Indicate that ticharich needs trackermaster exim config

RT#7283

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim: use a different local part suffix for tracker virtual users

Part of RT#7283

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim: allow a host to indicate that it is the master for tracker.d.o

Part of RT#7283

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: add logging for Subject headers

For troubleshooting and to provide input to policy decisions

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

ftp-master as historical_master (part of RT#7644)

Merge branch 'fordsa' of https://git.adam-barratt.org.uk/git/mirror/dsa-puppet

yamlinfo: use different dir to list all nodes

We used Dir.entries('/var/lib/puppet/yaml/node/') to get a list of all
nodes.  That dir is now empty.  Switch to using
Dir.entries('/var/lib/puppet/yaml/facts/').

Both are probably bad, but yamlinfo() should be phased out in favor of
hiera/puppetdb anyhow, so for now this is a temporary fix.

Catch empty *info when we get it from the functions in modules/deprecated

Catch empty data arrays at start of entropy_provider function

eximconf: include RBL response value in reject messages

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: reject bounces to "neversender" addresses

If an address never originates mail then there is no reason for it to be
receiving NDRs

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

fail2ban: (strictly) ban hosts that are well over the ratelimit

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: more RBLs for the default set

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim_surbl.pl: enable DBL checks

This should be safe enough to do by default

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: add more RBL config to the default options setup

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: switch default options back to on

The ud-ldap change has been deployed, so the frontends now have access
to the full set of options.

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

debian_org: lint fixes

Fix yet another typo

I should learn to type

Use a pre-up script to turn off accept_ra

Turns out the /all/ sysctl is a no-op.

eximconf: only set "greylisting requested" flag for handled domains

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: skip greylisting for hosts with high dnswl.org trust

It's unlikely to do anything other than delay mail in these cases

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim blacklist: remove escape protection

It's only needed in lists within the configuration, not in files
used for searches.

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim blacklist: simplify whole-domain entries

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim blacklist: add more recent spammers

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: assume that unlisted recipients don't want default options

At least until mail-default-options.db lists all users.

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim: add some RBLs for secretary@d.o (RT#5281)

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim: enable greylisting for secretary@d.o (RT#5281)

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: spacing fix

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: re-do "enable greylisting for users with default options"

The previous attempt failed due to the fact that the right-hand-side
of match_* conditions is not expanded, for security reasons.

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

Revert "eximconf: enable greylisting for users with default options"

Seems to break with "missing } at end of condition inside "or" group"

This reverts commit 08a1906121670d960592fbbf6ec489ff54c8b64c.

virtualdomains-mailrelay.erb: add tracker.debian.org

This is required in order to allow spam filtering on the frontends for
the domain. Mail delivery (and thus alias checking) is still handled
by the tracker server itself.

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: enable greylisting for users with default options

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: also use GREYLIST_LOCAL_PARTS for greylistd

In addition to reducing duplication, this also brings the fixes applied
to postgrey support in 82efd346ca1500048366eac43d191c1a2a7d01fc to the
greylistd checks.

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: add a macro to check if the user wants "default options"

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: remove "temporary weasel hack"

The affected tickets have been closed since 2012, so that's probably
been temporary enough now. :)

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: migrate from CDB to BDB for ud-ldap generated files (RT#4648)

The BDB files use keys that are not null-terminated, so we must use the
"dbmnz" lookup type, rather than the more generally obvious "dbm"

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

Fix dependency loop in mirror_health when a service is set to absent:  the file need not notify the service as the service subscribes to the file if enable is present

mirror-health: don't (ab)use the proxy interface

monkey-patch urllib3.util.connection.create_connection to override
address resolution, which is ugly but makes this work with https.

Retire dsa-is-shutdown-scheduled in favor of test -e /run/systemd/shutdown/scheduled

Remove local-scheduled-shutdown check

We had a cronjob that would run dsa-is-shutdown-scheduled every two
minutes and touch a file in /run that was then exposed via apache
as /shutdown-in-progress.  However, nothing appears to use this.
In particular, the fastly health checker uses /_health which is
backed by a service specific health service.

