Planet Evolix

Déchiffrement LUKS auto avec Clevis et Tang

2026-03-17T23:00:00+00:00

Cet article a pour but de décrire le dispositif de déchiffrement automatique de volumes chiffrés avec LUKS. Il ne décrit pas la manière de créer un volume chiffré, ni le déchiffrement manuel (qui restera possible en plus du déchiffrement automatique).

Contexte

Lorsqu’un serveur démarre, ses volumes chiffrés ne sont pas déchiffrés et pas montés. Par défaut, si les partitions ne sont pas en montage automatique il faut faire les actions à la main après le démarrage, et si les partitions sont configurées pour un montage auto alors il faut saisir la passphrase au démarrage.

Dans notre cas (chez Evolix), ce déchiffrement n’est pas fait automatiquement car nous n’avons pas mis en place de moyen de déchiffrement stocké localement de manière sécurisée.

En revanche, en utilisant le binôme « Clevis + Tang » il est possible de faire ce déchiffrement automatiquement grace à un moyen de déchiffrement distant et sécurisé.

Clevis + Tang

Clevis est un outil qui permet d’automatiser le déchiffrement. Parmi les méthodes possibles il y a l’utilisation d’une ressource réseau pour obtenir des éléments de déchiffrement.

Tang est cette ressource réseau (un très simple serveur HTTP) qui stocke et communique des éléments qui seront utilisés par Clevis pour le déchiffrement.

C’est un peu comme si on stockait la passphrase ailleurs sur le réseau pour éviter de la stocker localement. En réalité ça n’est pas la passphrase elle-même mais une partie d’une information qui va autoriser le déchiffrement. Si le serveur qui a son volume chiffré (et Clevis configuré) est séparé (en termes de réseau) du serveur Tang, alors le déchiffrement automatique ne peut pas avoir lieu.

Il est important de préciser que la partie Tang doit être protégée, car si on arrive à extraire à la fois le volume chiffré et les données de Tang, il devient possible de déchiffrer le volume.

Par exemple, si la partie Clevis et la partie Tang sont physiquement proches (dans la même baie ou salle de datacenter, ou dans 2 serveurs virtuels gérés par le même hyperviseur) il faut que les données de Tang soient stockées de manière chiffrées elles-aussi. On retrouve alors le problème de départ : comment déchiffrer le volume qui contient ces données ?

Jusque-là nous avons accepté les contraintes d’un déchiffrement manuel pour Tang, en estimant que ça sera suffisamment rare pour ne pas être problématique. Mais on peut envisager de déchiffrer automatiquement les données de Tang grâce un autre serveur Tang qui ne souffre pas des limites de proximité. On ne fait que reporter le problème, mais ça reste envisageable si on a plusieurs frontières réseau et physiques disponibles.

Il est aussi conseillé de protéger Tang au niveau réseau ; si possible avec des restrictions d’interfaces d’écoute (uniquement sur un LAN…), et à minima avec des restrictions d’IP source pour ne pas que n’importe qui puisse récupérer en HTTP les informations de Tang.

Scenarios opérationnels

Si le serveur Tang est le seul à redémarrer (pour une maintenance…), alors il faut s’y connecter (en console ou SSH), déverrouiller/monter le volume chiffré pour Tang. Et c’est tout. Tang ne doit être disponible qu’au moment du déchiffrement automatique.

Si un serveur avec Clevis redémarre et le serveur Tang est disponible, alors le déchiffrement du volume et le montage de la partition va se faire automatiquement. Il n’y a aucune action manuelle à faire.

Si un serveur avec Clevis redémarre et le serveur Tang n’est pas disponible, alors on peut faire le déchiffrement manuellement, ou bien rendre le serveur avec Tang disponible et déclencher le déverrouillage par Clevis.

Evolix vu par Madame Pea

2026-02-13T07:46:18+00:00

Depuis quelques années, nous donnons carte blanche à un(e) artiste que l’on apprécie pour réaliser une œuvre en lien avec Evolix pour nos cartes de vœux. Maintenant que tous nos clients, fournisseurs et partenaires ont reçu leur carte de vœux fin janvier, on vous dévoile notre collaboration 2026 avec l’artiste marseillaise Madame Pea : vous reconnaîtrez sûrement nos bureaux à Marseille dans cette création unique réalisée au feutre Rotring ! C’est garanti sans IA et l’œuvre originale est exposée dans nos bureaux :

FoxyProxy : accès facile aux ressources privées

2026-02-05T23:00:00+00:00

Lorsqu’on souhaite utiliser des interfaces web qui ne sont accessibles que depuis un certain réseau (et qu’on ne peut pas être directement dans ce réseau, physiquement ou via un VPN) il y a plusieurs moyens.

Proxy HTTP

Dans certains cas on peut mettre un proxy HTTP en bordure du réseau (par exemple HAProxy), accessible depuis l’extérieur. Celui-ci va exposer le service interne à l’extérieur, tout en appliquant des logiques de filtrage. Mais souvent, on ne souhaite pas du tout exposer de tels services, même avec un filtrage par IP ou authentification.

Redirection de port par SSH

Si on dispose d’un bastion ou d’un serveur de rebond (à la fois dans le réseau publique et dans le réseau interne), on peut aussi utiliser le principe du tunnel SSH. On démarre une connexion SSH vers le serveur intermédiaire. Cette connexion SSH ouvre un port local pour lequel il va transmettre le trafic avec un certain port distant :

$ ssh -L <LOCAL_PORT>:<REMOTE_HOST>:<REMOTE_PORT> <FORWARD_HOST>`

Par exemple, ssh -L 8443:192.168.2.1:443 203.0.113.1 permettra se se connecter sur https://127.0.0.1:8443 pour en réalité contacter https://192.168.2.1:443 en passant par 203.0.113.1.

C’est bien mais limité ; on n’a qu’un seul port (à moins de faire plusieurs -L XXX), l’hôte de connexion est 127.0.0.1 au lieu de l’hôte réel et ça peut causer des soucis de certificats…

Redirection dynamique par SSH

Il est aussi possible d’utiliser le « dynamic forwarding » de SSH. On ouvre aussi une connexion vers son hôte intermédiaire, mais cette connexion servira de proxy SOCKS5.

En configurant son navigateur pour utiliser ce proxy, on y fera passer tout le trafic voulu comme pour une connexion directe. : ssh -D LOCAL_PORT FORWARD_HOST.

C’est très bien mais fastidieux car les navigateurs courants présentent des interfaces très limitées pour la configuration. Et si on ne veut pas que tout le trafic du navigateur passe par ce proxy on se retrouve à activer/désactiver ça en permanence.

Heureusement, il existe l’extension FoxyProxy qui permet de le faire de manière conditionnelle et plus ergonomique (Merci à Laurent Guerby de m’avoir fait découvrir ça pendant le FOSDEM 2026).

Il y a plusieurs mode pour l’utilisation de FoxyProxy : global, par onglet ou par motif d’URL. Si les interfaces utilisées sont sur des domaines ou IP fixes et peu nombreuses, le mieux est d’utiliser des motifs d’URL.

Une fois FoxyProxy installé dans votre navigateur, il est conseillé de l’épingler dans la barre d’outils du navigateur. On accède alors facilement à ses fonctionnalités et sa configuration.

La configuration est accessible par l’icone de l’extension, puis le bouton « Options ». On crée alors un ou plusieurs proxys. Voici un exemple de configuration :

Nom : localhost:9090
Type : SOCKS5
Hostname : 127.0.0.1

Dans la section « Proxy by Patterns » on ajoute autant de lignes que souhaité, par exemple :

Proxy By Patterns : Include / RegExp
Nom : 10.42.*.*
Modèles : ^(http|ws)s?://10\.42(\.\d+)(\.\d+)/

On active ensuite le mode Proxy by Patterns dans le menu déroulant de l’extension.

Si vous activez la fonctionnalité Proxy DNS vous utiliserez alors la résolution DNS du serveur de rebond (y compris les entrées de /etc/hosts).

Mise en pratique

Pour l’ouverture de la connexion SSH, vous pouvez le faire avec la ligne de commande complète : ssh -D 9090 203.0.113.1. On peut aussi ajouter une entrée dans la config SSH locale (à laquelle vous pouvez évidemment ajouter toutes les options utiles ; User, Port, clés SSH…) :

# vim ~/.ssh/config
[…]
Host bastion-forward
    Hostname 203.0.113.1
    DynamicForward 9090
[…]

On peut alors simplifier la connexion :

$ ssh bastion-forward

En se rendant sur une URL qui correspond aux motifs configurés, ou si vous êtes sur un onglet concerné, ou si vous avez activé le mode global, votre trafic sera dirigé sur le proxy SOCKS5 local et passera par votre connexion SSH.

DebConf 2025

2025-10-25T23:00:00+00:00

Ces 2 dernières semaines (c’était du 7 au 19 juillet), la communauté Debian avait posé ses valises (et toute sa geekerie) à Brest pour le DebCamp et la DebConf 2025. Et grâce à un déplacement organisé par Evolix (mon employeur) j’ai pu y participer pleinement.

Une DebConf est une conférence dédiée à la distribution Debian, organisée par la communauté. Elle a lieu tous les ans dans une ville différente du monde. C’est l’occasion pour quelques centaines de personnes de se rencontrer physiquement pour des discussions, travaux, présentations, et moments sociaux. Elle est reconnue comme étant un élément clé dans la cohésion de cette communauté globale. Généralement la DebConf se déroule du lundi au samedi avec un planning dense de présentations et quelques moments plus détendus pour favoriser la socialisation. Elle est souvent précédée par une semaine de DebCamp, beaucoup plus informel qui permet à des équipes spécialisées de se retrouver pour des sessions de travail en face-à-face, organisées ou impromptues

Ma première participation à une DebConf était en 2017 à Montréal. Depuis j’ai participé à l’organisation de plusieurs Mini DebConf (Toulouse 2017, Marseille 2019, Toulouse 2024). Ce sont des versions plus modestes et plus courtes, mais l’esprit reste identique.

Sans grande poésie je vais passer en revue les différents aspects qui m’ont marqué pendant ces 12 jours.

Travaux internes

Les quelques personnes d’Evolix qui étaient là ont pu se réserver quelques heures de travail, plus ou moins focalisées sur Debian et des projets internes en cours. On n’a rien révolutionné, mais on a pu faire avancer les choses sur plusieurs points. C’était cool d’avoir une occasion supplémentaire de le faire car dans le feu du quotidien, ça n’arrive pas si souvent que ça. Personnellement j’ai très peu gardé le contact avec le reste de l’activité de la boîte. J’avoue avoir beaucoup de mal à être dans deux dynamiques à la fois.

Video-team

J’avais très envie de mettre un peu les pieds dans l’équipe vidéo de Debian. C’est un pilier des événements car c’est ça qui fait que les présentations sont filmées pour être diffusées en direct puis disponibles au visionnage. Ils ont mis sur pieds il y a bien longtemps et raffinent année après année un dispositif professionnel de captation, de mixage, de diffusion… Ça résonne particulièrement avec mes hobbies donc je voulais m’impliquer plus. J’ai suivi leur formation pour la manipulation en direct : technicien son, opérateur caméra et réalisateur. J’ai pu assurer un de ces rôles pendant une quinzaine de sessions. Au delà de l’utilité pour la conférence, j’ai appris plein de choses en posant mille questions aux vétérans. La prochaine étape pourrait être de rentrer plus dans les coulisses. Ça sera peut-être pour une prochaine fois.

Contenu

Les contenus et les sujets présentés pendant une DebConf sont très variés mais tournent exclusivement autour de la distribution. Certaines pésentations sont très techniques et pointues, d’autres sont orientées sur la communication, la gouvernance, la diversité, la communication… Il y a en pour tous les goûts. Il arrive que je sois dans une salle et qu’une présentation me parle plus que la moyenne, mais généralement je me sens moyennement connecté car je n’ai pas un rôle central dans cette communauté. Je ne suis pas mainteneur de paquets, ni aucune autre équipe. Voici quelques présentations qui m’ont intéressé ou marqué :

DayTrip

Généralement en milieu de conférence, une journée spéciale — le Day Trip — permet à tout le monde de s’écarter des salles de travail et de présentation, pour aller passer une journée plus touristique. Il y a souvent plusieurs choix possibles. J’ai choisi l’option de la journée de balade à vélo sur l’Île d’Ouessant. Après 1h30 d’une traversée en bateau qui a tracassé l’estomac de quelques personnes, on a été accueilli par un grand soleil et des vélos rouges. Une belle crêperie a pris soin de nos papilles et nous a donné des forces pour arpenter l’île. On y a rencontré quelques chèvres, moutons et vaches, une végétation visiblement influencée par un climat marin rigoureux et plusieurs phares ou vigies. Les coups de soleil ont surpris les maladroits qui n’avaient pas anticipé.

Soirée « Cheese & Wine »

Autre tradition depuis 2004, une soirée est dédiée au partage de denrées alimentaires variées, par toutes les personnes intéressées. Ça va bien-sûr au-delà du vin et du fromage, même s’ils restent les composants phares de la soirée. Au total ce sont des dizaines de kilos de fromages et de litres de vin (ou autres alcools plus ou moins forts) qui ont été engloutis en 3 heures, après un après-midi entier nécessaire à la découpe, étiquetage, présentation… Anecdote marseillaise ; à Montréal nous avions apporté du pastis et des non connaisseurs s’étaient lancés dans une dégustation sans eau ajoutée. Ça nous avait fait bien rire à l’époque (plus qu’eux), donc cette année j’avais mis une étiquette explicite sur la bouteille : « add water : 5×1 ». Il faut croire que les gens ne lisent pas, car très peu d’eau a été ajoutée au super « Pastis de la Plaine » apporté par Grégory. Pour ma part, j’ai abusé d’un Parmesan de 150 mois, de la caïpirinha préparée par les brésiliens, de Gins de Martinique et de Suisse (et oui !). Je suis rentré repu et saoul, mais dignement !

Les langues

Il y avait des personnes de plus de 50 pays différents. Évidemment l’anglais est la langue de référence dans ces cas-là, mais occasionnellement des groupes se replient temporairement sur leur langue commune. On a beaucoup entendu d’allemand, de français, de portuguais/brésilien… On peut noter l’effort important que cela demande aux personnes dont l’anglais n’est pas la langue maternelle ou une langue massivement enseignée.

Notre présentation

Grégory et moi travaillons depuis plusieurs mois à une présentation de la manière dont nous maintenons à jour nos serveurs sous Debian. Après plusieurs itérations, nous avons préparé une version en anglais qui couvrait en 40 minutes les mises à jour mineures (de sécurité) et les majeures (changement de version). Un mauvais virus a malheureusement empêché Grégory de faire la présentation avec moi. J’ai l’impression que ça s’est bien déroulé. Il y a eu plusieurs questions pertinentes sur place et plus tard. La captation vidéo est de mauvaise qualité. Les diapos ont été coupées et le cadrage n’est pas super. Et comme pour quelques autres présentations, le son a été dégradé par l’enregistrement. Nous présenterons d’ailleurs (en français) ce même sujet au Capitole du Libre à Toulouse le samedi 14 novembre 2015.

Rencontres

La DebConf est surtout un événement social. C’est l’occasion de rencontrer ou retrouver des gens qui sont directement responsables de parties de la distribution ou de la communauté. Nous avons notamment pu discuter avec Lee Garrett qui maintient Ansible dans Debian. Nous avons mis en évidence que la version de Debian 13 est incompatible avec des serveurs en Debian 10 ou inférieur. Ça permis de discuter de solutions ou contournements possibles. J’ai aussi longuement discuté avec des personnes qui font un métier d’hébergeur/infogérant comme Evolix. Nous avons partagé des approches, techniques, difficultés… En dehors des paquets et du code on retrouve la très grande diversité de Debian au travers des humains qui la font vivre ; religions, langues, cultures, identités de genre… Dans un monde polarisé, chargé d’antagonismes, ça fait du bien de trouver de l’ouverture (d’esprit, de bras, de code).

« Restriction » entre VirtualHosts Apache

2025-08-29T12:17:48+00:00

L’utilisation de VirtualHosts séparés en fonction des noms de domaine est très répandue sur les serveurs Apache multi-sites. Il est intéressant de se pencher sur les mécanismes de restriction entre VirtualHosts, notamment dans le cas d’une connexion HTTPS où il y a eu récemment un renforcement de ce mécanisme (à partir de la version 2.4.64 sortie en juillet 2025) qui peut causer des changements de comportement.

Cas d’une connexion HTTP non chiffrée

Même si ce cas est de moins en moins courant, il est intéressant de rappeler le mécanisme de base pour une connexion HTTP non chiffrée : le seul moyen pour Apache de sélectionner le bon VirtualHost lors d’une requête client est de se baser sur l’entête HTTP Host (obligatoire à partir de HTTP/1.1). Voici un exemple avec netcat :

$ echo -e "GET / HTTP/1.1\r\nHost: www.debian.org\r\n\r\n" | nc www.debian.org 80
HTTP/1.1 302 Found
…

En conséquence, dans le cas d’une connexion HTTP, on peut accéder à n’importe quel VirtualHost si l’on connaît les options ServerName et ServerAlias, il n’y a pas spécialement de « restriction ». Évidemment on peut préciser des options dans le VirtualHost comme Require all denied mais c’est un autre sujet.

Rappel du fonctionnement de SNI

Avec HTTPS, il existe l’extension SNI qui consiste à ce qu’une requête client indique un nom de domaine AVANT la partie chiffrement. Cela permet notamment à Apache de sélectionner le bon certificat SSL avant de passer à la phase de chiffrement.

Pour faire une requête avec SNI, on peut utiliser l’option -servername de la commande openssl s_client :

$ openssl s_client -connect 130.89.148.77:443 -servername www.debian.org

Ainsi si l’on fait un tcpdump, on verra passer en clair « www.debian.org » au début de l’échange :

# tcpdump -s0 -XX -ni any port 443
…
    0x00c0:  002f 00ff 0100 00b0 0000 0013 0011 0000  ./..............
    0x00d0:  0e77 7777 2e64 6562 6961 6e2e 6f72 6700  .www.debian.org.
    0x00e0:  0b00 0403 0001 0200 0a00 1600 1400 1d00  ................
…

Évidemment les navigateurs web modernes utilisent SNI depuis des années, sinon une bonne partie des sites Internet souvent hébergés derrière une même adresse IP ne fonctionnerait pas.

Cas d’une connexion HTTPS

Apache a un mécanisme de restriction pour empêcher d’accéder à un VirtuaHost qui ne correspond pas au SNI présenté. Cela va renvoyer une erreur 421 Misdirected Request :

$ echo -e "GET / HTTP/1.1\r\nHost: www.example.com\r\n\r\n" | openssl s_client -connect 130.89.148.77:443 -quiet -servername www.debian.org

HTTP/1.1 421 Misdirected Request
<title>421 Misdirected Request</title>
<h1>Misdirected Request</h1>
<p>The client needs a new connection for this
request as the requested host name does not match
the Server Name Indication (SNI) in use for this
connection.</p>

Pour être précis, cela n’impose pas forcément une correspondance avec le certificat SSL, mais si l’on envoie un entête HTTP Host correspondant à un autre VirtualHost, on sera bloqué.

On peut donc distinguer deux mécanismes distincts :

Apache va sélectionner le « meilleur » VirtualHost qui correspond au SNI présenté (et lui envoyer le certificat SSL correspondant à l’option SSLCertificateKeyFile du VirtualHost)
Une fois qu’Apache a sélectionné le VirtualHost, il n’autorise d’utiliser l’entête HTTP Host que pour un nom de domaine valide pour ce VirtualHost (donc dans ServerName ou ServerAlias)

Une particularité c’est le « VirtualHost par défaut » : si l’on indique un SNI qui ne correspond à rien, on va être renvoyé vers le VirtualHost par défaut, que l’on pourra solliciter avec n’importe quel nom de domaine… sauf ceux présents dans les autres VirtualHosts !

Restriction renforcée à partir d’Apache 2.4.64

Si l’on n’utilise pas SNI, jusqu’ici Apache ne faisait pas de restriction particulière : on est renvoyé vers le « VirtualHost par défaut », et l’on peut solliciter n’importe quel nom de domaine et accéder à n’importe quel VirtualHost.

$ echo -e "GET / HTTP/1.1\r\nHost: www.debian.org.fr\r\n\r\n" | openssl s_client -connect 130.89.148.77:443 -quiet
HTTP/1.1 200 OK

Mais dans le cadre de la correction de la faille CVE-2025-23048, Apache 2.4.64 a patché (ahah) son code pour étendre la restriction exposée un peu plus haut, voici le patch : https://github.com/apache/httpd/commit/c4cfa50c9068e8b8134c530ab21674e77d1278a2

Le patch est assez simple : le code qui renvoie le 421 Misdirected Request a simplement été déplacé pour s’appliquer aussi au cas sans SNI.

Ainsi, à partir d’Apache 2.4.64, la requête précédente devrait donner :

$ echo -e "GET / HTTP/1.1\r\nHost: www.debian.org.fr\r\n\r\n" | openssl s_client -connect 130.89.148.77:443 -quiet
HTTP/1.1 421 Misdirected Request

Cela n’est pas encore le cas car a priori le serveur hébergeant « www.debian.org » tourne sous Debian 12 (bookworm) avec Apache 2.4.62.

Apache 2.4.65 est la version actuellement présente en Debian 13 (trixie) et dans Debian 11 (bullseye) depuis mi-août (via une mise à jour de sécurité LTS). Apache 2.4.65 devrait arriver dans Debian 12 (bookworm) le 6 septembre 2025 (sortie de Debian 12.12). On peut voir cela sur https://packages.debian.org/apache2

En pratique, chez nous ce changement a nécessité quelques adaptations de configuration :

Sur certains serveurs HAProxy où l’on se connecte en HTTPS à backend sous Apache, il faut bien activer explicitement le SNI (ce qu’étonnament HAProxy ne fait jamais)
Sur nos check_http de monitoring où l’on doit parfois ajouter l’option SNI

Certificats racine Sectigo E46/R46

2025-06-19T15:09:40+00:00

L’autorité de certification Sectigo a commencé à vendre depuis quelques semaines des certificats SSL/TLS signés par un certificat racine non reconnus sur certains systèmes. On vous explique pourquoi et comment résoudre ce problème.

Lorsqu’un logiciel tente d’établir une connexion SSL/TLS avec un tiers (souvent un serveur distant) il reçoit un certificat de ce serveur et vérifie s’il a été signé par un certificat racine de confiance.
La liste des certificats racine de confiance peut être gérée de plusieurs manières. En général, les navigateurs embarquent leur propre liste qui est mise à jour en même temps que le navigateur. Mais la plupart des logiciels ou bibliothèques utilisent le dépôt de confiance de leur système d’exploitation.
Il est assez rare que des nouveaux certificats racine soient ajoutés (ou retirés) et les mises à jour sont peu fréquentes et habituellement anticipables. De plus, les nouveaux certificats racine sont généralement signés de manière croisée par des certificats existants et déjà reconnus, pour faciliter leur mise en œuvre. À titre d’exemple, Let’s Encrypt a mis plusieurs années pour enfin pouvoir utiliser son propre certificat racine et se passer des signatures croisées d’autres autorités de certification.

Dans le cas présent, Sectigo (une autorité de certification majeure) a commencé il y a quelques semaines à signer des certificats avec 2 nouveaux certificats racine (appelés « E46 » et « R46 »).
Ces certificats racine ont été créés en 2021. Ils ont été diffusés en 2023 et par exemple Mozilla a commencé à les incorporer dans son dépôt de confiance en 2023.

