4 files changed, 305 insertions, 0 deletions

diff --git a/blog/2017/dont-piss-in-my-beer.rst b/blog/2017/dont-piss-in-my-beer.rst
new file mode 100644
index 0000000..c98a541
--- /dev/null
+++ b/blog/2017/dont-piss-in-my-beer.rst
@@ -0,0 +1,59 @@
+.. date: 2017/04/27 22:12
+.. title: Don't piss in my beer
+
+`Twelve years ago <https://erdgeist.org/gitweb/ezjail/commit/?id=bb046d1a21058af9e2077d6b4f0418667862d46e>`_ I started a little project called `ezjail </arts/software/ezjail/>`_, an opinionated tool that helps `FreeBSD <https://www.freebsd.org>`_ admins to make compartmentalization a lot easier. Long before real virtualisation was a real thing for the rest of us, it helped me scratch my itches maintaining virtual servers I could give out to my more or less technically savvy friends without too much headaches regarding the safety of my files. Of course, this project has been released under `my favorite licence <https://erdgeist.org/posts/2011/die_beerware-lizenz.html>`_.
+
+Keep in mind, that this licence actually doesn't ask for much. Basically it only says not to steal it and run around claiming it's yours. Now, you'll *never* guess, `what happened <https://lists.freebsd.org/pipermail/freebsd-jail/2013-March/002118.html>`_ in 2013. ;)
+
+That's right: After apparently not reacting quickly enough to some man page rewrites submitted to me by an author from the philippines, I seem to have made an enemy for life! I've encountered an interesting version of a hostile fork named qjail: my project was copied, the fork renamed and most (`but not all <https://sourceforge.net/projects/qjail/files/qjail-1.0.tar.bz2/download>`_) of the references to the ezjail project name replaced by the fork's name.
+
+When I reported my astonishment to the adults running the FreeBSD project, they quickly `took action <https://svnweb.freebsd.org/ports?view=revision&revision=314731>`_ and blocked the port until qjail acknowledged me being the author. `Others noticed as well <http://stafwag.github.io/blog/blog/2013/04/10/migrating-from-qjail-to-ezjail/>`_ and decided to move away from the copy cat.
+
+The open source philosophy and some licence law details must have been lost on the guy, as becomes obvious by some later quite funny follow-ups. To quote from `emails later in that thread <https://lists.freebsd.org/pipermail/freebsd-jail/2013-March/002149.html>`_ (you have to start reading from the bottom).
+
+  One does not have to be a lawyer to know the lack of any license
+  verbiage embedded in computer programs released to the public becomes
+  property of public domain forever. Putting license verbiage on your next
+  port version is unenforceable because it's already property of public
+  domain.
+
+And even more hilarious
+
+  This outburst only confirms my suspicion that your suffering from dementia
+  caused by advancing age. I tried to give you a way to save face as I purposed
+  in my private email to you.
+  
+  I understand what you are going through and forgive you for your actions. I
+  pray you are under medical care for this condition. There are drugs which reduce
+  these effects and prolong the periods of normalness.
+
+While I usually try not to stand in the way of others doing stuff, I found the process annoying enough to act. In turn, ezjail became a constant `target of FUD and suggestions to switch <http://daemonforums.org/showthread.php?t=5977>`_ in all `kinds of forums <https://lists.freebsd.org/pipermail/freebsd-jail/2015-January/002742.html>`_ I never had the time to check and correct.
+
+What made things worse is that the guy `just started <http://lists.freebsd.org/pipermail/freebsd-questions/2013-January/248558.html>`_ learning `the very language <http://lists.freebsd.org/pipermail/freebsd-questions/2013-January/247723.html>`_ ezjail was written in. Considering jails being a security mechanism, that's a very bold move.
+
+In the end, the differences in qjail became so distinct that he could not rip off later developments like the whole zfs sub system, `contributed by a friend of mine <https://erdgeist.org/gitweb/ezjail/commit/?id=095380a8d03be3a0454626e8b150712f125d814d>`_.
