Journal NixOS ou comment j'ai rendu mes machines interchangeables et ennuyeuses

Salut,

Je voudrais te parler de NixOS, la distribution Linux déclarative. C'est solène% qui me l'a fait découvrir. Elle en a pas mal parlé sur son blog. Elle a même fait des trucs plutôt créatifs avec.

Je l'avais installé sur mon laptop secondaire il y a quelques mois à la place d'OpenBSD (déso / pas déso). C'est une machine que j'utilise assez rarement, et quasi exclusivement pour de la navigation web (youtube/rss dans la chambre). J'ai cherché à faire le truc le plus simple possible. LVM over LUKS, ext4, plasma5, firefox. L'installation est facile. Les utilisateurs de Arch ou BSD ne seront pas dépaysés, il suffit de booter sur un live usb et lire la fine documentation. L'administration est pour ainsi dire inexistante. Ça casse pas les gonades, ça marche, ça a totalement le killou seal of approval pour une machine d'usage léger ou ponctuel.

Le concept est simple. /etc/nixos/configuration.nix contient l'état désiré du système et la commande nixos-rebuild s'occupe de tout. Par exemple, si je prends cette configuration

# Edit this configuration file to define what should be installed on
# your system.  Help is available in the configuration.nix(5) man page
# and in the NixOS manual (accessible by running ‘nixos-help’).

{ config, pkgs, ... }:

{
  imports =
    [ # Include the results of the hardware scan.
      ./hardware-configuration.nix
    ];

  # Bootloader.
  boot = {
    initrd.luks.devices.crypted = {
        device = "/dev/disk/by-uuid/5819e617-8899-4e6e-a4f1-4986a6e3bc8e";
        allowDiscards = true;
        bypassWorkqueues = true;
    };
    loader = {
        systemd-boot.enable = true;
        efi = {
            canTouchEfiVariables = true;
            efiSysMountPoint = "/boot/efi";
        };
    };
  }

  networking = {
    hostName = "music";
    domain = "slaanesh.org";

    # Enable networking
    networkmanager.enable = true;
  }

  # Set your time zone.
  time.timeZone = "Europe/Paris";

  # Select internationalisation properties.
  i18n.defaultLocale = "en_US.utf8";

  # Enable the X11 windowing system.
  services.xserver.enable = true;

  # Enable the KDE Plasma Desktop Environment.
  services.xserver.displayManager.sddm.enable = true;
  services.xserver.desktopManager.plasma5.enable = true;

  # Configure keymap in X11
  services.xserver = {
    layout = "fr";
    xkbVariant = "bepo";
  };

  # Configure console keymap
  console.useXkbConfig = true;

  # Enable CUPS to print documents.
  services.printing.enable = true;

  # Enable sound with pipewire.
  sound.enable = true;
  hardware.pulseaudio.enable = false;
  security.rtkit.enable = true;
  services.pipewire = {
    enable = true;
    alsa.enable = true;
    alsa.support32Bit = true;
    pulse.enable = true;
  };

  users.users.killruana = {
    isNormalUser = true;
    description = "killruana";
    extraGroups = [ "networkmanager" "wheel" ];
    packages =  with pkgs; [
      firefox
      thunderbird
      vlc
      deltachat-desktop
      keepassxc
      libreoffice-qt
      libsForQt5.kpat
      lutris
      nextcloud-client
    ];
  };

  # Enable automatic login for the user.
  services.xserver.displayManager.autoLogin.enable = true;
  services.xserver.displayManager.autoLogin.user = "killruana";

  # Allow unfree packages
  nixpkgs.config.allowUnfree = true;

  # List packages installed in system profile. To search, run:
  # $ nix search wget
  environment.systemPackages = with pkgs; [
  ];

  # This value determines the NixOS release from which the default
  # settings for stateful data, like file locations and database versions
  # on your system were taken. It‘s perfectly fine and recommended to leave
  # this value at the release version of the first install of this system.
  # Before changing this value read the documentation for this option
  # (e.g. man configuration.nix or on https://nixos.org/nixos/options.html).
  system.stateVersion = "22.05"; # Did you read the comment?

