604 lines
No EOL
86 KiB
XML
604 lines
No EOL
86 KiB
XML
<?xml version="1.0" encoding="utf-8"?><feed xmlns="http://www.w3.org/2005/Atom" ><generator uri="https://jekyllrb.com/" version="4.3.3">Jekyll</generator><link href="https://chapoline.me/feed.xml" rel="self" type="application/atom+xml" /><link href="https://chapoline.me/" rel="alternate" type="text/html" /><updated>2024-09-18T07:07:09+00:00</updated><id>https://chapoline.me/feed.xml</id><title type="html">Blog de Chapoline</title><subtitle>Blog, articles, et pensées non ordonnées
|
||
</subtitle><author><name>Caroline Canebier</name></author><entry><title type="html">Infrastructure, 3ème itération</title><link href="https://chapoline.me/2024/09/18/infra-3.html" rel="alternate" type="text/html" title="Infrastructure, 3ème itération" /><published>2024-09-18T00:00:00+00:00</published><updated>2024-09-18T00:00:00+00:00</updated><id>https://chapoline.me/2024/09/18/infra-3</id><content type="html" xml:base="https://chapoline.me/2024/09/18/infra-3.html"><p>Je viens de mettre en production la 3ème itération de mon infrastructure personnelle, et j’en profite pour présenter ici un résumé des itérations précédentes, ainsi que de décrire son état actuel.</p>
|
||
|
||
<h2 id="première-itération--2020-2023">Première itération : 2020-2023</h2>
|
||
|
||
<p>J’ai commencé à héberger mes propres services en avril 2020, pendant le premier confinement. J’avais à l’époque décidé d’acheter un nom de domaine et d’héberger une stack mail, en suivant le célèbre tutoriel de <a href="https://workaround.org/ispmail-bookworm/">workaround.org</a>, le tout sur le VPS OVH le moins cher possible (<code class="language-plaintext highlighter-rouge">Didi</code>).</p>
|
||
|
||
<p>J’ai ajouté en mars 2022 un deuxième VPS, <code class="language-plaintext highlighter-rouge">Zii</code>, celui-là chez Infomaniak, afin d’avoir un débit nettement plus élevé pour pouvoir m’en servir de serveur VPN, et d’avoir une ip de meilleure réputation (j’avais eu des problèmes avec <code class="language-plaintext highlighter-rouge">Didi</code>). Enfin, en octobre 2022, j’ai ajouté un troisième VPS, <code class="language-plaintext highlighter-rouge">Izz</code>, chez Contabo, avec pour intention de remplacer <code class="language-plaintext highlighter-rouge">Zii</code>. En effet, Infomaniak ne propose pas de contrôler le reverse DNS de l’ip de ses VPS, ce qui baissait la réputation des mails que j’envoyais. Elle me permettait également d’avoir beaucoup plus de stockage, pour un prix deux fois moins élevé. Elle n’a cependant jamais remplacé <code class="language-plaintext highlighter-rouge">Zii</code>.</p>
|
||
|
||
<p>Au fur et à mesure, j’ai ajouté plusieurs services sur ces serveurs : <a href="https://dashy.to/">Dashy</a>, <a href="https://git.chapoline.me/chapeau/chapolibot">bot Telegram</a>, <a href="https://icinga.com/">Icinga</a>, <a href="https://www.keycloak.org/">Keycloak</a>, et d’autres que j’oublie. Les 3 étaient reliées entre elles par un <a href="https://www.wireguard.com/">Wireguard</a>, qui me servait également à faire sortir mon trafic par <code class="language-plaintext highlighter-rouge">Zii</code> en Suisse.</p>
|
||
|
||
<p>J’ai essayé au départ de gérer mon infrastructure avec <a href="https://www.ansible.com/">Ansible</a>, mais ce fut globalement un échec. Je n’arrivais pas à maintenir correctement les playbooks pour qu’ils continuent de correspondre à l’état réel des serveurs, et j’avais une tendance beaucoup trop grande à aller bidouiller dessus à la main pour résoudre les soucis. De plus, les 3 serveurs avaient des configurations assez hétérogènes, avec notamment <code class="language-plaintext highlighter-rouge">Izz</code> qui utilisait <a href="https://traefik.io/traefik/">Traefik</a> (dont je n’ai jamais vraiment été convaincue, mais que j’ai continué à utiliser dessus jusqu’au bout). Enfin, l’envie de jouer avec un serveur physique, et de pouvoir créer des VM ou des LXC à la demande sur un <a href="https://www.proxmox.com/">Proxmox</a>, me faisait très envie.</p>
|
||
|
||
<h2 id="deuxième-itération--2023-2024">Deuxième itération : 2023-2024</h2>
|
||
|
||
<p>En février 2023, j’ai sauté le pas et j’ai acheté sur Leboncoin un Dell PowerEdge R710 (72Go de RAM, 2 CPU), <code class="language-plaintext highlighter-rouge">Montreal</code>, dans lequel j’ai mis 2 disques de 2To en RAID, et j’ai commencé à migrer mon infrastructure dessus. J’ai également pris un 4ème VPS, <code class="language-plaintext highlighter-rouge">Amber</code>, également chez Contabo, pour me servir d’ip externe, en la reliant avec un pont Wireguard vers mon infra.</p>
|
||
|
||
<div class="language-plaintext highlighter-rouge"><div class="highlight"><pre class="highlight"><code> +-----------+
|
||
| |
|
||
| Freebox |
|
||
| |
|
||
+-----+-----+ +------------+
|
||
| | |
|
||
+------------------+ Montreal |
|
||
| | |
|
||
| +------------+
|
||
| 192.168.1.0/24
|
||
| +------------+
|
||
| | |
|
||
+------------------+ Laptops |
|
||
| | |
|
||
+---------+ +-----+-----+ +------------+
|
||
| | VPN | |
|
||
| Amber +------------------+ Gateway |
|
||
| | 172.31.0.0/24 | |
|
||
+---------+ +-----+-----+
|
||
|
|
||
| 10.255.0.0/24
|
||
|
|
||
+-----+-----+
|
||
| |
|
||
| Servers |
|
||
| |
|
||
+-----------+
|
||
</code></pre></div></div>
|
||
|
||
<p>Le serveur <code class="language-plaintext highlighter-rouge">gateway</code> me servait de routeur, de DNS et de DHCP grace à <a href="https://thekelleys.org.uk/dnsmasq/doc.html">dnsmasq</a>. Afin d’éviter de faire du routage asymétrique, et de ne pas trop faire fuiter l’ip publique de ma Freebox, j’ai routé tout le trafic sortant des serveurs à travers le pont VPN. Mais parce que je ne voulais pas m’embêter à faire du source-based routing, j’ai simplement défini deux passerelles différentes pour mes deux réseaux : le réseau “client” utilisait la Freebox comme passerelle, et le réseau “serveur” le serveur <code class="language-plaintext highlighter-rouge">gateway</code>. Afin que les clients puisse quand même accéder aux serveurs, je poussais dessus une route statique en utilisant l’option 131 du protocol DHCP ; cependant, <a href="https://issuetracker.google.com/issues/263721377">cette option n’est pas supportée par Android…</a></p>
|
||
|
||
<p>En terme d’automatisation d’infra, j’avais décidé d’utiliser une nouvelle approche, pour pallier aux soucis que j’avais eu avec Ansible sur l’itération précédente. Je suis partie d’un template LXC custom, généré grace à <a href="https://pve.proxmox.com/wiki/Debian_Appliance_Builder">DAB</a>, qui pré-installait et pré-configurait ce que j’aurais déployé par Ansible en tant que configuration initiale (paquets standard, mon compte et ma clé ssh…). Ensuite, je centralisais toutes mes configurations avec <a href="https://www.gnu.org/software/stow/">Stow</a> dans un monorepo.</p>
