debinux.de

EHLOcomputer: EHLO git repository

2023-12-16T08:34:00+01:00

Feel free to follow https://github.com/andryyy/ehlocomputer.

More information is about to be released.

I am currently in a kind-of-holiday-mode. :-)

PS: There's a tiny chance I will need to re-init the repository in the next days.

Firefox Nightly Repository für Debian-basierte Systeme vorgestellt

2023-11-07T05:29:00+01:00

Freunde der Sonne, die ihr nach Vitamin D sehnt und vom trüben Herbstwetter enttäuscht seid.

Ich habe eine gute Nachricht: Mozilla hat ein offizielles Firefox Nightly Repository für Debian-basierte Systeme vorgestellt.

Und das schon am 30. Oktober.

OH MY GOOHHHD.

Zwar habe ich darauf nicht mein Leben lang gewartet, mein Tag - oder wenigstens die ersten Minuten dieses Tages - sind gerettet.

Entschuldigt die anstrengende Schreibweise, ich freue mich einfach.

sqlite3 CLI Alternative: litecli

2022-10-06T08:10:00+02:00

Wenn ihr euch schon einmal mit der sqlite3 rumärgern musstet und bislang zu bequem gewesen seid, nehme ich euch nun die Arbeit ab:

Es gibt eine Alternative zu der fürchterlichen CLI: litecli

Das Tool behandelt nicht nur Pfeiltasten korrekt. Es hat viele sehr nützliche Features im Gepäck, darunter Autocomplete, Multiline-Mode und Syntax-Highlighting.

Das Fuzzy-Matching schaut ebenfalls super aus.

sudo apt install litecli

Siehe litecli.com und GitHub dbcli/litecli.

sudo: Aliases beibehalten (Beispiel: `sudo ll`)

2022-07-15T08:15:00+02:00

Nervt: Aliases werden nicht via sudo interpretiert.

Ein Workaround dafür ist, einen Alias für sudo zu setzen, etwa in der Datei /etc/bash.bashrc in Ubuntu/Debian oder lokal via ~/bashrc:

alias sudo='sudo '

Warum das funktioniert, ist hier beschrieben.

Apple iCloud Mail als Relay in OPNsense verwenden

2022-07-12T07:15:00+02:00

Bei Verwendung von iCloud als E-Mail-Relay auf einer OPNsense ist eine Umschreibung des Absenders notwendig, sollte der interne Postfix-Service der Firewall zum Einsatz kommen.

Vorab muss eine App in den Apple-Account Einstellungen erstellt werden, siehe hier.

Apple prüft den Envelope-From in der SMTP-Session (MAIL FROM: X) sowie den From-Header aus dem Inhalt der E-Mail (From: Ich <ich@woanders>) auf eine gültige/dem Account zugeordnete E-Mail-Absenderadresse. Ich kann auch unter Verwendung der eigenen Domain nicht jeden belieben Absender @meinedomain verwenden - finde ich gut.

Ich verwende eine eigene Domain, wenig überraschend debinux.de, via Apple Mail und muss daher den Envelope-From als auch den Header auf meine private E-Mail-Adresse geheim@debinux.de ändern.

Services: Postfix: General

System Hostname
- Der Hostname des Mailservers, in meinem Fall opnsense.hai.internal
System Domain
- In meinem Fall hai.internal
System Origin
- Entspricht dem System Hostnamen opnsense.hai.internal
Trusted Networks
- Hinzufügen von internem Netzwerk, falls gewünscht, etwa 192.168.2.0/24
Smart Host
- Für iCloud [smtp.mail.me.com]:587
Enable SMTP Authentication aktivieren
Authentication Username
Entsprechend dem Login für Apps setzen. In den meisten Fällen ist es die me.com E-Mail-Adresse ohne Domain, also etwa meinbenutzer bei meinbenutzer@me.com
Authentication Password
Entsprechend dem Login des App Passworts setzen

