# YGG.cz - Zdeněk Kubala

> Pochopit · Otevřít · Zlepšit / Understand · Open · Improve

Obsah / Content: CC BY-SA 4.0 - https://creativecommons.org/licenses/by-sa/4.0/
Kód webu / Site code: AGPL-3.0 - https://www.gnu.org/licenses/agpl-3.0.html

Uveď autora a zachovej licenci. / Give credit and keep the licence.

## Česky

- Objevuj: https://ygg.cz/rozcestnik/
- Hledání: https://ygg.cz/hledani/
- Mapa webu: https://ygg.cz/mapa-webu/
- RSS: https://ygg.cz/rss.xml
- JSON Feed: https://ygg.cz/feed.json

### OBJEVUJ — CELÝ SYSTÉM YGG

- [Journal zabere gigabajty dřív, než si toho všimnete](https://ygg.cz/poznamka/journalctl-vacuum/) - poznámka: Výchozí strop journalu je desetina diskového oddílu. Na malém rootu to znamená gigabajty logů, o které nikdo nestojí.
- [Stabilizace infrastruktury](https://ygg.cz/projekt/infrastructure-stabilization/) - projekt: Stabilizace technického zázemí organizace: pravidla správy, dokumentace, platforma pro testování a hosting a propojení s infrastrukturou o úroveň výš.
- [Investiční pomocník](https://ygg.cz/projekt/investment-assistant/) - projekt: Lokální rozhodovací podpora pro vlastní investiční portfolio: data z brokera, pravidelné reporty a analytický rámec s dohledatelnou historií rozhodnutí.
- [mojeWebFoundry](https://ygg.cz/projekt/mojewebfoundry/) - projekt: Framework pro stavbu několika oddělených statických webů na SvelteKitu. Vznikl posunem od Jekyllu a je zároveň způsobem, jak si osahat, co dnešní nástroje umí.
- [Nechytrý bezdrátový zvonek v Home Assistantu přes RF433 a ESP32](https://ygg.cz/navod/esp32-rf433-doorbell/) - návod: Jak zachytit signál obyčejného bezdrátového zvonku na 433 MHz a posílat stisk do Home Assistantu přes ESP32-C3.
- [Stropní světlo na IR ovladač přes ESP32 a ESPHome](https://ygg.cz/navod/esp32-ir-ceiling-light/) - návod: Jak odchytit kódy infračerveného ovladače a ovládat světlo z Home Assistantu přes ESP32-C3 – bez fyzického ovladače.
- [AI jako nástroj](https://ygg.cz/projekt/ai-projects/) - projekt: Převod nápadů do fungujících řešení s pomocí AI – bez programátorského zázemí, ale s architekturou, testy a kontrolou kvality jako u týmového vývoje.
- [SPF, Postfix a rspamd: běžné problémy s doručováním](https://ygg.cz/poznamka/postfix-spf-macros/) - poznámka: Nejčastější důvody, proč SPF kontrola odmítá poštu, která je v pořádku – v DNS záznamu, v Postfixu i v rspamd.
- [Jak funguje DNS delegace a proč na ní záleží](https://ygg.cz/vyklad/dns-delegation/) - výklad: DNS je delegovaný strom: každá zóna může předat odpovědnost o patro níž. Kdo tomu rozumí, chápe, proč se změny propagují pomalu a kde hledat chyby.
- [Víceklientská platforma](https://ygg.cz/projekt/multi-tenant-platform/) - projekt: Webová aplikace pro více organizací nad sdíleným jádrem: oddělená data a nastavení každého klienta, modulární architektura a bezpečnost od prvního dne.
- [Digitální a informační agentura: zprávy o činnosti](https://ygg.cz/odkaz/dia-vyrocni-zprava/) - odkaz: Co se reálně posunulo v digitalizaci státu – čtené optikou dat, ne tiskových zpráv.
- [nftables: pravidla pro domácí síť](https://ygg.cz/reference/nftables-cheat-sheet/) - reference: Referenční karta pro nftables: základní příkazy, tabulky a řetězce a NAT masquerade pro domácí router.
- [Displej bez dokumentace na ESP32: identifikace a zprovoznění](https://ygg.cz/navod/esp32-unknown-display/) - návod: Postup, jak rozchodit TFT displej bez datasheetu na ESP32: určit ho, zapojit a inicializovat. Na příkladu desky E32R35T s řadičem ST7796S.
- [Otevřená data RÚIAN: adresy, stavby a územní prvky](https://ygg.cz/odkaz/cadastre-open-data/) - odkaz: Registr územní identifikace, adres a nemovitostí jako otevřená data – co obsahuje, jak se distribuuje a na co si dát pozor.
