Planet Evolix

C2DM – Notifications Android – Push

2012-02-02T21:25:00+00:00

C2DM est un service de Google qui permet d'envoyer des données (<1Ko) à un appareil Android, il est plus particulièrement utiliser pour envoyer des notifications.

Le but de cet article est d'expliquer le fonctionnement de base de ce système.
Comme on dit, « une image vaut mille mots », alors voici un petit schéma expliquant le processus de C2DM.

Cliquez sur l'image pour l’agrandir.

L'application demande un « Registration ID ». C'est un ID sur les serveurs de Google qui permet d'identifier l'appareil. Celui-ci change de temps en temps, dans ce cas, Google annoncera le nouvel ID à l'application. Elle devra le re-signaler à l'API via l'étape 3 ;
Les serveurs de Google renvoient le fameux « Registration ID » ;
L'application Android envoi cet ID à son API. Cela n'est fait qu'une seule fois, ou lors du changement de RegistrationID ;
L'API s'authentifie sur les serveurs de Google, cette étape n'est pas faite tout le temps, il faudra stocker le jeton d'authentification obtenu en 5 ;
Google renvoi le jeton d'authentification ;
L'API peut maintenant envoyer sa notification aux serveurs de Google, contenant le RegistrationID, le jeton d'authentification et le message ;
Google se chargera de l'envoyer sur l'appareil, l'application décidera quoi faire avec.

Toutes ces opérations s'effectuent en REST. Libre à vous d'implémenter ces étapes avec votre langage et vos outils favoris. En guise d'exemple, voici un code en PHP utilisant la librairie curl, disponible sur Github. Pour la partie applicative sur Android, consulter la documentation.

La documentation de l'API Google est par ailleurs très bien documenté, il est donc conseiller de la lire en entier, ça se lit très facilement ;-)

Passer root sans terminal

2012-01-26T00:05:40+00:00

Dans certains rares cas, on peut vouloir exécuter des commandes en tant que root sans avoir la possibilité d’allouer un terminal sur la machine en question.

Pour ceux qui aiment bien lire la fin en premier, je mets la fin au début :

echo "mypassword" |sudo -S id

Pour illustrer le problème, prenons un cas concret qui m’est arrivé.
Un serveur s’est soudainement mis dans un état bizarre, à savoir que tout marchait, les processus déjà en cours continuaient de s’exécuter, d’autres processus pouvaient se créer, mais certaines choses ne marchaient pas, notamment l’allocation de pseudo-terminaux (les /dev/pts/*) ; si je tente une connexion SSH au serveur, le serveur répond bien, l’authentification se fait, et au moment d’avoir mon prompt, la connexion se freeze.
Après divers tests, je m’aperçois qu’en passant directement une commande à ssh, ça marche :

ssh serveur-foireux dmesg

La différence vient du fait que dans le deuxième cas, ssh n’ouvre pas de pseudo-terminal sur le serveur distant, puisqu’il se contente de récupérer directement stderr et stdout.
On peut faire en sorte de se connecter sans allouer de terminal sur le serveur avec l’option -T de la commande ssh :

-T Disable pseudo-tty allocation.

On a ainsi un shell qui s’exécute sur la machine, et on récupère la sortie brute de stderr et stdout (pas de prompt, d’édition de la commande en cours, etc…). Pareil pour stdin, ce qui fait que les commandes sudo ou su retournent une erreur, étant donné qu’elles font une manipulation spécifique sur stdin (pas d’echo pour la saisie du mot de passe). De ce fait, on est un peu coincé pour passer root.

Il existe une solution (que j’ai bien sûr trouvé après avoir brutalement redémarrer le serveur), une simple option à sudo qui permet de lire le mot de passe depuis stdin. Et là, pas besoin d’exécuter la commande dans un terminal donc !

echo "mypassword" |sudo -S id
[sudo] password for rdessort: uid=0(root) gid=0(root) groupes=0(root)

Et comme cela affiche votre mot de passe en clair sur l’écran, voici un petit script pour améliorer la chose :

#!/bin/bash
 
echo -n "Enter password: "
read -s passwd
 
ssh serveur-foireux "echo $passwd |sudo -S id"

Une autre application probablement beaucoup plus courante pourrait être de pouvoir scripter des commandes nécessitant d’être root sur le serveur. Notamment exécuter la même commande sur plusieurs dizaines de serveurs d’affilée.

crossdomain.xml pour du crossdomain en Flash

2012-01-23T22:52:11+00:00

Le principe d’une animation Flash est de s’exécuter sur le navigateur du client et non pas sur votre serveur web (qui a une infogérance Evolix bien sûr ). Des restrictions sont donc en place sur les players Flash récents lorsque l’animation tente de charger des éléments extérieurs : par défaut, cela n’autorise que le chargement des images. En effet, une animation Flash malicieuse pourrait charger des éléments secrets sans ces restrictions de sécurité (par exemple, révéler le contenu d’un intranet sur un réseau interne d’entreprise) ! Néanmoins, on peut autoriser des éléments à être chargés par une animation Flash en créant un fichier crossdomain.xml du type :

<?xml version="1.0"?>
<cross-domain-policy>
        <allow-access-from domain="*"/>
</cross-domain-policy>

…que l’on placera à la racine du serveur avec les éléments à charger (et non pas sur le serveur web servant l’animation).

Prenons un exemple d’un site http://www.example.com/ contenant une animation foo.swf qui charge un fichier http://static.example.com/flux.rss : il faudra donc positionner un fichier http://static.example.com/crossdomain.xml

Pour plus de détails, voir sur http://kb2.adobe.com/cps/142/tn_14213.html

Voeux 2012 Evolix

2012-01-04T15:42:47+00:00

Et voilà la maquette du premier semestre 2012 pour le troisième opus du Calendrier Evolix, bientôt sur votre bureau !

Ajouter un disque dans un volume RAID5 hardware

2011-12-05T01:00:21+00:00

Prenons un serveur DELL avec un controlleur RAID et un volume RAID5 configuré. Vous l’utilisez (sous Linux bien sûr) et un jour vous avez besoin d’ajouter un disque pour avoir plus de place. Est-ce possible ?

Ça dépend du controlleur RAID !

La capacité d’étendre un volume RAID5 en recalculant l’ensemble du volume (la parité étant répartie sur tous les disques) dépend d’un controlleur RAID à un autre. Difficile de donner des proportions, mais forcément plus un controlleur sera cher plus il aura de chance de le supporter. Revenons à notre exemple d’un serveur DELL, équipé d’une classique carte RAID PERC 5/i. Après avoir rajouté un disque, si l’on va dans le BIOS de la carte RAID : aucune trace de la possibilité d’étendre un volume ! On peut le supprimer, modifier ses options, mais absolument pas rajouter un nouveau disque. En fait, cette fonctionnalité n’est pas accessible depuis le BIOS… mais elle est possible via un outil en ligne de commande ! Voici une ligne de commande permettant d’ajouter un disque dans un volume RAID5 existant :

# omconfig storage vdisk action=reconfigure controller=0 vdisk=0 raid=r5 \
 pdisk=0:0:0,0:0:1,0:0:2,0:0:3,1:0:5
Command successful!

Et au niveau système, ça se passe comment ?

Une fois cette commande lancée, on peut constater dans le BIOS que le volume RAID5 est en cours de reconstruction. On le voit aussi au niveau système (avec l’outil MegaCli) :

Reconstruction           : Completed 17%, Taken 99 min.

Cela va durer plusieurs heures où les accès au volume RAID sera très lent…

Tant que ce n’est pas terminé, le système verra toujours le volume avec son « ancienne » taille :

sd 0:2:0:0: [sda] 1754529792 512-byte logical blocks: (898 GB/836 GiB)

Une fois terminé, le système verra après un reboot la nouvelle taille :

sd 4:2:0:0: [sda] 2339373056 512-byte logical blocks: (1.19 TB/1.08 TiB)

On verra donc sans rien faire de plus la nouvelle taille via les outils fdisk/cfdisk/etc. et donc un espace supplémentaire en Free Space.

Il reste ensuite à gérer cela au niveau partitions et filesystem. Voici un exemple où l’on rajoute une partition LVM et l’on étend d’un LV existant :

# cfdisk /dev/sda
# partprobe
# pvcreate /dev/sda10
  Physical volume "/dev/sda10" successfully created
# vgextend group1 /dev/sda10
  Volume group "group1" successfully extended
# lvextend -L+250G /dev/mygroup/srv
  Extending logical volume srv to 550.00 GiB
  Logical volume srv successfully resized
# umount /srv
# resize2fs -p /dev/mygroup/srv
resize2fs 1.41.12 (17-May-2010)
Please run 'e2fsck -f /dev/mygroup/srv' first.
# e2fsck -f /dev/mygroup/srv
e2fsck 1.41.12 (17-May-2010)
Pass 1: Checking inodes, blocks, and sizes
Pass 2: Checking directory structure
Pass 3: Checking directory connectivity
Pass 4: Checking reference counts
Pass 5: Checking group summary information
/dev/mygroup/srv: 16/19660800 files (0.0% non-contiguous), 46720716/78643200 blocks
# resize2fs -p /dev/mygroup/srv
resize2fs 1.41.12 (17-May-2010)
Resizing the filesystem on /dev/mygroup/srv to 144179200 (4k) blocks.
Begin pass 1 (max = 2000)
Extending the inode table     XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
The filesystem on /dev/group1/srv is now 144179200 blocks long.
# mount /srv
# df -h /srv
Filesystem            Size  Used Avail Use% Mounted on
/dev/mapper/group1-srv
                      542G  174G  341G  34% /srv

Et voilà, c’est donc possible dans certains cas.

mysql -o

2011-11-18T22:42:37+00:00

Si vous avez une sauvegarde de base de données MySQL réalisée avec la commande mysqldump –all-databases il est souvent fastidieux de découper le fichier pour récupérer une base de données particulière. Une option de la commande mysql est faite pour cela : mysql -o

Vous pouvez donc restaurer une base de données ainsi :

mysql> create database foo
$ mysql -o foo  all-databases.sql

Note : la base de données foo doit déjà exister.

Canon CanoScan LiDE200 on Debian Squeeze (stable)

2011-11-17T14:14:51+00:00

D’après : http://www.sane-project.org/sane-mfgs.html, il est pleinement supporté. (avec sane-genesys)

Sauf qu’en creusant, il faut une version de libsane > 1.0.21-9 (version de Squeeze)
La version de Wheezy est 1.0.22-6 et est fonctionnelle.

L’idée “propre” est de se servir des squeeze-backports pour avoir une version de libsane fonctionnelle.

Ajouter dans votre /etc/apt/sources.list :
deb http://backports.debian.org/debian-backports squeeze-backports main

On en profite pour indiquer qu’on ne veut utiliser ce repository que pour libsane (sinon vous pouvez le forcer explicitement avec “aptitude -t squeeze-backports”), dans /etc/apt/preferences
8 -----------------------8
Package: *
Pin: release o=Debian, n=squeeze-backports
Pin-Priority: 50

Package: libsane
Pin: release o=Debian, n=squeeze-backports
Pin-Priority: 600
8 -----------------------8
et ensuite tout simplement il suffit de faire :
# aptitude update # aptitude install libsane Les NOUVEAUX paquets suivants vont être installés : acl{a} Les paquets suivants seront mis à jour : libsane libsane-extras sane-utils 3 paquets mis à jour, 1 nouvellement installés, 0 à enlever et 6 non mis à jour. Il est nécessaire de télécharger 4 769 ko d’archives. Après dépaquetage, 864 ko seront utilisés. Voulez-vous continuer ? [Y/n/?]

Et voilà
# xsane
fonctionne désormais

Tips : si vous avez une webcam, xsane risque de le detecter comme scanner.
Pour éviter ça, il vous suffit de commenter dans /etc/sane.d/dll.conf la ligne v4l (pilote webcam) … voire ne laisser que genesys si vous avez suivi

Reverse Engineering d'un réseau local de résidence. Service type portail captif.

2011-11-11T15:00:00+00:00

Dans la résidence où je me trouve, il y a un service (dont je tairais le nom pour m'éviter les ennuis) qui propose une connexion à Internet Haut-Débit (ou pas) pour 17,99€ par mois. Le gros truc qui pue, c'est un portail captif, que y'a des tonnes d'usagers, et que derrière ce sont des simples box ADSL, mais bref...

Je me suis donc amusé à imaginer le réseau, en faisant du reverse engineering, c'est à dire, comprendre son fonctionnement juste en analysant ce qui se passe.
Pour cela un seul outil : Wireshark, et un filtre un peu long pour virer ses propre trames, et des infos du protocole 802.11 inutiles :
((((((((!(wlan.fc.type_subtype == 0x1d)) && !(wlan.fc.type_subtype == 0x08)) && !(wlan.sa == 00:17:c4:5c:xx:xx)) && !(wlan.da == 00:17:c4:5c:xx:xx)) && !(wlan.da == 01:80:c2:00:00:00)) && !(wlan.fc.type_subtype == 0x24)) && !(wlan.fc.type_subtype == 0x05)) && !(wlan.fc.type_subtype == 0x04)) && !(wlan.fc.type_subtype == 0x1c)

Lorsque l'on se connecte à la borne WiFi du coin, on chope une adresse IP, une adresse de passerelle (normal) et un serveur DNS. Les gens (ingénieurs ?) qui ont imaginé la solution ont décidé d'isoler chaque client dans un VLAN (ce qui est bien).

En résumé, voici un exemple de paramètres qu'on peut avoir sur 2 postes :

Poste X
- Adresse IP : 172.16.xx.253/24
- Gateway : 172.16.XX.254/24
- DNS : 192.168.aa.bb/cc
Poste Y
- Adresse IP : 172.16.yy.253/24
- Gateway : 172.16.yy.254/24
- DNS : 192.168.aa.bb/cc

Chaque poste est isolé dans son réseau en /24 et c'est en fait un VLAN qui sera routé par ce qu'on (je ?) appelle un routeur Inter-VLAN.
Jusque que là, c'est très bien car la machine X ne peut pas communiquer avec Y et vice-versa. SAUF que c'est du WiFi, on se met en mode « promiscuous » et on peut écouter tout ce qui ce qui circule, tel ces bon vieux HUB ...

Les grosses failles exploitables :

Il suffit de spoofer l'adresse MAC de quelqu'un, de le déconnecter de la borne avec mdk3 ou aircrack, de se connecter à la borne WiFi, et le reste sera fait automatiquement, vous avez le Web o/
Comme le réseau Wifi est OPN, vous pouvez voir tout ce qui circule en clair. Tiens mais qu'est-ce que ce protocole MSN et ses adresses @hotmail. Tiens GET /balbla?login=toto&pass=PasSecret
Vous pouvez rejoindre le réseau d'un poste et vous amuser. Vous ne serez pas connecter à Internet, mais vous pourrez vous amuser à scanner tous les postes de la résidence.
Le portail captif est en ... HTTP, à vous les mots de passe des usagers, mais qu'importe il suffit de spoofer l'adresse MAC d'un autre poste, c'est encore mieux ;-)

L'idéal pour sécuriser et proposer ce genre de service ?