Lors de connexions SSL/TLS à des services utilisant des certificats signés par E46 ou R46, les logiciels qui utilisent un dépôt de confiance contenant les certificats racine E46 et R46 peuvent valider la chaîne de confiance sans problème. Mais si les logiciels ne peuvent pas valider la chaîne de confiance, la connexion échoue. En cas d’erreur SSL/TLS on incrimine prioritairement (souvent à raison) une erreur de configuration du serveur qui présente le certificat, mais ici c’est plutôt le dépôt de confiance qui doit être mis à jour.

Debian – que nous utilisons sur nos serveurs – gère sa liste de certificats racine via le paquet ca-certificates. La première mention concrète de cette question remonte à février 2025 (l’intégration des certificats a été ralentie par des questions à propos de signatures croisées et de clarté sur l’utilisation effective de ces certificats). Depuis vendredi 13 juin 2025, un nouveau paquet ca-certificates contenant les certificats racine de Sectigo est disponible pour Debian 12 (la version stable actuelle).
Depuis jeudi 19 juin 2025, des paquets faits par Evolix sont disponibles pour Debian 9, 10 et 11 et ont été déployés sur nos serveurs (et conteneurs) infogérés. Et en parallèle les équipes Debian LTS et eLTS préparent des paquets plus officiels pour Debian 8/9/10/11. Les Debian en versions inférieures à 8 ne receveront pas de mise à jour par paquet. Pour rappel, Evolix supporte uniquement Debian 10, 11 et 12.

À noter qu’il est également possible d’intégrer des certificats racine manuellement si besoin.

Tout cela montre d’une part à quel point la notion de « chaîne de confiance » sur laquelle repose SSL/TLS est à la fois critique et fragile, et qu’une bonne communication entre les parties prenantes est nécessaire.

J’ai un serveur dédié infogéré par Evolix, suis-je concerné ?

Vous pouvez être concerné uniquement si vous faites des connexions SSL/TLS vers un service réseau externe qui a changé récemment son certificat. Depuis vendredi 20 juin 2025, si votre serveur (ou conteneur) est en Debian 9, 10, 11 et 12 vous ne devriez plus avoir de problème avec le dépôt de confiance du système. Si vous constatez un souci, ouvrez nous un ticket.

J’ai un serveur avec un Apache/Nginx en HTTPS, suis-je concerné ?

Vous êtes potentiellement concerné si vous avez mis en place un nouveau certificat Sectigo depuis environ 3 semaines. Dans ce cas, l’impact est que certains de vos utilisateurs ou clients risquent d’avoir des problèmes pour vous joindre tant qu’ils n’ont pas mis à jour le dépôt de confiance du système.

J’utilise Java sur mon serveur infogéré par Evolix, suis-je concerné ?

Java utilise sa propre liste de certificats racine, mais si vous utilisez Java installé par défaut sur le système, la liste devrait être identique et tout devrait être résolu à partir du vendredi 20 juin 2025 en Debian 9, 10, 11 et 12. Par contre, si vous utilisez une version spécifique de Java, vous devez gérer vous-même la liste des certificats avec la commande keytool.

J’utilise Docker sur mon serveur infogéré par Evolix, suis-je concerné ?

Pour rappel, Docker est un « mini-système indépendant », donc chaque conteneur intègre sa propre liste de certificats racine. Si vous avez besoin de mettre à jour cette liste, vous devrez reconstruire vos images.

Le mix audio des 20 ans d’Evolix

2025-01-30T09:41:16+00:00

En 2024, Evolix a soufflé ses 20 bougies lors d’une soirée mémorable, entourée de nos clients, partenaires et amis. Pour prolonger cette énergie, on vous fait revivre ce moment avec mix préparé spécialement pour l’occasion ! Bonne écoute

Retour sur le Chaos Communication Congress (38C3)

2025-01-03T11:40:34+00:00

Le Chaos Communication Congress (CCC) est un rendez-vous incontournable pour les passionnés de technologies, de cybersécurité, de sciences, et de culture hacktiviste. Nous nous sommes rendus à Hambourg pour la 38ᵉ édition du CCC, qui avait pour thème « Illegal Instructions ».

Avec 15 000 participants rassemblés au Centre des Congrès de Hambourg, le 38C3 a proposé un programme foisonnant, couvrant un large spectre de sujets :

Des présentations techniques approfondies,
Des conférences axées sur des enjeux politiques ou sociétaux,
Des explorations artistiques et culturelles,
Et des interventions scientifiques pointues.

L’événement s’est organisé autour de cinq salles principales : trois gérées directement par l’organisation du CCC (« Saal 1 », « Saal Glitch » et « Saal Zigzag ») et deux nouvelles (« Saal Huff » et « Saal Yell »), dont le contenu a été sélectionné par la communauté. Ces deux dernières salles, plus petites, ont permis d’enrichir encore le programme tout en étant retransmises et enregistrées, avec des traductions simultanées en anglais et en allemand.

Parmi les présentations marquantes, voici notre sélection de temps forts :

La cérémonie d’ouverture
Le retour des hackers polonais ayant manipulé des systèmes ferroviaires
La révélation d’une fuite massive de données chez Volkswagen impliquant 800 000 véhicules électriques et leurs propriétaires (publiée aussi sur bleepingcomputer)
OMG WTF SSO – A beginner’s guide to SSO (mis)configuration : une exploration des erreurs fréquentes dans la mise en place des solutions d’authentification unique
io_uring, eBPF, XDP et AF_XDP : une plongée dans les technologies permettant d’optimiser les entrées/sorties
Le protocole WHOIS : explications sur ce protocole historique et ses évolutions
we made a globally distributed DNS network for shits and giggles
38C3: Infrastructure Review : une vue d’ensemble des chiffres et des coulisses techniques de l’événement.

Au total, c’est plus de 270 conférences à retrouver en vidéo sur media.ccc.de.

Le CCC est aussi un événement social : il offre une occasion unique de rencontrer des personnes d’horizons variés et de s’immerger dans une culture collaborative et bienveillante. Par exemple nous avons eu la chance de participer au sein de https://c3lingo.org/. Nous avons pu interpréter en direct plusieurs présentations en français, renforçant ainsi l’accessibilité du contenu pour les participants non anglophones.

Pour conclure, participer au Chaos Communication Congress c’est assister à des conférences qui diffusent de l’expérience et de nouvelles idées, et c’est s’immerger dans une communauté mondiale de passionnés partageant des connaissances et des valeurs d’inclusion et d’innovation. Une expérience que nous recommandons !

mysqldump génère des dumps non rétro-compatibles

2024-12-24T00:32:10+00:00

En raison d’une importante faille de sécurité de type « Remote Code Execution », les dumps générés avec mysqldump sous Debian 9/10/11 ne sont plus compatibles avec des mysql non corrigés. En effet, mysqldump ajoute une ligne pour forcer les clients MySQL non corrigés à se stopper :

/*!999999- enable the sandbox mode */

Si vous exportez vos dumps vers des serveurs MySQL non corrigés, vous devrez donc retirer cette ligne (par exemple avec la commande tail +2) pour permettre de restaurer le dump.

Comment savoir si mon mysqldump est concerné ?

Il vous suffit de jouer la commande mysqldump foobarbaz et vous devriez obtenir la ligne /*!999999- enable the sandbox mode */ si votre mysqldump intègre cette « correction ».

Sous Debian 9, 10 et 11, vous devriez être concernés.

Comment savoir si mon client MySQL est corrigé ou non ?

Si vous jouez la commande mysql –sandbox vous ne devriez pas avoir le message mysql: unknown option '--sandbox' sinon c’est que votre client MySQL n’est pas corrigé !

Je suis sous Debian 12, suis-je concerné ?

Pour l’instant (décembre 2024), MySQL n’est pas encore corrigé sous Debian 12 ! L’une des conséquences c’est qu’un dump généré sous Debian 9/10/11 n’est donc pas compatible pour Debian 12 ! Il faut donc retirer la 1ère ligne pour l’instant.

Une version corrigée pour Debian 12 est disponible dans stable-proposed-updates, mais elle est pour l’instant bloquée. Nous espérons qu’elle se débloque bientôt ou alors nous forcerons son utilisation sur nos serveurs infogérés.

EDIT 15 mars 2025 : une version corrigée est désormais dans Debian 12 depuis la sortie de la release mineure Debian 12.10, si vos systèmes sont bien à jour les dumps sous Debian 9/10/11/12 sont donc désormais compatibles entre les différentes versions !

mysql –sandbox

Nous vous conseillons d’utiliser l’option –sandbox le plus souvent possible, cela permet de s’assurer qu’aucune commande shell ne peut être injectée par le serveur MySQL.

Plus d’informations sur :

Je quitte Twitter

2024-12-08T23:00:00+00:00

Après Facebook en 2019 et Dropbox en 2020, j’ai fermé mon compte Twitter.

C’est drôle qu’à la fin de mon post sur la fin de mon compte Dropbox je disais « il me reste principalement Instagram et Gmail » en oubliant complètement Twitter.
Je pense qu’à l’époque je considérais Twitter comme acquis et pas du tout problématique. Et depuis l’ouverture de mon compte en 2009 j’avais toujours eu beaucoup de chance (ou une bonne curation) et jamais ressenti de toxicité dans mon fil. Je ne suivais pas de comptes trop populaires, pas de médias mainstream. Tant que j’ai pu, j’ai utilisé un client sans pub ni bullshit d’algorithmes. Twitter a participé activement à mon instruction, à l’élargissement de mes connaissances sociales et techniques, à l’ouverture de mon esprit à des idées nouvelles et progressistes… Il a tenu une des promesses d’Internet.

Depuis le rachat de Twitter par Elon Musk, ses décisions éthiques et techniques désastreuses et enfin le naufrage d’extrême droite qu’il incarne, je ne pouvais plus supporter ça.

En janvier 2024, j’avais décidé de ne plus utiliser Twitter, pour 1 mois (comme un « dry january »), pour voir si j’arrivais à m’en détacher. Le mois s’est transformé en une année pendant laquelle je ne me suis connecté que 2 ou 3 fois. Ça a été un sevrage sans effort ni frustration. Pas de ressenti à la Trainspotting ou d’Arizona Dream pour moi.

Depuis 2019 j’utilise Mastodon sur l’instance interne d’Evolix (on en a aussi une ouverte à tou⋅tes). J’utilise aussi un client sans pub ni bullshit.
Je n’ai pas retrouvé toutes les mêmes personnes, mais j’en ai rencontré d’autres. et pour les grandes lignes je n’ai rien perdu.

J’ai aussi repris l’habitude de consulter des flux RSS de sites, blogs, médias… C’est tellement simple et propre. Ça aussi c’est une des promesses d’Internet qui est tenue.

Il y a quelques jours/semaines, j’ai téléchargé une dernière archive de mes données Twitter/X, et j’ai demandé à fermer mon compte. Je ne me fais pas d’idée, je ne pense pas qu’ils suppriment les données, mais je n’y suis plus.

Il paraît qu’il y a un risque de squatting sur les comptes fermés. Je n’ai pas trop pensé à ça (alors que j’y avais pensé en quittant Wordpress). On verra bien.

Freebox en bridge, edgerouter et IPv6

2024-12-07T23:00:00+00:00

Il existe plusieurs guides en lignes pour arriver à un résultat similaire (voir en bas d’article), mais chaque cas étant un peu particulier j’ai choisi de faire un retour sur le mien.

Je vais probablement écrire des bêtises ou montrer que j’ai fait des choses un peu débiles, mais je suis sûr que vous me les pointerez avec bienveillance.

Depuis les débuts de l’ADSL en France, je suis chez Free. Tout n’est pas parfait, mais j’ai toujours eu plus de raisons de rester que de partir.

J’ai la Freebox v6 « Revolution » depuis sa sortie en 2010/2011. Pendant longtemps j’ai utilisé la multitude de services : Wifi, UPnP/DLNA, passerelle DECT, stockage/seedbox, player TV/DVD/…
À une certaine période, à chaque orage je perdais ma Freebox (probablement à cause d’installations communes mal isolées) et j’ai sérieusement songé à quitter Free. Ils ne sont pas responsables des orages ni des défauts d’isolation de l’ADSL, mais l’électronique de la Freebox est notoirement peu résistante aux surtensions venant du réseau téléphonique.
J’ai donc petit-à-petit réduit ma dépendance aux services proposés, jusqu’à avoir un “vrai” routeur ainsi qu’un réseau Wifi et un système multimédia indépendants. Je n’utilise plus le DECT (plus de fixe à la maison). Par contre j’utilise encore la passerelle VoIP interne avec mon alarme qui est branchée en RJ11 sur la Freebox Server.

Je ne sais pas pourquoi mais j’ai toujours cru que passer ma Freebox Server en mode “bridge” (au lieu de “routeur”) allait me désactiver Freebox Player et la passerelle VoIP. C’est pourquoi je restais en mode “routeur” avec un double-NAT.

Aussi, mon ADSL s’est fortement dégradé dans le temps. Alors que je suis à 500m du DSLAM, mon débit max en upload s’était réduit d’environ 1 Mo/s à 450 ko/s ces derniers mois.
Très récemment (en septembre), j’ai découvert par hasard que j’étais éligible à un raccordement à la fibre optique depuis un certain temps, mais Orange qui a posé les fibres avait référencé des adresses qui n’existent pas sur le cadastre, donc les outils de tests d’éligibilité me disaient toujours d’arrêter de rêver. Il a fallu que je fouille sur les outils de l’ARCEP pour voir que j’étais éligible.
Ça a été tout un périple – je le raconterai peut-être plus tard – mais je suis raccordé à la fibre depuis début décembre.

Je dois dire d’ailleurs que le service client de Free (et la procédure de transition ADSL/Fibre) a été incroyable. J’étais resté sur des équipes sous-dimensionnées, délocalisées, limites incompétentes… Mais je constate que ça s’est énormément amélioré.

Et qu’est-ce qu’on fait quand on passe à la fibre ? On court tester à quel point ça va vite. Un copain qui héberge un “speedtest” chez lui (chez Free aussi) m’a demandé de tester la liaison entre nos deux connexions. Sauf que les services qu’il héberge ne sont accessibles qu’en IPv6 et par flemme (notamment à cause de l’empilement de routeurs chez moi) je n’avais pas fait en sorte de pouvoir faire de l’IPv6.

Après tant d’années à procrastiner, j’ai voulu faire l’effort et activer l’IPv6. Et une des approches les plus simples était de passer le Freebox Server en mode bridge. J’étais prêt à renoncer complètement au Freebox Player, mais des pages mentionnaient qu’en bidouillant un truc avec un VLAN 100… on pouvait le faire remarcher. Idem pour la passerelle VoIP qui n’était pas listée dans les services désactivés en passant en mode bridge.

Fin du contexte, début de la technique.

Lorsque la Freebox Server passe en mode bridge, elle attribue l’IP publique (probablement par DHCP) à la première machine qui la demande sur son switch ethernet.

En passant dans ce mode, j’ai perdu accès à Internet et au FreeboxOS.

Sur le switch intégré du Freebox Server j’avais aussi une sonde Atlas (86.83% d’uptime depuis avril 2012) en plus du FreePlug et de mon routeur.
Donc soit l’adresse publique a été donnée d’abord à la sonde Atlas au lieu de mon routeur, soit mon routeur n’avait pas encore refait de requête DHCP et il était resté sur son adresse locale.
J’ai eu peur d’avoir fait une belle connerie ; j’ai tout débranché du Freebox Server et rebooté mon routeur. Ça l’a forcé à refaire une requête DHCP et il a donc pris l’adresse publique. Et comme il n’avait rien changé à sa configuration de serveur DHCP, NAT… j’ai retrouvé accès à Internet et au FreeboxOS.

Pour l’accès au FreeboxOS par https://mafreebox.freebox.fr, je n’ai pas en tête le détail exact, mais je suppose que le Freebox Server intercepte les requêtes à 212.27.38.253. En tous cas on ne perd pas l’accès quand on est mode bridge. On peut toujours revenir en arrière… C’est aussi utile pour retrouver l’adresse IPv6 du lien local (pour plus tard).

Au final, j’ai rebranché ma sonde Atlas en aval du routeur et elle remarché directement. Pour le FreePlug, j’y reviens plus tard, mais y’a pas de souci.

Pour la partie IPv6, j’ai suivi des articles à droite et à gauche mais voici en gros ma configuration (valide pour EdgeOS v2.0.9-hotfix.7).

NB : J’ai mis des ****** à la place d’informations spécifiques et sans intérêt.
J’ai mis <IPV6-PREFIX> qui correspond aux 4 premiers “champs” de votre bloc d’IPv6 donné par Free.
Enfin, j’ai mis <FREEBOX-IPV6-LINK-LOCAL> pour la route statique, qui correspond à l’adresse IPv6 locale de votre Freebox Server. On récupère cette information dans FreeboxOS > Paramètres de la Freebox > Mode Avancé > Configuration IPv6 > Général.

firewall {
    all-ping enable
    broadcast-ping disable
    group {
        network-group RFC1918 {
            description "RFC1918 ranges"
            network 10.0.0.0/8
            network 172.16.0.0/12
            network 192.168.0.0/16
        }
    }
    ipv6-name WANv6_IN {
        default-action drop
        description "WAN inbound traffic forwarded to LAN"
        enable-default-log
        rule 10 {
            action accept
            description "Allow established/related sessions"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
        rule 30 {
            action accept
            description "Allow ICMPv6"
            protocol icmpv6
        }
    }
    ipv6-name WANv6_LOCAL {
        default-action drop
        description "WAN inbound traffic to the router"
        enable-default-log
        rule 10 {
            action accept
            description "Allow established/related sessions"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
        rule 30 {
            action accept
            description "Allow ICMPv6"
            protocol ipv6-icmp
        }
        rule 40 {
            action accept
            description "Allow DHCPv6"
            destination {
                port 546
            }
            protocol udp
            source {
                port 547
            }
        }
    }
    ipv6-receive-redirects disable
    ipv6-src-route disable
    ip-src-route disable
    log-martians enable
    name IOT_IN {
        default-action accept
        description ""
        rule 1 {
            action accept
            description "Allow established/related"
            log disable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 2 {
            action drop
            description "Drop invalid state"
            log disable
            protocol all
            state {
                established disable
                invalid enable
                new disable
                related disable
            }
        }
        rule 3 {
            action drop
            description "Block local access"
            destination {
                group {
                    network-group RFC1918
                }
            }
            log disable
            protocol all
            source {
                group {
                }
            }
        }
    }
    name IOT_LOCAL {
        default-action drop
        description ""
        rule 1 {
            action accept
            description "Allow established/related"
            log disable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 2 {
            action drop
            description "Drop invalid state"
            log disable
            protocol all
            state {
                established disable
                invalid enable
                new disable
                related disable
            }
        }
        rule 3 {
            action accept
            description "Allow DNS"
            destination {
                port 53
            }
            log disable
            protocol tcp_udp
        }
        rule 4 {
            action accept
            description "Allow DHCP"
            destination {
                port 67
            }
            log disable
            protocol udp
        }
    }
    name WAN_IN {
        default-action drop
        description "WAN to internal"
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
    }
    name WAN_LOCAL {
        default-action drop
        description "WAN to router"
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
    }
    name WAN_OUT {
        default-action accept
        description "router to WAN"
        rule 1 {
            action drop
            description "TV out (ethernet)"
            log enable
            protocol all
            source {
                mac-address ******
            }
        }
        rule 2 {
            action drop
            description "TV out (wifi)"
            log enable
            protocol all
            source {
                mac-address ******
            }
        }
        rule 3 {
            action accept
            description NTP
            destination {
                port 123
            }
            log enable
            protocol udp
        }
    }
    receive-redirects disable
    send-redirects enable
    source-validation disable
    syn-cookies enable
}
interfaces {
    ethernet eth0 {
        address dhcp
        address fe80::1/64
        description Internet
        duplex auto
        firewall {
            in {
                ipv6-name WANv6_IN
                name WAN_IN
            }
            local {
                ipv6-name WANv6_LOCAL
                name WAN_LOCAL
            }
            out {
                name WAN_OUT
            }
        }
        speed auto
    }
    ethernet eth1 {
        description Local
        duplex auto
        speed auto
    }
    ethernet eth2 {
        description Local
        duplex auto
        speed auto
    }
    ethernet eth3 {
        description Local
        duplex auto
        speed auto
    }
    ethernet eth4 {
        description Local
        duplex auto
        poe {
            output off
        }
        speed auto
    }
    loopback lo {
    }
    switch switch0 {
        address 10.10.0.1/24
        address <IPV6-PREFIX>::1/64
        description Local
        ipv6 {
            dup-addr-detect-transmits 1
            router-advert {
                cur-hop-limit 64
                link-mtu 0
                managed-flag false
                max-interval 600
                other-config-flag false
                prefix <IPV6-PREFIX>::/64 {
                    autonomous-flag true
                    on-link-flag true
                    valid-lifetime 2592000
                }
                reachable-time 0
                retrans-timer 0
                send-advert true
            }
        }
        mtu 1500
        switch-port {
            interface eth1 {
            }
            interface eth2 {
            }
            interface eth3 {
            }
            interface eth4 {
            }
            vlan-aware disable
        }
        vif 20 {
            address 10.10.20.1/24
            description IOT
            firewall {
                in {
                    name IOT_IN
                }
                local {
                    name IOT_LOCAL
                }
            }
            mtu 1500
        }
    }
}
protocols {
    static {
        route6 ::/0 {
            next-hop <FREEBOX-IPV6-LINK-LOCAL> {
                description Freebox
                interface eth0
            }
        }
    }
}
service {
    dhcp-server {
        disabled false
        hostfile-update disable
        shared-network-name IOT {
            authoritative disable
            subnet 10.10.20.0/24 {
                default-router 10.10.20.1
                dns-server 10.10.20.1
                lease 86400
                start 10.10.20.2 {
                    stop 10.10.20.254
                }
                static-mapping shellyplugsg3-****** {
                    ip-address 10.10.20.11
                    mac-address ******
                }
            }
        }
        shared-network-name LAN {
            authoritative enable
            subnet 10.10.0.0/24 {
                default-router 10.10.0.1
                dns-server 10.10.0.1
                domain-name ******
                lease 86400
                start 10.10.0.21 {
                    stop 10.10.0.240
                }
                static-mapping TV-ethernet {
                    ip-address 10.10.0.33
                    mac-address ******
                }
                static-mapping TV-wifi {
                    ip-address 10.10.0.48
                    mac-address ******
                }
            }
        }
        static-arp disable
        use-dnsmasq disable
    }
    dns {
        forwarding {
            cache-size 500
            listen-on switch0
            listen-on switch0.20
        }
    }
    gui {
        http-port 80
        https-port 443
        older-ciphers enable
    }
    mdns {
        reflector
    }
    nat {
        rule 5010 {
            description "masquerade for WAN"
            outbound-interface eth0
            type masquerade
        }
    }
    ssh {
        port 22
        protocol-version v2
    }
    unms {
        disable
    }
}
system {
    analytics-handler {
        send-analytics-report true
    }
    crash-handler {
        send-crash-report true
    }
    domain-name ******
    host-name ******
    login {
        user ****** {
            authentication {
                encrypted-password ******
            }
            level admin
        }
    }
    ntp {
        server 0.ubnt.pool.ntp.org {
        }
        server 1.ubnt.pool.ntp.org {
        }
        server 2.ubnt.pool.ntp.org {
        }
        server 3.ubnt.pool.ntp.org {
        }
    }
    offload {
        hwnat enable
    }
    syslog {
        global {
            facility all {
                level notice
            }
            facility protocols {
                level debug
            }
        }
    }
    time-zone Europe/Paris
}

Je précise tout de même quelques caractéristiques de la configuration de mon routeur :

J’utilise eth0 pour le WAN et j’ai créé switch0 avec eth1-4 pour le LAN. Je n’utilise pas le PoE sur eth4.
J’ai une TV connectée (à mon grand regret) à qui je refuse la sortie sur Internet à part pour le NTP (et en écrivant ces lignes je capte que cette règle ne s’applique qu’en IPv4 et pas encore en IPv6).
J’ai un réseau Wifi spécial pour les objets connectés (car certains doivent accéder à Internet) qui tague les paquets avec le VLAN 20. Ça permet au routeur de les cantonner à un LAN spécial (séparé du LAN principal), tout en les laissant sortir sur Internet. Ça protège contre la latéralisation (depuis un object connecté on ne peut pas voir les ordis/NAS/téléphones/…).
La plupart de mes appareils (ordis,NAS, téléphones…) ont une IP fixe dans la plage du DHCP, mais j’ai omis ça exprès. Vous n’avez pas besoin de savoir ce qu’il y a chez moi.

