- FRsAG - frsag.org

logs de connexions
by Sebastien WILLEMIJNS 05 Sep '10

05 Sep '10

Hello, Quelle est actuellement la durée légale de connexion des logs mail/web/sql en France ? --- Sébastien WILLEMIJNS

3 3

Plusieurs apaches derrière un NAT : comment les atteindre par un reverse proxy ?
by frsag＠webmail.fr 03 Sep '10

03 Sep '10

Bonjour, Voilà, @home, j'ai quelques "serveurs perso". Avec autant d'Apaches que j'aimerai atteindre depuis l'extérieur, via le dns en tapant : mamachine.mon.host.tld . J'ai beaucoup songé à Squid en reverse proxy, à la place d'un simple "mod reverse proxy" d'apache. Intérêt de se compliquer la vie ? 1/ La curiosité. 2/ Me dire que "si demain, ça évolue, Squid le fera". Effectivement, là encore j'ai la doc officielle de Squid, mais de ce que j'ai (mal ?) googlé, je trouve (peu ou) pas d'exemples de mise en place réussie. Administrateurs du coin, comment faites vous, ou feriez vous cela avec Squid ? De vieilles sources ? Merci,

8 10

Apache > restriction de traffic
by Nicolas Steinmetz 01 Sep '10

01 Sep '10

Bonsoir, Au bureau, pour protéger des sites publics de l'aspiration des données de station par des applications codées parfois de façon assez étrange / bourrine, notre RSSI avait codé un script bash qui tourne au niveau des reverse proxys (sous Apache 2.2 + Mod_proxy). Si le client dépasse un certain seuil de consultations pour une heure donné, il est blacklisté jusqu'à ce que son traffic sur l'heure glissante redescende en dessous du fameux seuil. Comme nous allons prochainement utilisé les services d'un CDN, il nous faut modifier ce script et personne n'a envie ni le temps de le mantenir. Je me pose alors la question de repartir sur un module apache. Je me suis rappelé de mod_evasive [1] mais il n'a plus l'air maintenu. mod_security ne me semble pas adapté pour ce que je souhaite faire : autoriser la consultation d'une url dans la limite d'un seuil donné. Avez-vous des pistes à me conseiller ? Merci, Nicolas -- Nicolas Steinmetz http://www.steinmetz.fr - http://nicolas.steinmetz.fr/

7 10

Architecture trois tiers scalable
by Jerome Benoit 29 Aug '10

29 Aug '10

Salut, Je travaille actuellement à la conception d'une architecture en trois tiers qui devra être scalable. * Architecture logique simplifiée : ----------- | Clients | ----------- ---------- | | DNS RR | REST HTTP (GET, POST, XML dans le BODY) ---------- | ------------------------- | Cluster des services | ------------------------- | | ------------------ --------------- | NoSQL cluster | | DFS cluster | ------------------ --------------- |________________| NoSQL peut être Cassandra ou Hbase ou éventuellement mongodb ou couchdb. DFS (Distributed File System) comme PVFS2, XtreemFS, HDFS. * Architecture physique simplifiée : Ça n'aura échapper à personne c'est une architecture SOA distribuée comme on en trouve chez Google, Facebook, Amazon et compagnie :) 1) Routage des requêtes HTTP clients : Elle est effectuée par les serveurs DNS sur des critères comment la géolocalisation, la disponibilité, la charge des serveurs de services. Je suis preneur d'information et de retour d'expérience sur toute implémentation de ce type de serveur DNS (REST étant stateless, autant en profiter pour éviter de mettre en place du load balancing sur la couche de transport, c'est tellement mieux et plus simple sans :)) 2) Cluster de services : Leur boulot est de satisfaire les requêtes des clients via du REST HTTP, de les filtrer un peu également si besoin (authentification et ACL par HMAC-SHA1, HMAC-MD5, etc.), de faire du push en XML si besoin. C'est pas du distribué au sens strict du terme (mais c'est pas loin, disons que les données nécessaires à la reprise d'une session ne sont pas réparties intelligemment entre les nœuds mais juste copiées sur chaque nœuds et les calculs sont locaux à un nœud), leur localisation sera différente pour éviter les SPoF. Le framework JBoss est pré-senti. Cette brique fonctionnelle représente la brique métier et implémente la couche d'abstraction nécessaire à la manipulation des données pour les clients (lecture, écriture, modification, le tout en fonction des types de données). Elle implémente de fait le worflow. Le type des échanges avec le dernier tiers seront dépendants du choix des logiciels qui vont le composer (MapReduce ou pas ?) ... Il sera composé de serveur relativement costaud (~20000 MIPS) et du périphérique blocs rapides et redondés. 2 Ethernet 1000BaseT. 3) Cluster de données/stockage : Pourquoi donc est ce que il y a du DFS et du NoSQL ? J'en suis pas bien sur moi même mais il y a des chances que des limitation de taille dans la partie NoSQL ne permette pas s'insérer directement une vidéo HD de 15 Go. Et suivant le choix du logiciel qui fait du NoSQL, il lui faudra un accès à un FS. Le type de cluster ici est composé de machines d'entrée de gamme avec un unique périphérique de type bloc le plus rapide possible (SSD), de trois cartes réseaux 1000BaseT si possible multiqueue (communication entre nœuds par trunking éventuel, communication avec le tiers supérieur). Les réseaux des communications internes aux cluster par type de nœuds seront dans un VLAN différent si sur même site physique. Le paradigme de fonctionnement des DFS est sensiblement le même : des nœuds pour maintenir les métadonnées et la distribution des calculs nécessaires pour la phase "gather" vers les nœuds qui hébergent les blocs qui composent un fichier pour le "servir", idem (ou presque) pour les écritures. Vu du tiers supérieur, c'est un FS, vu des nœuds NoSQL aussi. Pour les NoSQL distribués, je suis preneur de retour d'expérience et de conseils, j'ai zéro expérience avec contrairement à certains DFS (Column Families, Key Value / Tuple Store, Document Store, etc.) ... Cette partie fait du vrai distribué au sens strict (tout est repartie entre les nœuds, calcul aussi sur un DFS ou un NoSQL distribué digne de ce nom), scalable à souhait. rockscluster est pré-senti pour son administration et sa mise en place (réalisation de rool spécifique nécessaire). Le cœur de réseau sera de l'Ethernet 1000BaseT, j'ai pas encore creusé la question en détail ... * Les principes architecturaux : Règles d'or pour la HA : -> Répartition sur au moins deux sites des nœuds par type, le NoSQL et le DFS devra être capable de le gérer. -> Redondance des DNS internes et externes sur plusieurs AS pour les externes, primaires et secondaires. -> Cœur de réseau Ethernet redondée pour les communications locales et inter-tiers sur même site physique. Règle d'or pour la scalabilité des tiers 2 et 3 : -> Totalement distribué : calcul, stockage, etc. -> L'ajout de nœuds étend la capacité de calcul, de stockage, etc (pour le tiers 2, je la viole légèrement). -> Cœur de réseau Ethernet qui garantie du PPS (je dois encore calculer combien) Les attentes en temps de réponse sont très bas pour des tests unitaires fait en local, de l'ordre d'une seconde pour une écriture de 2Mo, et moins en lecture. Merci d'avance pour vos réponses. a +. -- Jérôme Benoit aka fraggle La Météo du Net - http://grenouille.com OpenPGP Key ID : 9FE9161D Key fingerprint : 9CA4 0249 AF57 A35B 34B3 AC15 FAA0 CB50 9FE9 161D

