Merge remote-tracking branch 'waldi/rsyncd-vsftpd-systemd-all'

* waldi/rsyncd-vsftpd-systemd-all:
  Another try to fix xinetd vs. systemd
  Pull in ftp conntrack in vsftpd site
  Use rsyncd via systemd on bugs_mirror
  Use rsyncd via systemd on wiki
  Use rsyncd via systemd on snapshot
  Use vsftpd via systemd on ftp
  Use rsyncd via systemd on syncproxy
  Use rsyncd and vsftpd via systemd on security_mirror
  Fix dependencies between service and xinetd

Only switch FTP conntrack to explicit CT target for stretch hosts

While it also works for jessie works, it requires a reboot as module
loading is disabled.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Switch FTP conntrack to explicit CT target

From Linux 4.7, automatic conntrack helper assignment has been disabled.
An explicit CT target should be used instead, which also automatically
loads the corresponding conntrack module.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Another try to fix xinetd vs. systemd

Pull in ftp conntrack in vsftpd site

Use rsyncd via systemd on bugs_mirror

Use rsyncd via systemd on wiki

Use rsyncd via systemd on snapshot

Use vsftpd via systemd on ftp

We also only need a list of bind addresses, so merge them.

Use rsyncd via systemd on syncproxy

We also only need a list of bind addresses, so merge them.

Use rsyncd and vsftpd via systemd on security_mirror

We also only need a list of bind addresses, so merge them.

Fix dependencies between service and xinetd

Merge remote-tracking branch 'waldi/vsftpd-systemd-upload'

* waldi/vsftpd-systemd-upload:
  Use vsftpd via systemd on security_master
  Use vsftpd via systemd on ftp_upload
  Make sure xinetd is restarted on service removal

samhain: disable SuidCheck for /srv/buildd/unpack on buildds

The SuidCheck module was not available in jessie (despite our
configuration file mentioning it), and is now enabled by default in
stretch.

For the build daemons, we need to disable suid checks in
/srv/buildd/unpack.

For the porterboxes, we need to disable suid checks in
/srv/chroot/schroot-unpack.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Fix kvmdomain facter

QEMU can return a CPU model different than "QEMU Virtual CPU". Check for
the "hypervisor" flag instead.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Try to fix previous commit about rng-tools

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Do not install rng-tools on stretch VMs

Newer kernel version, includng the one in stretch, are able to feel the
entropy pool from a hardware random number generator without the help of
userspace. The quality option determine how much entropy is used from
the hardware random number and defaults to the maximum for virtio-rng.

Therefore we don't need rng-tools anymore on stretch VMs.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

setup-dchroot: fix root directory permissions

When using stretch, the debootstrap process does not change the
permissions of the root directory of the chroot. As it is created
with mktemp, it ends up not being readable by a normal user like
"buildd". Change the permissions just before creating the tarball
to avoid that.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Typo

Use standard update-ca-certificates on stretch and later

The changes in update-ca-certificates-dsa got merged in stretch ca-certificates.

Switch from psutil.phymem_usage() to psutil.virtual_memory()

The former was deprecated in version 0.6.0 and removed after jessie:

https://github.com/giampaolo/psutil/blob/master/HISTORY.rst

Update ssh upload rsync wrapper for stretch

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Use vsftpd via systemd on security_master

Use vsftpd via systemd on ftp_upload

Make sure xinetd is restarted on service removal

Merge remote-tracking branch 'waldi/vsftpd-systemd'

* waldi/vsftpd-systemd:
  Use vsftpd::site_systemd on ports_master
  Add systemd backed vsftpd service

Use vsftpd::site_systemd on ports_master

Add systemd backed vsftpd service

Merge branch 'fix-security' of https://gitlab.com/waldi/dsa-puppet

Signed-off-by: Julien Cristau <jcristau@debian.org>

Provide expected parameters to vsftp site

Setup /srv/ftp.root in security_mirror role

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

Disable ftp in security_mirror role

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

Allow ensure absent in vsftp::site

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

Don't need ftp on mirror-accumu

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

add mirror-accumu to security_mirror

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

update debian.org DS

Purge mlocate from fasolo and all other hosts

Allow larger volumes

and we need python3-psycopg2

remove obsolete volumes daily

make bacula storage and director roles

bacula db access from storace

fix accumu netrange, again

update accumu netrange

update accumu netrange

ignore /srv in samhain

Revert "Update configuration for SSL ca-debian cert store"

This reverts commit f35f47969e10aeeaf6a48ad2a0f4dbde1f2f9de3.