- [How Complex Systems Fail](https://ygg.cz/odkaz/how-complex-systems-fail/) - odkaz: Klasický text R. Cooka – proč selhání nikdy nemá jedinou příčinu. Povinné čtení pro každého, kdo provozuje systémy.
- [České hlasové ovládání v Home Assistantu: modely a vlastní věty](https://ygg.cz/navod/home-assistant-voice-czech/) - návod: Hlasové ovládání Home Assistantu v češtině: lokální vs. cloudové modely (Whisper, Piper, Nabu Casa) a vlastní věty pro energii a televizi přes Hassil intenty.
- [Cizí Zigbee zařízení v ZHA: tři případy s custom quirky](https://ygg.cz/problem/zha-custom-quirks/) - řešení potíží: Tři případy ladění Zigbee zařízení v Home Assistantu přes ZHA custom quirk: mmWave senzor přítomnosti, termostatická hlavice MOES a tlačítko IKEA SOMRIG.
- [Chytrá domácnost na Home Assistantu](https://ygg.cz/projekt/smart-home/) - projekt: Domácnost řízená převážně lokálně: vytápění podle počasí a denní doby, měření spotřeby elektřiny i plynu, vlastní ESP32 zařízení a upozornění na telefon.
- [Ubuntu 25.04 (Plucky Puffin): šifrování disku přes TPM, ARM64 desktop a APT 3.0](https://ygg.cz/poznamka/ubuntu-25-04-plucky-puffin/) - poznámka: Non-LTS vydání z dubna 2025: šifrování disku vázané na TPM v instalátoru, oficiální ARM64 desktop, jádro 6.14 se sched_ext, APT 3.0 a konec apt-key.
- [Cyber Resilience Act](https://ygg.cz/odkaz/cyber-resilience-act/) - odkaz: Nařízení EU 2024/2847 o bezpečnostních požadavcích na produkty s digitálními prvky – s poznámkou k původnímu návrhu, který na open source prakticky zapomněl.
- [SELinux od jádra k politice: labely, moduly a hledání chyb](https://ygg.cz/vyklad/selinux-policy-basics/) - výklad: Jak SELinux visí na LSM, co znamená kontext na každém souboru, jak se z .te a .if staví modul a čím se v politice hledá chyba.
- [eIDAS 2.0: nařízení o evropské digitální identitě](https://ygg.cz/odkaz/eidas2-eu-digital-identity-wallet/) - odkaz: Novela nařízení eIDAS z roku 2024 zavádí právní rámec pro evropskou peněženku digitální identity, kterou mají členské státy nabídnout občanům.
- [Split DNS na jednom stroji přes systemd-resolved](https://ygg.cz/navod/systemd-resolved-split-dns/) - návod: Jak nechat interní doménu odpovídat z VPN resolveru a zbytek světa z veřejného. Rozepsané – chybí část o DNSSEC a o fallbacku.
- [DISA STIG: co to je a jak se čte závažnost pravidel](https://ygg.cz/vyklad/disa-stig-applicability/) - výklad: Co jsou DISA STIG, jak se čte kategorie závažnosti CAT I/II/III a proč se pravidla neaplikují automaticky a plošně.
- [The Grug Brained Developer](https://ygg.cz/odkaz/grug-brained-developer/) - odkaz: O pokoře ke složitosti – proč je jednoduchost inženýrská disciplína, ne nedostatek ambicí.
- [OpenSSH 9.0: scp přes SFTP a hybridní výměna klíčů](https://ygg.cz/poznamka/openssh-9-defaults/) - poznámka: Vydání z dubna 2022, ve kterém scp přestalo používat starý protokol a výchozí výměna klíčů se doplnila o postkvantovou část.
- [Podman: kontejnery bez démona a bez roota](https://ygg.cz/poznamka/podman-rootless-containers/) - poznámka: Kontejnerový nástroj bez trvale běžícího démona, který umí běžet pod běžným uživatelem a generovat systemd jednotky.
- [Vývoj SELinuxu v enterprise distribuci](https://ygg.cz/projekt/selinux-engineering/) - projekt: Práce na SELinuxu v enterprise linuxové distribuci: politiky, jejich chyby a předávání znalostí kolegům.
- [openSUSE MicroOS: systém, který se neaktualizuje za běhu](https://ygg.cz/odkaz/opensuse-microos/) - odkaz: Neměnný systém s transakčními aktualizacemi nad btrfs snapshoty, kde aplikace nebydlí v kořenovém systému, ale v kontejnerech.
- [Konec CentOS 8 a distribuce, které ho nahradily](https://ygg.cz/poznamka/centos-rebuild-distros/) - poznámka: Po oznámení konce CentOS 8 v prosinci 2020 vznikly během roku 2021 dvě nezávislé přestavby RHEL – AlmaLinux a Rocky Linux.