Avec cette configuration, j’ai bien de l’IPv6 sortant sans problème.

Il y a par contre un truc étrange ; lorsque je suis en SSH sur le routeur, un ping en IPv6 ne marche pas alors qu’il marche depuis un ordi sur le LAN. Je m’en fiche pas mal mais c’est probablement que j’ai raté quelque chose.

Il reste un détail, le Freebox Player. Même si la plupart du temps j’utilise un autre système multimédia, j’aime savoir que je peux utiliser le lecteur DVD/BluRay du Player.

J’avais noté que selon les Freebox il y avait des astuces pour faire marche le Player quand le Server est en mode bridge. Pour la Freebox « Révolution » il y a une histoire de VLAN 100.
Mais en branchant un câble ethernet (ou les FreePlugs) entre le Freebox Player et le switch intégré du Freebox Server, ça marche directement. Je n’ai eu aucune configuration à faire.
J’ai même essayé de reboot le Freebox Server et le routeur, pour vérifier si l’histoire du DHCP pour l’IP publique n’allait pas casser, mais non, c’est resté fonctionnel.

Je n’ai pas encore fait le test de l’appel sortant par mon alarme. Je brancherai un téléphone à la place pour essayer, mais j’ai toute raison de penser que c’est OK.

Quelques références utiles

Post-mortem : incident de délivrabilité vers Microsoft

2024-11-26T14:57:31+00:00

Voici le post-mortem d’un incident de délivrabilité vers Microsoft qui s’est produit chez nous à l’été 2024.

À partir du 9 juillet 2024, nous constatons que des spams sont envoyés avec des expéditeurs en @evolix.net vers Microsoft. On s’en rend compte car on reçoit des bounces mais aussi quelques réponses/plaintes d’utilisateurs sur une adresse qui existait bien (la plupart des adresses en @evolix.net utilisées n’existait pas).

Exemple d’un spam envoyé depuis une IP thaïlandaise :

Date: Thu, 11 Jul 2024 12:28:20 +0000
From: Service Plus Affiliate <xxx@evolix.net>
To: xxx@outlook.com
CC: xxx@outlook.com
Subject: Quick Savings Alert: 50% OFF Home Warranty Sale!
Return-Path: xxx@evolix.net
Message-ID: <Exf6vWO9DBgkI4iTvmHxvEhaLe@phvpthsdmaszxsx.evolix.net>

Ces spams sont envoyés par des adresses IPs complètement extérieures à nous, on n’y prête pas tellement attention dans un premier temps.

Les spams se poursuivent sur le même modèle mais en utilisant des expéditeurs en @XXX.evolix.net où l’enregistrement DNS XXX.evolix.net n’existe même pas.

À partir du 17 juillet, plusieurs serveurs remontent des problèmes de délivrabilité vers Microsoft en passant en jaune/rouge dans SNDS.

À partir du 19 juillet, des clients nous remontent des problèmes de délivrabilité vers Microsoft : les emails envoyés passent systématiquement dans la boîte Spam voire disparaissent.

Nous relayons alors les emails impactés par notre service « Zedmel », ce qui corrige une partie des problèmes.

Mais de plus en plus de clients nous remontent ce même problème.

Le 31 juillet 2024, après pas mal d’analyses, on se rend compte que le problème se produit quand on a « evolix.net » visible dans l’email envoyé : HELO, reverse DNS, etc.

Les emails sont bien acceptés par les serveurs SMTP de Microsoft, mais ils obtiennent une « note tueuse » maximale : X-MS-Exchange-Organization-SCL: 9
Ces emails sont alors mis en Spam ou en Quarantaine (suivant la politique des administrateurs Office365) c’est-à-dire invisibles pour le destinataire.

En effet, quand un client n’a pas personnalisé le reverse DNS de son serveur dédié, nous mettons par défaut un enregistrement en XXX.evolix.net

Les serveurs avec des domaines personnalisés ne sont pas impactés.

On se lance donc dans la personnalisation des domaines des serveurs impactés.

Mais en parallèle, les vagues de spams se poursuivent avec @evolix.net ou @XXX.evolix.net

Le 5 août 2024, nous décidons de changer nos enregistrements SPF et DMARC pour « evolix.net«
pour « forcer » Microsoft à rejeter ces spams et faire cesser le problème à sa source.

Comme nous avons des centaines de serveurs avec des adresses IP de nombreux fournisseurs, et comme nous avons quelques process qui envoient des emails en @evolix.net depuis les serveurs nous avions mis un SPF qui autorise le monde entier :
evolix.net. IN TXT "v=spf1 include:spf.protection.evolix.net +all"
C’est une grosse erreur : SPF est un mécanisme d’autorisation, il ne faut jamais autoriser le monde entier… au pire il vaut mieux ne pas mettre de SPF.
On passe donc notre SPF ainsi :
evolix.net. IN TXT "v=spf1 ptr include:spf.protection.evolix.net ~all"
(le champ « ptr » est déconseillé mais c’est notre seul moyen d’autoriser nos centaines de serveurs éparpillés partout, d’autres gros acteurs comme OVH l’utilisent aussi).
On passe aussi à une politique DMARC plus stricte pour avoir des rejets :
"v=DMARC1;p=reject;sp=reject"

Le 12 août 2024, après avoir finalement fixé les quelques process susceptibles d’envoyer
en @evolix.net vers l’extérieur on passe même le SPF en -all pour être sûr que
Microsoft coupe bien le robinet des spams :
evolix.net. IN TXT "v=spf1 ptr include:spf.protection.evolix.net -all"

Les vagues de spams se sont en fait arrêtées depuis quelques jours déjà.

Le 13 août, on prend contact avec l’équipe Postmaster de Microsoft pour expliquer tout ça et se renseigner jusqu’à quand le blocage de « evolix.net » va durer.
On est habitué à avoir des réponses de leur part, mais dans ce cas nos demandes restent lettre morte.

On les relance à peu près toutes les semaines sans succès.
Pour mémoire, voici les « support request » toujours sans réponse à ce jour :

Microsoft Support Request 7048679NNN : ouvert le 13 août, 7 relances (dernière le 23 septembre)
Microsoft Support Request 7050730NNN : ouvert le 6 septembre, 2 relances (dernière le 23 septembre)

En parallèle, durant le mois d’août on s’assure que le problème est bien contourné partout.

Mais on aimerait tout de même que ce blocage chez Microsoft soit réglé.

Dans le merveilleux monde de la réputation des IPs et domaines au niveau SMTP, en général les blocages ne durent pas plus que 30 jours.
Vu que Microsoft ne nous répond pas, nous prenons notre mal en patience et espérons que le blocage disparaîtra début septembre au pire.

Le 6 septembre 2024, le problème est toujours présent et Microsoft ne nous répond toujours pas malgré nos relances.
Nous décidons alors de créer un compte Office365 (gratuit le 1er mois puis quelques euros ensuite) afin de contacter Microsoft en tant que « client ». Nous ouvrons donc le ticket 2409061410002NNN auprès du support niveau 1.
On obtient rapidement une réponse par email et même par téléphone, mais malheureusement cela reste du support de base. Même si l’interlocuteur ne maîtrise pas trop mal SPF/DKIM/DMARC il nous aiguille sur des fausses pistes.

Le 18 septembre 2024, on ouvre un nouveau ticket 2409181420002NNN auprès du support niveau 1.
On obtient également rapidement des réponses par email et par téléphone, mais cela reste basique.
On insiste en demandant que le problème soit escaladé. On nous demande de produire des rapports
à l’aide d’outils Microsoft assez fastidieux mais on persiste.
On répond/relance le 19 septembre, le 23 septembre, le 25 septembre, le 30 septembre,
le 1er octobre, le 4 octobre, le 8 octobre, le 11 octobre…
On nous redemande de recréer des rapports déjà fournis, on nous demande poliment de patienter.

Le 15 octobre 2024 vers 16h, on reçoit un appel téléphonique de Microsoft :
« j’ai escaladé au support niveau 2, puis niveau 3, et ils me disent qu’ils ont enlevé le blocage, ça sera effectif dans 24h maximum »
On a un peu du mal à y croire, on attend de constater le déblocage.

Le 16 octobre au matin, le problème est toujours présent.
Mais à midi, on refait à nouveau un test avec Message-ID contenant « evolix.net » et effectivement : l’email atterrit en INBOX avec une « note tueuse » minimale : X-MS-Exchange-Organization-SCL: 1

On essaye évidemment d’en savoir plus sur la cause, mais on a toujours que le support niveau 1 en interlocuteur, et l’on comprend vite que l’on n’aura pas davantage d’informations.

Conclusion

Une grande partie des messageries est monopolisée par des gros acteurs qu’il est très difficile de contacter. Il faut éviter d’avoir une raison de les contacter, donc il faut mettre des politiques SPF et DMARC strictes pour tous les domaines et sous-domaines que l’on gère. Il faudrait ne pas autoriser les envois d’emails avec des domaines inconnus (par exemple avec postsrsd) et rate-limiter les envois pour les utilisateurs non aguéris ou des applis web publiques (par exemple avec Postwd). Et si vraiment besoin de contacter un gros acteur pour un problème complexe, mieux vaut ouvrir un compte payant et les contacter en tant que client.

Les leçons qu’on en tire :

il ne faut jamais utiliser +all dans un enregistrement SPF, au pire il est préférable de ne pas avoir de SPF…

il vaut mieux être radical avec des -all en SPF et reject en DMARC afin de détecter au niveau SMTP les problèmes et non pas avoir des emails mis en Spam ou pire « en quarantaine » (invisible pour l’utilisateur final)
tout enregistrement DNS existant doit avoir du SPF/DMARC, notamment si un domaine ou sous-domaine n’envoie pas d’email, il faut l’indiquer via SPF ("v=spf1 -all") et annoncer une politique DMARC stricte ("v=DMARC1;p=reject;sp=reject")
on peut analyser finement les entêtes des gros fournisseurs pour comprendre leurs vérifications antispams
en dernier recours, il faut pouvoir changer les domaines / adresses IP utilisés pour l’envoi
si un problème de réputation est toujours présent après 30 jours, c’est qu’il y a eu une opération manuelle
il faut continuer de propager la « bonne parole » pour « run your own mail server » afin de limiter ces monopoles malsains sur la messagerie

Des nouvelles du Québec !

2024-09-17T20:16:04+00:00

Filiale d’Evolix au Canada depuis 2015, Infogérance Evolix Inc propose des services d’hébergement et infogérance de serveurs Linux (Debian) pour le Canada.
Cette implantation au Canada permet de couvrir deux continents et va dans le sens d’une surveillance en 24/7.

Depuis notre arrivée, nous avons eu l’occasion de rencontrer et tisser des liens avec la très sympathique communauté Linuxienne et Pro-Libre du Québec, qui mérite ce petit article.

*** Rencontres Linux Québec : « qu’il vente, qu’il pleuve ou qu’il neige ! »

Depuis 21 ans, Martial Bigras, grand organisateur, et sa fine équipe, organisent des rencontres mensuelles entre les passionnés de Linux et de Logiciels Libres.
Tous les 1er mardis du mois, les participants se rejoignent pour un moment d’échange, que cela soit en présentiel sur Montréal ou à distance sur Big Blue Button.

Servis en français, les Meetups sont ouverts à tous, qu’importe votre région/continent. Malgré l’horaire des rencontres, 17h30/22h30 (heure de l’Est), il n’est pas rare d’y voir quelques participants francophones venant d’autres pays. Les sujets abordés couvrent aussi bien les bonnes pratiques du moment, des sujets d’actualités que des présentations d’outils Libres, le tout dans la bonne humeur et avec une volonté de partager.
Tout le monde est bienvenu qu’importe son niveau, du débutant aux gurus !

« Fun Fact : les Linux Meetups QC sont les plus gros Linux Meetups francophones en Amérique du Nord ! »

*** Chasse au trésor informatique (CTF : Capture The Flag) : 21 septembre 2024

https://www.rencontres-linux.quebec/event/21-ans-de-linux-meetup-au-quebec-1/page/introduction-21-ans-de-linux-meetup-au-quebec

Depuis les 5 dernières années, un CTF est organisé chaque année pour célébrer l’anniversaire des Linux Meetup Qc, cette année, cet évènement aura lieu le 21 septembre 2024 en mode hybride (présentiel et distanciel).
Evolix soutient cette initiative et fera encore partie des sponsors de l’évènement, de nombreux lots seront à gagner, des prix de présence et des récompenses en lien avec le CTF.

Il y aura une infrastructure spéciale en place pour l’occasion. Un grand merci à Dominique Derrier pour avoir travaillé pendant plusieurs mois afin d’inclure de nouveaux défis captivants et à Pascal Gad pour avoir testé au moins 10% des défis .
Certaines questions seront abordables pour tous les passionnés de Linux, d’autres demanderont de la créativité et d’ingénieuses solutions et les dernières feront appel à votre expertise de Guru Linux.
Le but est de découvrir ou redécouvrir de manière ludique des éléments de Linux.

Cette rencontre est gratuite et ouverte à tous, quel que soit votre niveau de compétence en Linux, du débutant à l’expert. Elle rassemble des personnes de diverses professions.

**** Journée internationale des Logiciels Libres

Cette année la journée des Logiciels Libres sera le 21 septembre, une raison supplémentaire de célébrer cette journée en participant au CTF !

**** Prochains évènements où croiser l’équipe d’Evolix de Marseille :
* Mini Debconf à Toulouse : https://wiki.debian.org/DebianEvents/fr/2024/Toulouse

Pour contacter Evolix Canada, en savoir plus sur nos services d’hébergement et infogérance de serveurs sous Debian ou échanger sur les Logiciels Libres, vous pouvez nous écrire sur hello@evolix.ca ou venir nous rencontrer en personne au 4284 De La Roche à Montréal. Café offert !

Retour sur la DebConf24 en Corée du Sud

2024-08-29T12:34:54+00:00

Nous avons eu le plaisir de participer à la DebConf24 qui s’est tenue à Busan en Corée du Sud. Cet événement, rassemblant plus de trois cents développeurs et contributeurs Debian du monde entier, s’est déroulé dans un cadre aussi chaleureux qu’inspirant, tant sur le plan des échanges que du climat (35ºN avec un climat subtropical humide, autant dire qu’on a eu chaud !).

Une semaine dédiée à la collaboration : DebCamp

Avant le début officiel de la conférence, la semaine du DebCamp nous a permis de nous concentrer sur des travaux en équipe. C’était une opportunité précieuse pour avancer sur des projets spécifiques. Nous avons eu l’occasion de travailler avec Athos Ribeiro sur l’amélioration de notre outillage d’empaquetage pour les librairies PHP. Athos a, en parallèle, posé les bases des tests automatisés (autopkgtest) pour cet outillage, et a entamé le processus pour devenir officiellement Développeur Debian.

De notre côté, nous avons contribué de manière significative avec plus de soixante-dix envois de paquets et l’interaction avec une quarantaine de bogues. Cependant, ces chiffres restent modestes par rapport à l’effort colossal d’empaquetage de homeassistant, initié par Edward Betts et rapidement soutenu par Thomas Goirand ainsi que de nombreux autres contributeurs. Ce projet a vu l’ajout de plusieurs centaines de paquets à Debian, avec un besoin encore plus important à venir.

Points forts de la DebConf24

La semaine de la DebConf a été marquée par une série de présentations et d’ateliers captivants. Voici quelques moments marquants :

Le nouveau solveur APT : Julian Andreas Klode a présenté les dernières avancées du solveur pour le gestionnaire de paquets APT, en passant par un historique de son développement et en mettant en lumière les nouvelles fonctionnalités .
Sequoia PGP : une alternative à GnuPG : Justus Winter a partagé ses travaux sur Sequoia, une alternative à GnuPG conforme aux RFC pour gérer OpenPGP. Cette présentation est arrivée à point nommé, juste avant la publication officielle de la RFC 9580, décrivant la dernière version d’OpenPGP (v6).
Développement du noyau Linux : Helen Koike a animé un atelier où les participants ont pu mettre en place un environnement de développement pour le noyau Linux et proposer des correctifs, certains ayant même vu leur contribution acceptée dans l’heure dans la branche staging du noyau.
AppArmor et les conteneurs : Leesoo Ahn a détaillé les applications d’AppArmor dans le contexte des conteneurs, offrant une perspective sur la sécurisation des environnements containerisés.
Mise à jour en direct du noyau Linux : Emmanuel Arias et Santiago Ruano Rincón ont présenté leurs travaux pour permettre l’ajout de correctifs de sécurité au noyau Linux sans nécessiter de redémarrage, une avancée importante pour la disponibilité des systèmes.
DebConf25 en Bretagne : Enfin, l’équipe bretonne a présenté les lieux de la prochaine DebConf qui se tiendra en juillet 2025, en Bretagne, un événement que nous attendons avec impatience.

Conclusion

Ces deux semaines intenses à Busan, que ce soit lors du DebCamp ou de la DebConf, ont été riches en enseignements, en collaborations fructueuses et en moments mémorables. La Corée du Sud, avec sa culture dynamique et accueillante, nous a offert un cadre exceptionnel pour renforcer les liens au sein de la communauté Debian. Nous revenons avec de nouvelles idées, des collaborations renforcées et une motivation renouvelée pour contribuer à ce projet qui nous passionne tant. Nous sommes impatients de continuer à échanger et à partager sur ces sujets dans les mois à venir, en attendant la DebConf25.

Retour sur la MiniDebConf Berlin 2024

2024-05-29T21:02:34+00:00

Nous avons eu l’opportunité de participer à la MiniDebConf Berlin 2024 du 14 au 21 mai. Cet événement a été un moment fort de rencontres, d’échanges et de travaux collaboratifs autour de la communauté Debian.

Une conférence riche en contenus

La MiniDebConf s’est déroulée sur une semaine, incluant deux jours de présentations et six jours d’ateliers. Une cinquantaine de participants étaient présents, avec des interventions variées et de grande qualité. Voici quelques présentations notables :

Toutes les vidéos des présentations sont déjà disponibles sur meetings-archive.debian.net
Des photos sont disponibles sur Salsa

Des ateliers productifs

Durant les ateliers, nous avons eu l’occasion de collaborer avec plusieurs membres actifs de la communauté Debian. Parmi les projets en cours :

Johannes Schauer Marin Rodrigues (josch) a travaillé sur sbuild.
Helmut Grohne (helmut) a avancé sur le déplacement de /usr.
Gregor Herrmann (gregoa) a envoyé de nombreux paquets Perl et effectué du ménage sur Salsa.
Alexander Wirt (formorer) a mis à jour Gitlab sur Salsa et corrigé quelques problèmes suite à la mise à jour du serveur par Julien Cristau.
Philipp Kern (pkern) et plusieurs membres de l’équipe sécurité, dont Moritz Mühlenhoff (jmm) et Salvatore Bonaccorso (carnil), ont participé à un atelier d’une journée sur les aspects de sécurité.

Contributions d’Evolix

Nous avons principalement avancé sur la transition vers PHPUnit 11 en fermant plus de la moitié des 139 bogues remontés par Athos Coimbra Ribeiro (athos) après la reconstruction de tous les paquets concernés pendant la MiniDebConf de Belo Horizonte il y a deux semaines. Au total, durant cette semaine à Berlin, nous avons envoyé une soixantaine de paquets et fermé près de cent bogues.

Ce fut une expérience enrichissante et stimulante, renforçant l’importance de la collaboration et de l’engagement communautaire dans le développement de Logiciels Libres. L’équipe Evolix est impatiente de poursuivre sur cette lancée et de participer aux prochains événements Debian, notamment en juillet à la DebConf 24 en Corée du Sud, et en novembre à la MiniDebConf Toulouse.

Retour du MiniDebCamp Hamburg 2024

2024-03-18T23:52:17+00:00

Nous étions présents par l’intermédiaire de David Prévot (taffit) au MiniDebCamp Hamburg du 3 au 10 mars 2024. Il s’agit d’un rassemblement de contributeurs dédiés à l’amélioration de Debian. Voici un rapide compte-rendu des principales contributions effectuées lors de cette semaine de collaboration entre une vingtaine de personnes participantes.

Intégration continue (CI) et constructions reproductibles : un des points forts a été l’amélioration de l’infrastructure Jenkins pour Debian, cruciale pour les constructions reproductibles. Holger Levsen (holger) a ajouté des ressources significatives, tandis que Roland Clobus et Emanuele Rocca (ema) ont avancé sur la construction reproductible des images Live pour arm64.

Améliorations de l’outillage : Paul Gevers (elbrus) a optimisé les outils de l’équipe de publication, en particulier Britney, qui orchestre les migrations de paquets d’unstable vers testing. Des efforts ont également été faits pour débloquer des tests dans debci, améliorant ainsi le processus de migration des paquets.

Empaquetage et sécurité : l’empaquetage des outils Sequoia-PGP a progressé, avec l’ajout de Chameleon dans Debian, grâce à Holger Levsen (holger) et Neal Walfield. Gregor Herrmann (gregoa) a corrigé environ deux cents bugs affectant la construction de paquets deux fois de suite pour Perl, et ilu a travaillé sur la conformité avec la loi de l’Union européenne sur la cyberrésilience.

Préparation du bug de l’an 2038 : Matthias Klose (doko) a poursuivi le travail sur la transition de time_t en 64 bits pour anticiper ce fameux bug, une étape importante pour assurer la pérennité de Debian.

Quant à nous, nous avons travaillé sur différents sujets. La transition vers Symfony 6 s’est effectuée avec succès, illustrant l’efficacité de la collaboration et du travail préparatoire. Nous avons également contribué à la disponibilité de SPIP 4.2 dans unstable, compatible avec PHP 8.2, et effectué de nombreuses mises à jour de paquets PHP suivant un correctif récent pour Composer.

FOSDEM 2024

2024-02-26T09:14:37+00:00

Début février, l’équipe d’Evolix a pris la direction de Bruxelles pour participer au FOSDEM, le rendez-vous incontournable du Logiciel Libre en Europe. Cette édition a offert à notre équipe une immersion dans un monde de savoir et de partage au sein de la communauté libre.

L’événement couvre un large éventail de thématiques : sécurité, réseau, technologies de conteneurs, Mozilla, Ceph, et bien plus encore. Le programme détaillé est accessible sur le site du FOSDEM 2024 et la majorité des interventions est déjà disponible en ligne !

