Blogging reloaded

Icinga2 und Puppet

Sun, 13 Oct 2019 19:39:00 +0200

Eigentlich wollte ich nur eine “kurze” Anleitung schreiben, wie das aktuelle Monitoring bei $COMPANY aussieht, zumindest der Icinga2 und Puppet Teil.
Über die letzten zwei Jahre habe ich das Setup so einige Male umgebaut, weil die Anforderungen sich stetig änderten. Konnte anfangs der Icinga2 Master noch alle Agents direkt erreichen und es gab du nur einen PuppetDB, änderte sich dies im Verlauf des Wachstums der Firma. Da war das Setup recht einfach, wenn auch nicht sehr performant. Es hauptsächlich darum, die Icinga2 Objekte aus der PuppetDB zu ziehen und als Icinga Objekt abzulegen. Je mehr es da aber gab, desto langsamer wurde der Export. Das Setup brach dann vollständig, als weitere PuppetDB Hosts hinzukamen, da es in diesem Konzept einfach nicht vorgesehen war. Auch ging es nicht, weil jeder Puppet Master seine eigenen Zertifikate nutzt und somit der Aufwand enorm hoch wurde, Icinga2 SSL Zertifikate unter einen Hut zu bringen.
Das alles gehört mittlerweile der Vergangenheit an, da Icinga2 alle Zertifikate selbst verwaltet und seit 2.8 einen CA Proxy enthält, der jeden gesponserten Cent wert ist. Damit können Icinga2 Agent Zertifikate beglaubigt werden, die vom Icinga2 Master aus nicht direkt erreichbar sind - über die Satelliten!
Das Kernstück ist dann der Icingaweb2 Director, der um ein PuppetDB Modul bereichert werden kann. Damit (und den passenden Firewall Regeln), kann der Director jede PuppetDB anzapfen und die Nodes herausholen und um weitere Zutaten ergänzen.
Diese Anleitung soll im Grunde das wiedergeben. Die Kernfunktionen sind alle vorhanden, es fehlt noch der HA Teil, der sicher noch ein paar Stunden Schreibarbeit benötigen wird. Bis dahin …

https://www.pug.org/doc/technik-ecke/monitoring/icinga2_puppet/

Murphy am Montag

Tue, 30 Jul 2019 21:46:31 +0200

Es gibt Tage, da passiert nix und es gibt Tage, da kommt Murphy vorbei. Es war Montag, ich unterwegs aber mit voller Ausrüstung für Notfälle. Leider stellte sich im Laufe der Zeit heraus, dass ich in einem absolutem Niemandsland spazierte, bei dem noch noch einmal telefonieren möglich war. Kein Netz!
Ich lief mit leichter Nervosität durch einen Park, immer mit dem starren Blick auf das “Kein Netz!”. Was soll schon passieren …
Es passierte einiges …
Beim Verlassen des Parks hatte ich kurz Netz und bekam prompt eine Nachricht vom Kollegen (der im Urlaub ist) via Threema. Nicht gut. Wie gut, dass mein Kollege just an diesem Tag aus Spanien zurück war und eingreifen konnte, während mein Telefon mich mit “Kein Netz!” (Hallo Telekom !) anschrie.

Es hatte sich herausgestellt, dass der RZ Betreiber beim prüfen der Kabel für eine Darkfiber (die nicht mehr benötigt wird), eine Faser beim verschließen des Racks mit eingeklemmt hatte. Unglücklicherweise war diese Faser nicht irgend eine, sondern ebenfalls eine Faser, die zum zweiten Standort führt.

Unsere Systeme sind eigentlich so konstruiert, dass – mit einiger Arbeit – ein Standort in relativ kurzer Zeit autark laufen kann. Grundvoraussetzung ist allerdings, dass für alle Beteiligten klar ist, dass eine Verbindung tot ist. An dieser Stelle kam das zweite Problem zum tragen: OpenSense + Duplex ST/LC LWL Kabel.
Das Kabel war wohl nicht wirklich komplett tot, sondern entweder RX oder TX. Das führte dazu, dass weder der Ubiquity EdgeSwitch 16-XG, noch der IPSec Tunnel von OpnSense sich dazu genötigt sahen, Interface oder Tunnel herunterzufahren. Das wiederum ließ den Eindruck erscheinen, dass der VPN Tunnel aktiv sei, doch es ging kein Verkehr durch. Wäre der Tunnel unten gewesen, hätte jeder Service MongoDB/Redis und Co. zügig ein “host unreachble” erhalten und sich neu organisiert. Stattdessen haben sie ewig auf die Antwort gewartet …
Die einzige Lösung war ein Reboot des OpnSense Cluster am aktiven Standort. Kurz darauf haben sich die Dienste stabilisiert und der Service konnte seine Arbeit wieder aufnehmen.

Zwischen: Oh, wir haben ein Problem, bis zum “Service klappt wieder” liegt rund eine Stunde.

Alles an einem Montag; wann sonst.

Ich mache dem RZ Betreiber keinen Vorwurf; unser Rack ist brechend voll und die Kabel sind dünn. Man hätte sich in diesem Fall gewünscht, dass dies angekündigt hätte werden können, allerdings gehört es zum Alltag, weil Kunden Kabel ab/bestellen und die Kabel geprüft und angepasst werden müssen. Mir muss ich vorhalten, dass die Darkfiber nur über den Port geprüft wurde, nicht jedoch auf Durchgang. Das habe ich heute natürlich nachgeholt. Auch die Tür wird überwacht, aber es dauert, bis die erste Nachricht an alle rausgeht. Auch gefixt.

