la Tourmentine

Je suppose que comme moi vous n'avez pas pu échapper au vent de panique qui a soufflé sur l'ensemble du web à propos de la faille "heartbleed". Du coup j'ai fait quelques tests qui, si ils m'ont rassuré sur le fait que la Tourmentine n'était pas vulnérable, m'ont interpellé au niveau sécurité, encore aux normes de 2006: clé de 1024 bits, signature MD5 (!), SSLv2 (!!), TLS 1.0 Max... Bref, il était temps de rafraîchir tout ça, histoire de ne pas rendre la vie trop facile aux grandes oreilles de la NSA.

Les services sécurisés de la Tourmentine sont donc protégés depuis hier par un tout nouveau certificat; au lieu d'un truc auto-signé tout sale, le certificat en question est maintenant signé par ma propre autorité de certification, que vous pouvez télécharger ici si vous ne voulez pas avoir d'alerte de sécurité.

Cela ne concerne pour l'instant que les adresses en "https://", mais les services mail devraient suivre sous peu. En attendant, vous pouvez obtenir un minimum de confidentialité sur toutes les adresses gérées par ce serveur, en ajoutant le fameux "https://" au début de celles-ci.

Vrai-fausse suite du billet précédent: depuis le milieu de l'après-midi, la connexion IPv6 entre chez moi et mes serveurs est coupée. Cela n'est pas trop gênant pour les services principaux depuis qu'ils sont en full-IPv4 (sic), mais il se peut qu'il y ait des effets de bord. La connexion fonctionne de chez moi (Free) vers Google, de mes serveurs (OVH) vers Google, mais pas entre Free et OVH...va comprendre...

Pour l'instant je me bat à grand coups de traceroute6 pour voir d'où vient le problème. Pas d'indices sur le bugtracker d'OVH. Je mettrai ce billet à jour au fur et à mesure de l'avancement du problème.

Edit 13/02: Retour à la normale ce matin, sans aucune explication...circulez y'a rien à voir...vive le low-cost ;)

Quand on aime pas trop filer ses données perso, il peut être pratique de virer toutes les conneries qu'on a posté sur les réseaux sociaux, le grand méchant Facebook en tête. Il y a deux méthodes: à la mano (va mourir avec 5 ans d'usage quotidien et des milliers de posts), ou via un script.

Concernant Facebook justement, il existe plusieurs scripts sur userscripts.org, mais le seul vraiment efficace que j'ai pu trouver est Absperge. Il ajoute un un lien supplémentaire dans la barre de menu, qui permet de tout wiper tranquillement. Attention, c'est assez gourmand en ressources. 

Depuis mon mur est propre comme un sous neuf, plus aucun tag de keupon dessus !

Aujourd'hui, suite de mes aventures expérimento-culinaires: faire des gougères. Étant bourguignon d'origine, je me devais d'avoir au moins une spécialité de mon país à savoir-faire, c'était ça ou le bœuf bourguignon, et j'ai jamais été très fan de ce dernier.

Donc voila, on se moque pas SVP:

La pâte était un peu juste, je ne l'ai sans doute pas laissé "sécher" suffisamment longtemps. Et comme on peut le voir, j'ai encore de gros progrès à faire sur le moulage. Et mettre un peu de fromage dessus aussi.

Depuis la dernière migration, au début de l'année, la situation au niveau de l'IPv6 reste loin d'être idéale: ne disposant toujours pas d'un failover digne de ce nom (et Monsieur OVH n'en ayant visiblement rien à foutre), je suis obligé de passer par une solution du pauvre, c'est-à-dire du round-robin DNS, pour redonder mes services. Malheureusement, le round-robin se rapproche plus du load-balancing que du failover, ce qui oblige le second serveur à servir des requêtes alors qu'il devrait juste faire office de serveur de secours, sans parler des problèmes collatéraux, comme le NFS ne supportant le locking quand utilisé via ZFS.

Pour simplifier tout ça (façon de parler, mon ifconfig fait tout de même 60 lignes) et avoir du vrai failover, je me suis donc résigné à passer par un tunnel 6in4 me permettant de transférer la connectivité IPv6 d'une machine à l'autre, au prix, toutefois, d'une connexion plus lente (110 ms de ping au lieu de 30, aïe) et d'un SPOF supplémentaire. Mais comme dit Octave, ce n'est que de l'IPv6, donc ce n'est pas si grave.

J'utilise donc le service IPv6 Tunnel broker d'Hurricane Electric, qui offre jusqu'à 5 tunnels gratuits. Deux choses à savoir pour celles et ceux que ça tente, toutefois:

• Si le tunnel n'est pas utilisé, il s’effondre, il faut donc mettre une solution type keepalive en place pour que le tunnel reste actif, en envoyant des pings réguliers à la gateway:
• le port 25 est bloqué par défaut; ce n'est pas gênant en soi (je vais garder les IPv6 natives pour cela), mais j'ai perdu pas mal de temps à chercher pourquoi ce putain de qmail ne répondait pas de l’extérieur...

Les DNS se mettant tranquillement à jour, la Tourmentine devrait être joignable sur les nouvelles IPs d'ici quelques heures, voire quelques jours.

Update 27/11: ayant peur de perdre des mails j'ai finalement gentiment demandé l'ouverture du port 25 au support, ce qui m'a été accordé moins de cinq heures plus tard (en tenant sans doute compte du décalage horaire). Propre, nickel, rapide. Merci Hurricane !