Parmi toutes les interventions, voici trois conférences qui ont particulièrement retenu notre attention :

Where have the women of tech history gone? : une réflexion profonde sur la visibilité des femmes dans l’histoire de l’informatique
An engineer’s guide to Linux Kernel upgrades : cette conférence s’est avérée être un guide indispensable pour se perfectionner dans les mises à jour du noyau Linux, avec des astuces concrètes pour le déploiement que nous allons mettre en œuvre !
So you think you know Git : une session enrichissante destinée aux utilisateurs de Git, révélant par exemple des astuces sur la maintenance des dépôts volumineux, sur l’utilisation de git-blame ou encore la fonction un peu cachée rerere. Les diapositives sont disponibles sur le blog de Git Butler.

Au-delà des conférences, nos interactions sur les stands de Proxmox, Debian et Let’s Encrypt ont été particulièrement enrichissantes. Un petit scoop au passage : une mini-DebConf est prévue à Toulouse le weekend du 16/17 novembre 2024, en marge du Capitole Du Libre.

Avec plus de 10.000 participants annoncés par les organisateurs pour cette édition, le FOSDEM 2024 nous laisse inspirés, et plus motivés que jamais à œuvrer au sein de l’écosystème des Logiciels Libres. Cette année nous avons apporté une modeste contribution en tant que bénévole, l’occasion de nous rendre compte de l’intérieur du titanesque travail des bénévoles et organisateurs qui contribuent à faire de cet événement une réussite d’année en année !

Evolix vu par Difuz

2024-02-05T23:12:27+00:00

Depuis quelques années, nous donnons carte blanche à un(e) artiste que l’on apprécie pour réaliser une œuvre en lien avec Evolix pour nos cartes de vœux. Début 2024, nous avons collaboré avec le graffeur marseillais DIFUZ pour une réalisation qui s’inspire de notre équipe de « plombier des Internets » et de nos bureaux à la Belle de Mai. Maintenant que tous nos clients, fournisseurs et partenaires ont reçu leur carte de vœux fin janvier, on vous dévoile cette création « Evolix vu par Difuz » :

Donner son sang, son plasma, ses plaquettes

2022-12-21T23:00:00+00:00

Je donne régulièrement mon sang depuis quelques années. Je suis O- donc c’est bien recherché. Pour la première fois, j’ai donné plasma et plaquettes.

L’EFS me traque depuis longtemps pour que je donne des plaquettes mais c’est trop long pour mon emploi du temps habituel donc j’avais reporté jusque là. Et plusieurs personnes m’ont dit que c’était inconfortable, surtout le retour après la séparation du plasma et des plaquettes donc je n’étais pas si pressé que ça.
À l’occasion de quelques jours de congés j’ai pris mon courage à deux mains et j’ai transformé mon rendez-vous régulier de don de sang en don de plaquettes et plasma.

Avant le traditionnel formulaire avec les questions de santé, on m’a fait un petit prélèvement de sang pour vérifier que tout va bien (fer, plaquettes…). Tout était OK pour moi donc on m’a installé. Je pensais faire juste les plaquettes, mais ils pont pris aussi le plasma ; 1 pierre, 2 coups.

Le principe est de prélever du sang, de le passer à la centrifugeuse pour séparer le plasma et les plaquettes (qui vont dans des poches dédiées) et l’hématocrite que l’on renvoie dans le bras par la même aiguille. Un écran donne toutes les infos en temps réel : prélèvement ou retour, pression, temps écoulé, volumes collectés. Selon les mesures du prélèvement initial, la machine calcule ses paramètres. J’étais parti pour 75 minutes de don.

Le premier retour de sang est surprenant : une sensation bizarre dans le coude, mais aucune douleur. Il faut masser une balle molle pendant tout le temps pour maintenir une bonne pression.

Au bout d’un moment j’ai eu froid. C’est normal, mais pour le confort et surtout pour éviter que les vaisseaux ne se contractent il faut se réchauffer.
Le prélèvement entraîne aussi une chute de calcium, avec des picotements dans les lèvres ou un goût de fer selon les gens, mais un petit cachet de complément fait disparaître ça très vite.
Comme d’habitude avec les dons de sang… il faut bien s’hydrater pour la fluidité du sang, et donc ne pas oublier de passer aux toilettes avant de commencer. Malgré ça, l’effet diurétique du don m’a surpris vers la fin et les 15 dernières minutes étaient difficiles.

Il paraît que ça fatigue pas mal, mais 24h plus tard, je ne me sens pas vraiment plus fatigué que d’habitude.

Le technicien a été adorable. Il a répondu à toutes mes questions de curieux, m’a expliqué à quoi m’attendre sur les effets…
Toute l’équipe a été aux petits soins avant/pendant/après. Ils font tout pour que le don soit confortable.

Le temps de prélèvement était parfait pour que je regarde une série (j’ai démarré Sandman). On m’a même prêté un support pour mon téléphone. S’il ne fallait pas masser la balle, j’aurais même pu faire une sieste ;)

Au final tout s’est hyper bien passé et j’en ressort content d’avoir donné un peu de temps et de sang pour sauver des gens. J’ai pris mon prochain rendez-vous de don de sang et ils me reverront probablement pour du plasma et des plaquettes lors des prochaines vacances.

HAProxyConf 2022

2022-11-10T23:00:00+00:00

J’ai été orateur à la conférence HAProxyConf 2022 à Paris. Ça a été un immense challenge pour moi. Je vous raconte.

Tout le contenu que j’ai utilisé est dispo dans un dépôt GIT (diaporama, configuration complètes, images…). La vidéo est disponible sur Youtube.

La proposition

En juillet 2022, j’ai cité un Tweet de @nixCraft, pour mentionner l’utilisation du « PROXY protocol » dans un contexte de proxification de service web.

Deux jours plus tard j’ai un message de @HAProxy m’invitant à faire une proposition de présentation pour la conférence HAProxyConf prévue pour novembre à Paris.

HAProxy est un logiciel qu’on utilise beaucoup chez Evolix et que j’apprécie particulièrement. Il est présent dans de nombreuses infrastructures mises en place pour nos clients. Mais surtout il est un composant majeur de notre solution « Boost », un accélérateur web, une sorte de CDN (sans la répartition géographique).

À regret je n’avais pas participé à l’édition 2019 à Amsterdam à cause notamment du coût (trajet, hôtel, ticket d’entrée…) mais là l’occasion était rêvée.

Grégory et moi avons récemment travaillé sur une présentation dédiée aux load-balancers et au cache HTTP (très inspirée de ce qu’on fait dans Boost). Elle a été présentée à la conférence VVT et le sera à nouveau au Capitole du Libre à Toulouse (une vidéo sera probablement disponible). J’avais envie de pousser plus loin les détails techniques liés à quelques fonctionnalités internes de HAProxy et Varnish, pour un auditoire déjà familier avec les bases.

J’ai souvent présenté dans des conférences assez variées, mais presque toujours en français. Les 2 rares exceptions en anglais étaient à RuLu 2013 (en solo) et DebConf 2017 (avec Grégory), pour un résultat pas totalement satisfaisant à mon goût.

Je me sentais tout à fait capable de préparer un contenu pertinent, je n’avais plus qu’à surmonter la difficulté de le faire en anglais.

Challenge accepted!

Début septembre, j’ai eu confirmation de l’acceptation. Plus moyen de reculer.

Tout de suite j’ai compris que j’avais à faire à une organisation professionnelle : rétro-planning des moments importants, visio pour échanger questions/réponses à l’oral, proposition de gabarits de diaporama, proposition de session de répétition en ligne, prise en charge financière et logistique du transport et de l’hébergement pendant la conférence… Ça s’est avéré à la fois rassurant et stressant.

La préparation

Le repère approximatif dont j’ai souvent entendu parler – 1 heure de préparation pour 1 minute de présentation – s’est encore vérifié, au minimum. Je n’ai pas compté précisément, mais entre le travail d’écriture linéaire en français qui a servi à structurer le contenu, la traduction en anglais, la création d’images et diagrammes, la préparation des diapos et des notes du présentateur, le façonnage des extraits de configuration et enfin les nombreuses répétitions à voix haute… j’ai bien passé mes 30 à 50 heures de préparation.

C’est bien ce temps là qu’il m’a fallu pour commencer à me sentir plus ou moins à l’aise avec ce que j’avais à dire, dans quel ordre, sans réciter par cœur, sans lire bêtement mes notes et sans chaque fois tenter d’improviser un peu et buter sur la construction des phrases.

J’ai tout de même constaté l’évolution bien connue du niveau d’aisance. D’abord on dit n’importe quoi, on bloque toutes les 2 phrases. Ensuite ça commence à rentrer, on réussit à faire des répétitions avec un flot verbal correct et une gestuelle corporelle détendue. Puis en se croyant à l’aise on se concentre un peu moins, on retombe dans des tentatives d’improvisation, et la qualité du résultat baisse. Et finalement on se recentre et on retrouve confiance dans la capacité à bien faire. Par contre, reste jusqu’au bout la peur de merder le jour même, sur scène avec des lumières et des dizaines/centaines de personnes fixés sur soi.

Les orateurs avaient la possibilité d’arriver la veille, pour faire quelques essais et prendre des repères sur la scène. Pas moyen de rater cette occasion. Et c’était parfait pour se rassurer. J’ai passé deux heures avec les autres orateurs à monter quelques minutes sur scène, bien prendre en main le cliqueur et l’organisation des écrans de contrôle, se familiariser avec les caméras, les spots… Le faire pour de vrai le lendemain matin était presque devenu une formalité. Presque.

La présentation

Le diner des orateurs – tradition des conférences – était aussi un super moyen de briser la glace, se mettre à fond dans le bain de l’anglais, et voir que tous les autres sont aussi morts de trouille que soi. Ce petit lien confraternel éphémère qui se crée, pousse ensuite de s’encourager avant de monter sur scène, se féliciter à la descente, et avoir le sentiment qu’on n’est pas seul dans cet exercice aussi jouissif qu’effrayant.

Dans la programmation, j’étais le premier orateur non « interne » HAProxy ; un brin stressant de passer après des têtes d’affiche. En passant après la première pause café, j’ai pu m’équiper tranquillement (micro, cliqueur…) et satisfaire mon petit rituel déstressant : passage aux toilettes, une petite “vocalise” en coulisse pour s’éclaircir la voix et quelques “jumping jacks” pour faire rapidement monter le cardio et diluer l’adrénaline.

Sur scène, on sourit, on regarde surtout les gens et un peu ses notes. On ne tourne pas le dos au public, on ne met pas ses mains dans ses poches ni dans son dos, ni croisées devant. On parle doucement, en prenant bien sa respiration, et en prenant si possible une gorgée d’eau entre chaque partie importante. Pendant les questions on écoute bien, pour ne pas répondre à côté, mais on n’hésite pas à dire « je ne sais » ou « ça mérite une discussion plus longue ».

Une fois le moment fatidique passé, on peut enfin souffler, détendre le nœud qu’on a dans le ventre et profiter du plaisir de l’accomplissement.

Achievement unlocked!

L’avantage de passer tôt dans le programme c’est qu’on peut profiter beaucoup plus sereinement du reste de l’événement. J’ai pu écouter attentivement plusieurs présentations, mais surtout passer de vrais moments avec des personnes compétentes et agréables, à discuter de sujets techniques. Au delà des présentations (souvent disponibles en ligne après-coup), c’est surtout la possibilité des rencontres qui me motive à aller dans ces événements. Discuter de ce que font d’autres personnes avec des outils que je connais (ou pas), partager des connaissances que j’ai et éventuellement avoir des retours constructifs sur ce que j’ai pu présenter.

Je ressors de cette expérience avec la grande satisfaction d’avoir accepté un challenge nouveau – qui m’a coûté de vrais efforts – et d’avoir atteint l’objectif : transmettre des connaissances, d’une manière correcte.

Ça me donne envie de remonter la barre pour une prochaine fois ; potentiellement le FOSDEM – une autre de mes conférences favorites – ou une DebConf pour faire mieux que la fois d’avant.

Des remerciements

Merci à ma compagne et mes enfants qui ont supporté mon stress, mon attention ultra-sélective et mon absence pendant les quelques jours de déplacement…

Merci aux organisateurs de la conférence qui ont fait le pari d’accepter ma proposition, qui ont organisé un accueil confortable et chaleureux et qui m’ont permis de participer à un événement très riche en nouvelles connaissances (humaines et techniques).

Merci aux personnes rencontrées sur place, avec qui j’ai passé de très bons moments.

Merci à toutes les personnes (en particulier mes collègues) qui m’ont soutenu, encouragé et félicité.

Quelques photos

Modification du 15 novembre 2022

J’ai proposé ce sujet pour l’édition 2023 du FOSDEM (celle qui a lieu dans 10 semaines), dans 2 variantes.

Une version « main track » de 50 minutes, avec des contenus que j’avais prévus initialement mais que j’ai du retirer pour les 40 minutes de HAProxyConf.
Une version « lightning talk » de 15 minutes, avec beaucoup moins de détails, mais qui donne une idée d’ensemble intéressante.

Il y a beaucoup de propositions pour le FOSDEM, donc la concurrence est rude. Si c’est pas cette année, ça sera une prochaine.

Modification du 23 novembre 2022

HAProxy a publié un article sur son blog pour faire un récap de l’événement. C’est assez détaillé.

Modification du 25 novembre 2022

En mai 2019 on a organisé la mini-DebConf à Marseille. Quelques jours après j’ai commencé la rédaction d’un article rétrospectif. Il est resté à l’état de brouillon pendant plus de 3 ans. Je l’ai dépoussiéré et publié. J’y ai (re)découvert que j’avais été « maître de cérémonie » en anglais. J’avais complètement oublié. Et dans ce brouillon j’ai trouvé un « ressenti », pas très bien écrit mais assez similaire à celui que j’ai eu après cette HAProxyConf. Extrait :

J’ai eu 2 fois l’occasion de faire des présentations en anglais devant des gens (a fortiori des gens que j’estime et sur qui j’ai envie d’avoir un effet positif). Chaque fois j’ai énormément travaillé mon texte, répété à l’usure, jusqu’à être dans un mode plus théâtral que naturel ou spontané. Le stress a été énorme et accompagné d’un sentiment proportionnel de soulagement une fois le moment passé.
Pour cette mini-DebConf où j’ai fait le MC, je ne m’étais pas spécialement préparé (à part mes diapositives) ni répété ce que je voulais dire ou comment tourner mes phrases. J’avais clairement en tête le fond (aidé de mes supports) mais pas du tout la forme. Pourtant j’ai eu à transmettre en anglais un message important à plusieurs dizaines de personnes. Objectivement l’exercice était le même, l’enjeu était similaire.
Je suis sûr d’avoir fait plein de fautes d’anglais, j’ai probablement bafoué pas mal de règles du bon présentateur, mais il paraît que ça passait plutôt bien et puis je ne me suis pas senti perdu ni ridicule. J’ai probablement une leçon personnelle à tirer de ça, pour mes prochaines présentations, en particulier celles en anglais.

Si j’avais relu ça avant de préparer HAProxyConf, ça aurait pu m’aider à relativiser.

Nouvelles d’Evolix #37 – Meilleurs vœux 2022

2022-01-12T16:25:01+00:00

Nous reprenons la publication des actualités d’Evolix pour vous souhaiter nos meilleurs vœux pour l’année 2022 au nom de toute l’équipe !

Nous avons un peu mis de côté la communication depuis 2 ans pour nous concentrer sur d’autres priorités : assurer la production, faire évoluer notre organisation interne et participer à des projets d’entraide à Marseille. Et même si la pandémie n’est pas encore terminée, nous sommes repartis dans une dynamique que nous voulons partager avec vous.

Évolution de notre infra réseau

Ces derniers mois nous avons réalisé plusieurs maintenances planifiées sur notre infrastructure réseau. Ces maintenances sont vraiment exceptionnelles : le genre d’évolution que l’on fait une fois tous les 10 ans ! Nous avons ajouté des switchs « cœur de réseau » redondants capables de faire du 40Gb/s, et remplacé plusieurs switchs « Top of the rack » afin d’évoluer vers une architecture réseau plus résiliente, avoir un maximum de liens redondants en fibre optique 40Gb/s entre les switchs, et proposer désormais des serveurs avec un réseau 10Gb/s redondant en fibre optique. Notre équipe réseau va publier des explications techniques prochainement à propos de cette évolution majeure qui nous permet de conserver un réseau de très haute qualité pour notre hébergement.

Tournée des conférences en automne 2021

En automne, nous avons été présents à plusieurs conférences : DevopsDD au Stade Vélodrome, le salon OSXP à Paris, la conférence SecSea à la Ciotat et le meetup AFUP Aix-Marseille. L’occasion de recommencer à échanger en présenciel avec nos différents partenaires.

Nos dernières news

Bienvenue à Mathieu, Brice, Iliane et William qui ont rejoint l’équipe Evolix
Nous sommes fiers d’avoir intégré le collectif CHATONS en 2021
Nous aidons l’association AOUF qui soutient l’entraide dans les quartiers populaires de Marseille, notamment via des projets comme le « Massilia Couches System »
Debian 11 (Bullseye) est sortie en août 2021
OpenBSD 7.0 est sorti en octobre 2021
Notre canal IRC est désormais #evolix sur liberachat : rejoignez nous pour discuter !
Problème Let’s Encrypt avec l’expiration du certificat SSL « Identrust DST X3 »
Une faille critique a été trouvée dans la bibliothèque Java « log4j », voici nos préconisations

? Nous recrutons

Nous recrutons des SysAdmins Junior et Senior à Marseille et Montréal, retrouvez nos offres sur notre page Welcome To The Jungle

Je quitte Dropbox

2020-05-16T22:00:00+00:00

Un service de moins où j’ai des données personnelles.

J’ai un compte Dropbox depuis l’ouverture du service. J’ai profité de tranches de 500 Mo offertes pour le “parrainage” de quelques personnes.

La simplicité avec laquelle on pouvait avoir une synchro entre l’espace web, l’ordinateur personnel et le téléphone m’a rapidement séduit. J’y ai surtout placé des documents auxquels je voulais pouvoir accéder rapidement de n’importe où : copies de papiers d’identité, documents de voyage…

L’intégration avec des services tiers était aussi un plus ; copie des photos envoyées à Instagram, envoi automatique des livres achetés chez Pragmatic Programmers (un excellent éditeur, soit dit en passant !) et de nombreuses autres intégrations possibles.

Dans ma démarche de reprise en main de mes données personnelles, ça faisait longtemps que j’avais identifié ce service comme très problématique. J’y ai sciemment déposé des documents sensibles qu’avec le recul je n’aurais jamais du y déposer, en particulier des données très personnelles (santé, impots, finances personnelles…).

Je ne voulais cependant pas renoncer aux fonctionnalités proposées par Dropbox. Il me fallait donc un remplaçant. C’est Nextcloud qui a répondu à mes attentes, et bien plus.

J’ai déjà un serveur (actuellement une VM hébergée chez Evolix) que je gère de A à Z, sur laquelle j’ai ce blog perso mais aussi quelques services à usage familial. L’installation est simplissime pour un sysadmin, et je pense très abordable pour une personne débrouillarde.

En peu de temps j’avais un équivalent de Dropbox, avec une infinité (théorique) d’espace disponible, une intégration Webdav avec mon ordinateur personnel, une synchro avec mon téléphone…

J’ai rapidemement testé quelques “applications”, telles que OnlyOffice (équivalent à GoogleDoc), Sondage (équivalent à Doodle), Task (un gestionnaire de todo-list) et c’est vraiment cool. Je n’y gère pas mes mails, mon calendrier et mes contacts, mais c’est proposé par défaut.

Le partage de documents va devenir encore plus facile en famille, entre amis ou dans un cadre associatif.

Un de moins. Il me reste principalement Instagram (compte privé avec juste quelques photos non personnelles) et Gmail (qui n’est plus mon mail principal).

Traitement de la crise du Coronavirus : payer rapidement ses fournisseurs

2020-03-26T13:07:07+00:00

Désolé, je fais partie des irresponsables qui n’ont pas d’avis tranché sur la chloroquine :-) J’avoue honteusement ne pas être encore expert en épidémiologie. Certes, comme beaucoup de monde, j’ai lu « de façon exponentielle © » sur ce sujet ces dernières semaines. J’ai découvert les jolis modèles mathématiques complexes qui en découlent – notamment ce fameux R0 (taux de reproduction de base) d’un virus mais je suis probablement victime du biais cognitif de Dunning-Kruger et mon cerveau est en pleine « montagne de la stupidité » donc je vous épargne mon opinion sur ce sujet.

J’ai davantage d’expérience en économie en tant que gérant d’Evolix : entreprise d’une vingtaine de salariés créée en 2004 et non financée par du capital risque. Et je vous partage mon analyse sur ce sujet : le meilleur traitement contre la crise économique lié au Coronavirus sera de veiller à bien payer ses fournisseurs,notamment ses petits fournisseurs : PME, TPE, indépendants, freelances, etc.

En effet, l’économie réelle est circulaire : « On est tous le fournisseur de quelqu’un ». Prenons un exemple simplifié : Evolix paye un salarié, qui va s’acheter du pain avec son salaire ; avec ses bénéfices, le boulanger va s’acheter un café et lire un journal en ligne… ce qui génère des revenus pour plusieurs entreprises directement clientes d’Evolix : ces entreprises payent leurs fournisseurs, donc Evolix… et permettent à Evolix de payer son salarié, et ainsi de suite.En parallèle, cela génère de la TVA, des cotisations sociales, etc. qui permettent d’avoir des services publics et des services de solidarité, et c’est très bien ainsi. Ces échanges forment un circuit résilient. D’ailleurs plus ce circuit est local, plus il est résilient. Pour les PME/TPE, la trésorerie est évidemment l’enjeu vital : de fait quasiment tous les paiements reçus ces prochains mois vont être réinjectés directement dans ce circuit. Pour préserver cette économie bien réelle, il est important que tous les professionnels continuent de passer des commandes et s’engagent à payer rapidement leurs fournisseurs. Évidemment l’État et les entreprises doivent montrer l’exemple. Et même plus, les grosses entreprises devraient être contraintes de le faire car ce sont elles qui vont bénéficier en priorité des aides et du soutien de l’état : voir les explications de l’excellent heu?reka

Nos voisins de SAFEBRANDS ont lancé un appel en ce sens. Free/Iliad s’est notamment engagé à payer immédiatemment les factures des TPE/PME. Dominique Schelcher, président de Système U, a annoncé le paiement comptant des factures de ses fournisseurs TPE/PME. Il faut relayer cet appel auprès des entreprises qui le peuvent : une fois les salariés payés, il faut payer rapidement les petits fournisseurs ! Et réfléchir comment exiger Politiquement (avec un petit “p” ou un grand “P”) que les grosses entreprises le fassent.

Chez Evolix, nous nous engageons à payer encore plus rapidement que d’habitude nos fournisseurs. Nous venons de le faire dès aujourd’hui sans attendre la date d’échéance des factures et nous continuerons à le faire.

Fin d’année 2019 chez Evolix au Québec

2019-12-20T19:47:39+00:00

Joyeux temps des fêtes !

Toute l’équipe Evolix vous souhaite de très belles fêtes de fin d’année, accompagnées de merveilleux moments pour vous et vos familles ! Merci à nos collaborateurs, nos clients et nos partenaires pour une année 2019 si riche en échanges, projets et apprentissage continu : ce fut un plaisir et un honneur d’évoluer à leur côté. On hâte de vous retrouver en 2020 pour la suite de nos aventures !

