Zobrazit příspěvky

Tato sekce Vám umožňuje zobrazit všechny příspěvky tohoto uživatele. Prosím uvědomte si, že můžete vidět příspěvky pouze z oblastí Vám přístupných.


Příspěvky - Michal Šmucr

Stran: [1] 2 3 ... 22
1
Software / Re:Jak stáhnout video ze Stream.cz
« kdy: Dnes v 12:44:53 »
Existuje nejaky nastroj, kterym se da stahnout video ze stream.cz?

yt-dlp

Citace
Zajima mne tohle video
https://www.stream.cz/adam-ondra-posunout-hranice/adam-ondra-posunout-hranice-65109840

Ty titulky co tam maji Adam_Ondra_Posunout_hranice_1080p2520_CZ.srt
a v F12 jsou jako 3e993047.vtt, jsou rozdelene na nekolik sekci a nebo je to chyba a maji tam jen prvnich 32min?

Ty titulky, co tam jsou, jsou jen překladové z cizích do českého jazyka. Nekoukal jsem na to celé, jen namátkově skákal. Není prostě možné, že se od půl hodiny dál mluví jen česky.

Jinak ten VTT na Streamu je docela mizerný, špatně escapované tagy a je to asi o několik vteřin asynchronní, první prázdný titulek je úplně neplatný (out dříve než in, záporná délka). Projevuje se to i v přehrávači přímo na stránce, tzn. je to chyba autoringu, ne stahování.

Ale máte to dorovnané v příloze i v SRT.


2
Sítě / Re:Funguje někomu u O2 reverzní záznam?
« kdy: 28. 03. 2025, 10:43:08 »
IPv4 a IPv6 v samoobsluze vidím, i když mi IPv6 zatím nefunguje. Podle helpdesku to mám zkusit za měsíc. Je teda možné, že stejně přidají rozsah IPv4 do formuláře. Uvidíme.
...
O2 jsem si nevybral, byl jsem zákazník Netbox, ti mě prodali Nej.cz a ti mě prodali O2.

Tam by mohlo hrát roli i to, co jste tu zmínil. Že ještě dobíhá to slučování sítí po tom, co O2 koupilo jiného ISP.

Já mám přípojku nad DSL od Cetinu (jediná možnost mimo 4G/5G) a tam vcelku logicky chodily všechny věci a služby od O2 hned od začátku, co se firma rozdělila na dráty + poskytovatel.
Kdežto pokud jste byl u nej.cz, máte nejspíš veřejnou IP adresu z jejich rozsahu, přestože už vám za služby chodí faktury od O2 a přešel jste k nim jako zákazník.
Takže je také možné, že mimo jiných věcí i DNS zóny pro ty rozsahy běží pořád někde na původních serverech a nedají se zatím administrovat nástroji od O2 (ať už z formuláře, obecné podpory).

Asi by se dalo i ozkoušet, jaký zpětný překlad vám to teď hodí pro vaší adresu. Pro veřejné adresy z O2 rozsahů se rovnou na jejich DNS vytváří PTR ve formátu IP adresy s oktety oddělenými pomlčkou na rcr.o2.cz (např. 109-80-xx-xx.rcr.o2.cz).

Poslední, co by se mohlo také zkusit, je původní podpora nej.cz. Na stránkách to vypadá, že nějaký telefon a mail by na ně ještě mohl být. Teoreticky by mohli ten PTR záznam udělat ručně, jestli je to ještě na jejich serverech, nebo aspoň objasnit situaci :)

3
Sítě / Re:Funguje někomu u O2 reverzní záznam?
« kdy: 28. 03. 2025, 00:32:34 »
Mám stejnou službu - pevná IPv4 a IPv6 /64 blok k domácí přípojce, taky normálně na fyzickou osobu.
O PTR na hostname ve své doméně jsem nežádal, ale moje veřejná IP je normálně k vybrání v tom formuláři.
Takže počítám, že kdybych chtěl, tak by to mělo jít. To že je to jen pro B2B se mi zdá blbost.