5 14

apache mod_security : retours d'expérience
by frsag＠webmail.fr 28 Aug '10

28 Aug '10

Bonjour, Ici, existe il des gens qui utilisent mod_security ? Dans quel cas de figure, et pour filtrer quoi ? Avez vous des ressources "sympa" qu'on ne trouve pas par google ? J'aimerai trouver des informations utiles pour améliorer la sécurité face à un script php "mal codé", qui permettrai des injections sql ou des failles XSS, sans passer 3h à le configurer. Une proposition ? Merci d'avance,

3 3

Antivirus Multi-sites
by Tr4sK 27 Aug '10

27 Aug '10

Bonjour, Je profite de mon premier message pour me présenter à la liste. Alexandre, 24 ans, assistant responsable informatique. J'aurais besoins de conseil vis à vis d'un antivirus multi-sites. La structure actuel, 60 utilisateurs sous WinXP. 5 sites dont : - 25 à Paris - 25 à Soissons - 5 à Pierrelattes - 5 à St Astier Tout est relié via une connexion VPN Orange, en 2Mb/s Nos serveurs sont dans un local à Soissons. L'antivirus que nous utilisons est G-DATA. Mais depuis quelques temps, il nous plombe le réseau quotidiennement en effectuant les màj des postes client. On a alors décidé de mettre un poste qui répercutera les màj sur chaque site. Mais rien n'y fait. Les màj continue à faire planter le réseau. Quelqu'un à déjà eu ce genre de soucis ? Un conseil pour un autre antivirus ? Merci -- Tr4sK.

6 8

DNAME records
by Greg 26 Aug '10

26 Aug '10

Bonjour, j'ai la problématique suivante: plus de 10000 zones ayant toute la même config (A, MX, CNAMES...). Jusqu'à présent il n'y avait qu'une seule entrée A. Mais je commence à mettre en place de la répartition DNS RR multi-sites, donc 3 entrées A pour @ et www. Mon soucis sera le jour ou je voudrais changer la répartition, il faudra que je mette à jour toutes ces zones. Je pourrais faire un script générant les zones, ou utiliser des $INCLUDE, mais je cherchais une méthode plus propre/élégante : @ IN CNAME vip.domaine.fr. mais ce n'est pas RFC compliant pour moultes raisons. Je suis donc tomber sur le type d'enregistrement DNAME qui pourrait répondre à mon problème : 1 domaine "référent" avec la config des CNAMES et des multiples A les autres domaines n'ont qu'un enregistrement NS et un DNAME sur ce domaine référent : @ IN DNAME domaine.fr. J'ai fais quelques tests: ça fonctionne. Mais comme je ne connais pas ce type de record (et wikipedia FR non plus) j'aimerais avoir votre avis: est-ce que ça se fait pour ce type d'utilisation ? L'avez vous pratiqué ? Est-ce qu'un IE5 sous Windows 98 sera capable de résoudre ce type d'enregistrement ? Pour info ça donne ça avec dig : ; <<>> DiG 9.4.2-P2.1 <<>> toto.mon_domaine.ch ;; global options: printcmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 39365 ;; flags: qr rd ra; QUERY: 1, ANSWER: 5, AUTHORITY: 2, ADDITIONAL: 0 ;; QUESTION SECTION: ;toto.mon_domaine.ch. IN A ;; ANSWER SECTION: mon_domaine.ch. 600 IN DNAME mon_domaine.fr. toto.mon_domaine.ch. 600 IN CNAME toto.mon_domaine.fr. toto.mon_domaine.fr. 600 IN CNAME www.mon_domaine.fr. www.mon_domaine.fr. 600 IN CNAME vip.mon_domaine.com. vip.mon_domaine.com. 590 IN A 1.1.1.1 (j'ai pas encore configuré avec les deux enregistrements A) -- Greg