Services: Postfix: Sender Canonical Rewriting

Sender Canonical Rewriting (Umschreibung des Senders beim Eingang der E-Mail) Regel erstellen

Diese Map ist eine regexp Map in Postfix.
- Rewrite From /^.*@.*\.hai.internal/i, um alle E-Mails eines Absenders in meiner lokalen Domain umzuschreiben
- Rewrite To geheim@debinux.de - ich verwende wie eingangs erwähnt meine eigene Domain mit iCloud Mail, daher entspricht der Rewrite To geheim@debinux.de

Services: Postfix: Header Checks

Header Checks (Umschreibung des From: Headers bei Ausgang) Regel erstellen

Ebenfalls eine regexp Map in Postfix.
- Expression /From:.*/ REPLACE From: geheim@debinux.de
- Filter while delivering mail

Andere Einstellungen sind in OPNsense 22.1.10-amd64 nicht zu setzen.

Die E-Mail-Alerts des HAProxys einer OPNsense Firewall werden übrigens auch ohne Rewrites funktionieren, da die Alerts korrekterweise sowohl den Envelope-From als auch den From-Header auf den Wert der in den Einstellungen des Checks definierten E-Mail-Absenderadresse setzen. Puh, was ein Satz.

Noson, der SONOS Controller für Linux

2022-06-24T08:29:00+02:00

Ich habe mit Noson endlich einen SONOS Controller gefunden, der für mich funktioniert.

Super Sache.

Pushover Benachrichtigung bei USB Anschluss

2022-04-08T08:58:00+02:00

Kommt her, meine Kinder, und nehmt euch einen Aluhut.

Mal nicht zu Hause und besorgt, dass jemand den Computer infiltriert?

Ganz schnell und easy, so getestet auf einem Ubuntu Jammy:

sudo apt install python3-pip
pip install pyudev

Eine Datei /usr/local/sbin/pyudev_notify.py anlegen:

#!/usr/bin/env python3

import pyudev
import http.client
import urllib

context = pyudev.Context()
monitor = pyudev.Monitor.from_netlink(context)
monitor.filter_by(subsystem='usb')

for device in iter(monitor.poll, None):
  if device.action == 'add':
    conn = http.client.HTTPSConnection("api.pushover.net:443")
    conn.request("POST", "/1/messages.json",
      urllib.parse.urlencode({
          "token": "APP_TOKEN",
          "user": "USER_TOKEN",
          "message": f"USB Change @ XY: {device}",
      }), {"Content-type": "application/x-www-form-urlencoded"})
    conn.getresponse()

Die Werte APP_TOKEN und USER_TOKEN abändern, ebenso die Nachricht anpassen.

Das Script kann natürlich wesentlich verbessert werden, es ist ziemlich roh.

Die Datei /usr/local/sbin/pyudev_notify.py noch durch chmod 700 /usr/local/sbin/pyudev_notify.py vor fremden Blicken schützen und ausführbar markieren.

Anschließend den Dienst anlegen:

Eine Datei /etc/systemd/system/pyudev_notify.service anlegen:

[Unit]
Description=pyudev_notify
After=network-online.target
Wants=network-online.target systemd-networkd-wait-online.service

[Service]
Type=simple
ExecStart=/usr/local/sbin/pyudev_notify.py

[Install]
WantedBy=multi-user.target

Nun den Dienst aktivieren und starten: systemctl enable --now pyudev_notify.service

Ein paar Ubuntu Dock Quickies mit gsettings

2022-04-05T07:10:00+02:00

Etwas, an das ich mich bei Ubuntu nie gewöhnt habe, ist das Verhalten der Icons im Dock per Standard.

Vielleicht ist das Folgende für den ein oder anderen Leser ebenfalls brauchbar.

