Planet Evolix

MediaWiki sur l’hébergement mutualisé Evolix

2010-08-27T12:41:46+00:00

Après l’installation de MIMP et DIMP, ou encore celle de Wordpress, Dotclear et autre Gallery2, pour information le web-mutu Evolix (basé sur un Pack Web Evolix multi-site) est compatible avec le logiciel libre MediaWiki qui a été conçu initialement pour propulser Wikipedia.
Les pré-requis de MediaWiki pour fonctionner sont atteints. (http://www.mediawiki.org/wiki/Manual:Installation_requirements/fr).

À noter néanmoins l’absence comme bien souvent sur un serveur mutualisé d’un moteur de cache (type eAccelerator, APC ou XCache ) utile pour augmenter les performances de MediaWiki lors de pics d’affluences. Quand ce genre de problématique arrive, il faut penser au serveur dédié et l’infogérance Evolix

Mon compte-rendu de DebConf 10 à New York

2010-08-18T11:52:16+00:00

DebConf est la conférence annuelle des développeurs du projet Debian. Cela permet aux développeurs et contributeurs de Debian d’assister à des présentations techniques, sociales et politiques, mais aussi de se rencontrer et travailler ensemble. Cette année, la 11e DebConf s’est tenue à New York du 1er au 7 août. Evolix a sponsorisé cette conférence et j’étais donc sur place, voici mon résumé de cette semaine.

Premiers pas plutôt festifs le vendredi soir avec le SysAdmin Day dans un bar à Manhattan puis direction Brooklyn pour une Debian Party organisée par NYC Resistor, un collectif local de hackers en électronique à l’origine de MakerBot, une imprimante 3D Open Source. Samedi c’est l’arrivée à Columbia University, l’université américaine qui accueille la DebConf 10. Une bonne partie des participants est hébergée sur le campus universitaire, dans des chambres avec accès haut-débit et une cafétéria à volonté.

C’est donc le dimanche 1er août que commence la DebConf avec des présentations orientées grand public pour cette première journée appelée le “Debian Day”. Un grand message de bienvenue pour un public plus large en ce premier jour, puis enchaînement des présentations. J’ai tout d’abord assisté à une présentation sur le sysadmin par François Marier qui a livré toutes ses astuces et une série de packages intéressants (unattended-upgrades, safe-rm, etckeeper, fcheck, fwknop, etc.). J’ai d’ailleurs pu échanger par la suite avec lui d’autres informations, sachant qu’il travaille dans une boîte similaire à Evolix : Catalyst située en Nouvelle-Zélande ! J’ai ensuite assisté à la présentation de Stefano Zacchiroli, l’actuel leader Debian, qui encourage fortement les développeurs à réaliser des NMU (Non Maintainer Upload), c’est-à-dire la publication d’un package par un autre développeur que celui responsable officiellement. J’ai ensuite poursuivi avec la présentation du Google Summer of Code 2010 de Debian : une présentation générale puis plusieurs “étudiants” expliquent leur projet en cours : Debian-Installer pour OpenMoko, GUI pour aptitude en QT, etc. D’autres présentations ont ensuite suivies, mais j’ai plutôt été découvrir le “hacklab” : une pièce pourvue de multiprises, switches et points d’accès afin de permettre à plusieurs dizaines de personnes de travailler/hacker. Le “Debian Day” a été un franc succès avec plusieurs centaines de participants. En soirée, c’est l’heure du coup d’envoi “officiel” de la DebConf par Gabriella Coleman, l’une des organisatrices de la DebConf 10, qui présente avec humour la semaine à venir, avec un petit retour en images sur les éditions précédentes.

Deuxième jour, on a le droit à un Bits from DPL en direct de la part de Stefano Zacchiroli (au lieu du traditionnel mail). Ensuite, il y a de nombreuses présentations. Durant DebConf, il y en aura plus de 100 au total, réparties dans 3 salles : Davis (avec vidéo), 414 Schapiro et Interschool (avec vidéo). Le choix est parfois difficile ! Pour ma part, j’ai assisté en fin de matinée à la présentation de la structure américaine à but non lucractif SPI : c’est elle qui gère les droits de la marque Debian, mais pas seulement : OpenOffice.org, Drupal, PostgreSQL, Alfresco, etc. de nombreux projets de logiciels libres utilisent cette structure légale ! Dans l’après-midi, c’est Mark Shuttleworth, fondateur d’Ubuntu et CEO de Canonical, qui nous présente le travail réalisé pour améliorer l’interface graphique des netbooks, notamment par l’intermédiaire du projet Ayatana. Puis, Jorge Castro, responsable chez Canonical des relations avec les développeurs extérieurs, parle de la collaboration entre Ubuntu et Debian. On notera que toute une équipe de Canonical est venue à DebConf et que les relations avec Debian semblent devenir plus sereines. Le soir venu, c’est l’heure de Wine&Cheese, un évènement devenu incontournable pour une DebConf : imaginez des centaines de fromages et alcools venus du monde entier (Italie, Allemagne, France, Mexique, Brésil, USA, Taïwan, Pologne, Kazhastan, Espagne, Nouvelle-Zélande, Corse, Vénézuela, Hollande, Marseille, Irlande, Angleterre, Japon, etc. etc.) et plus d’une centaine de développeurs Debian lâchés dessus pendant des heures… le résultat est… indescriptible ! Pour ma part, j’avais apporté un rosé Bandol, des bières La Cagole, du Banon et de la Tapenade… qui n’ont pas fait long feu.

Troisième jour et l’on débute par un talk d’Eben Moglen, avocat de la FSF, qui rappelle les dangers du Cloud Computing comme la gestion des données privées. Sa réponse : “Chacun devrait avoir un serveur chez soi” et il évoque la FreedomBox, une boi-boîte que tout le monde aurait chez soi pour faire office de petit serveur avec les fonctionnalités classiques (web, messagerie, VoIP). Cette idée rencontre un certain enthousiasme et plusieurs réfléchissent déjà à la réalisation de cette idée ! J’ai ensuite suivi une succession de présentations sur le thème de l’entreprise. On a parlé du déploiement de machines avec le logiciel Puppet, de l’installation automatisée de Debian avec FAI et Gosa, notamment présentée par Mickaël Bank, un développeur allemand très actif dans Debian. On a également des témoignages très intéressants : Russ Allbery, administrateur système et réseau à l’université de Standford en Californie, explique quels sont les arguments en faveur de Debian en entreprise et en profite pour présenter la gestion de Debian à Standford ; Faidon Liambotis, sysadmin chez GRNET (un opérateur public grec), présente leur utilisation de Debian mais aussi leurs choix en terme de déploiement (Puppet/FAI) ou de virtualisation (KVM/Ganeti). Pour terminer la journée, Guido Trotter de chez Google, nous parle des fonctionnalités réseau intéressantes sous Linux (VLAN, tunnels, routing, etc.). Une journée riche en idées et en informations ! En soirée, nous avons visualisé le film Open Source Sita Sings the Blues et Nina Paley nous a expliqué son choix d’une licence libre pour son film.

Le quatrième jour, c’est le Day Trip. Il s’agit classiquement d’une journée consacrée à des activités touristiques extérieures. Nous avons été visiter l’église Trinity Church à Manhattan où le drame du 11 septembre 2001 a mis un superbe orgue hors d’usage, remplacé temporairement par un orgue électronique “Powered by Linux”… qui a finalement été conservé en raison de sa qualité. Keith Packard, l’un des gourous de X.org employé chez Intel, a joué quelques minutes sur cet orgue. Ensuite, direction la plage de Coney Island. Puis un match de baseball où Stefano Zacchiroli lancera la première balle du match.

Cinquième jour, on reprend avec un BoF (un BoF=Birds of a Feather est une discussion informelle de groupe) sur la virtualisation où plusieurs personnes témoignent de leurs expériences et connaissances sur le sujet. Pas mal d’informations intéressantes, notamment sur le couple Ganeti/KVM pas mal mis en avant par Iustin Pop, l’un des développeurs de Ganeti employé chez Google. J’y apprends notamment que KVM gère une notion de mémoire partagée et ainsi démarrer une 2e machine virtuelle avec un même OS ne consommerait pas de mémoire supplémentaire sur le système hôte ! Suite des présentations, notamment une portant sur DebConf 12 qui pourrait peut-être se dérouler au Brésil. Et fin de la matinée avec François Marier qui présente le projet Libravatar permettant d’offrir une alternative à Gravatar, l’outil centralisé de gestion des avatars. Ses idées sont de se baser sur les DNS pour répartir les avatars pour chaque noms de domaine. Il a déjà commencé à développer une application en Django pour gérer cela. Suite de la journée avec un BoF sur Lintian (outil de vérification de la conformité des packages Debian) géré par Russ Allbery. Puis j’ai assisté à une présentation de Guido Günther qui a expliqué comment gérer son packaging avec Git et notamment git-buildpackage (très intéressant pour moi car je gère déjà mes packages Debian comme ça). Ensuite, petite pause sportive, car une dizaine de développeurs Debian a été participé à un cross de 5 kms dans le Bronx, avec des résultats honorables !

Sixième jour, on débute par Bits from Release Team qui déclare en direct que Squeeze, la prochaine version stable, est désormais freezée ! Un scoop à DebConf ! C’est ensuite Stefano Zacchiroli qui nous présente son travail en cours sur une amélioration de la gestion des dépendances, non seulement pour Debian mais aussi pour les autres distributions : plus de détails sur le site du projet Mancoosi. C’est ensuite la traditionnelle photo de groupe. En début d’après-midi, Margarita Manterola dresse un constat très lucide de l’état de Debian avec son talk Making Debian Rule, again. Puis en fin d’après-midi, c’est un BoF très apprécié mené par Joey Hess sur CUT (Constantly Usable Testing) qui explore les possibilités d’avoir une distribution Testing utilisable en permanence ! Le soir venu, c’est un BoF sur l’utilisation d’OpenPGP et la classique Keysigning Party qui a regroupé plusieurs dizaines de participants.

Septième et dernier jour, encore de nombreuses présentations. J’ai notamment assisté à celle de Philippe Kern, membre de la Release Team, qui a parlé du management de la version stable et de volatile. On notera par exemple qu’on peut désormais corriger des bugs en priorité “Important” dans les points de Release. La suite ce sont des fameux Lightnings Talks, une dizaine de présentations très courtes : une qui suggère d’arrêter complètement d’utiliser les mots de passe, une autre sur le logiciel runit, une autre sur les éclairs (lightnings !) ou encore l’historique en photos des Wine&Cheese Party ! Fun et instructif. Puis c’est l’heure de la conférence de clôture, où l’on remet des prix à ceux qui ont corrigé le plus de bugs mais surtout tous les volontaires sont vivement remerciés et j’en profite pour adresser une nouvelle fois mes remerciements à :
- L’équipe qui a organisé cette DebConf 10 : un travail impressionnant pour un résultat professionnel et communautaire à la fois : on frôle la perfection !
- L’équipe vidéo qui a fait un travail génial et vous pouvez ainsi retrouver l’ensemble des talks en vidéo,
- Les centaines de personnes sympas et passionnées qui contribuent à faire de Debian une distribution de grande qualité… et qui sait évoluer, la preuve avec les sujets abordés lors de cette DebConf !

Petite conclusion de cette semaine intensive, comme vous avez pu le lire : j’ai pu acquérir de nombreuses informations et faire le plein de nouvelles idées, mais aussi avoir des contacts réels avec d’autres développeurs et comprendre encore mieux le fonctionnement “social” de Debian. C’est donc très positif et cela va me permettre d’améliorer mon travail quotidien au sein d’Evolix, mais aussi réfléchir à d’autres projets et me motiver pour contribuer davantage à Debian. Debian rules !

Mon compte-rendu du FRnOG 16

2010-07-03T13:06:15+00:00

Vendredi 25 juin 2010, je me suis rendu au FRnOG 16, la rencontre des BOFH qui se déroule 2 fois par an à Paris. Le principe est de réunir tous les opérateurs de l’Internet français (Orange, SFR, Bouygues, Nerim, Iliad, Jaguar Network, TATA, Level 3, etc.) mais aussi des acteurs incontournables (AFNIC, RIPE NCC, Renater, etc.), des hébergeurs (OVH, Ikoula, GANDI, Euro Web, etc.), des sociétés de services (principalement la célébrissime société Evolix ;-), mais aussi Linagora, Witbe, etc.) et même des gros sites web (CyberCartes, Pixmania, etc.). Voici donc mon résumé du déroulement de l’après-midi :

