How this website was made?

Automation is the key. I do not want to write a single line of html or some other annoying syntax ready to be presented to the crowds. Instead, I find it more productive and less time consuming to come up with simplest possible source format, and convert that to whatever format is needed with simple script. For this site I spent about 45 minutes and invented a jnz file format along with a simple perl tool to convert it to html.

Below are the tool, the needed files and a live source code for one of the pages of this site to show how these pages was made. jnz_to_html.pl script is handy to produce static html pages from very simple jnz file format. As said, jnz is made by me in a hurry for my own needs, so please do not take it too serious or consider it as general purpose file format. You are welcome to use it how ever you like or develop it further if you want. If it wrecks everything and ruins your life, dont blame me. Use it at your own risk.

jnz_to_html.pl

This is the perl script to produce static html pages from jnz formatted file.

#!/usr/bin/env perl
 #
 # Convert jnz to html.
 #
 # Copyright (c) Jani Salonen <salojan at goto10 piste co>
 #
 
 %HTML_BEG = (
 	"^!h1 +" => "<h1>",
 	"^!h2 +" => "<a name=\"__HREF__\"></a><h2>",
 	"^!h3 +" => "<h3>",
 
 	"^!> +" => "",
 
 	"^\\+" => "<p class=\"par_txt\">",
 	"^-" => "</p>",
 
 	"!\\+b" => "<b>",
 	"!-b" => "</b>",
 	"!\\+i" => "<i>",
 	"!-i" => "</i>",
 	"!\\+u" => "<u>",
 	"!-u" => "</u>",
 
 	"!\\+code" => "<textarea cols=0 rows=0 wrap=\"off\">",
 	"!-code" => "</textarea>",
 	"!\\+pre" => "<pre>",
 	"!-pre" => "</pre>"
 );
 
 %HTML_END = (
 	"<h1>" => "</h1>",
 	"<h2>" => "</h2>",
 	"<h3>" => "</h3>"
 );
 
 %REFS = ();
 
 if(@ARGV < 1) {
 	print STDOUT "Usage: " . $0 . " FILE.jnz" . "\n";
 
 	exit(0);
 }
 
 &jnz_html({ jnz => $ARGV[0] });
 
 exit(0);
 
 
 #
 # Handle page contents
 #
 sub jnz_html() {
 	my ($arg) = @_;
 
 	# Create html link hash for later use in paragraphs
 	if(open(REFS, "html_refs.txt")) {
 		my @r = <REFS>;
 
 		foreach my $r (@r) {
 			next if($r =~ /^#/);
 
 			$r =~ s/\r$|\n$//;
 
 			my ($e, $f) = split(/\|/, $r, 2);
 
 			$REFS{$e} = $f;
 		}
 
 		close(REFS);
 
 		undef @r;
 	}
 
 	my @j = ();
 
 	&jnz_html_head({ txt => "html_head.txt", jnz => $arg->{jnz} });
 
 	my $p = &jnz_open({ fle => $arg->{jnz} });
 	my $o = 0;
 
 	foreach my $c (@$p) {
 		next if($c =~ /^#/);
 
 		$c =~ s/\r$|\n$//;
 
 		if($o == 1) {
 			# Do not make jnz formatting when we are between code- or pre-tags
 			if($c !~ /^!-code$/ && $c !~ /^!-pre$/) {
 				$c =~ s/&/\&amp;/g;
 				$c =~ s/</\&lt;/g;
 				$c =~ s/>/\&gt;/g;
 				$c =~ s/"/\&quot;/g;
 				$c =~ s/'/\&#39;/g;
 
 				print STDOUT $c . "\n";
 
 				next;
 			}
 
 			$o = 0;
 		}
 		elsif($o == 2) {
 			# Parse links and color codes only when we are in paragraph
 			while((my $e, $f) = each %REFS) {
 				$c =~ s/^$e|\s$e/<a target="_blank" href="$f">$&<\/a>/gi;
 			}
 
 			if($c =~ /#[0-9a-f]{6}/i) {
 				$c =~ s/#[0-9a-f]{6}/$&/gi;
 			}
 		}
 
 		if($c =~ /^!/ || $c =~ /^\+$/ || $c =~ /^-$/) {
 			# If this tag is starting code- or pre-tag, dont do formatting in next iteration
 			$o = 1 if($c =~ /^!\+code$/ || $c =~ /^!\+pre$/);
 