# Den Modifier auf ALT zurückstellen (sonst: Super)
gsettings set org.gnome.desktop.wm.preferences mouse-button-modifier '<Alt>'

# Fenster mit Modifier und rechter Maustaste in ihrer Größe ändern
gsettings set org.gnome.desktop.wm.preferences resize-with-right-button true

# Durch einen Klick auf ein Icon im Dock die App minimieren
gsettings set org.gnome.shell.extensions.dash-to-dock click-action 'minimize'

# Durch Scrollen auf einem Icon im Dock durch offene Fenster navigieren
gsettings set org.gnome.shell.extensions.dash-to-dock scroll-action 'cycle-windows'

# Lediglich Icons des aktiven Desktops anzeigen
gsettings set org.gnome.shell.extensions.dash-to-dock isolate-workspaces true

Wenn AnyDesk unter Ubuntu Jammy (Beta) nicht startet

2022-04-02T12:54:00+02:00

...solltet ihr auf eine angepasste Version von AnyDesk für Jammy warten oder eben libpangox-1.0-0 nachinstallieren.

cd
wget http://de.archive.ubuntu.com/ubuntu/pool/universe/p/pangox-compat/libpangox-1.0-0_0.0.2-5ubuntu1_amd64.deb
dpkg -i libpangox-1.0-0_0.0.2-5ubuntu1_amd64.deb

Das war's schon.

Das ist nicht die feine Art, denkt dran.

Meist funktioniert es so lange wie kein autoremove nach dem Upgrade ausführt wurde.

Sollte AnyDesk trotzdem nicht starten, solltet ihr den Client einfach mal durch das Ausführen des Befehls anydesk im Terminal (als Benutzer, nicht als root) starten und auf die Ausgabe achten.

AppImages mit bauh installieren und verwalten

2021-10-16T22:15:00+02:00

Ob AppImage, Flatpak oder Snap; es gilt die Übersicht zu behalten.

Was bei Flatpak und Snap noch aus dem CLI relativ komfortabel gelingt, wird bei AppImages kompliziert.

Ein guter Tipp ist bauh, das sich schnell als Python Anwendung installieren lässt.

Ich habe dafür ein virtualenv unter ~/virtualenvs/bauh verwendet. Wichtig ist, dass die Abhängigkeiten aus der Installationsanleitung vorab installiert wurden.

virtualenv ~/virtualenvs/bauh
cd ~/virtualenvs/bauh ; source bin/activate
pip3 install bauh

Das kann man individuell handhaben. Ich denke, hier hat jeder seine eigene Struktur gefunden.

Unter ~/virtualenvs/bauh/bin/bauh findet sich in meinem Fall nun die Binary, mit der ich einfach ein AppImage "installiere".

Installieren bedeutet in diesem Fall, dass das AppImage nach ~/.local/share/bauh/appimage/installed/ kopiert und unter ~/.local/bin/ entsprechende Links angelegt werden. Im "local share" findet sich zudem ein extrahiertes Logo und Metadaten in Form von JSON.

Praktisch ist, dass bauh Starter unter .local/share/applications/ einrichtet, die bequem im Startmenü auffindbar werden.

fsck via Boot-Parameter

2021-08-25T11:04:00+02:00

Ein Quickie.

Einen FS-Check sowie die Reparatur erzwingen. Geht mit touch /forcefsck, klar, oft viel angenehmer: über die Boot-Parameter des Kernels.

In Grub den Boot-Parameter ändern und fsck.mode=force fsck.repair=yes anhängen, booten, happy sein.

Flatpak: Cursor Theme für Apps lesbar machen

2021-08-23T20:31:00+02:00

Ein Quickie...

App-ID finden:

~$ flatpak list --columns=name,application --app
Name                          Application ID
Delta Chat                    chat.delta.desktop
Pinta                         com.github.PintaProject.Pinta
PDF Arranger                  com.github.jeromerobert.pdfarranger
Flameshot                     org.flameshot.Flameshot
KeePassXC                     org.keepassxc.KeePassXC
Telegram Desktop              org.telegram.desktop

Im User-Kontext Zugriff auf ~/.icons geben: flatpak --user override org.telegram.desktop --filesystem=/home/$USER/.icons/:ro

YogaDNS als flexibler DNS-Client für Windows mit DoH und DoT

2021-08-23T15:16:00+02:00

Gerade zufällig drüber gestolpert: YogaDNS.

