'il n'y a pas de Windows dans l'équation, cela limite le risque de régression lors de manipulations à coup d'efibootmgr.:)Debian Consultant @ DEBAMAX
# Indice
Posté par Cyril Brulebois (site web personnel) . En réponse au message Bizarrerie opérateur ternaire (?:). Évalué à 2.
Ajoute (un log dans) un constructeur de copie ?
Rien de spécifique à l'opérateur ternaire, je dirais.
;)Debian Consultant @ DEBAMAX
# efibootmgr ?
Posté par Cyril Brulebois (site web personnel) . En réponse au message No boot HP ProBook 650 G1. Évalué à 3.
J'ai déjà vu un certain nombre de cas similairement foireux lors d'install parties… Notamment quand cela implique Windows + une variante d'Ubuntu.
Pour l'instant, je n'ai pas trouvé mieux que d'intervenir de la façon suivante :
efibootmgrpour vérifier la configuration actuelle, et ajouter une entrée pour Linux.L'idée est d'utiliser
efibootmgrpour avoir Linux dans la séquence de démarrage du firmware, et ce de façon prioritaire. Du moment que le paquetos-proberest installé (et c'est le cas par défaut sur Debian + Ubuntu), Windows devrait être détecté et proposé dans le menu du chargeur de démarrage (GRUB), ce qui rend acceptable — la plupart du temps — le fait d'avoir Linux qui démarre dans tous les cas : il est possible de basculer sur Windows depuis le menu GRUB.C'est un peu délicat de donner des instructions à l'aveuglette, c'est le genre de manipulation qui est bien plus facile à faire en direct. Je t'invite à vérifier si un GULL existe à proximité.
Debian Consultant @ DEBAMAX
# Évaluation en deux temps
Posté par Cyril Brulebois (site web personnel) . En réponse au message Questions sur les fonctions. Évalué à 3.
Tu obtiens même
the user variable is not set.avec deux espaces. ;)Il y a une légère confusion : tu essaies de passer à ta fonction le nom de ta variable ou son éventuel contenu ?
Si tu passes son nom à la fonction, il va falloir demander à ton shell d'aller chercher son contenu. Cela peut se faire en utilisant
eval(qui n'est pas trivial car il faut penser à la double évaluation que cela implique).Si tu passes son contenu à la fonction, celle-ci n'a pas accès à son nom. Elle ne peut donc pas l'utiliser dans un éventuel message d'erreur.
Debian Consultant @ DEBAMAX
[^] # Re: LVM
Posté par Cyril Brulebois (site web personnel) . En réponse au message Comment partitionner mes disques ?. Évalué à 2.
Tu n'as donc jamais eu affaire à quelqu'un qui s'est mélangé les pinceaux, a explosé le début du (mauvais) disque, et n'a pas pu récupérer ses données parce qu'en MBR il n'y a pas de sauvegarde de la table de partitions ?
Debian Consultant @ DEBAMAX
[^] # Re: autres suggestions?
Posté par Cyril Brulebois (site web personnel) . En réponse au message Linux mint 19.3 - probleme mot de passe utilisateur. Évalué à 1.
Tentative de connexion depuis la console (Ctrl+Alt+Fn) pour décorréler les sujets « connexion utilisateur » et « environnement graphique » ?
Debian Consultant @ DEBAMAX
[^] # Re: /e/n/i FTW?
Posté par Cyril Brulebois (site web personnel) . En réponse au message Ipv6 fixe sous debian buster. Évalué à 1.
Tu n'as pas marqué l'interface
enx001e06300937comme étant automatique, d'où le fait qu'elle est prise en charge par N-M ?→
auto enx001e06300937en plus.(J'imaginais que tu avais déjà une configuration IPv4 et le morceau
autoen place, c'est pour cela que je ne l'avais pas mentionné.)Debian Consultant @ DEBAMAX
# /e/n/i FTW?
Posté par Cyril Brulebois (site web personnel) . En réponse au message Ipv6 fixe sous debian buster. Évalué à 4.
Debian Consultant @ DEBAMAX
[^] # Re: Recycle!
Posté par Cyril Brulebois (site web personnel) . En réponse au message Mini PC pour petit centre multimedia (TV, video, etc...). Évalué à 1.
De ce que j'ai vu quand de telles vidéos ont commencé à être disponibles (à la louche, il y a 2 ans, je n'ai pas revérifié depuis), une des raisons pour lesquelles on n'a et n'aura pas de support x265 sur Freebox Revolution, c'est le manque de performances de la plateforme. Je ne serais donc pas aussi catégorique que toi sur l'aspect « très peu de puissance ».
Debian Consultant @ DEBAMAX
# xca
Posté par Cyril Brulebois (site web personnel) . En réponse au message Logiciel pour gérer CA. Évalué à 3.