Présentation commerciale d’Equinix (un des sponsors de la manifestation) qui possède notamment un gros datacenter à Saint-Denis où se trouvent pas mal d’hébergeurs et d’opérateurs français
Présentation de France-IX, une nouvelle entité dont le but est de monter un gros point d’échange français dans la lignée du FreeIX d’Iliad, du PANAP de Bouygues Telecom ou du Sfinx de Renater. Pour les non-initiés, un point d’échange sert notamment à favoriser le peering (échange de trafic souvent gratuit) entre les opérateurs. On y apprend notamment que France-IX a trouvé un accord avec le PANAP, et que Marseille va devenir une plaque-tournante du monde d’Internet grâce à l’arrivée des câbles sous-marins. Marseille, centre du monde, quoi de plus normal \o/
Nouvelles du Sfinx, le point d’échange de Renater. On a notamment des informations sur les évolutions prévues en terme d’équipements mais aussi sur les points de présence (notamment dans les DOM/TOM). Et ça parle encore de projets sur Marseille \o/
Talk d’Alix Guillard du RIPE NCC qui commence très fort : “je suis Alix et je ne suis pas un point d’échange”. Il présente les dernières discussions sur les mailing-lists, et surtout les outils du RIPE Labs : labs.ripe.net
Présentation technique de l’infrastructure mondiale de Level 3, un très gros opérateur. L’exposé est très technique et intéressant et traite notamment des flux trèèèèèès haut débit (jusqu’à plusieurs Tb/s), des câbles sous-marins, etc.
Exposé de Stéphane Bortzmeyer de l’AFNIC sur DNSSEC. Pédagogique, clair, l’exposé est génial ! Stéphane, avec un superbe T-Shirt isc.org Bind 1997, est un bon orateur. Il nous ré-explique pourquoi DNSSEC (sécurité, faille Kaminski). Extrait : “D’ici à 2012 plusieurs fins du monde sont prévues”. Puis il expose le planning de déploiement sur les serveurs racines et désormais les TLD. De nombreuses anecdotes amusantes, comme les déboires du .GOV suite à une relance de Barak Obama et l’invalidité pendant plusieurs semaines du .NOAA.GOV ou encore du .FBI.GOV. Pour le .FR c’est prévu pour septembre 2010 (l’AFNIC a commencé avec le .PM… le TLD de St-Pierre et Miquelon :-). Enfin, une question sur qui vérifiera les signatures DNSSEC : l’utilisateur final ou le FAI ? Stéphane répond que ça sera sûrement les deux : le geek vérifiera et le FAI vérifiera pour Mme Michu.
Pause publicitaire de la société BeFree
Présentation de la société Blade Network, un constructeur de switchs peu connu car il équipe des gros constructeurs (IBM, HP…) en marque blanche. Il nous parle notamment de ses switchs 10G.
Pause café
One-man-show de Jean-Michel Planche de Witbe. Au milieu des blagues, le sujet était le monitoring. JMP insiste notamment sur la nécessité de faire des mesures fiables et pertinentes sur les points significatifs (NDLR: certes…) et il parle de QoE (Qualité d’Expérience) en plus de la QoS (Qualité de Service). Pas mal d’évidences : “rien ne passe comme prévu”, “il faut automatiser ce qui peut l’être”, mais on reste un peu sur sa faim car on a l’impression qu’il manque une conclusion à son talk. En effet, il a parlé d’outils plus sérieux que les “Nagioseries”, mais sans dire de quoi il s’agissait (vous croyez qu’il peut s’agir d’outils propriétaires développés par sa société ? :-). Certes, je suis d’accord sur pas mal de choses, notamment que le monitoring ne consiste pas à faire des requêtes automatisées toutes les 3 minutes, et qu’il faut que les opérateurs arrêtent de proposer du pseudo-monitoring et confient les missions d’infogérance à des prestataires indépendants (comme Evolix par exemple ;-). Par contre, JMP généralise trop son exposé : tout le monde n’a pas des FAI comme clients qui doivent surveiller la qualité du débit/VoIP/IPTV de millions de Mme Michu ; et Nagios reste un très bon outil même si il en a touché les limites.
Exposé très pointu sur les cartes réseau 40G et 100G. Je dois avouer avoir un peu décroché… Zzzz…
Présentation des défis opérationnels d’IPv6 par Souissi (AFNIC) et Stevant (ENST). Parler d’IPv6 en présence de nombreux opérateurs… le terrain était miné. L’idée n’était pas de ré-expliquer l’intérêt d’IPv6 et la pénurie prochaine des IPv4, mais d’aborder des détails concrets comme l’obtention de préfixes IPv6 ou des expérimentations de futures connexions Internet sans IPv4 avec des tunnels, etc.

Voilà pour les conférences commerciales et techniques. À la fin, il y avait un tirage au sort pour gagner un iPad et des ballons de la Coupe du Monde. J’avais annoncé que si je gagnais l’iPad, je l’échangerai contre un ballon de foot (faut pas déconner non plus). Bon, je n’ai pas gagné l’iPad, mais j’ai justement gagné un Jabulani. Suite à cela, il y avait le beer event, dans un petit bar pris d’assaut. Mais j’ai à peine eu le temps de parler emailing avec EmailVision, Nagios avec Yann, et descendre une bière, que j’ai du filer vers mon TGV pour me ramener au centre du monde.

Sauvegarder la configuration de Cisco IOS vers un serveur distant avec Kron

2010-06-28T11:18:34+00:00

Introduction

La sauvegarde de la configuration des équipements réseaux (switch, routeurs, bornes Wi-Fi, etc) est un point souvent négligé. Pourtant, ces équipements jouent souvent un rôle clé, et l'incapacité de restaurer rapidement la configuration suite à un crash matériel peut provoquer la paralysie d'un réseau pendant de longues heures. Cette sauvegarde est parfois faite de façon manuelle après la phase initiale de configuration, avec le risque d'oublier de le faire lors des prochaines modifications. Il est donc préférable, lorsque l'équipement le permet, d'effectuer cette sauvegarde de façon automatique et récurrente vers une machine distante. Voyons comment faire cela sous Cisco IOS, en utilisant le planificateur de tâches Kron, semblable au programme Cron en environnement Unix.

Mise en place

Une fois connecté au Cisco avec Telnet ou SSH, on passe en mode administrateur, puis en mode configuration :

switch> enable
switch# conf t

On crée une nouvelle policy-list pour Kron, nommée backupConfig, qui sera composée d'une ou plusieurs commandes à exécuter :

switch(config)# kron policy-list backupConfig

On utilise la commande cli pour ajouter une commande dans notre policy. Cette commande utilisera show running-config afin d'écrire la configuration courante sur la sortie standard (on pourrait aussi utiliser show startup-config pour écrire la configuration stockée en mémoire flash). Ensuite, l'opérateur pipe (|) est utilisé pour rediriger cette sortie vers la commande redirect, qui permet de rediriger un flux vers un serveur FTP, HTTP, TFTP, etc. On utilise ici un stockage vers un serveur FTP :

switch(config-kron-policy)# cli show running-config | redirect ftp://<host>/<path>/cisco.txt
switch(config-kron-policy)# exit

On définit maintenant à quel moment exécuter cette policy. Pour cela on créé une occurrence nommée backupConfig_occurence. Dans cet exemple ce sera à 01h15, chaque jour (mot-clé recurring) :

switch(config)# kron occurrence backupConfig_occurence at 01:15 recurring
switch(config-kron-occurrence)# policy-list backupConfig
switch(config-kron-occurrence)# exit
switch(config)# exit

Pour vérifier la bonne prise en compte de notre tâche, et voir le délai avant son exécution :

switch# show kron schedule

Voilà, il ne reste plus qu'à attendre l'heure programmée, et vérifier la présence du fichier envoyé. Le bon fonctionnement de tout cela nécessitant que le Cisco soit pleinement configuré (date et heure, adresse IP, passerelle réseau, DNS, etc).

Enfin, tout cela ne dispense bien sûr pas de sauvegarder cette nouvelle configuration en mémoire flash en prévision d'un futur reboot :

switch# write mem

IT Sail CUP 2010 – bateau 4

2010-06-15T12:44:38+00:00

Quelques membres de Libertis dont Evolix ont pu régater sous les couleurs du Prides SCS et de l’Europe au sein du bateau Medinsoft vendredi et samedi dernier (11 et 12 Juin). Evolix via votre dévoué bloggueur a tenu la place de n°1 sur le Selection 37 mis à disposition et skippé par Eric. Lors de la seconde manche de la régate du vendredi réalisée au sud de la rade de Marseille, notre bateau est arrivé 4ème, devant celui notamment de Linagora ou Microsoft/Prodirect. La bataille a été rude ! À l’issue des deux journées, classement final : 6ème

Publication CNLL (Conseil National du Logiciel Libre) – Cartographie SSLL

2010-06-15T09:37:03+00:00

Le CNLL c’est quoi ? C’est une association d’associations. Plus précisément le CNLL a vu le jour de la volonté de 10 associations régionales de professionnels du Logiciel Libre (Libertis, CapLibre, Alliance Libre, GT LL, PLOSS RHA, System@tic, PLOSS, ProLibre, Collibri, Cap Digital, Pôle Nord, Telecom Valley, OSS@TV).
Le CNLL réunit déjà plus de 200 entreprises françaises du Logiciel Libre (dont Evolix!) et vient de réaliser et de publier les résultats d’une vaste étude (PDF, 21 pages) qui offre une cartographie unique de cet écosystème jeune et florissant.
Cette étude a été réalisée sur les mois d’avril et mai 2010 auprès de 94 entreprises et porte sur une vingtaine de thématiques différentes.

News attachée : http://linuxfr.org/2010/06/05/26950.html

MySQL errno 24 : augmenter le nombre de descripteurs de fichiers

2010-06-02T12:08:47+00:00

Si vous obtenez une erreur de ce type, lors d'un mysqldump par exemple :

mysqldump: Got error: 1016: Can't open file: './db/table.frm' (errno: 24) when using LOCK TABLES

C'est que votre serveur MySQL tente d'ouvrir trop de fichiers simultanément.

Pour augmenter le nombre maximal de fichiers pouvant être ouverts, vous pouvez ajuster le paramètre suivant dans la section [mysqld] du fichier my.cnf, dans la limite permise par votre système d'exploitation :

open_files_limit = 2048

La valeur par défaut étant de 1024.

Citation dans le 01Informatique du 13 Mai 2010 – n° 2039 – Page 37

2010-05-19T21:58:48+00:00

Les citations validées avec le journaliste (Eddye Dibar) sous la direction de Yann Serra :

« le Cloud public trouve tout son intérêt lors d’une réflexion
sur la gestion de montées en charge courtes et identifiées
d’une infrastructure web, car c’est alors que l’économie vis à
vis d’une infrastructure classique est optimale et qu’on
profite pleinement de la souplesse du Cloud»

« La souplesse est l’un des avantages à passer à une offre
d’Infrastructure as a service externalisée. Cette notion de
souplesse s’entend au sens qu’une entreprise peut avoir de la
haute disponibilité et des ressources “à la demande” gérée par
un prestataire unique liant matériel et d’hébergement. Revers
de la médaille : en liant matériel et hébergement avec le même
prestataire, s’il y a une défaillance minime à un niveau c’est
l’ensemble de la plateforme de l’entreprise qui est impacté.»

« Certains applicatifs métiers ont des besoins en ressources
réseau importantes ou en terme d’accès disque. La performance
pure liée à l’infrastructure Cloud peut être moins bonne
qu’une infrastructure classique, en termes de latence ou
d’accès disque en lecture notamment. Dès lors, un service avec
un nombre de requêtes important à la bases de données se prêtera
moins à ce type d’hébergement.»

La double page liée :

Merci à Yann Serra et Eddye Dibar

Vidéo de la conférence sur les différentes facettes du Logiciel Libre

2010-05-02T21:54:55+00:00

À l’occasion du salon marseillais TopT.I.C. il y a quelques mois, j’ai participé à une conférence sur les différentes facettes du Logiciel Libre. Différents sujets ont été survolés, comme le choix d’un Logiciel Libre et d’un prestataire. Vous pouvez retrouver cette conférence en vidéo (en 3 parties) :

http://www.dailymotion.com/video/xb3ebe_les-differentes-facettes-du-logicie_tech (Partie 1)

http://www.dailymotion.com/video/xb3enj_les-differentes-facettes-du-logicie_tech (Partie 2)

http://www.dailymotion.com/video/xb3exs_les-differentes-facettes-du-logicie_tech (Partie 3)

Dossier de presse final Rdv Techno du 15/04

2010-04-16T15:01:24+00:00

Rédigé en collaboration avec Geoffrey Dirat de Jeu2Mot.com

[RDV Techno 150410] Compte rendu

2010-04-15T17:19:55+00:00

Ce Jeudi 15 avril a donc eu lieu le rendez vous techno Evolix intitulé “Monter une infrastructure web pour 1 Million de visites par jour”.
Ce petit déjeuner a réuni plus de 35 auditeurs :

Il était question principalement de comprendre via l’exemple de l’infrastructure de cybercartes.com les problématiques, les contraintes et les évolutions/technologies mises en oeuvre par Evolix depuis 2008 pour aboutir à une infrastructure stable et fiable.

Vous trouverez à disposition les slides présentées lors de l’intervention

Disponible via Slideshare

En terme de légende, les phrases en gris sont à lire en mode “blague”

Le plan d’approche était le suivant :

1.Introduction

Presentation d’Evolix (résumé : l’infogérance haute qualité de serveurs Linux ou BSD)
Présentation de Cybercartes (positionnement, métier et spécificités)
Présentation de la problématique Cybercartes (pics d’affluences extrèmes sur une dizaine de jours sur 365)

2.Solution(s) Evolix pour Cybercartes

Interactions avec l’équipe de développement
Changement pour fin 2008

Principes de base

L’infrastructure

Focus sur le réseau “haute dispo”

Focus sur le cache/load-balancing

Focus sur les filers

Focus sur les serveurs SQL

Changement pour fin 2009

Le cloud computing

Focus sur Amazon EC2. Démonstration de démarrage et d’arrêt de serveur par l’API ou via l’interface Amazon et automatisation

3. Conclusion(s)

Techniquement pas mal d’outils et de technologies ont été citées et en partie expliquées parmi lesquelles CARP/PFSync, Memcache, Squid, Heartbeat, HAProxy ou encore la réplication SQL master/master

Le petit-déjeuner a été live-tweeter sur #evoptitdej où vous retrouverez d’autres photos

Un dossier de presse est en cours de finalisation, la version actuelle est ici

Un grand merci à l’auditoire qui fut de grande qualité avec un nombre important de questions très techniques et pointues !

[RDV Techno - 15/04/2010] Monter une infrastructure web pour 1 million de visites par jour

2010-03-12T14:16:23+00:00

Evolix vous invite à un petit déjeuner le 15 Avril prochain dans les locaux de Marseille Innovation au Pôle Média Belle de Mai autour du sujet :

Monter une infrastructure web pour 1 million de visites par jour

Evolix est spécialisée dans la mise en place de serveurs sous Linux ou BSD notamment web et a architecturé de nombreuses infrastructures nécessitant haute disponibilité et redondance.

Lors de ce petit déjeuner, nous présenterons l’infrastructure haute-disponibilité du site cybercartes.com avec les différentes technologies utilisées (load-balancing, CDN, Amazon EC2, etc.).
Le responsable technique de Cybercartes sera présent pour témoigner.

Inscription (Entrée gratuite soumise à inscription.)