}

(on aime ou on aime pas la syntaxe. Pour ma part, je ne la trouve pas pire que celle de terraform) et que je fais un petit sudo nixos-rebuild switch; poof ! Je me retrouve avec la machine décrite plus haut. Mon utilisateur est créer automatiquement. Les paquets demandés sont installés. Y'a plus qu'à lancer firefox et venir mouler par ici. Vous remarquerez que les paquets sont déclarés au niveau de la config de mon utilisateur (users.users.killruana) au lieu de le faire au niveau du système (environment.systemPackages). NixOS possède les deux niveaux de granularité. Je peux installer des paquets au niveau global et les rendre à tous (typiquement les trucs tel que sudo, htop, fish) et je peux installer des paquets qui ne seront visible qu'au niveau de mon utilisateur (mon borderl quoi). Si je créai un second utilisateur et que je lui donne une autre liste de paquets, ben il n'aura pas les mêmes programmes d'installé. Et si y'a des paquets communs, les données sont mutualisés pour économiser de la place. Bref, chacun peut se créer son concon sans empieter sur celui des autres. C'est carré, c'est propre. J'aime. Ça a le killou seal of approval des trucs simples et qui juste marchent®.

Mon laptop principal est sous Arch. Arch à le killou seal of approval des trucs cool depuis 2007 (privilège partagé avec gentoo, LFS et OpenBSD). J'ai beaucoup aimé découvrir Arch. Rien ne m'était caché, tout m'était accessible. C'était un lieu idéal pour l'apprentissage et la manipulation des systèmes GNU/Linux/X/… tout en étant plus facile d'accès que Gentoo. Avec les années et l'expérince (15 ans quand même >_<), ça a perdu de sa coolitude, de son charme. Je l'utilise par défaut parce que je n'ai pas trouvé mieux depuis. Ça correspondait exactement à mes besoins. Simple, léger, ça juste marche. À tel point que ça en est ennuyeux. Y'a plus de surprise. Plus de magie. Une ou deux fois par an, un mail sur la mailing list prévenant d'une opération manuelle à effectuer lors d'une mise à jour. Et c'est à peu près tout. J'ai tout qui marche comme je veux, pourquoi est-ce que je chercherai à bidouiller/casser des trucs ? Bref, c'est devenu ennuyeux.

L'envie de nouveauté m'a poussé à remplacer Arch par NixOS. Je sais que cela va rapidement devenir ennuyeux parce que ça marche trop bien. Mais avant d'en arriver là, j'ai encore plein de trucs à maitriser, donc ça devrait aller quelque temps. Pis comme de toute façom je n'ai pas trouvé mieux, faudra faire avec.

Alors pourquoi NixOS c'est mieux que tout ? Déjà, comme mentionné plus haut, c'est très simple. La maintenance du système se résume à l'édition du fichier config. Y'a rien d'autre à faire, la magie (problament très noire et malfaisante mais diablement efficace) s'occupe de tout. À partir de là, je peux versionner la config avec git et facilement revenir en arrière si je ne suis pas satisfait de mes changements. La magie s'occupe de désinstaller et installer ce qu'il faut, générer les fichiers de configs qu'il faut, et recharger tout ce qu'il faut. La magie est tellement puissante qu'elle arrive à demander à i3 de relire sa config quand je modifie cette dernière dans configuration.nix. Yup, une bonne partie de mes dotfiles est directement géré par NixOS. Là, vous pourrez trouvez ma config pour i3. Bref, le système est toujours dans un état propre et à jour. J'aime même vu des exemples de configuration où les gens n'avaient des partitions que pour /boot, /home et /var (et la partition maudit /nix permettant l'accomplissement de la magie); / étant généré dynamiquement au démarage et monté en lecture seule. Car après tout, avec un tel systèm déclaratif et dynamique, pourquoi s'embeter à stocker / ? Avoir sa config avec git, c'est bien. Mais quid en cas de fuckage suffisant au point que le système ne boot plus ? Ben figurez-vous que le système aussi est versionné. à Chaque fois que nixos-rebuild s'exécute avec succès, il créait une nouvelle entrée dans le boot loader pour charger votre système nouvellement créer. Imaginez ici une capture d'écran de mon bootloader me permettant de choisir entre différentes générations du système (différentes options sont disponibles tel que "NixOS generation 85 - 2022-11-08", "NixOS generation 86 - 2022-11-08" ou "NixOS generation 87 - 2022-11-10"). Vous pouvez donc facilement rebooter à un état antérieur du système qui n'était pas encore cassé et retourner à vos occupations. C'est magique. Ça marche. J'aime. Ça a le killou seal of approval des trucs cools et simples qui juste marchent. Y'a la gestion des paquets aussi qui est bien. C'est très simple, y'en a pas. Je demande au système de me rendre tel logiciel disponible, et il s'occupe de tout. Je veux virer un truc, je supprime la ligne idoine dans configuration.nix et tadam, la magie fait le reste. Mon système est propre. Et il le reste. Tous les fichiers gérés par NixOS sont en lecture seule. Impossible d'éditer un fichier de config pour ajouter une option afin de tester un truc à la rache sur redis. Tu modifies la variable packages.services.redis.bla idoine et ton système reste propre et carré. Mais quid si je veux juste installer un truc à la rache ? Y'a une commande pour ça. Elle va automatiquement créer un nouvel environnement temporaire où le programme est disponible. Je quitte le shell, l'environnemnt est détruit. Pensez containers, mais sans les containers. Conceptuellement, un shell avec une variable $PATH augmenté d'une entrée vers un dossier temporaire contenant le programme désiré. Ce n'est pas du containeur ou du chroot. Vous êtes toujours pleinement dans votre système.