Mais avant de vous quitter, voici un dernier tour éclair de nos activités des semaines passées.

Devops Days Montreal

Les 5 et 6 novembre se tenaient la seconde édition des DevOps Days à Montréal. Parmi les nombreux sujets abordés dont nous avons pu profiter (automatisation, développement applicatif, infrastructure…), en voici quelques-uns qui nous ont particulièrement intéressés :

Rencontre utilisateurs OpenBSD

C’est officiel : il existe désormais un groupe actif d’utilisateurs BSD (BUG) à Montréal ! Ce groupe a vocation à rassembler amateurs, curieux et experts autour du partage d’expérience. Bravo à Patrick Marchand, sysadmin Evolix, pour cette belle initiative !

Les sorties de novembre – décembre

Debian 10.2 sortie le 16 novembre
Symfony 5 le 21 novembre
Linux 5.4 le 24 novembre
PHP 7.4 le 28 novembre

Autre actualité

Pour la 3ème année, nous nous sommes rendus à Toulouse (France) les 16/17 novembre à l’occasion du Capitole du Libre
Nous souhaitons la bienvenue à Olivier Filandre, notre nouveau collaborateur à Montréal !

Retour sur les derniers mois de Evolix au Québec

2019-11-12T21:56:42+00:00

Tandis que la fin d’année approche à grand pas, revenons quelques mois en arrière dans l’actualité de Evolix au Québec : voici nos événements marquants de ces derniers temps…

Sortie de Debian 10

La grande nouvelle de ces derniers mois a été pour nous la sortie en juillet 2019 de Debian 10 (Buster), notre distribution GNU/Linux favorite. Elle intègre notamment PHP 7.3, MariaDB 10.3, Nginx 1.14, Varnish 6, HAProxy 1.8, OpenJDK 11, Tomcat 9, LXC 3.1, Ansible 2.7 (consulter notre article détaillé). Contactez-nous pour installer cette version 10 sur vos nouveaux serveurs, ou réaliser une mise à jour majeure vers Debian 10 sur vos serveurs existants !

Nos événements majeurs

StartupFest 2019

Du 8 au 12 juillet se déroulait le StartupFest au Parc Jean Drapeau. L’expérience StartupFest en quelques mots ? C’est déambuler dans le village de startups, faire des rencontres privilégiées via l’application Braindates, écouter des conférenciers remarquables ou encore plonger dans un flot de créativité lors des réseautages. Bref, un événement unique et qui était particulièrement réussi pour cette édition 2019 !

Evolix partenaire de la SQiL 2019

Evolix était cette année encore partenaire de la Semaine québécoise de l’informatique libre : du 21 au 29 septembre étaient célébrées les initiatives associatives, culturelles, universitaires et professionnelles autour des logiciels libres au Québec.

Meetup technologies web et logiciels libres

Mercredi 25 septembre, nous avons contribué à un nouvel atelier du Meetup Technologies Web et Logiciels Libres. Le thème abordé était la Gestion des mots de passe : problèmes communs, bonnes pratiques et cas d’application. Retrouvez la présentation sur web-libre.ca

5@7 Femmes en Tech

Le 30 octobre, nous étions au 5@7 Femmes en Tech, organisé par l’aile jeunesse du RFAQ. L’événement rassemblait 5 panélistes issues de milieux variés : ville intelligente, e-commerce, jeux vidéos, recrutement TI et startup, pour aborder l’enjeu de la parité, du développement d’affaires et de l’attraction de talents féminins dans le secteur des technologies.

Ce soir nous assistons à l'événement Femmes en Tech du @RJFAQ avec 5 panélistes aux parcours riches d'instructions sur les problématiques de #parité en #TI #RFAQ pic.twitter.com/hCtcebOKoz
— Evolix Canada (@evolixCanada) October 30, 2019

Autres actualités

Le 26 juillet, nous avons fêté le Sysadmin Day
Le 16 août, Debian a fêté ses 26 ans !
Le 24 septembre, nous étions aux 16 ans du Linux-Meetup de Montréal dans les locaux de Ubisoft
Le 27 septembre, le projet GNU fêtait son 36e anniversaire
Le 14 octobre, notre équipe française a célébré les 15 ans de Evolix à Marseille !
Le 23 octobre, nous avons soutenu la 1ère rencontre du groupe d’utilisateurs BSD de Montréal
Le 25 octobre, nous avons commandité le Meetup Ansible Montréal et découvert les dernières nouvelles de notre outil d’automatisation préféré

Ce soir, nous participons au #Meetup @ansible de Montréal dans les locaux de @RedHat ! pic.twitter.com/1J0SuPRQHJ
— Evolix Canada (@evolixCanada) October 24, 2019

Les sorties de ces derniers mois

Ceph « Nautilus » 14.2.2 en juillet
Xfce 4.14 le 12 août
Rails 6.0 le 15 août
Git 2.23 le 16 août
WordPress 5.2.3 le 4 septembre
Gitea 1.9.3 le 6 septembre
Linux 5.3 le 15 septembre
Varnish Cache 6.3.0 le 16 septembre
Icinga 2.11 le 19 septembre
NextCloud 17 le 30 septembre
PostgreSQL 12 le 3 octobre
WordPress 5.2.4 le 14 octobre et attention il ne sera bientôt plus compatible avec PHP 5.6 !
OpenBSD 6.6 le 17 octobre

Responsable développement des affaires recherché.e !

2019-10-18T21:12:13+00:00

Nous recherchons un(e) commercial(e) spécialiste des ventes, ayant envie d’évoluer dans un environnement technologique éthique et stimulant pour rejoindre notre bureau à Montréal ! Vous intégrerez l’équipe dans le cadre d’un remplacement de congé maternité de 9 mois et viendrez renforcer nos activités de vente.

_{Bienvenue chez Evolix !}

Qui sommes-nous?

Depuis 2004, Evolix aide les entreprises œuvrant dans le Web à maintenir une infrastructure TI sûre, performante et évolutive, en devenant pour elles leur équipe TI à distance, disponible 24h/24. Nous offrons à nos clients des services gérés de qualité, grâce à une équipe composée d’une douzaine d’administrateurs système et réseau spécialisés en logiciels libres et open source.

Nos services

Gestion d’infrastructures à base de serveurs Linux et BSD
Support technique 24/7
Hébergement web (dédié & Cloud)
Conseil et formation

Votre quotidien

Au sein de Evolix, vous serez en charge du développement commercial. Vous bénéficierez d’une grande autonomie dans vos tâches et vos initiatives, tout en travaillant en collaboration avec l’équipe technique de l’entreprise, pour veiller à la bonne coordination technico-commerciale de nos activités au Canada. Vous serez également amené(e) à échanger avec notre équipe située en France.

Pourquoi travailler avec nous ?

Pour travailler dans une entreprise éthique
L’éthique a une place centrale dans notre stratégie commerciale et organisationnelle. Nous nous sommes inspirés de la philosophie des logiciels libres pour consolider notre culture d’entreprise : richesse humaine, partage de connaissance et amélioration continue sont les valeurs fortes portées par Evolix.

Pour bénéficier d’un cadre convivial
Notre bureau est situé à la Halte 24-7, un espace de co-working à 2 min du parc LaFontaine, avec des événements sociaux proposés tout au long de l’année.

Pour bénéficier de nombreux avantages
Nous vous offrons des conditions de travail flexibles : depuis votre bureau, dans le lounge ou en terrasse. Télétravail occasionnel, horaires aménageables, congés payés de 4 semaines, assurance collective.

Vos conditions de travail

Vos tâches

Atteindre et dépasser les objectifs de vente
Identifier des nouveaux prospects cibles
Faire de la prospection téléphonique à froid
Planifier vos journées de travail et assurer vos rendez-vous
Faire du réseautage pour représenter l’entreprise et entretenir vos relations d’affaires
Recueillir les besoins potentiels des prospects et en faire l’analyse en collaboration avec l’équipe technique
Effectuer des soumissions et en assurer le suivi (cycle de vente)
Gérer le processus de vente du premier contact au contrôle qualité après livraison
Veiller au bon déroulement des projets vendus avec l’équipe technique
Faire des suivis avec nos clients pour veiller à leur satisfaction et répondre à l’évolution de leurs besoins

Votre profil

1 à 3 ans d’expérience en développement des affaires
Connaissances du Web et expérience en TI
Excellente habileté à faire des appels à froid et de la prospection en personne
Bonne organisation administrative
Bonne gestion des priorités
Orienté(e) clients
Bonne communication écrite et orale
Capacité à négocier et à closer
Esprit d’équipe
Autonomie et prise d’initiatives
Bilingue Français / Anglais
Connaissance des logiciels libres un plus

Vos avantages

Salaire : 45 000$ + commissions (engagement + résultats)
Assurance collective après 1 mois
4 semaines de congés par an (utilisable dès la première année)

Contactez-nous !

Faites-nous parvenir votre candidature ou vos questions à hello+com@evolix.ca

Juin 2019 chez Evolix

2019-07-04T19:51:20+00:00

Une semaine mémorable en équipe

Pendant une semaine, l’équipe québécoise de Evolix a rejoint ses collègues français à Marseille pour 5 jours de « teambuilding ». Au programme : bilan d’équipe, jeux de rôle, randonnée dans les Calanques, jeu de piste, initiation à l’escalade, séances de massage et soirée d’anniversaire pour fêter tous ensemble les 15 ans de Evolix !

Conférence TechnoMontreal

Le 20 juin, nous avons assisté à la conférence Connexion Retail-Tech proposée par le Centre québécois d’innovation en commerce (CQIC) et TechnoMontréal : une initiative visant à faciliter l’accès à l’innovation du secteur du commerce de détail québécois. À cette occasion, Evolix et les compagnies TI participantes ont présenté leur diverses expertises en e-commerce.

Ce matin nous sommes présents à la conférence du #CQIC, l'accélérateur qui accompagne l'innovation technologique dans le milieu du commerce de détails, lancé par @TechnoMontreal pic.twitter.com/s0yS1gWvmN
— Evolix Canada (@evolixCanada) 20 juin 2019

Les dernières news

Sortie d’Ansible 2.8 le 29 mai
Le 3 juin, on a assisté au 5@7 Femmes en Tech de la CCMM dans les locaux de Ubisoft
Le 5 juin avait lieu le cocktail annuel de Cologix, notre fournisseur de centre de données
Le 12 juin est sortie la version 2.10.12 de Gimp
HAProxy 2.0 est sorti le 15 juin
Le 19 juin, Evolix s’est rendu au PG Day France à Lyon, une conférence dédiée à PostgreSQL dont nous étions sponsor
Le 20 juin, nous nous sommes rendu à l’événement iTech de Montréal consacré aux enjeux d’infrastructure TI
Le 24 juin est sortie la version 4 de Raspberry Pi
La release officielle de Debian 10 (Buster) est prévue pour le 6 juillet
Les vidéos de la mini-DebConf Marseille de mai sont disponibles !

Mai 2019 chez Evolix

2019-06-13T14:09:30+00:00

BSDCan à Ottawa

La conférence est maintenant officiellement ouverte. Nous sommes fiers de faire partie des sponsors de la #BSDcan cette année.
—
The conference is now officially opened. We are proud to be part of the #BSDcan sponsors this year. pic.twitter.com/2f7QyomWgB
— Evolix Canada (@evolixCanada) May 17, 2019

Du 15 au 18 mai a eu lieu la conférence BSDCan à Ottawa : nous y étions en tant qu’utilisateurs OpenBSD et partenaires de l’événement. Le BSDCan, qu’est-ce que c’est ? Un rassemblement convivial et ouvert à tous les débutants et experts des technologies BSD.

Nous avons débarqué dès le jeudi matin à l’université d’Ottawa, où se tenait le BSDCan, pour participer au tutoriel OpenBGPD livré par Peter Hessler, l’un des développeurs du projet OpenBSD.

Nous sommes présents ce matin à Ottawa pour une journée de tutoriels animée par @phessler autour de l’implémentation #BGP de @OpenBSD. Cela sera peut-être également l’occasion de réviser notre HowtoBGP. https://t.co/JB34cMXWMr #bsd #bsdcan #openbsd pic.twitter.com/uBxeIeElTX
— Evolix Canada (@evolixCanada) May 16, 2019

Mais comment faire un tutoriel réseau lorsque l’université empêche la creation d’un Wi-Fi personnel ? Heureusement la communauté BSD était plus qu’habilitée à relever le défi. En un rien de temps, câbles, routeurs et adapteurs ethernet, en quantité suffisante pour connecter tous les participants ensemble, sont apparus des divers coins de la conférence. À peine remis de cet élan de coopération, nous avons eu droit à une excellente démo interactive : définitivement une experience à recommander !

Le lendemain débutait officiellement la conférence BSDCan, où nous disposions d’un kiosque en tant que sponsor, aux côtés de Michael W. Lucas, l’auteur de nombreux livres techniques liés à BSD !

The #BSDcan opening session is about to start. Meanwhile, we are all set! You are more than welcome to swing by the stand to talk with us and grab some stickers and goodies pic.twitter.com/mWw4eFfrVT
— Evolix Canada (@evolixCanada) May 17, 2019

Plusieurs présentations étaient proposées tout au long des deux journées (visualisez les conférences sur la chaîne dédiée). Parmi celles-ci, nos coups de cœur ont été :

Unwind(8) : un résolveur DNS local conçu pour marcher sur des postes clients et fonctionnant notamment avec les portails captifs.
Un ordinateur accessible : on peut oublier trop souvent que les ordinateurs sont au service des humains. Ce témoignage touchant explique comment adapter le technique à l’humain, et non le contraire.
OpenBSD network booted Workstations : comment mettre en œuvre un parc de postes sous OpenBSD démarrés en réseau.
Hack the Puffy : développer un scénario type capture-the-flag pour la plateforme Hack The Box.
Unveil(8) in OpenBSD : un mécanisme ingénieux permettant de ne réveler qu’une partie du système aux applications.
Syspatch(8) : un utilitaire pour récupérer, vérifier, installer et restaurer des patch kernel binaires OpenBSD.
MirageOS : un unikernel écrit en OCaml, qui peut être virtualisés par tous les BSD. Une alternative intéressante qui vient chercher le meilleur de la virtualisation et des conteneurs.

Finalement, le BSDCan s’est achevé jovialement samedi soir, avec une soirée de clôture gourmande à souhait. Nous remercions l’ensemble des organisateurs d’avoir réalisé cet événement convivial, pédagogique et riche en partage !

Evolix à la Mini-DebConf Marseille

Félicitations à l’équipe française de Evolix pour l’organisation de la Mini-Debconf Marseille qui s’est déroulée la fin de semaine des 25 et 26 mai. Avec plus de 75 participants venus du monde entier (Canada, USA, Israël, Angleterre, Allemagne, Espagne, Suisse, Australie, Belgique etc.), une quinzaine de conférences filmées en direct, des présentations techniques de haut niveau autour du projet Debian : ce fut un véritable succès !
Découvrez le résumé en photos et liens vidéos de toutes les conférences via Mini-DebConf Marseille 2019

Nos dernières news

Le 1er mai était le jour de sortie officiel d’OpenBSD 6.5
Le 5 mai a eu lieu la sortie de la version 5.1 de Linux
Le 30 mai est sortie Gitea 1.8.2

mini-DebConf Marseille 2019

2019-06-05T22:00:00+00:00

Les 25 et 26 mai 2019 se tenait la mini-DebConf Marseille.

Les mini-DebConfs sont des événements organisés par la communauté pour aider les personnes intéressées par le projet Debian à se rassembler, partager et travailler ensemble. Elles sont plus courtes, plus simples et plus fréquentes que les DebConfs annuelles.

Je ne vais pas raconter le déroulement de la conférence, Grégory l’a très bien fait sur son propre blog. Je vais plutôt partager mon ressenti et l’état d’esprit derrière cette organisation et le déroulement de l’événement.

La naissance de l’idée

Depuis de nombreuses années – probablement « Paris on Rails » en 2006 – je participe à des conférences autour des logiciels et technologies (souvent libres) que j’utilise. J’y ai toujours trouvé un esprit communautaire (au sens de ce qui nous rassemble) qui m’a beaucoup influencé.

J’ai souvent été dans les rangs des salles de conférences, et de temps en temps j’ai aussi été sur scène en tant qu’orateur. L’expérience est évidemment très différente mais les deux positions apportent des choses très complémentaires.

En 2013 j’ai organisé à Marseille un « Global Day of Code Retreat ». Ça a été ma première tentative d’organisation : trouver une vingtaine de participants, les nourrir, les guider dans les activités créatives, financer tout ça… J’ai été aidé pour la partie “coaching” mais j’ai géré l’organisation tout seul.
Il ne s’agissait que d’une journée, avec un public très réduit, mais la charge de travail et la diversité des tâches m’ont clairement appris qu’il ne fallait pas se lancer là dedans tout seul. On m’avait prévenu, mais je voulais me prouver que j’en étais capable.

En 2017, une bonne partie de l’équipe Evolix participait à la DebConf de Montreal. Il s’agit d’une conférence qui réunit plus de 500 personnes – venues du monde entier – autour du projet Debian (la meilleure et une des plus anciennes distributions GNU/Linux).
Une semaine complète dans les locaux d’une université, des dizaines de présentations (dont la nôtre), une logistique technique, repas et hébergement franchement complexe. J’étais impressionné par l’ampleur de l’événement et surtout par l’effet humain.
Ce genre de conférence est un formidable catalyseur. On y rencontre des gens très différents mais tous avec les mêmes objectifs. La diversité des origines, parcours de vie, sensibilités… est super enrichissante, pourvu qu’on y soit réceptif. Le sentiment de partage à double sens est très fort.

Lors de cette DebConf, Grégory et moi nous étions engagés à y faire une présentation, en Anglais et en duo. Depuis qu’on se fréquente et surtout depuis qu’on travaille ensemble on a tendance à se chauffer sur des idées un peu folles qui nous font sortir de notre zone de confort.

La même année on s’est rendus à Toulouse pour le « Capitole du Libre », une grande conférence sur les logiciels libres au sein de laquelle était aussi organisée une mini-DebConf. L’objectif est le même que pour les DebConf classiques, mais le périmètre, les ambitions et les moyens sont beaucoup plus modestes. C’est concentré sur 1 ou 2 jours avec des présentations qui attirent quelques dizaines de participants. Denis Briand – le principal organisateur de cette édition – nous a transmis son enthousiasme et nous a incités à organiser un événement du même type à Marseille. Il a tenté de nous rassurer sur la faisabilité de la tâche et nous a assuré du soutien de la communauté française. L’équipe vidéo DebConf – représentée sur place par Nicolas Dandrimont – nous a également quasi assuré de leur présence.

Il n’en fallait pas plus pour nous convaincre.

À la fin d’une de nos présentations, Grégory a annoncé une mini-DebConf à Marseille en 2018 ou 2019, sous le soleil des Calanques. Il aurait fallu se plonger directement dans l’organisation pour pouvoir tenir l’événement à peine 8 mois plus tard et ça ne collait pas super bien avec notre agenda. On a donc rapidement opté pour mai/juin 2019.

Un noyau d’organisation

Grégory et moi partageons beaucoup de valeurs et nous étions bien alignés sur la manière dont on voulait réaliser cette mini-DebConf. On a pris quelques semaines/mois pour rassembler nos notes à propos de l’organisation de conférences. On a sollicité des avis, relus des articles sur le thème… Fin 2018 on a officiellement lancé la machine.

Étant donné que Debian est un projet central pour Evolix, il était clair que ce chantier d’organisation serait en grande partie réalisé sur notre temps de travail, histoire d’assurer un minimum de disponibilité pour les personnes clés.

On a écrit sur un document partagé tout ce qui nous passait par la tête : quoi mettre sur les badges, quel code de conduite adopter, que type de restauration, comment prendre soin des participant⋅e⋅s en général et les orat⋅eur⋅ices en particulier… Ça n’était pas un plan de bataille, mais plutôt une sorte de cahier des charges.

On a motivé Sabiha, fraichement arrivée chez Evolix. Très organisée, suffisamment directive (dans le bon sens), rompue à l’organisation événementielle, et surtout très motivée, elle était le bon complément à notre duo.

On s’est assez naturellement réparti les grands chapitres de l’organisation. Pendant quelques semaines on a choisi un lieu et une date, un traiteur, organisé les grandes lignes des taches à réaliser, accueilli avec plaisir des propositions d’aide de la part de plusieurs personnes très motivées. On a communiqué avec la communauté Debian, motivé des orateurs potentiels et commencé à gérer les choses de plus en plus en détail.

Durant les deux semaines précédant l’événement, j’ai graduellement augmenté la proportion de mon temps passé à régler les détails. La dernière semaine je n’ai fait quasiment que ça. Avoir une telle liberté vis-à-vis de mon temps de travail a été très appréciable. Ça m’a permis de gérer beaucoup de choses, sans avoir à (trop) sacrifier mon sommeil ou ma vie de famille.

Quelques jours avant, nous avons réuni la plupart des bénévoles déjà sur place, pour présenter les zones de responsabilité et le déroulement détaillé de l’événement. Ça a permis de mettre tout le monde à la page, mais surtout ça a révélé des aspects complètement oubliés (qu’il était encore temps de rattraper) et fait émerger des idées (qu’il était temps de mettre en pratique).
Par exemple, seulement des hommes avaient réfléchi à l’occupation de l’espace et donc mal envisagé la gestion des toilettes.
Nous avions aussi prévu un espace d’expression libre et Eda — que nous connaissons par nos activités associatives et qui n’était pas encore intervenue – a proposé l’idée d’enveloppes nominatives dans lesquelles les participants pourraient se déposer des petits mots plus ou moins anonymes.
Enfin, nous voulions offrir le premier verre lors de la soirée sociale à « La Cane Bière » et nous cherchions encore une idée pour matérialiser ça. Au dernier moment Juliette a eu l’idée de découper des bouts de PCB issus de disques durs détruits et d’accrocher ça (après nettoyage et personnalisation) au tour-de-cou donnés avec les badges. Travailler sur l’accueil des participants avec créativité, respect des sensibilités diverses, dans un esprit geek et le plus écolo possible a rendu la tâche vraiment fun et satisfaisante.

Des valeurs

Bien qu’on s’attendît à des participant⋅e⋅s bienveillant⋅e⋅s et respectueu⋅x⋅ses, il était évident qu’il fallait expliciter un code de conduite. Nous l’avons mis en avant à l’inscription, dans nos différentes communications par mail, rappelé lors du discours d’accueil, affiché en grand à l’entrée de l’auditorium… Nous avons présenté les personnes référentes (hommes et femmes), annoncé une adresse mail et un numero de téléphone/Signal. Au final nous n’avons reçu aucun signalement ou plainte. On avait également proposé aux participant⋅e⋅s d’imprimer sur leur badge un pictogramme explicite et coloré pour indiquer : « OK pour être pris⋅e en photo », « demander avant », ou « ne pas me photographier ».

