Příspěvky

128gb ram jsem zatím nikde v notebooku nezkoušel, teoreticky by to měla zvládat HP Zbook Fury, ale nejsem si jistý jestli všechny varianty.

Mam zbook se skylake a tam to nefunguje. Pobere pouze 2x32 nebo 4x16 ... na 4x32 to myslim ani nepostlo, nez ze by to detekovalo mene pameti.

Pro 128G bych to videl spis na DDR5 modely - tam je vysoka sance ze to pobere 2x64G rovnou a nemusite lovit ani ty 4-dimm modely.

Ani s DDR5 to není 100% - já mam ThinkPad P16s Gen 4 (AMD) s 96GB ( 2x 48GB DDR5 SODIMM ) a podle specifikace výrobce je to maximum co to pobere. O generaci novější pak má maximum dle specifikace 1x 96GB LPCAMM2.

Ze zkušenosti víme, že Thinkpady v minulosti často pobrali víc ... z pochopitelných důvodů se mi to teď nějak nechce zkoušet.

Zkus Alef

1. ticho a výkon .... vadí mi když to hučí i když to nic nedělá. Už jsem rezignoval na různé pokusy o super ultra tenký a výkonný notebook ... radši ať to má o pár set gramů víc a neupeče se to když po tom něco chci.
2. LTE/5G modem ... must-have, udělat si hot-spot z mobilu je nespolehlivé, zvlášť když u toho člověk potřebuje telefonovat, tak je to docela loterie, i když se to samozřejmě lepší.
3. NBD a servisovatelnost - je to pracovní nástroj, pokud se mu něco stane, očekávám že někdo přijede a fixne to. Notebook by měl jít opakovaně rozebrat a složit bez toho, aby to mělo vliv na jeho funkčnost a pevnost.

Poslední 2 body diskvalifikují drtivou většinu vendorů, což je smutné.

Vše ostatní jsou jen parametry, které člověk upravuje podle svých požadavků a potřeb. Zhruba čtvrt století jsem se například držel úhlopříčky 14", protože to je rozumně kompaktní a lehké. Při koupi posledního notebooku jsem si přiznal že jsem starej, zrak se horší a trošku rezignovaně jsem koupil 16".

Pokud máš SMTPUTF8 zapnuté, tak se ti tam při doručení vytvoří UTF8 obálka. Forward zprávy na server co to nepodporuje projde pouze v situaci, že v hlavičkách nemáš žádný non-ascii znak, pak proběhne konverze a doručí se to. Jak se v UTF8 obálce objeví non-ascii znak, tak to neprojde, což je přesně tvůj případ.

To jako admin ale těžko ovlivníš, takže to nakonec vypneš, jako všichni :-(

Offtopic: mail ze kterého to přišlo běží na Debianu 10 s PHP 5.6. Chlubit se tímhle starožitnictvím v hlavičce chce hodně odvahy.

Dekuji! Precetl sem, a rozchodil. Zbyva jenom jeden detail: chtel sem prejit na nsec3, tudiz sem do /etc/bind/named.conf.options dle navodu pridal:

Kód [Vybrat] Rozbalit

dnssec-policy "nsec3" {
    nsec3param iterations 1 optout false salt-length 16;
};


"named-checkconf" mi pak vyhazuje:

Kód [Vybrat] Rozbalit

named.conf.options:45: dnssec-policy: nsec3 iterations value 1 not allowed, must be zero


Nevim co to znamena, ale zrejme chce aby tam bylo "...iterations 0...", ze?

Bind to vyžaduje v souladu s RFC 9276. Je to kvůli zátěži CPU na rekurzivních DNS serverech ověřujících DNSSEC. Ale ano, z pohledu bezpečnosti je to určitý kompromis.

pkcs11 s ed25519 nám nikdy nefungovalo, byť s firmwarem 5.7 to asi nikdo nezkoušel.

Vygeneruj sadu klíčů přes gpg --card-edit, v gpg agentovi zapni podporu ssh a ssh vnutíš socket toho gpg agenta.

Aktualne riesim, ci zakupit 28" alebo 32" monitor s rozlisenim 4K. Momentalne pouzivam 27" QHD a bez scalingu. Pri 28" sa obavam, ci 4K nebude male a ked dam scaling na 125% alebo 150% tak budem mat vo vysledku menej pixelov k dispozicii ako mam teraz na QHD. Alebo radsej volit 32", kde uz by sa dalo fungovat bez scalingu?

4K na 32" bez scalingu je jako FullHD na 16" monitoru. Odpověz si sám, jestli je to  reálné nebo ne. Já mám nativní 4K na 43" a přijde mi to akorát.

Pokud je tam backplane s expanderem, tak je scénář kdy to jeden SATA disk sestřelí docela možný. Na SAS expanderu jsou obecně SATA disky trošku loterie.

Pokud se nepletu, tak 10x2.5" R630 má backplane s expanderem a 8 disková bez.

Ano, je tam 10x2.5'' pozic, takže asi to je backplane s expanderem. Myslíš tedy, že by mohla změna disků za "opravdový" (kinston DC600) pomoc? Měl jsem v plánu tam strkat SATA levné disky, ale asi to přehodnotím. Máš třeba nějaké disky vyzkoušené?

