future parser readyness

Merge remote-tracking branch 'shared/master' into leap_master

Merge branch 'feature/stretch' into 'master'

Add sshd_config template for Debian Stretch.

See merge request !22

Add sshd_config template for Debian Stretch.

Merge branch 'support_missing_ubuntu_releases' into 'master'

[feat] [feat] Support missing ubuntu releases

Add quantal, raring, saucy, trusty, utopic, vivid, wily, xenial ubuntu release

See merge request !20

Merge remote-tracking branch 'shared/master' into leap_master

[bug] Fix typo for including sshkey class

Merge remote-tracking branch 'shared/master' into leap_master

Merge branch 'disable_stored_config' into 'master'

[feat] Optinally disable exported resources

If run masterless, we cannot export resources, so
we move them to an own class. Including it can be
disabled by passing "use_storedconfig" to the sshd
class.

See merge request !21

[feat] Optinally disable exported resources

If run masterless, we cannot export resources, so
we move them to an own class. Including it can be
disabled by passing "use_storedconfig" to the sshd
class.

Merge remote-tracking branch 'shared/master' into leap_master

[feat] [feat] Support missing ubuntu releases

Add quantal, raring, saucy, trusty, utopic, vivid, wily, xenial ubuntu release

Merge branch 'autossh' into 'master'

autossh support

this series of commits adds support for autossh, to automatically create a tunnel with port forwarding.

we use this to login to *really* remote servers reliably, behind multiple NATs and satellite connexions.

it rocks.

See merge request !18

Merge branch 'disable_debian_banner' into 'master'

disable the debian/ubuntu package version from being sent to clients

dkg pointed out to riseup that our ssh servers were revealing the package version to clients, which is controlled by the DebianBanner config option. It exists in both Debian and Ubuntu and defaults to 'yes', so we explicitly set it to 'no' in the templates for those distros.

See merge request !17

Merge branch 'master' into 'master'

choose better MAC for squeeze and wheezy

both squeeze (1:5.5p1-6+squeeze6) and wheezy (1:6.0p1-4+deb7u2) have MACs better than hmac-sha1 available in the default search, they both have hmac-sha2-512, hmac-sha2-256, and hmac-ripemd160. So switch to using hmac-sha2-512, which lets us lock down the client MACs more.

See merge request !19

choose better MAC for squeeze and wheezy

both squeeze (1:5.5p1-6+squeeze6) and wheezy (1:6.0p1-4+deb7u2) have MACs better than hmac-sha1 available in the default search, they both have hmac-sha2-512, hmac-sha2-256, and hmac-ripemd160. So switch to using hmac-sha2-512, which lets us lock down the client MACs more.

disable autossh control port

this is important to make it easier to guess the ssh port from the
central server.

we rely on ServerAliveInterval instead to reconnect when we lose the
server.

this was unintentionally removed in november 2012 in the isuma-autossh
package, saying it was "not supported everywhere" and due to some
confusion about the defaults (defaults are to *enable* the port). see
commit ec0ebdd9533a29ee4f62f9fbb84ee9e80219ef84 in there.

make autossh fork properly

implement autossh reload

not sure what this was for, but it was in the original implementation

properly implement daemon

allow customizing user

try to avoid conflicting with the isuma-local-servers package

rewrite autossh startup script with dh_make template

remove traces of isuma vendor

import from autossh package

Facter values changed in 2.x for XenServer

disable the debian/ubuntu package version from being sent to clients

Add newline to ssh_authorized_key file content

Simplify ssh_authorized_key

Revert "Simplify ssh_authorized_key"

puppet-lint complains about "selector inside resource"

This reverts commit f3c0115743cab9d4e6c08b654b67631566572d41.

Simplify ssh_authorized_key

Add header to ssh_authorized_key when override_builting = 1

Fix invalid single quotes around variables

Merge branch 'debian-login-grace' into 'master'

sync LoginGraceTime with debian defaults

for some reason this was 10 minutes in our module, yet 120s everywhere else.

and only in wheezy too, wtf...

See merge request !13

Merge branch 'master' into 'master'

add override_builtin parameter to handle the common authorized_key directory case

riseup uses a common authorized_keys directory and this commit works around a bug in the puppet function that can't handle that. See the longer comment in the code.

See merge request !15

add override_builtin parameter to handle the common authorized_key directory case

sync LoginGraceTime with debian defaults

Merge branch 'fix_lookupvar' into 'master'

Adjust variable lookup in templates to silence deprecation warnings, fixes #1

See merge request !12

Adjust variable lookup in templates to silence deprecation warnings, fixes #1

Merge branch 'enhance_hardened' into 'master'

Enhance hardened

This implements as many recommendations in https://stribika.github.io/2015/01/04/secure-secure-shell.html as possible

See merge request !10

Implement enhanced MAC (Message Authentication Codes) according to
installed version of openssh and https://stribika.github.io/2015/01/04/secure-secure-shell.html

Implement enhanced symmetric cipher selection, based on
https://stribika.github.io/2015/01/04/secure-secure-shell.html and
version of openssh installed

Implement KexAlgorithms settings, based on Key exchange section of
https://stribika.github.io/2015/01/04/secure-secure-shell.html

Note, that on some systems it is uncertain if they will have a new
enough version of openssh installed, so on those a version test is done
to see before setting them.

