Názory k článku OpenBSD 6.1: zlomové vydání podporuje RPi a virtualizuje Linux

"svého blahosklonného monarchy, že virtualizace jen zvyšuje nebezpeční prolomení nebo selhání systému."

je to nutne psat takovy emocionalni blaboly? pokud se trochu orientujete v problemu, tak vam je jasne, ze to namitka stale plati, jiz ze samotne podstaty hw platformy x86.

http://slovnik-cizich-slov.abz.cz/web.php/slovo/kontribuce

Bylo by mozne si v redakci pohlidat aby alespon clanky psal nekdo, kdo ma alespon minimalni prehled v oboru, kdyz uz to neni mozne u zpravicek? :-)

Tak jdem na to:

"Nejdřív zuřivě popřou, že by někdy podpořili tu či onu technologii, a o pár vydání později v plné slávě předvedou opak. Nyní přichází odmítaná podpora RPi" - je dobre si fakta overovat u vyvojaru, ale to by pak neznelo tak bombasticky. Vyvojari pochopitelne chteli mit podporu pro Raspberry Pi (a RPi2). Ale to nebylo mozne pokud se meli zaroven dodrzet pozadavky na licence, kvalitu kodu a dostupnost dokumentace. Situace se zmenila az s RPi3 a taky proto pro nej prichazi podpora. Takova "nahra" za RPi/RPi2 tak bylo https://www.openbsd.org/armv7.html . K samotnemu RPi3 asi nejlepe http://undeadly.org/cgi?action=article&sid=20170409123528

"odmítali vývojáři OpenBSD virtualizaci jako takovou slovy svého blahosklonného monarchy, že virtualizace jen zvyšuje nebezpeční prolomení nebo selhání systému" - lidska blbost je opravdu nebezpecna. Vyvojari jako takovi (a ani Theo) nejsou proti virtualizaci. Kdyby ano, tak tam uz roky neni ve spickovem stavu treba LDoms pro SPARC HW, neni integrovana podpora pro VMware a Hyper-V (a to uz nejakou dobu) a ano, nezacali by ani pracovat na vmm. To proc na vlastnim je opet klasika licence, kvalita kodu a v prve rade neco kde pojede poradne OpenBSD a bude to odladeno nez se prida podpora jinych OS (vim, ze je strasne moderni delat veci stylem pejsek a kocicka, ale nastesti nemaji vsichni vyvojari tuto potrebu :-)). A ano, virtualizace zvysuje nebezpeci prolomeni nebo selhani systemu coz OpenBSD dokazalo prave nalezenim nekolika kritickych chyb v LDoms, VMware, Xen, VirtualBox, VMware........ Smutne, ze vyrobcum trvalo nekolik let nez to zacali uznavat taky ve svych dokumentacich, ale jeste smutnejsi je, ze takova informace se jeste k administratorum ve statnich institucich nedostala.......

"Z faktické stránky je zajímavé, že implementovali podporu pledge pro vmm ...." - zrovna tohle by mela byt jedna z hlavnich veci o ktere by se clanek mel nest, kdyz uz to ma byt o OpenBSD http://man.openbsd.org/pledge https://www.openbsd.org/papers/dot2016.pdf . Z tonu clanku ale vyplyva, ze na tyto https://www.dotsecurity.io/ konference se zvou jen blazni, tak asi to tak bude no :-)

"Puffy v pavučině sítí" - to je az tak strucne, ze je to snad i skoda komentovat. Site, jejich virtualizace, WiFi a vsechno okolo je tak silna stranka a jedno ze dvou hlavnich zamereni OS. K tem AP https://www.openbsd.org/faq/faq6.html#Wireless by neskodilo osvezit si https://www.openbsd.org/goals.html a pochopit proc tomu tak je. Pravda 802.11n podpora se dostava do OS pomerne pozde, ale ono to WiFi ma svych vlastnich problemu dost https://arstechnica.com/information-technology/2017/03/802-eleventy-what-a-deep-dive-into-why-wi-fi-kind-of-sucks/ . Da to ale prece rozum, ze v teto oblasti neni o cem mluvit a Apple pouziva pf jako FW v MacOS nebo Google C v Androidu jen proto, ze to je k nicemu :-)