Jen mě napadá. Protože jste si to teď čerstvě zřídil, tak jestli už to probublalo a ta adresa, co tam zkoušíte zadat je už skutečně ta finální, co máte mít.
Dá se to zkontrolovat v https://moje.o2.cz/ Pod službou připojení k internetu by měla být doplňková "pevná IP adresa" a u ní jsou pak uvedené IPv4 i IPv6 prefix.

Nakonec ještě zkušenost, že s většinou věcí, co jsem v posledních pár letech řešil s domácími přípojkami, mi nejlíp a nejkompetentněji pomohli na chatu, včetně různých rychlých rekonfigurací atp. Je to na stránkách podpory, když sjedete úplně dolů.

4
Server / Re:Zvažuji přechod z Linuxu na FreeBSD
« kdy: 25. 03. 2025, 12:27:36 »
Prosím jak mohu zjistit nastavení UFS ?  Např. u odolnosti proti výpadkům elektřiny se to hodně liší, podle toho jaké žurnálování je zapnuté. Ale nevím jak to zjistit. Často se píše že  UFS SU+J, bylo fuj, ale dost možná je to hlavně v bug v jedné verzi freebsd, což už bylo dávno opraveno.  Někdo jiný si zase pochvaluje jiný typ journalování, ale nikdo jsem se o tom nenačetl nějaké shrnutí.

A pokud nepoužijí journálování vůbec, mělo by to znamenat, že oprava po výpadku bude trvat déle - musí projít vše, ale nekonzistence by nastat neměla a mělo by to být spolehlivější než oprava na pozadí s journalováním. Také je trochu lepší výkon.

Pokud jednou za deset let vypnout proud. Počítám s tím, že budu opravovat ručně a déle, ale nechtěl bych aby z dat byla fašírka. Pokud se několik posledních záznamů neuloží vůbec nevadí, ale nemělo by se poškodit nic předešlého.

tunefs -p /dev/device nebo tunefs -p /mountpoint

LolPhirae má pravdu v tom, že téměř žádný z těch režimů UFS (bez ničeho), UFS SU, UFS SU+J není tak odolný proti náhlým výpadkům hw nebo napájení jako třeba ext4 nebo ZFS.
Nejbezpečnější varianta z tohohle hlediska je UFS bez dalších povolených fíčur.
SU vzniklo kdysi primárně kvůli dvěma věcem - zrychlení metadatových operací s inody a rychlejší fsck, kdy to nekontroluje všechno. Ty metadatové operace se zrychlí proto, že se při zápisu dělá fs reordering a sdružuje je a řeší jejich závislosti. Hlavně na  točivých discích s dlouhou příst. dobou to přineslo razantní zrychlení při operacích s mnoha soubory v rozsáhlejších adr. strukturách a zvýšení propustnosti při přístupu z více procesů.
Nevýhodou je pak to, že se to proti normálnímu orderingu v UFS ty operace zpožďují (klidně i desítky vteřin) a při náhlém výpadku to může ovlivnit hodně souborů, do kterých se zapisovalo.
SU+J je přidání fixního 16MB žurnálu pro metadatové operace (tváří se jako soubor .sujournal v rootu), který hlavně dál zrychluje kontrolu a opravu na větších úložištích.
Bohužel se může stát, když se správně trefíte (aspoň když jsem to před pár lety testoval), že zatímco s UFS máte zasažených pár posledních souborů, co se nedopsaly. S UFS SU je jich razantně víc a u SU+J jich značná část skončí úplně prázdných, což pravděpodobně souvisí s tím, že to fsck rychle vymete a ihned uvolní data.
Takže, jestli si pro váš workload řeknete, že nevadí delší fsck, a případný pokles výkonu nebude zásadní, tak vypněte SU (tunefs -n disable /dev/neco).
Ještě je tam další režim, geom journal. A to je ještě něco jiného, to udělá v podstatě virtuální zařízení (jako dm v Linuxu), kde se pak prování žurnálování na úrovni bloků. Filesystém je nad tím, všechny zápisy jdou přes žurnál.
Vždycky mi to přišlo jako hack, co ten primární problém moc neřeší.