Gelernt haben wir, dass Murpy zu jeder Zeit auftauchen kann und sich immer ein Loch findet, welches nicht überwacht wird. Aber die Löcher werden mit der Zeit kleiner :-)

Jenkins, pbuilder und dh-virtualenv für Python3

Mon, 01 Jul 2019 23:00:32 +0200

Für unsere Projekte verwende ich Debian Jenkins Glue und erstelle damit die Debian Pakete. Aktuell hatte ich als Aufgabe ein Python3 Paket zu erstellen, bei dem mittels dh-virtualenv alles in /opt/… landet. Dummerweise brachen alle Versuche mit Fehlern aus der Kategorie “Netzwerk” ab, sobald die Python3 Module via PIP aus dem Netz gezogen werden sollten. Als ich ein neues Ticket erstellen wollte, fand ich das hier.
Also flux in meiner /etc/jenkins/pbuilderrc den Parameter USENETWORK=yes eingefügt und siehe da, der Build läuft durch :-)

Icinga2 Hochverfügbar

Sun, 16 Jun 2019 19:23:57 +0200

Bei meinem aktuellen Arbeitgeber nutzen wir seit meinem Einzug vor vier Jahren dort ein Icinga2 (damals noch parallel zum bestehenden Zabbix).
Mittlerweile ist Zabbix verschwunden und Icinga2 ist das Hauptmonitoring Tool. In den letzten Wochen haben wir aus der einzelnen Icinga2 Instanz nun einen HA Cluster gebastelt, das im Grunde auf diesem Konzept (meinen Dank an Carsten) beruht. Jeder der in dieser Thematik steckt, kommt früher oder später zum gleichen oder ähnlichen Ansatz.
Bei uns gibt es allerdings eine Besonderheit: Consul.
Consul in knappen Worten: Es ist ein verteilter Mesh Dienst, der in erster Linie Dienste bereitstellt und ein Key-Value Speicher ist.
Auf jedem Server(Node) der Dienste beherbergt, die durch unseren HAProxy Balancer laufen, bekommen einen Consul Agent. Dieser Agent hat zwei Aufgaben:

Node im Katalog bereitstellen
Verfügbarkeit prüfen

Damit taucht also der jeweilige Server im Consul Netzwerk auf und kann anschließend mit einem oder mehreren Diensten (Service) bestückt werden. In unserem Fall war das Icingaweb2. Warum so kompliziert ? Nun, für Consul gibt es einen kleinen Daemon der sich “consul-template” nennt. Dieser schaut permanent nach Änderungen im konfigurierten kv/ Bereich (Key-Value) vom Consul und generiert daraus eine passende haproxy.cfg Datei. Damit kann ich zum Beispiel Änderungen am HAProxy durchführen, ohne die Datei selbst anfassen zu müssen. Besonders angenehmen ist die Möglichkeit einen Server – der in die Wartung soll (Updates / Neustarts etc.) – einfach aus dem Balancer nehmen zu können, indem z.B. weight auf 0, oder der Consul Agent auf Maintenance gesetzt wird.

Nur für Icingaweb2 lohnt sich dieser Aufwand natürlich nicht wirklich, doch wenn das gleiche Konzept auch auch MariaDB angewendet wird, gibt es bereits zwei Dienste, die von Consul profitieren (können). Es ist meist nur eine Frage der Zeit, bis sich weitere Dienste hinzugesellen.

Ich habe mal ein abgewandeltes Diagramm von unserem aktuellen Layout erstellt:

HA Monitoring mit Consul

Dort sind nun natürlich viel mehr Komponenten abgebildet, als ich bisher angesprochen habe, aber der Reihe nach.

Konzept

Icinga2 Konfiguration

Unsere Icinga2 Konfiguration wird aus zwei Quellen zusammengesetzt:

Icingaweb2 - Director Modul
- Templates - Nahezu alle Host und Service Templates werden dort verwaltet
- Notifications - Benachrichtigungsregeln
- User - Alle Benutzer
- PuppetDB - Neue Hosts werden aus der PuppetDB gezogen via Director PuppetDB Module
zones - Puppet
- global-templates/
- master/
- dc-1/

In den von Puppet gepflegten Zonen sind bei uns aktuell sämtliche Hosts enthalten, die über keinen Puppet Agent verfügen. Das sind vor allem Switches, Router und Firewalls. Der Grund ist einfach der, dass wir mittels Dictionary Ports/Interfaces etc. definieren, welches über das Director Modul so nicht unterstützt wird.

Das Director Modul von Icingaweb ist der Kleber, der alles zusammenhält. Jeder Host mit einem Puppet Agent, bekommt über ein Profil mit auf dem Weg, welches den Icinga2 Agent passend konfiguriert und einbindet. Dabei werden bei jedem Lauf gesammelte Fakten (facts) in eine PostgreSQL Datenbank abgelegt (pro Rechenzentrum!). Diese Daten werden vom Director PuppetDB abgerufen und in die eigene DB überführt (synchronisiert). Während der Synchronisation wird z.B. die Icinga2 Zone hinzugefügt, als Beispiel host.zone = dc-1. In einem zweiten Schritt werden aus den synchronisierten Fakten Icinga2 Hosts erstellt, angereichert mit weiteren Host Variablen. Dies können sein:

vars.is_virtual
vars.blockdevices []
vars.puppet_modules
vars.zones
vars.role
…

Ein besonders wichtiger Punkt ist der, dass ich bestimmten Hosts auch Templates mitgeben kann, sodass immer das Template “Host Squid” eingebunden wird, wenn der certname=*proxy*` ist.

Datenbank

Damit Icinga2 und Icingaweb2 funktionieren, benötigt es natürlich eine Datenbank, die klassischerweise eine MySQL bzw. MariaDB ist. Damit beim Ausfall einer Datenbank Icingaweb2 nicht gleich blind (und damit der Benutzer) ist (Icinga2 selbst würde aber dennoch weiter funktionieren), wird die Datenbank als Cluster konfiguriert. Bei MariaDB ist das ein Galera Cluster. Damit kann ich einen n-Master aufbauen, sodass auf alle DB Server schreibend und lesend zugegriffen werden kann.

HAProxy / Keepalived

Nun, was nutzt mir ein hochverfügbarer DB Cluster oder Webserver, wenn beim Ausfall die IP Adresse nicht auf einen funktionierenden Host geschwenkt wird ? Nun an dieser Stelle kommt das klassische Paar HAProxy und Keepalived zum Einsatz. HAProxy stellt sicher, dass die als Backend konfigurierten Server und deren Dienste funktionieren, um Anfragen an sie weiterzuleiten. Antwortet ein Dienst nicht so, wie er sollte, werden alle Anfragen an die verbliebenen geleitet.
Keepalived stellt die virtuelle IP Adresse bereit, über die alle Anfragen eingehen. Sollte der Server auf dem Keepalived läuft ein Problem haben, werden alle virtuellen IP Adressen auf den zweiten Server hochgefahren.