"Není instalátor jako instalátor" - komplet binarni aktualizace systemu pouzivam uz peknou radku let. Ale z textu by neznaly clovek mohl nabyt dojmu, ze se tak dosud nedelo. Coz by byl ale omyl. Pravdepodobne jste chtel rict neco uplne jineho. Ze pokud pouzivate -release (vychazi 2x rocne jako oficialni vydani) / -stable (to kde jdou patche), tak uz nemusite jednotlive patche kompilovat ale muzete je instalovat pomoci http://man.openbsd.org/syspatch . Vetsina tech ostatnich co system znaji a pouzivaji je stejne na -current a nemusi kompilovat ani popel a ma vsechno binarne uz nekolik let. Jenze i jako administrator nejakeho vetsiho prostredi by jste mel vedet, ze i "stare" release/stable slo udelat binarni update a ten pak distribuovat centralne ve firemni siti a ne na kazdem stroji vsechno kompilovat jako osli hlava (na to jsou tady specialisti jinych OS :-D). Pravda Linux a dalsi projekty se ted s velkou slavou snazi prosadit -current model OpenBSD, jen to pojmenovavaji jinak, ale to ze jsou 20 let pozadu to bohuzel nemeni (a pokud vezmu v potaz kvalitu, tak dost let bych musel pridat :-))

"Bezpečnost nade vše, jako vždy!" - tady vypadla opet ta nejdulezitejsi vec a to navic ta, co se tyka i instalaci a to http://man.openbsd.org/signify nebo lepe pro prehled https://www.openbsd.org/papers/bsdcan-signify.html . Ale kdyz cely clanek vypada jako o mesic zpozdena perioda, pardon, April, tak se ani moc nedivim

"Co dál?" - kdyz pominu prival penez za posledni 3 roky http://www.openbsdfoundation.org/contributors.html (ktery opravdu neustava), aktivni spolupraci vyvojaru MS na integrovani OpenSSH do PowerShellu, neustale vylepsovany https://www.openbsd.org/papers/httpd-slides-asiabsdcon2015.pdf , obrovske pokroky v LibreSSL https://www.openbsd.org/papers/linuxconfau2017-libtls/ (sakra, nekdo je pozval na Linux Conf, pruser :D) nebo ze od verze 6.1 uz nevychazi na CD http://marc.info/?l=openbsd-misc&m=149232307018311&w=2 a mnoho dalsi, tak se vlastne vubec nic nedeje :-)

Ked budete riesit zabezpecenie virtualizacie, mohli by ste spisat aj takyto navod pre OpenBSD?

https://www.root.cz/clanky/bezpecny-tor-klient-ve-virtualizovanem-prostredi/
Super clanok, vdaka.

K čemu? Na Toru už dávno nic bezpečného není.

Takova forma propagace a vyzneni clanku nadela vice skody nez uzitku. Nejvetsi vinu zde ale nese redakce, ktera na "odbornem" serveru umozni bulvarizaci a cervenou knihovnu. Kazdy pochopitelne neni Tisnovsky a ani to neni cílem, ale nejaka minimalni kontrola vysledku jina nez na pravopis by se hodila.

Popularizaci OpenBSD by treba dost prospelo, kdyby se prestali pouzivat pohadky o tom jak Theo někomu slapl na kuri oko (pricemz se drive nebo pozdeji ukazuje ze mel zase pravdu).

Linux a vmm.... https://marc.info/?l=openbsd-tech&m=149048271705188 . Jenze to predpoklada pouziti -current a je to cele v aktivnim vyvoji. Coz o to vyvojari a uzivatele OpenBSD to chapou, ale ten na koho je cilena pripadna propagace vetsinou ne a bude jen brblat jak mu neco pada a ze co to je za kram. Jakmile to bude funkcni, tak dokumentace vcetne prikladu bude neustale aktualni v man.

Filozofii celeho systemu, pristup k vyvoji, programovani, dokumentaci, licencim, kvalite a souvislostem nejde obsahnout tutorialem, ktery je za par tydnu nebo mesicu neaktualni.

"Popularizaci OpenBSD by treba dost prospelo, kdyby se prestali pouzivat pohadky o tom jak Theo někomu slapl na kuri oko (pricemz se drive nebo pozdeji ukazuje ze mel zase pravdu)."

presne, tyhle emocionalni blaboly autora jsou opravdu nevhodne, snizuji zasluhy vsech dalsich vyvojaru, pac openbsd neni jen Theo a svete div se, i kdyby on sam skoncil, tak projekt pojede dal.

me osobne cist v clancich, casto jiz v prvnich vetach, o OpenBSD poznamky o Theovi fakt unavuji.

Petr to ustal coz jsou jednoznacne plusove body. Nikde jsem nepsal, ze to je se mnou snadne :D Tipuju, ze to chtel asi napsat s nadsazkou nebo humorem, ale to se obavam, ze v pripade tohoto OS se v Linux komunite bude obecne mijet ucinkem.