Nicméně, jestli si to pamatuju dobře, tak s LolPhirae jsme o tomhle přesně mluvili. A já jsem trochu oponoval tím, že se sice je to dost blbé (a bylo by fajn, aby i FreeBSD mělo robustní ne-COW systém), ale prakticky vzato jsem žádné tragédie i po výpadcích s SU, kdy bych se z toho nedostal, něměl. Část toho je pravděpodobně klika, část je daná tím, že také hodně závisí na konkrétní aplikaci, jak přesně zapisuje. Jestli používá standardně page cache, nebo O_DIRECT příp O_SYNC. Jestli třeba sama nepoužívá fsync() nebo "jen" fdatasync() atp.
Když tam byla nějaká data, co jsem chtěl mít celá (třeba logy nebo malou db), tak jsem měl mountpoint s vynuceným syncem, což je samozřejmě trochu extrém, protože daň za to pak je, že je to líné jak vandrácká hůl.

Upřímně, za posledních pár let jsem na FreeBSD téměř vždy používal jen ZFS. To, že je součástí systému a plně integrované, mi přišlo jedna z mála výhod, které to má oproti Linuxu, a byl to také hlavní důvod nasazení FreeBSD jako takového.
A také si odhaduji, že to tak má většina uživatelů, což je možná důvod, proč UFS a řešení těch problémů nevypadá jak nějaká extra priorita.

Jinak vcelku extenzivní test ohledně odolnosti je třeba tady:
https://unixdigest.com/articles/battle-testing-php-fopen-sqlite-postgresql-and-mariadb-on-ffs-ufs-ext-xfs-and-zfs.html

Já si pár let zpět dělal něco podobného, byť jen se simulovanými pády QEMU virtuálu s FreeBSD, OpenBSD a Linuxem. Používal jsem dd, případně něco, co jsem si narychlo spácal na testy. Ve smyčce to zapisovalo a modifikovalo soubory, věděl jsem kontrolní součty, takže jsem po opravě fs byl schopen rychle kontrolovat, jak to dopadlo. Zkoušel jsem různé variace přístupů, syncování. Dopadlo to víceméně stejně, jako v linkovaném článku.
Můj závěr byl, že v Linuxu to není třeba extra řešit, na FreeBSD pak ZFS. UFS bez SU jako bezpečnější volba, pokud nějakého důvodu nemůžu, nechci COW. OpenBSD strašně líné, neškláluje se, ale je konzistentní.

5
Bazar / Re:Koupím APC sériový kabel (RJ12-DB9)
« kdy: 25. 03. 2025, 11:19:08 »
Druhá karta: stejně jsem ve wiresharku "odchytnul" její IP adresu. Paráda, řekl jsem si. Ale jak píšete výše, je pravděpodobně změněný login... Web rozhraní ani telnet mi apc|apc nebere.
Takže jsem podle návodu kartu resetoval a zkusil se hned po resetu telnetem přihlásit defaultním loginem. Neúspěšně. Opakoval jsem víckrát, nic.
V tom návodu se píše, že se to má dělat sériovým kabelem přes Hyperterminál, ale AP9619 (NMC1) má jen ethernet.

Ajaj, no tak fakt asi tady nezbude než ta sériová konzole, což jste původně zamýšlel.
Jinak sice tu chan_hfc zmiňoval, že by to nemělo jít přes sériový port na UPS, ale já si to úplně nemyslím.
Naopak není jiná možnost, jak se tam dostat.
Typ kabelu pak záleží na UPS, v které ta karta bude. Na starých SmartUPS a Matrixech to byl myslím standardní DB9. Symmetry měly nějaké externí škatule na karty a DB25 do řídící jednotky UPS, ale s tím jsem nikdy ani historicky nedělal. Pokud po zapnutí firmware UPS najde (a podporuje) NMC1, tak by se v nastavení mělo objevit její nastavení a v podstatě se protunelovat do karty. Ale berte mě s rezervou, je to dvacet let.
Uvídíte, snad to tak půjde.
Nějaká jiná forma, jak to resetovat, bude asi bez dalších "servisních" znalostí složitá. Podle mě tam není jen standardní SRAM pod baterkou, která když se odpojí, tak se to resetuje jako třeba BIOS. Ale paměť s nastavením, kterou musíte přeprogramovat, nebo smáznout. Což pak může skýtat i riziko toho, že to po násilné smazání vůbec nenaběhne.

