firefox considers style in .svg things "unsafe-inline" settings, so we need a different CSP for svg files

amended policy

Set a CSP for lintian, acked by nthykier

Set a bunch of security related headers that might break stuff.  We will found out

rename pratchett to headers

Add anycast mirror to sources.list

Set ServerAliveInterval and BatchMode on ssh to backuphost

remove sudo access on acker for sledge and kibi

vsftp sites need an /srv/ftp, or else anon auth fails

Fix cluster name for debbugs cluster

backup hosts fetch from buxtehude

backup hosts to buxtehude

buxtehude needs to pg backup tools

bmdb1 ferm syntax fix

fetch backups from bmdb1:debsources

fetch backups from melartin

ssh-keygen on pg servers

Put the scripts we need for pg backups into puppet

allow pg access to bmdb1 debsources from backup hosts

allow pg access to melartin from backup hosts

enable module reqtimeout everywhere

Merge remote-tracking branch 'waldi/syncproxy-security-buildd-pool'

* waldi/syncproxy-security-buildd-pool:
  Export debian-security-buildd-pool on syncproxy

Export debian-security-buildd-pool on syncproxy

Revert "ignore old puppet-common on stretch hosts"

This reverts commit 2c07d5039e8884dfe0d869c5e39dfe2f44dc83c0.

The ignore only works for obsolete packages, not for out of date
packages.

ignore old puppet-common on stretch hosts

fix class name

add a piuparts slave role

some hosts use mpm_prefork

timesyncd at ubc

Add piu-slave-ubc-01

Add storage for piu-slave-ubc-01

Use mpm_worker over mpm_event

new apache on mirror-conova

backend server aliases for archive, debug, debian, and security

Add mirror-conova to historical_mirror

fix archive mirror bind magic

Add archive rsync to historical_mirror role

rename boman to mirror-accumu

make bytemark a security mirror (for anycast)

listen on anycast address with apache on debian mirrors that are in the bgp group

rename bilbao to mirror-bytemark

limit ftp to the security address

no need for the ynic-special lldp module anymore - we put lldp everywhere

fix debian mirror bind addr for ipv6 on klecker

debian and security anycast-test addresses

add security.anycast-test server alias, do away with having both testing-anycast and anycast-test

Retire poulenc: hardware died

add klecker to debian_mirror_onion

Add klecker to the ftp.d.o mirror group now that the fastly live check no longer requires http 200 on GET / (we redirect into /debian/

Add server alias for $location.$archive.backend.mirrors.debian.org

touch /srv/ftp.root/.nobackup

add a missing ,

conova to debug_mirror

bind address for security, debug and debian mirror on conova

conova to security_mirror

Fix a typo in my previous commit

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

buildd: make sure the buildd service is disabled and not running

This is a leftover init script from the official buildd package, our
setup uses cron to (re)start the build daemon.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Redirect removed official mirror pages

Make conova be a debian mirror

add mirror-conova to the archvsync_base role

Make archvsync_base create the /etc/ssh/userkeys/archvsync symlink

restart instead of just start

log requested hostname in www-other.debian.org-access.log

New inet4 for busoni

give syncproxy3.wna a dedicated address

Call it syncproxy3.wna instead, our config does not like to re-use the server's hostname for a vhost easily

remove no longer needed rsync access ferm role - glinka is history and gretchaninov is in the syncproxy role

gretchaninov as a syncproxy

Add manpages.d.n -> d.o redirect

fix syncproxy http -> https redirect on ipv6

fix syncproxy https bind on ipv6 address

support limit-mirrors in has_static_component

rename archive-master rsyncd.conf

Add lldpd via puppet

add mirroradm static push sudo

mirror-master static component

just move roles around to group things by service.  should be no real changes

rename archive_master to historical_master to match _mirror name

Move archvsync_base from FTP to debian_mirror

we already set the TLSA up in rsync::site_systemd.pp

Merge remote-tracking branch 'waldi/rsync-systemd-master'

* waldi/rsync-systemd-master:
  Use rsyncd via system on security_master
  Use rsyncd via systemd on ftp_master
  Use rsyncd via systemd on archive_master

little /srv/mirrors changes

Merge remote-tracking branch 'waldi/srv-mirrors'

* waldi/srv-mirrors:
  Setup /srv/mirrors/debian-security on security_mirror
  Setup /srv/mirrors on all (archvsync-based) mirrors

Conflicts:
modules/roles/manifests/ftp.pp

Add a note to ftp.d.o role to point to debian_mirror

Add a note to roles::ftp

Setup /srv/mirrors/debian-security on security_mirror

Setup /srv/mirrors on all (archvsync-based) mirrors

Use rsyncd via system on security_master

Use rsyncd via systemd on ftp_master

Use rsyncd via systemd on archive_master

Add cdn.debian.net server alias to deb.do

Do not add + for IndexOption in global context.  It should still add to the existing options

Remove redundant IndexOptions from all vhosts

Disable file descriptions in all apache indexes

Get rid of incorrectly-specified (and therefore unused SuppressDescription IndexOptions

Add a couple aliases to the deb.d.o vhost

Part of deprecating httpredir.

Merge branch 'master' of git+ssh://puppet.debian.org/srv/puppet.debian.org/git/dsa-puppet

* 'master' of git+ssh://puppet.debian.org/srv/puppet.debian.org/git/dsa-puppet:
  add sallinen
  Enable authentication for buildd-keyrings rsync module
  Use archvsync managed secrets files for rsyncd on syncproxy
  Cannot depend on Package[xinetd] without it being defined
  only pull in xinetd if we do not try to remove files
  Enable rsync-ssl on keyring.debian.org
  Unify rsyncd module comments
  Extract default rsyncd module parameter
  De-list all rsync shares on ftp/ports/security-master
  Enable rsync-ssl on keyring.debian.org
  setup-all-dchroots: use the 2017 key for debian-ports

add conova as bgp peer

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

add sallinen

Merge remote-tracking branch 'waldi/rsyncd-buildd-keyrings-auth'

* waldi/rsyncd-buildd-keyrings-auth:
  Enable authentication for buildd-keyrings rsync module