Consul / consul-template

Während bisher noch keine wesentlichen Neuerungen gegenüber den vielen Anleitungen im Netz auftauchten, kommt jetzt eine Komponente, die erst einmal Arbeit produziert, aber sich im Unternehmen dann doch irgendwann bezahlt macht: Consul

Consul ist ein Dienst, der ein eigenständiges Netz (MESH) aufspannt, sowie Daten und einen Service Katalog bereitstellt.
Ohne jetzt allzutief in die Consul Thematiken vorzudringen, gibt es zwei Anwendungszwecke in diesem Setup:

Backend/Frontend Konfiguration für HAProxy
Service Funktion prüfen und bereitstellen

Ich kann dann über eine Weboberfläche, API oder CLI die HA Proxy Konfiguration verändern oder eine Node aus dem Balancer nehmen. Im optimalen Fall nimmt sich ein Backend selbst aus der Konfiguration, wenn der Server zum Beispiel neugestartet wird, und fügt sich anschließend wieder hinzu. Gleiches gilt natürlich, wenn einfach nur der Dienst (z.B: Apache2) kaputt ist.

Für den HAproxy Teil wird consul-template verwendet, der den Consul ausfragt und die neue Konfiguration erstellt. Den Rest erledigt Consul selbst.

Hat man das Konzept erst einmal verstanden, dauert es nicht mehr lang, bis weitere Service Dienste ihren Weg in Consul finden.

Fazit

Im Grunde ist das Konzept krisenfest, da es keinen SPOF gibt. Es gab allerdings zwei Dinge, die uns ein wenig Probleme bereiteten:

Kein ProxySQL: ProxySQL versteht SQL und dient als Vermittler zwischen dem Client (Applikation) und den tatsächlichen Datenbanken. Es können da so Geschichten wie READ/WRITE Splitting erledigt werden und ProxySQL schwenkt auf eine funktionierende Datenbank um, wenn die aktiv benutzte eben nicht mehr aktiv ist.
Leider klappt das nicht mit Icinga2 IDO und Icingaweb2, da ProxySQL einige SQL Kommandos “frisst”, bzw. nicht richtig weiterleitet, weshalb wir mit einer kaputten IDO da standen und einer kaputten Icinga2 Konfiguration.
SELECT * from foo; != OK: Dank BINlogs lief bei uns sehr zügig die Platte voll, weshalb die aktive MariaDB keine Schreiboperationen mehr durchführen konnte, aber lesen ging dafür immer noch(!). Dies hatte zur Konsequenz, dass Icinga2 die IDO nicht befüllen konnte, aber HAProxy/Consul die DB nicht aus dem Balancer nahm, weil der SELECT Test klappte ja noch. Wäre die MariaDB tot gewesen … hätte Consul die HAProxy Konfiguration neu erstellt und ich hätte keine Daten verloren.

Ich werde die nächsten Tage und Wochen mal dieses Konzept im Detail aufschreiben, sodass jeder es später nachvollziehen kann :-)

Pedelec

Wed, 01 May 2019 21:41:32 +0200

Vor einigen Wochen musste ich meinen Resturlaub nehmen und nutze die Zeit, um ein paar kleinere Arbeiten in der Wohnung durchzuführen. Da meine Frau das Auto benötigte, hatte ich nur das Rad um alles zu besorgen.

Fahrrad mit Anhänger, voll mit Blumen

Gerade mit dem Anhänger – selbst wenn dieser leer ist – merkt man schon, dass etwas hinten dranhängt. Also habe ich mir mal das Pedelec vom Schwiegervater ausgeliehen und war begeistert. Zwar ist der Radtyp (für Tiefeinsteiger) nicht meins, aber es war göttlich. Ich bin damit fast täglich zum Baumarkt oder zum Einkaufen gefahren. Mit dem normalen Rad hätte ich schon überlegt .. “Benötige ich das jetzt wirklich?“, oder auch “Warte ich einfach, bis meine Frau wieder da ist?”. Es war einfach selbstverständlich, auf das Rad zu steigen und die Besorgungen zu tätigen.
Für mich war nun klar, ich möchte auch ein Pedelec haben. Das Problem ist nur: welches. Aktuell habe ich ein reguläres 26” MTB und mit meiner Frau, je ein Birdy Touring. Das Birdy nehmen wir mit in den Urlaub, und ich benötige es für die Fahrt zur Arbeit. Daher ist die Frage, welches Pedelec das “Richtige” wäre.
Aktuell bin ich durch Golem auf das Gocyle GX gestoßen. Die GX Variante wäre perfekt für die S-Bahn. Für meine Frau würde die G3 Version ausreichen.

Das Problem wäre nur, das GX ist vermutlich nicht für längere Touren und nur wenig Gepäck geeignet, vermute ich mal. Daher ist es schwierig das Rad zu finden. Ich denke daher, dass ich mir später dann doch noch ein reguläres Pedelec kaufen würde und finde die Räder von ReThink mit ihrem speziellen Motor binova flow® sehr spannend. Die Firma bietet eigene Räder an, oder nur den Motor. Aktuell läuft die Anfrage, ob sich das Birdy damit nachrüsten lässt. Meine Frau mag ihr Birdy, ich dagegen würde es gerne loswerden.

Warten wir mal ab, was es am Ende wird.

Fedora30

Tue, 30 Apr 2019 19:16:50 +0200

Heute ist Fedora 30 erschienen. Gleich mal die Gelegenheit genutzt und sowohl meine VM, als auch den Firmenlaptop von 29 auf 30 gehoben. Hat zwar etwas gedauert, aber ich muss sagen … sauber … Das einzige was ich noch nachträglich wieder installieren musste, war gpgme für Hiera Eyaml:

`1`	`# gem install gpgme`

und schon ging auch mein eyaml edit wieder :-)

Kartoffelbrot

Fri, 19 Apr 2019 17:49:35 +0200

Eigentlich sollte es ja “mein” Hobby werden, aber meine Frau kann das einfach besser. Hier ein Kartoffelbrot, was vor sie vor rund zwei Wochen gebacken hat.