 			# If this tag is starting or ending paragraph, switch link parsing in next iteration
 			$o = 2 if($c =~ /^\+$/);
 			$o = 0 if($c =~ /^\-$/);
 
 			while((my $k, $v) = each %HTML_BEG) {
 				if($c =~ /$k/) {
 					# h2 titles must be saved for later use in link area
 					if($c =~ /^!h2\s+/) {
 						my ($j, $d) = split(/\|/, $c, 2);
 						my $n = int(@j + 1);
 
 						$c = $j;
 						$c =~ s/$k/$v/;
 						$c =~ s/__HREF__/$n/;
 						$c .= "</h2>";
 
 						push @j, $d;
 					}
 					# Handle links
 					elsif($c =~ /^!>\s+/) {
 						$c =~ s/^!>\s+//;
 
 						my ($j, $d) = split(/:/, $c, 2);
 
 						$c = "<a target=\"_blank\" href=\"" . $d . "\">" . $j . "</a>";
 					}
 					else {
 						$c =~ s/$k/$v/;
 						$c =~ s/$/$HTML_END{$v}/ if($HTML_END{$v});
 					}
 
 					print STDOUT $c . "\n";
 				}
 			}
 		}
 		else {
 			print STDOUT $c . "\n";
 		}
 	}
 
 	&jnz_html_foot({ txt => "html_foot.txt", jmp => \@j });
 }
 
 #
 # Handle page header part
 #
 sub jnz_html_head() {
 	my ($arg) = @_;
 
 	my $p = &jnz_open({ fle => $arg->{txt} });
 
 	foreach my $c (@$p) {
 		$c =~ s/\r$|\n$//;
 
 		if($c =~ /__PAGE__/) {
 			# Replace page title only if title file is present
 			if(open(PAGE, "html_page.txt")) {
 				my $t = $arg->{jnz};
 
 				$t =~ s/^.*\///;
 				$t =~ s/\..*$//;
 
 				while(my $n = <PAGE>) {
 					$n =~ s/\r$|\n$//;
 
 					my ($e, $f) = split(/\|/, $n, 2);
 
 					if($e eq $t) {
 						$c = $f;
 
 						last;
 					}
 				}
 
 				close(PAGE);
 			}
 		}
 		elsif($c =~ /__LINK__/) {
 			$c = `./jnz_to_link.pl`;
 		}
 
 		print STDOUT $c . "\n";
 	}
 }
 
 #
 # Handle page footer part
 #
 sub jnz_html_foot() {
 	my ($arg) = @_;
 
 	my @j = @{ $arg->{jmp} };
 	my $p = &jnz_open({ fle => $arg->{txt} });
 
 	foreach my $c (@$p) {
 		$c =~ s/\r$|\n$//;
 
 		if($c =~ /__JUMP__/) {
 			print STDOUT "<ul>" . "\n";
 
 			for(my $i = 0; $i < @j; $i++) {
 				if($j[$i] && $j[$i] ne "") {
 					print STDOUT "\n" . "<li class=\"menu\">" . "\n";
 					print STDOUT "<a href=\"#" . int($i + 1) . "\" class=\"menuitem\">" .
 						$j[$i] . "</a>" . "\n";
 
 					print STDOUT "</li>" . "\n";
 				}
 			}
 
 			print STDOUT "</ul>" . "\n";
 		}
 		else {
 			print STDOUT $c . "\n";
 		}
 	}
 }
 
 sub jnz_open() {
 	my ($arg) = @_;
 
 	open(FILE, $arg->{fle}) || &msg_warn({ msg => "Failed to open " . $arg->{fle} . ": " . $!, hup => 1 });
 
 	my @r = <FILE>;
 
 	close(FILE);
 
 	return \@r;
 }
 
 sub msg_warn() {
 	my ($arg) = @_;
 
 	print STDERR $0 . ": " . $arg->{msg} . "." . "\n";
 
 	exit($arg->{hup}) if($arg->{hup} && $arg->{hup} != 0);
 }

html_head.txt

This is the html header part to be included by jnz_to_html.pl in top of generated html page.