Viel einfacher kann die Namensauflösung wohl kaum unter Windows gesteuert werden.

Flatpak-Anwendungen aus CLI verwenden

2021-08-23T10:46:00+02:00

Für mich primär aus einem Grund wichtig: Autostart und Keyboard Shortcuts.

Runtimes interessieren uns herzlich wenig, daher listen wir nur Anwendungen auf.

Der Scope ist per Standard --system. Anwendungen, die in den User-Scope installiert wurden, seht ihr mit --user.

~$ flatpak list --columns=name,application --app
Name                          Application ID
Delta Chat                    chat.delta.desktop
Pinta                         com.github.PintaProject.Pinta
PDF Arranger                  com.github.jeromerobert.pdfarranger
Flameshot                     org.flameshot.Flameshot
KeePassXC                     org.keepassxc.KeePassXC
Telegram Desktop              org.telegram.desktop

Die Application ID ist relevant. Wir starten eine Anwendung wie folgt:

flatpak run org.flameshot.Flameshot

Parameter können beliebig angehangen werden. Im Fall von Flameshot etwa "gui":

flatpak run org.flameshot.Flameshot gui

Kann auch als Alias verwendet (alias flameshot="flatpak run org.flameshot.Flameshot gui") und in die ~/.bashrc eingepflegt werden. Oder welcher Shell ihr auch treu seid...

OpenVPN-Clients: DNS-Einstellungen und Routen ignorieren

2021-08-22T18:05:00+02:00

Es kann durchaus Vorteile haben viele oder gar alle Anfragen über einen vertrauten Tunnel zu schicken.

Bevorzugen und empfehlen möchte ich, die weiterzuleitenden Zonen oder Hosts selber auszuwählen und an entsprechender Stelle einzupflegen (Stichwort DNS-Overrides).

Weiterhin ist es ratsam nicht den gesamten Traffic über ein VPN-Profil zu jagen und stattdessen auszuwählen, welche Routen man tatsächlich haben möchte.

In einer OpenVPN-Konfigurationsdatei hängt ihr ab Version 2.4 Folgendes an, um DNS-Servervorgaben zu unterbinden: pull-filter ignore "dhcp-option DNS"

"For the sake of completeness" noch das Filtern der Routen... :)

pull-filter ignore redirect-gateway
pull-filter ignore "route "

Es ist sogar möglich einzelne Routen - falls vorhanden - zu akzeptieren:

pull-filter accept "route 192.168."

Ansonsten nehmt ihr den manuellen Weg und fügt die Routen selber hinzu.

Die Sache erübrigt sich natürlich, wenn ihr den VPN-Server selber in der Hand habt...

DNS über TLS, DNS over HTTPS

2021-08-22T16:44:00+02:00

Neben Suchanfragen via GET-Methode gehört auch DNS zu einem ewigen Klassiker für Daten-Leaks.

Da keiner Netzwerkschnüffler mag, verwendet man heute DNS-over-TLS. Neben einem TLS-Kanal auf Port 853 funktioniert das übrigens auch mit etwas mehr Overhead über HTTPS, es scheint mir aber so, als sie hat sich alles in Richtung DNS-over-TLS entwickelt, hm, abwarten. Update: Ich muss die Aussage zumindest teilweise revidieren, denn wie es scheint, sind beide mindestens gleichauf.

Eine Liste zu pflegen wäre zu viel Aufwand und redundant. Schaut einfach hier.

