Setup aagaard/acker as a ganeti cluster

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Fix typo

Allow traffic from Fastly to 5141 instead and set up syslog-ng rules

Fix getfastlyranges harder

Fix cron job

/srv/puppet.debian.org/puppet-facts is root only

Update IPs for tfheen

Fix template syntax

Handle exceptions from reading fastly IP ranges

ferm: accept syslog from fastly IPs

Keep a list of fastly IPs

update-buildd-schroots: shift chroot build time by 1 hour

So we don't try to recreate chroots exactly when the mirrors are being
updated. dak is faster those days and debootstrap still doesn't use
by-hash.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Remove mirror-conova from experimental-apache as it is being upgraded to stretch

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

decomission praetorius rt#6714

Signed-off-by: Héctor Orón Martínez <zumbi@debian.org>

decommission porpora

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

for DC17, permit another IPv4 address to access vittoria:5432

typo

allow DC17 machine(s) to access postgres on vittoria

Debian SSO rebuilt their CA certificate

At least on lobos we no longer seem to require running a 10.0.* hp-health package.  Remove the pin everywhere and see how that goes

Remove lobos from experimental-apache as it is being upgraded to stretch

mirror-anu is on stretch, remove from experimental_apache

samhain: disable SUID/SGID checks

The SUID/SGID checks have been enabled in our configuration file
since the beginning, but have been actually active only for stretch
hosts as the jessie version of samhain is built without SUID/SGID
check support.

These checks are not very flexible, as it's only possible to specify a
single excluded directory, while we want to avoid walking both /srv and
/home. However they are also not very useful in our use case, as files
which get a SUID/SGID bit flipped will appear as changed.

Therefore simply disable the SUID/SGID checks.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Do not backup the Apache disk cache

Avoids warnings due to races when it is cleaned/backed up at the same time:

Could not stat "/var/cache/apache2/mod_cache_disk/r/k/txeIh19LMLMAVeQKsKcg.header": ERR=No such file or directory

updatemotd exec is not used anywhere anymore.  Remove.

/var/run/motd no longer exists on stretch, link /etc/motd to /run/motd.dynamic instead

These host_blacklist entries seem to not be effective, but the envelope sender entry in blacklist does the job

Also add the dnsname healthtorpedo.com to the blacklist

envelope from is double-bounce@healthtorpedo.com for the crap we are seeing

extend blacklist to 155.133.38.0/24 for sending us backscatter

blacklist 155.133.38.26 for sending us backscatter

new network space for weasel

remove senfter from experimental_apache

It's on stretch now.

wieck is on stretch, remove from experimental_apache

Add https://release.d.o/oldstable-proposed-updates as an alias to /proposed-updates

Signed-off-by: Julien Cristau <jcristau@debian.org>

Blacklist MAILER-DAEMON@healthtorpedo.com

It is continuing to mail postmaster@debian.com with this output:

Transcript of session follows.

 Out: 220 healthtorpedo.com ESMTP Postfix (Ubuntu)
 In:  EHLO cash-miner.com
 Out: 250-healthtorpedo.com
 Out: 250-PIPELINING
 Out: 250-SIZE 10240000
 Out: 250-VRFY
 Out: 250-ETRN
 Out: 250-STARTTLS
 Out: 250-ENHANCEDSTATUSCODES
 Out: 250-8BITMIME
 Out: 250 DSN
 In:  MAIL FROM:<postmaster@healthtorpedo.com>
 Out: 452 4.3.1 Insufficient system storage
 Out: 421 4.7.0 healthtorpedo.com Error: too many errors

Session aborted, reason: too many errors

For other details, see the local mail logfile

Bypass web caches for the NetworkManager connection tests

Ensures users are testing their network instead of their cache/proxy.

Reported-in: https://ctrl.blog/entry/network-connection-http-checks
Suggested-in: <1500474664.14216.2.camel@daniel.priv.no>
Signed-off-by: Paul Wise <pabs@debian.org>

Use full path to bconsole more

The upgrade to stretch removed a compat symlink leading to tracebacks:

Traceback (most recent call last):
  File "/etc/bacula/scripts/volumes-delete-old", line 118, in <module>
    p = subprocess.Popen(['bconsole'], stdin=subprocess.PIPE, stdout=subprocess.PIPE, stderr=subprocess.PIPE)
  File "/usr/lib/python3.5/subprocess.py", line 676, in __init__
    restore_signals, start_new_session)
  File "/usr/lib/python3.5/subprocess.py", line 1282, in _execute_child
    raise child_exception_type(errno_num, err_msg)
FileNotFoundError: [Errno 2] No such file or directory: 'bconsole'

Fixes: commit 1abd64e991921cfbc61cf769141e519510d1b671

Use full path to bconsole

The upgrade to stretch removed a compat symlink leading to tracebacks:

Traceback (most recent call last):
  File "/etc/bacula/scripts/volumes-delete-old", line 118, in <module>
    p = subprocess.Popen(['bconsole'], stdin=subprocess.PIPE, stdout=subprocess.PIPE, stderr=subprocess.PIPE)
  File "/usr/lib/python3.5/subprocess.py", line 676, in __init__
    restore_signals, start_new_session)
  File "/usr/lib/python3.5/subprocess.py", line 1282, in _execute_child
    raise child_exception_type(errno_num, err_msg)
FileNotFoundError: [Errno 2] No such file or directory: 'bconsole'

setup-dchroot: don't create an lts alias

squeeze-lts is gone and wheezy uses the security suite for lts.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Use systemd::override instead of manual bacula-fd.service.d/user.conf

only notify service if defined

Actually pass-through $ensure

Add haveged service override to work around #858134

only notify service if defined

Add haveged facter

ignore libssl1.0.0 postgresql-client-9.4 on storace and backuphost

ignore libssl1.0.0 postgresql-client-9.4 on storace and backuphost

bacula-director needs DNS to launch

override for bacula-sd: set group and supplementary group

syntax fix

and restart service in question

fix notify for systemd::override absent case

Add systemd override unit

Add 2017 DNS root key

Maybe also support shutdown check on stretch

Revert "Don't push incoming to klecker"

This reverts commit 8518814d3c5330902bd83d12055f43babc293255.

new rsync option from stretch rsync clients

New ipv6 addresses for klecker

suchon is an upload host (*.security.upload.debian.org)

Add suchon

exim: postgrey in stretch handles host to network address translation

Rather than using ${mask:...} in the exim config, we can let postgrey do
this on its own.  Otherwise, it gets confused with ipv6 addresses using
dots instead of colons as separators, and crashes
(https://bugs.debian.org/867201).

One bconsole run per truncate run

string stuff for py3

volumes-delete-old update

delete old volumes daily

move crontab to file

rename get-deleteable-volumes -> volumes-delete-old

Add script to find deletable volumes

Make volume-purge-action learn about mediatypes from the DB

Allow thijs tcpdump on klecker

fix a link

Update apache2 cipher preferences from https://mozilla.github.io/server-side-tls/ssl-config-generator/

Revert "redirect linux updates to security-cdn"

This reverts commit b6f21532b07dfcb35d059d46913c306ea19c50e8.

Send stderr from dpkg-query to /dev/null to avoid cron spam

Fix up tor fact to not complain if the package has been purged

`dpkg -l $package` will return 0 if the package has been purged, so a
proper test for it instead.  Also add a pair of quotes to make `dpkg
--compare-versions` not complain.

Don't push incoming to klecker

klecker is already out of static rotation in auto-dns, and we're having
connectivity issues from fasolo, so this should be safe until we get
that resolved.

Revert "Don't push incoming to klecker"

This reverts commit 3c6303312627c8662f12ca1431e81c12186847f9.

Turns out incoming and incoming.ports aren't the same thing.

Don't push incoming to klecker

klecker is already out of static rotation in auto-dns, and we're having
connectivity issues from fasolo, so this should be safe until we get
that resolved.

redirect linux updates to security-cdn

security mirrors are overloaded

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

buildds: disable buildd.d.o repository on stretch hosts

Stretch hosts directly use the sbuild and buildd packages from the
debian archive.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Merge branch 'master' of git+ssh://puppet.debian.org/srv/puppet.debian.org/git/dsa-puppet

* 'master' of git+ssh://puppet.debian.org/srv/puppet.debian.org/git/dsa-puppet:
  puppet.conf: increase the connect timeout a bit

make demime=* conditional

Signed-off-by: Martin Zobel-Helas <zobel@debian.org>

puppet.conf: increase the connect timeout a bit

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Revert "redirect linux updates to security-cdn"

This reverts commit e0525b0198da806181c009520758274cf1d05995.

buildds: update dupload.conf

- ftp-master.d.o doesn't accept FTP upload anymore, replace it by
  ftp.upload.debian.org.
- add an anonymous-ftp-eu alias targetting ftp.eu.upload.debian.org.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

ferm/aql: fix multicast rule

This should be 224.0.0.0/4 instead of 224.0.0.0/24. Thanks to James
Cowgill who noticed the typo.

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

redirect linux updates to security-cdn

security mirrors are overloaded

Add UTF-8 charset for all .txt files on ftp.d.o

The dedication text files are UTF-8 encoded and
various browsers do not do automatic charset detection.

Suggested-by: KiBi on IRC (IIRC)

drop all traces of ia64

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

setup-all-dchroots: add buster

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Switch from /org to /srv in exim configuration

/org has been obsoleted by /srv for many years on debian.org hosts.

Update the setup for archive.debian.net

Factor out the config into an apache2 macro.

Make the 503 error message more generic so it can be used anywhere.

new zivit nameservers

disable nameservers for zivit

slightly reduce volume retention times for full and differentials (from 3 and 2 months to 100 and 50 days)

Allow d-i folks to rebuild the installation-guide as needed

set BufferedLogs to on

klecker sees a lot of IO which might be attributable to log traffic.

Maybe setting BufferedLogs to on will help this.

Remove httpredir related code

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

Remove old dillon-lvm mapping

dillon is now using dillon-lvm2 on the other MSA

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>

decommission httpredir-bm-01

Signed-off-by: Aurelien Jarno <aurelien@aurel32.net>