6
Bazar / Re:Koupím APC sériový kabel (RJ12-DB9)
« kdy: 25. 03. 2025, 00:49:59 »
Nz a bezva, že se vám to povedlo.
Přesně jak jsem dopsal předchozí příspěvek, tak mě napadlo, že když už by někdo nastavil statickou IP adresu, tak by mohl změnit i login z toho výchozího apc/acp.
Tak jsem rád, že se to nepotvrdilo :)
Snad takhle rozchodíte i tu druhou kartu.

7
Bazar / Re:Koupím APC sériový kabel (RJ12-DB9)
« kdy: 23. 03. 2025, 22:44:13 »
Přesně tak to mám, testoval jsem obě možnosti. Nic...

Nevím, co všechno jste už dělal, ale zkusím..

Ten pojmenovaný option (třeba APC v mém pokusu) máte také povolený na daném aktivním DHCP pollu/konfiguraci?
Tam buď musíte vybrat pojmenovaný option, nebo set (skupinu optionu).

Standardně se to chová tak, že DHCP server pošle jen ty optiony o které si dané zařízení řekne v předchozím requestu, když u optionu ve Winboxu zaškrtnete volbu Force, tak to posílá vždycky (což se hodí pro případné monitorování, můžete to pak odchytnout třeba počítačem i když o to nežádal).

Když už jsme u toho, tak na zkoušení DHCP optionu by mělo stačit nainstalovat Wireshark u vás na počítači,
vybrat síťovku a případně zadat capture filtr - na tohle by mělo stačit 'udp port 68 or port 67'.
Pak rozjedete capture a odpojíte a připojíte síťový kabel (nebo vypnout zapnout WiFi). Dá se to vynutit i jinak, ale tohle je nezávislé na platformě ;)
Po chvíli by se vám tam měly zobrazit minimálně dva pakety - DHCP request a ack.
Rovnou se vám to zdekóduje a měl byste mít možnost se v ack paketu proklikat až na DHCP optiony. Tam můžete zkontrolovat, co přesně server posílá a jestli to sedí.

Jestli to fakt ani po kontrole nebude s kartou šlapat a nebude tam žádný lease, tak jsou asi dvě pravděpodobné možnosti, co mě teď napadají.
Buď tu kartu už někdo předtím nastavil na statickou adresu v jiném rozsahu, je to uložené někde v NVRAM a pak kašle na DHCP. No nebo je nějak rozbitá.

V případně první možnosti bych to zkusil propojit přímo do počítače s Wiresharkem a podobným způsobem odchytával ARP pakety. Asi klidně úplně bez capture filtru, protože tam stejně nic jiného nepůjde.
Většinou zařízení po nějaké době (můžou to být klidně i minuty) pošlou ARP requesty, kde na sebe "prásknou" svou adresu. Uvidíte, jak se to bude chovat.

8
Bazar / Re:Koupím APC sériový kabel (RJ12-DB9)
« kdy: 23. 03. 2025, 20:11:20 »
S tím Mikrotikem by to chtělo asi trochu zaexperimentovat.

Teď jsem koukal na stránky APC, tam píšou, že je to option 43.
A hex hodnoty bajtů pak: 010431415043
Tzn. v nastavení DHCP serveru na RouterOS se před to musí přidat prefix 0x
Mělo by to vypadat asi jako v příloze (teď jen v rychlosti doma do Winboxu)

Pokud by to nefungovalo, druhá možnost, co bych vyzkoušel, je zadání textu '1APC'
To jsou v podstatě poslední čtyři bajty, jako v té hexa formě a záleží, jak ten option konkrétní DHCP server pobere.
Musí se to napsat v jedn. úvozovkách, aby to vzal jako string.

Nemám to teď jak vyzkoušet a možná už jste si s tím hrál, jen mě to teď napadlo.