Privat vertraue ich meinem Netzwerk bis zur OPNsense. Ab hier geht es weiter via DNS-over-TLS. Mit OPNsense in der Version 21.7 gibt es nun auch die Möglichkeit einen Servernamen zu validieren:

https://twitter.com/DKaufmann_/status/1421023327762751489

Da Mozilla DNS-over-HTTPS anstrebt, findet ihr in den Verbindungseinstellungen die Möglichkeit einen DNS-over-HTTPS Server zu hinterlegen, schöne Sache!

An dieser Stelle sei auch ein kleiner Verweis erlaubt: https://www.dnshome.de/ - schaut es euch an!

Firefox Next ohne Branding auf Linux Mint

2021-08-22T16:21:00+02:00

Ich möchte Firefox Next auf einem Linux Mint 20.x installieren.

Das Mint-Branding vom Firefox sorgte für Überraschungen. Es bewirkt beispielsweise, dass Suchvorschläge mit Startpage nicht funktionieren, was an den Standard "searchplugins" liegen könnte. Sehr ärgerlich, nicht weiter debugged, denn - Punkt zwei: Ich mag den Browser lieber so, wie Mozilla ihn mir gibt. Das soll meine Basis sein.

# Firefox schließen und nochmal nachtreten. :)
sudo kill -9 $(pgrep firefox)

# Firefox entfernen
sudo apt purge firefox 'firefox-locale*' xul-ext-ubufox

# Vorhandene lokale Daten löschen, falls gewünscht
cd ; rm -rf .mozilla .cache/mozilla

# Linux Mint Branding-Reste entfernen
sudo rm -rf /usr/lib/firefox /usr/lib/firefox-addons/

# Neues Branding verhindern (wird IMMER angewendet, wenn Datei vorhanden! Daher löschen!)
sudo mv /usr/share/ubuntu-system-adjustments/firefox/ /usr/share/ubuntu-system-adjustments/firefox_backup

# Repository hinzufügen
sudo add-apt-repository ppa:mozillateam/firefox-next
sudo apt update

# Firefox aus PPA bevorzugen
sudo bash -c 'cat << EOF > /etc/apt/preferences.d/mozilla-next.pref
Package: *
Pin: release o=LP-PPA-mozillateam-firefox-next
Pin-Priority: 800
EOF'

OCR per Rechtsklick auf Dokument in Nemo ausführen

2021-08-17T12:35:00+02:00

Was passiert?

Es wird eine Rechtsklick-Aktion zu Nemo (Linux Mint Datei-Manager) hinzugfügt, die eine oder mehrere Bilder (Scans) begradigt, zu PDFs konvertiert, OCR (Texterkennung) ausführt und anschließend:

pro Bild eine PDF erstellt und behält.
alle PDFs zu einer großen PDF zusammenführt.

Das ist, was ich benötige. Wenn ihr die einzelnen PDFs nicht benötigt oder das Zusammenführen auslassen möchtet, passt gerne das Script an.

Wie es geht...

Zuerst das Script für das Verarbeiten der Bilder erstellen: /usr/local/bin/nemo_ocr

#!/bin/bash

cd "$1"
shift

while ((${#})); do
  IFS=';' read -a files <<<"${1}"
  for word in "${files[@]}"; do
    deskew -b ffffff "${word}" -o "${word}_deskew.jpg"
    tesseract "${word}_deskew.jpg" "${word}_ocr" -l deu pdf
    rm "${word}_deskew.jpg"
  done
  shift
done

# Auskommentieren, wenn keine kombinierte PDF benötigt wird.
pdftk *_ocr.pdf cat output combined_$(date +"%Y_%m_%d_%I_%M").pdf

Anschließend ausführbar markieren: chmod +x /usr/local/bin/nemo_ocr

Nun das Script für die Nemo Aktion anlegen:

cd ~/.local/share/nemo/actions
cat << EOF > OCR.nemo_action
[Nemo Action]
Active=true
Name=OCR zu PDF (deu)
Comment=OCR auf Dokument ausführen und PDF erstellen (deu)
Exec=/usr/local/bin/nemo_ocr "%P" "%F"
Icon-Name=pdf
Selection=any
Extensions=any
EscapeSpaces=false
Separator=;
EOF

Diese Action kann entsprechend auf Extensions limitiert werden (Extensions=jpeg;jpg;png; etwa).