En partenariat avec :

Formation d’administration Linux orientée service web (LAMP), les 29,30 et 31 Mars 2010

2010-02-08T15:50:09+00:00

Evolix organise une formation administration Linux orientée LAMP (Linux Apache MySQL PHP) [3 Jours - 18h] dans ses locaux au Pôle Média Belle de Mai les 29, 30 et 31 Mars prochain.
Plan de formation
N’hésitez pas à demander plus de renseignements !

La réponse au défi des Voeux 2010 Evolix

2010-02-04T15:30:30+00:00

Bravo à l’équipe informatique d’Exotismes pour avoir été les plus proches des réponses officielles !!

Pour vous curieux, les réponses attendues étaient :

Photo 1er semestre :
+43° 12′ 49.84″, +5° 21′ 36.91″
(43.213845,5.360252)
Alias près de Callelongue, Les Goudes / Rocher Saint-Michel pas loin de la grotte du Puit (face nord)

Photo second semestre :
+43°11′59.23″, +5°33′8.47″
(43.199788,5.552355)
La photo a été prise à proximité de la Route des crêtes

Autres exemples de migration Etch->Lenny [1]

2010-01-24T18:05:52+00:00

La fin du support officiel de Debian Etch approchant, il est grand temps de migrer vers Lenny pour les machines pas encore à jour. Après un premier exemple de migration Debian Etch->Lenny, je poursuis la série avec des informations tirées de plusieurs migrations récentes sur des serveurs en production.

Je ne rappellerais pas toutes les précautions nécessaires (tests préalables, sauvegardes, désactivations des services, etc.) ni la classique question sur “quand faut-il migrer ?”, vous trouverez tout cela dans mes exemples précédents. Je rappelle simplement l’idée de base : prendre les précieuses Release Notes, mettre à jour le fichier sources.list, puis exécuter les commandes aptitude update && aptitude upgradex, puis mettre-à-jour les services les plus critiques via aptitude install <PACKAGE>, et enfin aptitude dist-upgrade && aptitude dist-upgrade (répéter dist-upgrade est souvent nécessaire).

Passons désormais aux différentes remarques sur ces migrations :

- PostgreSQL : on passe de la version 8.1 à 8.3. Notez qu’il s’agit de paquets différents, il est donc possible de garder la version 8.1 en Etch, et d’installer en parallèle la version 8.3, afin de faciliter encore plus la migration. Pour migrer les données, on réalisera un dump avec pg_dumpall qui sera réinjecté dans la nouvelle base. On pourra ensuite adapter le port dans postgresql.conf pour passer la version 8.3 en production.

- phpPgAdmin : avec PostgreSQL 8.3, on ne peut plus se connecter à la table template1 : c’est le comportement par défaut de phpPgAdmin, qu’on devra donc modifier en mettant postgres à la place (pour la variable $conf['servers'][0]['defaultdb'] dans le fichier config.inc.php)

- Apache : la configuration de l’alias /icons/ est déplacé dans le fichier mods-available/alias.conf, il peut donc faire doublon avec la déclaration dans apache2.conf, ce qui sera signalé via le warning suivant : [warn] The Alias directive in /etc/apache2/apache2.conf at line 240 will probably never match because it overlaps an earlier Alias. Commenter les directives dans le fichier apache2.conf résoudra ce petit soucis.

- OpenLDAP : on passe d’une version 2.3 à 2.4, mais le plus marquant pour la migration est que cela force le processus à tourner avec un utilisateur/groupe dédié. Pour diverses raisons (dist-upgrade interrompu par exemple), on pourra rencontrer des soucis plus ou moins alarmants. Ainsi, j’ai pu rencontrer cette erreur :
bdb(dc=example,dc=com): PANIC: fatal region error detected; run recovery
bdb_db_open: database “dc=example,dc=com” cannot be opened, err -30978. Restore from backup!
backend_startup_one: bi_db_open failed! (-30978)
slap_startup failed
On veillera donc sur l’utilisateur/groupe propriétaire des fichiers dans le répertoire /var/lib/ldap et, au besoin, on ajustera : chown -R openldap:openldap /var/lib/ldap/
Mon conseil : mettre-à-jour le paquet slapd de façon spécifique avant le dist-upgrade

- Postfix : on passe de 2.3 à 2.5. On notera simplement la valeur par défaut de $smtp_line_length_limit characters qui passe à 990, ce qui coupe les lignes trop longues pour se conformer au standard SMTP. Si cela posait problème, on pourrait revenir à l’ancien comportement en positionnant smtp_line_length_limit=0

- SpamAssassin : l’utilisant en stockant la configuration des utilisateurs dans un annuaire LDAP, le daemon spamd s’est mis à râler : cannot use –ldap-config without -u
Le problème sera résolu en ajoutant l’option -u nobody, ce qui fera tourner spamd en tant que nobody (ce qui n’est pas une mauvaise chose, au contraire).

- Amavis : apparemment, lors de la détection d’un virus, le code retourné n’est plus 2.7.1 mais 2.7.0 : 2.7.0 Ok, discarded, id=13735-07 – VIRUS: Eicar-Test-Signature
Rien de bien grave, mais cela a nécessité d’adapter un plugin Nagios pour qu’il attende le bon code de retour.

- Courier-imapd-ssl : après une mise-à-jour gardant mon fichier /etc/courier/imapd-ssl actuel, j’obtenai des erreurs avec certains clients IMAP :
couriertls: accept: error:1408F10B:SSL routines:SSL3_GET_RECORD:wrong version number
En regardant de plus près, certaines directives changent dans ce fichier de configuration, et il est donc conseillé de repartir du fichier proposé par Lenny, et d’y apporter ses modifications (souvent, cela se limite à préciser le certificat).

- Horde : si vous utilisez une base de données pour stocker les paramètres ou autres, la paquet php-db (déjà en Recommends: en Etch) est d’autant plus nécessaire, sous peine d’obtenir l’erreur : PHP Fatal error: _init() [<a href='function.require'>function.require</a>]: Failed opening required ‘DB.php’ (include_path=’/usr/share/horde3/lib:.:/usr/share/php:/usr/share/pear’) in /usr/share/horde3/lib/Horde/DataTree/sql.php on line 1877

- Sympa : on attaque là le cauchemard de mes migrations. À chaque fois, tellement de soucis majeurs et mineurs, que j’ai l’impression d’être le seul à utiliser ce paquet. Voici en vrac tous les soucis rencontrés : les accents dans les descriptions ont sautés (une sorte de double encodage) et cela a nécessité des corrections manuelles, la table logs_table doit être créée à la main (j’utilise Sympa avec PostgreSQL), et enfin une typo surprenante un “GROUP BY” à la place d’un “ORDER BY” (j’ai ouvert le bug #566252 à ce sujet).

- Asterisk : on passe de la version 1.2 à la version 1.4. Lors de la migration, j’ai constaté un bug étrange, le fichier modules.conf qui charge les modules additionnels a disparu. Du coup, sans lui, Asterisk ne charge pas les modules nécessaires (SIP, etc.). Il a donc fallu le restaurer.

- udev : le meilleur ami des sysadmins (ou pas). Si les migrations douloureuses Sarge->Etch sont loin derrière nous, il reste néanmoins quelques blagues. La dernière en date a été un renommage des interfaces réseau : eth0->eth1 et eth1->eth2. Classique mais étonnant, ce genre d’humour est sensé être dépassé grâce aux “persistent rules” qui nomment les interfaces en fonction de l’adresse MAC. À rester vigilant sur ce point avant le redémarrage donc.

Voilà pour les remarques. Vous noterez que je n’ai pas abordé le noyau Linux. C’est parce que pour la majorité de nos serveurs, ils sont gérés de façons spécifiques (au lieu d’utiliser les noyaux officiels Debian). Ainsi, ils restent dans leur version actuelle (2.6.31 à cette heure) pendant la migration. Bien sûr, cela n’empêche pas d’effectuer un redémarrage de la machine suite à la mise-à-jour : cela permet de s’assurer que tout est bien en place et le sera toujours après un éventuel redémarrage d’urgence.

Rendez-vous pour de prochaines migrations !

Voeux Evolix 2010

2010-01-18T11:18:38+00:00

Cette année, pour souhaiter à tous ses clients une excellente année, Evolix va leur faire parvenir avec ses meilleurs voeux de jolis calendriers format bureau avec une image différente par semestre d’un paysage typiquement marseillais.
Un jeu concours va peut-être être ouvert sur le lieu précis où ces photos ont été prises par un intrépide membre d’Evolix !

Meilleurs voeux à tous !

ps : les envois débutent cette semaine, soyez patients !

Installer Debian sur une machine virtuelle Amazon EC2

2010-01-16T11:26:05+00:00

Introduction

J'ai eu récemment l'occasion de mettre en oeuvre une infrastructure LAMP, reposant sur la plate-forme d'hébergement de machines virtuelles d'Amazon, nommé EC2, pour Elastic Compute Cloud.

Le principe de fonctionnement est le suivant : on créé une image AMI (Amazon Machine Image), contenant le système de fichiers du système d'exploitation à démarrer. Il est possible d'utiliser et de personnaliser des AMI fournis par Amazon, ou de la créér de zéro. Le noyau, quant à lui, est à sélectionner parmi ceux proposés par Amazon.

Ensuite, cette image est téléchargée vers l'infrastructure de stockage d'Amazon, S3 (Simple Storage Service). Après enregistrement de celle-ci, elle peut être instanciée en une ou plusieurs machines virtuelles.

Une particularité de cette solution est que les données stockées dans le système de fichiers racine des machines virtuelles ne sont pas persistantes. Une fois une instance terminée (via la commande halt par exemple, ou via l'interface d'Amazon), celles-ci sont perdues ! Il faut alors utiliser pour les données applicatives une autre fonctionnalité d'Amazon, les EBS (Elastic Block Storage). Il s'agit de disques virtuels que l'on peut ajouter à une instance, accessibles sous forme de simples block devices que l'on peut formater et monter. A noter que depuis peu il est possible d'utiliser un EBS en tant que système de fichiers racine, ce qui permet de démarrer et d'arrêter une machine à volonté, sans nécessité d'instancier à nouveau une AMI.

Mise en oeuvre

Ce premier article décrit les étapes à suivre pour créér sa propre image AMI de Debian 5.0, l'envoyer vers Amazon, et la démarrer. Il vous faudra évidemment pour cela un compte Amazon Web Services.

Création de l'image

Création d'une image d'une taille de 1 Go et montage sous /mnt/ami :

# EC2_AMI_NAME=debian50
# dd if=/dev/zero of=$EC2_AMI_NAME.img bs=1M count=1024
# mkfs.ext3 -F $EC2_AMI_NAME.img
# mkdir /mnt/ami
# mount -o loop $EC2_AMI_NAME.img /mnt/ami

Installation et exécution de l'outil debootstrap, qui permet le téléchargement et l'installation d'un système Debian de base dans le point de montage. Attention, une architecture 32 bits est requise pour pouvoir démarrer des instances de type Small.

# aptitude update
# aptitude install debootstrap
# debootstrap --arch i386 lenny /mnt/ami

Montage des pseudo systèmes de fichier :

# mount -t proc proc /mnt/ami/proc/
# mount -t devpts devpts /mnt/ami/dev/pts/

Changement du répertoire racine vers le point de montage (chroot) et installation des packages nécessaires :

# chroot /mnt/ami
# aptitude install udev libc6-xen ssh

Configuration des points de montage dans /etc/fstab tel que recommandé dans la documentation :

/dev/sda1  /         ext3    defaults        1 1
NONE       /dev/pts  devpts  gid=5,mode=620  0 0
none       /dev/shm  tmpfs   defaults        0 0
none       /proc     proc    defaults        0 0
none       /sys      sysfs   defaults        0 0
/dev/sda2  /mnt      ext3    defaults        0 0
/dev/sda3  swap      swap    defaults        0 0

Ajout des lignes suivantes au fichier /etc/network/interfaces pour configurer l'interface eth0 en DHCP :

auto lo eth0
iface lo inet loopback
iface eth0 inet dhcp

Il est également nécessaire d'ajouter sa clé SSH dans /root/.ssh/authorized_keys, ou de définir un mot de passe pour le compte root.

Enfin, quitter le chroot, et démonter l'image :

# /etc/init.d/ssh stop
# exit
# umount /mnt/ami

Génération de l'image AMI

Pour la suite des opérations, il est nécessaire de télécharger et décompresser les Amazon EC2 API Tools et Amazon EC2 AMI Tools. On installe également les dépendances nécessaires.

# aptitude install ruby libopenssl-ruby unzip sun-java6-jre
# EC2_AMI_TOOLS=ec2-ami-tools-1.3-XXXXX
# EC2_API_TOOLS=ec2-api-tools-1.3-XXXXX

Il faut également générer une clé et un certificat X.509, et faire pointer les variables d'environnements ci-dessous vers les fichiers téléchargés. Ceux-ci seront utilisés pour effectuer des requêtes vers les web services d'Amazon.

# EC2_PRIVATE_KEY=pk-XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX.pem
# EC2_CERT=cert-XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX.pem

Enfin, noter son EC2 user ID, généralement visible en haut à droite des pages d'AWS.

# EC2_USER_ID=XXXX-XXXX-XXXX

Création de l'image AMI :

# export EC2_HOME=$EC2_AMI_TOOLS
# $EC2_AMI_TOOLS/bin/ec2-bundle-image -i $EC2_AMI_NAME.img \
    -k $EC2_PRIVATE_KEY -c $EC2_CERT -u $EC2_USER_ID -r i386

Upload sur S3

Il faut maintenant télécharger l'image vers Amazon S3. Pour cela, il est nécessaire de récupérer son Access Key ID et sa Secret Access Key sur la page Security Credentials. Il faut également sélectionner la région où sera localisée l'instance (US ou EU), ainsi que la bucket S3 où sera stockée l'AMI.