|
||
|
||
<p>Sur chaque nouvelle machine, je commençais par cloner le monorepo à <code class="language-plaintext highlighter-rouge">/usr/local/stow-files</code>, puis créer dedans un dossier pour ma machine. Ensuite, je mettais tous les fichiers de configuration modifiés pour cette machine dans ce dossier, en respectant l’arborescence par rapport à /etc, pour pouvoir utiliser <code class="language-plaintext highlighter-rouge">stow</code> pour les déployer (ou plutôt, pour créer des liens symboliques aux bons endroits qui pointent vers ces fichiers). L’intérêt principal de cette approche était de pouvoir travailler sur les fichiers du serveur sans me poser de question au quotidien ; si j’avais besoin de rajouter une machine dans la configuration du DHCP, je modifiais directement <code class="language-plaintext highlighter-rouge">/etc/dnsmasqs.d/leases.conf</code>, qui était réellement <code class="language-plaintext highlighter-rouge">/usr/local/stow-files/gateway/dnsmasq/dnsmasq.d/leases.conf</code>. L’inconvénient était de n’avoir aucune visibilité sur si j’avais bien push toutes les machines…</p>
|
||
|
||
<p>Lors de cette itération, j’ai également commencé à m’intéresser à <a href="https://nixos.org/">NixOS</a>, que j’ai également utilisé sur mon PC principal pendant quelques mois. J’ai envisagé de me faire une infrastructure principalement basée dessus, pour au final rester sur une majorité de Debian. J’ai tout de même conservé quelques LXC sous NixOS, principalement pour gérer le reverse-proxy de mon infrastructure avec Nginx.</p>
|
||
|
||
<p>Enfin, l’infrastructure était monitorée grâce à une stack <a href="https://grafana.com/">Grafana</a> + <a href="https://prometheus.io/">Prometheus</a> + <a href="https://www.netdata.cloud/">Netdata</a>, installé sur tous mes serveurs et LXC.</p>
|
||
|
||
<p>Malgré le but initial de ce serveur, qui était de remplacer tous mes VPS (sauf <code class="language-plaintext highlighter-rouge">Amber</code>), je ne les ai résiliées qu’en mai 2024, plus d’un an après la mise en production de <code class="language-plaintext highlighter-rouge">Montreal</code>.</p>
|
||
|
||
<h2 id="troisième-itération--2024-">Troisième itération : 2024-?</h2>
|
||
|
||
<p>Le problème principal de ce serveur était très prévisible : il consomme beaucoup, et chauffe pas mal aussi (ou plutôt, devient très bruyant pour ne pas chauffer…). Pour réduire très fortement son bruit au repos, j’ai retiré dès le départ le contrôle automatique de la vitesse des ventilos, pour les mettre à 10% de leur vitesse maximale (contre 30% au minimum en automatique), ce qui suffisait largement à mes besoins. Mais en ayant retiré tout contrôle automatique de leur vitesse, je gardais un stress qu’il se mette à trop chauffer et à s’abimer, voire à abimer mon appartement… Et sa consommation était très loin d’être négligeable : 120W dans le BIOS, 150W avec mon infrastructure au repos (et facilement 180W avec une CI qui tournait), soit environ 35€/mois d’électricité… Soit le prix combiné de <code class="language-plaintext highlighter-rouge">Zii</code>, <code class="language-plaintext highlighter-rouge">Didi</code> et <code class="language-plaintext highlighter-rouge">Izz</code>.</p>
|
||
|
||
<p>J’ai donc décidé en août 2024 de le remplacer par un serveur monté moi-même, avec des composants de PC (plus de détails <a href="/infra.html">ici</a>), <code class="language-plaintext highlighter-rouge">Gandalf</code>. J’en ai également profité pour acheter un routeur physique (un EdgeRouter X), <code class="language-plaintext highlighter-rouge">Cirdan</code>.</p>
|
||
|
||
<div class="language-plaintext highlighter-rouge"><div class="highlight"><pre class="highlight"><code> +-----------+
|
||
| |
|
||
| Freebox |
|
||
| |
|
||
+-----+-----+
|
||
|
|
||
|
|
||
|
|
||
|
|
||
| 192.168.1.0/24
|
||
| gw.chapo.li
|
||
|
|
||
|
|
||
|
|
||
+---------+ +-----+-----+
|
||
| | VPN | |
|
||
| Amber +------------------+ Cirdan |
|
||
| | 172.31.0.0/24 | |
|
||
+---------+ wg.chapo.li +--+--+--+--+
|
||
| | |
|
||
| | |
|
||
| | |
|
||
| | |
|
||
| | |
|
||
+---------------+ | +---------------+
|
||
| | |
|
||
| | |
|
||
+-----+-----+ +-----+-----+ +-----+-----+
|
||
| | | | | |
|
||
| Clients | | Hardware | | Servers |
|
||
| | | | | |
|
||
+-----------+ +-----------+ +-----------+
|
||
10.255.1.0/24 10.255.2.0/24 10.255.3.0/24
|
||
client.chapo.li hw.chapo.li vm.chapo.li
|
||
</code></pre></div></div>
|
||
|
||
<p>Plutôt que d’utiliser un nom de domaine unique pour toutes mes ip (en <code class="language-plaintext highlighter-rouge">.home</code>), j’ai décidé d’utiliser un sous-domaine d’un domaine public par sous-réseau, ce qui me permet également <a href="https://faercol.me/fr/posts/dns-challenge/">de générer des certificats TLS valides</a>.</p>
|
||
|
||
<p>EdgeOS me permet également d’enfin faire <a href="https://help.ui.com/hc/en-us/articles/204952274-EdgeRouter-Policy-Based-Routing">du source-based routing sans effort</a>, ce qui me permet enfin d’avoir proprement uniquement les serveurs qui sortent par le VPN, tout en pouvant facilement définir des exceptions (par exemple, mon runner Forgejo n’utilise pas le VPN, à cause d’un soucis que je n’ai jamais réussi à comprendre avec le pull de dépendences Ruby…).</p>
|
||
|
||
<p>En terme de gestion de la configuration des serveurs, je suis revenue sur Ansible, avec des playbooks plus simples et plus standards qu’à l’époque de la première itération. Au lieu de chercher à ansibliser tous mes services, je n’ansiblise que les structures récurrentes (déploiement des utilisateurs, installation de docker, configuration de cerbot avec challenge DNS…), ainsi que quelques services plus complexes (comme la stack mail). Pour les autres services, qui sont généralement un <code class="language-plaintext highlighter-rouge">docker-compose.yml</code> et un éventuel fichier de configuration, ainsi que pour le routeur, j’utilise un simple script bash qui <code class="language-plaintext highlighter-rouge">scp</code> les fichiers pertinents, puis je git le résultat. Peu élégant, mais efficace.</p>
|
||
|
||
<div class="language-bash highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="c">#!/bin/bash</span>
|
||
|
||
<span class="nb">echo</span> <span class="nt">-e</span> <span class="s2">"[cirdan.hw.chapo.li]"</span>
|
||
scp ubnt@cirdan.hw.chapo.li:/config/config.boot cirdan.hw.chapo.li/config.boot
|
||
...