Une borne ouverte qui propose une page d'authentification, en HTTPS, qui lorsque l'on s'authentifie nous donne le nom d'un BSSID caché, et une passphrase WPA2 généré aléatoirement. On se connectera ensuite ici.

Faire écouter une borne sur de multiples BSSID c'est facile, générer un BSSID associé à une passphrase c'est aussi facile, et ce genre de solution serait beaucoup plus sécurisé, car il serait impossible d'espionner les conversations des autres postes ET de spoofer un accès, auquel cas il vous faudra faire du cracking WPA.

Schéma

Je me suis amusé à faire un schéma de l'infrastructure actuelle, tel que j'ai l'ai analysé.

Le mot de la fin

Passez par des VPN ou tunnels socks SSH quand vous vous connectez sur ce genre de passoire !

Connexion VPN PPTP sous Linux

2011-11-11T13:53:32+00:00

Bien que le PPTP (Point-to-Point Tunneling Protocol) soit une technologie de VPN plutôt implantée dans le monde Microsoft, cela reste assez accessible sous Linux. Voici un résumé rapide de sa mise en place sous Debian :

# aptitude install ppp pptp-linux

Créer le fichier /etc/ppp/peers/<TUNNEL> :

name <LOGIN>
remotename PPTP
require-mppe-128
file /etc/ppp/options.pptp
ipparam <TUNNEL>

Ajouter la ligne suivante dans le fichier /etc/ppp/chap-secrets :

<LOGIN> PPTP <PASSWORD> *

Et, enfin, lancer le VPN ainsi :

# pppd call <TUNNEL>
# route add -net <RESEAU> dev ppp0

Nov 11 14:47:51 pppd[5648]: pppd 2.4.5 started by root, uid 0
Nov 11 14:47:51 pppd[5648]: Using interface ppp0
Nov 11 14:47:51 pppd[5648]: Connect: ppp0 <–> /dev/pts/9
Nov 11 14:47:51 pptp[5649]: anon log[main:pptp.c:314]: The synchronous pptp option is NOT activated
Nov 11 14:47:51 pptp[5656]: anon log[ctrlp_rep:pptp_ctrl.c:251]: Sent control packet type is 1 ‘Start-Control-Connection-Request’
Nov 11 14:47:51 pptp[5656]: anon log[ctrlp_disp:pptp_ctrl.c:739]: Received Start Control Connection Reply
Nov 11 14:47:51 pptp[5656]: anon log[ctrlp_disp:pptp_ctrl.c:773]: Client connection established.
Nov 11 14:47:52 pptp[5656]: anon log[ctrlp_rep:pptp_ctrl.c:251]: Sent control packet type is 7 ‘Outgoing-Call-Request’
Nov 11 14:47:52 pptp[5656]: anon log[ctrlp_disp:pptp_ctrl.c:858]: Received Outgoing Call Reply.
Nov 11 14:47:52 pptp[5656]: anon log[ctrlp_disp:pptp_ctrl.c:897]: Outgoing call established (call ID 0, peer’s call ID 30866).
Nov 11 14:47:53 pppd[5648]: CHAP authentication succeeded
Nov 11 14:47:53 kernel: [16889.850222] PPP MPPE Compression module registered
Nov 11 14:47:53 pppd[5648]: MPPE 128-bit stateless compression enabled
Nov 11 14:47:56 pppd[5648]: local IP address <IP1>
Nov 11 14:47:56 pppd[5648]: remote IP address <IP2>

Pour plus de détails, voir http://gcolpart.evolix.net/blog21/pptp-vpn-gateway-with-debian/ Et si vous voulez avoir un vrai serveur VPN, adressez-vous à Evolix

Compte rendu de la soirée du Palmarès 2011 du #Deloitte technologie fast 50 Méditerranée

2011-11-10T15:05:06+00:00

Evolix était nominée une nouvelle fois cette année avec une croissance côté CA de 224% entre 2006/2010 (5 dernières années).

Parmi les 70 sociétés régionales nominées, Evolix s’est placée à la 24ème place sur le classement des 50 premières. (FAST 50)

Petit résumé de cette soirée qui avait lieu hier 10 novembre à la Station Alexandre (Marseille)

Petit OVNI de la soirée fortement intéressant, l’écologue Emmanuel Delannoy, de Institut Inspire, auteur de “l’économie expliquée aux humains” a pu nous peindre ce qu’était la biodiversité et prendre du recul sur notre relation à la nature/planète.
Les grandes idées et leçons transmises :

1/ Sur cette photo recomposée, on voit en jaune les lumières nocturnes qui donnent une bonne indication de la richesse d’un pays et son PIB. En rouge ce sont les zones d’exploitation des ressources premières vitales comme le gaz et le pétrole. Le violet ce sont les zones où on brûle de la forêt primaire pour faire de la monoculture. On voit que les lieux de consommation et de production sont bien différents et une forte inégalité. Une vision mondiale est donc nécessaire pour optimiser les flux.
2/ Nous vivons sur les acquis de notre passé et nous les avons épuisés ou presque en peu de siècles (il reste 69 années de fer, 12 ans de terres rares, peu d’années de pétrole). C’est le travail de micro-organismes primaires il y a des millions d’années qui ont permis l’existence des matières premières comme les hydrocarbures ou le calcaire. Nous devons aujourd’hui aussi produire pour que l’homme de demain puisse avoir quelque chose à utiliser.
3/ Outre le charbon – exception écologique de déchet “final” de la nature constitué à une époque où il n’y avait pas d’organismes le dégradant – la nature ne produit pas de déchet.
4/ Il y a une inversion ces derniers siècles entre la profusion de matière premières et notre capacité à innover (niveau de formation moyen, etc.)
5/ L’évolution ne laisse que peu de place aux espéces trop spécialisées. L’homme est différencié (alimentation, etc.) mais vit sur une économie très spécialisée. Il lui faut la repenser sous peine d’implosion de cette dernière et s’inspirer de la Nature est idéal.
6/ Il y a de nombreux cas de mimétisme de la nature déjà (profil du métro japonnais vis à vis du pinson (capable de plonger son bec dans l’eau sans perturbutions)), il faut maintenant copier également les “workflows” et mécanismes de cette dernière pour avoir des écosystèmes positifs énergétiquement.
7/ Dans la biodiversité, il existe différents types de relations (coopération{+,+}, prédateur {+,-}, coexistance {0,0},compétition{-,-}) où seule la compétition a pour effet un {-,-} (outre l’émulsion inhérente).
8/ Il va falloir pour faire changer les choses, que l’homme soit moins individualiste et court terme car il y aura un coût initial fort de mise en place de ces nouveaux écosystèmes qu’il faudra supporter pour permettre leur expansion.

Un livre à faire lire à nos politiques :

Les lauréats de la soirée :

1er Prix : Aquafadas (croissance 3231% en 5 ans, 1,8M€ CA)
2ème Prix : CBM (croissance 1521% en 5 ans, 1,2M€ CA)
Un grand bravo tout particulier pour Xavier et ce second prix ! Le nombre de salarié ne fait pas la valeur de la boîte

3ème prix : Urbasolar (croissance 1276% en 5 ans, 37M€ CA)

Prix Nyse Euronext : Naturex (croissance 242% en 5 ans, 226M€ CA, 1000 salariés)
Prix Coup de Cœur Jury : Inside Secure (croissance 318% en 5 ans, 120M€ CA, 500 brevets)
Prix Viveris (Croissance rentable) : Synchrone technologies (croissance 398% en 5 ans, 37M€)
Prix Oseo (Innovation) : Néotys (croissance 900% en 5 ans, 4,5M€ CA)

À l’année prochaine !

Augmenter le max open files

2011-11-06T14:14:40+00:00

Un processus lancé sous Linux a une limite maximum de fichiers ouverts : en général c’est 1024. Parfois, certains processus manipulent beaucoup de fichiers et il est donc nécessaire d’augmenter cette limite.

Tout d’abord, voyons comment vérifier cette limite.

Dans un shell, on peut vérifier ce nombre :

$ ulimit -n
1024

Plus intéressant, on peut vérifier la limite d’un processus en fonctionnement :

# grep '^Max open files'  /proc/<pid>/limits
Max open files            2048                 2048                 files

Alors, comment modifier cette limite ?

Il faut bien avoir en tête que cette limite se change à la volée avec la commande ulimit. Tout processus lancé prendra la limite en cours dans le shell dans lequel il est lancé :

$ ulimit -n 512
$ <processus>

Néanmoins, on veut en général augmenter cette limite, et seul root peut augmenter cette limite.

Pour changer cette limite lors de l’identification d’un utilisateur via ssh, login, su, etc. on pourra utiliser le fichier /etc/security/limits.conf :

root                -       nofile          8192
jdoe                -       nofile          4096
*                   -       nofile          2048

Ainsi, lors du prochain login, un utilisateur « obtiendra » la limite indiquée.

Mais ATTENTION cela ne modifie PAS la limite des processus lancés au démarrage de la machine ! Cela peut être un vrai piège… Prenons un exemple concret : si j’augmente la limite du max open files à 8192 pour root via /etc/security/limits.conf j’ai donc cette valeur quand je me logue en root ! Si j’installe un logiciel qui se lance en daemon (ou si je redémarre un daemon déjà installé), celui se lancera avec ma valeur courante soit 8192. MAIS si je redémarre ma machine, le logiciel se relancera cette fois avec la valeur 1024 ! J’espère que vous comprenez le piège que cela peut être !!

La meilleure solution sur un serveur destiné à lancer des daemons automatiquement (c’est souvent le cas sur un serveur ) est donc de positionner explicitement la limite avec la commande ulimit. Cela permet de positionner la bonne valeur au démarrage de la machine et pour chaque redémarrage du daemon. Sous Debian, on positionnera notamment ces valeurs dans les fichiers /etc/default/<daemon> :

# echo "ulimit -n 4096" >> /etc/default/tomcat6
# echo "ulimit -n 1337" >> /etc/default/ssh

Reverse DNS des adresses IP privées avec Bind

2011-11-06T05:12:11+00:00

Tout administrateur d’un réseau d’adresses IP se doit de configurer des reverses DNS pour l’ensemble des adresses IP de son réseau. En effet, de nombreux services comme MySQL, Postfix, OpenSSH, CUPS… se servent des reverses DNS pour leur fonctionnement. Ceci est d’autant plus important si il s’agit d’adresses IP privés (10.0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16) car la tentative de résolution DNS se propagera sur Internet ce qui est théoriquement interdit. Plus grave, la résolution DNS échouera grâce aux réponses NXDOMAIN des serveurs blackhole d’IANA (qui sont là pour limiter ce genre de requêtes grâce au cache DNS) et le problème ne sera donc pas apparent ! Sauf qu’aller faire des requêtes DNS à l’autre bout du monde sur des serveurs plus ou moins fiables à chaque requête MySQL (exemple volontairement exagéré) n’est évidemment pas la meilleure idée. Cela peut dégrader les performances mais surtout cela provoquer de lourds dysfonctionnements (un serveur MySQL complètement hors-service par exemple…) si ces requêtes DNS ne fonctionnent pas (et ça n’est pas rare que cela arrive). Pour éviter cela, la réponse est donc de configurer une résolution DNS avec un logiciel comme Bind. L’idée est même de configurer systématiquement les reverses DNS de chaque bloc d’IP non routables. On ajoutera donc dans la configuration de Bind les blocs suivants :

zone "10.in-addr.arpa" {
        type master;
        file "/etc/bind/db.nxdomain";
};

zone "168.192.in-addr.arpa" {
        type master;
        file "/etc/bind/db.nxdomain";
};

zone "16.172.in-addr.arpa" {
        type master;
        file "/etc/bind/db.nxdomain";
};

zone "17.172.in-addr.arpa" {
        type master;
        file "/etc/bind/db.nxdomain";
};

zone "18.172.in-addr.arpa" {
        type master;
        file "/etc/bind/db.nxdomain";
};

zone "19.172.in-addr.arpa" {
        type master;
        file "/etc/bind/db.nxdomain";
};

zone "20.172.in-addr.arpa" {
        type master;
        file "/etc/bind/db.nxdomain";
};

zone "21.172.in-addr.arpa" {
        type master;
        file "/etc/bind/db.nxdomain";
};

zone "22.172.in-addr.arpa" {
        type master;
        file "/etc/bind/db.nxdomain";
};

zone "23.172.in-addr.arpa" {
        type master;
        file "/etc/bind/db.nxdomain";
};

zone "24.172.in-addr.arpa" {
        type master;
        file "/etc/bind/db.nxdomain";
};

zone "25.172.in-addr.arpa" {
        type master;
        file "/etc/bind/db.nxdomain";
};

zone "26.172.in-addr.arpa" {
        type master;
        file "/etc/bind/db.nxdomain";
};

zone "27.172.in-addr.arpa" {
        type master;
        file "/etc/bind/db.nxdomain";
};

zone "28.172.in-addr.arpa" {
        type master;
        file "/etc/bind/db.nxdomain";
};

zone "29.172.in-addr.arpa" {
        type master;
        file "/etc/bind/db.nxdomain";
};

zone "30.172.in-addr.arpa" {
        type master;
        file "/etc/bind/db.nxdomain";
};

zone "31.172.in-addr.arpa" {
        type master;
        file "/etc/bind/db.nxdomain";
};

Avec un fichier db.nxdomain quasiment vide :

$TTL 1800
@ IN    SOA     ns.example.com. dnsmaster.example.com. (
                2011111111      ;serial
                3h              ;refresh
                1h              ;retry
                1w              ;expire
                1h )            ;minimum

        IN      NS      localhost.

Ainsi, toute demande de reverse DNS sur une adresse IP privée restera en « local » et obtiendra immédiatement une réponse NXDOMAIN :

% dig -x 10.42.51.21

;; ->>HEADER- opcode: QUERY, status: NXDOMAIN, id: 53753
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0

;; QUESTION SECTION:
;21.51.42.10.in-addr.arpa.      IN      PTR

;; AUTHORITY SECTION:
10.in-addr.arpa.  1800 IN SOA  ns.example.com. dnsmaster.example.com. 2011111111 10800 3600 604800 3600

;; Query time: 1 msec

Indispensable sur les réseaux avec des milliers de machines mais aussi les petits réseaux de quelques machines.

Sortie d’OpenBSD 5.0

2011-11-06T03:58:22+00:00

Comme chaque 1er mai et 1er novembre, une nouvelle version d’OpenBSD est sortie ce 1er novembre 2011 ! La version OpenBSD 5.0 n’est pas une version particulièrement « majeure » (elle vient simplement après la version 4.9) mais elle apporte son lot de changements et d’améliorations. Pour rappel, OpenBSD est un système BSD ultra-sécurisé, particulièrement adapté pour fonctionner comme routeur et comme firewall grâce à PF (firewalling), isakmpd (IPSEC), OpenBGP (service BGP), CARP/pfsync (redondance), OpenSSH, etc.