<!DOCTYPE html>
 
 <html lang="fi">
 
 <head>
 <meta http-equiv="x-ua-compatible" content="IE=edge">
 <meta http-equiv="x-dns-prefetch-control" content="on">
 <meta http-equiv="Content-Type" content="text/html;charset=UTF-8">
 <meta name="author" content="Jani Salonen">
 <meta name="distribution" content="global">
 <meta name="robots" content="index,follow">
 <meta name="viewport" content="width=device-width, initial-scale=1.0">
 <meta name="google" content="notranslate">
 <meta name="format-detection" content="date=no">
 <meta name="format-detection" content="telephone=no">
 <meta name="theme-color" content="#377e9b">
 <meta name="apple-mobile-web-app-status-bar-style" content="#377e9b">
 <meta name="msapplication-navbutton-color" content="#377e9b">
 <meta name="msapplication-tilecolor" content="#377e9b">
 <link rel="manifest" href="/manifest.webmanifest">
 <link rel="stylesheet" type="text/css" href="/html/css/default.css" title="default" media="screen">
 <link rel="shortcut icon" href="/favicon.ico" type="image/x-icon">
 <link rel="icon" href="/favicon.ico" type="image/x-icon">
 
 <title>
 __PAGE__
 </title>
 </head>
 
 <body>
 
 <div id="link_area">
 __LINK__
 </div>
 
 <div id="main_area">

html_foot.txt

This is the html footer part to be included by jnz_to_html.pl in bottom of generated html page.

html_page.txt

These are titles for each page, used in html header part above.

html_link.txt

These are the links and menu structure for menu bar in upper left corner of the page, converted automatically by jnz_to_html.pl.

Blogi|>
 C-struktuurin tulostus|!/html/blogi_06_fin.html
 Uusi työasema|!/html/blogi_05_fin.html
 Detroit engine|!/html/blogi_04_fin.html
 Jalanjälkien piilotusta|!/html/blogi_03_fin.html
 Varmuuskopiointia|!/html/blogi_02_fin.html
 Opensource-hostausta|!/html/blogi_01_fin.html
 Blogi|<
 Trips|>
 Asunción, 2020|!@/html/flags/flags-iso/16/PY.png@/gallery/as_mar_2020.html
 London, 2020|!@/html/flags/flags-iso/16/GB.png@/gallery/lo_feb_2020.html
 -|
 Riga, 2019|!@/html/flags/flags-iso/16/LV.png@/gallery/ri_aug_2019.html
 Bogotá, 2019|!@/html/flags/flags-iso/16/CO.png@/gallery/bo_jun_2019.html
 -|
 Leiden, 2018|!@/html/flags/flags-iso/16/NL.png@/gallery/le_aug_2018.html
 Bremen, 2018|!@/html/flags/flags-iso/16/DE.png@/gallery/br_apr_2018.html
 Adeje, 2018|!@/html/flags/flags-iso/16/ES.png@/gallery/ae_feb_2018.html
 -|
 Ghent, 2017|!@/html/flags/flags-iso/16/BE.png@/gallery/ge_aug_2017.html
 Salzburg, 2017|!@/html/flags/flags-iso/16/AT.png@/gallery/sa_apr_2017.html
 -|
 Prague, 2016|!@/html/flags/flags-iso/16/CZ.png@/gallery/pr_aug_2016.html
 Pula, 2016|!@/html/flags/flags-iso/16/HR.png@/gallery/pu_aug_2016.html
 Venice, 2016|!@/html/flags/flags-iso/16/IT.png@/gallery/ve_aug_2016.html
 -|
 Budapest, 2015|!@/html/flags/flags-iso/16/HU.png@/gallery/bu_aug_2015.html
 Buenos Aires, 2015|!@/html/flags/flags-iso/16/AR.png@/gallery/ba_feb_2015.html
 Colonia del Sacramento, 2015|!@/html/flags/flags-iso/16/UY.png@/gallery/co_feb_2015.html
 -|
 Amsterdam, 2014|!@/html/flags/flags-iso/16/NL.png@/gallery/am_jun_2014.html
 Liverpool, 2014|!@/html/flags/flags-iso/16/GB.png@/gallery/lv_jun_2014.html
 Paris, 2014|!@/html/flags/flags-iso/16/FR.png@/gallery/pa_may_2014.html
 -|
 Copenhagen, 2013|!@/html/flags/flags-iso/16/DK.png@/gallery/cp_dec_2013.html
 Buenos Aires, 2013|!@/html/flags/flags-iso/16/AR.png@/gallery/ba_apr_2013.html
 -|
 Helsinki|!@/html/flags/flags-iso/16/FI.png@/gallery/he_xxx_xxxx.html
 Trips|<
 Sources|/html/howto_eng.html

html_refs.txt

These are the links to external web pages, included automatically by jnz_to_html.pl if any of the keywords appears in paragraphs.