# EC2_ACCESS_KEY=XXXXXXXXXXXXXXXXXXXX
# EC2_SECRET_KEY=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
# EC2_REGION=EU
# EC2_BUCKET=XXXXXXXX
# $EC2_AMI_TOOLS/bin/ec2-upload-bundle -m /tmp/$EC2_AMI_NAME.img.manifest.xml \
    -a $EC2_ACCESS_KEY -s $EC2_SECRET_KEY -b $EC2_BUCKET \
    --location $EC2_REGION

Enregistrement de l'instance

Il est nécessaire de déclarer l'image à Amazon pour pouvoir l'instancier. L'option --url est nécessaire pour préciser que l'on s'adresse à la région Europe d'EC2.

# export EC2_HOME=$EC2_API_TOOLS
# export JAVA_HOME=/usr/lib/jvm/java-6-sun-1.6.0.12
# $EC2_API_TOOLS/bin/ec2-register \
     --url http://eu-west-1.ec2.amazonaws.com \
     -n $EC2_AMI_NAME \
     $EC2_BUCKET/$EC2_AMI_NAME.img.manifest.xml

La commande retourne l'ID de l'AMI qui vient d'être enregistrée.

Instanciation

L'instanciation peut également se faire via une requête sur AWS :

# EC2_AMI_INSTANCE_ID=ami-XXXXXXXX
# EC2_AKI=aki-7e0d250a
# EC2_RAMDISK=ari-7d0d2509
# $EC2_API_TOOLS/bin/ec2-run-instances $EC2_AMI_INSTANCE_ID \
     -K $EC2_PRIVATE_KEY \
     -C $EC2_CERT \
     --kernel $EC2_AKI --ramdisk $EC2_RAMDISK \
     --region eu-west-1

Le noyau utilisé (aki-7e0d250a) est un 2.6.21.7-2.fc8xen, suffisamment récent pour l'utilisation de udev. Ce n'est pas le cas du noyau par défaut.

Connexion à la machine

Les instances créées peuvent être listées à l'aide de la commande suivante :

# $EC2_API_TOOLS/bin/ec2-describe-instances -K $EC2_PRIVATE_KEY \
  -C $EC2_CERT --url http://eu-west-1.ec2.amazonaws.com

Parmi les informations obtenues, on peut notamment connaître le nom DNS public de l'instance créé, de la forme ec2-XXX-XXX-XXX-XXX.eu-west-1.compute.amazonaws.com. A noter que ces informations sont également disponibles via l'interface web.

Enfin, il ne reste plus qu'à se connecter avec le compte root à sa nouvelle machine !

Organisation technique du développement web

2009-11-27T01:19:49+00:00

À l’occasion d’un petit déjeuner organisé par Evolix, en partenariat avec Libertis, la région PACA, le Prides SCS et le FEDER, dans les locaux de Marseille Innovation au Pôle Média Belle de Mai (oui, c’est un peu long mais je me dois de citer tous les partenaires), j’ai pu animer une présentation sur l’organisation technique du développement web. Vous pouvez télécharger les slides de la présentation (format PDF, 2.2 Mo).

Cette présentation a permis de faire un point sur les différentes organisations en place dans des sociétés clientes ou proches d’Evolix. Je remercie d’ailleurs les responsables techniques qui ont répondu à mes questions ces derniers jours. Globalement, il se dégage une forte tendance à l’utilisation d’Eclipse comme IDE, que ça soit pour les projets en Java ou PHP. Au niveau SCM, on retrouve CVS et majoritairement SVN, avec une gestion des branches plus ou moins avancée. En terme de bugracker, c’est assez divers : Trac, Mantis ou Bugzilla. Pour le développement, c’est souvent http://localhost qui est utilisé. Une mise en préproduction est ensuite effectuée, puis une bascule en production, à l’aide de scripts personnalisés s’appuyant sur le SCM. En terme de méthodes, plusieurs sociétés utilisent des méthodes agiles (tests unitaires, sprints, etc.) de façon plus ou moins avancées. En général, l’organisation en place est informelle et reprend les bonnes idées adaptées à son projet. Les benchmarks et tests de performance sont plutôt effectués dans une seconde phase (en préproduction voire en production), sauf dans certains cas où ils sont intégrés aux tests unitaires (ce qui est une très bonne pratique). Enfin, en terme de framework, on distingue deux tendances : l’exploitation d’un framework existant et reconnu, ou l’utilisation d’un framework développé en interne.

Bien évidemment, ce petit inventaire n’a pas la prétention d’être exhaustif ou de définir une organisation idéale. C’est plutôt un passage en revue de bonnes pratiques, permettant de les découvrir … ou de s’assurer qu’on ne passe pas à côté de certains outils.

Petit-déjeuner Evolix le 26 novembre sur l’organisation technique du développement web

2009-11-16T16:50:47+00:00

Evolix a organisé dans le cadre des petits-déjeuners Libertis en partenariat avec la Région PACA, le Prides SCS et le FEDER un petit déjeuner le 26 Novembre 2009 dans les locaux de Marseille Innovation au Pôle Média Belle de Mai autour du sujet :

Organisation technique du développement web (notion de serveurs de dev/recette/prod, déploiement,outils de gestion du code, bugtrackers, méthodes, etc.)

Les slides de la présentation :
Slides Présentation Petit Déjeuner Evolix 26 Novembre 2009

En partenariat avec :

Photos du TopTIC – 13 Octobre 2009

2009-10-27T16:00:36+00:00

Evolix était présente sur le SPLLOS 3 (Salon Professionnel des Logiciels Libres et Open Source 3ème édition organisé par Libertis) au sein du TopTIC au Palais de la Bourse de Marseille le 13 Octobre dernier.
J’ai pu pour ma part participer à l’atelier organisé par le CIP (Club Informatique de Provence) sur le sujet de la virtualisation aux côtés notamment du DSI d’Autogrill et du chef des informations du magazine CIO Online. Le screencast de démonstration de “Xen powered by Evolix” a été présenté à la salle en guise de démonstration pratique !

Quelques photos du salon :

Mise en oeuvre de DKIM et DomainKeys sous Debian Lenny

2009-10-05T22:52:44+00:00

Voici un récapitulatif de la mise en place des protocoles d'authentification SMTP DKIM et DomainKeys sous Debian Lenny. Le serveur de mail utilisé est Postfix, mais tout MTA sachant communiquer avec les milter de Sendmail peut normalement être utilisé. La signature et la vérification des messages sera effectuée pour le domaine <domain>. Voici les étapes :

Installation de dkim-filter et dk-filter :

# aptitude install dkim-filter dk-filter

Ajouter dans le fichier /etc/dkim-filter.conf un ensemble de directives indiquant le nom du domaine qui va utiliser DKIM, un nom de selector (exemple : 2009), et le nom du fichier qui contiendra la clé privée utilisée pour la signature. L'utilisation des selector permet notamment de changer et/ou révoquer facilement une clé, ou d'utiliser des clés différentes sur des serveurs de mails différents.

Domain      <domain>
KeyFile     /etc/ssl/dkim_<domain>_<selector>.key
Selector    <selector>

Générer la clé :

# openssl genrsa -out /etc/ssl/private/dkim_<domain>_<selector>.key

Et en extraire la partie publique :

# openssl rsa -in /etc/ssl/private/dkim_<domain>_<selector>.key \
          -pubout -outform PEM

Dans la zone DNS du domaine <domain>, ajouter l'enregistrement suivant. La valeur de <key> correspond à la sortie de la commande précédente, contenue entre les lignes _BEGIN PUBLIC KEY_ et _END PUBLIC KEY_ :

<selector>._domainkey IN TXT "v=DKIM1; g=*; k=rsa; p=<key>"

Ajouter les paramètres de démarrage de dkim_filter dans /etc/default/dkim-filter. Le fichier /etc/dkim.hosts contient la liste des serveurs dont les mails sortants seront chiffrés :

SOCKET="inet:2505@localhost"
DAEMON_OPTIONS="-l -i /etc/dkim.hosts"

Les paramètres de dk-filter, dans /etc/default/dk-filter, sont similaires, à l'exception que tout est passé via les options, celui-ci n'utilise pas de fichier de configuration.

DAEMON_OPTS="$DAEMON_OPTS -d <domain>  -S <selector> -i /etc/dkim.hosts \
             -s /etc/ssl/private/dkim_<domain>_<selector>.key"
SOCKET="inet:2506@localhost"

Puis les redémarrer :

# /etc/init.d/dkim-filter start
# /etc/init.d/dk-filter start

Reste enfin à utiliser ces milter au niveau de Postfix, pour cela ajouter les directives suivantes au fichier /etc/postfix/main.cf :

milter_default_action = accept
milter_protocol = 2
smtpd_milters = inet:localhost:2505 inet:localhost:2506

Et redémarrer Postfix :

# /etc/init.d/postfix restart

Un test basique de fonctionnement est alors d'envoyer un mail à destination d'un domaine effectuant des vérifications DKIM, yahoo.com par exemple.

# nc 127.0.0.1 25 <<EOT
HELO localhost
MAIL FROM: root@<domain>
RCPT TO: <account>@yahoo.com
DATA
Subject: Test DKIM
.
QUIT
EOT

Les signatures DKIM et DomainKeys sont correctement vérifiées si l'en-tête Authentication-Results contient dkim=pass et domainkeys=pass.

On peut également envoyer un mail à destination de son domaine, et vérifier que l'en-tête Authentication-Results est bien ajoutée, et valide.

Soirée Evolix du 23 Juillet 2009 : Git et PHPBoost

2009-08-31T12:14:05+00:00

Evolix a organisé le 23 Juillet dernier une soirée autour de deux thèmes :
* la présentation de Git, logiciel Open Source pour la gestion de code source, par Grégory Colpart,
* et la présentation de PHPBoost, CMS Open Source, par son développeur principal Régis Viarre.

Cet apéritif convivial a réuni une douzaine de personnes au sein des bureaux d’Evolix situés au Pôle Média Belle de Mai (13003 Marseille).

Au sujet de PHP Boost

[PDF]Slides de la présentation de Régis Viarre (actuellement en stage au sein d’Evolix) :

PHPBoost est un CMS (Content Managing System ou système de gestion de contenu) français.

Voici quelques unes de ses caractéristiques :
* Projet Open Source sous licence GNU/GPL
* Code XHTML 1.0 strict et sémantique
* Multilangue
* Facilement personnalisable grâce aux thèmes et templates
* Gestion fine des droits et des groupes multiples pour chaque utilisateur
* Url rewriting
* Installation et mise à jour automatisées des modules et du noyau
* Aide au développement de nouveaux modules grâce au framework de PHPBoost

URL du site officiel : http://www.phpboost.com/

Au sujet de Git

Voici les slides et une courte vidéo de la présentation :

[PDF]Slides
* Introduction à la gestion de code source (définition CVS/SCM, fonctions basiques)
* Présentation de Git (historique, fonctionnement interne, stockage des informations)
* Git en action (exemples, comparaison avec CVS/SVN, les repository, les branches, etc.)

et voici une courte video de la présentation.

À bientôt pour la prochaine présentation thématique Evolix !

Mise-à-jour Wordpress et sécurisation basique

2009-08-13T01:13:50+00:00

Une faille de sécurité sur le logiciel Wordpress permet de réinitialiser le mot de passe d’un utilisateur connu (admin par exemple…). Cela consiste à faire une requête du type http://SERVERNAME/wp-login.php?action=rp&key[]= (soumettre une key[] vide permet apparemment de rendre inutile la vérification par mail). Il est donc conseillé de mettre à jour Wordpress en version 2.8.4 (voici le patch pour passer de la version 2.8.3 à 2.8.4).

J’en profite pour rappeler quelques notions basiques pour sécuriser une installation d’un logiciel PHP, surtout quand il est très répandu : si possible, limiter les accès aux parties backoffice via Apache (restriction par adresses IP et/ou authentification HTTP), utiliser des identifiants originaux (pas forcément admin…), des mots de passes complexes, éviter les modules/plugins non fiables, suivre les notifications de mises-à-jour et les appliquer rapidement (cela implique de limiter les modifications intrusives empêchant des futures mises-à-jour, ou du moins les préparer sous forme de patch pour les ré-appliquer très rapidement), etc. Pour le premier point, voici un exemple de sécurisation de Wordpress via Apache :

<LocationMatch "^/wordpress/wp-(admin|login)">
Deny from all
Allow from YOUR_IP
</LocationMatch>

JCE non limitées sous Debian

2009-07-02T21:45:56+00:00

Les packages Debian de Java n’intègrent pas de mécanisme pour faciliter l’utilisation des versions non limitées des JCE (Java Cryptography Extension), utiles pour avoir des fonctions de chiffrement dites « fortes » (#466675). L’idée est de créer des diversions locales pour conserver les versions non limitées, même en cas de mise-à-jour :

# dpkg-divert --divert /usr/share/doc/sun-java6-jre/US_export_policy.jar.ori \
 --rename /usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/security/US_export_policy.jar
Adding `local diversion of /usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/security/US_export_policy.jar
 to /usr/share/doc/sun-java6-jre/US_export_policy.jar.ori'
# dpkg-divert --divert /usr/share/doc/sun-java6-jre/local_policy.jar.ori \
--rename /usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/security/local_policy.jar
Adding `local diversion of /usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/security/local_policy.jar
to /usr/share/doc/sun-java6-jre/local_policy.jar.ori'

Attention, bien garder à l’esprit que si une faille de sécurité survient, il faudra mettre à jour manuellement ces fichiers.

Gérer plusieurs instances de MySQL

2009-06-19T14:27:27+00:00

Voici un résumé de la mise en oeuvre de multiples instances MySQL sur un
serveur Debian, à l'aide de l'outil mysqld_multi. Cette solution permet par
exemple d'offrir un accès complet à MySQL dans le cadre d'un hébergement
mutualisé (l'utilisateur peut alors créer ses propres bases, gèrer ses
utilisateurs, etc). Cela peut être aussi utilisé pour cloisonner totalement les
bases de données de différentes applications, et ainsi d'ajuster finement des
paramètres tels que max_connections pour chacune d'elles.

