Psychofox a écrit 10949 commentaires

un vps, c'est acheté et installé en 1h chez n'importe qui d'autre. Je ne vois pas pourquoi il te faudrait plusieurs jours ?

Même si tu bosses, 1ère pause café pour commander le serveur le matin, deuxième pause à midi pour se connecter créer un user, copier ta clé publique et lancer un premier script de backup de test. Pause café de l'après midi pour vérifier et foutre le cron.

Cela-dit un rsync ce n'est pas un backup si tu ne fais pas des snapshots et de la rotation derrière.

Non, c'est plus compliqué que ça. Virer l'oxygène, ça éteint le feu, mais si il y a quelqu'un à l'intérieur, lui aussi va être éteint.

C'est pourquoi il y a une alarme avec un gros gyrophare et que le personnel qui y accède est informé que quand ça sonne tu dégages. Dans ma boite actuelle je n'ai pas d'accès direct au datacenter mais dans la précédente il y avait un responsable DC à l'extérieur avec caméra qui vérifiait de temps en temps quand un technicien est à l'intérieur si tout va bien, et si on devait y accéder hors heures de bureau on devait se faire accompagner d'un agent de sécurité. C'était d'une part pour la sécurité informatique, mais aussi pour s'assurer que personne n'ait un malaise et se retrouve seul sans secours, ça s'appliquait aussi à des opérateurs qui restaient seuls tards le soir et qui étaient appelés une fois toutes les demi-heure par un agent de sécurité pour s'assurer qu'il était toujours en vie.

Ce sont des mesures qui ont un coût mais qui restent assez standard.

Je te trouve un peu dur avec les pauvres types dont l'admin sys ou l'informatique au sens large n'est pas le cœur de métier.

Ben le pauvre type il doit lire les conditions d'achat, de garantie et quel prestation de maintenance il peut avoir quand il achète un véhicule pour son entreprise. Sinon il passe par de la location et de la gestion de flotte de véhicules.

Si il merde dans sa compta et qu'il se fait rattraper par le fisc, il ne peut pas dire désolé je comprends rien à ça. Il doit soit se former soit engager un comptable ou souscrire à un service.

Ben pour l'informatique c'est pareil. Les serveurs dédié, les vps, c'est fait pour des professionnels ou des hobbyistes qui savent ce qu'ils font. Si tu ne veux pas savoir faire, tu demandes une offre complète gérée par l'hébergeur ou tu passes par un prestataire qui assure ces fonctions.

Ça tombe bien, OVH offre aussi ces prestations:
https://www.ovh.com/fr/serveurs-manages/

Pour les incendies, excusons-les, ils ont des prix d'appels bas.

Je ne suis pas pour déresponsabiliser les gens qui ont perdu des données mais eux là non je ne peux pas être d'accord.

Bon il n'y a pas de résultat d'enquête mais face aux incendies l'excuse du low cost n'existe pas. OVH a non seulement une responsabilité envers ses clients, mais aussi envers la société. C'est pas parce que tu es assuré que tu peux te permettre de faire de la merde et que c'est acceptable de risquer la vie de tes employés, des personnels de secours et d'avoir un incendie qui se propage chez tes voisins.

Je dirais que la responsabilité des uns n'annule pas celle des autres.

Ce qui est assez navrant c'est de voir des gens dire avec éffroi que toutes les données de leur PME est sur un unique vps et qui disent "j'éspère que OVH a fait des backups".

Genre ils n'ont jamais lu les conditions et ils ne savent pas faire la différence entre du demerden sie sich comme les vps/dédiés et une offre d'hébergement gérée.

Non dans les distribs qui utilisent gnome-software c'est fait automatiquement donc ça revient au même.

Avoir 2 serveurs chez 2 hébergeurs différents, c'est pas suffisant. Car les hébergeurs parfois partagent eux-même des datacenter et tu peux avoir 2 hébergeurs utilisant des datacenter à km l'un de l'autre qui souffrent du même tremblement de terre. Donc il faut avoir ses serveurs dans des villes/pays différents. Heureuement en général ils te laissent choisir et t'informent de cette location.

Et ça ne remplace pas des backups.

Et en parlant des backups il faut aussi se renseigner où les données se trouvent réellement si vous ne le faites pas à la popogne. Imagine que tu souscris à une offre de backup mais que tu ne connais rien des détails. Le service te dis que tes données sont dans un datacenter hyper sécurisé. Tu crois que t'es sain et sauf. Ben si la société qui vend ce service de backup a décidé d'utiliser les services d'OVH, était trop conne pour faire de la distribution et de la replication de données sur n sites et utilisait le même datacenter que toi tu l'as dans le ….

Oui ça fait beaucoup de si mais bon un datacenter, normalement c'est aussi conçu pour que ça ne crame pas aussi facilement. En tout cas pas assez pour cramer plus de quelques racks dans une salle. En général quand la fumée est détectée, que l'alerte sonne et le gyrophare s'allume t'as 30s pour quitter la salle avant que l'azote (ou autre gaz inerte) n'ait remplacé toute l'oxygène. Donc des si, on en a déjà utilisé beaucoup.

De toute façon que ce soit google-sync ou firefox-sync c'est bancale dès le départ. Que ce soit pour les mots de passes ou les favoris, c'est bien plus intéressant de les rendre indépendants du navigateur.

Et ça tombe bien on a les gestionnaires de mots de passes pour cela (et ils gèrent aussi très bien tes favoris car tous proposent un champ url).

Mais pourquoi utiliser l'ESR?