Attentifs à l’empreinte écologique, nous avons essayé de faire le plus neutre possible. On ne pouvait pas empêcher les participant⋅⋅e⋅s de prendre la voiture ou l’avion pour venir (d’Israël, Canada ou Australie, c’est difficile). Par contre on a pu éliminer le gaspillage alimentaire, les couverts et gobelets jetables. On a fortement limité les emballages plastiques (bouteilles…).
On a aussi choisi de limiter les « goodies » à des choses qui seraient réellement utilisées : un t-shirt (avec choix de la coupe en plus de la taille), un sticker, et un badge sans plastique.
Pas de sacs, de stylos, de plaquettes commerciales de sponsors…

Une autre idée forte était de faire le maximum pour que les participant⋅e⋅s se sentent bien pendant le temps où ils⋅elles étaient là. Sachant que pas mal de monde arriverait à Marseille en avance, nous avons ouvert le lieu au public dès vendredi 14h. Nous avions proposé à des équipes Debian de venir plusieurs jours avant pour profiter de faire un sprint.
L’équipe « vidéo » est venue dès mercredi et l’équipe « localisation française » a profité de toute la journée du vendredi. Une grande pièce, à l’écart, avec des canapés, fauteuils… étaient disponibles, notamment pour le CA de « Debian France » qui y a pu organiser une assemblée générale. On avait préparé plein d’informations utiles dans le Wiki. On a rappelé tout ça dans un long mail envoyé quelques jours avant. Et comme tout le monde ne lit pas avec attention ses mails, on a fait un PDF récapitulatif.

Au niveau alimentaire, on est parti sur une base végétarienne, avec même une majorité d’options végan, sans gluten… En travaillant avec une équipe locale (ma très chère sœur !), qui n’utilise que des produits locaux et frais, on a pu avoir une belle diversité et originalité de nourriture qui semble avoir ravi les participant⋅e⋅s.

Le coup de feu

Pendant 3 jours, j’étais à fond, littéralement. J’avais la responsabilité du lieu et des clés donc il fallait être là avant tout le monde et repartir le dernier.
Mon naturel touche-à-tout, un peu perfectionniste et surtout ma grande difficulté à déléguer a fait qu’on m’a vu courir dans tous les sens, d’un étage à l’autre.
On a pu croire que j’étais la pierre angulaire de l’organisation alors que je n’étais qu’un maillon, juste un peu plus visible que d’autres.

C’était notamment dû au fait que j’ai fait le discours de bienvenue, la moitié des interludes entre les présentations ainsi que le petit discours de fin.
Ça aussi c’était un peu nouveau pour moi.

J’ai eu 2 fois l’occasion de faire des présentations en anglais devant des gens (a fortiori des gens que j’estime et sur qui j’ai envie d’avoir un effet positif). La première était une conférence Ruby en 2011 et la seconde à la DebConf de Montréal (en duo avec Grégory) en 2017. Chaque fois j’ai énormément travaillé mon texte, répété à l’usure, jusqu’à être plus dans un mode théâtral que naturel et spontané. Le stress a été énorme et accompagné d’un sentiment proportionnel de soulagement une fois le moment passé.
Pour cette mini-DebConf où j’ai fait le MC, je ne m’étais pas spécialement préparé (à part mes diapos) ni répété ce que je voulais dire ou comment tourner mes phrases. J’avais clairement en tête le fond (aidé de mes supports) mais pas du tout la forme. Pourtant j’ai eu à transmettre en anglais un message important à plusieurs dizaines de personnes. Objectivement l’exercice était le même, l’enjeu était similaire.
Je suis sûr d’avoir fait plein de fautes d’anglais, j’ai probablement bafoué pas mal de règles du bon présentateur, mais il paraît que ça passait plutôt bien et puis je ne me suis pas senti perdu ni ridicule. J’ai probablement une leçon personnelle à tirer de ça, pour mes prochaines présentations, en particulier celles en anglais.

Fin du brouillon inachevé, écrit début juin 2019.

Mise à jour du 25 novembre 2022

J’y reviens 3 ans et demi plus tard avec fatalement une mémoire bien moins précise, donc je n’essaierai pas de le terminer. La police des blogs bien finis sait où me trouver.

Je note quand même qu’à l’époque je n’ai pas écrit la section de remerciements. Je l’écris habituellement à la fin, et la fin n’est jamais venue. C’est la seule chose que je vais essayer de compléter a posteriori, sans ordre d’importance :

Sabiha et Grégory pour avoir formé le trépied d’un noyau d’organisation ultra-stable et efficace. Je suis tellement content d’avoir fait ça avec vous.
Jérémy Dubois qui a fait un boulot particulier sur le réseau pour qu’on surfe sans encombre sur les Internet de 2019.
Tout le reste de l’équipe d’Evolix qui a travaillé sur la mini-DebConf ou qui est resté concentré sur le boulot pour permettre aux autres de s’en détacher : Jessica, Anaïs, Juliette, Éric, Ludo, Bruno, Alexis, Tristan, Victor L, Benoit, Patrick, Pascaline, Quentin F.
L’équipe vidéo de Debian (en particulier Nicolas Dandrimont et Louis-Philippe Véronneau), qui s’est déplacée du Québec, de France, d’Allemagne… pour venir faire un boulot remarquable.
La Maison du Chant qui nous a ouvert ses portes de la manière la plus généreuse et confortable qui soit.
Valentine et Célia, qui ont pris nos contraintes alimentaires et écologiques et en ont fait un régal pour tout le monde (sauf un carnivore un peu frustré).
Tous les sponsors de l’événement : Debian France, Evolix, Bearstech et Logilab sans qui le financement de toute cette aventure était impossible.
Tou⋅te⋅s les bénévoles « non Evolix » qui ont un ont donné des coups de mains précieux et/ou des idées géniales, avec une mention spéciale à Éda et Victor G nos fidèles Aïolibristes marseillais, Quentin Lejard et Alban Vidal les meilleurs gendarmes du monde (parce ce sont des amours et qu’ils sont au cœur de Debian France).
Et enfin les malheureux⋅ses que j’ai oublié⋅e⋅s et qui peuvent me hurler dessus pour que je répare l’affront (mais avec indulgence, j’écris ça du fond de mon lit en plein covid).

J’ai aussi un recul forcément un peu plus grand. Et pour autant je ne renie rien de ce que j’avais écrit alors à chaud.

Après tout ce temps, il me reste la même fierté collective d’avoir fait de cet événement une réussite dont j’ai encore de temps en temps des échos, toujours dithyrambiques.

Ça me redonne encore plus envie de repartir dans une mini-DeConf à Marseille, avec les mêmes valeurs et le souci de satisfaire les gens qui font l’effort de venir. Et encore plus.

PS : J’ai encore du chemin à parcourir sur l’aisance à parler devant des gens (surtout en langue étrangère), car encore fortement appréhendé ma présentation à HAProxyConf il y a quelques semaines. Il faut croire que malgré mon allure assurée, j’ai toujours peur de ne pas être à la hauteur.

Mini-DebConf Marseille 2019 (fr)

2019-06-05T13:57:33+00:00

L’idée d’organiser une mini-DebConf à Marseille est née à Toulouse en 2017 : après avoir participé avec plaisir à plusieurs (mini)DebConfs, se lancer dans l’organisation d’un tel évènement est une manière de rendre la pareille et de contribuer à Debian !

Fin 2018, après avoir réuni les personnes motivées, nous avons choisi la date du 25/26 mai 2019 et dimensionner l’évènement pour 50 à 70 personnes en sélectionnant un lieu approprié au centre-ville de Marseille. Je ne vais pas m’attarder ici sur détails de l’organisation (appel à conférences, enregistrement des participants, composition du programme etc.), car nous allons publier bientôt un « Howto Organizing a mini-DebConf » pour partager notre expérience.

Tout a commencé dès le mercredi 22 mai, où la formidable équipe vidéo DebConf s’est réunie pour un sprint de 3 jours pour préparer la couverture de l’événement avec le matériel déjà arrivé et former les membres qui gèreront le matériel pour la mini-DebConf Hambourg.

Vendredi 24 mai, l’équipe de traduction francophone de Debian est arrivée pour un sprint d’une journée. La plupart d’entre eux ne s’était jamais rencontré physiquement !

Une majeure partie des participants sont arrivés dans l’après-midi du vendredi 24 mai. Le bureau d’accueil (Front-Desk) était déjà prêt, et les arrivants ont pu récupérer leur badge et un T-shirt de l’événement. Pour des raisons écologiques, nous avions décidé de minimiser les goodies offerts au participants donc pas de sacs ou papiers superflus, mais un booklet distribué en amont. Si besoin, des goodies Debian (stickers, casquettes, polos, etc.) étaient aussi en vente au Front-Desk.

La soirée de vendredi a débuté avec un mini-CheeseWineBOF avec des denrées locales (fromages, vins, pastis, olives, fruits et légumes) et apportées par des participant(e)s : merci à Valhalla pour fromage italien, ainsi qu’à Urbec et Tzafrir !

La soirée de vendredi s’est poursuivie : pendant que l’équipe vidéo finalisait son installation dans la salle de conférence, les participants ont été invités à une réunion du Linux Users Group de Marseille : une présentation de Florence Devouard, pionnière de Wikipédia, qui est revenue l’historique de Wikipédia/Wikimédia avec de nombreuses anecdotes. La soirée s’est achevée avec une tradition locale : la dégustation de pizzas marseillaises. Le week-end n’est pas encore commencé, et déjà de bons moments sont partagés entre les participants !

Samedi matin, c’était le coup d’envoi officiel de la mini-DebConf ! Ouverture des portes à 8h30 pour le petit déjeuner : cookies fait-maison, café en grains, nous avons proposé durant tout le week-end de la cuisine locale, fait-main et végétarienne. Autre objectif : minimiser les déchets, et dans cette optique nous avons réfléchi à différents dispositifs : couverts en dur, tasses à étiqueter, Ecocups, etc.

75 participants s’étaient inscrits, ce qui correspondait au maximum de la capacité du lieu. Et 73 sont effectivement venus, ce qui est un bel exploit, notamment pour une conférence totalement gratuite. Si l’on compte quelques participants non-inscrits, nous avons été au total plus de 75 participants, soit au-delà de nos espérances !

À 9h45, c’est la conférence d’ouverture ! Jérémy déroule le programme du week-end, remercie les sponsors et rappelle le Code of Conduct, le système d’autorisations pour les photos, etc.

À 10h, c’est parti pour la première conférence ! Les choses sérieuses débutent : Cyril Brulebois – release manager du Debian Installer – détaille le fonctionnement de la migration d’un package vers Testing, et propose une solution pour visualiser les dépendances entre les packages et comprendre ainsi pourquoi un package peut être bloqué.

On enchaîne ensuite avec Peter Green – co-fondateur du projet Raspbian – qui présente l’outil autoforwardportergit qu’il utilise pour automatiser la création de packages Debian modifiés pour Raspbian.

Après une pause-café, c’est Raphaël Hertzog qui revient sur 5 ans du projet Debian LTS (Long Term Support). Il explique l’historique ainsi que le fonctionnement : la gestion des sponsors, le travail réparti entre plusieurs développeurs, l’offre extended LTS, l’infrastructure. Le sujet du financement des contributeurs provoquera plusieurs questions et suscitera un Lightning Talk sur le sujet dimanche matin.

Durant le midi, pendant que l’infatiguable équipe vidéo forme des débutants à ses outils, un déjeuner est servi sous forme de buffet végétalien ou végétarien. Nous sommes fiers d’avoir réussi à offrir une cuisine fait-maison avec des produits frais et locaux, et sans gâchis grâce à une bonne gestion des quantités.

Après le déjeuner, c’est l’heure de la KSP (Key Signing Party) organisée par Benoît. L’occasion pour chacun d’échanger des signatures de clés GPG et de renforcer le réseau de confiance.

Et l’on repart pour un cycle de conférences, avec Elena “of Valhalla” Grandi qui présente le protocole ActivityPub pour des réseaux sociaux fédérés comme Mastodon, Pixelfed, etc.

C’est au tour de Laura Arjona Reina venue de Madrid pour présenter la Welcome Team au sein de Debian qui œuvre pour accueillir les nouveaux arrivants.

Ensuite, Denis Briand – fraîchement élu président de Debian France – nous parle de l’association Debian France, de son but, de ses actions et de ses projets.

C’est au tour de Frédéric Lenquette d’aborder le sujet « Hardening and Secure Debian Buster » en explorant toutes les possibilités de sécurisation d’une Debian 10.

Enfin, dernière conférence de la journée de samedi : une partie de l’équipe de traduction francophone (Thomas Vincent, Jean-Philippe Mengual and Alban Vidal) présente son travail : comment fonctionne le travail en équipe, quelles tâches peuvent être faites par des débutants, etc.

Samedi soir, fin de la première journée : tous les participants sont invités à prolonger les échanges à la Cane Bière, un bar proche de la mini-DebConf.

Dimanche matin, on repart avec une présentation de l’équipe vidéo (représentée par Nicolas Dandrimont et Louis-Philippe Véronneau) qui révèle ses secrets pour assurer la couverture vidéo des (mini)DebConfs !

Puis on enchaîne avec une session de 6 Lightning Talks animés par Eda : « kt-update » (Jean-François Brucker), « the Debian Constitution » (Judit Foglszinger), « Elections, Democracy, European Union » (Thomas Koch), les méthodes de vote de Condorcet et du Jugement Majoritaire (Raphaël Hertzog), « encrypt the whole disk with LUKS2 » (Cyril Brulebois), « OMEMO – the big fish in the Debian bowl » (Martin) et « Paye ton Logiciel Libre » (Victor).

Après quelques mots pour clôturer les conférences, c’est déjà l’heure du rangement pour certains, tandis que d’autres en profitent pour faire un mini-DayTrip : descendre la Canebière à pied et embarquer au Vieux Port pour l’archipel du Frioul pour marcher et nager !

Nous remercions les 75 participant(e)s venus du monde entier (Canada, USA, Israël, Angleterre, Allemagne, Espagne, Suisse, Australie, Belgique etc.) ! Nous remercions également la fantastique équipe vidéo qui réalise un travail remarquable et impressionnant de qualité. Nous remercions Debian France qui a organisé l’événement, et les sponsors : Bearstech, Logilab et Evolix. Nous remercions la Maison du Chant de nous avoir mis à disposition les locaux. Nous remercions Valentine et Célia qui ont assuré tous les repas, il y a eu de nombreux compliments. Nous remercions Florence Devouard d’avoir assuré une belle présentation vendredi soir, ainsi que tous les orateurs(ices) de la mini-DebConf. Et je tiens à remercier tous les bénévoles qui ont assuré la préparation et le bon déroulement de l’événement : Tristan, Anaïs, Benoît, Juliette, Ludovic, Jessica, Éric, Quentin F. et Jérémy D. Mention spéciale à Eda, Moussa, Alban et Quentin L. pour leur implication et leur motivation, et à Sab et Jérémy qui se sont plongés avec moi dans cette folle aventure depuis plusieurs mois : you rock guys !

Twitter : https://twitter.com/MiniDebConf_MRS
Mastodon : https://mamot.fr/@minidebconf_mrs
Photos : https://minidebcloud.labs.evolix.org/apps/gallery/s/keMJaK5o3D384RA
Vidéos : https://ftp.acc.umu.se/pub/debian-meetings/2019/miniconf-marseille

Avril 2019 chez Evolix

2019-05-09T20:22:37+00:00

Evolix partenaire du BSDCan

Du 15 au 18 mai 2019 aura lieu la conférence annuelle BSD Canada (BSDCan) à l’université d’Ottawa : une conférence technique s’adressant à la fois aux débutants et aux experts travaillant sur des projets et systèmes basés sur BSD. En tant qu’utilisateurs et fournisseurs de support OpenBSD au fil des 15 dernières années, nous sommes fiers d’être cette année sponsors et participants de cet événement!
Nous profitons d’ailleurs de cette occasion pour remettre en lumière la sortie de OpenBSD 6.5 le 25 avril dernier, une semaine avant la date officielle.

Nos dernières actualités

Bienvenue à Quentin qui rejoint notre équipe à Montréal !
Le 10 avril, sortie de l’Elastic Stack 7.0
Le 17 avril, sortie d’OpenBSD 6.5 et OpenSSH 8.0
Le 21 avril, Sam Hartman a été élu nouveau Debian Project Leader
Le 21 avril, sortie de Gitea 1.8.0
Le 25 avril, journée mondiale du manchot, la mascotte de Linux
Le 27 avril, sortie de Debian 9.9

Clin d’œil sur…

Le salon de la transformation numérique

Les 17 et 18 avril avait lieu la 2ème édition du Salon de la transformation numérique à Montréal, organisé par Les Affaires à la place Bonnaventure. Un événement particulièrement intéressant pour dresser un état des lieux des opportunités et défis dans le parcours numérique des entreprises québécoises : infrastructure, gestion du changement, marketing, IA, sécurité… étaient en effet les nombreux sujets abordés à travers les ateliers, conférences et kiosques.

TechnoMontréal

Le 29 avril se déroulait la 12ème Assemblée Générale de TechnoMontréal, la grappe des technologies de l’information et des communications du Grand Montréal. Les différents comités ont présenté leur bilan d’activités 2018, ainsi que les projets prévus en 2019 pour stimuler le climat d’affaires et l’innovation au sein de industrie TI (près de 5000 entreprises au Québec). Parmi les nouvelles annoncées, nous avons souligné tout particulièrement l’initiative Humanitek, un think tank ayant vocation à analyser les impacts des technologies sur les plans environnementaux, économiques et sociaux.

Discours d’ouverture par Mr François Croteau, membre du comité exécutif de la Ville de Montréal, Responsable de la ville intelligente, des technologies de l’information, de l’innovation, de la performance organisationnelle et de l’enseignement supérieur

Découvrez Ceph en 15 minutes!

Ce mois-ci, nous vous faisons découvrir Ceph, la solution libre de stockage, en moins de 15 minutes ! Visionnez notre dernière présentation de ce logiciel libre, désormais utilisé en production sur notre Cloud Evolix.

Mars 2019 chez Evolix

2019-04-05T21:34:29+00:00

Meetup DevOps

Le 20 mars, nous avons accueilli un nouveau Meetup Technologies Web et Logiciels Libres, dédié ax pratiques DevOps.

Trois intervenants sont venus présenter la manière dont ils ont adopté des approches DevOps au sein de leur équipe, pour gérer la complexité technique et humaine : Sébastien Portebois, Lead Developer chez Aerial Technologies, François Naggar-Tremblay, Product Manager du projet Jami chez Savoir-Faire Linux et Patrick Marchand, Administrateur système chez Evolix. Une enrichissante discussion, animée par Brice Argenson, a ensuite eu lieu entre les 3 panélistes et les participants !

Nous y étions…

Le 14 mars s’est tenu Confoo, la conférence annuelle pour les développeurs à Montréal. Des centaines de professionnels se sont réunis pour assister à des dizaines de présentations sur des solutions technologiques variées. Nous étions heureux de nous plonger dans l’ambiance de cet événément le temps d’un 6@8 riche en rencontres et discussions techniques !

Nous avons assisté à la conférence Femmes en Tech, organisée le 14 mars par la Chambre de commerce et Ubisoft, mettant à l’honneur Randi Zuckerberg, une célèbre figure de la Silicon Valley. Nous avons été inspirés par son originalité, son esprit critique et son audacieuse créativité !

Actualité

Le 3 mars la version 5.0 du noyau Linux est sortie
Le 12 mars, sortie de WordPress 5.1.1 (security release)
Le 19 mars, la version 14 de Ceph (Nautilus) est sortie
Le 28 mars, l’équipe Evolix France a organisé un second Meetup Ansible à Marseille : découvrez la présentation des techniques & astuces de notre équipe sur :

Deux versions de Gitea ont été lancées ce mois-ci : 1.7.4 et 1.7.5
Le 31 mars, sortie de Redmine 3.4.10 et 4.0.3 (security releases)
Le 31 mars était également le « World Backup Day » : une occasion de rappeler à tous de réaliser ses sauvegardes !

Trucs & Astuces Ansible

2019-03-30T23:00:00+00:00

Lors du dernier meetup Ansible qu’Evolix organise à Marseille, j’ai présenté une série de trucs et astuces que j’utilise dans Ansible, en particulier dans les rôles que nous avons publiés.

Nous avons fait un premier test de captation. La simple caméra utilisée ne rend pas un son fantastique, mais cela permet aux absent.e.s de profiter du contenu.

La vidéo est consultable sur YouTube et les diapos sur notre Gitea.

Février 2019 chez Evolix

2019-03-07T19:07:26+00:00

Le 2 février 2004, l’aventure officielle d’Evolix commençait dans le sud de la France, à Marseille… une multitude de rencontres mémorables, de collaborations passionnantes et de défis relevés d’un bord et de l’autre de l’Atlantique plus tard, c’est avec une petite touche d’émotion que nous célébrions le 21 février l’ouverture de notre 40 000ème tickets sur notre Espace Client !

Actualité

Cette année encore, une partie de l’équipe s’est déplacée au FOSDEM’19 à Bruxelles, les 2 et 3 février.

Rendez-vous incontournable de la communauté du Libre et de l’Open Source en Europe, le FOSDEM réunit des milliers de développeurs et utilisateurs de Logiciels Libres, pendant 2 jours, autour de centaines de conférences offertes dans une ambiance conviviale de partage. Et cette année, parmi les thèmes techniques abordés, ce qu’on a le plus aimé : le protocole de communication Matrix, HTTP/3 et le stockage Ceph!

Les sorties du mois de février

Sortie de Gitea 1.7 (disponible en SaaS chez Evolix)
Lors du FOSDEM, publication de Matrix 1.0
Le 7 février, sortie de PHP 7.3.2
Le 16 février la version de Debian 9.8 est sortie
Le 21 février la version de WordPress 5.1 “Betty” est sortie !
Le 25 février une mise à jour de sécurité pour Drupal 8 est sortie.
Le 28 février : sortie de Wireshark 3.0.0.

Notre prochain Meetup à Montréal

Le 20 mars prochain, nous participerons au prochain Meetup Technologies Web et Logiciels Libres : un panel de 4 intervenants viendront parler de la gestion de la complexité au sein de leur équipe TI. Retrouvez les détails de l’événement et les informations d’inscription sur la page Meetup !

Vous souhaitez en savoir plus sur Evolix ? Suivez nous sur Twitter ou rejoignez nous, on recrute à Marseille et à Montréal !

Un nouveau blog

2019-02-22T23:00:00+00:00

Après plus de 12 ans sur Wordpress.com, j’ai eu envie de reprendre la main sur mon blog ; son apparence, son domaine, etc. sans avoir à débourser des dizaines d’euros par an.

J’ai donc importé mes articles (les plus populaires comme les plus nuls ou obsolètes) en Markdown dans un projet Jekyll qui me permet de générer un site statique que je pousse manuellement sur un serveur perso. Rien de fou, rien de cher, mais une maîtrise retrouvée.

J’ai choisi un thème simple (Kiko) que j’ai très légèrement personalisé. J’améliorerai peut-être ça plus tard..

J’ai bien revu la mise en forme. Quel plaisir de manipuler du Markdown et d’avoir le contrôle sur le rendu.

J’ai aussi embarqué certaines ressources externes, pour éviter qu’elles ne tombent dans l’oubli en cas de disparition de leur plateforme, et pour mieux profiter de leur référencement sous mon propre domaine.

Je n’ai plus de système de commentaire et je ne souhaite pas forcément en retrouver. Une poignée d’articles ont suscité jusque là des commentaires pertinents ; je les ajouterai probablement en fin d’article pour ne pas les perdre (NB : c’est en cours d’import manuel). À l’avenir, si j’en reçois des intéressants par mail ou Twitter, je n’exclue pas de les publier (avec l’accord de leur auteur⋅e).

D’ailleurs, si vous avez des commentaires, des suggestions ou si vous voulez tout simplement dire coucou, mon compte Twitter et mon adresse mail ne sont pas durs à trouver.

Enfin je ne pense pas que ma “ligne éditoriale” ni mon rythme de publication vont fondamentalement changer, mais m’occuper de ça m’a redonné envie de partager des pensées, astuces, découvertes… un peu plus souvent. On verra bien si ça dure.