#
 # Links
 #
 Apache|http://httpd.apache.org
 Detroit|http://detroit.sourceforge.net
 FreeBSD|http://www.freebsd.org
 Gnome|http://www.gnome.org
 Linux|http://www.kernel.org
 KDE|http://www.kde.org
 NetBSD|http://www.netbsd.org
 OpenBSD|http://www.openbsd.org
 OpenLDAP|http://www.openldap.org
 OpenSSH|http://www.openssh.com
 OpenSSL|http://www.openssl.org
 PortAudio|http://www.portaudio.com
 PulseAudio|http://www.freedesktop.org/wiki/Software/PulseAudio
 Sourceforge|http://sourceforge.net
 Subversion|http://subversion.apache.org
 SVN|http://subversion.apache.org
 OpenVPN|http://openvpn.net
 Xlib|http://www.x.org
 #
 # Manpages
 #
 dump|http://www.freebsd.org/cgi/man.cgi?dump
 fsck|http://www.freebsd.org/cgi/man.cgi?fsck
 geli|http://www.freebsd.org/cgi/man.cgi?geli
 ipfilter|http://www.freebsd.org/cgi/man.cgi?ipfilter
 ipfw|http://www.freebsd.org/cgi/man.cgi?ipfw
 iptables|http://ipset.netfilter.org/iptables.man.html
 pf|http://www.freebsd.org/cgi/man.cgi?pf
 pf.conf|http://www.freebsd.org/cgi/man.cgi?pf.conf
 rc.conf|http://www.freebsd.org/cgi/man.cgi?rc.conf
 restore|http://www.freebsd.org/cgi/man.cgi?restore
 rsync|http://www.freebsd.org/cgi/man.cgi?rsync
 signify|http://man.openbsd.org/signify
 ssh|http://www.freebsd.org/cgi/man.cgi?ssh
 tcpdump|http://www.freebsd.org/cgi/man.cgi?tcpdump
 #
 # Acronyms
 #
 DDOS|http://en.wikipedia.org/wiki/Denial-of-service_attack#Distributed_attack
 DSL|http://en.wikipedia.org/wiki/Domain-specific_language
 MAC|http://en.wikipedia.org/wiki/Hash-based_message_authentication_code
 MD5|http://en.wikipedia.org/wiki/MD5
 NAT|http://en.wikipedia.org/wiki/Network_address_translation
 PKI|http://en.wikipedia.org/wiki/Public_key_infrastructure
 POSIX|http://en.wikipedia.org/wiki/POSIX
 RSA|http://en.wikipedia.org/wiki/RSA_(cryptosystem)
 SHA|http://en.wikipedia.org/wiki/Secure_Hash_Algorithm
 SSL|http://en.wikipedia.org/wiki/Secure_Sockets_Layer
 TLS|http://en.wikipedia.org/wiki/Transport_Layer_Security
 UFS|http://en.wikipedia.org/wiki/Unix_File_System
 UNIX|http://en.wikipedia.org/wiki/Unix
 VPN|http://en.wikipedia.org/wiki/Virtual_private_network
 ZFS|http://en.wikipedia.org/wiki/ZFS
 #
 # Miscellaneous keywords
 #
 opensource|http://en.wikipedia.org/wiki/Open-source_software
 BSD license|http://en.wikipedia.org/wiki/BSD_licenses

blogi.jnz

Finally, the jnz source of Opensource-hostausta blog page.