9
Server / Re:Jak omezit uživatele SSH?
« kdy: 23. 03. 2025, 19:49:32 »
no, asi dost ze zadání zůstalo nevyřčeno, ale kdybych to řešil, tak pro roota rozjedu ssh server na třeba 2222 s autentizací klíči nebo certifikáty, a pro ty kejkle se soubory rozjedu jinou instanci ssh na p22, třeba jen v rootless kontejneru pod tím dedikovaným uživatelem s namapovaným volume a se všemi těmi omezeními. Vůbec bych ty dva přístupy nekombinoval.

Jasně, ale on tam taky nejspíš chtěl mít ten mezikrok s dalším přihlašováním (nejdřív klíč, pak heslo pro jiného uživatele).

Jako normálně se podobné věci třeba v určitých situacích řeší tak, že je tam nějaká forma bastionu resp. jump hosta.
Třeba VPN na bastion, pak ssh. Nebo dva ssh servery za sebou. Zároveň pak taky záleží na segmentaci a struktuře sítě.

Technicky vzato, tohle by bylo schůdnější, než trvat na příkazu su, a dalo by se to nejspíš vyřešit i v rámci jednoho stroje, klidně bez kontejnerů a s jednou instancí sshd.

Kód: [Vybrat]
Subsystem sftp internal-sftp
PasswordAuthentication no

Match User localuser, Host 127.0.0.1
        PasswordAuthentication yes

Match User root, Host 127.0.0.1
        PermitRootLogin yes
        PasswordAuthentication yes

Match User remoteuser
        ChrootDirectory %h
        # home adresar musi byt vlastnen rootem, nadelane podslozky pak tim userem, aby mohl zapisovat
        AllowTCPForwarding local
        X11Forwarding no
        ForceCommand internal-sftp

Tohle by zařídilo to, že remoteuser nebude mít interaktivní přihlášení, ale jen sftp a bude v chrootu.
Lokální forwardování u něj bohužel musí být povoleno, aby přes něj fungovalo tunelování portu na lokální ssh.
Také mají všichni uživatelé zvenku vynucené přihlašování klíčem, mimo localusera resp. roota.

Na tohle by se pak dalo připojit třeba takhle:
ssh -i ~/muj_klic -J remoteuser@server localuser@127.0.0.1
resp.
ssh -i ~/muj_klic -J remoteuser@server root@127.0.0.1

První připojení se ověřuje klíčem na účtem remoteuser, druhé (tunelované) pak na loopback a zeptá se na heslo.
Samozřejmě pokud by těch stejných serverů s adresou 127.0.0.1 bylo víc, tak aby se to nepletlo, použil bych volbu HostKeyAlias pro unikátní záznamy v known_hosts.
Podobně se nechá pak připojovat i v PuTTY, tak je ten jump host v sekci Proxy.

Tohle by bylo funkčně asi nejblíž tomu, co tazatel chtěl.
Ale samozřejmě, jak už jsem psal, daleko víc než na tohle bych se koncentroval, proč tam má někdo další lézt a řádit pod  uživatelem root a jestli by se to celé nedalo udělat líp.


10
Server / Re:Jak omezit uživatele SSH?
« kdy: 23. 03. 2025, 02:19:16 »
To, co se řeší tady – tedy povolení uživateli su na roota, ale pokus co nejvíc omezit původního uživatele – žádnou logiku nemá.

Taky mi to moc smysl nedává, zvlášť v popsaném užití.

I technicky je to celé problém.

Ono zmíněné omezení příkazů v shellu se dá sice udělat relativně jednoduše.
Např. když se nastaví restricted bash (rbash) jako login shell, přerazí se proměnná PATH a udělají se symlinky na vybrané příkazy do home adresáře, včetně třeba su.
Popsáno třeba tady (snad to bude čitelné bez přihlášení):
https://access.redhat.com/solutions/65822
Jsou pak i speciální shelly, kde se to dají vybrané příkazy explicitně deklarovat v konfiguraci namátkou třeba lshell.