À bientôt.

Janvier 2019 chez Evolix

2019-02-08T22:12:52+00:00

Avec ce mois de janvier 2019, nous sommes heureux d’entamer notre 4ème année au Québec ! Nous profitons de ce début d’année pour remercier tous ceux qui, de chaque côté de l’océan Atlantique, nous font confiance au quotidien et croient en notre vision orientée #LogicielsLibres #Low-Croissance #RichesseHumaine

Nous participions au 6@8 de la CCIFC sur l’Open Source

Saviez-vous que le marché mondial des services Open Source devrait atteindre 32,95 milliards de dollars d’ici 2022 et que la moitié de ce chiffre d’affaires sera réalisé en Amérique du Nord ?
Le 31 janvier, la Chambre de Commerce et d’Industrie Française au Canada proposait une conférence sur « l’Open Source : moteur de la transformation numérique ». Devant une cinquante de professionnels, un panel d’experts était présent pour démystifier l’Open Source et présenter ses nombreuses opportunités pour les entreprises.
Nous étions heureux de compter parmi les intervenants, aux côtés de Savoir-Faire Linux, Red Hat, Linagora, la SAT et Symetris. Consultez notre présentation !

Correction d’une faille de sécurité dans apt-get

Le 22 janvier, une faille de sécurité a touché APT, le gestionnaire de packages de la distribution Debian, et par conséquent les commandes apt-get, apt et aptitude. Cette faille est particulière car l’application d’un correctif ne doit pas se faire en utilisant APT… il faut donc installer les packages corrigés directement avec la commande dpkg ! Vu l’importance d’un tel problème, une mise à jour mineure de Debian 9.7 à été publiée dès le 23 janvier.

Actualités

Mailman est un Logiciel Libre de gestion de listes de diffusion : on vous explique l’essentiel sur son installation, sa configuration, son administration… dans le cadre de nos #DocDeLaSemaine
Le 28 janvier, se déroulait la Journée européenne de la protection des données personnelles : une occasion pour rappeler que vous pouvez trouver des informations sur le RGPD dans notre article Evolix et le RGPD.
Le 22 janvier notre équipe Evolix France faisait une nouvelle présentation Ansible à retrouver en vidéo :

Evolix recrute !

Administrateur(trice) système & réseau Linux recherché(e) !

Nous cherchons notre nouveau collaborateur, pour rejoindre notre équipe basée à Montréal. Vous êtes administrateur ou administratrice système Linux ? Rejoignez-nous et contribuez à faire avancer la cause des logiciels libres dans le milieu professionnel ! Envoyez votre candidature à hello+sysadmin@evolix.ca

En root pour 2019 avec Evolix

2019-01-31T21:59:32+00:00

On a pris l’habitude à Evolix de souhaiter nos vœux fin janvier. À cette occasion, on casse un peu les codes avec cette vidéo en stop-motion créée à partir de dessins au fusain !

L’année 2018 a été intense chez Evolix : des hauts, des bas, plein de bons moments, des belles rencontres, des trahisons, des succès, des voyages en Europe (Bruxelles/Lyon/Anduze/Paris/Toulouse/Strasbourg), en Amérique du Nord (Montréal/Toronto) et en Asie (Taïwan)… bref, les objectifs 2018 sont atteints : on augmente notre chiffre d’affaires (1.2M), on grossit doucement (18 personnes, 120 clients) et l’on s’améliore encore et encore.

À titre plus personnel, quel plaisir de travailler au quotidien avec 17 personnes formidables ! Une équipe extraordinaire qui me motive chaque matin à monter les marches 4 à 4 pour arriver au bureau. Une Richesse Humaine qui me donne tellement d’énergie qu’il n’est pas rare que je me couche (trop) tard la tête pleine d’idées pour le lendemain.

Cette nouvelle année s’annonce remplie de projets passionnants, de relations humaines, d’évènements excitants (15 ans d’Evolix, mini-DebConf Marseille) et de Logiciels Libres : en root pour 2019 avec Evolix !

Je quitte Facebook

2019-01-24T23:00:00+00:00

Malheureusement, je n’ai plus confiance. Je ne resterai pas sur Facebook en 2019.

À tout⋅te⋅s ce⋅lles⋅ux qui utilisent ce site pour obtenir des informations, je vous implore : ARRÊTEZ. Vraiment ! C’est mauvais pour votre esprit critique, ça vous enferme dans une bulle idéologique et c’est une catastrophe pour la démocratie. Consultez des médias de qualité (journaux, radios, sites web) pour lesquels des gens sont payés à écrire sans faute et sont tenus à des niveaux d’exigence journalistiques élevés, sans être gouvernés principalement par des clics ou des vues.

À tout⋅te⋅s ce⋅lles⋅ux qui utilisent ce site pour communiquer en direct avec des amis, je vous implore : ARRÊTEZ. Vraiment ! Cette plateforme espionne tout ce que vous dites – même en privé – vends vos données personnelles pour des usages politiques et commerciaux, vous cible et vous manipule de manière très efficace sur des sujets politiques et commerciaux.

La fréquence et la gravité croissantes des scandales et révélations autour de ce site et des applications satellites ne me posent plus seulement un problème pour ma vie privée mais désormais un problème de conscience politique et philosophique. Je ne peux plus cautionner – par la simple présence de mon compte – les pratiques dictées par ses dirigeants. Je vote donc avec mes pieds et indirectement mon argent – car vous savez que « si c’est gratuit, c’est vous le produit » – en quittant définitivement cette plateforme.

Si vous souhaitez me contacter, c’est assez facile ; la plupart d’entre vous a déjà mon numéro de téléphone ou mon adresse e-mail — j’ai encore (pas pour longtemps) un compte Gmail avec mon nom.prenom — ou encore mon compte [Twitter] (https://twitter.com/jlecour).

Support de sécurité des versions de PHP

2018-07-02T19:17:13+00:00

Quand on parle du support d’une version de PHP, il faut distinguer le support de PHP, éventuellement prolongé par le support de sécurité des distributions Linux. Dans le cas de Debian, le support de sécurité est ainsi prolongé de plusieurs mois/années pour les versions concernées.

Voici le tableau récapitulatif du suppport de sécurité par version de PHP :

PHP 5.2 : terminé
PHP 5.3 : terminé
PHP 5.4 : support jusqu’à juin 2019 via Debian 7 ELTS
PHP 5.5 : terminé
PHP 5.6 : support jusqu’en janvier 2019 via PHP puis jusqu’en juin 2020 via Debian 8 LTS
PHP 7.0 : support jusqu’en décembre 2018 via PHP puis jusqu’en 2022 via Debian 9 LTS
PHP 7.1 : support jusqu’en décembre 2019 via PHP
PHP 7.2 : support jusqu’en décembre 2020 via PHP puis peut-être jusqu’en 2024 via Debian 10 LTS
PHP 7.3 : sortie en novembre 2018 !
PHP 8.0 : sortie en septembre 2021 ?

[1er avril] Evolix pivote et devient une brasserie de bières libres

2018-04-01T07:59:20+00:00

Il faut se rendre à l’évidence, Evolix a échoué en tant que start-up… après plus de 14 ans d’existence, nous avons raté le train de l’hyper-croissance : nous ne sommes ni une scale-up ni une licorne… Après de nombreux brainstormings ces derniers mois, nous avons choisi de pivoter l’activité d’Evolix : arrêter l’infogérance de serveurs Linux et se lancer dans le brassage de bières libres !

Nos bureaux à Marseille sont actuellement en pleine refonte : nous avons mis en place plusieurs cuves et nous installons un fablab « smart city » avec une business unit de 13 personnes spécialisées en IOT pour créer une biotechnologie de smarts canettes (grâce à une capsule connectée pour intéragir avec notre BigBrother local pour alerter en cas de consommation abusive). Nous prévoyons également la mise en place d’un incubateur pour disrupter le marché de la bière artisanale grâce à l’intelligence artificielle et au big data, et une école pour former de futurs startupers sur la sous-bockchain (une technologie inspirée de la blockchain pour produire des sous-bocks). Évidemment nous serons présents au CES de Las Vegas en 2019 pour présenter avec doigté toutes ces innovations digitales.

D’un point de vue financier, nous avons arrêté un business plan avec une levée de fonds de 100 millions d’euros auprès de VC californiens dans un premier temps, puis grâce à la puissance de frappe de la French Tech nous pensons nous faire racheter par Google (ou alors racheter nous-même Google si notre business marche vraiment bien). Si vous êtes intéressés à participer au premier tour de table, contactez nous qu’on vous pitch tout ça !

Stage de 3ème, et si on changeait la donne ?

2017-10-27T07:01:04+00:00

En 2014, mon premier minot est passé en 3ème. J’ai alors réalisé combien il est difficile de décrocher un stage sans bénéficier d’un piston. Le collège pousse les adolescents de 14/15 ans à s’intéresser au monde du travail, et voir comment les entreprises traitent les collégiens est désespérant. Ces jeunes sont pourtant les travailleurs de demain, et leur donner une mauvaise image du monde du travail est terrible pour la Société ! J’ai donc décidé de prendre au moins un stagiaire de 3ème par an à Evolix, et je me suis rendu compte qu’au-delà du bénéfice sur le long terme, cela avait aussi un aspect positif à court terme ! Je vais essayer de vous convaincre.

Le stage de 3ème, c’est important. Les choix d’orientation se posent dès le début du lycée, et le premier contact avec l’entreprise et le monde du travail est déterminant. À un âge où le collégien ne sait pas quoi faire comme métier, il va maladroitement taper aux portes des entreprises : ne pas lui répondre ou lui claquer la porte au nez va limiter ses perspectives ! Au final, la majorité des collégiens ne trouve un stage que grâce à leur entourage familial : stage avec un parent, stage trouvé grâce à du piston…

Les entreprises doivent jouer le jeu. Il faut donner une bonne image du monde du travail aux futurs travailleurs… qui seront peut-être salariés de l’entreprise dans quelques années ! L’effort n’est pas très élevé : proposer d’accueillir au moins un élève pendant 4 ou 5 jours en décembre. Avec de plus en plus d’offres de stage publiques, on peut établir un cercle vertueux. Et à court terme, ce n’est même pas une perte de temps : un stage d’observation permet à plusieurs salariés de prendre du recul sur leur travail pendant quelques heures, tout le monde est gagnant !

Il faut diffuser les offres de stage. La première étape est de mentionner les offres sur son site web, l’utilisation d’un moteur de recherche étant le moyen le plus répandu pour trouver son stage. Ensuite, on peut contacter les collèges les plus proches pour qu’ils transmettent les offres aux élèves. Enfin il existe des plateformes pour émettre plus largement comme ViensVoirMonTaf à Paris, ou StagePourTous et DegunSansStage à Marseille. Je vous encourage notamment à utiliser l’initiative que j’ai lancé il y a 2 ans : StagePourTous, le principe étant de s’engager à choisir les stagiaires sans discrimination, par exemple par un tirage au sort.

Comment organiser un stage de 3ème dans une petite entreprise ? Une fois convaincu de l’intérêt du stage de 3ème, se pose la question de son organisation. En général le stage doit durer 30h, donc on limite à 4 jours. Chaque jour se passe avec une personne différente : le matin, obervation du travail et 15 minutes d’entretien ; l’après-midi, description de la journée sur un blog WordPress privé (très facile à créer). Si besoin, quelques tâches supplémentaires possibles : faire une revue de presse de l’entreprise en faisant des recherches sur Internet, s’exercer sur Code.org ou CodeCombat. Bref, pour toute entreprise d’au moins 4 salariés, l’organisation d’un stage de 3ème est vraiment simple, alors plus d’excuse, lancez-vous !

Retour sur la faille de sécurité d’Intel AMT

2017-05-12T13:15:52+00:00

Une faille de sécurité dans un système de gestion/supervision de machine à base de chipset Intel fait grand bruit. Deux vulnérabilités permettent :

d’accéder à l’interface de gestion de la machine en contournant l’authentification de celle-ci ;
d’activer l’interface de gestion à distance par un attaquant local sans privilèges.

Ces deux vulnérabilités seraient présentes dans ce système depuis 10 ans, date des premiers Intel Core et de l’arrivée de la technologie AMT.

On peut retrouver le bulletin de sécurité d’Intel : INTEL-SA-00075.

Qu’est-ce que l’AMT ?

AMT, pour Active Management Technology, est une technologie matérielle d’Intel pour la gestion de parc d’ordinateurs permettant de gérer le monitoring, maintenance, mises à jour et réparation à distance des machines. Cette gestion est faite hors de la « vision » du système d’exploitation fonctionnant de la machine, via un co-processeur spécialisé d’Intel appelé le « Management Engine » qui est situé sur la carte mère.

Note : on parle essentiellement d’AMT, mais cette vulnérabilité concerne aussi l’ISM (Intel Standard Manageability) et SBT (Small Business Technology) d’Intel qui sont des technologies similaires.

Les serveurs sont-ils concernés ?

À première vue, on pourrait dire que oui. Les processeurs de serveurs sont souvent des processeurs Intel vPro, mais cela ne veut pas pour autant dire qu’ils sont dotés de la capacité AMT. Cette fonctionnalité concerne davantage des postes de travail en entreprise que des serveurs. Par exemple, les machines dotées d’Intel Xeon E3 et E5 utilisant le firmware SPS (Server Platform Services) ne sont pas concernées par cette vulnérabilité.

En fait, pour le management à distance de serveurs, on retrouve plutôt des cartes spécialisées de gestion à distance appelées BMC (Baseboard Management Controller) qui suivent les spécifications IPMI (Intelligent Platform Management Interface). Selon les fabricants, ces cartes ont des noms « packaging » différents (iDRAC pour DELL , iLO pour HP, etc.) mais proposent globalement un même ensemble de fonctionnalités de management sans intégrer les technologies de management d’Intel. La plupart des serveurs DELL Poweredge, HP Proliant et IBM xSeries que nous utilisons ne sont donc pas impactés par cette faille.

Dans le doute, il est nécessaire de contrôler. Ainsi, les constructeurs ont eux aussi à leur tour publié des bulletins de sécurité pour signaler les références des machines vulnérables ainsi que la présence de correctif pour celles-ci. Ci-dessous, plusieurs communications à ce propos :

Lenovo : https://support.lenovo.com/fr/en/product_security/len-14963
DELL : http://en.community.dell.com/techcenter/extras/m/white_papers/20443914
Pour ce qui est des serveurs, la réponse d’un employé de DELL sur les forums communautaires explique qu’il n’y a peu de machines concernées côté serveurs : http://en.community.dell.com/support-forums/servers/f/177/t/20011630
HP : http://www8.hp.com/us/en/intelmanageabilityissue.html
HPE : http://h22208.www2.hpe.com/eginfolib/securityalerts/CVE-2017-5689-Intel/CVE-2017-5689.html
SuperMicro : http://supermicro.com/support/faqs/faq.cfm?faq=25595

Comment détecter des machines immédiatement vulnérables ?

Un simple scan réseau (avec nmap par exemple) sur les ports 16992,16993,16994,16995,623 et 664 permet de rapidement identifier les machines avec AMT qui sont accessibles. Il ne vous restera plus qu’à contrôler si le firmware est bien à jour sur les machines concernées. Exemple :

nmap -p16992,16993,16994,16995,623,664 192.0.2.0/24

Plus poussé, un script python par Cerberus Security est disponible pour détecter si AMT est activé et s’il s’agit d’une version vulnérable. Il existe aussi un script nmap.

Comment se protéger si on est vulnérable ?

Il faut mettre à jour le micrologiciel/firmware de son matériel. Si aucune mise à jour n’est disponible, il faut alors désactiver AMT et bloquer les fonctionnalités de provisioning local de l’interface. Cela peut se faire directement via le BIOS ou sous Windows, Intel a publié un guide de mitigation… cela devrait bientôt arriver pour Linux comme annoncé par Intel.

Attention, utiliser iptables/netfliter sur la machine locale pour protéger l’accès à l’interface d’AMT est inutile ! Les paquets réseaux sont directement interceptés par le management engine sans être vu par l’OS. Le bloquage doit donc être fait en amont sut le réseau !

Liens utiles

Bulletin de sécurité d’Intel : INTEL-SA-00075
Plus d’informations sur AMT (wikipedia anglophone)
How to detect and mitigate the Intel escalation of privilege vulnerability on a Linux system (CVE-2017-5689)? (Unix Stackexchange – en anglais)

De l’exception qui devient trop souvent la règle

2016-02-26T08:21:49+00:00

Je lis souvent ce que publie Jef Mathiot car il a cette capacité à se plonger dans un sujet suffisamment plus profondément que moi pour en ressortir une perspective intéressante et souvent avec des biais différents des miens.

Son récent article intitulé Apple versus FBI : le choc des pipeaux fait un point intéressant. Je m’apprêtais poster un simple commentaire, mais la longueur de ma réponse m’a poussé à en faire un article sur mon blog.

J’apprécie cet article, comme d’autres précédents, qui bousculent un peu les guerres de chapelles auxquelles on est souvent habitué sur de tels sujets, où chacun dans son camp se voit comme détenteur de la vérité et l’autre comme un démon à fustiger. Tout est histoire de point de vue et de contexte.

Le point fort de cette histoire, qui dépasse largement la notion de terrorisme et du nombre de mort, est la question du contre-pouvoir.

La France et les États-Unis d’Amérique sont bien placés pour se souvenir que la Révolution Française et la Guerre d’Indépendance – sources de nos constitutions respectives – sont truffées d’éléments juridiques fondamentaux pour protéger la population contre les excès du pouvoir, tout démocratique soit-il. Lorsque l’on fait tomber une de ces protections, ne serait-ce que ponctuellement, on doit le faire avec une très grande prudence et je trouve que ce “grand débat” est justement la matérialisation de cette question qui se pose. Je suis heureux (bon, peut-être pas heureux, mais satisfait) que ça ait lieu, au grand jour.

Sachant l’existence de grands principes légaux, que doit-on faire dans un cas particulier ; maintenir le principe ou le contourner ? Et selon moi, comme toujours ; ça dépend.

Dans le cas précis de l’enquête liée à la tuerie de San Bernardino, où s’opposent l’état (gouvernement et agences fédérales) et Apple (soutenus par d’autres grands noms/marques), je pense que ça n’est pas un problème de cryptographie, mais une question de principe et d’exceptions.

Apple dispose effectivement d’une clé maître (en terme de crypto) et c’est sur l’existence (et la sûreté) de cette clé que repose tout le modèle de confiance que l’on accorde à nos appareils et au système de mise à jour. J’ai peut-être tort, mais je ne me demande jamais comment vérifier de manière absolue l’intégrité d’une mise à jour de mon téléphone. J’ai confiance.

Je suis d’accord que d’un pont de vue purement technique, Apple doit avoir les moyens de produire un outil capable de dévérouiller le téléphone en question et de protéger cet outil de manière aussi efficace que sa clé maître. Mais pour moi ça n’est pas le propos.

Le propos est de savoir quel est aujourd’hui le déclencheur de la mise en place et l’utilisation de cet outil, et quel sera-t-il plus tard.

Le propos est également de savoir si une loi les contraint à le faire ou non. Et toute la bataille juridique qui a démarré (et qui ira probablement jusqu’à la Cour Suprême) servira à le déterminer. La position d’Apple est qu’ils ont toujours coopéré avec les autorités dans le cadre de la loi et que selon eux, cette dernière requête en sort. Ils ont aussi annoncé qu’ils se plieraient à une décision de justice, en dépit de leurs convitions morales.

L’argument que j’entends, utilisé pour s’opposer à cette demande du FBI est celui de la raison invoquée pour contourner les protections, de son caractère exceptionnel.

Ici le cas est assez limpide ; qui soutient la vie privée d’un terroriste mort ? Personne, probablement. On accorde donc le caractère exceptionnel à un contournement de la loi et des engagements d’Apple par rapport au produit et à sa sécurité.

Une fois qu’on a fait tout ce qu’il fallait pour que ce fichu iPhone soit déverrouillé, une foule d’autorités et agences gouvernementales se bousculera au portillon. Ça commence avec un cas de terrorisme ; facile. Puis ça sera une séquestration d’enfant ; on l’a fait pour un terroriste, on peut bien le faire pour la vie de nos enfants. Ensuite ça sera pour du traffic d’organe ou de drogue ; idem, y’a pas photo ! Et puis on en viendra aux cas de fraude fiscale, de conflit domestique… parce qu’à chaque nouveau cas, on regarde par rapport au précédent et on oublie qu’on a complètement dévié de l’exception initiale. C’est ps beau, mais c’est comme ça que ça marche “en vrai”.

L’histoire nous montre bien, y compris ces derniers mois en France, que l’exceptionnel et le temporaire ont tendance à demeurer. Lorsque le détenteur d’un pouvoir décide de faire un régime d’exception, avec la mise à l’écart de grands principes légaux le temps de régler une situation extra-ordinaire, il ne va pas avoir tendance à revenir en arrière.

Et puis on se trouve ici dans un cadre très américain. Sauf que l’on sait à quel point d’autres pays observent ce que font les américains avec leurs lois pour créer des bases de ce qui est globalement acceptable. Pourquoi la France n’imposerait pas à Apple ce genre de dispositif pour ses propres affaires ? Pourquoi la Chine ou l’Égypte ne le feraient pas. Dans des pays où la cible n’est pas le terrorisme, le crime odieux, le traffic de drogue… mais la dissidence politique, le journalisme indépendant, la liberté d’expression… alors c’est une toute autre histoire. C’est une une toute autre histoire mais ce sont les mêmes outils, les mêmes bases de confiance et de lois.
Parce que si la Chince conditionne l’accès au marché chinois à Apple sur la condition d’une version spéciale, installée sur tous les téléphones (pourquoi pas, après tout ?) vendus localement, sachant que ça existe techniquement et qu’il est acceptable de l’exiger sur une base légale, alors je vois bien le dilemme (très économique pour le coup) et je ne sais pas combien d’entreprises résisteront.

Donc d’après moi ça n’est pas une histoire Apple vs. FBI, mais une histoire de pouvoir centrale face à des défenseurs de contre-pouvoirs.

Le fait qu’Apple ait la position du défenseur dans cette affaire est peut-être une histoire de morale, ou pas. Une histoire de stratégie marketing, ou pas. C’est surtout remarquable que ce genre de contre-pouvoir existe, avec une telle force. Et je suis soulagé de voir que ces derniers jours d’autres se rallient à cette “cause”, car leur silence était inquiétant. Je pense à Microsoft, Facebook, Google, Twitter et bien d’autres.

Et bien sûr que les annonces de renforcement technique des dispositifs de sécurité des appareils d’Apple tombe à point nommé et que ça va jouer en leur faveur, bien plus qu’une belle opération de marketing. Ce que j’aimerais c’est que tous les acteurs de notre réalité numérique aient la même attitude.

Ouverture d’un bureau Evolix au Canada

2015-09-21T23:35:37+00:00

Mon dernier article a plus d’un an, il se finit sur une prédiction pour 2024 : « C’est désormais une équipe de 20 personnes réparties entre Marseille/Paris/Montréal, permettant un développement international et une infogérance continue 24h/24. »

Septembre 2015 : Evolix se lance à la conquête du monde en ouvrant un bureau à Montréal au Canada ! Nos bureaux sont situés au cœur du quartier du Plateau, proche du centre-ville et des datacenters Cologix où nous sommes en cours d’installation de nos infrastructures d’hébergement. Dès octobre, on pourra donc proposer la location de serveurs à Montréal ! Grâce au décalage horaire France-Québec, on va également améliorer notre offre de surveillance et support 24h/24 : le pic d’activité du soir des sites e-commerce français (20-23h) pourra être étroitement surveillé par notre équipe technique au Canada, c’est ce qu’on appelle l’infogérance Follow-the-Sun.