- [Bezpečnostní certifikace podle DISA STIG](https://ygg.cz/projekt/stig-certification/) - projekt: Příprava minimalistické enterprise distribuce na certifikaci podle DISA STIG: architektura, adaptace testů, mitigace a posouzení, která pravidla se na systém vůbec vztahují.
- [Strategie otevřeného software Evropské komise](https://ygg.cz/odkaz/eu-open-source-strategy/) - odkaz: Strategie přijatá v říjnu 2020, kterou se Evropská komise zavázala vlastní software zveřejňovat, přispívat zpět a zřídit kancelář pro otevřený software.
- [WireGuard v mainline jádře Linuxu](https://ygg.cz/poznamka/wireguard-linux-kernel-5-6/) - poznámka: VPN protokol WireGuard se v březnu 2020 dostal přímo do mainline jádra Linuxu, bez potřeby zvlášť udržovaného modulu.
- [Infrastructure as Code s Ansible](https://ygg.cz/projekt/ansible-infrastructure-as-code/) - projekt: Idempotentní deployment infrastruktury přes Ansible – systém i aplikace, role řízené podle skupin hostů, a příspěvky do deploymentu OpenStacku.
- [AppArmor: úvod do MAC pro linuxové aplikace](https://ygg.cz/vyklad/apparmor-intro/) - výklad: Co je AppArmor, jak funguje mandatorní řízení přístupu přes profily a jak se profily tvoří a ovládají.
- [Automatizace testů cloudové platformy](https://ygg.cz/projekt/cloud-test-automation/) - projekt: Framework pro automatizované testování aktualizací cloudové platformy OpenStack, integrace úložiště a CI/CD – včetně období vedení testovacího týmu.
- [Modelová železnice řízená z Kubernetes](https://ygg.cz/projekt/model-railway-kubernetes/) - projekt: Modelová železnice kompletně řízená a monitorovaná z malého počítače Intel NUC přes Arduino, s aplikacemi v Kubernetes clusteru.
- [AIX pro linuxáka: kde končí návyky z Linuxu](https://ygg.cz/vyklad/aix-for-linux-admin/) - výklad: Rozdíly, na které narazí administrátor Linuxu při přechodu na AIX v prostředí IBM Power – tooling, LVM, LPAR, enterprise úložiště a zálohy, srovnané se SLES a RHEL.
- [Rozklikávací a participativní rozpočet v praxi](https://ygg.cz/vyklad/clickable-participatory-budget/) - výklad: Krátké vysvětlení pojmů rozklikávací a participativní rozpočet a ukázka v praxi včetně nákladů na pořízení (stav k roku 2018).
- [Otevřená data – proč je vhodné je mít?](https://ygg.cz/vyklad/open-data-why/) - výklad: Co jsou otevřená data, jak mohou vypadat ve městě a proč mají smysl – s příklady dobré praxe z roku 2018.
- [Proč a jak se testují maintenance balíky enterprise distribuce](https://ygg.cz/vyklad/maintenance-update-testing/) - výklad: Proč prochází oprava balíku enterprise linuxové distribuce před vydáním testy – regresní testy, více architektur i virtualizace.
- [Izolace v jádře: PV, HVM a OS-level virtualizace v Linuxu](https://ygg.cz/vyklad/kernel-isolation-linux/) - výklad: Rozdíl mezi paravirtualizací, plnou hardwarovou virtualizací a OS-level virtualizací (kontejnery) v Linuxu.
- [Debian 9 (Stretch): MariaDB místo MySQL a X bez rootu](https://ygg.cz/poznamka/debian-9-stretch/) - poznámka: Vydání z června 2017, ve kterém se výchozí databází stala MariaDB a X server přestal potřebovat práva roota.
- [Cacti pro malou virtualizovanou infrastrukturu](https://ygg.cz/navod/cacti-small-infra/) - návod: Jak nasadit Cacti na vyhrazený host a přes SNMP sledovat vytížení hostů i virtuálních strojů – paravirtualizovaných i plně virtualizovaných.
- [ProxyJump: přes bastion bez tunelů v hlavě](https://ygg.cz/navod/ssh-proxyjump/) - návod: Jak dostat scp, rsync i git přes skokový stroj tím, že se to jednou napíše do ssh_config.
- [Let's Encrypt: konec beta a bezplatné certifikáty pro každého](https://ygg.cz/odkaz/lets-encrypt-general-availability/) - odkaz: Certifikační autorita, která v dubnu 2016 opustila beta provoz a zpřístupnila automatizované bezplatné TLS certifikáty přes protokol ACME.
- [Odebrání balíku s porušením závislostí](https://ygg.cz/poznamka/dpkg-force-remove/) - poznámka: Vynucené odebrání jednoho balíku na systému založeném na Debianu, aniž by apt strhl celý řetěz závislostí s ním.