+
+Time went by and `things changed in the FreeBSD world <https://lists.freebsd.org/pipermail/freebsd-jail/2013-March/002160.html>`_ that were a little unfortunate to my project: FreeBSD jails were reorganized and the official jail management tool moved from reading a simple config language to a structured one (making it impossible to edit and parse in the rather simple scripting language sh). A legacy wrapper was added which showed a depreciation message every time ezjail would start a virtual system:
+
+  WARNING: Per-jail configuration via jail_* variables is obsolete. Please consider to migrate to /etc/jail.conf 
+
+Of course, this only was grist to the FUD mill, claiming ezjail was outdated. For technical reasons, while it is easy to get rid of this warning (qjail did), but unfortunately not `when doing it properly <https://bugs.freebsd.org/bugzilla/show_bug.cgi?id=218849#c13>`_. (Tl;dr: you can reproduce the original functionality of the wrapper, but you're doomed to chase changes in the system's implementation forever. Also you keep several, possibly diverging states of your config files without a way to parse the ones that the OS considers official.)
+
+If you zoom out `on the thread I just linked to <https://bugs.freebsd.org/bugzilla/show_bug.cgi?id=218849>`_, you'll notice that the very guy who stole my code now lobbies to have the wrapper code removed, which would essentially break ezjail.
+
+And to make things even more absurd: when called out on his proposal, he `approached me <https://bugs.freebsd.org/bugzilla/attachment.cgi?id=182130>`_ with a "fix" to the carnage he tries to bring upon me. You'll *never* guess if he wrote the code he asks me to copy into my project himself. ;)
+
+In summary: I can't really lurk around in all the forums and honestly I don't have the time for fighting an unsuspected arch enemy. But if you want to understand how frustrating open source development can become, once you're up against someone with more time than ability, feel free to join me over a beer!
+
+Update
+======
+
+As an impressive turd seasoning, I just found that qjail's current licence header reads:
+
+  As per the international "Berne Convention" this work is
+  protected and all rights reserved.
+  
+  Before qjail may be forked, written permission must be
+  obtained from the author.
+
+No worries mate. Not gonna fork it. Promise!
diff --git a/blog/2017/emobil.rst b/blog/2017/emobil.rst
new file mode 100644
index 0000000..c9f9b8d
--- /dev/null
+++ b/blog/2017/emobil.rst
@@ -0,0 +1,112 @@
+.. date: 2017/05/25 13:06
+.. title: Sonne im Tank
+
+
+Seit September bin ich e-mobil. Ich bin mein ganzes Führerschein tragendes Leben lang auf Mopeds durch Berlin geheizt, beginnend bei einer `Schwalbe <https://de.wikipedia.org/wiki/Simson_Schwalbe>`_, seitdem immer mit lauten und müffelnden Zweitaktern – bei entsprechendem Verschleiß. Ich wollte vermeiden, mehrere Tonnen Stahl durch die Gegend zu hieven, wenn ich doch nur meinen Hintern von A nach B bewegen wollte, und habe daher trotz mehrerer Autos auch immer noch als primäres Fortbewegungsmittel ein Moped beibehalten. [1]_ Trotzdem ist der wohlige Geruch von Zweitaktabgasen, der harmonische und weit wahrnehmbare Klang nicht unbedingt das Omen, das man seiner Ankunft voraussenden möchte – und die Wartungsanfälligkeit dieses fragilen Haufens beweglicher Teile ließ mich schon vor einer Weile die Fühler in Richtung Elektroroller ausstrecken.
+
+Zwar gab der Markt seit sechs, sieben Jahren auch welche her – allerdings schreckten die Preise im Bereich einer Kleinwagenneuanschaffung ab und meine guten Vorsätze verschwanden schnell wieder in der Schublade. Und die frühen Reichweiten-Angebote von so 25 bis 30 Kilometern haben nichts mit den Strecken zu tun, die ich an einem terminlich gut befüllten Tag in Berlin so in die Reifen schrubbe. Mein Reichweiten-Maßstab ist die Sommerresidenz von Freunden nahe Berlin, für die ich rund 80 Kilometer runterreißen muss – jaja, kein Spaß auf einem geschwindigkeitsbegrenzten Kraftfahrzeug, und auch auf meinen Verbrennern hatte ich unterwegs schon eine Stammtankstelle auserkoren. [2]_ Aber zumindest kann ich mal eben ranfahren, "Kaffee" kaufen und weiterfahren. "Mal eben" Akkus aufladen kannste hingegen knicken.