J’aime à dire qu’Evolix devient donc une « petite multinationale » …on exporte notre savoir-faire, on s’ouvre à une nouvelle culture, on s’améliore en permanence tout en gardant bien ancrées nos valeurs : proximité avec nos clients, excellence technique et passion pour notre métier et les Logiciels Libres.

2004-2014 : Evolix a 10 ans !

2014-06-23T08:05:21+00:00

2003. La préhistoire d’Evolix. En stage à la Ville de Marseille, l’idée de création d’une start-up germe début juillet. J’ai discuté par email de ce projet avec Sébastien Dubois (alors en stage en Ecosse) puis Maxime Keller (jeune diplômé). Au départ, le but était un peu vague : promouvoir les Logiciels Libres auprès des particuliers et des entreprises. L’idée était surtout axée sur la vente de PCs sous Linux et des services associés ! Le premier nom évoqué pour la structure à créer : Prisunix… (évidemment non retenu ;-)

2004. Coincé dans un local de quelques m² prêté par l’ESM2, avec un contrat de stage trafiqué (il y a prescription), je n’imaginais pas encore que 10 ans plus tard on serait une belle équipe de 8 personnes dans 170 m² de bureaux loués à la Ville de Marseille. Le PC bas de gamme en guise de serveur qui tournait 24h/24 dans ma chambre était loin de notre actuelle infrastructure multi-datacenters. Le chiffre d’affaires annuel de 7500€, 100 fois moins élevé qu’aujourd’hui. Après avoir vendu quelques PCs sous Linux (les fameux EvoPC et EvoPortable vendus en quelques exemplaires), on a rapidement trouvé un vrai marché : l’infogérance de serveurs Linux pour entreprises.

2014. De nombreux défis relevés plus tard, on prend un peu de temps pour se retourner sur ces années passées. Notre activité d’infogérance s’est développée, elle concerne désormais 400 serveurs Linux/BSD pour une centaine de clients. En complément, nous avons mis en place une solide offre d’hébergement. En fait, on n’est plus vraiment une start-up, même si l’on en a gardé les côtés positifs (souplesse, ambiance de travail). Mais ce qui n’a pas changé depuis nos débuts : notre motivation et notre passion ! On a fêté nos 10 ans avec nos clients, partenaires et amis lors de notre soirée anniversaire.

2024. Projection dans le futur. Evolix a ouvert un établissement à Paris et une succursale à Montréal. C’est désormais une équipe de 20 personnes réparties entre Marseille/Paris/Montréal, permettant un développement international et une infogérance continue 24h/24. La plupart des serveurs sont désormais assemblés par Evolix, avec des boîtiers réalisés avec une imprimante 3D, et installés dans l’un des points de présence d’Evolix en datacenter. La soirée pour fêter nos 20 ans se passera cette fois sur le toit du Mucem à Marseille !

Informations à propos d’Heartbleed, la faille de sécurité d’OpenSSL

2014-04-14T19:03:31+00:00

Voilà maintenant une semaine a été révélée la faille Heartbleed touchant certaines versions récentes de la bibliothèque OpenSSL. OpenSSL est un Logiciel Libre notamment utilisé pour les protocoles sécurisés HTTPS ou IMAPS. Cette faille a été surmédiatisée et plusieurs clients nous ont interrogé à ce sujet. Même si cela date un peu, il s’avère plus pratique et plus transparent de mettre nos réponses sur ce blog.

Qu’est-ce que la faille Heartbleed ?

Il s’agit d’une faille de sécurité touchant OpenSSL permettant d’accéder à une partie (64 Ko) quasi-aléatoire de la mémoire d’une application via le protocole SSL/TLS. Cela concerne évidemment les services utilisant SSL/TLS accessibles publiquement comme HTTPS, IMAPS, POPS, SMTPS ou encore SMTP over TLS. Cela peut aussi concerner les logiciels client faisant des requêtes via SSL/TLS sur des serveurs malicieux.

La partie de la mémoire dévoilée étant plus ou moins aléatoire, on peut considérer que de multiples requêtes permettent de révéler l’ensemble de la mémoire de l’application concernée. Cela concerne évidemment la clé privée SSL utilisée mais les autres données système et applicative chargée en mémoire par l’application (mot de passe d’une base de données, contenu de /etc/passwd, contenu d’une base de données, etc.). Certains experts affirment même que l’ensemble de la mémoire d’une machine impactée pourrait être accessible.

Mon serveur infogéré par Evolix a-t-il été concerné ?

Nous gérons des serveurs avec le système Debian GNU/Linux. Les serveurs utilisant Squeeze (Debian 6) ne sont pas impactés. Les serveurs utilisant Wheezy (Debian 7) sont directement concernés si ils ont un service HTTPS ou POPS/IMAPS ou SMTP publiquement accessibles, et indirectement si ils peuvent faire de nombreuses requêtes SSL/TLS vers des serveurs non sûrs situés à l’extérieur.

Mon serveur infogéré par Evolix a été concerné, que dois-je faire ?

La faille a été révélée lundi 7 avril 2014 vers 21h. Nous nous sommes penchés sur cette faille à partir de 00h15 (bug signalé sur notre IRC privé, merci Arnaud) et nous avons mis à jour tous les serveurs directement concernés dans les heures qui ont suivi et le lendemain. Votre serveur n’est donc plus vulnérable. Mais il a pu l’être pendant au moins quelques heures. Une analyse du trafic réseau et des logs suspects (connexions STARTTLS via SMTP, requêtes HTTPS sans contenu, etc.) nous laissent penser qu’il n’y a pas eu d’attaque sur ce laps de temps. Cela étant dit, par principe de précaution et car dans tous les cas cela doit être fait régulièrement, nous conseillons tout de même de renouveler toutes les informations secrètes sur les serveurs directement impactés (mots de passe, clés privées, etc.). Vous devez également relancer toutes les applications qui utilisent libssl (démons en Python ou Ruby, etc.).

Et sur mon poste de travail, que dois-je faire ?

Vous devez mettre-à-jour vos postes de travail immédiatement. Avant de vous connecter à un site en HTTPS, vous pouvez vérifier qu’il n’est plus vulnérable. Il est également conseillé de renouveler vos mots de passe sur les différents services en ligne (notamment Google, Github, Facebook, Twitter, Amazon…) : de toutes façons vous devez le faire régulièrement, c’est donc une bonne occasion de le faire !

Des conclusions à tirer de cette affaire ?

Il n’y a rien de vraiment nouveau, si ce n’est qu’il est désormais difficile d’ignorer que :
– l’application régulière des mises-à-jour de sécurité est essentielle, vous ne pouvez pas vous contenter d’installer un serveur et ne pas vous en occuper, surtout si il est accessible publiquement ;
– vous devez exposer publiquement le moins de choses possibles : cela passe par un firewall qui va restreindre un maximum de services par adresse IP, et par la désactivation de tous les fonctionnalités inutiles (avez-vous vraiment besoin d’Apache/SSL si votre site web ne tourne pas en HTTPS ? l’activation de STARTTLS sur votre Postfix est-elle vraiment nécessaire ?) ;
– toutes les informations secrètes doivent être changés régulièrement (clés privés, mots de passe, certificats, etc.) et changeables rapidement en cas de besoin… l’utilisation d’un gestionnaire de mot de passe étant indispensable.

Bug MySQL : pas de cache avec des tables InnoDB et un nom de base/table foo-bar

2013-12-02T12:23:44+00:00

L’équipe Evolix a récemment découvert un bug assez incroyable : les versions 5.1 à 5.6.8 de MySQL ne gèrent pas le Query Cache (un mécanisme essentiel) sur les tables InnoDB si le nom de la table ou base contient un caractère particulier, notamment le tiret (–) !! Ce n’est pas une véritable découverte car le bug a été corrigé pour la version 5.6.9 en décembre 2012, mais il a été peu « médiatisé » et surtout il impacte de nombreuses distributions Linux. Concrètement si vous avez Debian (Squeeze/Wheezy/Testing/Sid) ou Ubuntu (toutes les versions depuis 4 ans) et vous utilisez le paquet mysql-server, toutes vos bases ou tables nommées foo-bar sont impactées. Toutes vos requêtes sensées être servies par le cache MySQL ne le sont pas, et il en découle des problèmes de performance (parfois très significatifs). Au passage, pour vérifier qu’une requête MySQL utilise bien le Query Cache, vous pouvez observer le compteur de hits via show status like ‘Qcache_hits’ (parfois difficile sur des serveurs en production, mais vous avez bien sûr des serveurs de préproduction ;-).

Mise en évidence du bug avec un nom de base foo-bar :

mysql> create database `foo-bar`;
mysql> create table `foo-bar`.baz (a int) engine=InnoDB;
mysql> insert into `foo-bar`.baz values (1);
mysql> select * from `foo-bar`.baz;
mysql> show status like 'Qcache_hits';
+---------------+--------+
| Variable_name | Value  |
+---------------+--------+
| Qcache_hits   | 42     |
+---------------+--------+
mysql> select * from baz;
mysql> show status like 'Qcache_hits';
+---------------+--------+
| Variable_name | Value  |
+---------------+--------+
| Qcache_hits   | 42     |
+---------------+--------+

Mise en évidence du bug avec un nom de table baz-qux :

mysql> create database foobar;
mysql> create table foobar.`baz-qux` (a int) engine=InnoDB;
mysql> insert into foobar.`baz-qux` values (1);
mysql> select * from foobar.`baz-qux`;
mysql> show status like 'Qcache_hits';
+---------------+--------+
| Variable_name | Value  |
+---------------+--------+
| Qcache_hits   | 42     |
+---------------+--------+
mysql> select * from foobar.`baz-qux`;
mysql> show status like 'Qcache_hits';
+---------------+--------+
| Variable_name | Value  |
+---------------+--------+
| Qcache_hits   | 42     |
+---------------+--------+

Si vous n’êtes pas encore parti en courant vérifier le nom de vos bases et tables MySQL/MariaDB, je vais vous expliquer comment ce bug a été découvert et pourquoi cela illustre bien le travail d’infogérance d’Evolix. En effet, un abonnement à l’infogérance est une sorte d’assurance : outre les opérations visibles (surveillance 24/24, veille technologique, mises-à-jour, support technique), c’est aussi la garantie que l’on mettra tout en œuvre si il vous arrive un incident. Pendant plusieurs mois/années vous n’aurez peut-être pas d’incident sérieux (et tant mieux pour tout le monde), mais un jour vous aurez besoin d’une attention de plusieurs heures voire plusieurs jours. C’est ce qui est arrivé ces dernières semaines avec ce bug MySQL : un client d’Evolix a signalé une lenteur sur certaines pages d’un site d’e-commerce suite à une migration de serveurs. Après pas mal d’analyses, nous n’étions pas convaincus, la lenteur s’expliquait par des milliers de requêtes SQL faites sur chaque page, et surtout cette lenteur était également présente sur l’ancien serveur. Néanmoins, nous avons fini par découvrir que sur un très vieux serveur en Debian Lenny, les pages étaient moins lentes. Après de nombreux tests (passage en SSD, utilisation de TMPFS pour éliminer les I/O disque, tests sur différents serveurs dont un ultra puissant, strace des process, etc.), nous avons mis en évidence que l’exécution des milliers de requêtes SQL étaient tout simplement plus rapides sur le très vieux serveur en Debian Lenny. Ce constat était un peu effrayant pour nous, et presque tout l’équipe s’est mis sur ce problème. On a identifié que les requêtes n’utilisaient pas le Query Cache, et l’on a donc relu toute la documentation concernant le cache MySQL… mais rien à faire, des requêtes SQL simples n’étaient toujours pas mises en cache. Même résultats avec MySQL 5.1/5.5 ou MariaDB 5.5. Puis l’on a découvert ce fameux bug : la base concernée ayant un tiret dans son nom, on l’a fébrilement renommée et *bingo* les requêtes sont désormais cachées !

En attendant une éventuelle correction du bug par Debian, nous conseillons de renommer vos bases et tables impactées. Au passage, le tiret (–) est un caractère particulier pour MySQL et il est préférable de prendre l’habitude d’utiliser l’underscore (_) dans le nom de vos bases et tables.

Evolix : Augmentation de Capital

2013-06-25T13:23:09+00:00

J’ai le plaisir de vous informer d’une augmentation du capital social d’Evolix, passant d’un montant de 7.500 EUR à 105.000 EUR.

Cette opération a été réalisée en incorporant une partie des profits des dernières années, c’est-à-dire que la répartition du capital reste inchangée : entièrement détenu par Sébastien Dubois et moi-même. Concrètement c’est surtout un moyen de démontrer notre bonne gestion et solidité financière. Nous hébergeons et infogérons des infrastructures web critiques, et la confiance et la stabilité sont des critères importants pour nos clients actuels et futurs. Grâce à cette augmentation de capital et notre croissance régulière (CA de 650k en 2012), l’objectif est de parvenir dans les prochaines années à un chiffre d’affaires d’un million d’euro. Cette ambition maîtrisée vise à poursuivre notre évolution tout en restant fidèles à nos convictions basées sur les valeurs des Logiciels Libres et la stratégie de rester une équipe à échelle humaine : croître « lentement mais sûrement ».

Pour sa 10ème année d’existence, Evolix prouve ainsi être devenue une entreprise stable et pérenne.

Installation de Debian (Squeeze) sur un IBM X3550M4 avec carte RAID M5110 [basé sur LSI SAS2208 ROC] (firmware mars 2012)

2012-08-07T14:39:49+00:00

Petite introduction utile sur le choix d’une carte RAID matérielle pour un serveur qui se doit d’être performant côté accès disques :

– prendre une carte RAID avec du cache (typiquement chez IBM la M5110 a 512 Mo de Cache tout comme chez Dell la Perc H700 NV)

– qui dit cache, dit nécessité d’avoir aussi une batterie sur cette carte RAID pour pallier à une coupure électrique soudaine.

La carte LSI M5110 (proposée sur les IBM X3550 M4 notamment) est une carte RAID de bonne qualité aux caractéristiques suivantes :
8 ports internes 6 Gbps SAS/SATA
2 x4 mini-SAS connecteurs internes (SFF-8087)
Supporte RAID niveaux 0, 1, et 10
Supporte RAID 5 et 50 avec option M5100 Series RAID 5 mise à jour
Supporte RAID 6 et 60 avec option M5100 Series RAID 6 mise à jour
Supporte batterie 512 MB battery-backed cache ou 512 MB / 1 TB flash-backed cache

Par défaut avec les iso officielles Debian Squeeze la version du driver megaraid_sas ne sera pas assez récente pour détecter le volume que vous aurez créé via les outils IBM sur cette carte RAID.

Il faut le module noyau présent actuellement uniquement dans le dépôt Sid.
Plusieurs possibilités :
– Récupérer le driver et installer via USB lors de l’installation comme avec la carte controleur LSI Logic MegaRAID SAS 9240-8i

– Utiliser un dépot avec des iso modifiées pour supporter ce type de matériel récent. Dans notre cas précis celui de Kenshi Muto convient.
Ainsi l’iso Netboot pour un IBM X3550M4 avec carte RAID M5110 (cache de 512 Mo) est : Netboot [from squeeze-custom-amd64-0315.iso – kernel version 3.2.4, Debian 6.0.4 with firmwares]

Bonne installation !

Surveillance de vos sites web

2012-06-11T23:59:18+00:00

Toujours à la recherche d’évolutions pour améliorer notre service d’infogérance, nous proposons désormais à tous nos clients un service de surveillance de sites web. L’idée est de mesurer le temps de réponse de certaines pages web du point de vue d’un visiteur, donc directement derrière une connexion ADSL. Nous nous concentrons pour l’instant sur les visiteurs français ; nous avons donc pris des connexions standards et répandues : une Livebox (Orange), une 9box (SFR) et une Freebox (Free), derrière lesquelles nous avons mis en place des mini-machines (Sheevaplug), ce qui nous permet de mesurer le temps de réponse d’une machine (PING), d’un site web (HTTP) ou même d’une résolution de nom de domaine (DNS). Des courbes sont tracées avec possibilité de zoom et conservation sur 400 jours.

En cas de temps de réponse trop important ou d’une coupure, des alertes sont générées et envoyées par mail sur les adresses de votre choix. On peut par exemple définir une alerte si une page répond trois de suite en plus de 500ms. Définir des alertes personnalisées est très simple ! De plus, grâce aux différents points de surveillance (Orange, SFR, Free, datacenter Evolix), les informations peuvent être recoupées, permettant de s’assurer de la bonne disponibilité d’un site en englobant tous les aspects (problème box du FAI, routage/latence chez le FAI, routage/latence de l’hébergement, disponibilité et état du serveur, bon fonctionnement du service HTTP, bon fonctionnement de l’appilcatif, etc.). Fini (ou presque) les tests depuis un navigateur pour savoir si votre site répond ou si il n’est pas lent !

Évidemment, on s’appuye sur des logiciels libres pour ce service, et principalement le logiciel Smoke pi ng qui gère tout cela. Vous pouvez donc nous demander la mise en place d’alertes spécifiques (précisez nous la page, la règle de détection et les adresses mail pour recevoir les alertes). Ceci est inclus dans notre infogérance serveur… une raison de plus pour y souscrire pour vos serveurs critiques !

Les courbes statistiques sont bien sûr privées pour chaque client, mais néanmoins nous mettons publiquement certaines courbes (vers Google.fr, Evolix.fr, ns4.evolix.net, Orange.fr, Free.fr, Sfr.fr) qui peuvent être utiles à tout moment pour voir si un problème impacte un opérateur particulier ou notre hébergement : http://public.smokeping.evolix.org/

Sortie du Debian Handbook sous licence libre

2012-05-22T01:47:46+00:00

Vous connaissez peut-être le Cahier de l’Admin Debian (éditions Eyrolles), un MUST-HAVE notamment pour tout sysadmin voulant maîtriser l’infogérance de serveurs dédiés, que nous offrons d’ailleurs lors de nos formations Evolix. Voici maintenant le Debian Handbook en anglais et surtout sous licence libre ! Projet lancé il y a moins d’un an sous forme d’un appel à des contributions financières, le pari a été gagné par les auteurs Raphaël Hertzog et Roland Mas. Vous pouvez donc le lire en HTML, en PDF, le télécharger via P2P, l’acheter, l’offrir, le donner, le copier, le modifier, le revendre et même l’installer via apt-get !

Note : Nous avons modestement supporté financièrement la sortie du Debian Handbook, ce qui nous vaut des remerciements en préface !

Mettre un site en maintenance en urgence

2012-05-01T14:11:22+00:00

Dans le métier de l’infogérance serveur, il arrive de devoir gérer un incident en urgence qui rende indisponible un site Internet. Pendant cet incident, surtout si il est matériel ou réseau, les visiteurs sont alors confrontés à des erreurs peu esthétiques (« Unable to connect », « Timeout », erreurs 5xx, etc.) sans compter les Google bot qui peuvent passer juste à ce moment là. Bien sûr, nous préconisons la mise en d’un PRA voire d’un PCA mais lorsque ce n’est pas fait, il est pratique d’avoir une solution toute prête… car il y a souvent l’incident lui-même à gérer. Notre technique : baisser le TTL du nom de domaine et rediriger les enregistrements DNS vers l’IP 178.32.99.219 ; cela a pour effet de renvoyer avec une redirection HTTP 302 n’importe quelle page du site concerné vers une page de maintenance simple tout en conservant le domaine : http://178.32.99.219/

PHP 5.3, back to PHP 5.2

2012-02-21T08:56:55+00:00

Comme vu dans l’article PHP 5.2 goto PHP 5.3, le passage de PHP 5.2 à PHP 5.3 lors d’un upgrade de Lenny à Squeeze peut poser des problèmes de compatibilité.

Il est possible de downgrader PHP 5.3 et de repasser (temporairement) à PHP 5.2 sur Squeeze en utilisant directement les paquets Lenny:

rajouter dans /etc/apt/sources.list :

deb http://ftp.fr.debian.org/debian/ lenny main contrib non-free

modifier le fichier /etc/apt/preferences (ou /etc/apt/preferences.d/fichier) :

Package: libapache2-mod-php5 php5 php5-common php5-cli php5-mysql (…)
Pin: release a=oldstable
Pin-Priority: 1001

désinstaller les packages PHP 5.3 :

aptitude update
aptitude remove `dpkg -l | grep php| awk '{print $2}' |tr "\n" " "`

installer les packages PHP 5.2 en spécifiant la target lenny (oldstable) :

aptitude install -t oldstable `dpkg -l | grep php| awk '{print $2}' |tr "\n" " "`

On vérifie que les versions sont correctes et on peut redémarrer Apache.

La commande date

2012-02-15T16:00:12+00:00

Commande plutôt simple et de base sur un système Unix, date a pas mal de petites options sympa.
Un petit exemple quand on construit une politique de sauvegarde sur un serveur Linux (réflexe de base à avoir quand on administre un serveur) avec par exemple l’idée de garder une archive par mois sur les deux derniers mois du répertoire de sauvegarde (nommé save).
L’idée étant en crontab par exemple d’avoir des commandes du style :

cp -al /home/save/ /home/archive/save`/bin/date +\%Y\%m\%d`
rm -rf /home/archive/save`/bin/date --date='2 months ago' +\%Y\%m\%d`

On note le date --date='2 months ago' bien pratique !

PHP 5.2 goto PHP 5.3

2012-02-14T13:45:56+00:00

Passage de Debian Lenny à Debian Squeeze oblige pour tout serveur correctement infogéré, beaucoup de développeurs sont en train de valider leurs codes pour passer de PHP 5.2 à PHP 5.3.
Si vous rencontrez dans vos journaux d’erreur quelque chose comme :

PHP Parse error: syntax error, unexpected T_GOTO, expecting T_STRING or ‘(‘ in /arborescence/fichier.php on line 43

C’est que votre code PHP a été écrit avec une fonction prénommée goto ….
Or goto est un mot réservé en PHP >= 5.3.0 (car nouvelle méthode)
À vos grep/sed

crossdomain.xml pour du crossdomain en Flash

2012-01-23T22:52:11+00:00

Le principe d’une animation Flash est de s’exécuter sur le navigateur du client et non pas sur votre serveur web (qui a une infogérance Evolix bien sûr ;-)). Des restrictions sont donc en place sur les players Flash récents lorsque l’animation tente de charger des éléments extérieurs : par défaut, cela n’autorise que le chargement des images. En effet, une animation Flash malicieuse pourrait charger des éléments secrets sans ces restrictions de sécurité (par exemple, révéler le contenu d’un intranet sur un réseau interne d’entreprise) ! Néanmoins, on peut autoriser des éléments à être chargés par une animation Flash en créant un fichier crossdomain.xml du type :

<?xml version="1.0"?>
<cross-domain-policy>
        <allow-access-from domain="*"/>
</cross-domain-policy>

…que l’on placera à la racine du serveur avec les éléments à charger (et non pas sur le serveur web servant l’animation).

Prenons un exemple d’un site http://www.example.com/ contenant une animation foo.swf qui charge un fichier http://static.example.com/flux.rss : il faudra donc positionner un fichier http://static.example.com/crossdomain.xml

Pour plus de détails, voir sur http://kb2.adobe.com/cps/142/tn_14213.html