|
||
</code></pre></div></div>
|
||
<blockquote>
|
||
<p>Oui, ce repo contient beaucoup de secrets en clair. Oui, il est privé et protégé. Oui, ce n’est pas très propre…</p>
|
||
</blockquote>
|
||
|
||
<p>Afin de gérer l’accès à mes services depuis l’extérieur, j’utilise deux serveurs : <code class="language-plaintext highlighter-rouge">Amber</code>, mon VPS externe, qui utilise un <code class="language-plaintext highlighter-rouge">firewalld</code> pour gérer un NAT Masquerade et le port-forward vers les machines pertinentes à travers un pont Wireguard vers <code class="language-plaintext highlighter-rouge">Cirdan</code>, et <code class="language-plaintext highlighter-rouge">Dillon</code>, mon reverse-proxy Nginx sous NixOS. C’est lui qui s’occupe de distribuer les requêtes vers les services pertinents, et de faire la terminaison TLS pour mes services externes.</p>
|
||
|
||
<p>Enfin, pour gérer les mises à jour des machines, j’utilise, en plus de <a href="https://wiki.debian.org/UnattendedUpgrades">unattended-upgrades</a>, <a href="https://github.com/DE-IBH/apt-dater">apt-dater</a>.</p>
|
||
|
||
<blockquote>
|
||
<p>Apt-dater est très peu disponible sur d’autres plateformes que Debian et ses dérivés, et n’est plus vraiment maintenu par d’autres personnes que les mainteneurs de Debian… Pro tip si vous voulez l’utiliser depuis un Arch par exemple, il tourne très bien dans un Docker !</p>
|
||
</blockquote>
|
||
|
||
<p>Je suis pour l’instant très satisfaite de cette nouvelle itération, qui me parait beaucoup plus robuste et facile à maintenir que les précédentes. À voir sur la longueur !</p></content><author><name>Caroline Canebier</name></author><category term="sysadmin" /><category term="mainpage" /><category term="history" /><summary type="html">Je viens de mettre en production la 3ème itération de mon infrastructure personnelle, et j’en profite pour présenter ici un résumé des itérations précédentes, ainsi que de décrire son état actuel.</summary></entry><entry><title type="html">Workflow de déploiement de mon blog avec Forgejo Actions</title><link href="https://chapoline.me/2024/09/08/blog-workflow.html" rel="alternate" type="text/html" title="Workflow de déploiement de mon blog avec Forgejo Actions" /><published>2024-09-08T00:00:00+00:00</published><updated>2024-09-08T00:00:00+00:00</updated><id>https://chapoline.me/2024/09/08/blog-workflow</id><content type="html" xml:base="https://chapoline.me/2024/09/08/blog-workflow.html"><p>Ce blog est un blog statique, construit à partir de <a href="https://jekyllrb.com/">Jekyll</a>. Il peut donc être construit à l’avance, afin de générer des fichiers entièrement statiques, qui seront déployés sur un serveur web qui les servira sur internet. C’est donc une excellente occasion pour mettre en place une CI avec <a href="https://forgejo.org/docs/latest/user/actions/">Forgejo Actions</a>, afin d’automatiser le build de ce blog.</p>
|
||
|
||
<blockquote>
|
||
<p>Je ne fais ici que de la CI, pas de CD (je ne déploie pas automatiquement sur mon serveur web), car j’utilise NixOS pour mon serveur web, et je préfère donc définir manuellement le commit exact du blog que je déploie.</p>
|
||
</blockquote>
|
||
|
||
<p>Je travaille avec deux dépots de code : <a href="https://git.chapoline.me/chapeau/blog">blog</a>, qui contient les sources du blog, et <a href="https://git.chapoline.me/chapeau/blog-static">blog-static</a>, qui contient le résultat du build du blog (et qui est concrètement ce qui est servi par mon serveur web). La CI a donc pour but de récupérer les sources, compiler le blog, et push le résultat sur le deuxième dépot.</p>
|
||
|
||
<div class="language-yaml highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="c1"># .forgejo/workflows/main.yml</span>
|
||
|
||
<span class="c1"># We execute this workflow on each commit pushed</span>
|
||
<span class="na">on</span><span class="pi">:</span>
|
||
<span class="na">push</span><span class="pi">:</span>
|
||
|
||
<span class="na">jobs</span><span class="pi">:</span>
|
||
<span class="na">build</span><span class="pi">:</span>
|
||
<span class="na">runs-on</span><span class="pi">:</span> <span class="s">docker</span>
|
||
<span class="na">container</span><span class="pi">:</span>
|
||
<span class="c1"># the Checkout Action needs node to run</span>
|
||
<span class="na">image</span><span class="pi">:</span> <span class="s">node:bookworm</span>
|
||
|
||
<span class="na">steps</span><span class="pi">:</span>
|
||
<span class="c1"># First, clone the source repo</span>
|
||
<span class="pi">-</span> <span class="na">name</span><span class="pi">:</span> <span class="s">Clone repo</span>
|
||
<span class="na">uses</span><span class="pi">:</span> <span class="s">actions/checkout@v4</span>
|
||
|
||
<span class="c1"># Then, clone the static repo on the build output path</span>
|
||
<span class="pi">-</span> <span class="na">name</span><span class="pi">:</span> <span class="s">Clone static repo</span>
|
||
<span class="na">uses</span><span class="pi">:</span> <span class="s">actions/checkout@v4</span>
|
||
<span class="na">with</span><span class="pi">:</span>
|
||
<span class="na">repository</span><span class="pi">:</span> <span class="s">chapeau/blog-static</span>
|
||
<span class="na">path</span><span class="pi">:</span> <span class="s">_site</span>
|
||
<span class="c1"># This repo needs a token because we will push on it later</span>
|
||
<span class="na">token</span><span class="pi">:</span> <span class="s">${{ secrets.GH_PAT }}</span>
|
||
<span class="na">ref</span><span class="pi">:</span> <span class="s">main</span>
|
||
|
||
<span class="pi">-</span> <span class="na">name</span><span class="pi">:</span> <span class="s">Setup</span>
|
||
<span class="na">env</span><span class="pi">:</span>
|
||
<span class="na">MAIL</span><span class="pi">:</span> <span class="s">${{ secrets.MAIL }}</span>
|
||
<span class="na">shell</span><span class="pi">:</span> <span class="s">bash</span>
|
||
<span class="na">run</span><span class="pi">:</span> <span class="pi">|</span>
|
||
<span class="s"># Install some dependencies for the blog</span>
|
||
<span class="s">apt update</span>
|
||
<span class="s">apt install -y bundler git apt-utils</span>
|
||
|
||
<span class="s"># This configuration is mandatory to make commits</span>
|
||
<span class="s">git config --global user.email "$MAIL"</span>
|
||
<span class="s">git config --global user.name "CI Builder"</span>
|
||
|
||
<span class="s"># Install ruby dependencies</span>
|
||
<span class="s">bundle install</span>
|
||
|
||
<span class="s"># Build the blog</span>
|
||
<span class="s">bundle exec jekyll build</span>
|
||
|
||
<span class="s"># Commit and push</span>
|
||
<span class="s">cd _site</span>
|
||
<span class="s">git add --all</span>
|
||
<span class="s">git commit -m "Build"</span>
|
||
<span class="s">git push -u origin main </span>
|
||
</code></pre></div></div>
|
||
|
||
<p>Pour utiliser ce workflow, deux choses sont nécessaires : un runner Forgejo bien sur, et quelques secrets.</p>
|
||
|
||
<p>J’utilise un simple runner docker, installé en suivant la <a href="https://forgejo.org/docs/latest/admin/actions/#forgejo-runner">documentation officielle</a>.</p>
|
||
|
||
<p>Les secrets se définissent dans l’interface web de Forgejo, pour le projet, dans <code class="language-plaintext highlighter-rouge">Paramètres -&gt; Actions -&gt; Secrets</code>. Deux sont nécessaires pour ce workflow : <code class="language-plaintext highlighter-rouge">MAIL</code>, qui contient simplement l’adresse mail utilisée pour les commits, et <code class="language-plaintext highlighter-rouge">GH_PAT</code>, qui contient un token d’authentification associé à votre compte, avec des droits d’accès en écriture sur les dépots. Pour le générer, allez dans <code class="language-plaintext highlighter-rouge">Configuration -&gt; Applications</code>.</p></content><author><name>Caroline Canebier</name></author><category term="sysadmin" /><category term="mainpage" /><summary type="html">Ce blog est un blog statique, construit à partir de Jekyll. Il peut donc être construit à l’avance, afin de générer des fichiers entièrement statiques, qui seront déployés sur un serveur web qui les servira sur internet. C’est donc une excellente occasion pour mettre en place une CI avec Forgejo Actions, afin d’automatiser le build de ce blog.</summary></entry><entry><title type="html">Remplacer la conversation Whatsapp familiale par un serveur XMPP</title><link href="https://chapoline.me/2024/08/28/xmpp-server.html" rel="alternate" type="text/html" title="Remplacer la conversation Whatsapp familiale par un serveur XMPP" /><published>2024-08-28T00:00:00+00:00</published><updated>2024-08-28T00:00:00+00:00</updated><id>https://chapoline.me/2024/08/28/xmpp-server</id><content type="html" xml:base="https://chapoline.me/2024/08/28/xmpp-server.html"><p>Tout le monde aujourd’hui a, dans sa famille, une conversation Whatsapp/Telegram/Messenger/autre, en remplacement des SMS de la décennie précédente. Mais avec l’enshitification ambiante d’Internet, il devient de plus en plus essentiel d’avoir des options pour rester en contact avec ses proches sans passer par des applications propriétaires peu respectueuses de la vie privée. XMPP est une excellente solution à ça, et en installer un serveur est un projet sympathique et assez facile.</p>