Voici les étapes :

Ajouter une ou plusieurs sections [mysqldN] dans /etc/mysql/my.cnf, où N
correspond au numéro d'instance, et <instance> à son nom.

[mysqldN]
user = mysql-<instance>
port = 3307
socket = /var/run/mysqld-<instance>/mysqld.sock
pid-file = /var/run/mysqld-<instance>/mysqld.pid
datadir = /home/mysql/<instance>

Si vous utilisez les options --log, --log-bin ou --log-error, il est
nécessaire de les redéfinir dans chaque configuration d'instances (voir
Running Multiple MySQL Servers on the Same Machine).

Note : pour faire tourner l'instance avec un utilisateur différent (comme dans
cette exemple) il est à priori nécessaire de commenter le paramètre user = mysql dans
la section [mysqld] du my.cnf, sinon mysqld_multi retourne une erreur :

Ignoring user change to 'mysql-<instance>' because the user was set to 'mysql'
earlier on the command line

Décommenter ce paramètre ne gène pas le lancement de l'instance initiale.

Créer le compte système qui fera tourner l'instance.

useradd -r mysql-<instance>

Créer le répertoire de données de l'instance, et les répertoires annexes.

mysql_install_db --datadir=/home/mysql/<instance>
chown -R mysql-<instance> /home/mysql/<instance>
mkdir /var/run/mysqld-<instance>
chown mysql-<instance> /var/run/mysqld-<instance>

Démarrage de l'instance

mysqld_multi --verbose --no-log start N

Où N fait référence au numéro de l'instance.

Il est maintenant possible de s'y connecter en utilisant le numéro de port
TCP/IP spécifié plus haut, et en saisissant un mot de passe vide :

mysql -h 127.0.0.1 --port=3307 -u root -p

Si vous choisissez d'utiliser un mot de passe root commun à toutes vos
instances, vous trouverez pratique d'ajouter la section suivante à votre
fichier .my.cnf :

[mysqld_multi]
user = root
password = "<password>"

Enfin, voici un exemple de script d'init permettant de démarrer et d'arrêter
proprement toutes vos instances :

#!/bin/sh

case "$1" in
        start)
                mysqld_multi start
                ;;
        stop)
                mysqld_multi stop
                ;;
  *)
        echo "Usage: $0 {start|stop}"
        exit 1
esac

exit 0

Petit déjeuner Evolix autour de la virtualisation avec Xen – 27 Mai 2009

2009-06-08T13:44:19+00:00

Le 27 mai dernier, Evolix a organisé un petit-déjeuner sur le sujet de Xen et la virtualisation de serveurs.

Voici une partie des slides qui ont été présentés durant ce petit déjeuner.

Pour rappel le sommaire était :

1. Présentation d’Evolix / Offres de virtualisation d’Evolix

Les slides sont ici

2. Présentation et démonstration sur la virtualisation axée
sur Xen pour gérer des serveurs Linux virtuels
* Introduction à la virtualisation, revue des différentes
technologies
* Présentation de Xen : installation / gestion / performances
* Demonstration avec Xen-HVM pour des OS non modifiés
(Windows, Linux)
* Démonstration avec une migration “à chaud” d’une machine
virtuelle

Les slides sont ici
Le screencast réalisé par Grégory Colpart (disponible en HD):

3. Témoignage d’un client d’Evolix sur l’utilisation pour une
banque française d’une plateforme de services
Apache/Tomcat/JBoss/MySQL
* Présentation des besoins initiaux
* Retour sur la solution après plus d’un an d’utilisation

Slides disponibles sur demande.
L’infrastructure présentée par le client d’Evolix (Nouveaux Territoires) était la suivante :

Fichier special /dev/megaraid0 pour les noyaux Linux récents

2009-05-10T16:11:21+00:00

En février 2008, la gestion du fichier spécial pour le management des cartes SCSI Megaraid (en général, /dev/megaraid0) a changé dans le noyau Linux. Auparavant, on notait la présence de megadev dans /proc/devices, car un numéro majeur (et dynamique) de périphérique lui était attribué. Les différents scripts utilisaient donc des scripts ressemblant à :

MAJOR=`grep megadev /proc/devices|awk '{print $1}'`
mknod /dev/megadev0  c $MAJOR 0

Mais un numéro majeur ne semblait pas utile, car seul un fichier spécial est nécessaire (même avec plusieurs cartes Megaraid) et le numéro mineur n’était jamais utilisé. Cela a donc changé à partir du noyau Linux 2.6.25, et c’est désormais un numéro mineur (et dynamique) et un numéro majeur correspondant à misc qui définit le périphérique /dev/megaraid0. On retrouve ainsi des bugreports chez Debian (#399783) et Gentoo (#233295) à propos de ce changement.

Concrètement, ce matin lors d’une mise-à-jour d’un noyau Linux de 2.6.21 en 2.6.28, le fichier spécial /dev/megaraid0 avec les numéros majeur/mineur 253/0 n’était plus utilisable par les outils de management du RAID. La suppression de ce fichier et l’installation d’udev a permis de retrouver un /dev/megaraid0 fonctionnel.

Driver bnx2 du noyau Lenny et carte Broadcom NetXtreme II

2009-05-08T21:38:24+00:00

Le driver bnx2 du noyau Linux 2.6.26 de Debian Lenny (et du 2.6.24 d’half-and-etch) nécessite un firmware pour fonctionner avec les cartes réseau Broadcom NetXtreme II (présentes par exemple sur les serveurs DELL PowerEdge 1950/2950), au contraire du noyau Linux 2.6.18 de Debian Etch. Lors de la mise-à-jour vers l’un de ces noyaux, il faut donc installer le paquet firmware-bnx2 (section non-free) et s’assurer de mettre à jour les images initramfs (update-initramfs -u -k all).

Chroot SSH et PTY allocation avec Debian Lenny

2009-04-25T11:48:17+00:00

Pour mettre en place des serveurs de backup, j’utilise un script chroot-ssh.sh qui permet la construction d’un chroot minimal pour faire tourner un serveur SSH et faire du rsync. Avec la mise-à-jour vers Lenny, l’allocation PTY réalisée par SSHD change : il ne semble plus possible de mettre en place un serveur SSH sans monter PROCFS et DEVPTS. Sans cela, on rencontre les erreurs suivantes côté serveur SSH :

debug1: Allocating pty
openpty: No such file or directory
session_pty_req: session 0 alloc failed

Si uniquement DEVPTS est monté, et pas PROCFS :

debug1: Allocating pty
openpty: returns device for which ttyname fails.

Voici donc les étapes pour lancer le serveur SSH chrooté avec Debian Lenny :

#  chroot /backup/jails/myserver mount -t proc proc-chroot /proc/
#  chroot /backup/jails/myserver mount -t devpts devpts-chroot /dev/pts/
#  chroot /backup/jails/myserver /usr/sbin/sshd > /dev/null

Un exemple de migration Debian Etch->Lenny [0]

2009-04-19T19:05:19+00:00

Dans la même optique que mes précédents exemples de migration Debian Sarge->Etch ([0], [1], [2] et [3]), je repars sur une série portant sur des migrations Debian Etch->Lenny. Je rappelle rapidement le principe : j’administre une centaine de serveurs pour plusieurs dizaines de sociétés, et la plupart vont être concernés par une migration vers Debian Lenny d’ici un an. Je vais en choisir quelques uns pour illustrer les opérations nécessaires et problèmes recontrés. Et j’incite tout le monde à faire de même afin d’avoir de multiples astuces disponibles sur le web.

Pour ce premier post, la question classique : quand faut-il migrer sa machine vers Debian Lenny ? Tout d’abord, Etch reste maintenu environ un an après la sortie de Lenny, soit jusqu’en février 2010. Il n’y a donc aucune raison d’être pressé à migrer si l’on a pas besoin de nouveaux logiciels. Et surtout, je recommande le principe de précaution, à savoir attendre un certain temps ce qui permettra d’avoir une grande quantité d’informations disponibles sur Internet (ressources Debian, moteurs de recherche, blogs). Enfin, il est important de bien planifier sa migration en fonction du métier de la société (haute/basse saison, vacances, etc.).

Évidemment, les précautions suivantes sont nécessaires : faire des essais de migration sur des serveurs de test, avoir des backups tout frais, couper les services durant la migration et bien prévenir à l’avance tous les utilisateurs et personnes concernées.

Entrons dans le vif du sujet. Au menu, un serveur web situé chez un hébergeur low-cost français. Ce serveur fait parti d’un pool de plusieurs serveurs (load-balancing via du round-robin DNS), donc il faut au préalable le désactiver et attendre que le time-to-live le rende totalement inactif. Ensuite, on reprend les Releases Notes, on modifie le sources.list et on se lance.

On s’assure que les partitions /usr et /tmp ont les bonnes options de montage:

# mount -o remount,rw /usr && mount -o remount,exec /tmp

On lance une mise-à-jour minimale :

# aptitude update && aptitude upgrade

Puis une mise-à-jour complète :

# aptitude dist-upgrade

Rien de bien complexe. Il reste à croiser les doigts pendant les opérations ci-dessus, mais si votre système est « propre », cela se passe très bien, comme souvent sur un système Debian. Il est ensuite important de lire les éventuelles instructions de mise-à-jour situées dans le fichier NEWS d’un paquet (en utilisant apt-listchanges, cela peut être affiché automatiquement).

En ce qui concerne la mise-à-jour du kernel, de mauvaises surprises sont possibles après le redémarrage. Il est notamment recommandé d’avoir un accès à la machine (accès physique, accès « rescue », etc.) pour corriger d’éventuels problèmes. Dans mon cas, l’interface réseau a été renommée de eth0 à eth1 suite à la mise-à-jour d’udev : le fichier /etc/udev/rules.d/z25_persistent-net.rules se transforme en /etc/udev/rules.d/70-persistent-net.rules, jusqu’ici tout est normal, mais un problème surnaturel semble s’être produit, la carte e1000 (MAC=00:0c:29:65:ae:04) est « devenue » une r8168 (MAC=00:1c:c0:51:12:45) ; au final, c’est plutôt un soucis lié au matériel, enquête en cours chez l’hébergeur low-cost…

Un vrai problème s’est par contre posé avec la mise-à-jour du paquet nginx (un petit serveur web très performant). Suite à sa mise-à-jour, il ne démarre plus :

Starting nginx: 2009/04/19 20:45:26 [emerg] 28783#0: could not build the server_names_hash,
you should increase server_names_hash_bucket_size: 32

Il faut donc ajouter dans la section http {} du fichier nginx.conf :

http {
include       /etc/nginx/mime.types;
default_type  application/octet-stream;

# Necessaire depuis l'upgrade Etch->Lenny
# (ajoute le 19.06.2009 by reg)
server_names_hash_bucket_size 33;
...

Voilà pour ce premier exemple de migration. Il s’agissait d’un serveur « simple » sans installation particulière, donc assez peu de problèmes rencontrés. Les prochains exemples seront certainement un peu plus complexes !

Administration d’un serveur NIS sous OpenBSD

2009-02-28T16:06:19+00:00

NIS est un protocole réseau de distribution d’informations système (utilisateurs, groupes, machines, etc.). De plus en plus remplacé par LDAP, il reste encore souvent présent sur des réseaux avec des systèmes hétérogènes.

Un problème assez classique avec NIS est l’administration de la base d’utilisateurs. Déportée dans une base distincte (/var/yp/DOMAINNAME/), on peut :
- la gérer comme une source de données indépendante, mais cela rend assez complexe l’administration, car on ne peut pas vraiment utiliser les outils classiques (commande adduser, détection du max(UID), etc.)
- gérer les utilisateurs/groupes locaux, et générer la base NIS à partir des données locales. Dans ce cas, la problèmatique est de ne pas exporter les utilisateurs/groupes système !

Dans le second cas, il n’existe pas de distinction des utilisateurs/groupes système dans le Makefile.yp distribué par OpenBSD. Heureusement, Antoine Jacoutot a écrit un petit patch pour gérer des MINUID/MINGID/MAXUID/MAXGID : voici le patch.

Astuce Vim du jour

2009-02-23T16:58:23+00:00

Pour faire un remplacement dans une “visual selection (Ctrl+v)”, notamment pour restreindre un remplacement à une sélection dans une longue ligne :

:'<,'>s/\%Vfoo/bar/

Ferme ton Bind !

2009-02-01T21:02:11+00:00

Il est important de fermer complètement son Bind, à savoir mettre dans son named.conf :

allow-query { localhost;};
allow-recursion { localhost; };
allow-transfer { none; };

Cela provoque un statut REFUSED pour toutes les requêtes non autorisées. Si refuser les transferts (requêtes AXFR dévoilant toute votre zone) est sage et refuser les requêtes récursives est logique (vous ne voulez pas être serveur DNS pour le monde entier), il faut également refuser toutes les requêtes par défaut afin d’éviter de potentiels dénis de service.

Vous noterez que les directives ci-dessus autorisent les requêtes classiques de la part de localhost dans la mesure où il est fréquent que votre machine se serve de son propre Bind. Si ce n’est pas le cas, mettre toutes les directives à none.

Un moyen simple de vérifier qu’un serveur DNS refuse bien toutes les requêtes :

dig google.fr @<serveur DNS>

Vous ne devez pas obtenir la(les) réponse(s), ni même obtenir la liste des ROOT SERVERS. Vous devez obtenir status: REFUSED (ou alors un timeout…).