- [Read-only root na Raspbianu, který přežije studené vypnutí](https://ygg.cz/navod/raspbian-read-only-root/) - návod: Jak převést Raspbian na SD kartě na read-only root, aby zařízení přežilo vypnutí ze zásuvky, a jak z něj udělat image na hromadné nasazení.
- [Vysoká dostupnost a sdílené úložiště pro malý XEN cluster](https://ygg.cz/vyklad/xen-ha-nas-small/) - výklad: Jak funguje vysoká dostupnost a sdílené úložiště pro malý cluster virtuálních strojů na XEN.
- [Read-only Raspberry Pi pro zobrazování denních menu](https://ygg.cz/projekt/raspberry-pi-read-only/) - projekt: Displeje s denním menu v jídelnách po celé republice: Raspberry Pi, které přežije vypnutí ze zásuvky a nasadí se bez zásahu na místě.
- [Přechod z pravděpodobně kompromitovaného serveru na čistou infrastrukturu](https://ygg.cz/navod/compromised-server-rebuild/) - návod: Jak konkrétně probíhal přesun služeb organizace z pravděpodobně kompromitovaného serveru na novou infrastrukturu: starý stack, rozdělení do virtuálních strojů, potíže s aktualizacemi a zabezpečení.
- [Weby politické strany v Jekyllu](https://ygg.cz/projekt/party-websites/) - projekt: Správa a vývoj několika statických webů politické strany v Jekyllu, včetně rozcestníku pro krajské volby.
- [RFC 7208: Sender Policy Framework](https://ygg.cz/odkaz/rfc-7208-spf/) - odkaz: Zdrojový text SPF. Odpovídá na otázky, na které se blogy neshodnou – limity vyhledávání, makra a co přesně znamená který výsledek.
- [Testování aktualizací na více architekturách](https://ygg.cz/projekt/multi-arch-update-testing/) - projekt: Ověřování oprav enterprise linuxové distribuce před vydáním – na x86, IBM Z i PowerPC, se zaměřením na virtualizaci.
- [Migrace infrastruktury](https://ygg.cz/projekt/infrastructure-migration/) - projekt: Přesun služeb organizace z pravděpodobně kompromitovaného serveru na nově navrženou infrastrukturu, její dlouhodobý provoz a vedení technického týmu dobrovolníků.
- [Roundcube nad MySQL přes SSL a plugin na heslo](https://ygg.cz/navod/roundcube-mysql-ssl/) - návod: Napojení Roundcube na MySQL server přes SSL a funkční password_query pro plugin na změnu hesla.
- [Balíčkování pro RPM a Debian a Open Build Service](https://ygg.cz/projekt/linux-packaging/) - projekt: Stavba balíků pro distribuce založené na RPM i Debianu – spec, dsc a control soubory, build lokálně i v Open Build Service.
- [Postfix header_checks: přepis hlaviček pošty](https://ygg.cz/reference/postfix-header-checks/) - reference: Referenční karta pro direktivu Postfix header_checks: přepis, prefixování a zahazování hlaviček pomocí regexp pravidel.
- [Maildir: upozornění na poštu při přihlášení a čtení přes mailx](https://ygg.cz/poznamka/maildir-mail-notification/) - poznámka: Jak dostat upozornění na novou poštu při přihlášení (včetně SSH) a číst lokální poštu přes mailx, když doručovací agent používá Maildir.
- [Virtualizační infrastruktura na XEN](https://ygg.cz/projekt/xen-infrastructure/) - projekt: Sjednocení několika serverů na virtualizační platformu XEN XCP s vysokou dostupností, sdíleným úložištěm a zálohami – včetně migrace běžících služeb.
- [XEN / XCP: pár užitečných poznámek](https://ygg.cz/poznamka/xen-xcp-notes/) - poznámka: Roztroušené opravy z provozu XEN Cloud Platform: VNC keymapa, typ úložiště LVM, HVC konzole a hotplug CPU v hostu.
- [Network bonding (etherchannel) na Debianu](https://ygg.cz/reference/network-bonding-debian/) - reference: Referenční karta pro round-robin bonding na Debianu, včetně varianty s bridgem pro XEN.
- [Zkoumání RAID členu z obrazu disku přes dd_rescue a mdadm](https://ygg.cz/navod/ddrescue-loop-mdadm/) - návod: Vytvoření obrazu selhávajícího disku přes dd_rescue a prozkoumání jeho mdadm RAID členu přes loop zařízení – bez zásahu do originálu.
- [Audit síly vlastní WPA passphrase](https://ygg.cz/navod/wpa-passphrase-audit/) - návod: Jak si ověřit, jestli domácí Wi-Fi nepoužívá slabou WPA passphrase – zachytit vlastní handshake a otestovat ho offline.
