Reprise du message précédent :
je pensais que ce serait plus compliqué, merci je vais appliquer ça  

 
Passphrase + Keepass. Une passphrase par serveur.

Comment je devrais faire : déploiement auto/config via conf management et récupération/gestion des clés ssh avec nopwd sur sshd.conf voir 0 root et uniquement sudo (avec porte d'entrée depuis un subnetwork protégé pour le root via ssh). Reste la question du login console (root) via idrac/ipmi.
 
Comment on fait : password root commun (je cale quand même ma clé partout)

tu vires le ssh et tu réactives telnet, personne n'y pense plus

Genius

On est déjà vendredi ?

petite question aws, d'après le diagramme sur cette page : https://docs.aws.amazon.com/vpn/lat [...] nnels.html
 

 
Dans le cas où on est en routage statique, pour le routage dans le sens AWS vers customer, comment aws détermine t-il quel lien utiliser entre Tunnel 1 et Tunnel 2 ?

 
 
Du sd-wan

Hello, c'est loin et j'ai plus de vpn aws pour tester.
De mémoire, c'est une prio sur le tunnel créé le 1er puis les autres.

Mais comme tu es en statique, ça peut aussi être lié à la configuration de tes vpc et de ta table de routage.

Le plus simple car je ne pense pas qu'il y a bcp d'infos sur ces tunnels, c'est de mettre un cloudwatch :
https://docs.aws.amazon.com/vpn/lat [...] h-vpn.html

Comme ça, tu verra le comportement réel selon ta configuration.

edit: question : tes routeurs n'ont pas d'ip propre ? ils sont bien accédés par tes subnets par le composant vpc ?

De ce que j'ai vu de l'interface aws, les routes statiques qu'on configure pointent sur la virtual private gateway, pas sur un tunnel ou un autre.

Pour le reverse engineering oui bien sûr, mais ce que je cherche c'est plutôt de la documentation qui explique l'algorithme.

 
j'en suis exactement au même point    
 
 
merci pour toutes vos réponses    
 
 
 
Et pour la machine ansible ( ou équivalent pour le conf management):
elle est blindée dans un subnet dédié, accès via 2 FA et uniquement en sortie ssh?
 
sur les clients configurés par ansible vous avez un compte dédié je présume? comment vous limitez les actions de ce compte au strict minimum: seslinux ou sudoers, les 2?

Dans le genre j'ai commencé à vouloir toucher à polkit.
Les premières réponses google semblent toujours s'orienter vers "WTF HOW TO DISABLE THIS SHIT"    

 
Avoir des systèmes qui ne supportent pas SSH et que telnet

 
Oui, c'est bien ce qui me semblait.
Les tunnels n'ont pas d’existence propre dans le réseau vpc aws.
 
Je ne sais pas si tu aura de la doc précise sur ces routeurs/tunnels. c'est de la tembouille interne donc "pas de ta responsabilité/pas de doc".
 
Soit tu as de la chance et tu choppes un tuto d'un mec qui a fait ça, soit tu fais une demande TRES précise au support, soit ...
 
https://docs.aws.amazon.com/vpc/lat [...] ables.html
=>
https://docs.aws.amazon.com/vpn/lat [...] e-priority
 
Ils ne parlent pas des prios des tunnels.
 
Le mieux reste encore d'avoir qqs contacts AWS bien élevés (genre un archi network, archi sys, archi bigD, ...) qui pourra transmettre la question dans les bas-fonds de la structure AWS

 
il suffit de changer le port d'écoute de telnet pour le sécuriser

 
Ca chiffre les données qui transitent dessus de changer le port   ?

telnet-tls

suffit d'utiliser le 443  

Personne ira aller essayer de voir du trafic non chiffré dessus, du coup c'est secure quand même  

 
ouais c'est ce que j'avais vu. "Pas de ma responsabilité" c'est tout relatif, c'est quand même un VPN monté avec mes équipements...

Aujourd'hui, je m'amuse à essayer d'installer un nouveau VCenter : tout nouveau tout beau, un VCenter 6.7U2 dernière version, sur une VM Windows, elle-même hébergée sur un ESX 6.7U2 tout nouveau tout beau.    
 
Je lance l'installe du VCenter et paf ! Erreur à l'installation des VC++ 2015 Redist. Après recherches, ce sont les VC++ 2017 Redist installés par les VMware Tools qui entrent en conflit !    
Encore du beau boulot de dév ça.  

 
Bienvenu dans le cloud et les services tiers sur lesquels tu n'as pas toute la main
(bon, ça ne change pas des prestataires internes qui peuvent être aussi chiants voire plus incompétents)
 
Essayes un ticket au support, tu peux avoir une réponse.
Sinon comme je t'ai dis, le mieux à chaque fois reste de mettre en place une surveillance donc cloudwatch ici.

Comme on parle de bastion, ok pour le ssh mais pour le rdp (hors tunneling) ? ou autre ?

Y'a des bastions rdp aussi. Go wallix/CyberArk/...

wallix ici, ca rame mais ca fait le taf

wallix ici, ça rame pas

J'ai un client qui utilise un scanner de chèques et dont le poste sur lequel il était installé est mort. Le client commande un nouveau PC, Windows 10, et bien sûr le scanner ne fonctionne plus. Je demande à Google : "le scanner ne fonctionne que jusque Windows 10 v1511" (il est en 1809).
 
Donc je dois réinstaller un Windows 10 v1511 (en fin de support en plus) sur ce poste, super...  Je suis bon pour télécharger une image de Windows 10 1511 ou bien y'a une autre solution ?

Il marche sous linux ?

Exactement. Ca décourage le pirate. Hyper habile.  

Lui vendre un nouveau scanner.

Mongodb c'est pas tjrs très explicite Je veux tous les documents dont le prénom est "toto", mais dont le nom de famille n'est pas "derp", et que ça me retourne uniquement les champs champ1, champ2, champ3 de chaque document :  
 

Error: error: {
        "ok" : 0,
       "errmsg" : "$not needs a regex or a document",
        "code" : 2,
        "codeName" : "BadValue"
}
 
Ok, il veut une regex pour le filtre $not, no problem, je donne une regex  
 
 

Error: error: {
        "ok" : 0,
        "errmsg" : "$not cannot have a regex",
        "code" : 2,
        "codeName" : "BadValue"
}
 

ah ouais  

+1

    err: go fuck yourself  

J'ai trouvé, ma syntaxe est correcte pour les dernières versions de mongodb (4.0.7 et ultérieur). Pour ma version un peu moins récente, il faut ruser comme ça  
 

 
 
C'est à la fois une regex et pas une regex C'est un peu la regex de Schrödinger, tu vois comment ?

"MongoDB: The most popular database for modern apps"

ou simplement un nouveau driver ...

 
Comment je déteste les langages où les mecs sont infoutus de donner un exemple concret.

NoSQL c'est le turfu  
 
Pour sa défense, la documentation de mongodb est très fournie. Il ne faut en revanche pas oublier de bien sélectionner quelle version on utilise dans le petit coin supérieur gauche avant de crier victoire sur un truc

Est ce que ces derniers mois tu as eut un problème de timeout d'ouverture de session RDP, résolu si tu retentes immédiatement ? Si oui, comment t'as résolu le souci ?

Ici on est à peu près certains que quelque chose a bougé dans CredSSP ou le protocole RDP mais on n'est pas tous affectés et ça commence à nous rendre dingues quand on est pressé

non jamais eu de problème.  
 
Après j'administre pas du tout le bousin donc je suis sûrement pas le mieux placé pour savoir si on rencontre des problèmes globalement