+
+Schon vor ein paar Jahren [3]_ startete die Firma Gogoro in Taipei einen Dienst, bei dem man sich um das Laden nicht mehr kümmern muss, sondern die Akkus an Straßenecken im Späti leer gegen voll tauschen kann. Die sind nun als Mietmobile nach Berlin expandiert [4]_, jedoch finde ich die weder gutaussehend noch gutklingend. Aber hohe Absatzzahlen ziehen ja auch immer sinkende Preise nach sich und richtig:
+
+In den letzten Jahren hat sich da so richtig was getan: Die Preise für Elektromotoren und Batterien sind gepurzelt – nicht zuletzt durch die krassen E-Mobilisierungsprogramme in China und Indien [5]_, Ladezeiten und Energiedichten kommen in erträgliche Größenordnungen und ein Berliner Unternehmen bietet Hipster-geeignete Scooter zum Kampfpreis an. [6]_ In der Rechts-Unten-Vollausstattung mit zwei Akkus ist man schon mit 3,5 k€ [7]_ dabei – das ist nur marginal mehr, als ich in meine alten Benziner investiert habe. Und das liegt vor allem daran, dass an so einem E-Roller nix mehr dran ist:
+
+Nabenmotor im Hinterrad nebst Motorsteuerung, einigermaßen stabiler leichtgewichtiger Rahmen, quasi ein besseres Fahrrad, Akkufach und Sattel. Also habe ich zugeschlagen und fahre seit September quasi durchgängig E-Roller im Berufsverkehr. Und ja, es rockt: Kaum bewegliche Teile, so ein Elektromotor ist im Vergleich zu einem Verbrenner trivial und hält gern mal zig Jahre. Gut, bisschen Bremskram, Tacho und Verkleidung, aber im Prinzip war's das. Und als mir das Akkufach wegen eines unglücklichen Steinschlags an einer Ecke rausgebrochen ist, gab's vom Hersteller ein Paket mit einem tiefgezogenen Plasteteil, das ich mit einem Schraubendreher in 10 Minuten selber tauschen konnte. Ich kann im Prinzip für die nächsten zwanzig Jahre mit dem Gerät fahren, ohne nennenswerte Wartungskosten zu haben.
+
+Und dann der Verbrauch: Aufladen geht mit 220 V, Netzteil ist bei und lädt in rund vier Stunden voll. Die Hersteller-Angaben von "70 % aufgeladen in einer Stunde" sind doch ein bisschen optimistisch, aber eine komplette Ladung bekomme ich zuhause für rund 30 Cent. Da ich nicht erst tanke, wenn die Akkus leer sind, ist der genaue Preis schwer zu schätzen, aber meine monatlichen Ausgaben für's Tanken sind von 60 Euro auf 6 Euro gesunken. Und das noch in den ersten Monaten, wo mich der Fahrspaß das Moped noch deutlich häufiger benutzen lässt. Und Fahrspaß it is!
+
+Das Moped, was ich mir ausgesucht habe, ist im Vergleich zu den Leihrollern von eMio und Coup rund 20 % kleiner und deutlich leichter – und jedes am Roller gesparte Kilo muss ich nicht abnehmen, um an der Ampel schneller wegzukommen. Entsprechend saust es sich an der Kreuzung auch los. Danach gleitet man quasi durch den Straßenverkehr und viel toller: durch Parks und über Fahrradwege und Bürgersteige, ohne negativ aufzufallen. Um das Moped am Café abzustellen, bin ich auch schon durch die Stuhlreihen auf dem Gehweh gerollt und niemand hat auch nur geguckt – mit dem 2-Takter undenkbar. Und wenn man einen Sozius an Board hat [8]_, ist sogar ein entspanntes Gespräch möglich.