3 3

LTSP : Retours d'expérience
by frsag＠webmail.fr 25 Aug '10

25 Aug '10

Bonjour, Je possède actuellement quelques serveurs ( 4 pour tout dire), un peu vieillissant, ayant quelques Go de RAM, des disques SCSI et double processeurs 3Ghz monocoeur. Ces serveurs utilisent une solution commerciale de clients léger sous Windows, qui ne me donne pas du tout satisfaction. Je pense donc me mettre à LTSP. Qui à un retour d'expérience dessus ? Positif ou négatif ? Question sûrement stupide : un Debian de base (ou au pire un Ubuntu Server), gère correctement, et nativement de manière intelligente, la présence de deux processeurs sur une carte mère ? Autre chose à conseiller ou à tester, concurrent de LTSP ? Sous quelle configuration, faites vous tourner LTSP ? Pour combien d'utilisateurs / type applications ? PlayOnLinux + LTSP, ça marche bien chez vous ? Intégré à un environnement Windows Server 2003, avec Active Directory (DHCP et DNS déjà existants), comment gérez vous ça ? (je me doute comment ça se passe, mais je suis curieux d'entendre vos recettes) Certaines pages ou documentations non officielles à me faire lire avant de commencer ? Mon but à l'heure actuelle est simple : ouvrir un navigateur web, n'autorisant un seul domaine. A part un Firefox, vous mettriez quoi d'autre ? Quelques idées sur un similaire consommant moins de ressources ? Merci pour toute idée,

5 4

LTSP GNU/Linux et IE
by Christophe Moille 24 Aug '10

24 Aug '10

Salut, Je suis en train de chercher une solution fiable pour mettre en place un service terminal serveur GNU/Linux, avec Internet Explorer utilisable, certains service de la coopérative où je veux installer cette solution nécessitent encore Internet Explorer, version 7 de préférence. J'ai choisis LTSP qui me semble être une excellente solution pour ce faire (sous Ubuntu ou Debian). Par contre, Je ne sais pas comment utiliser élégamment Internet Explorer. J'ai d'abord pensé à mettre en place virtualbox sur le serveur et utiliser une image virtuelle de Windows XP, ça marche, mais sa maintenance me semble bien compliquée. L'image ne semblant pas être partageable entre plusieurs utilisat-eur-rice-s. Ce qui implique qu'il me faille intervenir sur chaque compte à chaque fois qu'il y a une mise à jour, sans compter l'espace disque utilisé... J'ai bien vu qu'il existait IEs4Linux, mais mon expérience avec cette solution n'a pas été concluante, pas réussi à faire tourner IE6 et ça ne me semble pas assez fiable pour être mis en production. J'aimerais bien éviter d'avoir à faire tourner une deuxième machine en serveur windows, juste pour faire tourner de l'IE. Merci pour les pistes que vous pourriez proposer. -- Christophe Moille +33 (0) 950 727 525 Elle est à l’horizon [...]. Je me rapproche de deux pas, elle s’éloigne de deux pas. Je chemine de dix pas et l’horizon s'enfuit dix pas plus loin. Pour autant que je chemine, jamais je ne l’atteindrai. A quoi sert l’utopie ? Elle sert à cela : cheminer. — Eduardo Galeano

4 5

Re: [FRsaG] DNS RPZ (ou comment justifier des réunions oisives ?)
by Stephane Bortzmeyer 23 Aug '10

23 Aug '10

On Sat, Jul 31, 2010 at 12:09:33PM +0200, Jérôme Nicolle <jerome(a)ceriz.fr> wrote a message of 57 lines which said: > C'est séduisant, mais ça va poser un autre problème : la lourdeur > administrative de gestion des identités des délégataires va coûter > des ronds, Tout à fait. Certains registres (suivez mon regard...) ont essayé d'organiser, de policer le DNS, d'en faire un « espace de confiance ». Tous les clients se sont enfuis en courant et les « policeurs » sont revenus à des politiques plus souples.