Fix typo

Update configuration for SSL ca-debian cert store

Remove AddTrust as it isn't used any more.

Switch from the DST root CA to ISRG on jessie and newer
for Let's Encrypt since it has less intermediate CAs.
The ISRG root isn't available in wheezy ca-certificates.

Document why each CA cert is being used with comments.

add mirror-accumu as anycast bgp host

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

fix storage-per-client.conf template

fix per-client.conf template

fix munin.conf_per_node template

Use the dsa-check-libs from the dsa nagios checks package again

remove debian.restricted.list apt source on hosts without proliant raid

move munin.conf_per_node.erb to the right place

Only ignore puppetdb.conf at the root

update .gitignore

add puppetdb.conf on puppetmaster

Do not hardcode "handel" in template - use puppetmaster role instead

use puppetdb backend for storeconfigs

update puppet.conf.erb

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

run puppet every 2 instead of every 4 hours

samhain ignore /etc/cron.d/puppet-nagios-wraps

Add nagios puppet check out of cron

Prefix variables with the right sigil

Use underscores rather than hyphens for class names

Fix bconsole.conf template

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Merge branch 'master' of git+ssh://puppet.debian.org/srv/puppet.debian.org/git/dsa-puppet

* 'master' of git+ssh://puppet.debian.org/srv/puppet.debian.org/git/dsa-puppet:
  Fix bacula-dir.conf template
  Drop dead bits in ftp_upload
  Fix portforwarder inetd config for new puppet

fix syntax in modules/named/templates/named.conf.puppet-shared-keys.erb

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

Fix bacula-dir.conf template

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Drop dead bits in ftp_upload

$bind6 was undefined since commit
b0dd1aa9d67bc92d097c1ad23f42bbedd173b756.

Fix portforwarder inetd config for new puppet

Merge branch 'master' of git+ssh://puppet.debian.org/srv/puppet.debian.org/git/dsa-puppet

* 'master' of git+ssh://puppet.debian.org/srv/puppet.debian.org/git/dsa-puppet:
  Fix ensure value for postgres
  Update postgres fact
  Use absolute includes, not relative ones

lint name of function

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

Fix ensure value for postgres

Update postgres fact

Use absolute includes, not relative ones

Look for Numeric in addition to allowing number-strings

foo: 587 in yaml gets us a Numeric, and regex matches only matches
strings in newer puppets, so check for that and use sprintf to get us
a string.

Fix postgres-make-base-backups for new puppet

and add absolute path

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

*cough* this is no executable

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

Merge branch 'master' of git+ssh://puppet.debian.org/srv/puppet.debian.org/git/dsa-puppet

* 'master' of git+ssh://puppet.debian.org/srv/puppet.debian.org/git/dsa-puppet: (32 commits)
  Do not use sslname empty string for no ssl
  Make scores of webserver related templates compile
  Fix historical mirror apache template
  make order a string
  fix torrc-header tempate
  fix rsync site module
  if we do not have specific binds, we use the empty string to signal that
  Fix stunnel template
  Attempt to fix version comparisons
  Fix munin::conf for new puppet
  Fix schroot-buildd/fstab.erb template
  Remove wheezy support in schroot files
  Remove wheezy support in buildd files
  Make concat::fragment order parameter be a string
  buildd: fix lsbmajdistrelease calls
  fix template
  fix two templates
  fix two templates
  rename nfs-server to nfs_server
  remove rng-tools without hwrandom
  ...

add back our git reversion

Do not use sslname empty string for no ssl

Make scores of webserver related templates compile

Fix historical mirror apache template

make order a string

fix torrc-header tempate

fix rsync site module

if we do not have specific binds, we use the empty string to signal that

Fix stunnel template

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Attempt to fix version comparisons

Use versioncmp function instead of string comparison.  Thanks olasd.

Fix munin::conf for new puppet

Fix schroot-buildd/fstab.erb template

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Remove wheezy support in schroot files

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Remove wheezy support in buildd files

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Make concat::fragment order parameter be a string

buildd: fix lsbmajdistrelease calls

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

fix template