J’ai souvent eu du mal à expliquer pourquoi il fallait fermer complètement son Bind, car la menace des attaques DOS restait un peu vague. Ce n’est désormais plus le cas depuis quelques semaines où chaque administrateur d’un Bind assiste (dans ses logs ;-) aux multiples requêtes “. NS IN” générées par des robots/virus :

client 76.9.16.171#39068: query (cache) './NS/IN' denied
client 69.64.87.156#42646: query (cache) './NS/IN' denied

On déplore même des victimes de ces attaques DDOS de grande ampleur, notamment NetworkSolutions qui l’explique sur son blog. Pour contrer cela, on peut refuser les paquets en amont : voici un fameux paquet (format PCAP). On voit donc que l’on peut interdire les paquets comportant une requête DNS récursive (flags = 0×0100). Sur une machine Linux, on peut le faire avec iptables et le module u32 (attention, il semble y avoir des bugs avec certaines versions) :

iptables -A INPUT -p udp --dport domain -m u32 --u32 "0>>22&0x3C@10=0x01000001" -j DROP

SI vous ne voulez pas interdire toutes les requêtes récursives, j’ai trouvé sur Internet une règle plus précise qui matche sur le “. NS IN” (voir commentaires de ce post) :

iptables -A INPUT -j DROP -p udp --dport domain -m u32 --u32 \
"0>>22&0x3C@12>>16=1&&0>>22&0x3C@20>>24=0&&0>>22&0x3C@21=0x00020001"

Enfin, sur l’excellent blog de Stéphane Bortzmeyer, vous trouverez plus de détails et des outils pour mesurer le nombre d’attaques sur votre serveur.

License et Open Source (GPL et AGPL)

2009-01-26T17:07:14+00:00

Dans mes souvenirs, la v3 de la GPL devait régler le contournement classique réalisé par beaucoup sur la v2 (alias le “ASP loophole” en anglais) ( exemple : Free et le code de sa freebox, différents prestataires en ASP/SAAS)

Petite mise à jour sur ce sujet :

La GPLv3 n’a pas tenu ses promesses sur ce sujet du SAAS et au final ne le couvre pas.
Par contre l’AGPL est née.
Le lien wikipedia qui va bien : http://fr.wikipedia.org/wiki/GNU_Affero_General_Public_License
Le lien plus complet en anglais : http://en.wikipedia.org/wiki/Affero_General_Public_License
Le texte en anglais de la licence AGPLv3 : http://www.fsf.org/licensing/licenses/agpl-3.0.html
Relatif au sujet : https://www.fsf.org/blogs/licensing/2007-03-29-gplv3-saas
La version 1 de l’AGPL : http://www.affero.org/oagpl.html

Mon résumé : La GNU Affero General Public License, version 3 a été publiée par la Free Software Foundation (FSF) en November 2007 (sur les bases des versions 1 et 2 de l’AGPL publiée par Affero), et est très proche de la GNU General Public License, version 3 (GPLv3)). C’est une license copyleft, reconnue par l’OSI.
La FSF conseille l’utilisation de l’AGPL pour tout logiciel amené à être utilisé par le réseau (alias utilisé en SAAS)
L’AGPLv3 est compatible avec la version 3 de la GPL (via leurs sections 13) dans le sens où l’on peut ajouter du code GPLv3 a du code AGPLv3 pour donner un code AGPLv3
L’AGPLv3 oblige un individu modifiant un logiciel sous cette license et souhaitant le diffuser via le réseau (mode SAAS par exemple) à donner un accès aux sources modifiées de ce logiciel aux internautes.
Actuellement très peu de logiciels utilisent cette license. On peut citer : EyeOS

Utiliser mailgraph sans CGI

2009-01-18T21:58:45+00:00

Que ça soit pour des raisons de performance, de sécurité ou de simplicité, il est assez commun de ne pas avoir de module CGI sur un serveur (installer du CGI avec nginx est fastidieux par exemple). Or, l’outil de stats mailgraph n’est prévu que pour tourner en CGI. Voici un petit script qui permet de s’en affranchir et de générer les graphes mailgraph sans CGI :

#!/bin/sh
MAILGRAPH_PATH=/usr/lib/cgi-bin/mailgraph.cgi # Debian
#MAILGRAPH_PATH=/usr/local/www/cgi-bin/mailgraph.cgi # FreeBSD
#MAILGRAPH_PATH=/usr/local/lib/mailgraph/mailgraph.cgi # OpenBSD

MAILGRAPH_DIR=/var/www/mailgraph

umask 022

mkdir -p $MAILGRAPH_DIR

$MAILGRAPH_PATH | sed '1,2d ; s/mailgraph.cgi?//' > $MAILGRAPH_DIR/index.html

for i in 0-n 0-e 1-n 1-e 2-n 2-e 3-n 3-e; do
        QUERY_STRING=$i $MAILGRAPH_PATH | sed '1,3d' > $MAILGRAPH_DIR/$i
done

Il peut être placé en crontab, ce qui permet une sauvegarde régulière des graphes générés. Testé sous Debian, FreeBSD et OpenBSD (variable MAILGRAPH_PATH à adapter).

Tropic0°C

2009-01-07T10:46:41+00:00

Un joli manteau neigeux a recouvert Marseille, pour le bonheur des enfants, un peu moins pour les automobilistes. Ci-dessous, le Jarret (une des artères principales de Marseille) bloqué par le neige :

Ou encore le Pôle Média Belle de Mai, où se trouvent les bureaux d’Evolix :

Edit : toutes mes excuses aux lecteurs de Planet-Libre et Planet-Debian-Fr/Planet-Debian-Fr-Users, j’ai mis ce post dans une mauvaise catégorie ! Le ciel m’est vraiment tombé sur la tête ce mercredi…

La crise ? Quelle crise ?

2009-01-06T09:59:08+00:00

Depuis plusieurs semaines, on a assisté à une déferlante médiatique à propos de la crise. À tel point qu’un grand nombre de français a désormais pris l’habitude de mentionner cette fameuse crise à tout bout de champ : “à cause de la crise”, “malgré la crise”, etc. Or, il faut vraiment souligner que l’origine de cette crise est boursière. Je me permets de rappeler ce qu’est la bourse (en tous cas, ce que j’en ai compris) : c’est un lieu d’échange de titres qui sont des estimations virtuelles de la valeur d’une entreprise. Et ces estimations fluctuent chaque jour en fonction d’élements divers : annonces de résultats, rumeurs, situations géopolitiques, météo, etc. Bref, une somme d’élements qui laisse une bonne part d’interprétations, voire de hasard, et souvent annoncés par les médias. C’est donc un cercle vicieux : à partir du moment où l’on médiatise les évènements boursiers… qui dépendent fortement des médias. Et l’on est en plein dans ce cercle vicieux. L’élément déclencheur, l’écroulement d’un château de cartes faites de paris américains trop risqués, est bien loin. Les bourses se trouvent dépendantes du contexte médiatique morose, et peinent à rebondir véritablement. Mais pire, les conséquences vont au-delà de la bourse, les acteurs économiques ralentissent leurs investissements en fonction de ce contexte… ce qui influe directement sur tout le système économique : les fournisseurs et sous-traitants se trouvent également ralentis, cela débouche sur moins d’embauches, voir des licenciement et des fermetures. Impactés ou non, les citoyens adoptent un comportement similaire, et l’économie dans son ensemble menace d’être ralentie.

Plus l’on parle de la crise, plus elle progresse. Anticiper la crise, c’est l’accélérer.

En conséquence, il est du devoir des acteurs économiques et de chacun d’adopter un comportement pragmatique : il ne s’agit pas de faire de la méthode Coué en l’occultant complètement, mais il s’agit de ne pas faire d’exagération et de s’en tenir aux conséquences factuelles. Il est notamment un peu facile d’attribuer à la crise le ralentissement du marché automobile : pour des raisons écologiques et économiques (le prix de l’essence augmentant inexorablement depuis des dizaines d’années), le marché est amené à se renouveler et la crise semble davantage être un bon prétexte. Le danger se situe aussi à ce niveau, car la surmédiatisation de la crise offre une excuse en or à de nombreux acteurs pour faire passer des plans de licenciement, délocalisations, etc. Elle offre même une excuse pour tout évènement négatif… À l’inverse, on pourrait mettre en avant les effets positifs à la crise : le prix de l’essence a baissé (le baril de pétrole est passé de 150 $ à 50 $), l’envolée des prix de l’immobilier s’est arrêtée, des aides à l’embauche ont été mises en place pour les petites entreprises, les taux d’intérêts des prêts baissent, et même le prix de la vie est en baisse, le marché de l’offre devant s’adapter au marché de la demande désormais … frileux ! Bref, pas de quoi tomber dans la morosité ambiante.

Pour conclure, la surmédiatisation de la crise est dangereuse pour l’économie. Afin de revenir à une situation plus raisonnable, les médias, les entreprises et les individus devrait prendre la bonne résolution d’éviter de parler de la crise à tort et à travers, mais de s’en tenir aux faits. Par exemple, beaucoup d’entreprises sont en pleine progression. C’est le cas d’Evolix, PME en constante croissance, et qui va sortir un beau bilan 2008 avec un chiffre d’affaires entre 200.000 et 250.000 EUR. Et qu’on ne me dise plus qu’Evolix ne connaît pas la crise, je vous répondrais : “La crise ? quelle crise ?”

[howto] installation de DIMP et MIMP (basé sur Horde/IMP) sur un hebergement web LAMP mutualisé

2008-12-02T14:14:47+00:00

Le deal : Installer MIMP sur un hébergement LAMP mutualisé
(ce qui signifie notamment ne pas avoir accès root à la machine et avoir une la base de données au nom prédefini)

On a besoin pour faire tourner Mimp de Horde et IMP (http://www.horde.org/mimp/)
Le module IMP sert à la consultation et envoi du courrier.

Pour faire fonctionner cette solution, on a besoin sur le serveur web des outils suivants en état de fonctionnement (suivant la version de MIMP souhaitée il faut bien valider les versions des outils également)

* Apache / PHP
* PEAR : il faut avoir obligatoirement PEAR::DB (pour permettre de stocker dans mysql la conf horde) mais aussi PEAR::Log, PEAR::Mail, PEAR::Mail_Mime, et un certain nombre d’autres (listés par la suite)
* SGBD type MySQL
* Un serveur POP ou IMAP
* Un Serveur SMTP (distant ou local)

Déroulé de l’installation :

On va installer MIMP 3.1.1 avec IMP 4.3 et Horde 3.3

On télécharge les sources :

wget http://ftp.horde.org/pub/horde/horde-3.3.tar.gz
wget http://ftp.horde.org/pub/imp/imp-h3-4.3.tar.gz
wget http://ftp.horde.org/pub/mimp/mimp-h3-1.1.tar.gz

Installation de Horde :

On décompresse les sources de Horde qu’on renomme dans le répertoire horde

tar -xvzf horde-3.3.tar.gz mv horde-3.3 horde

Puis on upload le dossier horde dans le répertoire de l’hébergement mutualisé (typiquement ~/www/)

On génère les fichiers de conf. de Horde à partir de ceux par défaut.
login@serveur:~/www/horde/config$ for i in *.dist; do cp $i `basename $i .dist`; done
login@serveur:~/www/horde/config$ chmod 777 ../config
login@serveur:~/www/horde/config$ chmod 666 ../config/conf.php

On peut tout d’abord vérifier si tout est ok: http://votreurlserveur/horde/test.php

Configuration de Horde

Pour que les préférences de Horde soient stockées dans la base Mysql par la suite il vous faut créer les tables de cette dernière puis la configurer dans l’administration de Horde
Les scripts par défaut sont dans ~/www/horde/scripts/sql/ et sont nommés typiquement create.typedeSGBD. Pour plus de détail lisez ~/www/horde/scripts/sql/README

Dans notre cas sur un LAMP, il faut customiser le scripts/sql/create.mysql.sql pour tenir compte que l’on a accès à une base déjà créé et qu’on est pas root de cette dernière.

Une fois les petites modifications apportées au regard du nom de la base/utilisateur dont vous disposez, il faut exécuter via phpMyAdmin ou en ligne de commande genre mysql --user=***** --password=***** < modified.create.mysql.sql

Allez ensuite sur http://votreurlserveur/horde/ puis sur Administration et cliquez sur Horde.
Dans l’onglet DATABASE, mettez les paramètres de votre base de données.
Dans l’onglet PREFERENCE SYSTEM : il faut cliquer sur SQL database.
Dans preference driver indiquez horde_prefs comme nom de la table qui gère les préférences (nom de table par défaut)
Pour finir, cliquez sur “generate horde configuration”

Astuce : Logs de Horde : Dans l’onglet “Logging” – si PEAR::Log est activé – vous n’avez qu’à créer un répertoire dans votre espace avec les bons droits (genre 770) pour journaliser les évènements de Horde

Tester Horde

Allez sur http://votreurlserveur/horde/test.php
Vérifiez et corriger tout ce qui est en rouge. Veillez aussi à ce qui est en orange et qui peut s’avérer bloquant (exemple : PEAR::Mail)
Vérifiez que la version de PHP est compatible avec votre version de Horde
Vérifiez aussi que le compteur de Session s’incrémente bien au rechargement de la page.
Si tout est OK passez à la suite.
Si vous avez des soucis avec PEAR, vous avez la souplesse de l’installer dans votre espace mutualisé dans ~/www/horde/lib/. En effet cette arborescence fait partie du PATH pour PEAR et sera prise en compte tout comme /usr/share/pear. Vous pouvez donc installer les modules de PEAR manquants indépendamment de ceux présents globalement sur le serveur mutualisé.

Installation de IMP

Idem on renomme le dossier imp-3* en imp puis on l’upload dans /www/horde/

Même procédure pour créer les tables qui vont bien dans MySQL en modifiant le scripts/sql/imp.sql (genre rajouter un USE nom_database;) et en l’exécutant ( mysql --user=**** --password=*** < modified_imp.sql )
Note : Dans le ~/www/horde/imp/docs/ il y a le fichier INSTALL pour les instructions:

On fait la fameuse manip pour les fichiers de conf :
cd imp/config for i in *.dist; do cp $i `basename $i .dist`; done chmod 777 ../config

Enregistrement de l’application sous Horde (utile que si le PATH est différent du classique horde/imp/) :
Editez horde/config/registry.php, trouvez le applications['imp'] et vérifiez les infos.

