Use relative paths in environment.conf

Merge remote-tracking branch 'waldi/rsync-cleanup'

* waldi/rsync-cleanup:
  Lower client limit for rsync on masters
  Disable reverse lookup in rsyncd
  Drop max connections from rsyncd configs
  Disable the security repository for smetana

Lower client limit for rsync on masters

We only need one (or two for security-master) concurrent connections per
direct mirrors or syncproxies.

Disable reverse lookup in rsyncd

Due to restrictions enforced by systemd we don't have any access to DNS.
As a lot of connections are coming via stunnel, we don't see the remote
IP anyway.  Just disable all reverse lookups and the warnings.

Drop max connections from rsyncd configs

We have an indepdendent connection limit in systemd.  So drop the ones
from rsyncd configs.

Disable the security repository for smetana

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Setup sibelius as a NFS server exporting to sallinen

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Add a debian-ports-buildd-dists rsync share

layout changes

spelling fixes

archive.debian.net vhost on right port

archive.debian.net vhost

and put archive.d.n ssl cert onto the host

Fix path

Add a 503.html for archive.debian.net

dsa-puppet-stuff: check for puppet version instead of debian release

As we might install backport versions of puppet.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

add skroutz

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

add skroutz

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

Merge branch 'master' of git+ssh://puppet.debian.org/srv/puppet.debian.org/git/dsa-puppet

* 'master' of git+ssh://puppet.debian.org/srv/puppet.debian.org/git/dsa-puppet:
  Use list of binds in apache config for syncproxies

add skroutz

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

Use list of binds in apache config for syncproxies

Try to fix apache syncproxy config

Rename vsftpd::site_systemd to vsftpd::site

Rename rsync::site_systemd to rsync::site

Drop xinetd support in vsftpd

Drop xinetd support in rsync

puppet.conf: fix a typo in my previous commit

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

puppet.conf: split configtimeout into http_connect_timeout and http_read_timeout on stretch hosts

configtimeout has been deprecated in puppet version 4.1.0. It has been
split into http_connect_timeout and http_read_timeout. The former
controls how long Puppet should attempt to make a connection and the
latter controls how long Puppet should allow transfers to continue.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

puppet.conf: do not set pluginsync=true on stretch hosts

pluginsync has been deprecated in puppet version 4.4.0. It is however
the default, so it can be safely removed from the configuration file.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Re-introduce ftpsite variable

Merge remote-tracking branch 'waldi/rsyncd-vsftpd-systemd-all'

* waldi/rsyncd-vsftpd-systemd-all:
  Another try to fix xinetd vs. systemd
  Pull in ftp conntrack in vsftpd site
  Use rsyncd via systemd on bugs_mirror
  Use rsyncd via systemd on wiki
  Use rsyncd via systemd on snapshot
  Use vsftpd via systemd on ftp
  Use rsyncd via systemd on syncproxy
  Use rsyncd and vsftpd via systemd on security_mirror
  Fix dependencies between service and xinetd

Only switch FTP conntrack to explicit CT target for stretch hosts

While it also works for jessie works, it requires a reboot as module
loading is disabled.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Switch FTP conntrack to explicit CT target

From Linux 4.7, automatic conntrack helper assignment has been disabled.
An explicit CT target should be used instead, which also automatically
loads the corresponding conntrack module.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Another try to fix xinetd vs. systemd

Pull in ftp conntrack in vsftpd site

Use rsyncd via systemd on bugs_mirror

Use rsyncd via systemd on wiki

Use rsyncd via systemd on snapshot

Use vsftpd via systemd on ftp

We also only need a list of bind addresses, so merge them.

Use rsyncd via systemd on syncproxy

We also only need a list of bind addresses, so merge them.

Use rsyncd and vsftpd via systemd on security_mirror

We also only need a list of bind addresses, so merge them.

Fix dependencies between service and xinetd

Merge remote-tracking branch 'waldi/vsftpd-systemd-upload'

* waldi/vsftpd-systemd-upload:
  Use vsftpd via systemd on security_master
  Use vsftpd via systemd on ftp_upload
  Make sure xinetd is restarted on service removal

samhain: disable SuidCheck for /srv/buildd/unpack on buildds

The SuidCheck module was not available in jessie (despite our
configuration file mentioning it), and is now enabled by default in
stretch.