Pour gérer les certificats X.509 de quelques clients/serveurs, j'utilise
xca, dont je suis plutôt content.→ https://www.hohnstaedt.de/xca/
Debian Consultant @ DEBAMAX
# `borg mount`++
Posté par Cyril Brulebois (site web personnel) . En réponse à la dépêche Installer BorgBackup sur un NAS. Évalué à 5.
On peut même faire un peu plus rigolo en utilisant
borg mountsans le::2020-04-16final, histoire d'avoir sous la main toutes les sauvegardes incrémentales, et de pouvoir se balader dans chacune jusqu'à trouver celle(s) qui nous intéresse(nt).:)Debian Consultant @ DEBAMAX
# Non ?
Posté par Cyril Brulebois (site web personnel) . En réponse au message Partage NFS et chiffrement. Évalué à 1.
Si la clé est copiée sur le serveur une seule fois, c'est perdu, non ?
Debian Consultant @ DEBAMAX
[^] # Re: Dites 33
Posté par Cyril Brulebois (site web personnel) . En réponse au message Je ne pipe rien à ce pipe. Évalué à 1.
Sinon,
--color=neverdansdnf, histoire d'éviter complètement le problème, plutôt que d'avoir à le contourner ?Debian Consultant @ DEBAMAX
[^] # Re: gpg2 --card-status
Posté par Cyril Brulebois (site web personnel) . En réponse au message GPG : 2 postes et 1 Yubikey. Évalué à 3.
Je crois que dans Tails, on est plutôt satisfait de https://riseup.net/fr/security/message-security/openpgp/gpg-best-practices
Mais je ne vois pas d'information quant aux dates de publication, édition, etc., ce qui me semble un peu dommage.
Debian Consultant @ DEBAMAX
[^] # Re: idem ici
Posté par Cyril Brulebois (site web personnel) . En réponse au message Miroir de l'archive corrompu. Évalué à 1.
Ça, c'est tout à fait vrai.
Mais ça n'en fait pas un miroir français pour autant.
Exemple :
Ailleurs :
Debian Consultant @ DEBAMAX
[^] # Re: idem ici
Posté par Cyril Brulebois (site web personnel) . En réponse au message Miroir de l'archive corrompu. Évalué à 1.
Aucun problème avec KVM/NAT,
debian-10.2.0-amd64-netinst.isooudebian-10.3.0-amd64-netinst.isoetftp.fr.debian.org(au passage,deb.debian.orgn'est pas un miroir français).Comme suggéré dans une autre réponse, avoir le
/var/log/syslogde l'erreur pourrait être un bon début.Debian Consultant @ DEBAMAX
[^] # Re: faire un update avant de lire/installer des paquets
Posté par Cyril Brulebois (site web personnel) . En réponse au message Miroir de l'archive corrompu. Évalué à 2.
Il n'y a aucune raison évidente qui pourrait expliquer cela.
Avoir besoin de faire un
apt-get updateavant l'installation d'un paquet dont la version a changé dans les dépôts, oui (mais c'est une erreur évidente type 404 sur le téléchargement, ce qui est a priori bien différent).Avoir besoin de le faire pour récupérer des fichiers d'index à jour quand on utilise une distribution limitée dans le temps (cf. champ
Valid-Untildanstesting,unstable, etc.), oui. Mais ça n'est pas le cas pour les distributions stables.Dans tous les cas, ces fichiers étant téléchargés dans leur version la plus récente pendant l'installation, je ne vois pas comment ils pourraient ne pas être à jour… pendant l'installation.
Debian Consultant @ DEBAMAX
[^] # Re: Précision
Posté par Cyril Brulebois (site web personnel) . En réponse au message Miroir de l'archive corrompu. Évalué à 2.
Tu es sûr que c'est le miroir réseau qui pose problème, plutôt que les quelques paquets qui sont sur l'image d'installation que tu utilises ? Celle-ci a-t-elle été téléchargée correctement, vérifiée, et déployée correctement sur ton périphérique d'installation ?
As-tu un proxy (± transparent), des réglages réseau rigolos (MTU, etc.) ?
Le plus simple, ce serait de mettre à disposition
/var/log/syslogquelque part.Cf. https://www.debian.org/releases/buster/amd64/ch05s04#problem-report
Debian Consultant @ DEBAMAX
[^] # Re: Jitsi/Etherpad/LimeSurvey ?
Posté par Cyril Brulebois (site web personnel) . En réponse au message GULL à distance. Évalué à 1. Dernière modification le 18 mars 2020 à 11:28.
Pour celles et ceux que ça intéresserait, un article sur l'installation de Jitsi derrière un reverse proxy (apache2 en l'occurrence) → Installing Jitsi behind a reverse proxy.
Et sinon, l'instance que vous pouvez tester → https://jitsi.debamax.com/
Debian Consultant @ DEBAMAX