Configuration de IMP
Il faut éditer le fichier servers.php

Dans le bloc de configuration “$servers’imap’” : mettez les paramètres corrects du type (ceci n’est qu’un ex):
$servers'imap' = array( 'name' => 'IMAP Server', 'server' => 'localhost', 'hordeauth' => true, 'protocol' => 'imap', 'port' => 143, 'folders' => 'INBOX.', 'namespace' => '', 'maildomain' => '', 'smtphost' => 'localhost', 'smtpport' => 25, 'realm' => '', 'preferred' => '', 'dotfiles' => false, 'hierarchies' => array() );

Seconde étape : Il faut créer le config.php
(!! : notamment avant de créer le compte Admin basé sur l’authentification IMP sinon vous serez coincés et devrez remettre la conf de base ou celle sauvée dans /www/horde/config/ (conf.php.bk ou conf.php.dist) et try again;))
Pour cela il suffit d’aller sous horde puis Administration puis Configuration puis Courrier(Imp).
Configurez tous les autres onglets nécessaires (onglet “Mailer”, etc.)
Puis Générer la configuration.

De façon facultative, vous pouvez éditer le horde/imp/config/prefs.php

Tester la configuration de IMP

Ensuite on peut là aussi tester la conf :
http://votre urlserveur/horde/imp/test.php

Notamment le test avec le serveur mail est souvent instructif et peut vous donner des informations pour corriger votre imp/config/servers.php

remarque d’amélioration possible : Ce test de IMP ne reprend pas notamment les modules PEAR vitaux comme PEAR::Mail et c’est bien dommage pour éviter de chercher la cause d’un dysfonctionnement uniquement à cause de la nom présence d’un tel module sur le serveur.

Installation de MIMP

Là aussi même workflow : une fois uploadé dans horde/mimp/, dans le mimp/docs/ il y a le fichier INSTALL pour les instructions, on fait la petite manip pour générer les fichiers de conf à partir de ceux de base nommés en .dist :
cd mimp/config for i in *.dist; do cp $i `basename $i .dist`; done chmod 777 ../config

Et là on génère le fichier de conf avec la procédure classique : (sous horde puis Administration puis Configuration puis MIMP puis ‘générer la conf’)

Installation de DIMP

C’est très simple et identique de la procédure pour MIMP

Création du compte Admin et coupler l’authentification Horde/IMP:

Ce compte sera celui qui aura les droits de l’ administrateur sur Horde.
Allez sur http://votre urlserveur/horde/ puis dans Administration > Configuration/Setup et cliquez sur Horde.
Dans l’onglet AUTHENTICATION remplacez Administrator par votrecompte@installersurleserveur.com.
Dans le menu déroulant sélectionnez “Let a horde application handle authentication”
puis en-dessous sélectionnez IMP, cliquez sur “generate horde configuration”
Normalement vous devez avoir une Fatal Error juste après validation.
Il faut alors vous déconnecter de horde et vous connecter avec le compte que vous avez nommé administrateur et qui est un compte courrier valide sur le serveur défini dans le servers.php de IMP.
On évite ainsi de s’authentifier deux fois pour aller sur IMP.

C’est terminée, votre horde est prêt a usage avec IMP et MIMP voire DIMP

Bibliographie :
http://guides.ovh.com/InstallerHorde
http://wiki.debian.org/Horde
http://www.horde.org/horde/docs/?f=INSTALL.html
http://www.horde.org/imp/docs/?f=INSTALL.html
http://www.horde.org/faq/

Evolix citée dans Accents (mensuel Bouches du Rhônes) Novembre 2008 – n° 187

2008-11-24T09:58:27+00:00

Description : Accents est distribué chaque mois gratuitement dans toutes les boîtes aux lettres du Département des Bouches du Rhône.

La citation sur Evolix en tant que projet d’avenir sur la page 27 du numéro de Novembre 2008 :

et un focus :

L’evoteeshirt – collection Evolix 2008 en fabrication

2008-11-18T15:13:38+00:00

La collection Evolix apparaît en cette fin d’année 2008.
Bientôt disponible le tee-shirt suivant :

Dis papa, c’est quoi “gérant de PME” ?

2008-11-09T00:31:28+00:00

- Dis papa, je dois écrire ton métier pour l’école. C’est quoi ton métier ?

- Ba, tu peux mettre “gérant de la société Evolix“.

- Et, papa, c’est quoi gérant ?

- Heu… en quelques mots, être gérant dans une PME, c’est être à la fois :

Administrateur système et réseau

Analyste

Avocat

Chargé de communication

Chasseur de tête

Chauffeur/livreur

Chef de chantier

Chef de projet

Chercheur

Commercial

Comptable

Consultant informatique

DBA (DataBase Administrator)

Déménageur

Développeur informatique

Directeur administratif et financier

Directeur de marketing

DRH (Directeur des Ressources Humaines)

DSI (Directeur du système d’information)

Électricien

Femme de ménage

Formateur

Imprimeur

Infographiste

Ingénieur

Intégrateur

Journaliste

Opérateur

Photographe

Professeur

Psychologue

Relecteur

Reponsable informatique

Responsable de la sécurité

Responsable éditorial

Responsable qualité

Secrétaire

Standardiste

Taxi

Technicien

Traducteur

Trésorier

Vendeur

Web-designer

Webmaster

etc. !

Conférence sur la sécurité et l’Open Source

2008-11-08T15:31:02+00:00

À l’occasion du salon Synergie NTIC à Marseille, je suis intervenu environ 20 minutes dans une conférence à propos de la sécurité et l’Open Source. En résumé, j’ai parlé de la façon dont on doit se préoccuper de la sécurité quand on travaille avec des distributions ou logiciels Open Source. Notamment, j’ai parlé :

Du célèbre principe de Full Disclosure et de ses limites pratiques (période d’embargo),
Des moyens de faire une veille sécurité à propos de logiciels Open Source (listes de diffusion à suivre, etc.),
De la façon dont les distributions et logiciels Open Source s’organisent face aux problème de sécurité, en prenant l’exemple de Debian,
Du choix entre l’installation par paquets ou ports et l’installation via des sources vanilla,
D’exemples concrets de problèmes de sécurité récents : la faille concernant vmsplice dans le noyau Linux et du générateur de nombre aléatoire prévisible dans le paquet Debian openssl.

Vous pouvez télécharger les slides utilisés pour cette présentation (soyez indulgent, je les ai fait rapidement).

Importer un mot de passe MD5 dans un champ userPassword d'OpenLDAP

2008-11-06T19:45:00+00:00

J'ai eu récemment l'occasion de migrer des comptes stockés dans une base de
données PostgreSQL vers OpenLDAP. Les mots de passe étaient stockés sous forme
de hash MD5 au format hexadécimal. f71dbe52628a3f83a77ab494817525c6 par
exemple.

Ma première approche a été d'importer directement cette valeur dans le champ
userPassword en les préfixant de {MD5}. En effet OpenLDAP gère de
manière transparente de nombreux formats de mot de passe.

Malheureusement ceci ne marche pas. Les MD5 doivent être stockés sous forme
hexadécimal dans OpenLDAP. Voici le bout de code Perl permettant la conversion,
que j'ai mis un certain temps à écrire :


use MIME::Base64;
my $md5_hexa = "f71dbe52628a3f83a77ab494817525c6";
my $md5_base64 = "{MD5}".encode_base64(pack("H*", $md5_hexa), "");

Problèmes de rendu avec Iceweasel

2008-10-18T22:29:32+00:00

Avec un ordinateur portable sous Debian Lenny i386, depuis quelques semaines j’avais d’étranges problèmes de rendu qui se produisaient sur plusieurs sites. Par exemple, une barre verticale constituée d’images répétées verticalement se retrouvait en plein milieu d’une page au lieu de rester sur les côtés : voici un exemple typique du bug avec le site http://www.evolix.fr/

Le problème est désormais identifié et fixé grâce à glandium (Mike Hommey), mainteneur Debian d’Iceweasel/xulrunner/libxml2/xebkit/etc. Il s’agit d’un problème entre xulrunner et cairo, et l’installation d’un paquet xulrunner-1.9 modifié, ou mieux, libcairo2 modifié, corrige le problème pour mon ordinateur portable (carte Intel, xorg.conf minimal avec uniquement une entrée spécifique pour la disposition du clavier). Merci glandium !

Importer contacts LDAP dans un telephone Nokia E65

2008-10-12T13:55:28+00:00

Il existe plusieurs moyen de faire de la synchronisation de groupware (contacts, calendrier, tâches) entre un téléphone mobile Nokia et une machine sous Linux. Mais selon les modèles de téléphone, la compatibilité des logiciels semble très variable. J’ai déjà eu l’occasion d’essayer des logiciels comme Gnokii ou Gammu de façon non satisfaisante jusqu’ici. Le plus prometteur est de tout évidence le jeune protocole SyncML prévu pour réaliser cette synchronisation. Mais sous Linux, les outils pour l’utiliser restent encore relativement bogués… ou alors je n’ai pas eu de chance avec mes téléphones. Après avoir passé plusieurs heures avec libsyncml pour réussir à lui faire cracher quelques extraits de mon téléphone, je suis retourné à une méthode simple : l’import des contacts via fichiers VCARD. Oui, c’est radical car ça gère mal une véritable synchronisation - je parle plutôt d’importation - mais ça répond à mes besoins pour l’instant et “ça marche”.

Passons à la partie “hacking”. Mes contacts étant (bien sûr) centralisés dans un annuaire LDAP, j’ai écrit rapidement un petit script ldif2vcard.sh - à améliorer - me permettant d’obtenir des fichiers VCARD bien reconnus par Symbian à partir d’un fichier LDIF. Il ne reste plus qu’à les déposer sur la SD-card du téléphone (dans “Others/contacts/” sur un Nokia E65) puis faire “Contacts> Options > Copier> Depuis carte memoire”. Cette méthode doit plus ou moins marcher avec tous les téléphones à base de Symbian.

DHCPD et PF

2008-10-08T10:30:00+00:00

Le serveur dhcpd(8) d'OpenBSD dispose d'une fonctionnalitée permettant
d'alimenter des tables pf(4) lorsque certains évènements se produisent : bail
DHCP établi, adresse IP «abandonnée», changement d'adresse MAC.

Cela peut permettre par exemple de bloquer l'accès à un routeur à des machines
n'ayant pas obtenu leurs adresses IP par DHCP.

Lors d'une tentative de mettre ça en place il y a quelques mois je ne parvenais
pas du tout à le faire marcher : les tables n'étaient jamais remplies !
J'ai découvert il y a peu la réponse : cela ne fonctionne pas pour des machines
dont l'adresse IP est fixée à l'aide d'une directive fixed-address dans
dhcpd.conf. Et de plus le fichier dhcpd.leases n'est pas non plus alimenté
pour ces machines.

Afficher un courriel sur le web en évitant le spam

2008-10-04T13:06:31+00:00

De plus en plus, les sites web évitent d’afficher des adresses mail. Souvent, elles sont remplacées par des formulaires avec de fastidieux captcha mais l’usage est assez différent (pas d’adresse que l’on peut stocker dans un annuaire, rédaction en mode hors-ligne difficile, etc.) sans compter que la plupart des formulaires sont mal codés (pas de fallback en cas d’échec de l’envoi, entêtes souvent incorrects..). Dans d’autres cas, l’adresse mail est transformée afin qu’elle ne puisse pas être récupérée automatiquement par des robots. Exemples classiques : jdoe at example dot com ou jdoe-NOSPAM@example.com. C’est assez efficace mais… de moins en moins car c’est une perpétuelle course contre la montre où les robots s’adaptent aux nouvelles techniques. D’autres méthodes consistent à utiliser une image pour le @ voire l’adresse complète, mais dans ce cas on complique la tâche de l’utilisateur (pas de lien mailto) et ça n’est pas toujours adapté. Une idée intéressante serait de protéger une adresse mail avec un captcha puis de l’afficher proprement. Ça sera probablement la seule technique 100% efficace dans quelques années. En attendant, je vous propose une technique fortement inspirée de ce blog qui a l’avantage de faire apparaître un lien mailto (utilisation d’un peu de Javascript). Si le Javascript est désactivé, on perd le lien mailto mais l’adresse reste affichée en texte (utilisation d’un peu de CSS). Cette technique devrait vous donner un peu d’avance sur les robots (aucun spam reçu pendant deux ans d’après le blog cité plus haut).

Code source de la fonction PHP disponible ici :
http://www.gcolpart.com/hacks/EmailObfuscator.phps

SYNERGIE-NTIC (22-23 Octobre – Parc Chanot – Marseille – http://www.synergie-ntic.org/), l’affiche

2008-09-09T10:38:07+00:00

Voilà le flyer pour LE salon de la rentrée pour les NTIC intégrant le SPLLOS version 2, le Salon Professionnel des Logiciels Libres et Open Source où Evolix sera exposant !

“screen cannot be larger than 1280×1280″ alias gestion de Xrandr

2008-09-08T17:25:41+00:00

Voici les données et hypothèses :

Configuration de base de xorg sur un Dell XPS 1330 sous Debian (Lenny)
Version de xrandr (issu de randr) et plus exactement :
libxrandr2 2:1.2.3-1 X11 RandR extension library

Ma problématique : Pouvoir connecter un écran externe supplémentaire sur la sortie VGA

La solution naîve:
assez simplement avec un ‘man xrandr’ une commande du type :

xrandr --output VGA --mode 1280x768 --output LVDS --mode 1280x768 --right-of VGA doit être fonctionnelle.

Le soucis : la taille par défaut du screen virtuel est limité très bas

Ainsi voici l’erreur qui apparaît :

# xrandr: screen cannot be larger than 1280x1280 (desired size 2560x768) #

La solution ?