|
||
|
||
<p>XMPP est un protocol décentralisé d’échange de données en temps réel. Plus simplement, c’est un très bon protocol pour construire des systèmes fédérés de discussion instantannée, ce qui est exactement ce que l’on va faire. Le protocol est défini via quelques RFC, et définit également des extensions à travers des <a href="https://xmpp.org/extensions/">XEP</a>. Plusieurs de ces XEP sont aujourd’hui très standard et sont installées et activées par défaut (comme la <a href="https://xmpp.org/extensions/xep-0012.html">XEP-0012</a>). Enfin, XMPP propose aujourd’hui du chiffrement bout-en-bout mature et automatique (<a href="https://xmpp.org/extensions/xep-0384.html">XEP-0384</a>).</p>
|
||
|
||
<blockquote>
|
||
<p>Les différentes étapes de cet article sont :</p>
|
||
<ul>
|
||
<li><a href="#env">Une description de l’environnement dans lequel le serveur XMPP va être déployé</a></li>
|
||
<li><a href="#install">L’installation et la configuration du serveur XMPP en lui-même</a></li>
|
||
<li><a href="#file">La configuration de quelques fonctionnalités supplémentaires (partage de fichier et rooms)</a></li>
|
||
<li><a href="#config">La configuration finale du serveur</a></li>
|
||
</ul>
|
||
</blockquote>
|
||
|
||
<h2 id="env">Environnement</h2>
|
||
|
||
<p>Pour monter un serveur XMPP, il est nécessaire d’avoir au moins un nom de domaine public, et si possible plusieurs sous-domaines dédiés au projet. Il est également nécessaire d’avoir une ip publique, avec a minima les ports tcp 5222 et 5269 accessibles.</p>
|
||
|
||
<blockquote>
|
||
<p>Dans cet article, je prends comme noms de domaines <code class="language-plaintext highlighter-rouge">example.org</code> et ses sous-domaines, et comme ip publique <code class="language-plaintext highlighter-rouge">198.51.100.5</code>. Le serveur lui-même est sur l’ip <code class="language-plaintext highlighter-rouge">192.168.1.200/24</code>, derrière un NAT. J’utilise également un reverse-proxy dédié (puisque je n’ai qu’une ip publique), dont l’ip privée est <code class="language-plaintext highlighter-rouge">192.168.1.100</code>.</p>
|
||
</blockquote>
|
||
|
||
<p><a href="https://prosody.im">Prosody</a> et <a href="https://www.ejabberd.im">edjabberd</a> sont deux implémentations modernes de serveur XMPP, et les deux sont des choix très pertinents. Pour ma part, j’ai choisi Prosody.</p>
|
||
|
||
<p>Pour installer Prosody, j’utilise un serveur Debian 11, avec 2 vCPU, 2Go de ram et 32Go de disque (à titre purement indicatif, je n’ai pas fait de benchmark pour vérifier la pertinence de ces ressources).</p>
|
||
|
||
<h2 id="install">Installation et configuration initiale</h2>
|
||
|
||
<p>L’installation sous debian se fait via le repo officiel de Prosody :</p>
|
||
|
||
<div class="language-bash highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="nb">echo </span>deb http://packages.prosody.im/debian <span class="si">$(</span>lsb_release <span class="nt">-sc</span><span class="si">)</span> main | <span class="nb">sudo tee</span> /etc/apt/sources.list.d/prosody.list
|
||
<span class="nb">sudo </span>wget https://prosody.im/files/prosody-debian-packages.key <span class="nt">-O</span> /etc/apt/trusted.gpg.d/prosody.gpg
|
||
<span class="nb">sudo </span>apt update
|
||
<span class="nb">sudo </span>apt <span class="nb">install </span>prosody
|
||
</code></pre></div></div>
|
||
|
||
<p>Toute la configuration se fait ensuite dans <code class="language-plaintext highlighter-rouge">/etc/prosody/prosody.cfg.lua</code>.</p>
|
||
|
||
<blockquote>
|
||
<p>Le fichier de configuration complet est disponible à la fin du guide. J’ai enlevé les commentaires du fichier par défaut par soucis de clareté, mais je vous conseille de les laisser !</p>
|
||
</blockquote>
|
||
|
||
<p>La configuration commence par charger une liste de modules. La liste par défaut est un bon point de départ ; j’ai simplement décommenté le module <code class="language-plaintext highlighter-rouge">mam</code>, qui permet de conserver un historique des messages sur le serveur.</p>
|
||
|
||
<p>On peut ensuite indiquer à Prosody quelle ip publique est utilisée pour accéder au service, ce qui lui permet de vérifier lui même si la configuration DNS est correcte :</p>
|
||
|
||
<div class="language-lua highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="n">external_addresses</span> <span class="o">=</span> <span class="p">{</span> <span class="s2">"198.51.100.5"</span> <span class="p">}</span>
|
||
</code></pre></div></div>
|
||
|
||
<p>Enfin, il faut créer un VirtualHost, ce qui correspond à un domaine sur lequel Prosody va écouter (en gros, un serveur XMPP séparé). Attention, toutes les options de configuration définies après ne s’appliqueront qu’au VirtualHost !</p>
|
||
|
||
<div class="language-lua highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="n">VirtualHost</span> <span class="s2">"chat.example.org"</span>
|
||
</code></pre></div></div>
|
||
|
||
<p>Et voilà, juste avec ça, on a un serveur XMPP fonctionnel ! Mais avant de l’utiliser, nous allons au moins mettre en place un certificat TLS pour sécuriser les connexions entre les clients et le serveur, et entre notre serveur et les autres. Pour cela, un peu de DNS et de reverse proxy s’impose. Faisons donc pointer <code class="language-plaintext highlighter-rouge">chat.example.org</code> sur notre ip publique, puis ajoutons juste ce qu’il faut de reverse proxy :</p>
|
||
|
||
<blockquote>
|
||
<p>J’utilise NixOS pour gérer mon reverse proxy. Je vous laisse adapter cette configuration pour nginx si ce n’est pas votre cas.</p>
|
||
</blockquote>
|
||
|
||
<div class="language-nix highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="nv">services</span><span class="o">.</span><span class="nv">nginx</span><span class="o">.</span><span class="s2">"chat.example.org"</span> <span class="o">=</span> <span class="p">{</span>
|
||
<span class="nv">locations</span> <span class="o">=</span> <span class="p">{</span>
|
||
<span class="s2">"/"</span><span class="o">.</span><span class="nv">proxyPass</span> <span class="o">=</span> <span class="s2">"http://192.168.1.200:80"</span><span class="p">;</span>
|
||
<span class="p">};</span>
|
||
<span class="p">};</span>
|
||
</code></pre></div></div>
|
||
|
||
<p>Cette configuration de nginx n’écoute que sur le port 80, et reverse-proxyfie les requêtes sur le port 80 de la VM Prosody. Elle ne sert qu’à faire fonctionner le challenge Let’s Encrypt qui va venir :</p>
|
||
|
||
<div class="language-bash highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="nv">$ </span>certbot certonly <span class="nt">--standalone</span> <span class="nt">-d</span> chat.example.org
|
||
<span class="nv">$ </span>prosodyctl <span class="nt">--root</span> cert import /etc/letsencrypt/live
|
||
</code></pre></div></div>
|
||
|
||
<p>Pour vérifier que tout fonctionne, on peut utiliser <code class="language-plaintext highlighter-rouge">prosodyctl</code> :</p>
|
||
|
||
<div class="language-plaintext highlighter-rouge"><div class="highlight"><pre class="highlight"><code>$ prosodyctl check certs
|
||
Checking certificates...
|
||
Checking certificate for chat.example.org
|
||
Certificate: /etc/prosody/certs/chat.example.org.crt
|
||
</code></pre></div></div>
|
||
|
||
<p>Et voilà ! N’oubliez pas de forward les ports tcp 5222 et 5269 sur votre firewall, et votre serveur XMPP devrait être fonctionnel. Pour ajouter des utilisateurs, utilisez la cli :</p>
|
||
|
||
<div class="language-bash highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="nv">$ </span>prosodyctl adduser user@chat.example.org
|
||
</code></pre></div></div>
|
||
|
||
<h2 id="file">File sharing et MUC</h2>
|
||
|
||
<p>Afin de rajouter quelques fonctionnalités à notre serveur, nous allons rajouter un vrai service de partage de fichier (actuellement, le partage de fichiers fonctionne, mais uniquement en peer-to-peer), ainsi que la possibilité de créer des rooms de discussion.</p>
|
||
|
||
<p>Ces deux fonctionnalités s’ajoutent via des <em>Components</em>, qui se configurent à la suite du VirtualHost :</p>
|
||
|
||
<div class="language-lua highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="n">disco_items</span> <span class="o">=</span> <span class="p">{</span>
|
||
<span class="p">{</span> <span class="s2">"file.example.org"</span><span class="p">,</span> <span class="s2">"file sharing service"</span> <span class="p">},</span>
|
||
<span class="p">}</span>
|
||
|
||
<span class="n">http_paths</span> <span class="o">=</span> <span class="p">{</span>
|
||
<span class="n">file_share</span> <span class="o">=</span> <span class="s2">"/"</span><span class="p">;</span>
|
||
<span class="p">}</span>
|
||
|
||
<span class="n">Component</span> <span class="s2">"file.example.org"</span> <span class="s2">"http_file_share"</span>
|
||
<span class="n">http_file_share_global_quota</span> <span class="o">=</span> <span class="mi">16</span><span class="o">*</span><span class="mi">1024</span><span class="o">*</span><span class="mi">1024</span><span class="o">*</span><span class="mi">1024</span> <span class="c1">-- 16 Go</span>