+
+Tzschja, und der Pferdefuß? Die Reichweiten-Experimente sind nicht vollständig geglückt: Vollständig leer kann (und sollte man) das Akku nicht realistisch fahren, da auf den letzten 15 % Ladestand ein bequemes Fußgängertempo rauskommt [9]_. Und auch dann landet man nicht bei den 50 Kilometern Distanz, sondern eher so bei 45, von denen man nur die ersten 40 vorankommt. Selbst mit den beiden Akkus sind die 80 Kilometer zur Datsche [10]_ des Kumpels also nicht (oder nur ohne Bremsen und mit viel Bangen) ohne Zwischenstopp zu erreichen. [11]_ Das heißt, dass ich mir jetzt ein Restaurant suchen muss, wo ich auf dem Weg kurz zum Schnitzel Essen anhalten und währenddessen zwei Akkus kurz-betanken muss. Hmm.
+
+Auch ansonsten ist die Kapazität noch nicht da, wo man überhaupt nicht mehr drüber nachdenken muss: Die Akkus selber wiegen so acht Kilogramm und kommen mit Henkel: Mit Erdgeschoss-Büro ist das Tauschen schon in die tägliche Routine übergegangen, weil der Motorcontroller auf den ersten 25 % Akku noch einmal spürbar schneller anzieht und daher ein volles Akku spaßsteigernd ist. [12]_ Allerdings ist es nicht so, dass ich ernstlich leide, wenn ich mal zwei Tage das Tauschen vergessen habe, also kein nervöses Hetzen wie beim Smartphone. Was die Kapazität angeht, bin ich verdammt nah am Wohlfühlbereich dran, und wenn von den wöchentlichen Presseberichten über eine Verdopplung und Verdreifachung der Energiedichte in Akkus im Labor [13]_ auch nur eins die Serienreife erreicht, erreiche ich die Auftank-Frequenz des Benziners.
+
+Da ich auch stolzer Winterfahrer bin, habe ich ein paar Erfahrungen mit den Akkus in der Kälte gemacht. Grundsätzlich gilt: Akkus nicht nachts draußen parken. Und wenn man sie tagsüber ein paar Stunden in der Kälte lässt, zieht das Moped nochmal deutlich schlechter an und man verliert bei Frost rund 10 % Reichweite. Kein Showstopper, aber sollte man beachten.
+
+Das einzige, was mich beim Unu ein bisschen ankekst, ist die Helmsituation. Das Akkufach ist riesig, und wenn man nur einen Akku mitnimmt, hat man echt viel Stauraum für einen mittleren Einkauf. [14]_ Jedoch ist das Akku quaderförmig hoch (es passen also zwei nebeneinander), was keinen Platz mehr für einen normalen Helm lässt. Sinnigerweise passt der Helm prima rein, wenn kein Akku drin ist: Aber ganz ehrlich schleppe ich lieber Helm statt Akku mit. [15]_
+
+Nun kann ich also mit gutem Beispiel voran Energie sparend durch die Stadt heizen und meine Gesamtökobilanz wieder massieren. Beim Recherchieren bin ich noch auf das offensichtlich weit verbreitete Vorurteil gestoßen, Elektro-Mobile würden ja viel dreckiger betrieben werden, als Benziner, da der Strom aus Kohlekraftwerken käme. Gilt für mich zwar nicht, aber noch krasser ist, dass die meisten Raffinerien Benzin mittels Kohlestrom herstellen [16]_, der die Bilanz pro Kilometer sofort wieder Richtung Elektro-Mobil korrigiert. Und Meldungen wie die hier [17]_ machen mir Mut, wirklich Sonnenkraft unterm Hintern zu spüren – Proctoheliose FTW!
+
+Fußnoten:
+
+.. [1] Als ich mal den Verbrauch meines letzten Mopeds auf 100 km hochgerechnet habe, schlackerten mir aber auch die Ohren. Zweitakter sind wirklich ineffizient.
