exim helo-check: remove duplicated entry

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim helo-check: stop people claiming to be e.g. "mail.example.com"

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: only append RBL text information when provided

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

Developers Reference migrated to Sphinx and changed back to old names, update the redirects (see bug #931548)

Signed-off-by: Julien Cristau <jcristau@debian.org>

make quantz use the ubc dak replica

autofs: quantz at ubc

autofs: make the linter happy

no more autofs on dillon

Merge branch 'fordsa' of https://git.adam-barratt.org.uk/git/mirror/dsa-puppet

Add volumes for quantz at ubc

Move static master duties from dillon to static-master-manda-01

exim blacklist: update

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

schroot: fix comment

99builddsourceslist: temporarily add stretch-proposed-updates to stretch-security chroots

Temporarily add stretch-proposed-updates for stretch-security chroots as requested
by the security team to handle Thunderbird and Firefox ESR 68.x releases. This should
be removed with the release of the 9.12 point release.

Merge branch 'fordsa' of https://git.adam-barratt.org.uk/git/mirror/dsa-puppet

add static-master-manda-01

eximconf: whitespace fixup

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: use acl_m_defopt instead of re-evaluating HAS_DEFAULT_OPTIONS

This makes no difference to the result, but makes reading debug output
much simpler.

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: use "add_header" when the intent is to add headers

The "message" modifier for the "warn" verb can still be used to add
headers, but it's more obvious to use add_header explicitly

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: whitespace fix

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: tag/reject mail matching specific suspicious content

This initial string matches an unsubscribe link using the text "if you...
were unknowingly or unintentionally added to the mailing list"

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: remove reference to non-existent "relayhosts" file

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim blacklist: more recent spammers

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim blacklist: expire some very old entries

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim blacklist: add more recent offenders

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: ensure all recipients have the same default options setting

This allows us to perform tests at DATA time that are dependent on the
default options flag

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: add an explanatory comment for default options

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: only treat @d.o addresses as eligible for default options

Service domains have no way of opting out of the settings, so don't
forcibly opt them in

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

Add /dev/sdc PV at manda

snapshot-web: remove AWS block

Let's try and see if the rate-limiting makes things bearable.

Merge branch 'fordsa' of https://git.adam-barratt.org.uk/git/mirror/dsa-puppet

Parameterize webserver class

Clean up and document apache2::config

Clean up and document apache2::module

Clean up and document apache2::site

whitespace: apache2/manifests

Move apache module configs to apache2::module dir; add compat includes

whitespace/quoting: apache

fail2ban: lint fixes

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim blacklist: add a repeat offender

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

Note that exim contains tracker-specific configuration

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

Indicate that ticharich needs trackermaster exim config

RT#7283

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim: use a different local part suffix for tracker virtual users

Part of RT#7283

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim: allow a host to indicate that it is the master for tracker.d.o

Part of RT#7283

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: add logging for Subject headers

For troubleshooting and to provide input to policy decisions

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

ftp-master as historical_master (part of RT#7644)

Merge branch 'fordsa' of https://git.adam-barratt.org.uk/git/mirror/dsa-puppet

yamlinfo: use different dir to list all nodes

We used Dir.entries('/var/lib/puppet/yaml/node/') to get a list of all
nodes.  That dir is now empty.  Switch to using
Dir.entries('/var/lib/puppet/yaml/facts/').

Both are probably bad, but yamlinfo() should be phased out in favor of
hiera/puppetdb anyhow, so for now this is a temporary fix.

Catch empty *info when we get it from the functions in modules/deprecated

Catch empty data arrays at start of entropy_provider function

eximconf: include RBL response value in reject messages

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: reject bounces to "neversender" addresses

If an address never originates mail then there is no reason for it to be
receiving NDRs

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

fail2ban: (strictly) ban hosts that are well over the ratelimit

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: more RBLs for the default set

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim_surbl.pl: enable DBL checks

This should be safe enough to do by default

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: add more RBL config to the default options setup

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: switch default options back to on

The ud-ldap change has been deployed, so the frontends now have access
to the full set of options.