- [Obnova smazaných souborů přes extundelete](https://ygg.cz/navod/extundelete-restore/) - návod: Obnova smazaných souborů z ext3/ext4 přes extundelete – nejdřív připojit read-only a pracovat podle inode.
- [Správa AIX a Linuxu](https://ygg.cz/projekt/aix-linux-administration/) - projekt: Instalace, upgrady, konfigurace a podpora systémů AIX a Linux v prostředí IBM Power – logické oddíly, SAN, zálohy a vysoká dostupnost.
- [iptables: pravidla pro domácí síť](https://ygg.cz/reference/iptables-domaci-sit/) - reference: Referenční karta pro iptables. Překonaná – na Debianu 12 a novějším řeší totéž nftables.
- [Debian 6.0 (Squeeze): start řazený podle závislostí](https://ygg.cz/poznamka/debian-6-0-squeeze/) - poznámka: Vydání z února 2011, které přepnulo výchozí pořadí startovacích skriptů na řazení podle závislostí a jako technologickou ukázku nabídlo port na jádro FreeBSD.
- [Portmapper se zasekne při startu nebo vypínání](https://ygg.cz/problem/portmap-shutdown-hang/) - řešení potíží: Služba portmapper se při startu nebo vypínání na minutu zasekne – jak se problém dohledal a vyřešil.
- [Přesměrování portů na firewallu přes NAT](https://ygg.cz/poznamka/port-forwarding-nat/) - poznámka: Jak na firewallu nasměrovat vybraný port veřejné IP na službu běžící na privátní adrese.
- [Správa sítí pro firmy a veřejný sektor](https://ygg.cz/projekt/network-administration/) - projekt: Komplexní správa sítí a serverů u soukromých firem i ve veřejném sektoru – od síťových prvků po poštu, VPN a úložiště.
- [Monitoring infrastruktury](https://ygg.cz/projekt/infrastructure-monitoring/) - projekt: Sledování vytížení a dostupnosti serverů a sítí – od SNMP a informačního systému pro monitoring a helpdesk po Cacti nad virtualizační infrastrukturou.

## English

- Explore: https://ygg.cz/en/explore/
- Search: https://ygg.cz/en/search/
- Site map: https://ygg.cz/en/sitemap/
- RSS: https://ygg.cz/en/rss.xml
- JSON Feed: https://ygg.cz/en/feed.json

### EXPLORE — THE WHOLE YGG SYSTEM

- [The journal eats gigabytes before anyone notices](https://ygg.cz/en/note/journalctl-vacuum/) - note: The default journal cap is a tenth of the partition. On a small root that means gigabytes of logs nobody wants.
- [Infrastructure stabilization](https://ygg.cz/en/project/infrastructure-stabilization/) - project: Stabilizing an organization’s technical backbone: administration rules, documentation, a platform for testing and hosting, and a link to the infrastructure one level up.
- [Investment assistant](https://ygg.cz/en/project/investment-assistant/) - project: Local decision support for a personal investment portfolio: broker data, regular reports and an analytical framework with a traceable history of decisions.
- [mojeWebFoundry](https://ygg.cz/en/project/mojewebfoundry/) - project: A framework for building several separate static sites on SvelteKit. It came out of moving away from Jekyll and doubles as a way to find out what current tooling can do.
- [A dumb wireless doorbell in Home Assistant via RF433 and ESP32](https://ygg.cz/en/guide/esp32-rf433-doorbell/) - guide: How to capture the signal of an ordinary 433 MHz wireless doorbell and send each press to Home Assistant via an ESP32-C3.
- [An IR-remote ceiling light via ESP32 and ESPHome](https://ygg.cz/en/guide/esp32-ir-ceiling-light/) - guide: How to capture an infrared remote’s codes and control a light from Home Assistant via an ESP32-C3 – without the physical remote.
- [AI as a tool](https://ygg.cz/en/project/ai-projects/) - project: Turning ideas into working solutions with AI – without a programming background, but with architecture, tests and quality checks as in team development.
- [SPF, Postfix and rspamd: common delivery problems](https://ygg.cz/en/note/postfix-spf-macros/) - note: The most common reasons an SPF check rejects mail that is perfectly fine – in the DNS record, in Postfix and in rspamd.
- [How DNS delegation works and why it matters](https://ygg.cz/en/explainer/dns-delegation/) - explainer: DNS is a delegated tree: every zone can hand responsibility one level down. Understand that and you understand why changes propagate slowly and where to look for faults.
- [Multi-tenant platform](https://ygg.cz/en/project/multi-tenant-platform/) - project: A web application for multiple organizations on a shared core: separate data and settings for each client, a modular architecture and security from day one.
- [Czech Digital and Information Agency: activity reports](https://ygg.cz/en/link/dia-vyrocni-zprava/) - link: What actually moved in the digitalization of the Czech state – read through the data rather than the press releases.