+.. [2] Präteritum und Perfektform von erkiesen. https://de.wiktionary.org/wiki/erkiesen
+.. [3] http://www.intaiwan.de/2016/08/08/gogoro-berlin-e-scooter-elektro-roller/
+.. [4] https://www.electrive.net/2016/08/02/bosch-startet-elektro-scooter-sharing-namens-coup-in-berlin/
+.. [5] http://business.financialpost.com/news/transportation/fossil-fuel-vehicles-will-vanish-in-8-years-in-twin-death-spiral-for-big-oil-and-big-autos-says-study-that-shocking-the-industry
+.. [6] https://unumotors.com/
+.. [7] Dabei kostet der zweite Akku 700 Euro und das Upgrade von der noch erträglichen 2kW-Motor-Version auf die 3kW-Vollausstattung 500 Euro. Den 1-kW-Motor zum Starterpreis von 1600 Euro will man sich nicht wirklich antun.
+.. [8] Für einen Beifahrer muss man sich ob des geringeren Platzangebots sehr lieb haben oder zwei schmale Personen anordnen, sonst heißt es Gepäckträgerberührung.
+.. [9] Jaja, ich weiß das daher, dass ich das Akku auch tatsächlich leergefahren habe.
+.. [10] Für Wessis: Ferienlaube.
+.. [11] Ob das mit einem der beiden Motoren geringerer Leistung möglich gewesen wäre, weiß ich dabei aber nicht.
+.. [12] Es kann daher sein, dass die Anzugsfreudigkeit auf den ersten Kilometern in die Reichweite frisst.
+.. [13] Citation needed.
+.. [14] Der Rest vom Großeinkauf passt bequem zwischen die Füße und in den Rucksack.
+.. [15] Obwohl das im Winter vielleicht doch die bessere Wahl wäre.
+.. [16] https://www.youtube.com/watch?v=BQpX-9OyEr4
+.. [17] https://www.indy100.com/article/two-thirds-germany-powered-renewable-energy-easter-day-green-7737221
+
+.. raw:: html
+
+  <script>
+    (function () {
+        var FOOTNOTE_REGEX = /^\[[0-9]+\]$/;
+    
+        var oldOnLoad = window.onload;
+        window.onload = function (event) {
+            var elems = document.getElementsByClassName("footnote-reference");
+            for (var i = 0; i<elems.length; i++) {
+                var elem = elems[i];
+                var ptrText = elem.innerHTML;
+                if (FOOTNOTE_REGEX.test(ptrText)) {
+                    elem.className = "footnote-reference footptr";
+                         elem.onclick = toggle;
+                }
+                elem.setAttribute("href", "#"+ptrText);
+            }
+            addListItemIds("footnotes", "[", "]");
+    
+            if (typeof oldOnLoad === "function") {
+                oldOnLoad(event);
+            }
+        };
+    
+        function addListItemIds(parentId, before, after) {
+            var refs = document.getElementById(parentId);
+            if (refs && refs.getElementsByTagName) {
+                var elems = refs.getElementsByTagName("li");
+                for (var i = 0; i<elems.length; i++) {
+                    var elem = elems[i];
+                    elem.setAttribute("id", before+(i+1)+after);
+                }
+            }
+        }
+    
+        var currentDiv = null;
+        var currentId = null;
+        function toggle(event) {
+            var parent = this.parentNode;
+            if (currentDiv) {
+                currentDiv.parentNode.removeChild(currentDiv);
+                currentDiv = null;
+            }
+            var footnoteId = this.innerHTML.match(/[0-9]+/)[0];
+            if (currentId === footnoteId) {
+                currentId = null;
+            } else {
+                currentId = footnoteId;
+                currentDiv = document.createElement("div");
+                var footElem = document.querySelector('[href$="#id'+currentId+'"]').parentNode.parentNode;
+                var footHtml = footElem.childNodes[3].innerHTML;
+                currentDiv.innerHTML = footHtml;
+                currentDiv.className = "foot-tooltip";
+                parent.insertBefore(currentDiv, this.nextSibling);
+                setTimeout(function () {
+                    currentDiv.style.opacity = "1";
+                }, 0);
+            }
+            event.preventDefault();
+        }
+    }());
+  </script>
+
diff --git a/blog/2017/just-add-water.rst b/blog/2017/just-add-water.rst
new file mode 100644
index 0000000..719dc6b
--- /dev/null
+++ b/blog/2017/just-add-water.rst
@@ -0,0 +1,100 @@
+.. date: 2017/08/24 19:07
+.. title: Just add water
+
+Since `letsencrypt <https://letsencrypt.org/>`_ has made it easy to actually get the little green lock icon in all the browser, I've deployed it nearly everwhere, where reloading keys every three months is not an issue (looking at you, dovecot and ejabberd). When using FreeBSD, the `security/dehydrated <http://www.freshports.org/security/dehydrated>`_ port has made things smooth enough for me not to be to afraid to execute it from a periodic script: It only requires bash and curl and can be executed as non-privileged user.