1 0

Sources de documentation
by Jérôme Nicolle 14 Aug '10

14 Aug '10

Bonjour, Je lance ce thread comme un scrapbook, histoire de lister les différentes sources de documentation / best practices et autres trucs et astuces que vous utilisez. Parce que RTFM n'est pas toujours suffisant, et pour pouvoir quand même le dire plus souvent, à vous de jouer ! J'ouvre le bal avec quelques classiques : *Les généralistes* _howtoforge_ : http://www.howtoforge.com/ Relativement à jour et couvrant pas mal de domaines, c'est une compil de "cut'n paste" multi-distros assez basique. Si ça pas marche, ça n'expliquera jamais pourquoi. Et manque de bol, ça arrive. _linode_ : http://library.linode.com/ Un des plus vieux hébergeurs de VPS XEN, qui a eu la bonne idée de monter une équipe de coumentation pour réduire la charge de support. Les tutos sont nombreux, clairs, rapides, et globalement à jour et testés. Valables en tout cas pour au moins 3 distros mainstream (ubuntu LTS, debian stable et CentOS) _The Linux Documentation Project_ : http://tldp.org/ Ben heu... comment dire... Rarement à jour, couvrant plus le système que l'applicatif, mais pratique pour approfondir certains sujets _admin-linux.org_ : http://blog.admin-linux.org/ Pas exhaustif, mais avec quelques tuyaux sympas *Distro-specific* Pour moi, la meilleure doc est quand même celle de _gentoo_ : http://www.gentoo.org/doc/en/?catid=sysadmin Mais bon, je suis pas allé voir du coté des RPM-based ;) Pour le reste, google indexe assez bien la blogosphère, et quelques blogs d'admin (dont certains d'entre nous) ressortent bien du lot. Par contre on tombe rarement du premier coup dessus, alors pensez à donner les URL de vos sites/blogs/docs, ça finira par atterir sur un planet ! @+ -- Jérôme Nicolle

11 12

Gestion de téléchargement de fichier - méthodes
by Sky Gunning 05 Aug '10

05 Aug '10

Bonjour à tous Désolé, ceci est en partie DEV, mais y'a une partie système que je connais moins bien et qui doit surement répondre à une partie au moins de ma question. Je gère l'intranet de ma boite j'ai dessus un petit service de stockage et partage de fichiers entre nous et nos clients. Au début tout allez bien avec des fichiers pas plus gros que 500mo ... depuis qq temps, on approche des 1go ou 2go régulièrement. L'upload ne pose pas de soucis : je passe par un petit script perl qui turbine pas mal du tout. Le soucis est au téléchargement qui est effectuer en PHP. Les fichiers sont stockers sous la racine public_html (sécurité oblige hein) et c'est donc un script PHP qui fais un simple readfile(); suivit d'un exit. Avec une connexion lente et/ou un gros fichiers, il arrive que le téléchargement se bloque. Je voudrais utiliser apache ou ftp pour le téléchargement tout en conservant les fichiers stocker au même endroit. Comment faire ? Je suis en train de test un système de liens symboliques que je supprimerai après genre x heures. Mais c'est pas très sécurisé si un veux qu'une seul personne puisse accéder au lien. Merci d'avance pour vos idées :) Je suis désolé si ceci est trop dev pour vous, je recommencerai pas... mais vue l'activité de la liste ... me suis dit que mieux ça que rien ... quoique ? ;-) Sky_G.

6 7

DNS RPZ (ou comment justifier des réunions oisives ?)
by Florian MAURY 02 Aug '10