Kartoffelbrot von oben

Kartoffelbrot angeschnitten

Kommentare mit Isso

Sun, 14 Apr 2019 12:18:44 +0200

So ein Blog ohne Kommentare ist ja auch ein wenig trocken. Hugo und das Jane Theme haben zwar Discourse eingebaut, aber nach ein paar Test habe ich es dann doch wieder abgeschaltet. Da wird mir dann doch zu viel ausgelagert. Es gibt zwei guten Seiten, die viele Vor- und Nachteile diverser Systeme auflisten:

Nachdem ich erst Schnack nehmen wollte, bin ich dann doch bei isso gelandet. Irgendwie schien mir die Integration da doch einfacher. Was viele nicht wissen: ich bin Programmier- Legastheniker, was bedeutet, es darf nicht allzu kompliziert werden, das Kommentarsystem zu integrieren. War es auch nicht.

Isso kann man auf diverse Möglichkeiten in Betrieb nehmen:

Als eigener Server (localhost:8181)
- Unterdomain comments.example.com
- Unterordner blog.example.com/comments
Über WSGI

Die Installation habe ich mir von hier geholt (damn pretty easy) und auch ein wenig von hier

Für den Webserver habe ich den Weg des geringsten Widerstands genommen und eine eigene Subdomain verwendet, sowie eine zusätzliche Apache2 Konfiguration.

Mein Isso wurde in /var/www/domain/websites/example.com/isso/ installiert.

<VirtualHost [2a01:7e0:0:213:2::1]:443>

ServerAdmin webmaster@example.com
ServerName comments.example.com
ServerAlias comments.example.com
Alias /.well-known/acme-challenge /var/www/letsencrypt/.well-known/acme-challenge
SSLEngine on
SSLProxyEngine on
SSLCertificateFile "/var/letsencrypt/certs/example.com/fullchain.pem"
SSLCertificateKeyFile "/var/letsencrypt/certs/example.com/privkey.pem"
SSLCipherSuite AES256+EECDH:AES256+EDH
SSLProtocol All -SSLv2 -SSLv3
SSLHonorCipherOrder On
Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains"
Header always set X-Frame-Options DENY
Header always set X-Content-Type-Options nosniff

ProxyPass / http://localhost:8181/
ProxyPassReverse / http://localhost:8181/

ErrorLog /var/www/domain/websites/example.com/log/error-ssl.log
CustomLog /var/www/domain/websites/example.com/log/access-ssl.log combined
</VirtualHost>

Die Konfiguration von isso.cfg sieht dann in etwa so aus:

[general]
dbpath = /var/www/domain/websites/example.com/isso/comments.db

name = isso

host =
    http://www.example.com/
    https://www.example.com/

log-file = /var/www/domain/websites/example.com/isso/isso.log

notify = smtp

[server]
listen = http://localhost:8181/
public-endpoint = https://comments.example.com


[smtp]
host = localhost
port = 25
security = none

to = webmaster@example.com

from = "isso comments" <webmaster@example.com>
timeout = 10

[guard]
enabled = true
ratelimit = 2
direct-reply = 3
reply-to-self = false
require-author = true
require-email = false

[markup]
options = strikethrough, superscript, autolink

[hash]
salt = ZtD.............
algorithm = pbkdf2

[moderation]
enabled=true

Für Jane habe ich dann einfach nur eine Datei mit passendem Inhalt erstellt…:

layouts/partials/comments.html

{{ if .Site.Params.issoHost }}
  <style type="text/css" media="screen">
    .isso section {
      margin: 0px;
    }
  </style>
  <br>
    <div class="isso" id="isso-thread"></div>
    <script
        data-isso="//{{ .Site.Params.issoHost }}/"
        data-isso-css="true"
        data-isso-lang="{{ .Site.LanguageCode }}"
        src="//{{ .Site.Params.issoHost }}/js/embed.min.js"
    ></script>
{{ end }}

und in die Hugo Konfiguration:

config.toml

1
2

[params]
  issoHost = "comments.example.com"

Das war es schon.

Lancom IKEv2 VPN für Apple und Linux

Sun, 07 Apr 2019 16:56:01 +0200

In der Firma haben wir eine FritzBox gegen den Ubiquity EdgeRouter getauscht, der eh ein recht langweiliges Dasein fristete. Der hat eigentlich nur für mich VPN über L2TP bereitgestellt.
Problem war nun also, den VPN Zugang über den Büro LANCOM Router bereitzustellen, ohne diesen Rotz von VPN Client, bei der jeder einzelne Zugang auch noch eine Lizenz nach sich zieht. Versorgt werden muss also MacOS / Fedora / und iOS (Apple, nicht Cisco).
Wenn man also diesen Wizard über LANConfig ausgeführt hat (IKEv2 + PSK), dann sind zwei Dinge wichtig

iOS / MacOS wird die VPN Verbindung nur 8 Minuten halten, weil PFS (Perfect Forward Secrecy) per Default aktiviert ist
Fedora NetworkManager wird sich weigern, da es keine Parameter für “Entfernte Identität” gibt

Für Punkt 1 kann man entweder PFS im LANCOM deaktivieren (Verschlüsselungs- Parameter), oder man installiert sich den “Apple Configurator 2” (gibt es nicht(!) für Windows), erstellt ein Profil und konfiguriert den VPN Zugang dort. Da gibt es nämlich die Möglichkeit PFS (Perfect Forward Secrecy) zu aktivieren. Das Problem kann man dann einfach abspeichern und auf MacOS und iOS importieren. Gleich eins vorweg: Im Configurator 2 bei “Entfernter Identität” besser gleich “%any” eintragen, wenn man Punkt 2 auch noch haben möchte.

Für Punkt 2 habe ich auch eine Weile gebraucht, weil MacOS und iOS zwar klappten, aber über Fedora halt nicht. Für IKEv2 und dem NetworkManager benötigt es folgende Pakete

NetworkManager-strongswan-gnome
strongswan-charon-nm
strongswan
NetworkManager-strongswan

Das erste Paket sollte den Rest nachziehen. Wenn ihr dann über Gnome den Zugang konfiguriert (IKEv2), wird euch der Punkt “Entfernte Identität” fehlen. Den gibt es schlicht nicht. Um dieses Problem zu lösen, müsst ihr im LANConfig unter Authentifizierung bei dem jeweiligen VPN Account, die “lokale Identität” auf Keine stellen.

Zusammengefasst: Für iOS müsst ihr ein Profil über den Configurator 2 erstellen und bei VPN und dem Punkt “Entfernte Identität” “%any” eintragen und zusätzlich PFS aktivieren.
Für Linux NetworkManager (hier Fedora) im LANConfig “Lokale Identität” auf “Keine” stellen. Auf diese Weise kommt ihr mit Apple und Linux NetworkManager ins LANCOM VPN.