À propos des perturbations sur les services BlackBerry

2011-10-12T23:35:09+00:00

Les services BlackBerry rencontrent de fortes perturbations depuis plusieurs jours. Parmi les clients d’Evolix pour qui nous infogérons leur service de messagerie, certains utilisateurs ont fait le (mauvais) choix d’utiliser des BlackBerry. Notre support se retrouve donc à traiter des problèmes de mails non délivrés sur BlackBerry… mais malheureusement nous n’y pouvons rien (à part expliquer la situation). En effet, le fonctionnement des BlackBerry est d’utiliser une sorte de proxy IMAP situé chez BlackBerry : un BlackBerry est donc connecté aux serveurs de BlackBerry qui récupèrent et mettent à jour les emails sur votre serveur de messagerie. Depuis lundi, on constate toujours des connexions de la part des serveurs de BlackBerry, mais les emails ne parviennent pas toujours instantanément sur votre BlackBerry : le problème est bien sur leur infrastructure en pseudo-Cloud Computing et on ne peut vraiment rien y faire !

J’en profite pour expliquer un peu pourquoi je pense que c’est un mauvais choix d’utiliser BlackBerry pour le mail. Premièrement, la non-utilisation des standards : il existe des protocoles pour l’envoi et la réception de mails, et ne pas les utiliser est une erreur. Deuxièmement, faire transiter des messages par d’obscurs serveurs en Angleterre ou au Canada est une hérésie. Nous mettons en place une messagerie adaptée aux exigences d’un client, et cette surcouche BlackBerry est aberrante : c’est un SPOF (Single Point Of Failure), un problème pour la confidentialité et la sécurité, une absurdité écologique …et surtout c’est inutile dans l’absolu ! Bref, changez pour un fonctionnement moins fermé, par exemple un smartphone Android avec le logiciel libre K-9 Mail avec votre serveur infogéré par Evolix ;-)

Compte rendu TOPTIC 2011

2011-10-12T16:46:30+00:00

Une nouvelle fois Evolix était présente sur le stand Libertis sur le TopTIC 2011 au Palais de la Bourse, hier Mardi 11 Octobre.
Libertis a fait confiance à l’équipe de I2M pour avoir le plus beau stand. Pari réussi avec en plus du joli ballon, un drapeau

Evolix a pu animer la première conférence de la journée en salle Euromed (vu sur Twitter) :

Sujet : “Quelle infrastructure Open Source pour votre société ?”
Voici les slides présentés :

Focus sur la gestion d’identité par Pascal Flamand
Focus sur le déploiement de machines par Tristan Colombo
Focus sur la gestion de parc et supervision par Maxime Longuet

Par ailleurs, Evolix a participé au “Trophée de la Performance d’entreprise et des solutions IT”
Evolix a ainsi présenté dans le format donné (3 minutes chrono) un exemple où son expertise en architecture et systèmes Linux/BSD a permis sur une infrastructure web haute disponibilité et à fort trafic (100% Open Source) d’atteindre la performance pour notre client.
La vidéo : (l’ordinateur de présentation sous Windows a planté )

3ème place Trophée de la performance… par sebfox
Malgré son statut intégrateur et non éditeur d’une solution, nous avons été primé avec la 3ème place sur plus de 10 sociétés participantes.
Le jury (journalistes et DSI) :

Opérateur réseau AS197696

2011-09-29T22:36:45+00:00

En complément des nouvelles informations sur l’hébergement Evolix, voici des précisions techniques sur la partie réseau.

Nous sommes donc devenu l’opérateur réseau AS197696. Cela signifie que nous faisons tourner un AS (Autonomous System) gérant plusieurs préfixes IPv4/IPv6 et interconnecté avec d’autres AS. Nous sommes actuellement connectés en direct avec les opérateurs JAGUAR et IELO qui gèrent des interconnexions de qualité avec Free, Orange, SFR, Google, etc. En agrégeant des opérateurs de qualité, grâce au routage dynamique via BGP, nous sommes un opérateur de très bonne qualité :-) ! BGP permet en effet de sélectionner naturellement les meilleures routes vers n’importe quel équipement connecté à Internet. BGP est également tolérant aux pannes : exemple concret, l’opérateur JAGUAR a réalisé une maintenance de 10 minutes la nuit dernière, ça n’a provoqué aucune coupure pour nous ! Autre avantage : en cas de soucis réseau quelque part sur Internet (au hasard, dans un gros datacenter parisien), nous pouvons dans certains cas contourner le problème même si il ne nous concerne pas ! Notez qu’en temps habituel, nous utilisons très peu cette capacité d’influencer le routage : notre politique est basée sur la sélection des routes de meilleures qualités, et non pas l’utilisation des routes les moins coûteuses comme le font souvent la plupart des opérateurs… Enfin, comme nous sommes sérieux, tout cela tourne avec de l’Open Source !

Par contre, ces évolutions vont imposer une contrainte pour tous les serveurs que l’on héberge depuis plus que quelques mois : pour bénéficier totalement de ces avantages, il est nécessaire de changer les adresses IP actuellement utilisées. La bonne nouvelle est que l’on peut ajouter ces nouvelles IPs sur les serveurs tout en continuant d’utiliser les IPs actuelles. Et cela pendant plusieurs mois (voire plus). La migration sera donc assez transparente : il suffira de changer tous les enregistrements DNS pointant sur les IPs actuelles, et dans des cas plus exceptionnels mettre-à-jour des règles de firewalls. Évidemment, nous allons prendre contact avec tous nos clients concernés pour gérer cela du mieux possible.

Evolix désormais hébergeur totalement indépendant

2011-09-15T19:44:23+00:00

Ça fait un moment que c’est en place, mais cette bonne nouvelle n’avait pas encore été publiquement annoncée : Evolix gère désormais son infrastructure d’hébergement en toute indépendance !

Cela signifie concrètement :

- Que nous louons des espaces en datacenter à différents prestataires (principalement au datacenter SFR de Marseille, rue Roger Salengro), nous permettant d’être maître de nos choix pour nos évolutions et de faire jouer la concurrence ;
- Que nous avons un statut d’opérateur réseau indépendant, ce qui nous permet de gérer nos propres adresses IP et de choisir nos fournisseurs de trafic Internet. Outre l’indépendance, cela offre une haute qualité (en choisissant les meilleures routes vers les autres opérateurs) et une complète redondance.

Pour le “plaisir”, vous pouvez ainsi faire en ligne de commande :

$ host www.evolix.fr
$ host gcolpart.evolix.net
$ whois 31.170.8.0/21
$ whois 2a01:9500::/32
$ whois AS197696

Je détaillerai dans un autre post plus technique la partie réseau (BGP, politique de routage, etc.) !

Évidemment, tout cela va nous permettre de faire évoluer nos offres commerciales pour (enfin) proposer de la location de serveurs dédiés associés à notre fameuse infogérance…

Support H+4 ou J+1 pour votre serveur ?

2011-06-15T07:05:53+00:00

Nous devons souvent conseiller nos clients sur le choix du support H+4 ou J+1 pour leur serveur. En théorie un support H+4 permet d’obtenir un matériel de remplacement en moins de 4h 24h/24, alors qu’un support J+1 permet de déclarer l’incident uniquement en heures ouvrées (du lundi au vendredi de 9h à 18h) et de l’obtenir 1 jour ouvré après.

Pour aider à cette décision, je vous propose de profiter d’un incident traité la nuit dernière par notre équipe de sysadmins. Il s’agit d’un soucis classique avec un disque défectueux sur un serveur DELL PowerEdge en support H+4. Voici l’historique précis de l’incident :

Mardi 14 juin 23h45 : le controleur RAID du serveur nous remonte une alerte : un disque OFFLINE.

Mardi 14 juin 23h50 : notre sysadmin d’astreinte intervient sur le serveur pour vérifier l’alerte. Une fois confirmée, il reste à collecter les différentes informations nécessaires à l’appel au support (numéros du serveur, logs à transmettre au technicien, etc.)

Mercredi 15 juin 00h05 : appel au support DELL. Vu que l’on est en heures non ouvrées, on passe donc par le support 24/24. À bien noter que le support 24/24 est exclusivement en anglais (si vous comptez faire intervenir une personne ne parlant pas la langue de Shakespeare, c’est raté). La conversation avec le technicien DELL peut être longue car selon son humeur il va demander de lui envoyer par mail le résultat de certaines commandes, chercher lui-même dans sa base de connaissances, etc. Le délai est clairement variable à cette étape. De notre côté, l’appel a duré 52 minutes !

Mercredi 15 juin 01h00 : départ en urgence pour le datacenter, le technicien DELL exigeant une vérification visuelle du disque et de ses numéros de série.

Mercredi 15 juin 01h20 : arrivée au datacenter, il faut maintenant passer tous les accès, sortir le disque concerné et envoyer un email de confirmation au technicien DELL.

Mercredi 15 juin 01h30 : l’email “final” est envoyé à DELL.

Mercredi 15 juin 02h00 : sans confirmation par mail ou téléphone, une relance par mail est faite.

Mercredi 15 juin 02h20 : le technicien DELL rappelle pour confirmer qu’il vient de prendre en compte l’email. Tout lui parait OK, il lance donc la procédure de remplacement du disque défectueux.

Mercredi 15 juin 03h00 : on reçoit un email de DELL nous donnant une estimation d’arrivée du disque pour 05h00… on ignore cependant si c’est GMT+1 (comme pour notre interlocuteur chez DELL) ou bien GMT+2

Mercredi 15 juin 05h01 : on reçoit bien le disque par “Taxi Colis”. Je vous fais grâce de la suite des opérations, pas très intéressantes pour illustrer le sujet.

En conclusion, environ 5h entre le début de l’incident et la réception du matériel, soit un peu plus de 4h entre l’appel au support DELL et la réception du disque. Dans un cas général, les constructeurs respectent donc pratiquement leur engagement H+4… mais il ne faut pas négliger le temps nécessaire à analyser le problème avec le support (de quelques minutes à plusieurs heures selon l’incident matériel) et le plus important : s’assurer d’avoir une bonne infogérance 24/24 ! Sachant qu’un support H+4 coûte quelques centaines d’euros supplémentaires à l’achat, qu’il est possible en complément (ou à la place !) d’avoir une partie du matériel en spare… ou même un 2e serveur (ou plus) qui pourra prendre le relai à chaud ou en secours… vous avez presque tous les éléments en main : à vous de choisir !

Bilan de l’IPv6day Evolix

2011-06-13T19:55:21+00:00

Evolix infogère des centaines de serveurs chez différents hébergeurs français. À l’occasion de l’IPv6day (mercredi 8 juin 2011), nous avons pu vérifier le déploiement d’IPv6 chez chacun d’eux. Pour certains, c’était déjà en place (parfois depuis des années), pour d’autres c’est beaucoup plus “problèmatique”. Petit bilan sans concession :

- JAGUAR NETWORK : OK pour l’IPv6
- LOST OASIS/IELO : OK pour l’IPv6
- DEDIBOX/ONLINE : OK pour l’IPv6
- OVH : OK pour l’IPv6
- GANDI HOSTING : OK pour l’IPv6
- IKOULA : #FAIL pour l’IPv6 ; malgré une communication autour d’IPv6 (?!), réponse reçue : “Nous vous invitons à contacter le service commerciale à sales@ikoula.com.”
- AMAZON EC2 : #FAIL pour l’IPv6 ; IPv6 est déclaré comme “non supporté”…
- NEXTO : #FAIL pour l’IPv6, réponse reçue : “Aucun planning n’est actuellement prévue pour la migration IPv6.”
- ILIAD ENTREPRISES : #FAIL pour l’IPv6, réponse reçue : “pour le moment ca n’est pas possible, on espère pouvoir le fournir prochainement mais je ne peux pas donner d’échéance précise pour l’instant.”

Côté fournisseur d’accès français, ça sera plus rapide, seul Nerim offre un accès natif depuis presque 10 ans. Free s’y est mis plus récemment en proposant un accès 6to4rd : c’est moins bien qu’un accès natif notamment car cela signifie qu’IPv6 n’est pas déployé sur le cœur de réseau, mais Free a permis une mise en œuvre très facile : il suffit de cocher une option sur une interface web pour activer l’IPv6.

Pour l’IPv6day, Evolix a donc proposé à tous ses clients d’activer leurs services en IPv6 pour ce jour là, notamment de les aider à ajouter temporairement un enregistrement DNS AAAA sur les noms de domaines les plus utilisés. Le taux de réponse a été très faible, et nous remercions notamment les sites web http://www.itsartmag.com/ et http://www.chambresapart.fr/ d’avoir joué le jeu.

Sur la partie technique, l’activation de nos propres services et ceux de certains clients ont montré que tout est quasiment prêt. Le soucis majeur n’est plus vraiment de se préoccuper si cela marche ou pas, mais d’avoir une qualité de service au moins équivalente à l’IPv4. De façon plus terre à terre, l’enjeu n’est plus d’arriver à faire un ping6 ipv6.google.com ou de voir la tortue danser sur www.kame.net MAIS d’avoir des temps de réponse corrects. Concrètement, à cause de l’utilisation de nombreux tunnels IPv6, mais aussi d’infrastructures IPv6 expérimentales et moins robustes chez les opérateurs et fournisseurs d’accès, on a souvent constaté des temps de réponses dégradés en IPv6 pour l’utilisateur final. Par exemple, depuis un accès donné, un site web qui répondait en 50ms en IPv4 peut se retrouver à répondre en 200ms en IPv6…

Pour conclure, l’IPv6day a permis de valider le bon fonctionnement d’IPv6 en parallèle d’IPv4 ; il faut surtout rester vigilant sur la qualité des services accessibles en IPv6, notamment en terme de temps de réponse (tout n’étant pas parfait sur ce point, je conseille d’ailleurs de désactiver pour l’instant les doubles enregistrements DNS A et AAAA sur vos noms de domaine). Par contre, l’obstacle principal à IPv6 reste la partie communication, et l’on voit que des évènements comme l’IPv6day ne suffisent pas : pour forcer tout le monde à s’intéresser à IPv6, il faudrait que des moteurs de recherche comme Google pénalisent les sites web n’étant pas accessibles en IPv6. Prochaine étape ?

autoconfiguration IPv6 et forwarding

2011-06-10T21:09:03+00:00

Ayant enfin activé l’IPv6 sur mon serveur (IPv6 day oblige) ces derniers jours, je me suis heurté à un problème lié au forwarding lorsque l’hôte et en mode autoconfiguration.