!h1 Opensource-hostausta
 +
 Olen aiemmin käyttänyt opensource-projektejani varten jotain yleisessä käytössä olevaa opensource-hostaajaa,
 kuten Sourceforgea. Nämä olemassaolevat palveluntarjoajat ovat kuitenkin enemmän tai vähemmän toimivia, ruuhkaisia,
 tai jotenkin muuten käyttöä rajoittavia, tai sitten liimattu liiaksi tiettyihin teknologioihin kuten typerien
 versionhallintaohjelmien käyttöön. Tästä syystä tarve itse tehdylle versionhallintapalvelimelle on kova, ja
 antaapa se samalla vapauden käyttää juuri niitä teknologioita ja palvelinohjelmia mitä minä haluan.
 -
 +
 Tässä tarinassa palvelimen käyttöjärjestelmänä toimii FreeBSD, koska se on mielestäni paras valinta hommaan
 kuin hommaan, sekä palvelin- että desktop-käytössä. Se on myös turvallisuutensa puolesta hyvä valinta julkisessa
 internetissä olevalle koneelle, jossa turvallisuus on ensiarvoista. FreeBSD on myös nopea ja vähän resursseja syövä,
 joten kevyelläkin raudalla pärjää pitkälle. Lisäksi esimerkiksi zfs tiedostojärjestelmä nostaa levynkäytön ja
 tiedostojärjestelmä-administeeraamisen kertaheitolla uudelle tasolle.
 -
 +
 Palvelimen asennuksessa tarvittavat toimenpiteet ja palvelut sisältävät datalevyn salauksen, palomuurin,
 http-palvelimen ja tietysti itse versionhallinnan sekä ldap-palvelimen versionhallinnan pääsynhallintaa varten.
 Alla on tarkempaa sepostusta kustakin palvelusta ja sen asentamisesta. Huomaa, että konffiesimerkit,
 palomuurisäännöt, komentorivikomennot yms. on tarkoitettu vain esimerkeiksi eikä niitä pidä copy-pastata omaan
 järjestelmään sellaisenaan, vaikka ne toimivia ovatkin.
 -
 !h2 Etäyhteydet ja OpenSSH|Etäyhteydet
 +
 Palvelimen sujuvaan etähallintaan tarvitaan tietysti etähallintaohjelma, joka on nykyisin lähes poikkeuksetta ssh,
 eli oikealta nimeltään Secure SHell. ssh hoitaa komentojen lähettämisen ja tiedostojen kopioimisen palvelimelle
 salattuna. ssh:sta on viime aikoina löytynyt erinäisiä heikkouksia, mutta jotka ovat kuitenkin konffimuutoksella
 kierrettävissä. Nykyisen ssh version oletuskonfiguraation turvallisuudesta en tiedä, mutta koen paremmaksi ja
 turvallisemmaksi poistaa käsin käytöstä heikoiksi todetut algoritmit sekä itse salauksesta, avaintenvaihdosta
 että datan verifioinnista. Näin voin olla varma että heikkoja salausmenetelmiä ei käytetä. Jotta ssh:n
 turvallisuudesta saisi muutenkin kaiken irti, on suositeltavaa käyttää avainpohjaista autentikaatiota tutun
 ja »turvallisen» käyttäjätunnus-salasana -parin sijaan. Avainten käyttö on myös tehokas keino suojautua sivullisten
 kirjautumisyrityksiltä, joita julkisessa internetissä oleva kone saa jatkuvasti.
 -
 +