Modifier le xorg.conf pour définir un Screen virtuel plus grand

Voici mon xorg.conf modifié :

8<————————-8<

Section "InputDevice" Identifier    "Keyboard1" Driver        "kbd" Option        "XkbRules"    "xorg" Option        "XkbModel"    "pc105" Option        "XkbLayout"    "fr" Option        "XkbVariant"    "latin9" EndSection
Section "InputDevice" Identifier    "Mouse1" Driver        "mouse" EndSection
Section "Monitor" Identifier      "Laptop" EndSection
Section "Monitor" Identifier      "External" Option "RightOf" "Laptop" EndSection
Section "Device" Identifier      "0 Intel Corporation Mobile GM965/GL960" Driver          "i810" Option "Monitor-LVDS" "Laptop" Option "Monitor-VGA" "External" EndSection
Section "Screen" Identifier      "Default Screen" Device          "0 Intel Corporation Mobile GM965/GL960" DefaultDepth    24
Subsection "Display" Depth 24 #ici réside l'astuce Virtual 2720 1280 EndSubsection
EndSection
Section "ServerLayout" Identifier "Default Layout" Screen          "Default Screen" InputDevice     "Mouse1"                "CorePointer" InputDevice     "Keyboard1"             "CoreKeyboard" EndSection

8<————————————8<

Et voilà, on a même pas besoin d’une commande xrandr et xorg se débrouille pour optimiser en fonction de la taille virtuelle maximum donnée et des modes possibles pour les écrans gérées par le driver graphique pour optimiser le tout.

Pour bien calibrer ce Virtual, le conseil est de voir avec la commande xrandr -q (ou tout simplement xrandr) les modes possibles de vos deux écrans en question. (à faire en super-utilisateur)

Un tuto de référence : http://wiki.debian.org/XStrikeForce/HowToRandR12

Apache/PHP Segmentation fault avec OpenX

2008-09-02T10:17:23+00:00

Pour mémoire, OpenX (un logiciel libre gérant les régies publicitaires sur les sites web) fait crasher Apache/PHP si l’option zend.ze1_compatibility_mode est activée (confirmation du bug ici ).

Faille de sécurité dans le logiciel de gestion de contenu Joomla

2008-08-14T15:15:41+00:00

Une importante faille de sécurité concernant le logiciel PHP Joomla -utilisé par de nombreuses web-agency- vient d’être rendue publique en début de semaine (12/08/08).
http://developer.joomla.org/security/news/241-20080801-core-password-remind-functionality.html

Cette faille est très facilement exploitable et permet d’accéder à l’interface d’administration de n’importe quel site utilisant ce CMS (Content Management System) en version inférieur à la 1.5.6.

1. Explication de la faille :
Pour exploiter cette faille, il suffit d’appeler l’url du site cible (adaptez exemple.fr par le nom du site) :
http://exemple.fr/index.php?option=com_user&view=reset&layout=confirm

Le site va alors vous proposer de réinitialiser le mot de passe administrateur et vous demander d’entrer un jeton (si vous avez le message “Vous n’êtes pas autorisé(e) à accéder à cette ressource” c’est qu’il s’agit d’une version 1.0.x de Joomla et que la faille ne marchera pas).

En théorie, ce petit bout de code est fourni par mail, lorsque l’administrateur clique sur “J’ai oublié mon mot de passe”. Le problème et la faille ici, c’est que si l’on rentre le caractère apostrophe (’) dans le champ du formulaire, Joomla vous propose de saisir un nouveau mot de passe administrateur !

2. La solution :
Il vous faut mettre à jour votre version de Joomla avec la version la plus récente proposée sur le site officiel : http://www.joomla.org

Rappelons que Joomla est un logiciel libre très populaire et que la faille a été très vite corrigée une fois connue.
En conclusion, la nécessité d’une veille particulière sur ces outils libres et d’un suivi/maintenance permanent se révèle obligatoire pour toute société offrant des prestations basées sur ces outils.

Plugin Planet pour GForge

2008-08-11T13:47:29+00:00

Voilà, c’est enfin fait, mon plugin planet est en place sur EvoForge, et sera bientôt téléchargeable sur cette même forge (Projet Plugin Planet).

/etc/fstab, udev et UUID

2008-08-11T13:00:00+00:00

Le fichier /etc/fstab après une installation standard de Debian utilise
directement des noms de partitions sous la forme /dev/sda2 par exemple.

Or, la connexion d'un périphérique (clé USB, baie de disque, etc.), peut
potentiellement décaler votre disque principal en /dev/sdb, le périphérique
fraîchement connecté utilisant /dev/sda. Ceci rend alors votre système
impossible à démarrer correctement.

Une solution est alors d'utiliser le nommage UUID fourni par udev(7).
Chaque partition dispose dans /dev/disk/by-uuid d'un lien symbolique
pointant vers elle-même :


/dev/disk/by-uuid/1351bbd0-e931-47a0-b528-be33d135d35a -> ../../sda2

Udev fourni par défaut une notation raccourcie permettant de spécifier des
entrées dans /etc/fstab de la forme :


UUID=1351bbd0-e931-47a0-b528-be33d135d35a / ext3 ...

Toutefois si vous utilisez Debian Etch et l'option user du fichier fstab,
vous allez certainement rencontrer des problèmes au démontage de vos partitions
avec un utilisateur non privilégié (#466775).
La solution est alors d'utiliser le chemin complet :


/dev/disk/by-uuid/1351bbd0-e931-47a0-b528-be33d135d35a / ext3 ...

Ce qui après tout est plus UNIX.

Note : Si les périphériques swap n'apparaissent pas dans /dev/disk/by-uuid il
faut les reformater. Par exemple pour la partition swap /dev/sda7 :


swapoff /dev/sda7
mkswap /dev/sda7
blkid /dev/sda 7   # retourne l'UUID

Roadmap GForge / Lenny

2008-08-08T10:18:01+00:00

Pas un vrai post, plutôt une note rapide :

RoadMap GForge : la roadmap (en anglais) qui donne quelques infos sur la 4.7, qui est censée être prête pour lenny (septembre).

Webcam in the Pôle Media

2008-07-31T06:37:35+00:00

En direct des nouveaux bureaux d’Evolix, 37 Rue Guibal, 2eme étage, au dessus des studios de France 3 où se tourne “Plus belle la Vie”.
Voici une petite intrusion dans cet espace de 170m2 de travail

ejabberd 2.0.1-3 pour Debian

2008-07-24T10:38:56+00:00

Une nouvelle version d’ejabberd est sortie pour Debian, je ne vais pas reprendre le Changelog que vous pouvez lire ici, mais simplement insister sur un point : dans cette nouvelle version, le module mod_ctlextra est censé avoir été mis à jour (par rapport à l’upstream) et on devrait donc désormais bénéficier de nouvelles commandes pour ejabberdctl.

Néanmoins, toujours pas de commandes pour lister les shared rosters et récupérer les infos relatives à un groupe malgré la fermeture de mon bug (la nouvelle version est censée apporter ces commandes). Bref, les commandes n’y sont pas, on va devoir continuer à les rajouter à la main. J’essaye cependant de faire rouvrir le bug en espérant qu’il soit pris en compte pour la prochaine version.

Edit : Oups ! La dernière version est la 2.0.1-3, et j’ai testé la 2.0.1-2 à la place. La 2.0.1-3 est disponible en unstable.

Plugin Planet

2008-07-22T08:49:49+00:00

J’en ai déjà parlé dans un précédent article : PlanetPlanet, agrégateur de flux (RSS,RDF,Atom), codé en Python, très léger (page statique générée par un cronjob).

Parallèlement au développement du plugin WordPressMU qui apportera un blog pour chaque développeur, j’ai entamé l’écriture d’un plugin pour intégrer PlanetPlanet à GForge afin de pouvoir, entre autres, réunir les articles des blogs concernant chaque projet. C’est un plugin orienté projet, activable et configurable par l’administrateur du projet qui ajoute un onglet Planet au projet et qui affiche une page regroupant l’ensemble des flux choisis par l’administrateur. On peut également de cette manière ajouter des flux extérieurs au site, comme par exemple le blog d’un développeur qui préfère rester sur son site perso plutôt que d’héberger son blog sur la forge.

Exemples de planet :

Ce logiciel est très simple à utiliser : un fichier de configuration très simple et commenté pour chaque planet, ensuite, il suffit de générer la page du planet régulièrement via un script python fourni.

Cette simplicité facilite le travail d’intégration. Par ailleurs, la page étant générée à partir de templates, il est facile de faire un template minimal pour l’intégrer facilement à GForge avec un include php plutot qu’avec un <object> html.

Comme d’habitude, les détails, au fur et à mesure de mon avancement, sur le wiki.

Un plugin pour bloguer dans GForge ?

2008-07-17T10:01:31+00:00

Pour aller encore plus loin dans l’esprit communautaire de GForge, pourquoi ne pas offrir la possibilité à chaque développeur d’avoir son blog sur la forge ? Chaque développeur pourrait alors parler de son travail autour des différents projets de la forge auxquels il participe, et on peut facilement imaginer chaque projet ayant un genre de Planet, qui centraliserait les posts taggués ‘projet machin’ de tous ses développeurs !

Allez hop, au boulot !

WordPressMU

Qui ne connait pas WordPress, le moteur de blog ?

Et bien WordPressMU, c’est WordPress en version multi-utilisateurs, c’est-à-dire la possibilité de créer très facilement des centaines, des milliers de blogs avec un seul moteur ! Partageant 95% du code avec WordPress, WordPressMU est donc compatible avec beaucoup de plugins et thèmes écrits à la base pour WordPress.

Intégration à GForge

J’ai donc choisi d’intégrer WordPressMU à GForge, ce qui passe par une modification dans l’authentification WordPressMU (pour exploiter la base d’utilisateurs de GForge) ce qui peut se faire par l’écriture d’un plugin, et également le développement d’un plugin pour GForge, afin que les utilisateurs puissent choisir de créer un blog, de le suspendre ou encore de l’effacer pour de bon. On s’interdit évidemment de toucher au noyau des deux logiciels, pour faciliter la maintenance et les mises à jour.

Il serait bon aussi pour l’utilisateur de ne pas avoir à se connecter deux fois, une fois dans GForge puis une fois dans Wordpress.

Pour ceux que l’avancement de ce projet intéresse, voici une liste des points déjà réalisés :

Authentification WordPress sur la base GForge
Activation/Désactivation du blog via un plugin dans l’administration du compte GForge

Les points qui devraient être réalisés sous peu :

Création du blog par le plugin dans l’administration du compte GForge
Effaçage complet du blog via le même plugin

Enfin, le point qui risque d’être plus délicat :

Authentification unique pour les deux logiciels

J’invite donc tous les intéressés à me faire part de leurs commentaires et suggestions !

Projet Jabber sur GForge.org

2008-07-10T10:28:41+00:00

Au vu de mon activité autour du projet GForge, notamment avec le travail effectué autour d’ejabberd, Timothy Perdue (membre GForge) m’a proposé d’héberger mon travail sur gforge.org.

Cet hébergement me servira pour publier fichiers, sources et documentation en anglais. Je continuerai à travailler avec Trac pour la version française en développement. Régulièrement, je publierai de la documentation sous un format plus figé que le wiki lorsqu’elle sera un peu mieux organisée. J’en profiterai pour la traduire en anglais.

Bugs & Patchs pour GForge

2008-07-04T14:46:35+00:00

Ah ! Ce qu’on est fier lorsque ses premiers patchs sont acceptés ! J’utilise la version SVN (/trunk) de GForge et de temps en temps, j’y trouve un bug, que je signale et/ou corrige si j’en suis capable.

Voici quelques bugs corrigés (en anglais) :

Mauvais liens

Summary: Bad link to editsshkeys.php
Category: Account Maintenance
Initial Comment:
In file /trunk/gforge/www/account/index.php the link pointing at editsshkeys.php is bad : it points at editsshkeys/php instead of account/editsshkeys.php

Summary: Bad links in grouplist.php
Category: Site Admin
Initial Comment:
In www/admin/grouplist.php :
$headerLinks = array(
‘?sortorder=group_name’,
‘?sortorder=register_time’,
‘?sortorder=unix_group_name’,
‘?sortorder=status’,
‘?sortorder=is_public’,
‘?sortorder=license_name’,
‘?sortorder=members’
);
echo $HTML->listTableTop($headers, $headerLinks);

Something is wrong since generated links are bad :
http://forge.company.com/?sortorder=group_name
instead of
http://forge.company.com/admin/grouplist.php?sortorder=group_name

Bug dangereux

Summary: Plugin scmcvs : fixes for cronjobs script usergroup.php Written For: None
Category: CVS
Initial Comment:
(working on the trunk)
I noticed that the /etc/*.new (passwd,group,shadow) files where not correctly created (missing all non gforge users in passwd !)In /opt/gforge/plugins/scmcvs/cronjobs/usergroup.php, files are opened
with file() which has the filename as a parameter but in this file,
/etc/passwd & /etc/shadow are opened with a second parameter : “r”.
The “/etc/group” file is correctly opened.Function file() doesn’t handle this parameter (it’s already read-only) so the script doesn’t work correctly.

The patch also adds require_once ‘/opt/gforge/plugins/env.inc.php’; so
that the script knows $gfwww & $gfcommon. (Otherwise it fails
including the other files).

It also initialises the $err variable with $err=”;

Warning php

Summary: Access to an undefined offset in an array
Category: News
Initial Comment:
In the install cd version (4.7b1 according to the wiki http://wiki.planetforge.org/index.php/En:GForge:Debian_Install_CD ) :

file : www/news/news_utils.php
version : news_utils.php 6433 2008-03-11 22:54:02Z cbayle
line : 120if ( (strlen($arr[0]) < 200) && (strlen($arr[1].$arr[2]) < 300) && (strlen($arr[2]) > 5)) {

$arr is the result of an explode of the news with <br /> or \n
as separator depending on whether the news was written in html
(fckeditor) or in text.

If there is only one paragraph in the news, $arr[1] and $arr[2] doesn’t exist and you get :

Notice: Undefined offset: 1 in /usr/share/gforge/www/news/news_utils.php on line 120

Not very important but easy to fix I think :

REPLACE :
if ( (strlen($arr[0]) < 200) && (strlen($arr[1].$arr[2]) < 300) && (strlen($arr[2]) > 5) ) {
BY :
if (isset($arr[1]) && isset($arr[2])
&& (strlen($arr[0]) < 200)
&& (strlen($arr[1].$arr[2]) < 300)
&& (strlen($arr[2]) > 5)) {

This problem repeats on line 240.