Na humor spojeny s OpenBSD at uz text, obrazky nebo hudba je jednoznace k doporuceni tento odkaz :-) http://www.openbsd.org/lyrics.html

Ano, clanek pokud neni v sekci humor nebo April nebo neco v tom smyslu a na odbornem/technickem serveru by mel projit kontrolou na to aby se drzel faktu. Jasne, ze do nej nejde dat vse co se nejakeho OS tyka (na to je prilis komplexni jakykoliv z nich), ale pokud mozno byt neutralni. V diskuzi uz se zvladneme pomlatit sami :-)

Moc děkuji za shrnutí novinek, článek je psán s nadhledem a připomíná mi velmi povedenou přednášku na Linuxdays. Je trochu škoda, že diskuze se ne vždy vede v přátelském duchu, rozhodně jsem ale rád za zajímavé odkazy - syspatch rád vyzkouším, doteď jsem používal skript openup. Po přednášce jsem verzi 6.0 nainstaloval na svůj "armádní" Panasonic CF30, instalace včetně ovladačů OK, jen mi v XFCE náhodně padal Firefox, Geany nebo Libre Office, zkusím novou verzi. Také škoda absence češtiny v konzoli a českých lokalizačních balíčků obecně, naštěstí v X terminálu nabodeníčka fungují bezproblémově.

Na plánovaný článek
Instalace Linuxu na vmm a způsob zabezpečnení virtualizace v OpenBSD
se moc těším, vážím si každého autora, který obětuje svůj čas a informace o zajímavém systému připraví. Také se mi líbí čištění a zjednodušení kódu, určitě parádní přístup.

V blízké budoucnosti bych rád OpenBSD nainstaloval na Raspberry PI 3, aktuální vydání je první, které jej podporuje, nezkoušel jste tuto možnost? Zkušenosti by pomohly nejen mě, ale věřím, že i ostatním, přeci jen první vydání nemusí být plně odladěné.

Firefox je potvora - tohle asi zaujme http://undeadly.org/cgi?action=article&sid=20170425173917 , je ale skoda kolik "open source" projektu ve skutecnosti casem preslo/precha­zi/smeruje k modelu - budeme podporovat jen jeden OS

OpenBSD a RPI3 - http://undeadly.org/cgi?action=article&sid=20170409123528

Obecne doporuceni - nezkouset na vydanich jako 6.0, 6.1 atd., ale instalovat -current za pomoci binarniho snapshotu. Snadna instalace z ISO nebo USB image, binarni aktualizace denne (nebo treba jednou za mesic, jak cloveku zjednodusene vyhovuje) jednoduse pres bsd.rd jadro, nasledovano reboot a sysmerge(8), obcas mozny manualni krok z https://www.openbsd.org/faq/current.html , ale to zalezi na tom co clovek ma vsechno nainstalovano a co pouziva nasledovano pkg_add -ui . Kompletni upgrade OS, konfiguraci a balicku za cca 10min (dle rychlosti pripojeni).

Pro vyvojare, testovani uprav atd. je tady http://man.openbsd.org/release , pro bezne uzivatele jen pokud se chteji neco priucit nebo si to vyzkouset a jinak jen priznivci S/M, kdyz je tady jina cesta s upgrade behem 10 min :D

Paráda, díky za zajímavé odkazy, vidím, že zdaleka nejsem sám, kdo má potíže s Firefoxem. Tím spíš se těším na jeho test v 6.1 nebo -current, nakonec brouzdat jsem si zvykl i v grafické verzi linksu a špatně nevypadá ani Qutebrowser od dalšího OpenBSD nadšence:

https://sivers.org/openbsd

Článek ohledně instalace na RPi je super, autor ale využívá current verzi, takže jsem si chtěl počkat na test aktuální 6.1, plánuji jej využít jako domácí web a TADS server a zde mi stabilní vydání přijde vhodnější řešení.

Nyní vyzkouším obě řady, na notebooku mám k dispozici druhý disk s Archem, tak si alespoň zkusím dualboot a dám si čas pořádně otestovat stabilní i current verzi, podle popisu vypadá moc zajímavě. Samozřejmě hodně závisí i na použitém hardware, s mojí CF30 jsem absolutně spokojen a klidně jí budu používat dalších 10 let, takže rád zjistím, která mu chutná líp.