- [nftables: rules for a home network](https://ygg.cz/en/reference/nftables-cheat-sheet/) - reference: A reference card for nftables: basic commands, tables and chains, and NAT masquerade for a home router.
- [An undocumented display on ESP32: identifying it and getting it running](https://ygg.cz/en/guide/esp32-unknown-display/) - guide: How to get a TFT display without a datasheet working on an ESP32: identify it, wire it up and initialise it. Based on the E32R35T board with an ST7796S controller.
- [RÚIAN open data: addresses, buildings and territorial units](https://ygg.cz/en/link/cadastre-open-data/) - link: The Czech register of territorial identification, addresses and real estate as open data – what it contains, how it is distributed and what to watch out for.
- [How Complex Systems Fail](https://ygg.cz/en/link/how-complex-systems-fail/) - link: The classic text by R. Cook – why failure never has a single cause. Required reading for anyone who runs systems.
- [Czech voice control in Home Assistant: models and custom sentences](https://ygg.cz/en/guide/home-assistant-voice-czech/) - guide: Czech voice control in Home Assistant: local vs. cloud models (Whisper, Piper, Nabu Casa) and custom sentences for energy and the TV through Hassil intents.
- [Foreign Zigbee devices in ZHA: three cases with custom quirks](https://ygg.cz/en/troubleshooting/zha-custom-quirks/) - troubleshooting: Three cases of taming Zigbee devices in Home Assistant through a ZHA custom quirk: an mmWave presence sensor, a MOES thermostatic valve and the IKEA SOMRIG button.
- [A smart home on Home Assistant](https://ygg.cz/en/project/smart-home/) - project: A household run mostly locally: heating by weather and time of day, electricity and gas metering, custom ESP32 devices and notifications on the phone.
- [Ubuntu 25.04 (Plucky Puffin): TPM disk encryption, an ARM64 desktop and APT 3.0](https://ygg.cz/en/note/ubuntu-25-04-plucky-puffin/) - note: A non-LTS release from April 2025: TPM-backed disk encryption in the installer, an official ARM64 desktop, kernel 6.14 with sched_ext, APT 3.0 and the end of apt-key.
- [Cyber Resilience Act](https://ygg.cz/en/link/cyber-resilience-act/) - link: EU Regulation 2024/2847 on security requirements for products with digital elements – with a note on the original proposal, which all but forgot about open source.
- [SELinux from the kernel to the policy: labels, modules and finding bugs](https://ygg.cz/en/explainer/selinux-policy-basics/) - explainer: How SELinux hangs off the LSM hooks, what the context on every file means, how a module is built from .te and .if, and how a policy bug is actually found.
- [eIDAS 2.0: the EU digital identity regulation](https://ygg.cz/en/link/eidas2-eu-digital-identity-wallet/) - link: A 2024 amendment to the eIDAS regulation sets up the legal framework for a European digital identity wallet that member states must offer to citizens.
- [Split DNS on a single machine with systemd-resolved](https://ygg.cz/en/guide/systemd-resolved-split-dns/) - guide: Making an internal domain resolve through a VPN resolver while the rest of the world stays public. Unfinished – the DNSSEC and fallback parts are missing.
- [DISA STIG: what it is and how severity is read](https://ygg.cz/en/explainer/disa-stig-applicability/) - explainer: What DISA STIGs are, how the CAT I/II/III severity categories are read, and why rules are not applied blindly across the board.
- [The Grug Brained Developer](https://ygg.cz/en/link/grug-brained-developer/) - link: On humility towards complexity – why simplicity is an engineering discipline, not a lack of ambition.
- [OpenSSH 9.0: scp over SFTP and hybrid key exchange](https://ygg.cz/en/note/openssh-9-defaults/) - note: An April 2022 release in which scp stopped using the legacy protocol and the default key exchange gained a post-quantum component.
- [Podman: containers without a daemon and without root](https://ygg.cz/en/note/podman-rootless-containers/) - note: A container tool with no permanently running daemon that can run as an ordinary user and generate systemd units.
- [SELinux development in an enterprise distribution](https://ygg.cz/en/project/selinux-engineering/) - project: Working on SELinux in an enterprise Linux distribution: policies, their bugs and passing the knowledge on to colleagues.
- [openSUSE MicroOS: a system that does not update while running](https://ygg.cz/en/link/opensuse-microos/) - link: An immutable system with transactional updates on btrfs snapshots, where applications live in containers rather than in the root filesystem.
- [The end of CentOS 8 and the distributions that replaced it](https://ygg.cz/en/note/centos-rebuild-distros/) - note: After the December 2020 announcement that CentOS 8 would end, two independent RHEL rebuilds appeared during 2021 – AlmaLinux and Rocky Linux.