02 Aug '10

Bonsoir, Je viens de lire un post sur le blog de l'ISC (Internet Systems Consortium) à propos d'une annonce faite au Black Hat avant hier et à la DefCon hier : l'introduction d'un système de notation de la réputation des noms de domaines : DNS RPZ. Voici le post: https://www.isc.org/community/blog/201007/taking-back-dns-0 Je me permets de contacter la liste pour relayer l'information d'une part, et que nous puissions discuter de cette technologie et de son intérêt (ou plutôt l'absence d'intérêt, à mes yeux) d'autre part. J'ai beau me torturer, je ne vois pas le moindre intérêt à cette idée : les DNSBL n'ont jamais réussi à juguler le Spam (causant plus de problèmes qu'autre chose (cf. http://www.mail-archive.com/frnog@frnog.org/ conversation sur les antispams), sans parler de la déléguation de sa politique d'email à des inconnus), et pourtant, ils veulent reprendre cette idée afin de permettre la notation des noms de domaines et ainsi limiter les méfaits des "bad guys". Dans la série des problèmes adressés par cette techno, je vois, de prime abord le contenu reconnu universellement illicite (13yo.xxx et autres sites contenant des images que nous ne souhaitons pas voir (?)) et également le phising. Concernant les sites à caractères innopportuns (oui, je tourne autour du pot, mais je ne compte pas prononcer ce mot, affiché trop souvent comme porte-étendard, voire seul mal sur Internet (avec le piratage, évidemment) (http://www.cleanternet.org/ )), nous le savons tous, bloquer le nom de domaine ou la récursion n'est pas une solution pour stopper la diffusion (pour peu que des noms de domaine soient utilisés, ce dont rien n'est moins sur) ; déjà que bloquer les IP ne sert à rien puisque les sysadm s'occupant de ce genre de réseaux sont tout aussi capables que nous de mettre en place des solutions d'hébergement multi-site robustes, avec l'avantage d'utiliser des botnets, donc autant dire des milliers de sites (Tiens d'ailleurs, personne a envisagé de tenter l'hébergement de son site sur un botnet ? ^^ ca coute certainement moins cher qu'un rps/kimsufi/dedibox/digicube). Concernant le phishing – même si je ne suis pas spécialement d'accord avec son approche, puisqu'il arrivera bien un jour où, acculés, ils y viendront – Stéphane Bortzmeyer a publié un billet sur son blog à propos du typosquatting (en l'occurence avec des IDN) et de son manque totale de nécessité vis à vis du phishing ( http://www.bortzmeyer.org/idn-et-phishing.html ) . En effet, M. Michu, en bon luser, ne vérifie pas le nom de domaine employé avant de saisir ses informations personnelles. La solution globale au phishing n'a pas encore été trouvée (HTTPS ne résout rien ; M Michu ne regarde pas plus son certificat que son URL ; du moment que la barre est verte (!) avec le petit cadenas, c'est bon, il met son numéro de CB), mais plusieurs technologies s'occupent déjà de cela, comme elles peuvent ; rajouter une autre technologie ne sert réellement qu'à justifier le temps passé en réunion improductive. On voit donc bien que ce genre de technologie n'apportera rien : le problème est ailleurs ; à mon sens, il se situe au niveau des registrars ; mais ça, ce n'est peut être pas politiquement correct de l'annoncer ouvertement de leur part. "Oh, mon dieu ! Mon nom de domaine à 5 euros a une mauvaise réputation ! Foutu DNS RPZ ! Je vais encore devoir en acheter un autre ! Ils viennent de me faire perdre 1/10000 de mon chiffre d'affaire ! Trop dur !" se diront les hameçonneurs, exactement comme les spammeurs le disent depuis que le domain-tasting a été supprimé. Une solution qui me parait viable serait tout simplement de renforcer le contrôle identitaire à la délégation d'un nom de domaine (notez l'emploi du terme délégation et non achat), par injonction de l'IANA et consort auprès des TLD. Si une personne physique ne peut plus enregistrer de nom de domaine pendant une période de X années après un abus constaté et que l'ensemble de ses noms de domaines sont repris par les registres en cas de faute, mathématiquement le nombre de domaines malicieux va être appelé à descendre. Afin d'empêcher la réservation massive (pour une campagne de spam, au hasard), la limite serait également imposée sur la quantité de noms de domaines réservables sur une période donnée. On résoudrait par ailleurs en parti le problème du Spam, si l'on forcait l'emploi des solutions anti-spoofing comme SPF (avec limitation du nombre de cibles maximum) ou DKIM reposant toutes les deux sur l'emploi de DNS. Si je spam, on me reprend mes domaines et je ne peux plus en demander d'autre => je ne peux plus spammer puisque je n'ai pas la possibilité de configurer des records DNS et qu'ils sont indispensables à la livraison de mes courriers. Si les grands webmail (plouf plouf live, gmail, yahoo) se mettent à appliquer ce genre de politique, on peut être sur de voir une adoption assez rapide et radicale. Bref, après cette digression sur le spam, et pour en revenir au sujet initial, ai-je manqué une étape ? Quel est votre avis sur DNS RPZ ? Cordialement, Florian MAURY

3 2

bonne fête à tous
by Baroiller Pierre-Emmanuel 30 Jul '10

30 Jul '10

http://www.sysadminday.com/ ;)

10 10

550 spam detected chez free.fr
by Greg 30 Jul '10

30 Jul '10

Bonjour, la plupart des membres de la liste qui utilise une adresse @{free,online}.fr, ont été automatiquement désactivé par rejet : host mx1.free.fr[212.27.48.6] said: 550 spam detected (in reply to end of DATA command) Donc si vous voulez continuer à être membre, soit free m'explique ce que je fais de mal, soit ils trouvent une solution, soit les membres concernés changent leur adresse d'abonnement à la liste. -- Greg

2 1

Anti-spam (was: [FRnOG] Antispam : vaderetro, ironport, proofpoint... vos avis.)
by Benjamin Billon 30 Jul '10