Matrix && Mastodon

Sat, 06 Apr 2019 20:16:31 +0200

Eigentlich hatte ich zu diesen beiden Themen längst einen Blogpost geschrieben, aber nichts ins Git überführt. Der Post war mir zu langatmig mit zu viel bla bla.

Matrix

In der Firma hatten (und haben immer noch) wir ständig Probleme mit Skype, was der de facto Standard war, um intern und extern zu kommunizieren. Es ist ein beschissenes Programm, was noch schlechter mit jedem Update wurde. Ein riesiges Problem war vor allem der Internetzugang: Nur über den Proxy (Squid)

Skype hatte immer mehr Probleme, seine Verbindungen aufzubauen, weil Microsoft keinen Wert darauf legt und selbstverständlich immer davon ausgeht, dass die Leute einfach so ins Internet dürfen.
Irgendwann hat es mir gereicht und ich habe nach Alternativen gesucht, um zumindest das interne Problem zu lösen. Abgesehen davon haben die Leute auch nicht kapiert, dass Passwörter und Code nicht darüber zu versenden sind. Eigentlich kamen nur Rocket.chat und Matrix.org in Kombination mit Riot in Frage.
Beide erfüllten die Voraussetzungen:

Ende-zu-Ende Verschlüsselung
OpenSource

Rocket.Chat war/ist für eine Firma eigentlich sinnvoller, allerdings fand ich die Android und iOS Version damals so schrecklich(2017), dass ich nach einer Weile dann doch noch Matrix mit Riot ausprobiert habe, zumal mein Ex-Kollege von TU-Darmstadt / ISP das auch im Einsatz hat. Kann also nicht soo schlecht sein.
Wie auch immer, das ist nun über zwei Jahre her und ich kann sagen: es hat sich gelohnt. Ich betreibe selbst auch einen Matrix (Synapse) Server und der kommuniziert mit dem in der Firma. Wie E-Mail eben.
Zwar gibt es hier und da noch ein wenig zu feilen, vor allem was die Verschlüsselung für die Chat Räume so angeht (so ist zum Beispiel keine Suche möglich), aber Riot hat in den letzten Monaten riesige Sprünge gemacht, sodass ich sagen kann: wir nutzen Skype intern überhaupt nicht mehr. Wobei .. das gilt für uns Sysops/Devops and DBA. Die beim Support nutzen noch Skype, weil die Kunden das so erwarten.

Mastodon

Kennt noch einer Qwitter ? Nein ? Macht nix. Hat sich eh nie wirklich einen Namen machen können. Mastodon dagegen hat durchaus das Zeug gleich neben der Twitter App positioniert zu werden. Technisch ist es wie Matrix / E-Mail. Jeder kann sich einen eigenen Server (Instanz) hinstellen, oder einen der zahlreichen vorhandenen nutzen. Der größte ist https://mastodon.social (vom Erfinder selbst) und im deutschsprachigen Raum dürfte das https://chaos.social sein, vermute ich mal.
Ich habe mir auch einen aufgesetzt, weil ich einen Augenblick Langeweile hatte, unter https://bunt.social . Da sind neben mir noch drei / vier andere drauf, aber es hält sich sehr in Grenzen. Wer in seiner “Timeline” ein wenig mehr Bewegung haben möchte, sollte definitiv eine größere Instanz wählen, sonst verliert man schnell die Lust, an der Twitter Alternative. Ansonsten ist der Umgang untereinander bisher noch angenehm, auch wenn es schon erste Idioten auch in diese Sphäre geschafft haben. Irgendwann wird man auch dort einen Querschnitt der Gesellschaft haben. Einziger Vorteil allerdings: man kann (theoretisch) schneller etwas gegen sie tun.
Immerhin kann ich bereits behaupten, die Spammer / Bots haben mich bereits gefunden und ~30 Accounts erstellt. War etwas mühsam die alle wieder zu löschen.

Auch hier gilt: abwarten, Milch trinken und schauen, was sich da so in den nächsten Jahren entwickelt.

Mainroad Adé, Hallo Jane

Sat, 06 Apr 2019 18:39:48 +0200

Lange Zeit habe ich “meine” RedLady “mitgenommen”, seit rund 2007. Das Bild (Red-Lady) stammt von Mandolux, der schon damals sehr gute Hintergrundbilder für mehrere Bildschirme hervorgebracht hat. Seine ursprüngliche Seite (https://www.mandolux.com/) ist leider sehr geschrumpft und scheint nicht mehr wirklich gepflegt zu werden.

Blog mit Mainroad theme

Das Theme was ich zuletzt verwendet habe, war Mainroad, was sich gut mit der RedLady verstanden hat. Nach so langer Zeit – dominiert von vielen Rottönen – war es mal an der Zeit ein Theme für Hugo zu wählen, welches ein wenig augenfreundlicher ist und weniger Farben beinhaltet. Ich bin auf “Jane” gestoßen, welches mir wirklich sehr gut gefällt. Mal schauen, wie lang das so bleiben wird.

GitLab Pages

Sat, 06 Apr 2019 17:01:42 +0200

In der Firma haben wir ein MediaWiki und so begeistert ich anfangs auch war – was MediaWiki angeht – ich kann es nicht mehr leiden. Es ist beschissen zu pflegen; die Debian Version ist meistens hoffnungslos veraltet und die Plugins sind in der Regel auch … ach lassen wir das.

Egal.