Benötigt selbstverständlich die jeweiligen Pakete:

sudo apt-get install tesseract-ocr tesseract-ocr-deu pdftk

tesseract-ocr-deu steht dabei für das deutsche Sprachpaket. Mit pdftk werden PDFs verändert - in dem Fall zusammengefügt.

deskew findet ihr hier. Einfach entpacken und die deskew Datei aus dem Bin Verzeichnis nach, beispielsweise, /usr/local/bin kopieren und ausführbar markieren.

Mehr zu den Nemo Actions hier.

HEIC Dateien in Linux Mint/Ubuntu Bildbetrachter öffnen und Thumbnails anzeigen

2021-08-17T11:15:00+02:00

Update vom 08. Nov 2021: Zeigt zudem Thumbnails in Nautilus an.

sudo apt install heif-gdk-pixbuf heif-thumbnailer libheif1

Das war's schon ...weiterlesen

iCloud, OneDrive: Attribut "Always keep on device" per PS setzen

2021-06-06T09:19:00+02:00

Da es scheinbar vorkommt, dass Dateien trotz Wunsch zur lokalen Verfügbarkeit nicht heruntergeladen werden, habe ich mir kurzerhand die Attribute der Dateien angeschaut, verglichen und festgestellt, dass OneDrive als auch iCloud das Attribut "525344" bzw. "0x00080420" setzen, wenn "Always keep on this device" gesetzt ist.

Das Attribute für "Free up space" ist demnach wohl "5248544" bzw. "0x5248544", das habe ich jedoch nicht weiter getestet.

Um alle nicht sofort lokal verfügbaren Dateien anzupassen, habe ich mir folgendes Script erstellt:

get-childitem $env:userprofile'\Pictures\iCloud Photos\Photos' -Force -File -Recurse -Include *heic,*jpg,*jpeg,*png,*gif,*mp4,*mov | where Attributes -ne '525344' | foreach {
    $prop = Get-ItemProperty -Path $_.fullname
    $prop.Attributes = $prop.Attributes -bor 525344
}

Ein Aufgabenplaner-Job könnte so aussehen:

[...]
    <Exec>
      <Command>powershell</Command>
      <Arguments>-executionpolicy bypass -file c:\fix_sync_icloud.ps1</Arguments>
    </Exec>
[...]

IPv6 Prefix via Nginx, LUA und einem einfachen Bash-Script ausgeben (ohne PHP)

2021-04-30T23:33:00+02:00

Hi,

ein Snippet (mal wieder). Daher ganz kurz und knapp.

Unter Debian benötigt ihr die Pakete nginx-full sowie subnetcalc, da hier die entsprechenden LUA Module vorhanden sind. Wer ganz wild drauf ist, kompiliert es sich nach... :)

In der entsprechenden Site-Konfiguration:

  location / {
    default_type 'text/plain';
    content_by_lua_block {
        local handle = io.popen("/opt/ip6_prefix.sh")
        local result = handle:read("*a")
        handle:close()
        ngx.header.content_type = "text/plain"
        ngx.say(result)
    }
  }

Das Script /opt/ip6_prefix.sh:

PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
subnetcalc $(curl -6 ip6.mailcow.email -s) 64 -n | grep Network | cut -d= -f2 | tr -d '[:space:]'

Anschließend als ausführbar markieren durch chmod +x /opt/ip6_prefix.sh

Firefox: Einzelne Zonen über IPv4 auflösen

2021-04-30T23:26:00+02:00

Hi,

ein kleines Snippet...