|
||
<span class="n">http_external_url</span> <span class="o">=</span> <span class="s2">"https://file.example.org/"</span>
|
||
<span class="n">trusted_proxies</span> <span class="o">=</span> <span class="p">{</span> <span class="s2">"192.168.1.100"</span><span class="p">,</span> <span class="p">}</span>
|
||
|
||
<span class="n">Component</span> <span class="s2">"rooms.chat.example.org"</span> <span class="s2">"muc"</span>
|
||
<span class="n">modules_enabled</span> <span class="o">=</span> <span class="p">{</span> <span class="s2">"muc_mam"</span> <span class="p">}</span>
|
||
<span class="n">name</span> <span class="o">=</span> <span class="s2">"Chatrooms"</span>
|
||
<span class="n">restrict_room_creation</span> <span class="o">=</span> <span class="s2">"local"</span>
|
||
<span class="n">muc_room_default_public</span> <span class="o">=</span> <span class="kc">false</span>
|
||
</code></pre></div></div>
|
||
|
||
<p>Le service de partage de fichier, qui va être configuré derrière le reverse proxy, a besoin de connaitre son url d’accès pour générer correctement les liens. On lui configure également son quota global, et l’adresse ip du serveur proxy afin de l’autoriser.</p>
|
||
|
||
<p>Pour éviter que les liens générés soient préfixés par <code class="language-plaintext highlighter-rouge">file_share/</code>, on redéfinit son <code class="language-plaintext highlighter-rouge">http_path</code>. Enfin, pour que les clients puisse découvrir le service et parce qu’il n’est pas sur un sous-domaine de <code class="language-plaintext highlighter-rouge">chat.example.org</code>, on le définit dans la liste des services à découvrir.</p>
|
||
|
||
<p>Côté MUC, on active également le stockage des messages récents sur le serveur, on autorise uniquement les comptes locaux à créer de nouvelles rooms (même si n’importe qui peut ensuite les rejoindre), et on crée les rooms comme étant privées par défaut.</p>
|
||
|
||
<p>Afin que le reverse proxy fonctionne, il faut également faire écouter le port HTTP de Prosody sur <code class="language-plaintext highlighter-rouge">0.0.0.0</code> au lieu de <code class="language-plaintext highlighter-rouge">localhost</code> par défaut :</p>
|
||
|
||
<div class="language-lua highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="n">http_interfaces</span> <span class="o">=</span> <span class="p">{</span> <span class="s2">"*"</span><span class="p">,</span> <span class="s2">"::"</span> <span class="p">}</span>
|
||
</code></pre></div></div>
|
||
|
||
<p>On peut à présent configurer notre reverse proxy, cette fois avec HTTPS :</p>
|
||
|
||
<div class="language-nix highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="nv">services</span><span class="o">.</span><span class="nv">nginx</span><span class="o">.</span><span class="s2">"file.example.org"</span> <span class="o">=</span> <span class="p">{</span>
|
||
<span class="nv">enableACME</span> <span class="o">=</span> <span class="kc">true</span><span class="p">;</span>
|
||
<span class="nv">forceSSL</span> <span class="o">=</span> <span class="kc">true</span><span class="p">;</span>
|
||
<span class="nv">locations</span> <span class="o">=</span> <span class="p">{</span>
|
||
<span class="s2">"/"</span><span class="o">.</span><span class="nv">proxyPass</span> <span class="o">=</span> <span class="s2">"http://192.168.1.200:5280"</span><span class="p">;</span>
|
||
<span class="p">};</span>
|
||
<span class="p">};</span>
|
||
</code></pre></div></div>
|
||
|
||
<h2 id="config">Fichier de configuration final</h2>
|
||
|
||
<div class="language-lua highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="n">external_addresses</span> <span class="o">=</span> <span class="p">{</span> <span class="s2">"198.51.100.5"</span> <span class="p">}</span>
|
||
|
||
<span class="n">modules_enabled</span> <span class="o">=</span> <span class="p">{</span>
|
||
<span class="s2">"disco"</span><span class="p">;</span> <span class="c1">-- Service discovery</span>
|
||
<span class="s2">"roster"</span><span class="p">;</span> <span class="c1">-- Allow users to have a roster. Recommended ;)</span>
|
||
<span class="s2">"saslauth"</span><span class="p">;</span> <span class="c1">-- Authentication for clients and servers. Recommended if you want to log in.</span>
|
||
<span class="s2">"tls"</span><span class="p">;</span> <span class="c1">-- Add support for secure TLS on c2s/s2s connections</span>
|
||
|
||
<span class="s2">"blocklist"</span><span class="p">;</span> <span class="c1">-- Allow users to block communications with other users</span>
|
||
<span class="s2">"bookmarks"</span><span class="p">;</span> <span class="c1">-- Synchronise the list of open rooms between clients</span>
|
||
<span class="s2">"carbons"</span><span class="p">;</span> <span class="c1">-- Keep multiple online clients in sync</span>
|
||
<span class="s2">"dialback"</span><span class="p">;</span> <span class="c1">-- Support for verifying remote servers using DNS</span>
|
||
<span class="s2">"limits"</span><span class="p">;</span> <span class="c1">-- Enable bandwidth limiting for XMPP connections</span>
|
||
<span class="s2">"pep"</span><span class="p">;</span> <span class="c1">-- Allow users to store public and private data in their account</span>
|
||
<span class="s2">"private"</span><span class="p">;</span> <span class="c1">-- Legacy account storage mechanism (XEP-0049)</span>
|
||
<span class="s2">"smacks"</span><span class="p">;</span> <span class="c1">-- Stream management and resumption (XEP-0198)</span>
|
||
<span class="s2">"vcard4"</span><span class="p">;</span> <span class="c1">-- User profiles (stored in PEP)</span>
|
||
<span class="s2">"vcard_legacy"</span><span class="p">;</span> <span class="c1">-- Conversion between legacy vCard and PEP Avatar, vcard</span>
|
||
|
||
<span class="s2">"csi_simple"</span><span class="p">;</span> <span class="c1">-- Simple but effective traffic optimizations for mobile devices</span>
|
||
<span class="s2">"invites"</span><span class="p">;</span> <span class="c1">-- Create and manage invites</span>
|
||
<span class="s2">"invites_adhoc"</span><span class="p">;</span> <span class="c1">-- Allow admins/users to create invitations via their client</span>
|
||
<span class="s2">"invites_register"</span><span class="p">;</span> <span class="c1">-- Allows invited users to create accounts</span>
|
||
<span class="s2">"ping"</span><span class="p">;</span> <span class="c1">-- Replies to XMPP pings with pongs</span>
|
||
<span class="s2">"register"</span><span class="p">;</span> <span class="c1">-- Allow users to register on this server using a client and change passwords</span>
|
||
<span class="s2">"time"</span><span class="p">;</span> <span class="c1">-- Let others know the time here on this server</span>
|
||
<span class="s2">"uptime"</span><span class="p">;</span> <span class="c1">-- Report how long server has been running</span>
|
||
<span class="s2">"version"</span><span class="p">;</span> <span class="c1">-- Replies to server version requests</span>
|
||
<span class="s2">"mam"</span><span class="p">;</span> <span class="c1">-- Store recent messages to allow multi-device synchronization</span>
|
||
|
||
<span class="s2">"admin_adhoc"</span><span class="p">;</span> <span class="c1">-- Allows administration via an XMPP client that supports ad-hoc commands</span>
|
||
<span class="s2">"admin_shell"</span><span class="p">;</span> <span class="c1">-- Allow secure administration via 'prosodyctl shell'</span>
|
||
<span class="p">}</span>
|
||
|
||
<span class="n">s2s_secure_auth</span> <span class="o">=</span> <span class="kc">true</span>
|
||
<span class="n">limits</span> <span class="o">=</span> <span class="p">{</span>
|
||
<span class="n">c2s</span> <span class="o">=</span> <span class="p">{</span>
|
||
<span class="n">rate</span> <span class="o">=</span> <span class="s2">"10kb/s"</span><span class="p">;</span>
|
||
<span class="p">};</span>
|
||
<span class="n">s2sin</span> <span class="o">=</span> <span class="p">{</span>
|
||
<span class="n">rate</span> <span class="o">=</span> <span class="s2">"30kb/s"</span><span class="p">;</span>
|
||
<span class="p">};</span>
|
||
<span class="p">}</span>
|
||
<span class="n">pidfile</span> <span class="o">=</span> <span class="s2">"/var/run/prosody/prosody.pid"</span>
|
||
<span class="n">authentication</span> <span class="o">=</span> <span class="s2">"internal_hashed"</span>
|
||
<span class="n">archive_expires_after</span> <span class="o">=</span> <span class="s2">"1w"</span>
|
||
|
||
<span class="n">log</span> <span class="o">=</span> <span class="p">{</span>
|
||
<span class="n">info</span> <span class="o">=</span> <span class="s2">"/var/log/prosody/prosody.log"</span><span class="p">;</span>
|
||
<span class="nb">error</span> <span class="o">=</span> <span class="s2">"/var/log/prosody/prosody.err"</span><span class="p">;</span>
|
||
<span class="p">}</span>
|
||
|
||
<span class="n">certificates</span> <span class="o">=</span> <span class="s2">"certs"</span>
|
||
|
||