Jeder weiß, wenn ein Wiki als Dokumentationsquelle dienen soll, benötigt es einiges an Disziplin. Die Struktur darf nicht wie Kraut und Rüben wachsen und die Seiten müssen auch (thematisch) gefunden werden können. Die Sache mit der Pflege der Inhalte ist ohnehin ein Thema für sich. Seit langem setzen wir in der Firma GitLab ein, was die Repo Funktion von Redmine ersetzt hat (was eh nur als Frontend dient(e)). GitLab erledigt einfach viele Dinge schöner und bietet auch ein Wiki an, welches auf MarkDown basiert. Allerdings hat es den unschönen “Nachteil”, dass es projektbezogen ist. Das ist oftmals nicht sehr praktisch, wenn die Dokumentation eher übergreifend sein soll.
Ein weiterer Nachteil ist, dass es relativ umständlich erreichbar ist (klick / klick …). Wer als Mitarbeiter nicht drauf hingewiesen wird, sucht an der falschen Stelle, da Markdown auch im regulärem Repo interpretiert wird. Schön ist allerdings, wenn man wirklich das Wiki dort verwendet, ist es ein eigenes (!) Repository, welches per git clone erreichbar ist. Ich machte mich also an die Arbeit, die Mediawiki Seiten nach MarkDown zu konvertieren. Es war eine Drecksarbeit. Die Ursache waren vielfältig. Zum einen haben die wenigsten Kollegen die Wikisyntax beachtet, zum anderen war das Tool um aus dem XML Export Markdown zu erstellen, hoffnungslos überfordert. Auch nicht viel besser war der Umweg über den Import nach DokuWiki(!) und dann via Pandoc nach Markdown. Kleiner Tipp daher: wenn ihr nicht gerade hunderte von Seiten habt, kopiert den Inhalt lieber von Hand und korrigiert/ersetzt die Syntax. Dauert zwar länger, hat aber vier entscheidende Vorteile:

Seiten entstauben, bei denen die Inhalte nicht mehr stimmen
Obsolete Seiten gleich löschen
Eine Struktur reinbringen
Syntax fixen

Nachdem ich also ausgiebig geflucht und konvertiert hatte, stach mir bei irgendeiner Google Suche GitLab “Pages” ins Auge. Im Grunde ist es nichts anderes, als dass GitLab mittels CI/CD einen Seitengenerator aufruft, um aus Markdown Dateien eine statische Seite zu bauen. Diese Seiten sind dann zum Beispiel unter [gruppe].pages.example.com/[projekt]/ zu erreichen. Aktuell habe ich es noch im Experimentier- Stadium, da mir einige Dinge noch nicht gefallen. Ein Grund ist zum Beispiel ein gutes(!) Theme für Hugo zu finden, welches sich für eine Dokumentation eignet. Aktuell bin ich bei https://docdock.netlify.com/ gelandet. Leider habe ich es so angepasst, dass es auf dem Handy nicht mehr zu gebrauchen ist, wegen dem TOC, das nachträglich eingebaut wurde. Wie auch immer. Pages von GitLab ist eine phantastische Lösung um über Git die Dokumentation zu pflegen. Dank meiner privaten Kenntnisse über Hugo, war es noch leichter das ganze zu implementieren. Jetzt muss ich es nur noch den Kollegen schmackhaft machen, dass es sich lohnt mehr Mühe in die Doku zu stecken, und nicht nur einfach ein copy/paste in ein Wiki zu klatschen.

Zurück zum iPhone

Sat, 26 May 2018 01:12:39 +0200

Es war einmal

Am 6. Januar 2016 habe ich mein Fairphone2 erhalten und war erst einmal recht glücklich es in den Händen halten zu dürfen. O.K meine anfängliche Begeisterung hielt sich in Grenzen, denn es lag beschissen in der Hand (zu rutschig) und die Schutzhülle, die gleichzeitig auch die Gehäuseabdeckung ist, war pott häßlich. Aber gut, durchatmen und an die gute Idee glauben (was ich bis heute tue). Leider ist es in den nachfolgenden Monaten nicht wirklich besser geworden. Android ist einfach ein schreckliches Betriebssystem und habe bis heute auch kein Backup gemacht (von Threema abgesehen), wie auch. Man hat sich zwar damit abgefunden und kam damit auch über den Tag … oder zumindest fast. Mein Tag beginnt in der Regel um 6:05 mit dem Aufstehen und dem Abziehen des Telefons vom Ladegerät. Nun sollte man doch eigentlich erwarten, dass es zumindest bis abends hält (~10h). Entweder ich bin ein wirklich sehr ungewöhnlicher Benutzer (Musik / Streaming / Twitter / Mail), bei dem das Handy es kaum bis zur Mittagspause schafft, oder der Akku ist so etwas von unterdimensioniert, dass ein Akkupack eigentlich zum Lieferumfang gehören sollte. Nimmt man sich die diversen Ratschläge um Energie zu sparen zu Herzen und setzt sie um, ist dies gleich bedeutend mit dem Ausschalten des Fairphones, zu mindestens für mich. Fairerweise sollte ich dazu erwähnen, dass die Laufzeit sich vor allem dadurch halbierte, wenn zwei SIM Karten aktiv waren. Mag sein, dass dies bei anderen nicht der Fall ist, Fakt ist jedoch, dass ich mit meinem alten iPhone 4s länger auskam, bei gleicher Nutzungscharakteristik. Auch ein Austausch des Akkus nach rund sechs Monaten half da nicht. Wo ich schon beim Austausch bin: ich habe bereits das dritte Display in meinem Telefon. An für sich eine phantastische Sache, mal eben den Bildschirm zu tauschen, aber nicht die Gründe. Fall Nummer eins war ein Produktionsfehler der noch in der Garantie lag. Fall Nummer zwei war eine tote Linie am Rand, die nicht mehr auf Eingaben reagierte. Immerhin, Bildschirm Nummer drei hält bis heute. Als nächstes wurde das Kameramodul getauscht, da sie nicht mehr fokussierte (Urlaubsbilder adé), was weiter entfernt als 20cm war. Auch das wurde anstandslos getaucht. Mit dem Aufkommen des neuen Moduls mit höherer Auflösung, habe ich nicht lang gefackelt … und wieder einige Monate später sind kaum scharfe Bilder dabei. Über allen liegt ein “Blur” Effekt. In der Sekunde in der die Kamera “auslöst”, wird das Bild unscharf, obwohl es in Echtzeit ganz passabel aussieht. Man gewöhnt sich ja an alles… Der nächste Punkt der unfassbar nervig ist: die ständigen Neustarts … Entweder werden sie durch ein Wackeln des Akkus ausgelöst, einem Bug (zu Anfang mehrmals pro Tag) oder - sehr häufig bei mir - den Ein- Ausschalter unbewußt zu betätigen. Dieser liegt so ungünstig, dass ich es nahezu immer schaffe die Taste beim sitzen zu betätigen, da ich das Telefon immer kopfüber in die Gesäßtasche stecke. Im Grunde gibt es eigentlich nur vier Dinge, die mir am Telefon gut gefallen haben:

Aquamail
Öffi
Echter Firefox mit NoScript
Fairphone Sicherheits- Aktualisierungen

Die oberen Punkte sind alles Android Apps, aber was die Aktualisierungen angeht, da ist das Team rund um das Fairphone wirklich verdammt schnell. Auch meine anfänglichen Bluetoothprobleme und den Kopfhörern, ist weitestgehend behoben worden, innerhalb von rund 2-3 Monaten. Ach, da fällt mir ein: Die Klinkenbuchse war bei mir nahezu unbrauchbar, da sämtliche Kopfhörer permanent Probleme hatten und die Wiedergabe stoppte, oder ich nur auf einer Seite etwas zu hören bekam. Daher war häufiges Drehen des Steckers angesagt. Auch ein negativer Punkt ist die Hülle und auch die Anordnung oder Art der Knöpfe. Die Hülle ist einfach zu glatt und das Telefon rutschte mir häufiger aus der Hand. Die Lautstärke habe ich fast nie über die Knöpfe reguliert, da der Druckpunkt nicht fühlbar ist und auch viel zu fest zu drücken war. Der Knopf für die Kamera konnte nicht unpraktischer konstruiert werden, da der sehr häufig unbewußt ausgelöst wurde, ähnlich wie mit dem Power Button.

Das war nun wirklich eine Menge Text und ich trauere ein wenig, da mir die Idee und die dahinter liegende Philosophie wirklich sehr zusagt, aber was nutzt mir ein Smartphone, welches beim Verlassen des Hauses bereits 10% seines Akkus “verloren” hat, mich mein Gegenüber nicht hört, weil das Mikrophon nicht immer funktioniert, oder ich die Kamera wieder einpacken muss, weil jedes Bild einfach mies aussieht.

Zurück zum iPhone

Donnerstag, 24.05.2018, 17:45: “Ich brauche ein neues Telefon!!!11”

So, oder so ähnlich lautete meine Nachricht an meine Frau, die mir bereits seit Monaten die Erlaubnis gab, mir ein neues Telefon zu kaufen. Bisher konnte ich mich immer dem verwehren, aber als erneut mein Gesprächspartner mich nicht hören konnte, hatte ich keine Lust mehr. Ein iPhone musste (wieder) her. Mir war klar, dass es kein Android werden würde, da ich Android per se nicht mag. Das fängt beim Backup an, geht über das Design und endet irgendwo mit der Sorge, schon nach einem Jahr keine (Sicherheits-) Aktualisieren mehr zu erhalten, weil das nächste “Top” Smartphone herausgekommen ist. Und überhaupt, ich kann Android nicht leiden. Die Frage war nun, welches iPhone. Obwohl, eigentlich war es keine … nur die Farbe:

iRed

Seit nunmehr ein paar Tagen bin ich wieder mit dem iPhone unterwegs. Blöd ist zwar, dass man Threema immer noch nicht Plattform übergreifend sichern und zurückspielen kann, aber es ist ein wirklich gutes Gefühl ohne ruckeln, Neustarts und sonstigen Ärgernis (bisher) einfach ein funktionierendes Smartphone zu haben.

Ich hoffe inständig, dass das Fairphone Team bei dem Fairphone3 diese Fehler nicht wiederholt und wer weiß … (Scherz … kein Android mehr!).

Hugo

Mon, 21 May 2018 01:01:39 +0200

Da ich eh nur noch selten irgend etwas blogge, spielte ich bereits seit längerem mit dem Gedanken mein Wordpress abzuschalten. Durch die neuen Datenschutzbestimmungen wurde das Vorhaben noch befeuert. Als Alternative habe ich Jekyll ausprobiert, was auf den ersten Blick ganz O.K aussah, aber zum einen mag ich Ruby nicht (erst recht nicht unter OSX) und zum anderen waren die Themes zumeist sehr alt oder nicht mein Geschmack. Aktuell werden meine Seiten via Hugo generiert und mit rsync ausgeliefert. Hugo lief einfach so (brew install hugo) und auf dem Server per dpkg -i *.deb. Als Theme nutze ich Mainroad, was meinem alten Wordpress Theme ähnlich sieht. Was leider so garnicht vernünftig geklappt hat, ist der Export/Import der Wordpress-Daten. Der blanke Text ist zwar da, aber die Formatieren sind zumeist kaputt. Einiges ließ sich per find / sed korrigieren, andere Sachen wie Bildlinks etc. nicht. Aktuell habe ich da aber keine Lust, alle Beiträge durchzugehen und zu schauen, was zu fixen wäre. So wichtig ist mir dann das doch nicht.

Meine Vorteile: Die Einträge liegen jetzt im Git. Ich kann lokal auf dem Mac hantieren, oder wenn es mal eilig ist, auch auf dem Server. Ich benötige keine Datenbank mehr und ich verwende praktisch keine externen Resourcen oder Plugins mehr. Aktuell die einzige Ausnahme ist fonts.googleapis.com, das war es auch bereits.

Zpool übertragen

Tue, 07 Nov 2017 23:04:40 +0000

Da ich in die Verlegenheit kam von einer 960GB SSD (Crucial M550) auf eine Samsung 960Pro (890GB) zu migrieren (weil die Crucial mit der I/O Last zu Cron Zeiten nicht mehr zurecht kam), durfte ich einen Zpool übertragen.

Da man das nicht jeden Tag macht, habe ich mir das einmal aufgeschrieben:

https://www.pug.org/mediawiki/index.php/Zpool_migrieren

snmp v3 unter Debian Jessie

Sun, 20 Nov 2016 20:59:13 +0000

Damit ich nicht ständig danach suchen muss:

Das Hilfsprogramm net-snmp-config versteckt sich im Paket libsnmp-dev

1
2

# apt-get install libsnmp-dev
# net-snmp-config --create-snmpv3-user -ro -A 'geheim' -X 'secret' -a SHA -x  AES icinga

Zwei Monate Fairphone2 – Erfahrungsbericht

Mon, 29 Feb 2016 17:32:40 +0000

Nun habe ich das Fairphone2 seit zwei Monaten im Einsatz und von daher kann ich mal meine persönlichen Erfahrungen kundtun.