Potíž je ale pak v tom, že tazatel chce vlastně zároveň ssh chroot, aby se uživatel nedostal nikam jinam než do domácího adresáře, ať už příkazy z shellu nebo přes sftp.
Což se sice také dá, ale žádné symlinky, knihovny a přístupy do základních devnodů mimo chroot pak nemůžou fungovat. Jde tam sice v omezeném množství přímo něco manuálně nakopírovat, vytvořit devnody pro nějaké elementární používání.
Nicméně programy jako su nebo sudo jsou setuid aplikace a mívají spousty vazeb na další subsystémy jako pam, selinux, apparmor atp. a hlavně potřebují přístup do hesel, skupin atp.
Což je naprosto proti smyslu chrootu/jailu a většinou to logicky nejde.

11
Server / Re:Jak omezit uživatele SSH?
« kdy: 22. 03. 2025, 12:31:14 »
Jen pro kontext. Myslím, že to v podstatě jen navazuje na předchozí vlákno klíče vs hesla od stejného tazatele..
https://forum.root.cz/index.php?topic=30413.0

Mimochodem ty ssh klíče jde navíc zabezpečit passphrase, takže i když se "ztratí", tak bez passphrase je útočníkovi na nic.

Ta obava pravděpodobně vychází z toho, co tam zaznělo na konci toho vlákna, a v určitém kontextu může být oprávněná námitka proti klíčům. Tzn. pokud se na server přihlašují další lidé, co mají povolený přístup přes své privátní klíče, tak je nelze žádným způsobem (ze serveru) donutit, aby je měli nebo udrželi zaheslované.
Tzn. prakticky, pokud si třeba někdo vypne heslo na privátním klíči pomocí ssh-keygen (nebo puttygen), aby ho to neotravovalo, a pak mu někdo vyluxuje home adresář.
Podobně určité typy útoků, když pak používá ssh-agenta.

Do jaké míry tohle řešit (i třeba nějakými obskurnostmi, které můžou přinést jiné problémy) v rámci daného pracovního týmu, a jestli to je fakt reálný problém, je samozřejmě otázka.
Systémové řešení tohohle je pak přes další faktor, OTP.. ale zas každá věc má své.

Jak jsem zmiňoval, mě tohle spíš přijde jednotlivost v rámci správy a "devops" na tom systému, systémech.
Pokud je tam jediný člověk nebo opravdu úzký tým, co to řeší vlastně všechno a měl by trvale používat tuhle "předsíň" a pak dělat dál všechno pod rootem, tak je to s odpuštěním kravina.
Naopak pokud jsou to nějací další lidé, co mají spravovat svou appku, tak jim nikdy nedám plného roota. Při představě, manuálních úprav, kdy tam bude při změně verze někdo blbnout s kopírováním, rozbalováním archivů, co si tam nasype. Následné blbnutí s právy (chmod, chown), restartem systémových služeb, kdy může rozbít cokoliv dalšího... když jim nevěřím ohledně klíčů, proč bych jim měl dát tuhle možnost.
Proto jsem mluvil spíš o rozdělení těch činností, kontejnerech, automatizaci nebo byť i třeba jednoduchém povoleném (sudo) aktualizačním skriptu, který bude připravený dopředu a prostě si stáhne a zaktualizuje, co je potřeba. Můžou se s tím v souvislosti s tím prozkoumat třeba i Ansible playbooky atd.

12
Server / Re:Jak omezit uživatele SSH?
« kdy: 21. 03. 2025, 22:42:10 »
Este raz teda:

- system nema ziadnych sudo pouzivatelov
- existuje iba jeden pouzivatel, nazvime ho ssh-user, ktory sa moze sshnut do systemu, iba s klucom(tzn. nie heslo alebo ina forma autentifikacie)
- tento pouzivatel moze neobmedzene nahratvat  subory do svojej home zlozky
- tento ssh-user by nemal mat moznost inak robit nic v systeme, okrem "su root", cize nemoze mutovat system alebo subory mimo svojej home zlozky, taktiez by nemal mat moznost vypisovat obsah zloziek mimo svojej home zlozky

jedinym ucelom tohto ssh-user pouzivatela je pristup do systemu, povedzme len do "predsiene" ale nie to celeho domu, a moznost nahrat do povolenej zlozky(/home/ssh-user) subory(sftp).

pre objasnenie, tieto subory su aplikacia + konfiguracne subory, ktora na serveri bezi ako hlavny ucel serveru. v pripade ze unikne ssh kluc von, utocnik sa dostane len do home zlozky tohto pouzivatela a nemoze robit nic co by ovplyvnilo system pretoze by musel bruteforcnut roota.

normalne by sa po nahrati suborov mal pouzivatel prehlasit na roota a ako root potom premiestnit nahrane subory, nova verzia aplikacie, na pozadovane miesto a vykona pozadovane ukony(restart sluby a podobne).