Zuerst about:config öffnen, anschließend:

network.dns.ipv4OnlyDomains = .netflix.com,.google.com

for-loop zum Mounten vor chroot

2021-04-01T17:35:00+02:00

# for i in proc sys dev; do mount --rbind /$i /mnt/$i ; done

Scharmlos geklaut aus dem SUSE Wiki. :)

Dateiberechtigungen sichern

2021-02-16T11:12:00+01:00

Ein kleiner Helfer, der gerne beim Backup vergessen wird: getfacl - get file acl. Das Tool sichert die Dateiberechtigungen (auch rekursiv: -R):

getfacl -R /ein/pfad > acl_ein_pfad_$(date +"%d.%m.%Y_%H%M").acl

Und zurück:

setfacl --restore=datei.acl

Für Debian und Ubuntu lautet der Paketname "acl".

Windows DNS Cache deaktivieren/aktivieren

2021-02-01T11:35:00+01:00

Deaktivieren:

reg add "HKLM\System\CurrentControlSet\Services\Dnscache" /v "Start" /t REG_DWORD /d "4" /f

Aktivieren:

reg add "HKLM\System\CurrentControlSet\Services\Dnscache" /v "Start" /t REG_DWORD /d "2" /f

GoCryptFS kompilieren (für HW-beschleunigtes AES) und Systemd Dienst einrichten

2020-08-10T12:23:00+02:00

Wichtig: Nach der Initialisierung den Master-Key sicher speichern!

# 1.
yum install openssl-devel fuse

# 2.
go get -d github.com/rfjakob/gocryptfs
cd $(go env GOPATH)/src/github.com/rfjakob/gocryptfs
./build.bash
cp gocryptfs /usr/local/bin/

# 3.
mkdir -p /data/{crypted,decrypted}

# 4.
if [ ! -f /data/crypted/gocryptfs.conf ]; then
  if ! gocryptfs -init /data/crypted; then
    echo "cannot init /data/crypted directory, skipping"
  fi
else
  echo "/data/crypted is an initialized gocryptfs directory"
fi

# 5.
systemctl stop gocryptfs

# 6.
cat << 'EOF' > /etc/systemd/system/gocryptfs.service
[Unit]
Description=gocryptfs Mount Unit
Requires=network.target local-fs.target
After=network.target local-fs.target
[Service]
Type=forking
ExecStart=/usr/local/bin/gocryptfs -extpass "systemd-ask-password GoCryptFS:" -allow_other /data/crypted/ /data/decrypted/
Restart=on-failure
RestartSec=5
[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
# Do not start on boot
systemctl disable gocryptfs

# 7.
until systemctl start gocryptfs; do
  sleep 1
done

Rsyslog: via UDP erhaltene Logs in eine Datei schreiben

2020-05-29T15:45:00+02:00

$template RemoteUDP,"/var/log/remote-udp.log"
:inputname, isequal, "imudp" ?RemoteUDP
& ~

& ~ beendet die Verarbeitung der Regel.

Template Zammad Reverse Proxy mit Apache

2020-01-16T12:10:00+01:00

<VirtualHost *:80>
  ServerName ticket.domain.tld
  RewriteEngine on
  RewriteCond %{HTTPS} !=on
  RewriteRule ^/?(.*) https://%{HTTP_HOST}/$1 [R=301,L]
  ProxyPass / http://127.0.0.1:8090/
  ProxyPassReverse / http://127.0.0.1:8090/
  ProxyPreserveHost On
  ProxyAddHeaders On
  RequestHeader set X-Forwarded-Proto "http"
</VirtualHost>
<VirtualHost *:443>
  ServerName ticket.domain.tld
  ProxyPass /ws ws://127.0.0.1:8090/ws
  ProxyPassReverse /ws ws://127.0.0.1:8090/ws
  ProxyPass / http://127.0.0.1:8090/
  ProxyPassReverse / http://127.0.0.1:8090/
  ProxyPreserveHost On
  ProxyAddHeaders On
  RequestHeader set X-Forwarded-Proto 'https'env=HTTPS
  RequestHeader set X-Forwarded-Ssl on
  SSLCertificateFile /etc/letsencrypt/live/ticket.domain.tld/fullchain.pem
  SSLCertificateKeyFile /etc/letsencrypt/live/ticket.domain.tld/privkey.pem
Include /etc/letsencrypt/options-ssl-apache.conf
</VirtualHost>