Als ich im Januar das Handy in den Händen hielt, war mir schon klar, dass ich mich von liebgewonnenen Funktionen und Programmen unter IOS verabschieden muss. Ich bin ein klarer Verfechter vom IOS Benutzerinterface, auch wenn es unter den letzten IOS Versionen etwas an Übersicht verloren hat. Ein Flameware zwischen IOS und Android will ich hier aber nicht starten, da das Telefon doch eher im Vordergrund stehen soll.

Nach der Montage des Akkus und dem Aufsetzen der Hülle, habe ich gleich bemerkt, dass es schwer werden würde, das FP2 mit nur einer Hand zu bedienen. Abgesehen von seinen Dimensionen, ist vor allem der recht ungünstige Schwerpunkt ein Problem, da dieser recht hoch liegt. Hat man das Telefon im unteren Drittel in der Hand und möchte mit dem Daumen obere Bereiche erreichen, passiert es schnell, dass mir das Gerät fast aus der Hand fällt. Erschwerend kommt hinzu, dass die Hülle für mein Empfinden viel zu glatt ist. Meine ausgewählten IPhone 4s Hüllen hatten auch immer die Eigenschaft, nicht aus der Hand zu rutschen. Das Gleiche galt auch für das Ablegen auf z.B. nicht ebenen Oberflächen, wie einem Rucksack. Das FP2 ist mir dadaruch schon mehrfach entglitten und unsanft auf dem Boden gelandet.

Als nicht sonderlich schöne Lösung habe ich mir Sprühgummi gekauft und die Hülle erst komplett mit vier Schichten „eingummiert“, dann zwei Tage später wieder komplett entfernt, nur um dann beim zweiten Versuch nur partiell die Rückseite zu beschichten. Beim ersten Versuch hat sich das Gummi an den Kanten sehr schnell abgelöst und noch häßlichere Blasen erzeugt. Die partielle Beschichtung hält etwas besser, aber auch nur ein paar Tage. Es sieht jetzt bereits nicht mehr schön aus, allerdings erfüllt es noch seinen Zweck.

Kommen wir zu dem eher technischen Kram: Das nahezu erste war das Testen meiner Bluetooth Kopfhörer und wurde sogleich enttäuscht. Dies markiert auch einen Punkt, an dem man den Entwicklern als Kritik mit auf dem Weg geben kann, ihre Hardware/Software besser zu testen. Das Problem ist nähmlich nicht nur, dass das A2DP irgendwie kaputt ist (hoffentlich nur ein Softwareproblem), was dazu führt, dass sehr viele Bluetoothkopfhörer oder Geräte nur stotterndes Audio rausbringen), über flackernde Bildschirme und nicht mehr ansprechbares UI, während es am Ladegerät hängt.

Schaut man sich mal im Faiphone Forum um, fällt einem der nächste gravierende Punkt auf: das FP2 ist verdammt Reboot freudig. Anfangs war das bei mir eher die Ausnahme, mittlerweile habe ich zwischen zwei bis drei Reboots am Tag. Mal mehr, mal weniger. Eventuell liegt es an der SD Karte, oder den zwei (Congster) SIM Karten.

Worauf ich hinaus will ist, dass ich mir nicht vorstellen kann, dass diese Probleme nicht schon während der Entwicklung aufgetreten sind. Dafür treten sie viel zu gehäuft auf. Ich kenne andere Inhaber, mit exakt den gleichen Problemen. Ich und andere Käufer hätten mit Sicherheit kein Problem gehabt, noch ein oder zwei Monate länger zu warten.

Als Fazit kann man nur sagen: man sollte es sich sehr gut überlegen, ob man all diese Probleme auf sich nehmen möchte. Allein die Tatsache, dass ich die Idee sehr gut finde und die Entwickler blutige Anfänger sind (gemessen an den Erfahrungen der restlichen Handy Hersteller), lässt mich meine Toleranzgrenze sehr sehr dehnbar halten. Jedes andere Gerät wäre schon längst wieder zum Hersteller zurückgegangen, oder schlimmer, in die Schublade zum Siemens S65/Nokia E51.

Ich kann nur sehr hoffen, dass mit dem hoffentlich bald kommenden Software Update ein Großteil der Probleme gelöst werden, andernfalls weiß ich nicht, ob ich mir das über Jahre antun möchte.

Landbrot No. 1

Sun, 27 Dec 2015 22:26:37 +0000

Der Kristian hat mal wieder Essen gepostet, allerdings war es dieses Mal Brot von seiner Frau Carola, bzw. einer Vorstufe davon. Ich glaube von da an habe ich beschlossen, selbst unter die Bäcker zu gehen, mit Unterstützung meiner Frau 🙂 Wir haben zwar schon länger einen Brotbackautomaten und diverse Backmischungen, allerdings kommen sie nicht an den Geschmack eines Bäckerbrotes heran. Mittlerweile weiß ich auch warum: Zeit + gutes Mehl fehlen. Da ja gerade Weihnachten war, bekam ich von meiner Frau weiteres Zubehör sowie das Brotbackbuch Nr 1. Dazu gab es dann noch passendes Landbrotmehl. Das erste Brot im Buch ist ein Landbrot und wurde ein voller Erfolg 🙂 Zwar hatte ich den Vorteig mit zuviel Trockenhefe und Roggen- statt Dinkelmehl angesetzt, aber es schmeckt wirklich wie vom Bäcker. Damit ist dann klar, dass ich sehr viel häufiger den Ofen an seine maximale Grenze bringen werde 😉

Elasticsearch Cluster

Fri, 16 Oct 2015 11:31:48 +0000

Da ich in der Firma einen neuen Logserver gebraucht habe (die SPARC (Sun v2xx) Kiste hat jeden Tag einen Reset hingelegt), läuft nun Elasticsearch mit vier Nodes (weil es ging) 🙂

Nach drei Wochen würde ich das aber nicht mehr auf die Reihe bekommen, (Puppet seit Dank), daher doch mal lieber den Weg zu Fuß aufgeschrieben.

https://www.pug.org/mediawiki/index.php/Elasticsearch_Logstash_Kibana_Cluster

Notiz: PDF Kennwort tilgen

Tue, 01 Sep 2015 11:58:33 +0000

Hin und wieder benötigt man das:

1	gs -q -dNOPAUSE -dBATCH -sDEVICE=pdfwrite -sOutputFile=OUTPUT.pdf -c .setpdfwrite -f passwort-pdf.pdf