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

debian_org: lint fixes

Fix yet another typo

I should learn to type

Use a pre-up script to turn off accept_ra

Turns out the /all/ sysctl is a no-op.

eximconf: only set "greylisting requested" flag for handled domains

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: skip greylisting for hosts with high dnswl.org trust

It's unlikely to do anything other than delay mail in these cases

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim blacklist: remove escape protection

It's only needed in lists within the configuration, not in files
used for searches.

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim blacklist: simplify whole-domain entries

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim blacklist: add more recent spammers

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: assume that unlisted recipients don't want default options

At least until mail-default-options.db lists all users.

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim: add some RBLs for secretary@d.o (RT#5281)

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim: enable greylisting for secretary@d.o (RT#5281)

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: spacing fix

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: re-do "enable greylisting for users with default options"

The previous attempt failed due to the fact that the right-hand-side
of match_* conditions is not expanded, for security reasons.

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

Revert "eximconf: enable greylisting for users with default options"

Seems to break with "missing } at end of condition inside "or" group"

This reverts commit 08a1906121670d960592fbbf6ec489ff54c8b64c.

virtualdomains-mailrelay.erb: add tracker.debian.org

This is required in order to allow spam filtering on the frontends for
the domain. Mail delivery (and thus alias checking) is still handled
by the tracker server itself.

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: enable greylisting for users with default options

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: also use GREYLIST_LOCAL_PARTS for greylistd

In addition to reducing duplication, this also brings the fixes applied
to postgrey support in 82efd346ca1500048366eac43d191c1a2a7d01fc to the
greylistd checks.

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: add a macro to check if the user wants "default options"

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: remove "temporary weasel hack"

The affected tickets have been closed since 2012, so that's probably
been temporary enough now. :)

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: migrate from CDB to BDB for ud-ldap generated files (RT#4648)

The BDB files use keys that are not null-terminated, so we must use the
"dbmnz" lookup type, rather than the more generally obvious "dbm"

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

Fix dependency loop in mirror_health when a service is set to absent:  the file need not notify the service as the service subscribes to the file if enable is present

mirror-health: don't (ab)use the proxy interface

monkey-patch urllib3.util.connection.create_connection to override
address resolution, which is ugly but makes this work with https.

Retire dsa-is-shutdown-scheduled in favor of test -e /run/systemd/shutdown/scheduled

Remove local-scheduled-shutdown check

We had a cronjob that would run dsa-is-shutdown-scheduled every two
minutes and touch a file in /run that was then exposed via apache
as /shutdown-in-progress.  However, nothing appears to use this.
In particular, the fastly health checker uses /_health which is
backed by a service specific health service.

Ignore doc and .yardoc directories created by the linter

long options are king

dbmaster: enable puppet-restricted-acl.conf apache snippet

dbmaster: make lint happy

Make the apt_restricted acl an apache macro

debian_org::apt_restricted: fix fragment name

debian_org::apt_restricted: base::public_addresses is an array

Generate the apache ACL for draghi's "restricted" repo (RT#7962)

prefix coccia volumes at bm with OLD-

autofs: add debian-debug at ubc

Update stdlib and concat to 6.1.0 both

Suggest different variables to use if we want to tunnel both v4 and v6

document the ipsec::network and ipsec::peer manifests, change default address to the one in base::, and add proper prefixlengths to raw ip addresses in the networks list

Merge branch 'fordsa' of https://git.adam-barratt.org.uk/git/mirror/dsa-puppet

coccia and usper no longer need access to projectb on bmdb1

wuiet.d.o no longer needs access to projectb on bmdb1

Give wuiet.d.o access to the ubc projectb replica

exim blacklist: also bounce@pro2aut2.com

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>