L’hôte en question fait tourner des environnements virtuels à l’aide d’OpenVZ, ce qui m’oblige donc à rajouter ceci dans mon /etc/sysctl.d/openvz.conf pour qu’ils puissent avoir une chance de sortir sur Internet :

1	net.ipv6.conf.all.forwarding=1

Cependant cela entraine la désactivation de l’autoconfiguration « stateless » de l’hôte, c’est à dire qui n’est plus capable de prendre une IP automatiquement, ni de positionner sa route par défaut.
Je ne rentrerai pas dans les détails de pourquoi c’est comme ça, n’ayant pas trouvé d’explications sur le sujet, mais je suppose que le noyau doit ainsi transférer tous les paquets NDP sur sa seconde interface, même s’il ne devrait pas car ces paquets ne sont pas censés traverser les routeurs. Bref si quelqu’un a une explication, qu’il n’hésite pas !

Une fois qu’on sait ça, rien de compliqué (le plus dur en fait est de se rendre compte que le forwarding désactive l’autoconfiguration de l’hôte). On peut configurer l’interface de manière statique dans /etc/network/interfaces (pour Debian et dérivés) :

iface eth0 inet6 static
    address 2a01:e35:2e31:da50:1e6f:65ff:fe54:5c96
    netmask 64
    up route -A inet6 add default gw fe80::224:d4ff:feb4:f9b6 dev eth0 metric 1
    down route -A inet6 del default gw fe80::224:d4ff:feb4:f9b6 dev eth0 metric 1

Source de l’image : http://www.potaroo.net/presentations/2008-11-17-ipv6-failure.pdf (http://www.potaroo.net)

Lighttpd et encodage de fichiers texte

2011-05-27T21:32:58+00:00

Voici une petite astuce pour résoudre le problème d’encodage des fichiers servis par Lighttpd, dans le cas où les fichiers en questions sont en UTF-8.
En guise de rappel, Lighttpd est un serveur web simple, léger mais puissant par rapport à Apache. Voir ici pour plus d’info.

Par défaut l’encodage des fichiers n’est pas précisé dans le champ « Content-Type », comme le montre une requête HTTP HEAD :

$ HEAD http://univers-libre.net/plop.txt
200 OK
Connection: close
Date: Fri, 27 May 2011 20:23:14 GMT
Accept-Ranges: bytes
ETag: "1885714849"
Server: lighttpd/1.4.28
Content-Length: 7767
Content-Type: text/plain
Last-Modified: Sun, 02 May 2010 09:34:31 GMT
Client-Date: Fri, 27 May 2011 20:20:53 GMT
Client-Peer: 192.168.0.60:80
Client-Response-Num: 1

Dans la majeure partie des cas, on s’en fou grave car l’encodage est précisé dans la balise HTML , et le client interprète donc bien le texte comme étant de l’UTF-8 (ou ce que vous voulez). Oui mais justement, lorsqu’on veut que Lighttpd serve de bêtes fichiers texte, nous n’avons plus cette balise pour nous aider. Il faut donc forcer le champ Content-Type pour rajouter charset=utf8 à la fin.

Avec Apache, cela se fait en rajoutant la directive AddDefaultCharset. Sous Lighty, il faut redéfinir le type MIME en question, de cette manière :

1	mimetype.assign += ( ".txt" => "text/plain; charset=utf8" )

Attention, petite particularité sous Debian (ce n’est peut-être pas spécifique à Debian non plus), les types MIME sont générés par un script perl /usr/share/lighttpd/create-mime.assign.pl, appelé dans la conf de lighttpd. Il faut donc bien faire attention à rajouter la ligne de conf ci-dessus *après* cette ligne :

1	include_shell "/usr/share/lighttpd/create-mime.assign.pl"

Solution Linux 2011 photographed by Sdubois

2011-05-11T12:59:03+00:00

Après ne m’être pas déplacé lors de l’opus 2010 du salon, j’ai pu être présent la journée du 10 mai sur Solution Linux 2011 (CNIT / La défense).
Voici mon reportage Photo :

[09/05/11] Printemps du Libre / Rencontre inter-CNLL

2011-05-11T12:53:23+00:00

La veille de l’ouverture de Solution Linux opus 2011, s’est tenue près de Saint Lazare une après midi de présentations et d’échanges entre les membres du Conseil National de Logiciel Libre (CNLL). Après midi forte intéressante, avec notamment une intervention remarquée de Franco Gasperoni sur la notion de développement durable non pas au sens environnement mais au niveau “sociétal”. Merci également à Laurent Seguin de l’Aful pour son troll bien placé

[RDV Techno] Compte rendu opus 4 : Les Groupwares Open Source – 14/04/2011

2011-04-19T22:00:49+00:00

A donc eu lieu jeudi dernier le 4ème opus du RDV Techno Evolix annoncé précédemment

Pour les non présents, voici les slides présentés par Grégory Colpart .
[format PDF]

Voici également un extrait du témoignage apporté par l’Ecole Centrale de Marseille via la voix de Gilles Trossevin (Pôle système – TICE – RSSI)

Témoignage Ecole Centrale Marseille – G… par sebfox

Et quelques photos pour finir [à consommer avec modération sur la dernière]

N’hésitez pas à marquer votre intérêt pour un futur sujet technique dans notre corbeille à idées pour l’opus 5 !

Merci à tous les participants de leurs questions et leur présence notamment à l’Université d’Avignon venue encourager l’ECM !

Externaliser la gestion de ses serveurs informatiques

2011-04-07T14:36:32+00:00

J’ai pu intervenir récemment à la CCIMP pour parler externalisation dans un but de vulgarisation du concept. Exercice difficile vu le public très hétérogène en terme de “background”.

Voilà un résumé et les idées majeures et surtout du concret

Confiez à un prestataire la gestion de vos serveurs et concentrez-vous sur votre coeur de métier !
Quels sont les avantages de l’externalisation ?
Comment mener un projet d’externalisation ?
Quelles sont les questions essentielles à traiter ?
Des exemples !

Un peu de vocabulaire pour débuter :

L’externalisation informatique consiste à sous-traiter tout ou partie des ressources informatique d’une entreprise à un prestataire externe. Les ressources informatique peuvent être matérielles, logicielles et humaines.
L’externalisation peut porter sur :

des fonctionnalités spécifiques qui alourdissent particulièrement le système d’information de l’entreprise (fonctionnalités de mails et d’agendas partagés, anti-virus, anti spam, …). On parle souvent d’infogérance voire de BPO (Business Process Outsourcing)
des logiciels métiers qui demandent des compétences particulières pour leur maintenance (comptabilité, CRM, site Internet, …). On parle alors de TMA (Tierce Maintenance Applicative)
L’ensemble du système d’information pour se recentrer sur le métier de l’entreprise ou dégager les ressources de l’entreprise de la gestion administrative et technique.

L’externalisation informatique est devenue de plus en plus classique avec la structuration des systèmes d’information autour de serveurs. Le fonctionnement en réseau et l’avènement d’Internet ont rendu tout à fait adapté de localiser à l’extérieur de l’entreprise ses serveurs.

On distingue donc deux grands type d’externalisation informatique, l’une physique (les serveurs sont hébergés en datacenter) et une logicielle (la gestion par serveur ou par application est externalisée indépendamment du lieu physique de stockage du serveur)

Ces dernières années, l’externalisation est devenue très à la mode avec les technologies de virtualisation et l’apparition d’offres de services hébergés en haute disponibilité (SAAS – Software As A Service) ou de serveurs virtuels (IAAS – Infrastructure As A Service)

Les avantages de l’externalisation ?

En guise d’introduction, je vais citer Pierre Veltz (Le nouveau monde industriel, 2008) qui décrit ainsi les avantages de l’externalisation : contrôle, diffusion, simplification.
Contrôle, car on maîtrise mieux un fournisseur externe qu’une équipe
Diffusion, car en cas de baisse d’activité, il est plus facile de se séparer d’un fournisseur que de licencier.
Simplification, car c’est plus simple d’exiger une prestation externe que de s’organiser soi-même.

En essayant de différencier l’externalisation physique ou juste logicielle (infogérance) :

Externalisation physique :

sécurité des données (“l’ennemi” est plus souvent interne et un hébergeur n’a pas d’intérêt à “attaquer” son client)
sécurité physique (norme datacenter, sous entend garantie constructeur)
infrastructure adaptée (systèmes de climatisation, anti-incendie et électriques, on suppose que le datacenter choisi est de qualité et répond à une norme comme Carrier Hotel)
redondance bande passante

Externalisation infogérance :

compétence
24h/24

Tous ces avantages sont liés au coût (qui est lui même l’avantage transverse) car l’idée est bien qu’il est difficile d’avoir ceci en interne à iso-coût.

et les inconvénients ?
Les inconvénients sont essentiellement liés aux risques de perte d’accès au système d’information “outsourcé”.

Coût cachés pour mise en place
On y reviendra mais il faut bien étudier tous les coûts notamment dans un cas d’externalisation physique des serveurs, l’accès à ces derniers devient fortement dépendant de votre connexion Internet. Suivi votre organisation (ex : une majorité de salarié au siège et peu d’itinérants) la connexion doit être à débit garanti (SDSL et non pas ADSL) et/ou redondante (le Pack Firewall Evolix permets ce type de gestion multi-xDSL).
Perte de contrôle : Il faut toujours avoir en tête le principe du “backsourcing” (relocalisation) et veiller à disposer d’un accès à ses données et (si applicable) à son matériel. [pour les données, un plus est aussi de veiller à travailler sur un format de données standard et idéalement ouvert (normé) et donc ... avec des Logiciels Libres ]
Perte de qualité : Il faut définir au niveau du contrat avec le prestataire des engagements clairs de disponibilité des systèmes et de délais de réaction en cas de dysfonctionnements.
Fiabilité/Performance : L’externalisation de certaines applications (notamment PAO / lié au graphique) peuvent provoquer une baisse de performances.

Comment mener un projet d’externalisation ?

L’externalisation est un modèle économique et donc un nouveau process dans une entreprise.
La même méthodologie projet doit donc être appliquée que pour un autre nouveau process :

politique générale
liste des fonctions à externaliser
analyse des coût-bénéfices

Il faut penser à mener un pilote sur une partie non critique et éviter de céder juste à un phénomène de mode.
Il faut préparer en interne comme en externe (fournisseur) la communication adaptée.

Il faut surtout bien choisir son prestataire et bien cadrer le contrat qui vous lie à ce dernier. Il existe des référentiels comme eSCM-CL pour optimiser la relation entre client et fournisseur dans l’informatique.

Un contrat type répondra à :

définition du service attendu
définition niveau de performance
responsabilité des parties
procédure de transfert de l’activité
modalité permettant la continuité du service
modalité de réversibilité (backsourcing)
procédure de contrôle

Vis à vis de l’estimation du coût, il faut prendre en compte les coûts directs (investissements, maintenance) et AUSSI les coûts indirects (coûts liés aux dysfonctionnements : perte d’exploitation, temps consacré à la résolution d’incidents, …).
Le coût de votre informatique externalisé doit être similaire à vos coûts directs, les coûts indirects doivent être réduits.

Quelles sont les questions essentielles à traiter ?

Principalement votre indépendance vis à vis du prestataire et donc la partie réversibilité. Il est très important de maîtriser un minimum ce que vous externaliser pour permettre un regard critique sur l’action du prestataire.
Côté juridique, la partie “responsabilité civile professionnelle” du prestataire est le gage que les dommages et conséquences immatérielles liés à une lacune de votre prestataire soient correctement dédommagés.
Evolix dispose d’un RC Professionnel chez Hiscox pour son métier d’hébergeur et d’infogérant

Des exemples !

Comme vu, le but d’externaliser est simple c’est faire gagner du temps pour permettre à la société qui externalise de se concentrer sur son métier !
Evolix a l’habitude d’apporter un conseil éclairé suivant le contexte client. Forte de son indépendance en terme de hosting (Evolix dispose de plusieurs points de présence dans différents datacenters mais sait également travailler avec des hosteurs externes suivant la contrainte client.)

Pour la micro-entreprise ou la TPE, externaliser est souvent une évidence pour éviter des coûts d’investissement lourds et de gérer de l’amortissement. La réponse peut-être des services mutualisées (comme mail-mutu,web-mutu), ou bien la mise en place en interne d’un serveur “tout en un” (la société fait soit le choix d’acheter le serveur (le matériel doit être sous garantie constructeur) soit des offres de leasing mensuel existent), notre Pack TPE qui inclus les services de partage de fichier, de mail, de firewall voire de web (intranet). La nécessité d’un serveur en local peut-être présent lors d’utilisation importante en terme de ressources réseaux. L’exemple type est le cabinet d’architecte ayant le besoin de disposer d’un partage de fichier et d’échanger et stocker des fichiers de taille importante (PAO).
En l’absence de nécessité d’un serveur local, pour des applicatifs métiers (CRM, etc), le mode SAAS peut-être utilisé en veillant à bien considérer que les données seront récupérables et utilisables à tout instant.

Pour la PME, l’externalisation peut aller d’une infogérance sur une partie des serveurs (mise à jour, monitoring, maintenance des systèmes d’exploitation) qu’ils soient domiciliés en interne ou en externe à la location d’un (des) serveurs dédiés en datacenter. À noter par exemple l’internalisation plutôt intelligente du service mail dans certains contextes (couplé à des MX en datacenter, voire un proxy SMTP en externe) qui permets des échanges par mail en réseau local et donc très rapide au sein de la société et potentiellement une continuité du service (hors nouveaux mails) pour les personnes dans les locaux en cas de coupure internet.

Dans tous les cas, il n’y a pas de généralités possibles côté architecture et il faut étudier au cas par cas car la société de commerciaux itinérants n’aura pas les mêmes contraintes que le centre d’appel mono-site.

Page de status de php-fpm et Lighttpd

2011-04-05T19:22:18+00:00

Récemment, j’ai mis en place php5-fpm en remplacement de fastcgi sur mon Lighttpd. Je rencontrais des problèmes de lenteurs de manière aléatoire lors de l’appel à un process PHP (même pour exécuter un

echo "foo"

) que je n’ai pas trop réussis à débuguer.

Mais bref, là n’est pas le sujet. J’ai entendu beaucoup de retours positifs sur php-fpm, ce qui m’a convaincu de le le mettre en place.

Je n’ai pas encore eu trop l’occasion de regarder en détail la conf, celle par défaut marche sans soucis. Je vais donc pour l’instant juste vous faire part d’un petit détail lié à la page de status de php-fpm et Lighttpd (mais qui doit probablement impacter d’autres serveurs web).
En fait, par défaut elle ne marche pas (erreur 404). Dans la conf, il est dit :

; Note: The value must start with a leading slash (/). The value can be
; anything, but it may not be a good idea to use the .php extension or it
; may conflict with a real PHP file.

Soit, mais rien est dit quant à la configuration du serveur web devant.
J’ai mis un petit moment à comprendre, donc je vous donne l’astuce pour éviter de se prendre la tête.