30 Jul '10

Hello la liste, Je reprends un sujet d'une autre liste où celui-ci n'avait pas grand chose à faire et que certain d'entre vous a déjà suivi avec plus ou moins de passion. Il est vrai que le suspens est au rendez-vous : Kimberley apprendra-t-elle que Rodrigo a tué son père avant la fin de la saison ? Le début de la discussion portait sur l'intérêt (ou pas) des soft et appliances de filtrage de spams. Je cite: > > A titre d'information, utilisez-vous des appliances du type > antispam/antivirus et si oui quel retour avez-vous au niveau : > > - efficacité, > > - fiabilité au niveau soft/hardware des boîtiers, > > - facilité d'usage pour l'utilisateur final, > > - flexibilité d'administration, > > - etc. Après une malheureuse réponse sur le sujet, comportant le fatal nota bene "l'open source peut le faire", le malheureux poseur de questions n'aura pas droit à d'autres réponses à sa question. Si _VOUS_ avez des réponses qui collent à la question, il serait intéressant d'avoir vos retours d'expérience. Sinon pour partir dans la philosophie, nombre de posts plus tard, quelqu'un a donc dit : > "C'est quoi le SPAM ?" > > Parce qu'on est arrive au point ou le spam c'est un e-mail qu'on a recu > et qu'on aime pas => un spammeur = quelqu'un qui envoie beaucoup > d'emails que beaucoup de gens aiment pas(*). Le bon-sens, l'opt-in (meme > "confirme"), le concept de "relation contractuelle" ou les diverses > "definitions" (UBE, UCE, ....) ne veulent quasiment plus rien dire. Et quelqu'un d'autre a répondu : > - si l'émetteur a acheté son fichier chez biduleProspect => spam > - les mails medoc/montres/logiciels à prix cassé et autres => spam > - les mails qui viennent d'une boite avec qui tu n'as pas de relation, que > ce n'est pas quelqu'un que tu connais qui l'envoi et qui veut en plus te > vendre des volets roulants => spam > - les mails envoyés à des messages-id => spam > - et j'en oublie... > Dans 97% (à la louche) des cas, pas besoin de réfléchir plus d'1 seconde. > > Et par inférence les boites spécialisées (dont c'est le business) dans le > routage de ces saloperies ou autres groupements du même acabit ben on les > appelle des spammeurs. Une définition largement répandue, et acceptée par la plupart des gros receveurs, est que "le spam est ce que le destinataire considère étant un spam". Ca inclut tout un tas de trucs, notamment des messages pour lequel le destinataire s'est bien abonné mais qu'il ne souhaite soudain plus recevoir. Pour cette raison, les receveurs tolères un faible pourcentage de plaintes pour spam par IP, domaine et/ou envoi (en fonction de leur système) et ne requièrent pas le zéro absolu en matière de taux de plaintes. Ca signifie aussi que, même si le message a été envoyé par un utilisateur de escrocProspect, si le destinataire va chercher le message en spambox pour le remettre en inbox, ça ne sera pas un spam. Autrement dit, un même message peut être et ne pas être un spam, la différence étant la personne qui le reçoit. Le problème avec cette définition, c'est que l'on risque de considérer que les "messages" pour le viagra ne sont pas toujours du spam, puisqu'il y a des acheteurs. Je pense donc que cette définition n'est utilisable que pour construire des systèmes de filtrage par réputation (ou scoring des IP, ou scoring des domaines, appelez-ça comme vous voulez), et que des exceptions doivent forcément être faites : "ok, le type est venu chercher le message en spambox, mais il vient quand même d'une IP dynamique, listée dans 4 blacklists et contient des termes qui feraient rougir spamassassin". Une autre définition elle celle de l'UBE: Unsolicited Bulk Email. Là on ajoute une notion de quantité, et donc de "campagne". Je n'ai pas trouvé d'exemple pour contredire cette définition, donc si _vous_ avez de quoi l'écorner, n'hésitez pas. Toutefois, celle-ci ne permet pas de répondre pas aux problèmes du sysadmin qui doit épurer le trafic mail de son réseau : comment savoir si 1) c'est un email (bon ça ça devrait aller) 2) si c'est envoyé en masse* et 3) si il est attendu ou non**. Si on avait la réponse à "comment savoir quand un mail est un spam", la vie serait déjà beaucoup plus belle. * Pour un gros receveur, ce n'est pas très compliqué, mais nous pensons à tous les sysadmins, même ceux qui ne gèrent qu'un seul petit domaine. Certains réseaux rendent publiques leurs statistiques (nombre de messages reçu de tel bloc / telle IP / tel domaine), mais souvent a posteriori, après que la campagne soit terminée ** des solutions comme celles d'Habeas permettent de certifier que le destinataire s'est abonné au message (et de fait faciliter l'arrivée en inbox). Ca n'est toutefois pas à la portée de toutes les bourses. Merci à ceux qui ont lu jusqu'au bout, vous êtes mes plus grands fans. -- Benjamin

