Fix dependency loop in mirror_health when a service is set to absent:  the file need not notify the service as the service subscribes to the file if enable is present

mirror-health: don't (ab)use the proxy interface

monkey-patch urllib3.util.connection.create_connection to override
address resolution, which is ugly but makes this work with https.

Retire dsa-is-shutdown-scheduled in favor of test -e /run/systemd/shutdown/scheduled

Remove local-scheduled-shutdown check

We had a cronjob that would run dsa-is-shutdown-scheduled every two
minutes and touch a file in /run that was then exposed via apache
as /shutdown-in-progress.  However, nothing appears to use this.
In particular, the fastly health checker uses /_health which is
backed by a service specific health service.

Ignore doc and .yardoc directories created by the linter

long options are king

dbmaster: enable puppet-restricted-acl.conf apache snippet

dbmaster: make lint happy

Make the apt_restricted acl an apache macro

debian_org::apt_restricted: fix fragment name

debian_org::apt_restricted: base::public_addresses is an array

Generate the apache ACL for draghi's "restricted" repo (RT#7962)

prefix coccia volumes at bm with OLD-

autofs: add debian-debug at ubc

Update stdlib and concat to 6.1.0 both

Suggest different variables to use if we want to tunnel both v4 and v6

document the ipsec::network and ipsec::peer manifests, change default address to the one in base::, and add proper prefixlengths to raw ip addresses in the networks list

Merge branch 'fordsa' of https://git.adam-barratt.org.uk/git/mirror/dsa-puppet

coccia and usper no longer need access to projectb on bmdb1

wuiet.d.o no longer needs access to projectb on bmdb1

Give wuiet.d.o access to the ubc projectb replica

exim blacklist: also bounce@pro2aut2.com

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: log information about MIME parts

This provides some useful debugging information. Initially it will be
used to survey the likelihood of legitimate attachments being blocked
if further rules are introduced. For this reason, we only log the
"extension", not the full filename.

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim blacklist: add info@pro2aut2.com

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

autofs: add debian-buildd at ubc (RT#7993)

move coccia to ubc

Move has_static_component function to modules/staticsync

volumes for coccia at ubc

update lfilipoz email address for bacula reports

eximconf: put the escapes in the right places in RT_SUBJECT

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: add explanatory comment for RT_SUBJECT's escaping

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

The nm user also wants lingering

Enable lingering for the contributors user

Per enrico.

Add sudo entries for new nm-web, contributors, contributors-web users

nm.d.o no longer needs access to projectb on bmdb1

Give nm.d.o access to the ubc projectb replica

It doesn't look like udd actually uses projectb; remove its guest access

Use unique names for pg_hba.conf entries

Fix class name

give udd access to the projectb copy on danzi

staticsync: let's assume that IPv6 is not worse than IPv4

eximconf: fix escaping in RT_SUBJECT macro

It's included in a doule-quoted string, which imposes extra escaping
requirements

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

Turn off accept_ra sysctl everywhere

Merge branch 'fordsa' of https://git.adam-barratt.org.uk/git/mirror/dsa-puppet

eximconf: more comments

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: reject mail based on SORBS's "no mail" / "no servers" lists

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim/common/rhsbllist: Stop using the obsolete rfc-ignorant.org DNSBLs

See https://web.archive.org/web/20121123184538/http://www.rfc-ignorant.org/endofanera.php

The mantle - and initially the dataset - has been taken over by
rfc-clueless.org. However, their DSN list contains (and it appears
will contain to contain), amongst others, Google, which makes it an
unsuitable choice for "default" role address filtering.

As such, the users of the "bogus MX" list are moved over to the new
domain, and the DSN list is dropped.

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

Fix /etc/exim4/submission-domains generation harder

Fix /etc/exim4/submission-domains generation

Merge branch 'fordsa' of https://git.adam-barratt.org.uk/git/mirror/dsa-puppet

Rename exim::submission-domain.pp to drop the "-"

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim blacklist: add more recent offenders

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim: build submission domain list dynamically

and have the bugs_master role declare that it handles bugs.d.o

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: only define RT_SUBJECT on RT master

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: macroise RT Subject header replacement

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: unfold Subject headers before processing in RT routers

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

exim blacklist: use simpler matches

The regular expression versions are more specific, but don't appear
to want to actually match.

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

eximconf: use \N rather than double escaping

Signed-off-by: Adam D. Barratt <adam@adam-barratt.org.uk>

Use ttyS1 on csail-node0[12]

upload hosts towards ftp-master need read access to the bm dak replica

retire manual firewalling on bmdb1 for dak replica access

manage bmdb1/dak pg_hba: fix common.yaml

manage bmdb1/dak pg_hba

prepare for dak replica on danzi

Add a comment about why access to UDD is needed on wuiet

add missing new files for pet role

manage bmdb1/main pg_hba

sort entries

Move draghi finger/ldap/ldaps fw into dbmaster role

Move gombert infinoted fw into gobby role

Move kaufmann keyserver fw into keyring role

udd: no ssl needed on localhost

buildd/udd: do guest access earlier

udd wants guest access on localhost

buildd/udd: do guest access earlier

manage ullmann/udd pg_hba

pg config on ullmann, pt 1

manage danzi/wanna-build pg_hba

manage danzi/main pg_hba

manage danzi/debconf pg_hba

fqdn in name

manage danzi/tracker pg_hba

remove manual firewall allow snapshotdb-manda-01->sallinen

fix order of the guest trust on snapshot db (do it before the other localhost entries)

manage pg_hba on sallinen

put a fqdn in a name in ftp_master_dak_replica

roles::snapshot_db: make packages ignore conditional on running on buster

remove manual firewall allow leaseweb->snapshotdb-manda-01

manage pg_hba on snapshotdb-manda-01

manage pg_hba on melartin

remove manual firewall allow bmdb1->fasolo

unique names

Do not require ssl on localhost

move localhost guest access in front of catch-all localhost access

guest access for dak on ftp-master

Fix spelling for a type

manage pg_hba on fasolo

manage pg_hba on seger

manage pg_hba on vittoria

Do not enable replication from localhost