 Oma palvelinpäässä sallittujen salausmenetelmien lista on kutakuinkin seuraava:
 -
 !+pre
  Ciphers chacha20-poly1305@openssh.com,\
          aes256-gcm@openssh.com,\
          aes128-gcm@openssh.com,\
          aes256-ctr,\
          aes192-ctr,\
          aes128-ctr
 !-pre
 +
 Avaintenvaihtomenetelmistä sallittuna ovat vain nykymittapuulla turvallisiksi oletetut:
 -
 !+pre
  KexAlgorithms curve25519-sha256@libssh.org,\
                diffie-hellman-group-exchange-sha256
 !-pre
 +
 Datan verifioimiseen sallitut MAC algoritmit taas sisältävät seuraavaa. On yleisesti suositeltu estää 96-bittiset
 ja md5 pohjaiset algoritmit:
 -
 !+pre
  MACs hmac-sha2-512-etm@openssh.com,\
       hmac-sha2-256-etm@openssh.com,\
       umac-128-etm@openssh.com,\
       hmac-sha2-512,\
       hmac-sha2-256,\
       umac-128@openssh.com
 !-pre
 !h2 HTTP palvelin ja Apache|HTTP palvelin
 +
 Tässä asennuksessa http palvelinta tarvitaan pääasiassa versionhallintaliikenteen salaamiseen, autentikoimiseen ja
 repositoryjen pääsynhallintaan, eli luvitukseen, tai autorisointiin. Samalla Apachella ja pienellä lisävaivalla
 voidaan myös hostata vaikkapa softaprojektien www-sivuja.
 -
 +
 Apache on tullut hyvinkin tutuksi vuosien saatossa, ja ainakin omissa asennuksissani se on de-facto http palvelin.
 Apachen kenties ainoa miinus on rasittava konffaus, josta johtuen tyyliini kuuluu heivata käyttöjärjestelmän mukana
 tulevat oletuskonfiguraatiotiedostot mäkeen ja tehdä kokonaan omat. Apachessa, kuten muissakin internetiin
 näkyvissä palveluissa, on turvallisuus ensiarvoista. Seuraavalla pikku konffikikalla kerrotaan clientille palvelimen
 halusta käyttää kommunikaatiokanavana ainoastaan salattua https protokollaa, joka tapahtuu kutakuinkin alla kuvatulla
 tavalla. Lisäksi on tarpeen kääntää http liikenne https porttiin vaikkapa Rewrite ruleja käyttämällä.
 -
 !+pre
  Header always set Strict-Transport-Security "max-age=15768000; includeSubDomains"
 !-pre
 +
 Ja tässä pari muuta http header-kikkaa Apachen konffiin turvallisuuden tunnetta lisäämään ja cross-site scripting
 hyökkäyksiä estämään:
 -
 !+pre
  Header always set X-Content-Type-Options "nosniff"
  Header always set X-Frame-Options "SAMEORIGIN"
  Header always set X-Xss-Protection "1; mode=block"
  Header edit Set-Cookie ^(.*)$ "$1; HttpOnly; Secure"
 !-pre
 +
 HTTPS:ää käytettäessä heikoiksi oletettuja tai todettuja salausmenetelmiä on hyvä poistaa käytöstä ja suosia
 ainoastaan vahvoja salausalgoritmeja. Lisäksi estetään TLS pakkaus CRIME haavoittuvuutta vastaan:
 -
 !+pre
  SSLCipherSuite \
   ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:RSA+AESGCM:RSA+AES:!aNULL:!MD5:!DSS
 
