Include hiera classes

We want to be able to specify which puppet classes a node should include
using hiera.  Start by including hiera classes in the site manifest,
and move the site class so we include something using this mechanism.

Eventually we want to move all the include entries out of manifests/site.pp.

update anonscm.map from formorer

Fix another typo

Fix typo in merged_usr fact

samhainrc: support merged usr layout

Add a merged_usr fact

Fix CSAIL IPv6 subnet

Remove debconf18 vhost from debussy

It moved to static.

ferm: drop FREEBSD_SSH_ACCESS

ferm: add syncproxy.na.debian.org IPv6

Add CSAIL IPv6 range

Bump the language cookie expiry for visits during the expiry period

This ensures that if the user continues to visit the website then
they don't have to manually set the cookie again until they
stop visiting the website for more than the expiry period.

Enable linger for sreview user (RT#7917)

fix ssl client path

stop hardcoding loghost names in syslog-ng template

move syslog ferm into syslog role

make loghost into a role

No more sid/bullseye chroots for mips

RT#7893 Let wanna-build admins sudo to wbadm-web

RT#7862 Let the community team sudo to the community user

Handle ipv6 addresses in named.conf.options

Add mipsel-osuosl-02.debian.org

Redirect unsetlang to the correct location

The substitution was using the wrong match group.

Fixes: commit eef0d1229a8d2627ffc8663eda9bd2d68a0ef09c

Set the cookie domain based on the HTTP domain.

Avoids issues with setting cookies on www-staging.d.o or other mirrors.

Fixes: commit eef0d1229a8d2627ffc8663eda9bd2d68a0ef09c

Add basic support for influencing language selection via cookies.

The UI for language selection in browsers is rarely used or known about
by visitors so websites need to provide a way for visitors to influence
content negotiation using the website itself in addition to the browser.

Setting a cookie is the simplest option for us as the URLs don't change.

The GDPR does not apply and to satisfy the EU cookie law we can include
some explanatory text around the form that sets the cookie.

Visitors should not get their language cookie changed when other folks link
them to URLs for other languages and search engines should not set language
cookies at all. Using POST requests ensures each cookie is only set explictly.

Since Apache mod_rewrite cannot inspect POST data, we use URLs instead.

The default cookie lifetime is about one month (60*24*7*4 minutes).

<CAKTje6EzfE89jBqpLQu1_a3ybYkV7pPcquKzQb6Uz8uu=pGudA@mail.gmail.com>
<f849fde79a325422af9a9553f6672a96382ae262.camel@debian.org>
https://httpd.apache.org/docs/current/content-negotiation.html#exceptions

Add mipsel-osuosl-01.debian.org

Add sso_rp role on wuiet (RT#7892)

debconf20.dc.o vhost

Switch wafertest to dc20

samhain: ignore /etc/exim4/conf.d

This directory is removed by puppet

Enable proxy module for wiki.debconf.org pass-thru rewrite

Fixes: commit f33e5b0b7749df9e3bf60b7b816898f3d07ecc8b
Fixes: commit f3cf7b1e16b58065689c4ae0ded3e41d6782fb13
Requested-by: tumbleweed on #debian-admin

Enable proxy module for wiki.debconf.org pass-thru rewrite

Fixes: commit f33e5b0b7749df9e3bf60b7b816898f3d07ecc8b
Requested-by: tumbleweed on #debian-admin

Merge branch 'pass-through-slash' of https://salsa.debian.org/stefanor/dsa-puppet

Signed-off-by: Tollef Fog Heen <tfheen@err.no>

PassThrough / to /wiki/

So that the response has a Content-Type header (via the ForceType on
/wiki/).

Block 198.108.67.48 from security mirrors for breaking rsync

move pg rule from veyepar to sreview

Allow DC19 access to the PG on vittoria, re: RT#7845

sreview is sreview.debian.net

Move veyepar and sreview into own manifests

www.do: stop doing permanent redirects

Permanent redirects may be cached permanently.  Don't do that.