3 3

Propagation de kernels sur VM Xen
by Olivier Bonvalet 29 Jul '10

29 Jul '10

Hello la liste, suite à quelques déboires avec depmod qui a évolué entre Lenny et Squeeze, je me demande si ma méthode de propagation des kernels sur les VM est judicieuse. Il arrivera fatalement un moment où le Dom0 et le DomU ne seront pas "compatibles". De plus, si au passage je peux automatiser un peu plus ou améliorer le process, c'est pas plus mal. Le contexte : le kernel utilisé dans la VM est fourni par l'host, mais il faut aussi propager les modules du kernel dans la VM. Actuellement j'utilise un script sur le Dom0 qui coupe la VM, monte son système en local, balance les dossiers de /lib/modules/, mets à jour la version du kernel indiquée dans le fichier ".cfg" et enfin redémarre la VM. Rudimentaire, mais fonctionnel. Problèmes : - le Dom0 doit donc avoir une version de /lib/modules/ compatible avec ce qu'attend le DomU (d'où mon soucis Lenny/Squeeze) - la mise à jour du kernel est donc déclenchée à l'initiative du Dom0... donc pas d'autonomie de ce coté pour le client Solution 1 : déplacer le kernel dans la VM. Cela implique l'utilisation de pygrub (sécurité ?), et d'avoir un outil de propagation simple du kernel sur chaque VM, si possible sans avoir à trop intervenir. On gagne en souplesse, mais pour l'industrialisation c'est un peu rapé. Solution 2 : compiler les modules en statique, et toujours utiliser le même nom de kernel (ou faire pointer un lien symbolique). Ainsi à chaque reboot la VM prend automatiquement la dernière version du kernel qu'on lui propose. J'utilise déjà cette technique dans le cadre d'un projet spécifique, mais manque de bol ici j'ai besoin de l'aspect modulaire de mes kernels. Solution 3 : déployer le kernel et ses modules dans 2 packets Debian adéquat, à fournir pour toutes les distribs utilisées (y compris dérivés Debian), ajouter le repository en question sur chaque VM, et synchroniser comme il faut les mises à jour de paquet Dom0 & DomU... C'est la solution utilisée par défaut avec ce que propose Debian, mais ça ne me semble pas vraiment jouable ici. Solution 4 : utiliser un lien symbolique pour pointer sur le dernier kernel dans le fichier de conf Xen (cf solution 2), et utiliser un système de fichier spécifique pour propager automatiquement mon dossier /lib/modules/ dans la VM. NFS, ou une partition spécifique en read-only commune à toutes les VM et à ajouter dans le fstab de chacune d'elles. Ca me semble tordu comme montage, mais ormis l'aspect bricolage ça semble répondre à tous mes problèmes. Solution 5 : faire comme certains hébergeurs et ne mettre à jour le kernel que tous les 5 ans. Un petit coucou en passant à mon hébergeur préféré qui me fourni un joli 2.6.16 sur ses Xen ;) Et vous, vous faites comment pour déployer vos kernels sur les VM ? Ai-je loupé une solution plus simple / rapide / propre ? Olivier B.

2 3

Analyse des logs PHP
by frantishrek 28 Jul '10

28 Jul '10

Bonjour, Je fais du dev et m'occupe d'une petite infra (5 serveurs) web pour des applis de ma boîte (environ 5000 visiteurs uniques/jour) hébergées par notre hébergeur. J'aimerais avoir votre retour d'expérience sur l'analyse des logs PHP. Je cherche une solution qui : - me permette d'être alertée des erreurs des scripts PHP - des fréquences des différentes erreurs - si possible avec la pile d'exécution (backtrace) - si possible avec l'URL de la page incriminée - si possible avec les variables de session, post, get, ... L'objectif est d'être prévenu des problèmes survenant sur la prod et de les transmettre aux dev (voire alimentation automatique du bug tracker). Nous utilisons pour le moment Zend_Platform qui propose ces fonctionnalités. Nous sommes pleinement satisfaits de la partie monitoring des erreurs PHP (possibilité d'être alertée par mail, interface d'administration qui permet de visualiser la fréquence des erreurs, ...) mais pas du packaging du produit. Le produit est assez fermé. Les extensions sont celles de Zend. Les hébergeurs connaissent mal le produit, nous avons parfois des problèmes de stabilité du produit. On est en train de migrer sur Zend_Server mais on rencontre les mêmes problèmes. Vu le coût des solutions Zend, j'aimerais bien trouver une solution un peu moins chère et un peu moins exotique (remplacement des extensions de Zend par les extensions reconnues, type APC, xdebug,...). J'ai regardé un peu du côté de Logwatch avec un agent PHP. Cela répond à une partie du problème mais l'analyse des erreurs est moins fine (pas l'url posant problème, pas la pile d'exécution - backtrace -, ...). Il existe bien des alternatives Open Source comme Pinba (www.pinba.org) ou APM (http://code.google.com/p/peclapm/) mais le développement semble arrêté. Et vous ? Quelle solution avez-vous mis en place pour monitorer PHP ? Je suis curieux de savoir comment est traité cette question sur de grosses plate-formes genre site de médias, facebook, ... ? Je vous remercie pour vos retours. Bonne journée, frantishrek

6 19

Retours d'expérience cloud ?
by JF Bustarret 28 Jul '10

28 Jul '10

Est-ce qu'il y en a parmi vous qui font tourner leur site web "dans le nuage" (en mode PaaS) ? Je serai curieux d'avoir des retours, notamment sur tout ce qui concerne load-balancing (à part chez Amazon, je ne vois pas d'offre très convaincante sur le papier) et les conf HA/cluster/etc... JFB

2 5

Serveurs gratuits (?) jusqu'au 31 aout
by frsag＠webmail.fr 27 Jul '10

27 Jul '10

Bonjour, On viens de me filer ce lien : http://msdn.microsoft.com/fr-fr/maplateformeweb.aspx Si je copy/paste : /5 000 serveurs tout équipés gratuits* jusqu'au 31 août 2010 pour découvrir et développer des applications sur le web avec des pas à pas disponibles pour vous aider !/ Quelqu'un était au courant de la chose ? Quelqu'un à déjà testé ? Un retour ? Si dans le futur vous rencontrez une offre similaire au détour du web ... n'hésitez pas à partager l'information ! - Nothing / Florian