  SSLProxyCipherSuite \
   ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:RSA+AESGCM:RSA+AES:!aNULL:!MD5:!DSS
 
  SSLProtocol ALL -SSLv2 -SSLv3
  SSLProxyProtocol ALL -SSLv2 -SSLv3
 
  SSLCompression off
  SSLHonorCipherOrder on
 !-pre
 +
 DDOS hyökkäyksiä vastaan apacheen on saatavana näppärä mod_evasive. Evasive moduuli pitää kirjaa toistuvista
 yhteydenotoista samaan kohteeseen tietyn aikaikkunan sisällä, ja asetetun kynnyksen ylityttyä clientti asetetaan
 sulkulistalle ennalta asetetuksi ajaksi. Yksinkertaista ja tehokasta tylsistyneiden skriptaajien torjuntaan.
 -
 !h2 Versionhallinta ja Subversion|Versionhallinta
 +
 Versionhallintaan käytän SVN:ää, koska se toimii, on nopea, helppo ylläpitää, ja sopii omaan käyttööni
 just' eikä melkein. SVN:n turvallisuudesta ei sinänsä tarvitse olla huolissaan, koska repositoryn perustamisen
 jälkeen tiedosto-oikeudet ovat mallillaan, ja pääsynhallinnan sekä liikenteen salauksen hoitaa Apache.
 Pelkkää svn protokollaa ei siis sallita, vaan asioidaan aina https:n yli.
 -
 +
 Versionhallinnassa on kuitenkin muutama virittämistä vaativa yksityiskohta. Ensimmäinen, ja ehkäpä tärkein on
 injektohyökkäyksiä vastaan suojautuminen, tai pikemminkin niiden huomaaminen. Tilanne, jossa ulkopuolinen
 taho pääsisi ujuttamaan omaa koodiaan versionhallinassa olevaan koodiin olisi melkoisen huolestuttava. Tästä
 syystä versionhallintaan on hyvä miettiä esimerkiksi lähdekoodin automaattista allekirjoittamista, joka voitaisiin
 tehdä vaikkapa post-commit hookilla. Tällöin jokainen lähdekooditiedosto voitaisiin verifioida automaattisesti
 versionhallinnan ohi tapahtuvien muutoksien varalta. Verifitointi voisi myös toimia sekä post-commit- että pre-commit
 hookeista käsin ja reagoida asianmukaisella vakavuudella mikäli allekirjoituksen verifiointi epäonnistuu.
 -
 +
 Tiedostojen allekirjoittamiseen itse suosin OpenBSD projektin signify työkalua. signify:llä voi myös helposti
 tuottaa omien ohjelmien allekirjoitetun tarkistussummalistan jokaisesta ohjelman tiedostosta sen jakeluvaiheessa,
 joten jokainen softaa käyttävä heppu voi itse verifioida kunkin tiedoston aitouden ja virheettömyyden niin
 halutessaan.
 -
 !h2 Autentikaatio ja OpenLDAP|Autentikaatio
 +
 SVN repositoryjen pääsynhallintaa varten Apachen parina toimii OpenLDAP serviisi. Apachen konffaaminen LDAP:n
 osalta on helppoa,  ja jos on tarvetta hienoresoluutioisempaan pääsynhallintaan, eli ryhmäjäsenyyksillä
 kikkailuun, LDAP:lla tämäkin käy sujuvasti.
 -
 +
 Tässä installaatiossa LDAP ei ole avoinna julkiseen internetiin, vaan sen käyttö on rajattu ainoastaan samalla
 koneella oleville palveluille. Tästä syystä paranoidinen suojaus ei ole ehdottoman tärkeää, suositeltavaa kylläkin.
 Niin tai näin, käytän siitä huolimatta salattua LDAPS protokollaa ainoastaan TLS sallittuna. Alla olevalla
 konffinpätkällä voidaan estää SSLv2 ja SSLv3 protokollat ja käyttää ainoastaan TLS:ää:
 -
 !+pre
  TLSCipherSuite -S:HIGH:MEDIUM:+TLSv1
  TLSProtocolMin 3.1
 !-pre
 !h2 Palomuuri ja OpenBSD pf|Palomuuri
 +
 Internetiin kytketyssä koneessa on hyvä olla jonkinlainen mekanismi tahallisia portinkoputtelijoita ja muita
 tylsistyneitä teininörttejä vastaan, ja ehdottomasti keino sulkea sisäisten palveluiden portit ulkomaailmalta.
 Omassa palvelimessani esimerkiksi ssh porttiin tulee satoja yhteydenottoja tunnissa, suurin osa selkeitä
 kirjautumisyrityksiä ja porttiskannauksia.
 -
 +
 Palvelimen palomuurina kannattaa käyttää jotain tehokasta ja helposti konffattavaa härveliä kuten vaikkapa
 OpenBSD projektin packet filteriä, joka tunnetaan paremmin nimellä pf. FreeBSD tarjoaa myös ipfw sekä ipfilter
 palomuurit, mutta itse suosin pf:ää. Lisäksi pf:n konffiformaatti on hyvin selkeää ja helppolukuista vaikkapa
 Linuxin iptables muuriin verrattuna. Omassa palvelimessani tarkoitus on sallia yhteydet portteihin 22, 80 ja 443,
 eli sallitaan ainoastaan ssh- ja http(s) liikenne, ja ssh:kin tietyin rajoituksin.
 -
 +
 Palomuurin oikeaoppinen säätäminen vaatii jonkinlaisen ymmärryksen TCP/IP liikenteestä. Alempana kuvattu
 konffitiedosto on ainoastaan esimerkki eikä missään tapauksessa suositeltava käytettäväksi sellaisenaan vaikka
 sinänsä toimiikin. Myös palomuurin säätämiseen etäyhteyden yli liittyy aina pieni riski sulkea myös itsensä
 ulkopuolelle. Tästä syystä palomuurin säätämisessä on hyvä olla erityisen tarkkana jotta lopputulos olisi toivottu
 ja palvelimelle pääsisi kirjautumaan myös jatkossa.
 -
 +
 Alla olevassa esimerkissä liian innokkailta ssh yhteyden ottajilta - eli brute-forcella kirjautumista
 yrittäviltä - suljetaan IP osoitteen perusteella ssh portti lopullisesti jos viidessä sekunnissa tapahtuu
 enemmän kuin yksi yhteydenottoyritys. Tämä kannattaa muistaa itse salasanaa caps-lock päällä naputellessa.
 -
 !h3 pf.conf
 !+pre
  my_if = "{ em0 }"
 
  set block-policy drop
  set loginterface egress
  set skip on lo
 
  scrub in all
 
  block in log
  block quick from <bruteforce>
  pass out quick
 
  pass in log on $my_if proto tcp from any to any port ssh \
       flags S/SA keep state \
       (max-src-conn 10, max-src-conn-rate 1/5, \
       overload <bruteforce> flush global)
 