Add redirects for all the /misc section, and group all the redirects related to /misc

Signed-off-by: Peter Palfrader <peter@palfrader.org>

manda: entropykey moved from czerny to manda-node04

give keyring the ability to reload bind9

Notify on _openpgpkey.debian.org

do nsec3 via puppet

Sign _openpgpkey.debian.org

Add a flag to the dns-helper tooling

Add a flag to the dns-helper tooling

geo ferm

geo ferm

fw on kaufmann

fw on kaufmann

fw on kaufmann

fw on kaufmann

notify bind9

Set masters

Fetch openpgpkey zone to denis

reindent

We no longer have secondaries for the debian zones

add a ;

Try to add openpgpkey zone

fix array

set up a shared keypair between kaufmann and denis

reorder ACLs and shared keys on primary

Include local shared keys on primary

move ACLs for 3rd party things from the named.conf.options template to named.conf.puppet-misc

Add a named.conf.puppet-misc

unify query log

Move creation of /etc/bind/named.conf.options from ::geodns and ::primary to parent

move named.conf.debian-zones.erb from authoritative to primary

authoritative bin on keyring host

unify v4 and v6 rules in named::primary

Move DNS things from named to named::primary and named::geodns

Load named::geodns from roles/manifests/init.pp based on hiera instead of from site manifest based on hostname

setup-all-dchroots: add bullseye

Permanent redirects mean we can never, ever change them again as they might be cached.  Stop doing those.

Redirect / of openpgpkey to keyring.d.o

add robots.txt to sources.d.o

Signed-off-by: Julien Cristau <jcristau@debian.org>

Force HiddenServiceVersion 2 as that is the only thing onionbalance understands, II

Force HiddenServiceVersion 2 as that is the only thing onionbalance understands

Link https://dev.gnupg.org/T4603 with workaround

work around GnuPG being silly with redirects

redirect https://debian.org/.well-known/openpgpkey/ to openpgpkey.debian.org (re: RT#7828)

Make redirects from the various debian.* and debian.{!org} pages less permanent

Fix openpgpkey dir

And make content appear under /.well-known/openpgpkey/ openpgpkey (re: #RT7828)

disable indexing on openpgpkey (re: #RT7828)

static component for openpgpkey (re: #RT7828)

kaufmann as saticsource (re: #RT7828)

lvm-osuosl-ganeti2.conf: only look for /dev/sda to workaround multipath issues

multipath doesn't work properly on pieta. Workaround the issue by only
looking at /dev/sda.

010-security.debian.org.conf: explicitly bind to localhost

On hosts having services on different IP addresses, *:80 is not enough
to run the security vhost on localhost, as other services might also
explicitly bind to localhost. This breaks mirror-health check.

For example on schmelzer.d.o:

010-archive.debian.org.conf
  <VirtualHost 217.196.149.234:80 [2a02:16a8:dc41:100::234]:80>

010-debug.mirrors.debian.org.conf
  <VirtualHost 217.196.149.232:80 [2a02:16a8:dc41:100::232]:80 127.0.0.1:80 [::1]:80 >

010-ftp.debian.org.conf
  <VirtualHost 217.196.149.232:80 [2a02:16a8:dc41:100::232]:80 127.0.0.1:80 [::1]:80 >

010-security.debian.org.conf
  <VirtualHost *:80>

Without this fix, it means that a request to security.backend.mirrors.d.o
on localhost ends up in the debug.mirrors.d.o vhost, and is thus
answered as 404.

More cleanup following the apt.buildd.debian.org removal

Drop apt.buildd.debian.org

We do not use it since none of our buildds are running jessie

All our buildds are running at least stretch, drop jessie specific code

Decommission binet

Add x86-ubc-02.d.o

decomission x86-bm-01

Add x86-grnet-02.debian.org

Regen manda-node04 NTP key

It needs to be generated with -T

Move timeserver from clementi to manda-node04 (missing part)