For the build daemons, we need to disable suid checks in
/srv/buildd/unpack.

For the porterboxes, we need to disable suid checks in
/srv/chroot/schroot-unpack.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Fix kvmdomain facter

QEMU can return a CPU model different than "QEMU Virtual CPU". Check for
the "hypervisor" flag instead.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Try to fix previous commit about rng-tools

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Do not install rng-tools on stretch VMs

Newer kernel version, includng the one in stretch, are able to feel the
entropy pool from a hardware random number generator without the help of
userspace. The quality option determine how much entropy is used from
the hardware random number and defaults to the maximum for virtio-rng.

Therefore we don't need rng-tools anymore on stretch VMs.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

setup-dchroot: fix root directory permissions

When using stretch, the debootstrap process does not change the
permissions of the root directory of the chroot. As it is created
with mktemp, it ends up not being readable by a normal user like
"buildd". Change the permissions just before creating the tarball
to avoid that.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Typo

Use standard update-ca-certificates on stretch and later

The changes in update-ca-certificates-dsa got merged in stretch ca-certificates.

Switch from psutil.phymem_usage() to psutil.virtual_memory()

The former was deprecated in version 0.6.0 and removed after jessie:

https://github.com/giampaolo/psutil/blob/master/HISTORY.rst

Update ssh upload rsync wrapper for stretch

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Use vsftpd via systemd on security_master

Use vsftpd via systemd on ftp_upload

Make sure xinetd is restarted on service removal

Merge remote-tracking branch 'waldi/vsftpd-systemd'

* waldi/vsftpd-systemd:
  Use vsftpd::site_systemd on ports_master
  Add systemd backed vsftpd service

Use vsftpd::site_systemd on ports_master

Add systemd backed vsftpd service

Merge branch 'fix-security' of https://gitlab.com/waldi/dsa-puppet

Signed-off-by: Julien Cristau <jcristau@debian.org>

Provide expected parameters to vsftp site

Setup /srv/ftp.root in security_mirror role

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

Disable ftp in security_mirror role

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

Allow ensure absent in vsftp::site

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

Don't need ftp on mirror-accumu

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

add mirror-accumu to security_mirror

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

update debian.org DS

Purge mlocate from fasolo and all other hosts

Allow larger volumes

and we need python3-psycopg2

remove obsolete volumes daily

make bacula storage and director roles

bacula db access from storace

fix accumu netrange, again

update accumu netrange

update accumu netrange

ignore /srv in samhain

Revert "Update configuration for SSL ca-debian cert store"

This reverts commit f35f47969e10aeeaf6a48ad2a0f4dbde1f2f9de3.

Fix typo

Update configuration for SSL ca-debian cert store

Remove AddTrust as it isn't used any more.

Switch from the DST root CA to ISRG on jessie and newer
for Let's Encrypt since it has less intermediate CAs.
The ISRG root isn't available in wheezy ca-certificates.

Document why each CA cert is being used with comments.

add mirror-accumu as anycast bgp host

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

fix storage-per-client.conf template

fix per-client.conf template

fix munin.conf_per_node template

Use the dsa-check-libs from the dsa nagios checks package again

remove debian.restricted.list apt source on hosts without proliant raid

move munin.conf_per_node.erb to the right place

Only ignore puppetdb.conf at the root

update .gitignore

add puppetdb.conf on puppetmaster

Do not hardcode "handel" in template - use puppetmaster role instead

use puppetdb backend for storeconfigs

update puppet.conf.erb

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

run puppet every 2 instead of every 4 hours

samhain ignore /etc/cron.d/puppet-nagios-wraps

Add nagios puppet check out of cron

Prefix variables with the right sigil

Use underscores rather than hyphens for class names

Fix bconsole.conf template

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Merge branch 'master' of git+ssh://puppet.debian.org/srv/puppet.debian.org/git/dsa-puppet

* 'master' of git+ssh://puppet.debian.org/srv/puppet.debian.org/git/dsa-puppet:
  Fix bacula-dir.conf template
  Drop dead bits in ftp_upload
  Fix portforwarder inetd config for new puppet

fix syntax in modules/named/templates/named.conf.puppet-shared-keys.erb

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>