3 2

Recherche hébergeur suisse
by romain vernet 26 Jul '10

26 Jul '10

Bonjour Je suis à la recherche d'un hébergeur Suisse autre que infomaniak qui nous permettrait de faire du housing, car à ma connaissance, infomaniak ne le permait pas Merci pour vos réponses Romain

2 2

Structure pour un service de stockage de médias
by Sky Gunning 23 Jul '10

23 Jul '10

Bonjour à tous, Je doit réfléchir à la structure pour un service de stockage de médias. Je développe surtout le bouzin, mais évidemment, y'a personne dans ma boite qui soit adminsys... Je pensez à N serveur de stockage, un serveur pour la BDD (mysql) et N serveur pour gérer l'affichage. En sachant que la génération des miniatures (avec ImageMagick) demande pas mal de ressource. Peut être un serveur qui gère cela de façon indépendante serai aussi pas mal. Vous avez des conseils sur comment gérer le côté réparation ? Merci :) Sky_G

13 20

Re: [FRsaG] Lot FRsaG, Vol 1, Parution 43
by Mehdi Badreddine 23 Jul '10

23 Jul '10

> > Message: 2 > Date: Thu, 22 Jul 2010 16:39:36 +0200 > From: Greg <greg-frsag(a)duchatelet.net> > To: frsag(a)frsag.org > Subject: Re: [FRsaG] Structure pour un service de stockage de médias > Message-ID: <4C485828.6010208(a)duchatelet.net> > Content-Type: text/plain; charset=ISO-8859-1; format=flowed > > Bonjour Pierre-Henry ;) > > > De mon côté après avoir testé GlusterFS en v2 et v3, il y a bien trop de > problème notamment des non reconnection du point de montage aux serveurs > > ou des fichiers corrompu. > > +1 > > > Entre les deux et c'est ce que j'ai choisi, tu as MogileFS, ce n'est pas > un filesysteme posix ce qui est un peu dommage mais > > le fait est qu'y accéder par une api sur un canal http facilite la > vitesse. > > Pour moi la rolls sur la papier c'est Ceph : http://ceph.newdream.net/ > Ca roule en kernel space (pas de fuse). > Dommage que ce soit encore en beta et qu'il soit nécessaire d'avoir le > kernel 2.6.34, sinon je le mettrais en place tout de suite. > L'année prochaine ou 2012, je passe mon NFSv4 avec SAN dessus. Voir > avant si j'ai du temps pour mettre en place une plateforme de test. > > -- > Greg > Hello, Concernant ceph, ça a l'air intéressant. Quelqu'un a-t-il déjà testé ? Mehdi

1 0

Synchro en masse
by Burps Burps 22 Jul '10

22 Jul '10

Bonjour la liste, Ya un thread en cours qui m'a fait penser que vous pourriez peut-etre m'aider sur une problematique que j'ai. Mise en situation : un SAN d'environ 250 To, plusieurs milliards de fichiers, dont une bonne partie change quotidiennement (environ 20-30 To). Projet : migrer le SAN (d'un fabricant X) vers un nouveau SAN (fabricant Y), sans interrompre la prod. La solution la moins pourrie à laquelle on a réfléchi jusque la, c'est : - un premier "cp", bien bourrin, qui va prendre plusieurs jours vraisemblablement - suivi de plusieurs rsync, ou des "rsync par morceaux" (on rsync un "repertoire", puis on previent l'applicatif "attention, tes données sont sur le nouveau SAN"). Mais bon, on a peur avec le rsync qu'il prenne des plombes, et qu'entre le scan des repertoire et la copie réelle, yait eu du mouvement, etc... Sachant que c'est une "one-time operation", pas besoin de rester sur la durée, auriez-vous de bonnes idées à me soumettre ? Merci d'avance. Burps -- You Rock! Your E-Mail Should Too! Signup Now at Rock.com and get 2GB of Storage! http://connections.rock.com/user/displayUserRegisterPage.kickAction?as=1167…

8 8

Synchro inotify+rsync
by Dominique Rousseau 22 Jul '10

22 Jul '10

Le Thu, Jul 22, 2010 at 04:01:12PM +0200, Bedis 9 [bedis9(a)gmail.com] a écrit: > > Csync2 et Rsync ont leur limite .... > > > > > C'est sûr qu'un rsync sur 1000000000 de fichier éxécuter par un cron toutes > les 5 minutes va te prendre du temps ;) > > Tu peux coupler les 2 avec du inotify pour déclencher les copies de nouveaux > fichiers à la fin de chaque écriture. A ce sujet, quelqu'un a des retours d'expérience sur une solution couplant inotify et rsync (ou similaire), pour une synchro de stockage de mails (donc en millions de fichiers) ? J'ai plus ou moins repéré, sans les tester, encore lsyncd et openduckbill (au départ, j'étais parti à en coder un, mais pour une fois, j'ai googlé avant :-) http://code.google.com/p/lsyncd/ http://code.google.com/p/openduckbill/ -- Dominique Rousseau Neuronnexion, Prestataire Internet & Intranet 50, rue Riolan 80000 Amiens tel: 03 22 71 61 90 - fax: 03 22 71 61 99 - http://www.neuronnexion.coop

3 5

2025

2024

2023

2022

2021

2020

2019

2018

2017

2016

2015

2014

2013

2012

2011

2010

FRsAG