Pořád se to snažím pochopit, ale vlastně mi moc nedává smysl nepoužít sudo, polkit nebo doas, kde si můžu vcelku rozumně nakonfigurovat, co může daný uživatel spouštět. Hlavně na rozdíl od příkazu su pak se může vyžadovat heslo toho uživatele a ne roota.
Další věc co mě pak napadá. Je opravdu na správu té aplikace nějakým externím adminem potřeba kopírovat soubory přes scp, někam pak rozbalovat archivy a hrabat se v systému s nejvyššími právy?
Pro řešení aktualizací (resp. lifecycle a deploymentu) aplikací je spousta popsaných a ozkoušených řešení počínaje kontejnerizace s Kubernetes, přes hostování nějakého vlastního docker registry, spousty nějakých dalších relativně sofistikovaných orchestrací až po třeba po relativně jednoduchá řešení na bázi pevných aktualizačních skriptů.
Ty mi pak například můžou udělat pull z nějaké specifické větve git repozitáře, odkud se to také předtím otestovalo, zastavit služby, spustit připravené migrační skripty, znovu služby nahodit a zalogovat někam výsledek.
Celé tohle může být v jednom bash skriptu, který pak bude moct být spouštěný tím sudem pod jiným uživatelem.
Navíc se to výrazně zjednoduší, pokud byste dělal tenhle proces na víc než na jednom serveru - i když počítám minimálně testovací a produkční.

13
Předpokládám, že většina hotových NVR řešení typu Frigate, se soustředí na jiné vlastnosti, než na to, aby to běželo na starém šrotu. A těmi vlastnostmi bývá právě to, aby to bylo použitelné pro běžného člověka.

Ukládat videa z kamer zvládne zmíněný ffmpeg, ale že bych tomu pak říkal NVR...

Tak ještě jednou, ffmpeg běží skoro pod vším, včetně toho Frigate. Hlavní point nebyl, aby používal finálně pouze ffmpeg, ale aby si ozkoušel různé konfigurace s plnou kontrolou nad jeho parametry, zjistil správné nastavení a vyloučil případné chyby, pokud by se na něco použila akcelerace.. nevím - špatně nastavené pass-through a iommu do virtuálu, jestli ho na proxmoxu používá, chybějící knihovny a ovladače, zpřístupnění správných zařízení a práv v kontejneru atp.
To by musel vyřešit úplně stejně, ať už by tam bylo jakékoliv CPU resp. iGPU.

Citace
Proč je cílem projektu provozovat to na takové plečce? Jestli máte čas si hrát,což zjevně ano, nainstalujte si tam to Frigate, připojte si tam ty kamery, a podívejte se, co to CPU reálně zvládne. Je to práce na hodinu. Zbytečné tu teoretizovat.

?
Podle postů ve vlákně bych tak tipoval, že se o to celou dobu snaží.

Já Frigate nikdy nepoužíval, ani nemám teď jak ozkoušet s nějakou podobnou kamerou a zjistit, proč mu to s tím nastavením zjevně neukládá videa. Podle všeho by i Frigate měl umět i "jen" nahrávat. Případně dekódovat (na náhledy, detekci atp.) na iGPU třeba pouze 720p streamy, které by z té kamery měly paralelně lézt taky a pak selektivně nahrát plný hi-res jen po tom, co se to triggeruje.

14
Tiez si myslim, ze cez FFmpeg to pojde jednoduchsie, menej narocne na HW, "skopirovat" a ukladat, ale problem je v tom, ze potrebujem, aby k tomu bol lahky pristup a aspon zakladne spravovanie pre bezneho cloveka. Z toho dovodu sa to stale snazim rozchodit v nejakom uz existujucom a ako tak prehladnom UI.