Ignore doc and .yardoc directories created by the linter

long options are king

dbmaster: enable puppet-restricted-acl.conf apache snippet

dbmaster: make lint happy

Make the apt_restricted acl an apache macro

debian_org::apt_restricted: fix fragment name

debian_org::apt_restricted: base::public_addresses is an array

Generate the apache ACL for draghi's "restricted" repo (RT#7962)

prefix coccia volumes at bm with OLD-

autofs: add debian-debug at ubc

Update stdlib and concat to 6.1.0 both

Suggest different variables to use if we want to tunnel both v4 and v6

document the ipsec::network and ipsec::peer manifests, change default address to the one in base::, and add proper prefixlengths to raw ip addresses in the networks list

Merge branch 'fordsa' of https://git.adam-barratt.org.uk/git/mirror/dsa-puppet

coccia and usper no longer need access to projectb on bmdb1

wuiet.d.o no longer needs access to projectb on bmdb1

Give wuiet.d.o access to the ubc projectb replica

exim blacklist: also bounce@pro2aut2.com

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: log information about MIME parts

This provides some useful debugging information. Initially it will be
used to survey the likelihood of legitimate attachments being blocked
if further rules are introduced. For this reason, we only log the
"extension", not the full filename.

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim blacklist: add info@pro2aut2.com

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

autofs: add debian-buildd at ubc (RT#7993)

move coccia to ubc

Move has_static_component function to modules/staticsync

volumes for coccia at ubc

update lfilipoz email address for bacula reports

eximconf: put the escapes in the right places in RT_SUBJECT

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: add explanatory comment for RT_SUBJECT's escaping

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

The nm user also wants lingering

Enable lingering for the contributors user

Per enrico.

Add sudo entries for new nm-web, contributors, contributors-web users

nm.d.o no longer needs access to projectb on bmdb1

Give nm.d.o access to the ubc projectb replica

It doesn't look like udd actually uses projectb; remove its guest access

Use unique names for pg_hba.conf entries

Fix class name

give udd access to the projectb copy on danzi

staticsync: let's assume that IPv6 is not worse than IPv4

eximconf: fix escaping in RT_SUBJECT macro

It's included in a doule-quoted string, which imposes extra escaping
requirements

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

Turn off accept_ra sysctl everywhere

Merge branch 'fordsa' of https://git.adam-barratt.org.uk/git/mirror/dsa-puppet

eximconf: more comments

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: reject mail based on SORBS's "no mail" / "no servers" lists

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim/common/rhsbllist: Stop using the obsolete rfc-ignorant.org DNSBLs

See https://web.archive.org/web/20121123184538/http://www.rfc-ignorant.org/endofanera.php

The mantle - and initially the dataset - has been taken over by
rfc-clueless.org. However, their DSN list contains (and it appears
will contain to contain), amongst others, Google, which makes it an
unsuitable choice for "default" role address filtering.

As such, the users of the "bogus MX" list are moved over to the new
domain, and the DSN list is dropped.

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

Fix /etc/exim4/submission-domains generation harder

Fix /etc/exim4/submission-domains generation

Merge branch 'fordsa' of https://git.adam-barratt.org.uk/git/mirror/dsa-puppet

Rename exim::submission-domain.pp to drop the "-"

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim blacklist: add more recent offenders

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim: build submission domain list dynamically

and have the bugs_master role declare that it handles bugs.d.o

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: only define RT_SUBJECT on RT master

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: macroise RT Subject header replacement

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: unfold Subject headers before processing in RT routers

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim blacklist: use simpler matches

The regular expression versions are more specific, but don't appear
to want to actually match.

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: use \N rather than double escaping

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

Use ttyS1 on csail-node0[12]

upload hosts towards ftp-master need read access to the bm dak replica

retire manual firewalling on bmdb1 for dak replica access

manage bmdb1/dak pg_hba: fix common.yaml

manage bmdb1/dak pg_hba