+
+So here's a step by step instruction how to properly set it up:
+
+#. Install the port/package::
+    
+    pkg install dehydrated
+
+#. Create the letsencrypt user, for example::
+    
+    echo letsencrypt::::::::/bin/sh: | adduser -w random -f -
+
+#. Create your config copy ``/usr/local/etc/dehydrated/config`` by duplicating the example::
+    
+    cp /usr/local/etc/dehydrated/config.example /usr/local/etc/dehydrated/config
+
+#. Edit ``/usr/local/etc/dehydrated/config`` so it reads ``CONTACT_EMAIL=me@foo.com``. (Don't forget to remove the # at the line's start.)
+
+#. By default, dehydrated's work dir is ``/usr/local/etc/dehydrated``. I do not like that, because the letsencrypt user needs write access to that directory for its housekeeping files and could modify things like the config and – worse – the ``deploy.sh`` script. So I create a different work dir::
+    
+    mkdir /var/dehydrated
+    chown -R letsencrypt /var/dehydrated
+
+#. And then I change ``/usr/local/etc/dehydrated/config`` to read ``BASEDIR=/var/dehydrated``. (Again, don't forget to un-comment the line.)
+
+#. The web directory for challenge replies defaults to ``/usr/local/www/dehydrated``. It needs to be writable by letsencrypt user::
+    
+    chown -R letsencrypt /usr/local/www/dehydrated
+
+#. Configure domains.txt::
+    
+    echo 'foo.com www.foo.com' > /var/dehydrated/domains.txt
+
+#. I want dehydrated to be run weekly by periodic, I also setup the deploy script (see below). I put those lines in ``/etc/periodic.conf``::
+    
+    weekly_dehydrated_enable="YES"
+    weekly_dehydrated_user="letsencrypt"
+    weekly_dehydrated_deployscript="/usr/local/etc/dehydrated/deploy.sh"
+
+#. The deploy.sh script needs to be setup, it will tell all frontends to reload certs. For my nginx installations, it is enough to put this into ``/usr/local/etc/dehydrated/deploy.sh``::
+    
+    #!/bin/sh
+    
+    /usr/sbin/service nginx reload
+
+#. Don't forget execute permissions::
+    
+    chmod +x /usr/local/etc/dehydrated/deploy.sh
+
+#. Finally, for nginx to correctly route requests to the web dir, add this to your server block. Don't forget to enable ``listen 80``::
+    
+    location /.well-known/acme-challenge/ {
+        alias /usr/local/www/dehydrated/;
+    }
+
+#. Before running dehydrated for the first time, you should reload your nginx config. This also is an implicit check for correct permissions on ``deploy.sh`` ;)::
+    
+    /usr/local/etc/dehydrated/deploy.sh
+
+#. Run dehydrated to set up and agree to terms and conditions::
+    
+    su letsencrypt -c 'dehydrated --register --accept-terms'
+
+#. Then run it again to actually do a challenge/response and generate certs::
+    
+    su letsencrypt -c 'dehydrated -c'
+
+#. If everything went fine, tell nginx to use the new certs in your server block. Don't forget to enable ``listen 443 ssl``::
+    
+    ssl_certificate /var/dehydrated/certs/www.foo.com/fullchain.pem;
+    ssl_certificate_key /var/dehydrated/certs/www.foo.com/privkey.pem;
+
+#. Make nginx use your new certs::
+    
+    /usr/local/etc/dehydrated/deploy.sh
+
+You should be able to see your web site with a little green lock icon now, carrying a letsencrypt cert.