jtremesay@edemaruh ~> ruby
The program 'ruby' is not in your PATH. It is provided by several packages.
You can make it available in an ephemeral shell by typing one of the following:
  nix-shell -p jruby
  nix-shell -p logstash6-oss
  nix-shell -p logstash7-oss
  nix-shell -p ruby
  nix-shell -p ruby_3_0
  nix-shell -p ruby_3_1
jtremesay@edemaruh ~ [127]> nix-shell -p ruby

[nix-shell:~]$ ruby 
^CTraceback (most recent call last):
ruby: Interrupt


[nix-shell:~]$ 
exit
jtremesay@edemaruh ~ [SIGINT]> which ruby
which: no ruby in (/run/wrappers/bin:/home/jtremesay/.nix-profile/bin:/etc/profiles/per-user/jtremesay/bin:/nix/var/nix/profiles/default/bin:/run/current-system/sw/bin:/home/jtremesay/.local/bin)

Y'a même plus de sens à la notion de paquets installés. Y'a les trucs que je veux qu'ils soient tous le temps disponibles et indiqués dans configuration.nix et y'a les trucs dont j'ai besoin que très ponctuellement et dont ça ne me dérange pas de taper quelques caractères de plus pour les avoir. Au moins je n'aurai pas à payer le coup de sa mise à jour lors de la mise à jour du système, seulement lors d'un très éventuel usage futur. De plus, ça permet de créer des environnement de développement très propre. Vous faites votre shell.nix qui contient les trucs nécessaire à votre projet, et nix-shell. Genre pip install -r requirements.txt sauf que ça s'occupe d'installer python et tous le reste. De cette manière, vous vous assurez que tous le monde utilise les mêmes libs et versions, diminuant fortement l'occurence des chezmoiçamarche®. C'est le genre de truc que j'aurai aimé avoir que je faisais du C++. J'ai pas encore fini de tout explorer, mais il semblerait qu'il soit aussi possible de gérer des groupes de containers remplaçant ainsi les outils tel que docker compose pour avoir un truc simple et pas relou à la maison. Toutes les options de configurationt disponibles sont disponible là. La liste des paquets est disponible là.

Bref, voici quelque unes des raisons pour lesquels NixOS est le meilleur système du monde.