Change 'hardened_ssl' paramter to simply 'hardened', this makes more
sense in general

Merge branch 'remove_lenny' into 'master'

remove Debian Lenny support

See merge request !8

Merge remote-tracking branch 'shared/master' into leap_master

Conflicts:
templates/sshd_config/Debian_wheezy.erb

remove Debian Lenny support

Merge remote-tracking branch 'micah/remove_etch' into shared

Conflicts:
templates/sshd_config/Debian_etch.erb

Merge branch 'hostkey_type' into 'master'

Hostkey type

This is the pull request associated with: https://labs.riseup.net/code/issues/8285

See merge request !6

remove etch support

Add GPLv3 license

change the ssh_keygen function to use different methods depending on if
its puppet 3 or puppet 2

Given that ssh -V prints the info we want on stderr, made it so we are 100% sure we are only parsing the expected string

Merge branch 'document_nagios_custom_logic' into 'master'

Document nagios custom logic

Add some note for ppl who need to inject their own logic before creating nagios-related checks.

See merge request !5

README: mention how one could reuse nagios resources with their own logic

Some people might want to inject their own logic before including nagios
resources. We can explain that since the nagios resources are in their
own part of the manifests, they can shortcut the module's automatic
handling of it, and call it manually from their own manifests.

README: Change project URL to point at the new one

Merge branch 'master' into 'master'

Add RedHat_xenenterprise template symlink

See merge request !4

Add RedHat_xenenterprise template symlink

Merge branch 'master' into 'master'

Fix for Debian squeeze and ssh_keygen for Puppet < 3 installs

Facter versions that are shipping in Debian squeeze and wheezy do not support the operatingsystemmajrelease core fact, which appears only from facter 1.7 onwards.

This isn't a big problem for wheezy since the openssh-server version it ships supports multiple AuthorizedKeysFile file paths,

On Debian squeeze, openssh-server does NOT support multuple AuthorizedKeysFile and will refuse to start with such a definition.

ALSO:

`ssh_keygen` is currently broken for Puppet 2.7.x clients. This commit should resolve the issue.

The fix was suggested by @ng in reference to https://github.com/duritong/puppet-sysctl/blob/master/lib/puppet/provider/sysctl_runtime/sysctl_runtime.rb#L16-L17

See merge request !3

Fix ssh_keygen for Puppet < 3 installs

Debian squeeze and wheezy do not support the operatingsystemmajrelease fact (they ship facter 1.6.x)

Add a $hostkey_type variable that allows you to set which hostkey
types you want to support in your sshd_config.

We use the ssh_version fact to determine the default hostkey types.
Only enable rsa and ed25519 for ssh versions greater or equal
to 6.5, otherwise enable rsa and dsa.

Some distributions, such as debian, also enable ecdsa as a hostkey
type, but this is a known bad NIST curve, so we do not enable that
by default (thus deviating from the stock sshd config)

add custom fact, providing ssh_version

Merge remote-tracking branch 'tails/feature/jessie-and-sid-templates'

Revert "Revert "get ecdsa host keys in Debian Wheezy""

This reverts commit 37bd36fe06c0fafb353a01672d29cf4bffdc9e4a.

We need to transition in a smoother way. Simply making this change
is too rough. See #6319

Merge remote-tracking branch 'immerda/master'

Revert "get ecdsa host keys in Debian Wheezy"

This reverts commit 1eabfe1b590f6663c2558f949408a08fc5f58fa6.

These shitty NIST curves are no good

Copy the Debian sid template to a new one for Jessie.

Another option could be to symlink it, but the freeze is coming soon, so most
likely they'll start to diverge at some point.

Resynchronize Debian sid template with the configuration file currently shipped by the package.

move to os release number on centos for selection

Openbsd also does not yet have it

EL 6 also does not have this option yet

lintig a document

not all versions support the new default

Merge remote-tracking branch 'shared/master'

Conflicts:
manifests/init.pp

update $authorized_keys_file variable default to be the default is
documented by sshd_config(5)

add the ability to override the automatic inclusion of the sshd_client

linting

remove unnecessary param

renamed ipaddress_fact to sshkey_ipaddres

too tired to type

fixed variable name

custom ip address fact

add test for options

wording

tests for ssh authorized key

Merge pull request #7 from deric/more-tests

More tests

validate parameters

removed lsb-release package

removed special no-restart status for etch

using fixtures.yml for linking folders

test changing port

client spec

ruby 1.8.7 compatibility

removed shared-common from dependencies

basic init class specs

replaces shared-lsb by puppetlabs/stdlib

adjust readme

fix broken tests

These tests were broken before, because they didn't mock the right
method.

removed files directory