Voici le petit bout de conf à rajouter dans Lighty :

        fastcgi.server += ((
                "/status" => (
                        "host" => "127.0.0.1",
                        "port" => 9000,
                        "check-local" => "disable"
               )
        ))

Et une petite explication sur le problème (qui est en fait tout à fait logique) :
Par défaut le serveur web ne peut pas savoir que php-fpm fournit la page /status. Pour lui, si pas de fichier nommé status, il s’arrête là en renvoyant une 404. Il faut donc forcer Lighttpd à passer cette URL à php-fpm (comme si c’était un .php), et sans vérifier si le fichier existe bien sur le système de fichier.

[RDV Techno Evolix] Les Groupwares Open Source – Jeudi 14 avril 2011

2011-03-24T16:41:04+00:00

SAVE THE DATE !
Date du prochain RDV techno d’Evolix : Jeudi 14 Avril 2011

Vous voulez synchroniser vos agendas et carnets d’adresses sur votre smartphone ? Vous voulez pouvoir partager un agenda ou des carnets d’adresses avec vos collaborateurs ? Vous cherchez une alternative Open Source à Microsoft Exchange ?
Venez à ce rdv techno qui traitera des “Groupwares Open Source” (gestion des calendriers, contact, etc.)
L’objectif sera de faire un retour d’expérience sur une étude menée sur les Groupware Open Source du marché (OBM, Zimbra, Horde, etc.) avec le témoignage de l’Ecole Centrale de Marseille.

Horaire : 17h30-19h
Lieu : Pôle Média Belle de Mai
Inscription gratuite mais obligatoire

Petit historique des précédents rdv technos :
rdv-1 : Monter une infrastructure web pour 1 million de visites par jour, avec le témoignage de la PME Marseillaise Cybercartes
rdv-2 : La virtualisation avec Xen

Naissance de Planet Evolix

2011-03-14T22:23:16+00:00

L’équipe Evolix est fière de vous annoncer la naissance de Planet Evolix !

Un Planet (nom issu du logiciel PlanetPlanet) est un ensemble de blogs de personnes appartenant à une même société ou une même communauté. Souvent présent dans le milieu Open Source, on trouve ainsi des Planet pour Debian, Apache, PHP, Python, RubyOnRails, Mozilla, Sun… et Evolix donc. Vous pouvez consulter notre Planet par le web sur planet.evolix.org ou par son flux RSS.

On espère bien que notre Planet est né… sous une bonne étoile ! :-)

Historique de 7 ans de carte de visite Evolix

2011-03-02T13:18:35+00:00

Résumé en une image :

Nouvelle carte en recto-verso

Au plaisir de vous la donner en se croisant

Voeux 2011 Evolix

2011-01-26T12:10:40+00:00

Et voilà les voeux 2011 sont en transit en ce mois de janvier.
Nouveauté vis à vis de l’opus 2010, plusieurs photos par semestre mais toujours le même défi de trouver où ces photos ont été prises (par un Evo-man).
Si dans une semaine vous n’avez pas votre calendrier, vous avez le droit de le réclamer

Lister les paquets Debian installés en fonction de leur taille

2011-01-18T19:23:22+00:00

Comme ça doit bien arriver un jour ou l’autre, je me suis retrouvé avec un / quasi plein sur une Debian. Après les classiques aptitude clean, suppression des vieux noyaux, etc… il faut bien s’attaquer au répertoire qui prend la plupart de la place, c’est à dire /usr.

Comme j’ai l’habitude d’installer et peu de tout et de n’importe quoi pour découvrir, et de ne surtout rien désinstaller, je me retrouve vite avec une quantité de paquets inutiles. Pour m’aider à nettoyer tout ce bazar, j’ai fais un mini script qui affiche de manière triée la liste des paquets Debian avec leur taille.
Le voici :

#!/bin/bash
 
dpkg --get-selections |cut -f1 |while read package
do
	dpkg -p $package |perl -ne "print \"\$1: $package\n\" if /^Installed-Size: (.*)$/"
done |sort -rn

Et voici le résultat (la taille est en ko bien sûr) :

romain@heimdall:~$ bash package-size.sh |head
84496: mysql-server-5.0
78328: linux-image-2.6.26-2-amd64
33904: apcupsd-doc
31780: erlang-nox
22812: vim-runtime
21440: linux-headers-2.6.26-2-common
19364: mysql-client-5.0
18880: smbclient
18304: perl
15934: libgtk2.0-common

romain@heimdall:~$ bash package-size.sh |wc -l
1432

Faire du POST/GET/HEAD en ligne de commande

2011-01-13T23:21:05+00:00

À l’heure des webservices RESTful, il est essentiel d’avoir des outils simples pour réaliser tous types de requêtes HTTP. Et l’outil indispensable c’est LWP (WWW Library for Perl), disponible sous tout système digne de ce nom (sous Debian c’est libwww-perl), qui met notamment à disposition des non-barbus les fabuleuses commandes HEAD, GET, POST. Rien de nouveau, mais l’infogérance Evolix utilisant quasi-quotidiennement ces commandes, il me paraît utile de s’assurer que ces commandes sont entre toutes les mains des développeurs avec lesquels on travaille (et des autres ;-).

Au delà de la Man Page voici quelques exemples pour vous convaincre :

$ HEAD www.evolix.fr
200 OK
Connection: close
Date: Tue, 28 Dec 2010 20:08:35 GMT
Server: Apache
Vary: Accept-Encoding
Content-Type: text/html
Client-Date: Tue, 28 Dec 2010 20:08:44 GMT
Client-Peer: 85.31.205.43:80
Client-Response-Num: 1

$ HEAD -U -H "User-Agent: Mozilla/4.8 [en] (Windows NT 5.1; fr; rv:BlogByGcolpart)" \
 -H "Referer: http://www.evolix.fr/" www.evolix.fr/serv/infogerance.html
HEAD http://www.evolix.fr/serv/infogerance.html
Referer: http://www.evolix.fr/
User-Agent: Mozilla/4.8 [en] (Windows NT 5.1; fr; rv:BlogByGcolpart)

200 OK
Connection: close
Date: Thu, 13 Jan 2011 23:14:13 GMT
Server: Apache
Vary: Accept-Encoding
Content-Type: text/html
Client-Date: Thu, 13 Jan 2011 23:14:13 GMT
Client-Peer: 85.31.205.43:80
Client-Response-Num: 1

$ GET http://www.kernel.org/pub/linux/kernel/v2.6/linux-2.6.36.2.tar.bz2 > linux-2.6.36.2.tar.bz2

$ GET google.fr | grep charset= | sed 's@^.*charset=\([-a-Z0-9]*\)".*$@\1@'
ISO-8859-1

$ POST http://www.evolix.fr/contacts.html
Please enter content (application/x-www-form-urlencoded) to be POSTed:
from=jdoe%40example.com&contenu=Coucou&validation=nospam&soumettre=ok
Ctrl+d

$ echo -n "from=jdoe%40example.com&contenu=Coucou&validation=nospam&soumettre=ok" > /tmp/POST-DATA.txt
$ POST http://www.evolix.fr/contacts.html  /tmp/POST-DATA.txt

Note : Attention, pour envoyer interactivement des données en POST, il faut ensuite les valider avec Ctrl+d

Utiliser AWStats sans CGI

2011-01-09T14:13:56+00:00

AWStats est un générateur de statistiques, le plus souvent utilisé pour générer des stats sur des serveurs web (il peut aussi être utilisé pour des serveurs mail, ftp…). C’est une appli en Perl, qui peut donc être appelé par le serveur web via CGI pour générer les pages HTML.

Sur Apache ou Lighttpd ça marche sans problème, mais sur un serveur web qui ne supporte pas CGI (NginX par exemple, à moins de passer par des hacks assez tordus) ça ne marche plus.

La solution est donc de dire à AWStats de générer les page HTML automatiquement après chaque mise à jour de sa base de données. Voici la procédure :

Créez tout d’abord le répertoire qui contiendra les pages HTML, avec les bons droits :
```
mkdir /var/www/awstats/
chown www-data:www-data /var/www/awstats/
```

Modifiez ensuite le fichier /etc/cron.d/awstats pour appelez le script awstats_buildstaticpages.pl au lieu de awstats.pl :

[ -x /usr/share/doc/awstats/examples/awstats_buildstaticpages.pl \
-a -f /etc/awstats/awstats.yoursite.conf -a -r /var/log/nginx/yoursite.access.log ] \
&& perl /usr/share/doc/awstats/examples/awstats_buildstaticpages.pl -update \
-config=yoursite -dir=/var/www/awstats -awstatsprog=/usr/lib/cgi-bin/awstats.pl >/dev/null

À adapter bien sûr avec les bons noms de fichiers de conf et de log.

N’oubliez pas d’ajouter un alias dans la conf de votre serveur web pour les icônes. Sous NginX, ça donne ça :
1 2 3
location /awstats-icon/ { alias /usr/share/awstats/icon/; }

Utiliser la fonction PHP imagerotate() sous Debian

2010-12-18T17:42:28+00:00

imagerotate est une fonction PHP qui, comme son nom l’indique, permet de tourner une image selon un angle. Cependant elle n’est disponible que si PHP a été compilé avec la version embarqué de la bibliothèque GD.

Sous Debian ce n’est pas le cas, car cette version est difficilement maintenable au niveau sécurité (cf le bug report Debian)

Pour contourner le problème, en cherchant un peu sur le net (ici pa exemple), beaucoup de monde recompile PHP avec la version embarqué de GD. Ce n’est à mon avis pas la meilleure solution au niveau « maintenabilité ».

Voici donc 2 autres possibilités :

Utiliser les dépôts dotdeb

Les dépôts dotdeb contiennent des versions plus récentes et/ou modifiés de paquets Debian pour serveurs LAMP. Le paquet php5 présent dans dotdeb est justement compilé avec la version embarqué de la bibliothèque.

Réécrire la fonction imagerotate()

Si vous n’avez besoin que de cette fonction et que vous n’avez pas envi d’utiliser la version embarqué de GD, il est tout à fait envisageable de réécrire la fonction en question :

<?php
if ( !function_exists( 'imagerotate' ) ) {
  function imagerotate( $source_image, $angle, $bgd_color ) {
      $angle = 360-$angle; // GD rotates CCW, imagick rotates CW
      $temp_src = '/tmp/temp_src_'. rand( 10000,99999 ) .'.jpg';
      $temp_dst = '/tmp/temp_dst_'. rand( 10000,99999 ) .'.jpg';
      if (!imagejpeg($source_image,$temp_src)){
       return false;
      }
      $imagick = new Imagick();
      $imagick->readImage($temp_src);
      $imagick->rotateImage(new ImagickPixel($bgd_color?$bgd_color:'black'), $angle);
      $imagick->writeImage($temp_dst);
      //trigger_error( 'imagerotate(): could not write to ' . $file1 . ', original image returned', E_USER_WARNING );
      $result = imagecreatefromjpeg($temp_dst);
      unlink($temp_dst);
      unlink($temp_src);
      return $result;
  }
}
?>

Soirée IRCE “Question pour un réseau” 7/12/2010

2010-12-09T09:53:19+00:00

Petit reportage photo de la soirée du 7 Décembre dernier à l’IRCE (Institut Régional pour la Création et le développement des Entreprises) au Château de Galice (Aix-en-Provence).
Durant cette soirée networking, 4 réseaux d’entrepreneurs (CJD Paca, Libertis, Anciens IRCE, MAABN [Mediterranean Anglo-American Business Network]) se sont gentiment confrontés autour d’un remake de Question pour un Champion. En tant que candidat pour Libertis, j’ai bien démarré avec une seconde place sur la première phase du jeu mais malheureusement mon choix de questionnaire pour le ’4 à la suite’ m’a été fatal. Soirée très sympathique et très bien organisée.
Bravo à Rémi Brondino du CDJ Paca pour sa victoire !

Nouvelle carte de visite in progress

2010-12-08T17:24:05+00:00

Design avec contenu plus lisible, un QRCode pour les Geeks et un recto/verso permutable

Être jeune et entrepreneur : un pari si osé ?

2010-12-06T00:07:36+00:00

Le Startup Week-end MArseille (#SWMA), où j’ai eu l’honneur de faire partie du jury, m’a forcément rappelé la création d’Evolix il y a bientôt 8 ans. Et notamment le fait d’être jeune et entrepreneur.

On entend souvent qu’il est indispensable d’avoir de la bouteille pour se lancer dans l’aventure de la création d’entreprise. Je pense qu’au contraire, il y a certains avantages à entreprendre en étant jeune :

Vous avez le droit de vous rater
Votre carrière professionnelle n’est pas en jeu. Au pire si vous vous ratez, on dira que vous étiez trop jeune. Pas comme un salarié de 45 ans quittant sa boîte pour créer une startup en tant qu’expert dans son domaine : lui, il a pas le droit de se rater. Mais vous, vous êtes jeune, vous pourrez toujours rebondir. Et cela doit vous enlever beaucoup de pression.

Vous n’avez pas ou peu d’expérience
Ne pas avoir d’expérience, dans un certain sens, c’est un avantage ! Grâce à cela, vous lancez sans le savoir des projets impossibles. Impossible pour une personne expérimentée. Donc forcément originaux. Et c’est un bon moyen pour réussir : de nombreuses success story ont été lancées par de jeunes inconscients : ils ne savaient que c’était impossible, alors ils l’ont fait

Le sujet de votre projet est vraiment libre
Plus vous vieillissez, moins vous pourrez changer de vocation. Alors profitez d’être jeune pour tracer votre voie dans un sujet qui vous passionne.
Vous n’avez pas (encore) de clients, peu de background : profitez de cela pour vous lancer dans un projet qui vous plaît ! Et attention au piège de sacrifier votre passion sous pretexte de gagner rapidement de l’argent : vous avez l’occasion de faire partie des rares personnes qui aiment leur boulot… vous ne l’aurez qu’une fois !

Pour conclure, cette petite réflexion est en forme de contre-pied à certaines idées reçues… mais je ne dis pas non plus qu’il est facile d’entreprendre en étant jeune. Ni qu’il est facile d’entreprendre d’ailleurs. Dans tous les cas, il faut savoir s’entourer, se tromper, déléguer, se remettre en question, faire des semaines de 35h (de sommeil), etc. Enjoy.

Séminaire OpenERP – Aix en Provence

2010-12-02T15:15:30+00:00

A eu lieu ce matin, un séminaire autour du Libre et d’OpenERP organisé par EMP2 et Heonium à l’hôtel Best Western de l’Arbois / Aix en Provence

À noter la présence d’un membre de OpenERP S.A, Ludovic Pimpurniaux qui a pu proposer une démonstration de la version 6 d’OpenERP (version RC / Release Candidate)

La matinée a suivi le programme suivant :

08:30 – 09:00 : Pourquoi les projets open source se mutiplient en entreprise ?
présenté … par moi-même en tant que membre fondateur et membre du Bureau de LIBERTIS

Ci-dessous les slides présentés :

Puis :
09:00 – 09:30 : ERP open source : une réussite durable, l’exemple du modèle OpenERP / L.Pimpurniaux
09:30 – 10:30 : Démonstration de la solution OpenERP / L.Pimpurniaux
10:30 – 11:00 : Pause
11:00 – 11:30 : Success Stories avec le témoignage du client EPCO (M. Stéphane Henry, responsable logistique de la société EPCO) / L.Pimpurniaux
11:30 – 12:00 : Choisir et mettre en oeuvre son ERP
par la société BenConseil
12:00 – 12:30 : OpenERP, deux méthodologies de mise en oeuvre
Coût d’un projet OpenERP versus une solution propriétaire
par M. J-F. GUYOMARCH, gérant EMP2

La salle était remplie et la matinée dense.