Firefox ma cim dal vetsi problemy hlavne s narocnosti na prostredky :-)

Moc dobry odkaz od Siverse

RPi nebo i dalsi veci kde je "nutnost" mit current jsou jednou z ukazek co se vlastne pouziva a proc. V -current je podpora pro novy HW, aktualizace SW (treba Gnome posledni dobou casto je v OpenBSD novejsi verze drive nez v Linuxu, asi Karma :D).. Nesmis se divat na stable/current pohledem Linuxu stable/(beta,al­pha), protoze tak to neni. Za tech skoro 20 let muzu s klidnym svedomim rict, ze -current OpenBSD je vice stable nez treba Ubuntu LTS. Za tu dobu bych pripadne komplikace spocital na prstech jedne ruky a vsechny sli vyresit jednoduse pomoci OpenBSD nastroju bez nutnosti reinstalace (a ano, pocitam do toho i produkcni nasazeni od desitek po tisice uzivatelu firewallu, mail serveru, backup serveru a podobne jak na sousi, tak na mori :P). -stable v podstate bylo vymysleno pro uspokojeni potreb firem a uzivatelu, kteri potrebuji mit zaruku, ze treba minimalne rok se budou dit jen male zmeny (plus nektere jine specificke vyuziti), ale pokud neni specialni duvod se omezovat, tak je proste lepsi -current kde jsou i opravy veci co se neopravi ve stable, podpora noveho HW, aktualni SW atd. (je to fakt jednoduche).

Jo, máš recht s tím Firefoxem, ale co naplat, my věčně nespokojení uživatelé stále bažíme po novinkách a tak nám programy bobtnají, u OpenBSD na to jdou jinak, tak jsem si řekl, že bych se mu rád juknul na zub - upřímně řečeno, pro mojí práci plně dostačuje to, co nabízí v balíčcích a v případě potřeby mohu použít jeho nebo např. FreeBSD porty, typický příklad je např. FrobTADS pro textovky.

Siversův web už sleduji delší dobu, jeho rady ohledně instalace na notebook mi hodně pomohly a chlapec se nazalekne žádné nové verze, chvála mu:-)

Tak to je paráda, opravdu jsem se díval na -current očima uživatele Linuxu. Je-li alespoň tak stabilní jako běžný Linux, není důvod jej nevyzkoušet, já mám s Debianem, Ubuntu a nečekaně i s Archem jen ty nejlepší zkušenosti. Dokumentace pro current je u OpenBSD parádní:

https://www.openbsd.org/faq/current.html
https://www.openbsd.org/plus.html
http://sohcahtoa.org.uk/openbsd.html

takže není důvod se ho bát. Použiji snapshot, jakákoliv kompilace ze zdrojáků u mě nepřichází v úvahu, ani CF30ka, ani RPi na tohle holt nejsou. Jsem rád, že jsi se systémem spokojen, to je pro mě důležitá vazba, používáš OpenBSD kromě výše uvedeného i na desktopu?

Každopádně si dám čas a na Panasonicu zkusím obě verze, třeba mi release nebo stable bude stačit, to zjistím jen tak, že vše vyzkouším, mezi Q4OS a Archem jsem si nakonec pro běžnou práci vybral první možnost, protože novinky je sice parádní vidět, ale upřímně řečeno je v praxi nepotřebuji - na RPi bude určitě lepší current.

S tím mořem jsi mě dostal, před očima právě teď vidím plachetnici s pomocným motorem ovládaným přes RPi, tohle musím taky zkusit:-)

Zdravím, Petře,
jsem rád za každý článek o OpenBSD, kromě rootu a diit toho na českých webech moc k vidění není a co si budeme říkat, každá zajímavá informace navíc se cení.

Na vmm se moc těším, pokud vývojáři opravdu reagují na dotazy, je to paráda, stejně pozitivní zkušenost mám se svým aktuálně používaným kombem Q4OS a XPQ4, to je podle mého názoru kromě kvalitní dokumentace důležitý mezník, který určuje kvalitu systému jako celku. Pokud pod tím bude rozumně běhat linux, OpenBSD se stane ještě mnohem zajímavější.

U RPi tedy zatím počkám, mám doma jeho první verzi a jako domácí web a TADS server uvažuji právě o trojce nebo Pine64 a zajímaly by mě konkrétní zkušenosti s provozem tohoto OS. Ale je čas, nikam nespěchám, teď si rozchodím 6.1 a current na svém notebooku a budu pořádně testovat.

SNI? To je novinka? Nebo jen nechapu o co jde? V linuxu je normalni mit na jednom IP vic domen uz 5 let nebo 10?

Samozrejme, ze to neni novinka. Protoze leta predtim se pouzivalo OpenSSL. Ne vse je ale hned prepsano do LibreSSL. Tam (a do httpd(8)) se SNI dostalo az 22.8.2016. Takze kdo potreboval SNI, musel pouzivat OpenSSL.

A samozrejme je k tomu i man http://man.openbsd.org/SSL_CTX_set_tlsext_servername_callback