Si c'est juste pour faire moins de bruit dans les logs tu peux faire du port knocking. D'un point de vue sécurité, il ne faut pas se faire d'illusion c'est plus ou moins aussi nul que changer de port mais au moins tu sors moins des standard une fois ton ip autorisée (pas besoin de charger ton .ssh/config ni de spécifier le port à chaque commande qui utilise openssh pour se connecter) et ton port apparait comme fermé quand tu te fais port scanner.

Après c'est intéressant sur des machines exposées publiquement sur internet mais sur des réseaux d'entreprises avec potentiellement plusieurs firewalls entre les deux nodes c'est plus emmerdant qu'autre chose car ça fait plus de ports à ouvrir. Il y en a néanmoins des plus avancés qui font un single knock avec un paquet udp signé, ça évite d'avoir des ports multiples pour une séquence et c'est plus rapide.

Si c'est juste motif qui t'intéresse, pas besoin de te torturer tu peux juste utiliser cde ou mwm comme desktop sur ton linux et te limiter à des applications motif (une liste ici et développer celles qui te manquent.

Le swap est utilisé pour l'hibernation, pas pour la veille. Et je crois que peu de gens utilisent l'hibernation…

On ne peut pas vraiment qualifier ubuntu de distro normal tant ils tendent à faire cavalier seuls sur certains choix techniques.

Cela-dit c'est ça aussi la beauté du logiciel libre et du principe des distributions, ce n'est pas parce que x ne voit pas l'intérêt d'une fonctionnalité que y ne vas pas en trouver un.

Il n'est pas obligé de tourner sous root. Je n'ai jamais regardé comment faire en ipv6 mais en ipv4 tu peux rediriger le port 80 vers autre chose.

Du reste dans un contexte de conteneurs, le projet nginx upstream distribue des dockerfiles et image pour faire tourner nginx en tant que user nginx et écoutant par défaut sur le port 8080 : https://hub.docker.com/r/nginxinc/nginx-unprivileged

Bon ça ne s'applique pas à du rm ou de la gestion de fichier mais personnellement j'aime mieux les systèmes qui t'imposent d'écrire le nom de la ressource que tu veux supprimer/rebooter quand tu es en interactif.

Le bon admin c'est celui qui après avoir fait une bêtise l'annonce à son équipe et au client, la répare au plus vite et réalise un post-mortem avec ses collègues après pour comprendre les raisons, limiter le risque que ça se reproduise et améliorer le processus de "remise sur pied".

Soit dit en passant si ubuntu propose par défaut de ne pas mettre de mot de passe root, il ne l'interdit pas. Ma boite a une majorité d'ubuntu et on les déploie avec un mot de passe root.

2h de SLA.

Donc reinstallation d'un système Sun. 20 minutes juste pour le premier boot. Installation du système sans puppet / foreman / ansible / truc.

1h30 plus tard, j'ai mon système up. Au mieux.

Maintenant, pour les donnés et la conf… En comptant la reinstallation de Netbackup parce que le client n'a pas considéré que l'option bare-metal recovery était utile, quelques heures de plus.

Si t'as signé un SLA pour la remise en service en 2h d'un service et que tu n'as pas mis en oeuvre les moyens technique pour le faire tu as un gros problème.

Zones sécurisée, toussa ce sont des excuses. Tu peux avoir un serveur jumpstart et du dhcp dédié à cette zone avec des images adhoc. Ça fait 8ans que je n'ai plus touché à une solaris mais 1h30 ça me parait long pour une install.

Je crois avoir mentionné dans mon journal les choses suivantes : dette technique lourde et méthodes d'un autre temps sauf rares entités un peu plus « à la pointe »

Ben tu l'as ton argument contre l'abandon du mdp root. Tu leurs dis que ta boite travaille avec des méthodes d'il y a 25ans, et des OS dépassés et que s'ils veulent améliorer quelque chose il faudra passer par là avant de songer à ditcher root.

Le problème c'est pas ubuntu, c'est que vous êtes des dinosaures (et je ne vois pas trop comment ça peut être gérable d'un point de vue sécu avec des milliers de machines).

Chez nous on a une majorité d'ubuntu et elles ont toutes un mdp root.

Cela-dit au final un mdp root ça ne sert pas à grand chose. Si une machine est aux fraises et finit en single user mode, une image live sert tout aussi bien. Et au final t'as plus vite fais de la réinstaller. Via foreman une machine a un OS tout frais en 5 minutes. Avec puppet, 5 minutes plus tard au pire la conf de ta machine est restaurée. Les données? Si elle en héberge et que c'était un noeud simple, ben c'est que t'as un SLA bien large donc t'as le temps de restaurer pépère, tout le monde s'en branle de cette appli. Si c'est un noeud d'une archi haute dispo, ben tu relances la synchro et personne n'a rien vu.

Il n'y a pas d'obligation particulière à utiliser docker pour nextcloud.

Hmm je n'ai pas de windows 10 sous la main mais c'était faux la dernière fois que j'ai installé un windows 10, il y a 6 mois environ.

Le compte c'est uniquement pour pouvoir noter/commenter/récupérer ses applis installées sur un autre pc.

Je ne sais pas bien pourquoi ils t'ont moinssé, ce projet est intéressant. Je m'apprêtais à demander s'il y avait des modèles avec firmware libre ou des projets à base de pi-zero, batterie et écran e-paper.

…même si c'est déroutant.

Ça permet de s'assurer que l'utilisateur utilise un python à jour avec l'upstream. Après ils auraient pu faire un alias vers un script qui informe le pourquoi du comment dans la sortie standard et explique comment supprimer l'alias.