Aujourd'hui, suite des travaux pratiques concernant des technologies utilisées par les opérateurs réseaux. Après BGP : MPLS.

Si vous voulez un conteneur LXC avec Wheezy et que lxc-create vous crache dessus :
« live-debconfig is available as of Debian 8.0 (jessie).

Attempting to build a container based on any older Debian release *without*
having a local copy of live-debconfig in /usr/share/lxc/packages/ on the host
system will fail.

Press enter to continue nevertheless, or Ctrl-c to abort..»


=> cd /usr/share/lxc/packages/ && sudo wget http://ftp.fr.debian.org/debian/pool/main/l/live-debconfig/live-debconfig_4.0~a26-1_all.deb

Aujourd'hui et dans les jours qui viennent, je vais vous proposer trois travaux pratiques en rapport avec des technologies utilisées par les opérateurs réseaux : BGP, MPLS et L3VPN. Commençons avec BGP.

Aujourd'hui, je vais vous faire un feedback sur comment monter son petit serveur @home avec un Raspberry Pi. Je sais que le sujet est éculé, c'est pourquoi je vais me focaliser sur les problèmes spécifiques que j'ai rencontré.

Netem, sous GNU/Linux, pour ajouter de la latence ou de la perte de paquets, c'est juste génial ! Ça permet de tester les logiciels mais aussi de faire des maquettes réseaux réalistes (avec LXC par exemple, ça marche direct). iptables permet de marquer les flux précis que l'on souhaite affecter par notre traitement si l'on a besoin d'une telle granularité.

Mon CV et ma vie pro ne seront jamais chez eux de toutes façons, tout ça est sur une page auto-herbergée, comme ça devrait l'être et rien à foutre d'un réseau social professionnel !

De la nécessité des flux RSS ... One more time, histoire que ça rentre.

Pour récupérer la RAM occupée parfois inutilement en « -/+ buffers/cache »  :
sync; echo 3 > /proc/sys/vm/drop_caches

arp_filter est aussi très utile quand on monte des réseaux complexes dans des conteneurs LXC tous reliés grâce à un seul bridge.

expert.message contains "Duplicate IP address"

... *PAN* ...

Si vous utilisez OpenDKIM et ClamSMTP, vous verrez 2 signatures DKIM par mail ... Comme l'explique ce how-to, il faut simplement dire à Postfix de ne pas réappliquer les milter aux mails qui entrent à nouveau dans Postfix. Ci-dessous, le petit bout de config qui va bien chez moi :

#AV
content_filter = scan:127.0.0.1:10026
receive_override_options = no_address_mappings,no_milters

Aujourd'hui, on va parler d'un type d'enregistrement DNS : DNAME. Je connaissais ce type d'enregistrement mais je n'avais jamais eu l'occasion de l'utiliser autrement que pour un test bidon. Comme l'occasion s'est présentée récemment, je voulais faire un petit feedback.

Sortie de la version 3.6 de WP. Il n'y a plus qu'à attendre la sortie de la version 3.6.1 qui corrigera les failles de sécurité introduite par la version 3.6. :)

Comme on va dire que je suis une mauvaise langue : sortie de la 3.5 : 11/12/012 (https://wordpress.org/news/2012/12/elvin/) ; sortie de la 3.5.1 (qui corrige des failles de sécurité : 24/01/2013 (https://wordpress.org/news/2013/01/wordpress-3-5-1/). Sortie de la 3.4 : 13/06/2012. Sortie de la 3.4.1 : 27/06/2012. Sortie de la 3.3 : 12/12/2011. Sortie de la 3.3.1 : 03/01/2012 ...

Lire encore une fois que l'entreprenariat est galère en France, loin du rêve "être son propre patron" que l'on a voulu vendre avec les statuts auto-entrepreneur ou EIRL, ce n'est pas nouveau.

Ce qui m'a le plus marqué dans ce billet : « Je ne comprends pas ce monde en général, ce pays en particulier où on doit à tout prix avoir un iPhone, une caisse à crédit, un écran oled à crédit, un appartement à crédit, bref une vie à crédit. ». Tout est presque dit. Aujourd'hui, une personne moyenne de 20 ans veut : les sorties, les fringues classes, les gadgets high-tech (iPhone), un appartement voire une maison, la voiture, la/le partenaire de sa vie, jouer son indépendant (mais taper du fric à papa-maman comme source principale de revenu), ... Tout avoir à 20 ans et se faire chier le reste de sa vie ... Ooook. Chacun son trip, c'est quand ça devient une norme forcée que ça semble débile et dangereux : je me demande ce que ça va donner au niveau lassitude de la vie dans 10-20 ans ...

« OHM2013. Observe, Hack, Make. A five day outdoor international camping festival for hackers and makers »

Hacker/Maker c'est utiliser des Mac (pour projeter les slides, impossible pour un orateur d'utiliser son laptop perso pour projeter ses slides s'il n'a pas un adaptateur VGA, les organisateurs n'ont qu'un adaptateur pour Mac, même pas le classique VGA ...) et Skype (le talk de Julian Assange en plus O_O ) ?

La contradiction entre l'esprit de ce festival et les valeurs véhiculées par le matos utilisé par les organisateurs de ce festival me laisse sans voix. Vraiment.

ÉDIT : je viens de me souvenir qu'un des principaux sponsors d'OHM 2013 est Fox-IT (http://en.wikipedia.org/wiki/Fox-IT), entreprise néerlandaise qui bosse avec les autorités néerlandaises pour leur fournir des outils offensifs et d'interception : « Fox-IT is a regular partner of the Dutch government on data interception and IT-security. Most Dutch government-departments and security agencies do business with the company. » (Wikipedia).

Premier truc, si Zebra vous retourne l'erreur suivante lors de son démarrage « zebraprivs_init: initial cap_set_proc failed », il faut commenter la ligne suivante dans le config de votre conteneur LXC : « lxc.cap.drop                            = sys_admin »

Deuxième truc, qui n'est pas forcement lié aux routeurs logiciels : si, quand vous voulez activer l'ip_forward temporairement, avec, par exemple « echo "1" > /proc/sys/net/ipv4/ip_forward », vous recevez le message d'erreur « /proc/sys/net/ipv4/ip_forward: Read-only file system » (c'est aussi valable si vous modifiez sysctl mais que ip_forward reste à 0), soit vous tentez un rebind rw sur la branche uniquement (il y a des tutos mais je n'ai pas réussi), soit, dans le config de votre conteneur LXC, vous modifiez : « lxc.mount.entry                         = proc proc proc ro,nodev,noexec,nosuid 0 0 » en  « lxc.mount.entry                         = proc proc proc rw,nodev,noexec,nosuid 0 0 ».

J'ignore quels sont les impacts en terme de sécurité de ces modifications. Mes conteneurs sont des conteneurs de test, pour jouer/découvrir, pas de production donc ce n'est pas grave.