Děkuju za reakci

Samsungové datacenter jsou obvykle v pohodě i ty SATA. Ale lepší je mít SAS.

Hele a takový hint. Vypni ten smartd, on občas dokáže dělat fakt divný věci.

Díky za reakci. Tím myslíš, že by se mohly ty chyby projevit jenom pokud je smartd zapnuty resp. provádí testy? Že by je jako odhalil, jinak by k  resetu řadiče nejspíš nedošlo?

Ano, už jsem několikrát zažil, že smartd dělal reset řadiče nebo chyby v komunikaci. To časté dotazování na stav a pouštění testů je občas problém. Disk podle dat cos poslal vypadá v pořádku, takže bych hledal jinde (smartd, kabel, backplane, řadič).

Pokud je tam backplane s expanderem, tak je scénář kdy to jeden SATA disk sestřelí docela možný. Na SAS expanderu jsou obecně SATA disky trošku loterie.

Pokud se nepletu, tak 10x2.5" R630 má backplane s expanderem a 8 disková bez.

Ano, je tam 10x2.5'' pozic, takže asi to je backplane s expanderem. Myslíš tedy, že by mohla změna disků za "opravdový" (kinston DC600) pomoc? Měl jsem v plánu tam strkat SATA levné disky, ale asi to přehodnotím. Máš třeba nějaké disky vyzkoušené?

Děkuju za reakci

Samsungové datacenter jsou obvykle v pohodě i ty SATA. Ale lepší je mít SAS.

Hele a takový hint. Vypni ten smartd, on občas dokáže dělat fakt divný věci.

Pokud je tam backplane s expanderem, tak je scénář kdy to jeden SATA disk sestřelí docela možný. Na SAS expanderu jsou obecně SATA disky trošku loterie.

Pokud se nepletu, tak 10x2.5" R630 má backplane s expanderem a 8 disková bez.

Napsal jsem SZ

Děkuji za radu, jen bych se chtěl zeptat (abych nenastavoval nesmysly) - subject.user == "" zde tedy dám přihlašovací jméno klienta tzn. user_NTB namísto user_VPS ?
Bude mi to fachat na ten token od yubikey s tím starým klíčem? (tento klíč používám na asi 15 soukromých strojů, k některým se jinak než přes ssh (a ty moje staré klíče) nedostanu, tak bych nechtěl vše dělat úplně znova.

na tom Yubikey 5 NFC mám klíče které používají šifry sk-ecdsa-sha2-nistp256@openssh.com,sk-ssh-ed25519@openssh.com

Jméno uživatele, který je v tom lokálním systému ze kterého se přihlašujete. Za normálních okolností má k té kartě ( pokud je opensc překompilováno s polkit ) přístup pouze root. Takto se přidá oprávnění pro dalšího konkrétního reálného uživatele v systému. Případně lze celou tu číst s tím subject.user vynechat a tím bude mít možnost z té karty číst každý uživatel ... ale to je z pohledu bezpečnosti ošklivé.

Ano, bude to fungovat, ten privátní klíč je uložený v tom yubikey.

Předně bych se vykašlal na pkcs11. Vypni agenta v openssh a nahraď ho gpg-agentem.

do ~/.gnupg/scdaemon.conf přídej řádek disable-ccid ( je potřeba od gnupg 2.4 )

Pak můžeš narazit na tento bug https://dev.gnupg.org/T5935
řešením je do klientské konfigurace ssh přidat:

Kód [Vybrat] Rozbalit


KexAlgorithms -sntrup761x25519-sha512@openssh.com
HostKeyAlgorithms -ecdsa-sha2-nistp256



Pokud je opensc překompilované se zapnutým polkit, tak přidej do adresáře /etc/polkit-1/rules.d soubor s příponou .rules a následujícím obsahem a do subject.user dej jmeno sveho uzivatele:

Kód [Vybrat] Rozbalit


polkit.addRule(function(action, subject) {
    if (action.id == "org.debian.pcsc-lite.access_card" &&
        subject.user == "") {
            return polkit.Result.YES;
    }
});

polkit.addRule(function(action, subject) {
    if (action.id == "org.debian.pcsc-lite.access_pcsc" &&
        subject.user == "") {
            return polkit.Result.YES;
    }
});


Pokud ti to napíše The agent has no identities, tak restartni pcscd.

Přesně pro tyhle potřeby mam Mackbook Air. Je to malý, lehký, naprosto tichý a na baterce to vydrží spolehlivě celý den. Repas s M1 se dá koupit pod 15tisíc.

Na MacOS mi z pohledu ergonomie a ovládání dost věcí nevyhovuje ( proto ho nemám jako hlavní pracovní nástroj ), ale pro tyhle občasné příležitosti se s tím prostě dokážu vyrovnat a fungovat na tom.

Ahoj,
chtel bych se zeptat co pouzivate pro centralni autentizaci pro Linuxovou infrastrukturu?
Je v soucasne dobe neco lepsiho nez LDAP?   
Neco co zvladne autentizaci pomoci uzivatelskeho jmena a hesla?
Pripadne neco co zvladne prihlasovani pomoci klicu?

Pochopitelne s durazem na HA

Z dotazu není zřejmé, proč to řešíte a pro jaké typy služeb.

Proti LDAPu máme postavený Keycloak a kde to jde běží autentizace právě přes Keycloack a bez potřeby používat heslo.