Já to chápu, je jasné, že je optimální už využít něco hotového. Ten ffmpeg zmiňoval primárně kvůli tomu, aby se daly nějak odhadnout výkonové možnosti té vaší konfigurace a případně ozkoušet, jestli tam ty HW kodeky vůbec pojedou, případně dořešit systémové věci, ne že byste u toho musel nutně skončit.
Stejně většina těch hotových NVR řešení používá vespod právě ffmpeg resp. libav.. knihovny, typicky nemají "své" kodeky, muxery atp.
Určitě jestli je tam nad tím poběží ještě další dekódování streamů, hledání patternů, detekce pohybu atp. tak to bude žrát další prostředky, ale pokud jde o samotné přijímání streamu, remux a ukládání, pak by to nemělo mít zásadně větší režii než třeba ten ffmpeg. Což když jsem si pro zajímavost zkoušel (UHD stream servírovaný z jiného počítače). Při přijmu a ukládání do segmentovaných mp4 mi ffmpeg na zmíněné konfiguraci bral tak 3-4 % CPU (ukázáno v topu, kde je max 800 % na všechna jádra).
Finálně taky, jestli to budete mít nějak základně ozkoušené s ffmpegem a objeví se případné problémy s nějakou nadstavbou, bude to podle mě trochu lepší situace pro jeho případné řešení nebo report na stránkách projektu.

15
Bude to chtít trochu si s tím pohrát, podívat se, co přesně ten iGPU zvládne - kolik streamů, v jaké v jaké kvalitě... I kdyby to zvládlo jen 2 streamy, tak to je pořád snížení zátěže CPU o polovinu.

To ho opravdu stejně neřeší se čtyřmi kamerami, pokud bude chtít transkódovat (zas předchozí otázka proč?). Na jednom počítači mám shodou okolností taky Haswell Refresh, ale i7-4790, který je trochu silnější než ta jeho i5.
Pokud transkóduju H.264 v UHD s libx264 a veryfast, tak se dostávám tak na 1,2-1,4x realtime. Záleží samozřejmě i na vstupu, náročnosti dekódování. Tzn. čistě přes CPU je to jeden stream z kamery s úplně odřenýma ušima (pokud server občas dělá i jiné věci a nechce vytéct z bufferu).

Takže za mě je pro transkódování více UHD streamu jediná možnost, že by se podařilo rozjet celou pipeline přes QSV (resp. vaapi). Podobně jako to nejspíš funguje u vás na tom N Celeronu. Ale jsem spíš skeptický a ani tak si nemyslím, že to tohle GPU dá 4x.

Jinak ještě jsem se díval konkrétně (a zapnul i iGPU, které mám na tom Haswellu normálně vypnuté)
Je to generace QSV 7.5
https://trac.ffmpeg.org/wiki/Hardware/QuickSync

A tedy opravuji, kodek pro tuhle generaci na Linuxu není h264_qsv (to je přes MFX), ale h264_vaapi
Např.
ffmpeg -hwaccel vaapi -hwaccel_output_format vaapi -i $stream -c:v h264_vaapi neco.mp4

Nebo s explicitním výběrem zařízení a přiřazením aliasu foo, pak pro filtry.
fmpeg -init_hw_device vaapi=foo:/dev/dri/renderD128 -hwaccel vaapi -hwaccel_output_format vaapi -hwaccel_device foo -i $stream -filter_hw_device foo -vf 'format=nv12|vaapi,hwupload' -c:v h264_vaapi neco.mp4

Aby mi to chodilo, musel jsem přidat balíček intel-vaapi-driver (aspoň tak se jmenuje na OpenSUSE), kde je pak knihovna: /usr/lib64/dri/i965_drv_video.so
Na Debianu (Proxmoxu?) vypadá, že je to v balíčku i965-va-driver.
https://packages.debian.org/sid/video/i965-va-driver
případně ještě
https://packages.debian.org/sid/i965-va-driver-shaders z non-free (což je podle popisku právě potřeba i na H.264 od Haswellu - Gen 7.5 výš)

Stran: [1] 2 3 ... 22