- [Security certification against DISA STIG](https://ygg.cz/en/project/stig-certification/) - project: Preparing a minimal enterprise distribution for DISA STIG certification: architecture, test adaptation, mitigations and judging which rules apply to the system at all.
- [The European Commission open source software strategy](https://ygg.cz/en/link/eu-open-source-strategy/) - link: A strategy adopted in October 2020 in which the European Commission committed to publishing its own software, contributing back and setting up an open source programme office.
- [WireGuard in the mainline Linux kernel](https://ygg.cz/en/note/wireguard-linux-kernel-5-6/) - note: The WireGuard VPN protocol landed directly in the mainline Linux kernel in March 2020, without needing a separately maintained module.
- [Infrastructure as Code with Ansible](https://ygg.cz/en/project/ansible-infrastructure-as-code/) - project: Idempotent infrastructure deployment with Ansible – system and applications, roles driven by host groups, and contributions to an OpenStack deployment.
- [AppArmor: an introduction to MAC for Linux applications](https://ygg.cz/en/explainer/apparmor-intro/) - explainer: What AppArmor is, how mandatory access control through profiles works, and how profiles are created and controlled.
- [Cloud platform test automation](https://ygg.cz/en/project/cloud-test-automation/) - project: A framework for automated testing of OpenStack cloud platform updates, storage integration and CI/CD – including a period leading the test team.
- [A model railway controlled from Kubernetes](https://ygg.cz/en/project/model-railway-kubernetes/) - project: A model railway fully controlled and monitored from a small Intel NUC computer via Arduino, with the applications running in a Kubernetes cluster.
- [AIX for a Linux admin: where Linux habits stop working](https://ygg.cz/en/explainer/aix-for-linux-admin/) - explainer: The differences a Linux administrator meets when moving to AIX on IBM Power – tooling, LVM, LPARs, enterprise storage and backups, compared with SLES and RHEL.
- [Clickable and participatory budgets in practice](https://ygg.cz/en/explainer/clickable-participatory-budget/) - explainer: A short explanation of clickable and participatory budgets and how they work in practice, including acquisition costs (as of 2018).
- [Open data – why is it worth having?](https://ygg.cz/en/explainer/open-data-why/) - explainer: What open data is, what it can look like in a town and why it makes sense – with examples of good practice from 2018.
- [Why and how enterprise distribution maintenance packages get tested](https://ygg.cz/en/explainer/maintenance-update-testing/) - explainer: Why a fix package for an enterprise Linux distribution goes through testing before release – regression testing, multiple architectures and virtualization.
- [Kernel isolation: PV, HVM and OS-level virtualization in Linux](https://ygg.cz/en/explainer/kernel-isolation-linux/) - explainer: The difference between paravirtualization, full hardware virtualization and OS-level virtualization (containers) in Linux.
- [Debian 9 (Stretch): MariaDB instead of MySQL, X without root](https://ygg.cz/en/note/debian-9-stretch/) - note: A June 2017 release in which MariaDB became the default database and the X server stopped requiring root privileges.
- [Cacti for a small virtualized infrastructure](https://ygg.cz/en/guide/cacti-small-infra/) - guide: How to deploy Cacti on a dedicated host and use SNMP to watch load on both the hosts and the virtual machines – paravirtualized and fully virtualized alike.
- [ProxyJump: through a bastion without holding tunnels in your head](https://ygg.cz/en/guide/ssh-proxyjump/) - guide: Getting scp, rsync and git through a jump host by writing it into ssh_config once.
- [Let's Encrypt: out of beta, free certificates for everyone](https://ygg.cz/en/link/lets-encrypt-general-availability/) - link: A certificate authority that left beta in April 2016 and made automated, free, domain-validated TLS certificates available through the ACME protocol.
- [Removing a package while breaking dependencies](https://ygg.cz/en/note/dpkg-force-remove/) - note: Force-removing a single package on a Debian-based system without letting apt pull the rest of a dependency chain with it.
- [A read-only root on Raspbian that survives a cold power-off](https://ygg.cz/en/guide/raspbian-read-only-root/) - guide: How to turn Raspbian on an SD card into a read-only root so the device survives being unplugged, and how to turn it into an image for mass deployment.
- [High availability and shared storage for a small XEN cluster](https://ygg.cz/en/explainer/xen-ha-nas-small/) - explainer: How high availability and shared storage work for a small cluster of virtual machines on XEN.
- [Read-only Raspberry Pi for daily menu displays](https://ygg.cz/en/project/raspberry-pi-read-only/) - project: Daily menu displays in canteens across the country: a Raspberry Pi that survives being unplugged and deploys without anyone touching it on site.
- [Moving off a probably compromised server onto clean infrastructure](https://ygg.cz/en/guide/compromised-server-rebuild/) - guide: How the move of an organization’s services off a probably compromised server onto new infrastructure actually went: the old stack, the split into virtual machines, the upgrade trouble and the hardening.