<span class="n">http_interfaces</span> <span class="o">=</span> <span class="p">{</span> <span class="s2">"*"</span><span class="p">,</span> <span class="s2">"::"</span> <span class="p">}</span>
|
||
|
||
<span class="n">VirtualHost</span> <span class="s2">"chat.example.org"</span>
|
||
|
||
<span class="n">disco_items</span> <span class="o">=</span> <span class="p">{</span>
|
||
<span class="p">{</span> <span class="s2">"file.example.org"</span><span class="p">,</span> <span class="s2">"file sharing service"</span> <span class="p">},</span>
|
||
<span class="p">}</span>
|
||
|
||
<span class="n">http_paths</span> <span class="o">=</span> <span class="p">{</span>
|
||
<span class="n">file_share</span> <span class="o">=</span> <span class="s2">"/"</span><span class="p">;</span>
|
||
<span class="p">}</span>
|
||
|
||
<span class="n">Component</span> <span class="s2">"file.example.org"</span> <span class="s2">"http_file_share"</span>
|
||
<span class="n">http_file_share_global_quota</span> <span class="o">=</span> <span class="mi">16</span><span class="o">*</span><span class="mi">1024</span><span class="o">*</span><span class="mi">1024</span><span class="o">*</span><span class="mi">1024</span> <span class="c1">-- 16 Go</span>
|
||
<span class="n">http_external_url</span> <span class="o">=</span> <span class="s2">"https://file.example.org/"</span>
|
||
<span class="n">trusted_proxies</span> <span class="o">=</span> <span class="p">{</span> <span class="s2">"192.168.1.100"</span><span class="p">,</span> <span class="p">}</span>
|
||
|
||
<span class="n">Component</span> <span class="s2">"rooms.chat.example.org"</span> <span class="s2">"muc"</span>
|
||
<span class="n">modules_enabled</span> <span class="o">=</span> <span class="p">{</span> <span class="s2">"muc_mam"</span> <span class="p">}</span>
|
||
<span class="n">name</span> <span class="o">=</span> <span class="s2">"Chatrooms"</span>
|
||
<span class="n">restrict_room_creation</span> <span class="o">=</span> <span class="s2">"local"</span>
|
||
<span class="n">muc_room_default_public</span> <span class="o">=</span> <span class="kc">false</span>
|
||
</code></pre></div></div></content><author><name>Caroline Canebier</name></author><category term="sysadmin" /><category term="mainpage" /><summary type="html">Tout le monde aujourd’hui a, dans sa famille, une conversation Whatsapp/Telegram/Messenger/autre, en remplacement des SMS de la décennie précédente. Mais avec l’enshitification ambiante d’Internet, il devient de plus en plus essentiel d’avoir des options pour rester en contact avec ses proches sans passer par des applications propriétaires peu respectueuses de la vie privée. XMPP est une excellente solution à ça, et en installer un serveur est un projet sympathique et assez facile.</summary></entry><entry><title type="html">Utiliser Firefox comme lecteur minimaliste</title><link href="https://chapoline.me/2024/07/27/firefox-minimal.html" rel="alternate" type="text/html" title="Utiliser Firefox comme lecteur minimaliste" /><published>2024-07-27T00:00:00+00:00</published><updated>2024-07-27T00:00:00+00:00</updated><id>https://chapoline.me/2024/07/27/firefox-minimal</id><content type="html" xml:base="https://chapoline.me/2024/07/27/firefox-minimal.html"><p>Je cherchais un moyen minimaliste pour pouvoir lire un pdf ou un manga dans Firefox, en épurant au maximum ma fenêtre. Deux options sont courantes : mettre la fenêtre en plein écran, ou utiliser une extension de navigateur dédiée. Mais ça ne doit pas être si difficile à faire à la main ? Voyons comment faire cela.</p>
|
||
|
||
<h2 id="création-dun-profil-dédié">Création d’un profil dédié</h2>
|
||
|
||
<p>Afin de pouvoir continuer à utiliser Firefox normalement, nous allons créer un <a href="https://support.mozilla.org/fr/kb/profils-la-ou-firefox-conserve-donnees-utilisateur">profil Firefox</a> dédié. Les profils Firefox permettent d’isoler entièrement tous les marques-page, configurations, extensions, etc. Pour cela, rien de plus simple : allez sur <code class="language-plaintext highlighter-rouge">about:profiles</code>, puis créez en un (dans mon exemple, je l’ai appelé <code class="language-plaintext highlighter-rouge">pdf</code>). Remettez le profil <code class="language-plaintext highlighter-rouge">default</code> comme profil par défaut (puisqu’il restera notre profil principal), et notez bien le chemin de “Root Directory” du nouveau profil. Vous pouvez enuite ouvrir une fenêtre avec ce profil en cliquant sur le bouton “Launch profile in new browser” de cette page.</p>
|
||
|
||
<p>Vous pouvez dès à présent configurer ce nouveau profil à votre goût : installation d’extension, paramètres de vie privée, thème… Une fois cela fait, nous allons épurer très fortement l’interface, en supprimant complètement les barres d’onglets et d’URL. Pour pouvoir modifier l’interface de Firefox elle même, nous allons devoir activer l’option <code class="language-plaintext highlighter-rouge">toolkit.legacyUserProfileCustomizations.stylesheets</code>, qui se trouve sur la page <code class="language-plaintext highlighter-rouge">about:config</code>.</p>
|
||
|
||
<h2 id="modification-de-linterface-de-firefox">Modification de l’interface de Firefox</h2>
|
||
|
||
<p>A présent, allons dans le dossier de configuration du profile (chez moi, <code class="language-plaintext highlighter-rouge">~/.mozilla/firefox/yrafg6j1.pdf/</code>). La configuration de l’interface va se faire en utilisant <a href="https://www.userchrome.org/">userChrome</a>. Pour cela, créez le fichier <code class="language-plaintext highlighter-rouge">chrome/userChrome.css</code>, en créant le dossier si besoin. Mettez le contenu suivant dans le fichier :</p>
|
||
|
||
<div class="language-css highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="c">/* Cache la barre des onglets */</span>
|
||
<span class="nf">#TabsToolbar</span>
|
||
<span class="p">{</span>
|
||
<span class="nl">visibility</span><span class="p">:</span> <span class="nb">collapse</span><span class="p">;</span>
|
||
<span class="p">}</span>
|
||
|
||
<span class="c">/* Cache la barre de l'URL*/</span>
|
||
<span class="nf">#navigator-toolbox</span> <span class="p">{</span>
|
||
<span class="nl">visibility</span><span class="p">:</span> <span class="nb">collapse</span><span class="p">;</span>
|
||
<span class="p">}</span>
|
||
</code></pre></div></div>
|
||
|
||
<p>Les changements seront effectifs au prochain démarrage du profil.</p>
|
||
|
||
<p><a href="/assets/firefox-minimal-1.png"><img src="/assets/firefox-minimal-1.png" alt="Screenshot du rendu de firefox, sans barres en haut" /></a></p>
|
||
<h3 id="astuces">Astuces</h3>
|
||
|
||
<ul>
|
||
<li>Pour lancer Firefox directement sur le profil <code class="language-plaintext highlighter-rouge">pdf</code>, lancez le avec <code class="language-plaintext highlighter-rouge">firefox -P pdf [file.pdf]</code>.</li>
|
||
<li>Sans interface, la navigation au clavier est très utile : <code class="language-plaintext highlighter-rouge">ctrl+tab</code> pour cycler les onglets ouverts, <code class="language-plaintext highlighter-rouge">ctrl+t</code> pour ouvrir un nouvel onglet, <code class="language-plaintext highlighter-rouge">ctrl+o</code> pour ouvrir un fichier, ou <code class="language-plaintext highlighter-rouge">alt+left</code> pour revenir à la page précédente par exemple.</li>
|
||
<li>Attention, la barre d’URL est totalement inaccessible dans ce mode, y compris avec <code class="language-plaintext highlighter-rouge">F6</code>. Pensez à utiliser des marques-page (<code class="language-plaintext highlighter-rouge">ctrl+shift+o</code> pour ouvrir le menu), ou à épingler des pages sur la page de nouvel onglet.</li>
|
||
</ul></content><author><name>Caroline Canebier</name></author><category term="linux" /><category term="mainpage" /><summary type="html">Je cherchais un moyen minimaliste pour pouvoir lire un pdf ou un manga dans Firefox, en épurant au maximum ma fenêtre. Deux options sont courantes : mettre la fenêtre en plein écran, ou utiliser une extension de navigateur dédiée. Mais ça ne doit pas être si difficile à faire à la main ? Voyons comment faire cela.</summary></entry><entry><title type="html">Faire du Backup-as-a-Service avec Restic et Minio</title><link href="https://chapoline.me/2024/06/11/backup-minio.html" rel="alternate" type="text/html" title="Faire du Backup-as-a-Service avec Restic et Minio" /><published>2024-06-11T00:00:00+00:00</published><updated>2024-06-11T00:00:00+00:00</updated><id>https://chapoline.me/2024/06/11/backup-minio</id><content type="html" xml:base="https://chapoline.me/2024/06/11/backup-minio.html"><p>Pour mon infrastructure de backups, j’utilise depuis plusieurs années <a href="https://www.borgbackup.org/">BorgBackup</a>, un excellent outil pour chiffrer et dédupliquer ses sauvegardes, puis les stocker via SSH. Pour les sauvegardes de mes serveurs, il m’offre une complète satisfaction. Mais je voulais explorer un nouvel outil dont on m’avait dit beaucoup de bien, et je voulais essayer de faire du Backup-as-a-Service.</p>
|
||
|
||
