Vlákno názorů k článku Stavíme vlastní e-mailový server: základní nastavení systému od tatarko - Aj ja chlavim autora avsak : 1. vypinat firewalld...

3. Klíče pro ssh se mohou dělat na klientovi a stěhovat tak pouze veřejný klíč, nikoliv soukromý.
4. funkcionalita ntp je již v systemd, takže stačí timedatectl set-ntp true. (Pokud nebude dál potřebovat speciální funkce ntpd.)

Ok, dík za info. To se nám ta jednota a všude stejné nastavení trochu rozpadá.

Dík za článek, paráda.
A ještě doplním k bodu 3, klíče by se měly dělat na klientovi, poněvadž na VPS nebývá dostatek entropie.

Je to samozřejmě pravda, ale taky by se k tomu dalo dodat, že server nemá být hostovaný na cizím VPS, protože spoustu věcí lze vyčíst z memory dumpu, na konzoli lze zachytávat klávesnici atd atd. Proto tuto část bezpečnosti v návodu příliš neřeším a proto tam neřeším ani šifrování dat. Prostě to nemá smysl. Na serveru generuji v návodu klíč proto, protože to prostě funguje a nemusím řešit, jak vygenerovat klíč v Linuxu, Windowsu, Macu a já nevím, kde ještě. Jsou to drobné ústupky, ale na druhou stranu je to pořád lepší, než root s heslem 1234 a povoleným přihlášením odkudkoliv.

K argumentům pro iptables-service bych přidal to, že všude na internetu je plno návodů na iptables. Jakmile to máte něčím obalené (ať už jsou to „jen“ distribuční skripty, nebo je nad tím celá aplikace), komplikuje použití všech těch materiálů – přečtete si, jak něco nakonfigurovat v iptables, pak musíte zjistit, jak firewalld mapuje věci na iptables a pak to nakonfigurovat tak, aby vám z firewalld nakonec vypadla ta pravidla pro iptables, která jste znal na začátku. Přičemž třeba u těch distribučních skriptů to bývá tak, že ten postup transformace z konfiguráku do pravidel iptables není nikde zdokumentován, takže nezbývá než najít si to v příslušném skriptu. Skript, na kterém musím dělat nejdřív reverzní inženýrství, mi nijak nepomáhá, právě naopak. Samozřejmě také může nastat případ, kdy daná nadstavba příslušnou věc nepodporuje vůbec, a pak musím ještě řešit, jak skloubit tu nadstavbu s nativními iptables.

Podobné je to často s konfigurací sítě. To byl můj největší problém, když jsem kdysi začínal s Linuxem – přečetl jsem si návod, nakonfiguroval síť a firewall pomocí ip a ipchains, a pak jsem zjistil, že distribuce má na konfiguraci sítě jakési podivné soubory, které na ip vůbec nepasují (bodejť by také pasovaly, když skripty ještě používaly ifconfig).

Takže pokud někdo využije ty služby, které poskytuje nějaká nadstavba, ať ji používá. Ale pokud je to obecný návod, je podle mne mnohem lepší použít základní nástroj, protože si to pak každý může transformovat pro tu svou nadstavbu, kterou používá.

Ano, to je důvod, proč samotný OpenWRT nepoužívám a vážně uvažuju, že na Turris Omnia dám jiný systém. Na router dávám Linux proto, protože umím v Linuxu síť nakonfigurovat podle svých představ – ne proto, aby mi v tom nějaká mezivrstva překážela.