Retournons à mon laptop principal. Insertion de la clé USB. Allumage du laptop. Mashage de toutes les touches parce que je ne me souviens jamais de quel touche permet de choisir le périphérique de boot (déso / pas déso, je n'ai pas à réinstaller souvent). Boot sur la clé USB. passage du clavier en bépo. Formatage. On va rester sur un truc simple. Parce j'aime les trucs simples qui juste marchent. 2 "disques" NVMe de 1 To, chacun contenant un swap chiffré par LUKS (cryptsetup luksFormat /dev/sda2 && cryptsetup open /dev/sda2 swap0 && mkswap /dev/mapper/swap0 + pareil sur sdb avec swap1) (le swap n'est utilisé que pour l'hibernation, cela fait sens de les chiffrer) et une partition chiffrée utilisées dans un btrfs en raid 1 (cryptsetup … && mkfs.btrfs -d raid1 -m raid1 /dev/mapper/root{0,1}). Y'a aussi une petite partion fa32 pour l'ESP (UEFI system partition )(mkfs.vfat -f32 /dev/sda1). On monte les partitions (swapon /dev/mapper/swap{0,1} && mount /dev/mapper/root0 /mnt && mkdir /mnt/boot && mount /dev/sda1 /mnt/boot). On génère la config initiale (nixos-generate-config --root /mnt). On fait des ajustements (vim /mnt/etc/nixos/configuration.nix) (ATTENTION: si vous utilisez des partitions chiffrées nécéssaires au boot, il faut l'indiquer ici. Un exemple est disponible là. Tout le reste est detecté automatiquement sauf ça -_-). On fait le bootstrap (nixos-install). On reboot (reboot). Le bootloader a bien été configuré, notre système démarre. Il nous demande bien la phrase de déchiffrement des différentes partitions (une seule phrase pour les 4 partitions parce que c'est déjà suffisament bien relou à taper comme ça). Toute la séquence de boot se passe bien. On arrive sur le prompt. On se connecte en root, on récupére la configuration du laptop secondaire via une clé usb, nixos-rebuild && reboot. Une phrase de déchiffrement plus tard, on arrive sur notre bureau plasma et tous nos programmes sont installés. As expected. Simple et cool. Ça juste marche. Il est temps de faire la configuration fine du système. Après quelques heures passés dans la doc et la config, j'ai accouché d'une monstruosité. Dans ce dépot, j'ai la config pour récréer mon système pour qu'il soit tel que je l'aime (i3, xterm, fish, XRessources au petits oignons, nvim avec quelques plugins) tout en tenant compte des différences hardware (une machine intel avec carte graphique intégré et l'autre avec amd et nvidia + drivers proprio; Aussi des différences dans le formatage : btrfs raid 1 vs ext4 over lvm). Bref, (re-)installer une nouvelle machine se résume à formater; git clone; nixos-install; récréer les comptes partout (firefox sync, thunderbird, deltachat, nextcloud-desktop, keepass, steam) et la machine et prête pour le service. Pas de surprise. Simple et efficace. Ça juste marche.

Grace à sa nature déclarative et un dépot git, je peux facilement avoir le même système partout. nvim . && git add . && git commit && git push d'un côté, git pull && nixos-rebuild switch de l'autre. Tadam. La magie noire fait le reste.

Après quelques jours à l'avoir utilisé activement, je suis très satisfait. J'ai pu jouer à mes jeux steam. J'ai pu mettre en place un environement pour faire du dev web "moderne" avec vue.js (:cry: mais plus la partie purement nodejs parce que j'y comprends rien. Pas la mise en place de l'environnement dans NixOS crée à coup de nix-shell -p nodejs :P).

La magie noire est assuré par le gestionnaire de paquet Nix et le langage de programmation (configuration ?) Nix qui méritent un journal dédié.

À court terme, j'envisage de passer mon serveur @home de OpenBSD vers NixOS. Il n'héberge que quelques apps php et mon site perso. La migration devrait être facile. Juste le temps de faire des expérimentations avec les stacks webs sur n'importe laquelle de mes maintenant totalement interchangeables machines. Pas de peur de crader le système, git revert && nixos-rebuild switch si on est pas satisfait. git add . && git commit si on est satisfait. Pas peur de rater une ligne dans un fichier de config lors de l'installation du serveur. Tout est versionné et a déjà était testé. C'est simple, c'est propre, ça juste marche. Ça m'ennui déjà… Où est la plaisir ? Où est la découverte ?

trucs ayant le killou seal of approval c'est simple et ça juste marche® :

• NixOS
• Arch Linux
• OpenBSD (pas en desktop; mais en petit serveur @home, c'est fabuleux <%)
• i3
• xterm
• fish
• la bouilloire en fonte
• la gourde en alu à fermeture comme la bouteille de limonade en verre façon traditionelle, si tu sais comment ça s'appelle n'hésite pas à le dire dans les commentaires
• le rasoir de sureté (todo: essayer le rasoir sabre)/blaireau/savon
• l'Opinel (mon cœur dit Laguiole, la praticité dit Opinel)
• le vélo