- [Political party websites in Jekyll](https://ygg.cz/en/project/party-websites/) - project: Running and developing several static websites of a political party in Jekyll, including a signpost site for regional elections.
- [RFC 7208: Sender Policy Framework](https://ygg.cz/en/link/rfc-7208-spf/) - link: The source text for SPF. It answers the questions blog posts disagree on – lookup limits, macros, and what each result actually means.
- [Update testing across architectures](https://ygg.cz/en/project/multi-arch-update-testing/) - project: Verifying fixes of an enterprise Linux distribution before release – on x86, IBM Z and PowerPC, with a focus on virtualization.
- [Infrastructure migration](https://ygg.cz/en/project/infrastructure-migration/) - project: Moving an organization’s services off a probably compromised server onto a newly designed infrastructure, running it long term and leading a technical team of volunteers.
- [Roundcube over MySQL with SSL, plus the password plugin](https://ygg.cz/en/guide/roundcube-mysql-ssl/) - guide: Connecting Roundcube to a MySQL server over SSL and a working password_query for the password plugin.
- [Packaging for RPM and Debian and the Open Build Service](https://ygg.cz/en/project/linux-packaging/) - project: Building packages for both RPM- and Debian-based distributions – spec, dsc and control files, builds locally and in the Open Build Service.
- [Postfix header_checks: rewriting mail headers](https://ygg.cz/en/reference/postfix-header-checks/) - reference: A reference for the Postfix header_checks directive: rewriting, prefixing and dropping headers with regexp rules.
- [Maildir: login mail notification and reading with mailx](https://ygg.cz/en/note/maildir-mail-notification/) - note: Getting new-mail notifications on login (including SSH) and reading local mail with mailx when the delivery agent uses Maildir.
- [XEN virtualization infrastructure](https://ygg.cz/en/project/xen-infrastructure/) - project: Consolidating several servers onto the XEN XCP virtualization platform with high availability, shared storage and backups – including migration of running services.
- [XEN / XCP: a handful of useful notes](https://ygg.cz/en/note/xen-xcp-notes/) - note: Scattered fixes from running XEN Cloud Platform: VNC keymap, LVM storage type, the HVC console and CPU hotplug in a guest.
- [Network bonding (etherchannel) on Debian](https://ygg.cz/en/reference/network-bonding-debian/) - reference: A reference for round-robin network bonding on Debian, including the variant with a bridge for XEN.
- [Examining a RAID member from a disk image with dd_rescue and mdadm](https://ygg.cz/en/guide/ddrescue-loop-mdadm/) - guide: Imaging a failing drive with dd_rescue and inspecting its mdadm RAID member over a loop device – without touching the original disk.
- [Auditing the strength of your own WPA passphrase](https://ygg.cz/en/guide/wpa-passphrase-audit/) - guide: How to check whether your home Wi-Fi uses a weak WPA passphrase by capturing your own handshake and testing it offline.
- [Restoring deleted files with extundelete](https://ygg.cz/en/guide/extundelete-restore/) - guide: Recovering deleted files from an ext3/ext4 filesystem with extundelete – mount read-only first and work by inode.
- [AIX and Linux administration](https://ygg.cz/en/project/aix-linux-administration/) - project: Installation, upgrades, configuration and support of AIX and Linux systems on IBM Power – logical partitions, SAN, backups and high availability.
- [iptables: rules for a home network](https://ygg.cz/en/reference/iptables-domaci-sit/) - reference: A reference card for iptables. Superseded – on Debian 12 and newer, nftables does the same job.
- [Debian 6.0 (Squeeze): dependency-based boot ordering](https://ygg.cz/en/note/debian-6-0-squeeze/) - note: A February 2011 release that switched the default boot script ordering to dependency-based sequencing and offered a FreeBSD kernel port as a technology preview.
- [Portmapper hangs at boot or shutdown](https://ygg.cz/en/troubleshooting/portmap-shutdown-hang/) - troubleshooting: The portmapper service stalls for a minute during boot or halt – how the issue was tracked down and resolved.
- [Port forwarding on a firewall via NAT](https://ygg.cz/en/note/port-forwarding-nat/) - note: How to point a chosen port of a public IP at a service running on a private address on the firewall.
- [Network administration for companies and the public sector](https://ygg.cz/en/project/network-administration/) - project: End-to-end administration of networks and servers for private companies and the public sector – from network devices to mail, VPN and storage.
- [Infrastructure monitoring](https://ygg.cz/en/project/infrastructure-monitoring/) - project: Watching load and availability of servers and networks – from SNMP and an information system for monitoring and helpdesk to Cacti on top of a virtualization infrastructure.

Úplný seznam cest / full path list: https://ygg.cz/sitemap.xml