<p>Les besoins sont simple : les utilisateurs ayant un compte sur mon service de SSO devraient pouvoir se connecter sur un service, créer une clé dédiée à une application, puis utiliser cette clé pour backup une machine, serveur ou PC, et envoyer les données sur mon serveur central. Les backups créés devraient être chiffrés, dédupliqués, et avec une gestion des droits pour ne pas permettre à un utilisateur d’écraser ou de modifier les backups des autres (tout étant chiffré, l’accès en lecture est moins critique). Si possible, le service devrait pouvoir définir des quotas par utilisateur ; malheureusement, la solution que j’ai trouvée ne le permet pas.</p>
|
||
|
||
<blockquote>
|
||
<p>Les différentes étapes de l’article sont :</p>
|
||
<ul>
|
||
<li><a href="#restic">Installer restic et écrire un script pour le lancer</a></li>
|
||
<li><a href="#minio">Installer MinIO, et tester que restic fonctionne avec MinIO</a></li>
|
||
<li><a href="#sso">Configurer restic pour fonctionner avec MinIO en SSO</a></li>
|
||
</ul>
|
||
</blockquote>
|
||
|
||
<h2 id="restic">Faire ses backups simplement</h2>
|
||
|
||
<p><a href="https://restic.net/">Restic</a> est une excellente alternative à BorgBackup, implémentée en Go. Il permet l’utilisation de plusieurs types de backend de stockage, dont du SFTP, une API REST, ou divers protocols cloud comme AWS S3 et l’équivalent chez la concurrence, au prix d’une compression moindre et d’un plus gros usage en ressources, notamment en RAM, que BorgBackup.</p>
|
||
|
||
<p>Sur chaque machine, nous allons installer Restic, puis écrire un petit script <code class="language-plaintext highlighter-rouge">backup.sh</code> autour du binaire pour backup facilement la machine. Je suis repartie de mes scripts existants, eux-même basés sur celui proposé <a href="https://borgbackup.readthedocs.io/en/stable/quickstart.html#automating-backups">dans la doc de BorgBackup</a> :</p>
|
||
|
||
<div class="language-bash highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="nv">$ </span><span class="nb">sudo </span>apt <span class="nb">install </span>restic
|
||
</code></pre></div></div>
|
||
|
||
<div class="language-bash highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="c">#!/bin/sh</span>
|
||
|
||
info<span class="o">()</span> <span class="o">{</span> <span class="nb">printf</span> <span class="s2">"</span><span class="se">\n</span><span class="s2">%s %s</span><span class="se">\n\n</span><span class="s2">"</span> <span class="s2">"</span><span class="si">$(</span> <span class="nb">date</span> <span class="si">)</span><span class="s2">"</span> <span class="s2">"</span><span class="nv">$*</span><span class="s2">"</span> <span class="o">&gt;</span>&amp;2<span class="p">;</span> <span class="o">}</span>
|
||
<span class="nb">trap</span> <span class="s1">'echo $( date ) Backup interrupted &gt;&amp;2; exit 2'</span> INT TERM
|
||
info <span class="s2">"Starting backup"</span>
|
||
|
||
<span class="nb">source</span> .env
|
||
|
||
<span class="c"># Prehook start</span>
|
||
<span class="c"># You can write here some commands to run before the backup</span>
|
||
<span class="c"># For example, a database dump, or a service stop</span>
|
||
<span class="c"># Prehook end</span>
|
||
|
||
restic backup /path/to/folder1 /path/to/folder2
|
||
<span class="nv">backup_exit</span><span class="o">=</span><span class="nv">$?</span>
|
||
|
||
restic forget <span class="nt">--prune</span> <span class="nt">--keep-daily</span> 7 <span class="nt">--keep-weekly</span> 4 <span class="nt">--keep-monthly</span> 12
|
||
<span class="nv">prune_exit</span><span class="o">=</span><span class="nv">$?</span>
|
||
|
||
<span class="c"># Posthook start</span>
|
||
<span class="c"># You can write cleanup commands here, or you can restart your services</span>
|
||
<span class="c"># Posthook end</span>
|
||
|
||
<span class="c"># use highest exit code as global exit code</span>
|
||
<span class="nv">global_exit</span><span class="o">=</span><span class="k">$((</span> backup_exit <span class="o">&gt;</span> prune_exit ? backup_exit : prune_exit <span class="k">))</span>
|
||
<span class="k">if</span> <span class="o">[</span> <span class="k">${</span><span class="nv">global_exit</span><span class="k">}</span> <span class="nt">-eq</span> 0 <span class="o">]</span><span class="p">;</span> <span class="k">then
|
||
</span><span class="nb">echo</span> <span class="s2">"Backup and Prune finished successfully"</span>
|
||
curl <span class="nt">-m</span> 10 <span class="nt">--retry</span> 5 https://health.chapoline.me/ping/&lt;UUID&gt;
|
||
<span class="k">elif</span> <span class="o">[</span> <span class="k">${</span><span class="nv">global_exit</span><span class="k">}</span> <span class="nt">-eq</span> 1 <span class="o">]</span><span class="p">;</span> <span class="k">then
|
||
</span><span class="nb">echo</span> <span class="s2">"Backup and/or Prune finished with warnings"</span>
|
||
curl <span class="nt">-m</span> 10 <span class="nt">--retry</span> 5 https://health.chapoline.me/ping/&lt;UUID&gt;/1
|
||
<span class="k">else
|
||
</span><span class="nb">echo</span> <span class="s2">"Backup and/or Prune finished with errors"</span>
|
||
curl <span class="nt">-m</span> 10 <span class="nt">--retry</span> 5 https://health.chapoline.me/ping/&lt;UUID&gt;/2
|
||
<span class="k">fi
|
||
</span><span class="nb">exit</span> <span class="k">${</span><span class="nv">global_exit</span><span class="k">}</span>
|
||
</code></pre></div></div>
|
||
<div class="language-bash highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="nv">$ </span><span class="nb">chmod</span> +x backup.sh
|
||
</code></pre></div></div>
|
||
|
||
<blockquote>
|
||
<p>J’utilise une instance de <a href="https://healthchecks.io/">healthchecks</a> pour monitorer mes backups. Je vous encourage à y jeter un coup d’oeil, c’est très pratique pour monitorer les tâches ponctuelles.</p>
|
||
</blockquote>
|
||
|
||
<p>Le fichier <code class="language-plaintext highlighter-rouge">.env</code>, qui contient les informations de connexion au backend de stockage, sera créé par la suite. Il est justement temps de choisir ce backend.</p>
|
||
|
||
<h2 id="minio">Stocker ses backups quelque part</h2>
|
||
|
||
<p>Parmi les différents backends possible, j’ai fait le choix d’utiliser <a href="https://min.io/">MinIO</a>. Ce n’est pas un outil que j’aime beaucoup utiliser, mais sa compatibilité à l’API S3 le rend très pratique, et je voulais construire une solution entièrement auto-hébergée.</p>
|
||
|
||
<p>Son installation n’est pas très simple sous Debian, mais une installation par Docker est possible (et beaucoup plus facile). Pour ma part, je l’ai installé sur un serveur sous NixOS :</p>
|
||
|
||
<div class="language-nix highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="p">{</span> <span class="nv">config</span><span class="p">,</span> <span class="nv">lib</span><span class="p">,</span> <span class="nv">pkgs</span><span class="p">,</span> <span class="o">...</span> <span class="p">}:</span>
|
||
|
||
<span class="p">{</span>
|
||
<span class="nv">services</span><span class="o">.</span><span class="nv">minio</span> <span class="o">=</span> <span class="p">{</span>
|
||
<span class="nv">enable</span> <span class="o">=</span> <span class="kc">true</span><span class="p">;</span>
|
||
<span class="p">};</span>
|
||
|
||
<span class="nv">networking</span><span class="o">.</span><span class="nv">firewall</span> <span class="o">=</span> <span class="p">{</span>
|
||
<span class="nv">enable</span> <span class="o">=</span> <span class="kc">true</span><span class="p">;</span>
|
||
<span class="nv">allowedTCPPorts</span> <span class="o">=</span> <span class="p">[</span> <span class="mi">22</span> <span class="mi">9000</span> <span class="mi">9001</span> <span class="p">];</span>
|
||
<span class="p">};</span>
|
||
<span class="p">}</span>
|
||
</code></pre></div></div>
|
||
|
||
<p>Dans un premier temps, nous allons utiliser les identifiants du compte <code class="language-plaintext highlighter-rouge">minioadmin</code>, pour vérifier que tout fonctionne. <strong>Attention, ne faites pas cela en production</strong>. On peut revenir sur l’autre machine, et créer le fichier <code class="language-plaintext highlighter-rouge">.env</code> :</p>
|
||
|
||
<div class="language-bash highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="nb">export </span><span class="nv">RESTIC_PASSWORD</span><span class="o">=</span>&lt;mot de passe de chiffrement des backups&gt;
|
||
<span class="nb">export </span><span class="nv">RESTIC_REPOSITORY</span><span class="o">=</span>s3:http://&lt;url de minio&gt;:9000/&lt;bucket&gt;
|
||
<span class="nb">export </span><span class="nv">AWS_ACCESS_KEY_ID</span><span class="o">=</span>minioadmin
|
||
<span class="nb">export </span><span class="nv">AWS_SECRET_ACCESS_KEY</span><span class="o">=</span>&lt;Mot de passe <span class="nb">du </span>compte minioadmin&gt;
|
||
</code></pre></div></div>
|
||
|
||
<p>Enfin, on peut tester ces informations de connexion :</p>
|
||
|
||
<div class="language-bash highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="nv">$ </span><span class="nb">source</span> .env
|
||
<span class="nv">$ </span>restic init
|
||
created restic repository f1c6108821 at <span class="o">[</span>url]
|
||
Please note that knowledge of your password is required to access the repository.