Rspamd: Subject umschreiben und Reply-To hinzufügen

2019-12-28T22:26:00+01:00

Ändert Subject auf "[Tag] Altes-Subject" und fügt einen Reply-To "moo@moo.com" hinzu.

Die alten Headerfelder werden vorher entfernt.

Nur ein Snippet.

remove_headers { X = 0 } sollte alle Header entfernen, nicht nur den ersten. Beim Subject und Reply-To eher unnötig.

rspamd_config:register_symbol({
  name = 'SUBJECT_REWRITE_ADD_HEADER',
  type = 'postfilter',
  callback = function(task)
    local util = require("rspamd_util")
    local rspamd_logger = require "rspamd_logger"
    local mailcow_domain = task:get_symbol("RCPT_MAILCOW_DOMAIN")
    if mailcow_domain then
      local tag = "Tag"
      rspamd_logger.infox("add fancy list header")
      local sbj = task:get_header('Subject')
      new_sbj = '=?UTF-8?B?' .. tostring(util.encode_base64('[' .. tag .. '] ' .. sbj)) .. '?='
      task:set_milter_reply({
        remove_headers = {
          ['Subject'] = 1,
          ['Reply-To'] = 1,
        },
        add_headers = {
          ['Subject'] = new_sbj,
          ['Reply-To'] = 'moo@moo.com'
        }
      })
    end
  end,
  priority = 11
})

Rspamd: Ratelimit-Überschreitung in Slack Channel teilen

2018-12-16T10:49:00+01:00

Hallo,

Long time no read.

Mehr ein Snippet als ein echter Beitrag.

Verwendet wird der der metadata_exporter von Rspamd. Eine Mail wird gesendet, wenn das Ratelimit auslöst und die Mail von einem authentifizierten Benutzer kommt. Das kann im LUA-Script entsprechend angepasst werden.

Hier die "local.d/metadata_exporter.conf":

rules {
  RLINFO {
    backend = "send_mail";
    smtp = "localhost";
    smtp_port = 25;
    mail_to = "ratelimit@localhost";
    selector = "ratelimited";
    formatter = "email_alert";
  }
}
custom_select {
  ratelimited = <<EOD
return function(task)
  local ratelimited = task:get_symbol("RATELIMITED")
  local uname = task:get_user()
  if uname and ratelimited then
    return true
  end
  return
end
EOD;
}

Und die entsprechende "local.d/ratelimit.conf", um das Info-Symbol zu setzen:

info_symbol = "RATELIMITED";

In diesem Beispiel pipe ich es via ratelimit@localhost an ein Python-Script, das die Nachricht an einen Slack Channel sendet:

Das Alias sieht dann etwa so aus:

ratelimit:      |/usr/local/bin/slack_alert.py

Das Python Script /usr/local/bin/slack_alert.py:

#!/usr/bin/env python

import json
import requests
import sys
import email

webhook_url = 'https://hooks.slack.com/services/AAAAAAAA/BBBBBBB/CCCCCCCCCCCCCCCCCCCCCCC';
slack_data = sys.stdin.read()
if not slack_data:
  print "No data"
  exit

msg = email.message_from_string(slack_data)

response = requests.post(
    webhook_url, json={"text": msg.get_payload()},
    headers={'Content-Type': 'application/json'}
)
if response.status_code != 200:
    raise ValueError(
        'Request to slack returned an error %s, the response is:\n%s'
        % (response.status_code, response.text)
)