  pass in on $my_if proto tcp from any to any port { http, https } \
       flags S/SA keep state
 !-pre
 +
 pf kirjoittaa myös lokia niin halutessa, joka tosin pitää aktivoida lisäämällä seuraava rivi rc.conf:iin:
 -
 !+pre
  pflog_enable="YES"
 !-pre
 +
 Loki on tavallisuudesta poikkeavasti binääritavaraa, jonka saa kuitenkin hyvin helposti muutettua luettavaan
 muotoon tcpdump:lla:
 -
 !+pre
  # tcpdump -e -n -ttt -r /var/log/pflog
 !-pre
 !h2 Levyn salaus ja ZFS|Levyn salaus
 +
 Levyjen salaaminen on hyvä käytäntö fyysisten väärinkäytösten estämiseen. Oma palvelinkoneeni sijaitsee jossain
 datacenterissä Saksanmaalla tuhansien muiden koneiden seassa. Koneräkkien välissä huseeraa sekalainen määrä
 sysadmineita, joilla pitäisi olla jonkinlainen kunnioitus toisten dataa kohtaan, mutta liian varovainen ei voi
 tässäkään olla. Lisäksi levyn salaaminen on hyvä tapa siinäkin tapauksessa, että levyn mennessä vaihtoon sitä ei
 ole itse mahdollista hävittää jolloin levy datoineen saattaa päätyä ties minne.
 -
 +
 FreeBSD:llä levyn salaamiseen suosin geli(8) menetelmää. Geliä käytettäessä levy salataan ensin, jonka jälkeen
 levylle tehdään tiedostojärjestelmä, eli niin sanotusti formatoidaan. Alla on selostettu pääpiirteittäin yhden levyn
 salaamisvaiheet, jossa oma salattava levyni näkyy systeemissä ada1:nä. Tämän sepostuksen ei ole tarkoitus olla levyn
 salaamisen mummo-ohje. Jos olet aikeissa salata levysi, tutustu kunkin komennon ohjesivuun ja ymmärrä mitä olet
 tekemässä. Väärin salaamalla saat salattua datan myös itseltäsi. Salausavainten varmuuskopioinnista kannattaa
 myös huolehtia asianmukaisesti.
 -
 !h3 Vaiheet
 +
 Mikäli levy tarvitsee partitioinnin, voidaan se tehdä vaikka näin:
 -
 !+pre
  # gpart destroy -F ada1
  # gpart create -s gpt ada1
  # gpart add -t freebsd-zfs -a 4096 ada1
 !-pre
 +
 Levyn salaamiseen tarvitaan ensin salausavain, jonka saa kätevästi satunnaislukugeneraattorista. Avain tallennetaan
 rootin kotihakemistossa keys-alihakemistoon:
 -
 !+pre
  # mkdir /root/keys
  # chmod 0700 /root/keys
  # dd if=/dev/urandom of=/root/keys/ada1.key bs=4096 count=1
  # chmod 0400 /root/keys/ada1.key
 !-pre
 +
 Avaimen luonnin jälkeen levy alustetaan yllä luodulla avaimella:
 -
 !+pre
  # geli init -e AES-XTS -s 4096 -K /root/keys/ada1.key /dev/ada1p1
  # geli attach -k /root/keys/ada1.key /dev/ada1p1
 !-pre
 +
 Tämän jälkeen salattu levy näkyy systeemissä /dev/ada1p1.eli:nä, johon voidaan luoda tiedostojärjestelmä:
 -
 !+pre
  # zpool create tank /dev/ada1p1.eli
 !-pre
 +
 Tiedostojärjestelmän luonnin jälkeen salattu levy on käytettävissä. Bootin jälkeen tarvitaan kuitenkin pari
 ylimääräistä komentoa joilla salattu zfs tiedostojärjestelmä saadaan käyttöön:
 -
 !+pre
  # geli attach -j - -k /root/keys/ada1.key /dev/ada1p1
  # zpool import -R tank
 !-pre
 +
 !+i
 ~ Jani Salonen, 30.10.2016
 !-i
 -

jnz_to_html.pl
html_head.txt
html_foot.txt
html_page.txt
html_link.txt
html_refs.txt
blogi.jnz