|
||
Losing your password means that your data is irrecoverably lost.
|
||
<span class="nv">$ </span>./backup.sh
|
||
|
||
Tue Jun 11 08:55:41 UTC 2024 Starting backup
|
||
|
||
repository f1c6108821 opened successfully, password is correct
|
||
|
||
...
|
||
|
||
Tue Jun 11 08:55:45 UTC 2024 Backup and Prune finished successfully
|
||
|
||
</code></pre></div></div>
|
||
|
||
<blockquote>
|
||
<p>Le <code class="language-plaintext highlighter-rouge">source .env</code> est nécessaire pour lancer <code class="language-plaintext highlighter-rouge">restic init</code> la première fois, ou pour faire des opérations manuelles sur les backups, mais pas pour lancer <code class="language-plaintext highlighter-rouge">./backup.sh</code>.</p>
|
||
</blockquote>
|
||
|
||
<p>Une fois que tout fonctionne, on peut créer un cron pour lancer automatiquement le backup :</p>
|
||
<div class="language-plaintext highlighter-rouge"><div class="highlight"><pre class="highlight"><code>0 4 * * * /path/to/backup.sh
|
||
</code></pre></div></div>
|
||
<blockquote>
|
||
<p>Techniquement, un Timer Systemd est mieux et a plus de fonctionnalités, mais la force de l’habitude est forte.</p>
|
||
</blockquote>
|
||
|
||
<h2 id="sso">Et ma SSO dans tout ça ?</h2>
|
||
|
||
<p>Une fois un service de SSO configuré sur MinIO (laissé à titre d’exercice au lecteur),</p>
|
||
|
||
<blockquote>
|
||
<p><strong>Modification au 20/06/2024 :</strong><br />
|
||
La configuration du SSO sur MinIO est moins simple que je le pensais et mériterait sa propre section. Il est en effet nécessaire de rédiger une Policy, associée à la configuration OpenID, pour définir les droits d’accès des utilisateurs connectés via SSO. Par exemple, pour reprendre la méthode utilisée ici et autoriser chaque utilisateur à créer un bucket en son nom, vous pouvez donner les droits <code class="language-plaintext highlighter-rouge">s3:*</code> sur <code class="language-plaintext highlighter-rouge">arn:aws:s3:::${aws:username}</code>, et <code class="language-plaintext highlighter-rouge">s3:List*</code> sur <code class="language-plaintext highlighter-rouge">arn:aws:s3:::*</code>.<br />
|
||
A noter cependant, que <a href="https://gitlab.com/gitlab-org/gitlab/-/issues/351725">Gitlab a un bug qui l’empêche d’être utilisé pour cet usage</a>.</p>
|
||
</blockquote>
|
||
|
||
<p>la solution précédente, en plus de ne pas être sécurisée, n’est plus possible : MinIO ne manipule plus de mot de passe pour le compte utilisateur. Il faut donc utiliser une Access Key. Malheureusement, utiliser directement l’Access Key dans la configuration précédente à la place des identifiants du compte ne fonctionne pas. Il va falloir rajouter un outil : <code class="language-plaintext highlighter-rouge">aws-cli</code>. Rassurez vous, bien que développé par AWS pour ses API, cet outil fonctionne parfaitement avec les autres solutions compatibles S3 et n’envoie aucune information à AWS.</p>
|
||
|
||
<p>Commençons par nous connecter avec notre compte SSO à MinIO, puis par y générer une Access Key. Installons ensuite <code class="language-plaintext highlighter-rouge">aws-cli</code> sur la machine à backup, et configurons le :</p>
|
||
|
||
<blockquote>
|
||
<p>Cette section est basée sur <a href="https://min.io/docs/minio/linux/integrations/aws-cli-with-minio.html">https://min.io/docs/minio/linux/integrations/aws-cli-with-minio.html</a>.</p>
|
||
</blockquote>
|
||
|
||
<div class="language-bash highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="nv">$ </span><span class="nb">sudo </span>apt <span class="nb">install </span>awscli
|
||
<span class="nv">$ </span>aws configure
|
||
AWS Access Key ID <span class="o">[</span>None]: Q3AM3UQ867SPQQA43P2F
|
||
AWS Secret Access Key <span class="o">[</span>None]: zuf+tfteSlswRu7BJ86wekitnifILbZam1KYY3TG
|
||
Default region name <span class="o">[</span>None]: ENTER
|
||
Default output format <span class="o">[</span>None]: ENTER
|
||
<span class="nv">$ </span>aws configure <span class="nb">set </span>default.s3.signature_version s3v4
|
||
</code></pre></div></div>
|
||
|
||
<p>Enfin, éditez le fichier <code class="language-plaintext highlighter-rouge">.env</code>, pour remplacer les informations de connexion par le profile AWS que l’on vient de créer :</p>
|
||
|
||
<div class="language-bash highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="nb">export </span><span class="nv">RESTIC_PASSWORD</span><span class="o">=</span>&lt;mot de passe de chiffrement des backups&gt;
|
||
<span class="nb">export </span><span class="nv">RESTIC_REPOSITORY</span><span class="o">=</span>s3:http://&lt;url de minio&gt;:9000/&lt;bucket&gt;
|
||
<span class="nb">export </span><span class="nv">AWS_PROFILE</span><span class="o">=</span>default
|
||
</code></pre></div></div>
|
||
|
||
<p>Vous pouvez retester que tout fonctionne comme précédemment. Il faudra probablement utiliser un autre bucket, ou supprimer le bucket du test précédent.</p>
|
||
|
||
<blockquote>
|
||
<p>Concernant les quotas, <a href="https://github.com/minio/minio/discussions/12361">MinIO ne propose pas de quota par utilisateur</a>, uniquement des quotas par bucket, et ne permet pas de définir des quotas par défaut pour tout nouveau bucket créé. Cette solution n’est donc possible qu’avec des utilisateurs de confiance, et nécessite un monitoring de l’espace de stockage du serveur MinIO.</p>
|
||
</blockquote>
|
||
|
||
<blockquote>
|
||
<p>Pour des backups encore plus sûrs, vous pouvez mettre en place <a href="https://min.io/docs/minio/linux/operations/install-deploy-manage/deploy-minio-multi-node-multi-drive.html">un cluster MinIO</a>, et/ou répliquer les buckets vers un autre serveur de stockage (auto-hébergé ou dans le Cloud) avec <a href="https://rclone.org/">rclone</a>.</p>
|
||
</blockquote></content><author><name>Caroline Canebier</name></author><category term="sysadmin" /><category term="mainpage" /><summary type="html">Pour mon infrastructure de backups, j’utilise depuis plusieurs années BorgBackup, un excellent outil pour chiffrer et dédupliquer ses sauvegardes, puis les stocker via SSH. Pour les sauvegardes de mes serveurs, il m’offre une complète satisfaction. Mais je voulais explorer un nouvel outil dont on m’avait dit beaucoup de bien, et je voulais essayer de faire du Backup-as-a-Service.</summary></entry></feed> |