Quelques photos :

Bloguez vos articles WordPress depuis Vim

2010-10-30T17:22:02+00:00

BlogIt est un plugin Vim écrit en python, qui permet, via le protocole xmlrpc, d’interagir avec votre WordPress. Les avantages sont bien sûr de pouvoir bénéficier de toutes les commandes Vim lors de l’écriture d’un article, avec la coloration html par exemple, mais aussi de pouvoir préparer son article hors-ligne et de le commiter plus tard.

Fonctionnalités

Création/édition/suppression/listage des articles et pages ;
Prévisualisation hors-ligne de l’article dans un navigateur ;
Publication/retrait d’un article ;
En-tête de l’article (un peu comme pour les mails) permettant de définir le titre, les tags et catégories…
Des hooks blogit_format et blogit_unformat, appelés respectivement juste avant un commit et juste après un edit, permettant de formater/déformater le texte avec des langages comme markdown, textile, reStructuredText… à l’aide de pandoc.

Installation

Je reprend un peu la procédure du wiki, mais traduite en français ici.

Tout d’abord, il vous faut un Vim compilé avec le support de python (rarement le cas par défaut) :

vim --version |grep python

Sous ArchLinux, il faut installer le paquet gvim, et sous Debian et dérivées, il s’agit du paquet vim-python (qui installera vim-gtk).

Vous pouvez ensuite récupérer l’archive et la décompresser dans votre ~/.vim/.

Il faut maintenant créer le fichier ~/.vim/passwords.vim qui contiendra les informations de connexion à votre blog :

1
2
3

let blogit_username='Your blog user name'
let blogit_password='Your blog password. Not the API-key.'
let blogit_url='https://example.com/xmlrpc.php'

Au passage, un chmod 600 sur ce fichier ne sera pas de trop…

Utilisation

Le script s’appelle via :Blogit. Un :Blogit help vous renverra la liste des commandes possibles :

Available commands:                                                                                                               
   :Blogit ls [blog]         list all posts
   :Blogit new [blog]        create a new post
   :Blogit this [blog]       make this a blog post
   :Blogit edit {id} [blog]  edit a post
   :Blogit page {id} [blog]  edit a page
   :Blogit commit            save article
   :Blogit push              publish article
   :Blogit unpush            unpublish article (save as draft)
   :Blogit rm {id}           remove a post
   :Blogit tags              update and list tags and categories
   :Blogit preview           preview article in browser
   :Blogit help              display this notice

Je ne détaille pas plus, les commandes sont assez explicite selon moi.

Bonus

Vous voudriez surement rajouter des options automatiquement lors de l’édition des articles
(par exemple set spell pour la correction orthographique). Dans ce cas, il faut les
définir dans la méthode python init_vim_buffer() de la classe BlogPost du
plugin (attention à le faire dans la bonne classe, il y en a plusieurs), comme ceci :

vim.command('setlocal spell tw=80')

De même, il peut être sympa d’affecter une touche à la commande :Blogit commit, à l’aide de map :

vim.command('map <f9> :Blogit commit <CR>')

Article fièrement écrit avec Vim .

[TopTIC2010] Conférence LOG1 “Le logiciel libre, une réalité pour la TPE/PME d’aujourd’hui ?”

2010-10-28T08:32:07+00:00

Dans le cadre du TOPTIC 2010, j’ai pu animer une conférence intitulée “Le logiciel libre, une réalité pour la TPE/PME d’aujourd’hui ?”.
Mes intervenants étaient :
Tangui Morlier, le président de l’APRIL
Philip Sion, pour le projet Wikimassilia

Voici les vidéos (avec un petit décalage son, désolé) :

Introduction

[Toptic2010] Introduction Conférence LOG1

Le besoin d’une TPE/PME

[Toptic2010] Besoin des TPE/PME Conférence LOG1

Etat de l’art

[Toptic2010] Etat de l'art Logiciels Libres Conférence LOG1

Wikimassilia

[Toptic2010] Wikimassilia Conférence LOG1

Mon reportage photo de Toptic 2010

2010-10-14T20:22:56+00:00

Petit reportage photo, d’un opus de TopTIC où le ballon Libertis était bien visible et le stand d’un esthétisme au dessus du lot.

Le Libre se voyait !

Et une conférence au sommet “LOG1 : Le logiciel Libre une vraie réalité pour la TPE/PME ?” avec en guest star le président de l’April Tangui Morlier !

Les slides :

Mise-a-jour WordPress par l’interface web via SSH

2010-10-13T19:29:10+00:00

J’ai eu l’occasion de m’intéresser à la mise-à-jour de WordPress par l’interface web, et notamment via SSH car un Pack Web Evolix active uniquement un accès SSH/SFTP/RSYNC pour un compte web par défaut. Pour cela, il faut installer le paquet php5-ssh2 (disponible sur http://pub.evolix.net/lenny/ en version amd64 pour Debian Lenny), ce qui active automatiquement la possibilité de choisir SSH2 pour la mise-à-jour. Attention, il faut également activer allow_url_fopen pour que cela fonctionne correctement (merci à ce blog-post). Bien sûr, cela permet également de réaliser les mises-à-jour des plugins comme Akismet par exemple.

Voilà, il ne reste plus qu’à rentrer votre identifiant et mot de passe lors d’une mise-à-jour (évidemment cela ne dispense pas de tester en pré-production, de faire des sauvegardes, de désactiver puis réactiver ses plugins, etc.)… vous n’avez donc plus de raison d’avoir une version de WordPress avec des failles de sécurité !

[Jeu concours Evolix] : Quand sera ouvert le 1000e Evoticket ?

2010-10-06T09:00:11+00:00

Nous lançons un petit jeu concours pour promouvoir notre nouvel outil de gestion des demandes de support.

Le but du jeu :
Pronostiquer la date à laquelle sera ouvert le 1000e Evoticket !

Petit rappel:
Evoticket est un outil de ticket utilisé pour centraliser les demandes de support chez Evolix. Il est accessible par web ou par mail. Chaque client Evolix dispose d’un compte pour y accéder en mode web et de la procédure pour déposer un ticket par mail.

Indices
Le Mercredi 29 septembre à 18h30, nous étions au ticket numéro : 894

Historique précis

1er ticket : 26-08-09 à 13h38
100e ticket : 23-10-09 à 20h18
200e ticket : 04-01-10 à 11h25
301e ticket : 22-03-10 à 10h06
400e ticket : 29-04-10 à 08h27
500e ticket : 31-05-10 à 17h53
600e ticket : 24-06-10 à 17h19
701e ticket : 26-07-10 à 20h09
800e ticket : 02-09-10 à 09h20
908e ticket : 06-10-10 à 07h31

Qui peut participer ?

Le jeu est ouvert à tous… mais plus spécifiquement aux clients Evolix (infogérance serveur) qui ont un accès privilégié à l’outil de tickets pour deviner la date du 1000e ticket.

Comment participer ?

Envoyez nous votre pronostic via le moyen de votre choix !
Un message sur Twitter pour @evolix, sur notre page Facebook (inscrivez-vous!), par mail sur info at evolix dot fr ou encore en commentaires de ce blog !

Clôture du jeu le mercredi 13 octobre à 12h.

Pourquoi participer ?
Pour la gloire
Et accessoirement, un repas offert aux Grandes Tables (Friche Belle de Mai – Marseille) !

À vos votes !

Photo reportage en Arles – 051010

2010-10-05T10:21:35+00:00

Dans le cadre d’Octobre Numérique, la journée du 5 Octobre est axée Logiciels Libres :

Ceci se tient dans un lieu atypique : la friche d’Arles avec un écran sur le toit de 3000 m2 !

Une conférence :

Les stands dont le stand Evolix :

TopTIC 2010 – 12 Octobre

2010-09-17T14:26:54+00:00

http://www.toptech-provence.com/

Rencontres autour des Logiciels Libres à Arles le 5 Octobre

2010-09-13T08:59:39+00:00

trier numériquement la sortie d’un du -h

2010-09-11T13:14:25+00:00

Afficher la taille que prend un répertoire ainsi que ses sous répertoires est une tache assez courante, du moins pour un administrateur système. Cela se fait simplement avec la commande :

du -sh foo/*

Ou bien, si on veut avoir aussi les sous sous répertoires :

du -h --max-depth 2 foo/*

L’option -h permettant d’avoir la taille exprimé en kilo, méga, giga, etc…

Là où les choses se compliquent, c’est lorsqu’on veut trier numériquement le résultat par ordre décroissant. Si on fait un :

du -sh foo/* |sort -rn

le tri sera faussé du fait de la présence des lettres qui suivent la taille.

D’où l’astuce du jour : comment trier numériquement la sortie d’un du tout en ayant la taille exprimé en « human readable » ?

Si vous avez le paquet coreutils en version ≥ 7.5, vous êtes sauvé, sort implémente l’option -h qui répond exactement au problème (merci à Roland pour sa remarque) :

du -sh foo/* |sort -rh

Dans le cas contraire (si vous êtes sur une Debian Lenny par exemple), c’est un peu moins simple.
En cherchant un peu sur le net, il existe un tas d’astuces différentes utilisant perl ou awk. Voici celle que j’utilise, qui me semble la moins tordue (mais un peu quand même) :

du -s foo/* |sort -rn |cut -f2 |xargs -d '\n' du -sh

Le principe est d’obtenir d’abord la liste des répertoires avec leur taille « brute », de trier cette liste, puis de refaire un du (avec -h cette fois) sur chaque répertoire de la liste).
Le fait d’exécuter 2 fois un du n’est pas super élégant point de performance, mais en pratique, comme le résultat du premier du est caché en mémoire, le second est très rapide.

Gérer efficacement et rapidement ses todos avec devtodo

2010-09-09T23:04:25+00:00

Pour changer un peu de l’administration système, je vais vous présenter aujourd’hui… devtodo.

devtodo est un petit (mais puissant) utilitaire qui s’utilise en ligne de commande et qui va vous permettre de gérer votre (ou vos) todo list. Avant de vous le présenter, sachez qu’il m’a fallu pas mal de temps avant de trouver un todo list manager qui me convienne. Mon premier critère de sélection était une application en ligne de commande (éventuellement avec une interface ncurses). L’utilisation d’une interface graphique pour ce genre de tâche n’est vraiment pas adapté, je perdais trop de temps à clicouiller par-ci par-là pour saisir 3 mots que, finalement, je ne tenais plus à jour ma todo list et elle partait aux oubliettes.
À partir de là j’ai testé différents utilitaires (doneyet, task, devtodo, w2do, todo.txt, et j’en passe). Mais seuls 2 répondaient à mon second critère : savoir gérer les sous taches : doneyet et devtodo. doneyet est une interface semi-graphique utilisant ncurses, mais ne me paraissait pas assez ergonomique (sans compter un segfault à chaque caractère UTF-8 de tapé, que je n’ai pas vraiment cherché à résoudre). J’ai donc choisi devtodo.

Présentation rapide des fonctionnalités de devtodo

Gestion des taches sur plusieurs niveaux ;
Gestion de 5 niveaux de priorité ;
Stockage de la todo list dans un fichier xml, très facile à exploiter par la suite (une fonction d’export est quand même bien sûr prévue) ;
Gestion d’une todo list par répertoire (très pratique pour gérer plusieurs projets à la fois).
Exemple : vous allez dans le répertoire mon-projet/, vous visualisez la todo list de ce projet :

cd mon-projet
todo
# affichage des todos de "mon-projet"

Vous voulez tout d’un coup travailler sur un autre projet :

cd ../autre-projet
todo
# affichage des todo de "autre-projet"

En fait, par défaut, devtodo lira le fichier xml .todo présent dans le répertoire courant, d’où ce fonctionnement. On peut bien sur forcer l’utilisation d’une todolist différente avec l’option -G ;

Filtrage et tri avancé de l’affichage des todos (suivant des critères comme terminé, priorité, date de création…) ;

Possibilité de redéfinir entièrement le formatage et la coloration de l’affichage de la todo list (en accédant au variables via %p, %d, etc…) ;

Je pense que ce sera tout, tout ça prenant un peu moins de 300Ko installé !

Utilisation basique

Voici comment utiliser devtodo de manière « simple » :

Ajout d’un todo avec une priorité faible (la plus haute est 1) :
```
tda -p 4 un premier todo
```
Voir sa liste de todo :
```
todo
```
Ajout d’une sous tache à la précédente :
```
tda -g 1 une sous tache du premier todo
```
Marquer la sous tache comme faite :
```
tdd 1.1
```
Édition d’une tache :
```
tde 1
```

Bref, je vous laisse lire le man pour plus de détails (qui est d’ailleurs très clair, contrairement au site du projet).

Utilisation avancée

Filtrage

devtodo permet de filtrer l’affichage des todos suivant plusieurs critères. Quelques exemples pratiques :

N’afficher que les todos finissant par la chaîne toto (on commence simple) :
```
todo -f "/toto$"
```
Afficher les todos non fait et avec une priorité supérieure ou égale à high :
```
todo -f "-done,+high"
```
Afficher les todos contenant foo ou Foo, en recherchant aussi dans les sous tâches :
```
todo -f "/[fF]oo,+children"
```

En bonus, vous pouvez définir un filtre par défaut, qui s’appliquera lorsque vous taperez simplement la commande todo.
Cela ce fait dans le fichier .todorc :

1	filter -done,children

Tri

De la même manière que vous pouvez filtrer la sortie, vous pouvez aussi la trier. Le principe est un peu le même que pour les filtres :

Trier par date de création :
```
todo --sort created
```
Trier d’abord par priorité, puis par ordre alphabétique :
```
todo --sort priority,text
```

Le tri à appliquer par défaut est définit par la directive sort dans le fichier de conf.

Formatage

Le formatage de la sortie de todo ne vous convient pas ? eh bien vous pouvez la réécrire complètement.
Avant tout sachez aussi que vous pouvez utiliser l’option -v pour un affichage plus complet.

La définition des formats se passent (de préférence) dans le fichier de conf. Vous retrouvez les formats par défaut qui y sont décrits, puis vous pouvez écrire les votre en dessous, en utilisant la forme :

1	format nomDuFormat=templateString

templateString est la chaîne qui affichera le todo. Vous pouvez donc insérer des variables sur le même principe que la fonction C printf(). Un petit exemple :

1	format display=%4>%i%[info]%f%2n.%[priority]%+1T

Pour avoir plus d’information sur l’écriture de la chaîne (notamment la liste des variables),… cf. le man.

Après avoir écrit votre nouveau format, 2 solutions : soit il déchire tout et vous voulez l’utiliser à la place de celui par défaut, soit il déchire aussi mais vous voulez l’utilisez que dans certains cas plus spécifiques.
Dans le premier cas, rajoutez la ligne suivante dans votre conf :

1	use-format display=nomDuFormat

Remplacez display par verbose-display si le format doit être utilisé dans le cas de l’utilisation de l’option -v.
Dans le second cas, vous pouvez bien sur spécifier le thème dans les options de la ligne de commande directement, via –use-format, en utilisant la même syntaxe que ci-dessus.

Je pense avoir fait un tour global sur cet outil vraiment sympa, cependant il reste encore quelques astuces dont je n’ai pas parlé, mais bien décrite dans le man.

Evodownload : comment envoyer des fichiers volumineux par mail ?

2010-09-09T13:50:03+00:00

Evodownload c’est quoi ?
C’est un service en version beta chez Evolix et qui permet de partager très simplement des fichiers trop volumineux pour être échangés par courrier électronique.
Le principe est le suivant : en tant que client Evolix, vous pouvez demander un compte Evodownload. Dès lors une URL spécifique et liée à votre adresse email vous sera générée de la forme download.societe.com/societe-XXX/login. Il vous suffit alors à l’aide du client FTP de votre choix (Internet Explorer, Filezilla, lftp, etc.) de vous connecter sur cette URL (en anonyme) et d’y déposer le fichier volumineux que vous souhaitez envoyer. Quelques secondes après l’upload, vous recevrez par mail une URL sécurisée que vous pourrez envoyer par mail à vos correspondants sous la forme : http://download.societe.com/codesecurisé/fichier_uploadé. Le fichier en question (maximum 1Go) sera stocké pendant 30 jours.

Exemple en image avec un Internet Explorer (encore présent sur certains postes dans les sociétés ) où un simple “glisser-déposer” du document fonctionne (ce qui n’est pas possible avec les dl.free.fr et autre web-application) !

Petite astuce et script (à mettre dans un repartoire de votre $PATH et avec les droits d’exécution) pour les chanceux utilisateur de linux pour vous créer un script evodownload (on suppose lftp installé) :
#!/bin/sh lftp -c 'open -e "put '$1'" download.societe.com/societe-XXX/login'

Dès lors la nouvelle commande evodownload prendra en argument le fichier à envoyer !

MediaWiki sur l’hébergement mutualisé Evolix

2010-08-27T12:41:46+00:00

Après l’installation de MIMP et DIMP, ou encore celle de WordPress, Dotclear et autre Gallery2, pour information le web-mutu Evolix (basé sur un Pack Web Evolix multi-site) est compatible avec le logiciel libre MediaWiki qui a été conçu initialement pour propulser Wikipedia.
Les pré-requis de MediaWiki pour fonctionner sont atteints. (http://www.mediawiki.org/wiki/Manual:Installation_requirements/fr).

À noter néanmoins l’absence comme bien souvent sur un serveur mutualisé d’un moteur de cache (type eAccelerator, APC ou XCache ) utile pour augmenter les performances de MediaWiki lors de pics d’affluences. Quand ce genre de problématique arrive, il faut penser au serveur dédié et l’infogérance Evolix

Mon compte-rendu de DebConf 10 à New York

2010-08-18T11:52:16+00:00

DebConf est la conférence annuelle des développeurs du projet Debian. Cela permet aux développeurs et contributeurs de Debian d’assister à des présentations techniques, sociales et politiques, mais aussi de se rencontrer et travailler ensemble. Cette année, la 11e DebConf s’est tenue à New York du 1er au 7 août. Evolix a sponsorisé cette conférence et j’étais donc sur place, voici mon résumé de cette semaine.

Premiers pas plutôt festifs le vendredi soir avec le SysAdmin Day dans un bar à Manhattan puis direction Brooklyn pour une Debian Party organisée par NYC Resistor, un collectif local de hackers en électronique à l’origine de MakerBot, une imprimante 3D Open Source. Samedi c’est l’arrivée à Columbia University, l’université américaine qui accueille la DebConf 10. Une bonne partie des participants est hébergée sur le campus universitaire, dans des chambres avec accès haut-débit et une cafétéria à volonté.

C’est donc le dimanche 1er août que commence la DebConf avec des présentations orientées grand public pour cette première journée appelée le “Debian Day”. Un grand message de bienvenue pour un public plus large en ce premier jour, puis enchaînement des présentations. J’ai tout d’abord assisté à une présentation sur le sysadmin par François Marier qui a livré toutes ses astuces et une série de packages intéressants (unattended-upgrades, safe-rm, etckeeper, fcheck, fwknop, etc.). J’ai d’ailleurs pu échanger par la suite avec lui d’autres informations, sachant qu’il travaille dans une boîte similaire à Evolix : Catalyst située en Nouvelle-Zélande ! J’ai ensuite assisté à la présentation de Stefano Zacchiroli, l’actuel leader Debian, qui encourage fortement les développeurs à réaliser des NMU (Non Maintainer Upload), c’est-à-dire la publication d’un package par un autre développeur que celui responsable officiellement. J’ai ensuite poursuivi avec la présentation du Google Summer of Code 2010 de Debian : une présentation générale puis plusieurs “étudiants” expliquent leur projet en cours : Debian-Installer pour OpenMoko, GUI pour aptitude en QT, etc. D’autres présentations ont ensuite suivies, mais j’ai plutôt été découvrir le “hacklab” : une pièce pourvue de multiprises, switches et points d’accès afin de permettre à plusieurs dizaines de personnes de travailler/hacker. Le “Debian Day” a été un franc succès avec plusieurs centaines de participants. En soirée, c’est l’heure du coup d’envoi “officiel” de la DebConf par Gabriella Coleman, l’une des organisatrices de la DebConf 10, qui présente avec humour la semaine à venir, avec un petit retour en images sur les éditions précédentes.

Deuxième jour, on a le droit à un Bits from DPL en direct de la part de Stefano Zacchiroli (au lieu du traditionnel mail). Ensuite, il y a de nombreuses présentations. Durant DebConf, il y en aura plus de 100 au total, réparties dans 3 salles : Davis (avec vidéo), 414 Schapiro et Interschool (avec vidéo). Le choix est parfois difficile ! Pour ma part, j’ai assisté en fin de matinée à la présentation de la structure américaine à but non lucractif SPI : c’est elle qui gère les droits de la marque Debian, mais pas seulement : OpenOffice.org, Drupal, PostgreSQL, Alfresco, etc. de nombreux projets de logiciels libres utilisent cette structure légale ! Dans l’après-midi, c’est Mark Shuttleworth, fondateur d’Ubuntu et CEO de Canonical, qui nous présente le travail réalisé pour améliorer l’interface graphique des netbooks, notamment par l’intermédiaire du projet Ayatana. Puis, Jorge Castro, responsable chez Canonical des relations avec les développeurs extérieurs, parle de la collaboration entre Ubuntu et Debian. On notera que toute une équipe de Canonical est venue à DebConf et que les relations avec Debian semblent devenir plus sereines. Le soir venu, c’est l’heure de Wine&Cheese, un évènement devenu incontournable pour une DebConf : imaginez des centaines de fromages et alcools venus du monde entier (Italie, Allemagne, France, Mexique, Brésil, USA, Taïwan, Pologne, Kazhastan, Espagne, Nouvelle-Zélande, Corse, Vénézuela, Hollande, Marseille, Irlande, Angleterre, Japon, etc. etc.) et plus d’une centaine de développeurs Debian lâchés dessus pendant des heures… le résultat est… indescriptible ! Pour ma part, j’avais apporté un rosé Bandol, des bières La Cagole, du Banon et de la Tapenade… qui n’ont pas fait long feu.

Troisième jour et l’on débute par un talk d’Eben Moglen, avocat de la FSF, qui rappelle les dangers du Cloud Computing comme la gestion des données privées. Sa réponse : “Chacun devrait avoir un serveur chez soi” et il évoque la FreedomBox, une boi-boîte que tout le monde aurait chez soi pour faire office de petit serveur avec les fonctionnalités classiques (web, messagerie, VoIP). Cette idée rencontre un certain enthousiasme et plusieurs réfléchissent déjà à la réalisation de cette idée ! J’ai ensuite suivi une succession de présentations sur le thème de l’entreprise. On a parlé du déploiement de machines avec le logiciel Puppet, de l’installation automatisée de Debian avec FAI et Gosa, notamment présentée par Mickaël Bank, un développeur allemand très actif dans Debian. On a également des témoignages très intéressants : Russ Allbery, administrateur système et réseau à l’université de Standford en Californie, explique quels sont les arguments en faveur de Debian en entreprise et en profite pour présenter la gestion de Debian à Standford ; Faidon Liambotis, sysadmin chez GRNET (un opérateur public grec), présente leur utilisation de Debian mais aussi leurs choix en terme de déploiement (Puppet/FAI) ou de virtualisation (KVM/Ganeti). Pour terminer la journée, Guido Trotter de chez Google, nous parle des fonctionnalités réseau intéressantes sous Linux (VLAN, tunnels, routing, etc.). Une journée riche en idées et en informations ! En soirée, nous avons visualisé le film Open Source Sita Sings the Blues et Nina Paley nous a expliqué son choix d’une licence libre pour son film.

Le quatrième jour, c’est le Day Trip. Il s’agit classiquement d’une journée consacrée à des activités touristiques extérieures. Nous avons été visiter l’église Trinity Church à Manhattan où le drame du 11 septembre 2001 a mis un superbe orgue hors d’usage, remplacé temporairement par un orgue électronique “Powered by Linux”… qui a finalement été conservé en raison de sa qualité. Keith Packard, l’un des gourous de X.org employé chez Intel, a joué quelques minutes sur cet orgue. Ensuite, direction la plage de Coney Island. Puis un match de baseball où Stefano Zacchiroli lancera la première balle du match.

Cinquième jour, on reprend avec un BoF (un BoF=Birds of a Feather est une discussion informelle de groupe) sur la virtualisation où plusieurs personnes témoignent de leurs expériences et connaissances sur le sujet. Pas mal d’informations intéressantes, notamment sur le couple Ganeti/KVM pas mal mis en avant par Iustin Pop, l’un des développeurs de Ganeti employé chez Google. J’y apprends notamment que KVM gère une notion de mémoire partagée et ainsi démarrer une 2e machine virtuelle avec un même OS ne consommerait pas de mémoire supplémentaire sur le système hôte ! Suite des présentations, notamment une portant sur DebConf 12 qui pourrait peut-être se dérouler au Brésil. Et fin de la matinée avec François Marier qui présente le projet Libravatar permettant d’offrir une alternative à Gravatar, l’outil centralisé de gestion des avatars. Ses idées sont de se baser sur les DNS pour répartir les avatars pour chaque noms de domaine. Il a déjà commencé à développer une application en Django pour gérer cela. Suite de la journée avec un BoF sur Lintian (outil de vérification de la conformité des packages Debian) géré par Russ Allbery. Puis j’ai assisté à une présentation de Guido Günther qui a expliqué comment gérer son packaging avec Git et notamment git-buildpackage (très intéressant pour moi car je gère déjà mes packages Debian comme ça). Ensuite, petite pause sportive, car une dizaine de développeurs Debian a été participé à un cross de 5 kms dans le Bronx, avec des résultats honorables !

Sixième jour, on débute par Bits from Release Team qui déclare en direct que Squeeze, la prochaine version stable, est désormais freezée ! Un scoop à DebConf ! C’est ensuite Stefano Zacchiroli qui nous présente son travail en cours sur une amélioration de la gestion des dépendances, non seulement pour Debian mais aussi pour les autres distributions : plus de détails sur le site du projet Mancoosi. C’est ensuite la traditionnelle photo de groupe. En début d’après-midi, Margarita Manterola dresse un constat très lucide de l’état de Debian avec son talk Making Debian Rule, again. Puis en fin d’après-midi, c’est un BoF très apprécié mené par Joey Hess sur CUT (Constantly Usable Testing) qui explore les possibilités d’avoir une distribution Testing utilisable en permanence ! Le soir venu, c’est un BoF sur l’utilisation d’OpenPGP et la classique Keysigning Party qui a regroupé plusieurs dizaines de participants.

Septième et dernier jour, encore de nombreuses présentations. J’ai notamment assisté à celle de Philippe Kern, membre de la Release Team, qui a parlé du management de la version stable et de volatile. On notera par exemple qu’on peut désormais corriger des bugs en priorité “Important” dans les points de Release. La suite ce sont des fameux Lightnings Talks, une dizaine de présentations très courtes : une qui suggère d’arrêter complètement d’utiliser les mots de passe, une autre sur le logiciel runit, une autre sur les éclairs (lightnings !) ou encore l’historique en photos des Wine&Cheese Party ! Fun et instructif. Puis c’est l’heure de la conférence de clôture, où l’on remet des prix à ceux qui ont corrigé le plus de bugs mais surtout tous les volontaires sont vivement remerciés et j’en profite pour adresser une nouvelle fois mes remerciements à :
- L’équipe qui a organisé cette DebConf 10 : un travail impressionnant pour un résultat professionnel et communautaire à la fois : on frôle la perfection !
- L’équipe vidéo qui a fait un travail génial et vous pouvez ainsi retrouver l’ensemble des talks en vidéo,
- Les centaines de personnes sympas et passionnées qui contribuent à faire de Debian une distribution de grande qualité… et qui sait évoluer, la preuve avec les sujets abordés lors de cette DebConf !

Petite conclusion de cette semaine intensive, comme vous avez pu le lire : j’ai pu acquérir de nombreuses informations et faire le plein de nouvelles idées, mais aussi avoir des contacts réels avec d’autres développeurs et comprendre encore mieux le fonctionnement “social” de Debian. C’est donc très positif et cela va me permettre d’améliorer mon travail quotidien au sein d’Evolix, mais aussi réfléchir à d’autres projets et me motiver pour contribuer davantage à Debian. Debian rules !

Hard reboot à distance

2010-08-09T11:48:50+00:00

Voici une astuce bien utile si votre serveur est complètement planté.
Il faut néanmoins pouvoir se connecter en SSH sur la machine et avoir un shell en root.

Dans mon cas, il s’agissait d’un problème d’accès disque, la plupart des commandes exécutées renvoyaient des erreurs d’entrée/sortie, y compris la commande reboot, qui a besoin d’exécuter les scripts d’init de niveau 6.

Mais tout n’est pas perdu, si vous n’avez pas d’accès physique à la machine ! On va passer par le pseudo système de fichier /proc pour parler directement au noyau et lui dire de redémarrer la machine.
Avant tout (et si il ne s’agit pas d’un problème disque), on tente de forcer la synchronisation du cache vers le disque :

sync

On active ensuite les magic sysrq key si elles ne le sont pas déjà :

echo 1 > /proc/sys/kernel/sysrq

Puis on modifie l’état de la machine :

echo b > /proc/sysrq-trigger

Cette dernière action a exactement le même effet que la combinaison Alt + Syst + b.

Après cela, priez pour que la machine redémarre correctement

Url rewriting pour StatusNet sous Lighttpd

2010-08-02T21:36:15+00:00

Tout récemment, j’ai installé sur mon serveur StatusNet, le moteur de microblogging libre, utilisé notamment par Identi.ca. Dans l’ensemble, l’installation est bien documentée dans le README. Un fichier htaccess d’exemple est présent contenant les règles de réécriture d’URL. Si vous utilisez Apache, pas de problème, renommez le fichier en .htaccess et c’est parti. Seulement, si on utilise un autre serveur web, il faudra adapter ces règles à la syntaxe de son serveur. Voici comment faire avec Lighttpd.

Fichiers de configuration

Un petit rappel du contenu du htaccess de StatusNet :

<IfModule mod_rewrite.c>                                                                                                           
  RewriteEngine On
 
  # NOTE: change this to your actual StatusNet base URL path,
  # minus the domain part:
  #
  #   http://example.com/        => /
  #   http://example.com/mublog/ => /mublog/
  #
  RewriteBase /mublog/
 
  ## Uncomment these if having trouble with API authentication
  ## when PHP is running in CGI or FastCGI mode.
  #
  #RewriteCond %{HTTP:Authorization} ^(.*)
  #RewriteRule ^(.*) - [E=HTTP_AUTHORIZATION:%1]
 
  RewriteCond %{REQUEST_FILENAME} !-f 
  RewriteCond %{REQUEST_FILENAME} !-d 
  RewriteRule (.*) index.php?p=$1 [L,QSA]
</IfModule>

Et voici son adaptation à la sauce lighty :

# Si mod_rewrite n'est pas activé, on l'active
server.modules += ( "mod_rewrite" )
# Équivalent de RewriteBase
base_url = "/" 
# La règle de redirection
url.rewrite-if-not-file = ( "^" + base_url + "(\w+)" => base_url + "index.php/$1" )

C’est plutôt… court

Explications

Sous Lighttpd, il n’existe pas vraiment d’équivalent à RewriteBase, on utilise alors une simple variable, nommée ici base_url ;
Conditions de réécriture : on utilise la directive url.rewrite-if-not-file. Cela a pour effet de réécrire seulement si l’URL pointe sur un fichier inexistant. Cependant, cela ne prend pas en compte les répertoires (pour remplacer RewriteCond %{REQUEST_FILENAME} !-d d’Apache).
C’est là que je me suis posé la question de la présence de cette directive dans le htaccess. Je ne vois vraiment aucun cas où l’application aurait besoin d’accéder (donc de lister) un répertoire. De toute manière, le dir-listing est désactivé par défaut, donc le problème est clos ;
Règle de réécriture et flags : Avant tout, on ne va pas s’embêter avec les paramètres GET dans l’URL, l’index.php permet convertir les URL du style /index.php/toto en /index.php?p=toto, et lighttpd le supporte.
La regex ne change pas vraiment, en revanche pour ce qui est des flags Apache : [L] permet d’arrêter le traitement de réécriture d’URL, c’est le comportement par défaut du coté de lighty (sinon on aurait utilisé url.rewrite-repeat-if-not-file). Pour le flag [QSA], qui permet de ne pas tronquer l’URL en cas de paramètres GET multiples, il ne sert à rien puisqu’on utilise pas ce genre d’URL (Sinon la réponse se trouve dans le second lien en fin d’article).

Liens utiles

[1] Apache mod_rewrite
[2] Adaptation des règles de rewrite Apache -> Lighttpd
[3] Lighttpd mod_rewrite

Mon compte-rendu du FRnOG 16

2010-07-03T13:06:15+00:00

Vendredi 25 juin 2010, je me suis rendu au FRnOG 16, la rencontre des BOFH qui se déroule 2 fois par an à Paris. Le principe est de réunir tous les opérateurs de l’Internet français (Orange, SFR, Bouygues, Nerim, Iliad, Jaguar Network, TATA, Level 3, etc.) mais aussi des acteurs incontournables (AFNIC, RIPE NCC, Renater, etc.), des hébergeurs (OVH, Ikoula, GANDI, Euro Web, etc.), des sociétés de services (principalement la célébrissime société Evolix ;-), mais aussi Linagora, Witbe, etc.) et même des gros sites web (CyberCartes, Pixmania, etc.). Voici donc mon résumé du déroulement de l’après-midi :

Présentation commerciale d’Equinix (un des sponsors de la manifestation) qui possède notamment un gros datacenter à Saint-Denis où se trouvent pas mal d’hébergeurs et d’opérateurs français
Présentation de France-IX, une nouvelle entité dont le but est de monter un gros point d’échange français dans la lignée du FreeIX d’Iliad, du PANAP de Bouygues Telecom ou du Sfinx de Renater. Pour les non-initiés, un point d’échange sert notamment à favoriser le peering (échange de trafic souvent gratuit) entre les opérateurs. On y apprend notamment que France-IX a trouvé un accord avec le PANAP, et que Marseille va devenir une plaque-tournante du monde d’Internet grâce à l’arrivée des câbles sous-marins. Marseille, centre du monde, quoi de plus normal \o/
Nouvelles du Sfinx, le point d’échange de Renater. On a notamment des informations sur les évolutions prévues en terme d’équipements mais aussi sur les points de présence (notamment dans les DOM/TOM). Et ça parle encore de projets sur Marseille \o/
Talk d’Alix Guillard du RIPE NCC qui commence très fort : “je suis Alix et je ne suis pas un point d’échange”. Il présente les dernières discussions sur les mailing-lists, et surtout les outils du RIPE Labs : labs.ripe.net
Présentation technique de l’infrastructure mondiale de Level 3, un très gros opérateur. L’exposé est très technique et intéressant et traite notamment des flux trèèèèèès haut débit (jusqu’à plusieurs Tb/s), des câbles sous-marins, etc.
Exposé de Stéphane Bortzmeyer de l’AFNIC sur DNSSEC. Pédagogique, clair, l’exposé est génial ! Stéphane, avec un superbe T-Shirt isc.org Bind 1997, est un bon orateur. Il nous ré-explique pourquoi DNSSEC (sécurité, faille Kaminski). Extrait : “D’ici à 2012 plusieurs fins du monde sont prévues”. Puis il expose le planning de déploiement sur les serveurs racines et désormais les TLD. De nombreuses anecdotes amusantes, comme les déboires du .GOV suite à une relance de Barak Obama et l’invalidité pendant plusieurs semaines du .NOAA.GOV ou encore du .FBI.GOV. Pour le .FR c’est prévu pour septembre 2010 (l’AFNIC a commencé avec le .PM… le TLD de St-Pierre et Miquelon :-). Enfin, une question sur qui vérifiera les signatures DNSSEC : l’utilisateur final ou le FAI ? Stéphane répond que ça sera sûrement les deux : le geek vérifiera et le FAI vérifiera pour Mme Michu.
Pause publicitaire de la société BeFree
Présentation de la société Blade Network, un constructeur de switchs peu connu car il équipe des gros constructeurs (IBM, HP…) en marque blanche. Il nous parle notamment de ses switchs 10G.
Pause café
One-man-show de Jean-Michel Planche de Witbe. Au milieu des blagues, le sujet était le monitoring. JMP insiste notamment sur la nécessité de faire des mesures fiables et pertinentes sur les points significatifs (NDLR: certes…) et il parle de QoE (Qualité d’Expérience) en plus de la QoS (Qualité de Service). Pas mal d’évidences : “rien ne passe comme prévu”, “il faut automatiser ce qui peut l’être”, mais on reste un peu sur sa faim car on a l’impression qu’il manque une conclusion à son talk. En effet, il a parlé d’outils plus sérieux que les “Nagioseries”, mais sans dire de quoi il s’agissait (vous croyez qu’il peut s’agir d’outils propriétaires développés par sa société ? :-). Certes, je suis d’accord sur pas mal de choses, notamment que le monitoring ne consiste pas à faire des requêtes automatisées toutes les 3 minutes, et qu’il faut que les opérateurs arrêtent de proposer du pseudo-monitoring et confient les missions d’infogérance à des prestataires indépendants (comme Evolix par exemple ;-). Par contre, JMP généralise trop son exposé : tout le monde n’a pas des FAI comme clients qui doivent surveiller la qualité du débit/VoIP/IPTV de millions de Mme Michu ; et Nagios reste un très bon outil même si il en a touché les limites.
Exposé très pointu sur les cartes réseau 40G et 100G. Je dois avouer avoir un peu décroché… Zzzz…
Présentation des défis opérationnels d’IPv6 par Souissi (AFNIC) et Stevant (ENST). Parler d’IPv6 en présence de nombreux opérateurs… le terrain était miné. L’idée n’était pas de ré-expliquer l’intérêt d’IPv6 et la pénurie prochaine des IPv4, mais d’aborder des détails concrets comme l’obtention de préfixes IPv6 ou des expérimentations de futures connexions Internet sans IPv4 avec des tunnels, etc.

Voilà pour les conférences commerciales et techniques. À la fin, il y avait un tirage au sort pour gagner un iPad et des ballons de la Coupe du Monde. J’avais annoncé que si je gagnais l’iPad, je l’échangerai contre un ballon de foot (faut pas déconner non plus). Bon, je n’ai pas gagné l’iPad, mais j’ai justement gagné un Jabulani. Suite à cela, il y avait le beer event, dans un petit bar pris d’assaut. Mais j’ai à peine eu le temps de parler emailing avec EmailVision, Nagios avec Yann, et descendre une bière, que j’ai du filer vers mon TGV pour me ramener au centre du monde.

Compter le nombre de connections par IP

2010-06-18T19:28:55+00:00

Aujourd’hui au boulot, j’ai été confronté à un petit problème : sur un serveur victime d’une attaque DDoS (visiblement), je voulais savoir quelles IP ouvraient le plus de connections. Ne trouvant rien de bien intéressant dans les commandes Unix, j’ai écris un petit script en Perl.

Il se charge de récupérer la sortie de netstat (la commande est à adapter à votre besoin) et compte le nombre de lignes identiques (donc d’IP), qu’il se charge ensuite de trier par ordre décroissant et d’afficher.

Voici le script en question :

#!/usr/bin/perl
 
use strict;
use warnings;
 
my %addrs = (); 
my @netstatOut = split( /\n/, `netstat -taupen | grep SYN | tr -s " " | cut -d" " -f 5 | cut -d: -f1` );
for (@netstatOut) {                                                                                                                                          
    chomp $_; 
    $addrs{$_} += 1;
}
 
for my $key ( sort {$addrs{$b} <=> $addrs{$a}} keys %addrs ) { 
    print $addrs{$key}."\t$key\n";
}

Le script retourne alors son résultat sous la forme :

nbConnection    IP1
nbConnection    IP2
...

Il ne vous reste plus qu’à blacklister les IP les plus actives avec la commande

iptables -I INPUT -s IP -j DROP

IT Sail CUP 2010 – bateau 4

2010-06-15T12:44:38+00:00

Quelques membres de Libertis dont Evolix ont pu régater sous les couleurs du Prides SCS et de l’Europe au sein du bateau Medinsoft vendredi et samedi dernier (11 et 12 Juin). Evolix via votre dévoué bloggueur a tenu la place de n°1 sur le Selection 37 mis à disposition et skippé par Eric. Lors de la seconde manche de la régate du vendredi réalisée au sud de la rade de Marseille, notre bateau est arrivé 4ème, devant celui notamment de Linagora ou Microsoft/Prodirect. La bataille a été rude ! À l’issue des deux journées, classement final : 6ème

Publication CNLL (Conseil National du Logiciel Libre) – Cartographie SSLL

2010-06-15T09:37:03+00:00

Le CNLL c’est quoi ? C’est une association d’associations. Plus précisément le CNLL a vu le jour de la volonté de 10 associations régionales de professionnels du Logiciel Libre (Libertis, CapLibre, Alliance Libre, GT LL, PLOSS RHA, System@tic, PLOSS, ProLibre, Collibri, Cap Digital, Pôle Nord, Telecom Valley, OSS@TV).
Le CNLL réunit déjà plus de 200 entreprises françaises du Logiciel Libre (dont Evolix!) et vient de réaliser et de publier les résultats d’une vaste étude (PDF, 21 pages) qui offre une cartographie unique de cet écosystème jeune et florissant.
Cette étude a été réalisée sur les mois d’avril et mai 2010 auprès de 94 entreprises et porte sur une vingtaine de thématiques différentes.

News attachée : http://linuxfr.org/2010/06/05/26950.html

Citation dans le 01Informatique du 13 Mai 2010 – n° 2039 – Page 37

2010-05-19T21:58:48+00:00

Les citations validées avec le journaliste (Eddye Dibar) sous la direction de Yann Serra :

« le Cloud public trouve tout son intérêt lors d’une réflexion
sur la gestion de montées en charge courtes et identifiées
d’une infrastructure web, car c’est alors que l’économie vis à
vis d’une infrastructure classique est optimale et qu’on
profite pleinement de la souplesse du Cloud»

« La souplesse est l’un des avantages à passer à une offre
d’Infrastructure as a service externalisée. Cette notion de
souplesse s’entend au sens qu’une entreprise peut avoir de la
haute disponibilité et des ressources “à la demande” gérée par
un prestataire unique liant matériel et d’hébergement. Revers
de la médaille : en liant matériel et hébergement avec le même
prestataire, s’il y a une défaillance minime à un niveau c’est
l’ensemble de la plateforme de l’entreprise qui est impacté.»

« Certains applicatifs métiers ont des besoins en ressources
réseau importantes ou en terme d’accès disque. La performance
pure liée à l’infrastructure Cloud peut être moins bonne
qu’une infrastructure classique, en termes de latence ou
d’accès disque en lecture notamment. Dès lors, un service avec
un nombre de requêtes important à la bases de données se prêtera
moins à ce type d’hébergement.»

La double page liée :

Merci à Yann Serra et Eddye Dibar

Vidéo de la conférence sur les différentes facettes du Logiciel Libre

2010-05-02T21:54:55+00:00

À l’occasion du salon marseillais TopT.I.C. il y a quelques mois, j’ai participé à une conférence sur les différentes facettes du Logiciel Libre. Différents sujets ont été survolés, comme le choix d’un Logiciel Libre et d’un prestataire. Vous pouvez retrouver cette conférence en vidéo (en 3 parties) :

http://www.dailymotion.com/video/xb3ebe_les-differentes-facettes-du-logicie_tech (Partie 1)

http://www.dailymotion.com/video/xb3enj_les-differentes-facettes-du-logicie_tech (Partie 2)

http://www.dailymotion.com/video/xb3exs_les-differentes-facettes-du-logicie_tech (Partie 3)

Dossier de presse final Rdv Techno du 15/04

2010-04-16T15:01:24+00:00

Rédigé en collaboration avec Geoffrey Dirat de Jeu2Mot.com