+
+In order to verify that all your setups have been setup correctly, I wrote a script that checks them all::
+    
+    HOSTS="mail.foo.com:25:smtp mail.foo.com:imaps www.foo.com jabber.foo.com:5232"
+    unset LANG LC_CTYPE LC_MESSAGES LC_TIME
+
+    for host in $HOSTS; do
+      unset starttls
+      [ ${host%:*} = ${host} ] && host=${host}.:443
+      if [ ${host%*:*:*} != ${host} ]; then
+        starttls="-starttls ${host#*:*:} "
+        host=${host%:*}
+      fi
+      echo $host ${starttls}
+      notafter=$( yes q | openssl s_client -servername ${host} -connect ${host} ${starttls} 2>/dev/null | openssl x509 -noout -enddate | grep ^notAfter= | cut -d = -f 2- )
+      secs=$( date -j -f "%b %d %T %Y %Z" "${notafter}" +%s )
+      now=$( date +%s )
+      printf "% 4d days .. until %s\n" $(( (secs - now) / 86400 )) "${notafter}"
+    done
+
diff --git a/blog/2017/poudriere-in-ezjail.rst b/blog/2017/poudriere-in-ezjail.rst
new file mode 100644
index 0000000..706260b
--- /dev/null
+++ b/blog/2017/poudriere-in-ezjail.rst
@@ -0,0 +1,34 @@
+.. title: Running poudriere in ezjail
+.. date: 2017/08/06 21:42
+
+Ever since `poudriere <https://github.com/freebsd/poudriere>`_ was published, I felt the obligation to run a public repository with packages tuned to my needs (i.e. without X11, without Java, with a certain TLS library as default, etc). But considering this tool's complexity, I never felt comfortable running it on a production system's host. So naturally I've been looking for a way to jail it away and only 2 years after `this tutorial <https://github.com/freebsd/poudriere/wiki/poudriere_in_jail>`_ outlined how that works, I managed to acutally try it out. Long story short: This guide kinda works and I got poudriere running in a jail. But I want the jail to automatically start up, get the correct dataset attached and receive all permissions needed to do zfs stuff and creating its own builder jails, in other words: I wanted to embed it as an ezjail.
+
+Now, turns out, that's actually not so hard: If you're running ezjail with zfs enabled, you first create the dataset for poudriere to work on::
+
+  zfs create -o jailed=on tank/poudriere
+
+then you just create your poudriere jail, making sure to pass it an ::1 IP address::
+
+  ezjail-admin create -c zfs poudriere 127.0.0.1,lo0|::1
+
+and then manually edit the two config lines in ``/usr/local/etc/ezjail/poudriere`` to read::
+
+  export jail_poudriere_parameters="children.max=10 allow.mount=1 allow.mount.devfs=1 allow.mount.procfs=1 allow.mount.zfs=1 allow.mount.nullfs=1 allow.raw_sockets=1 allow.socket_af=1 allow.sysvipc=1 allow.chflags=1 enforce_statfs=1"
+  export jail_poudriere_zfs_datasets="tank/poudriere"
+
+dont forget that this jail needs a resolv.conf, too and now you can just::
+
+  ezjail-admin console -f poudriere
+
+and follow `the FreeBSD handbook section on poudriere <https://www.freebsd.org/doc/handbook/ports-poudriere.html>`_ to get your poudriere jobs running. Since I wanted the web server jail to serve the packages, I exposed them in ``/etc/fstab.www_domain.com`` by adding a line::
+
+  /usr/jails/poudriere/tank/poudriere/data/packages /usr/jails/www.domain.com/packages nullfs ro 0 0
+
+and after an ``ezjail-admin restart www.domain.com``, you should be able to use the packages built by adding a ``/usr/local/etc/pkg/repos/www.conf`` of::
+
+  www: {
+    url: "file:///packages/103amd64-local-workstation/",
+    enabled: yes
+  }
+
+*Update:* Should you be missing the file systems inside your poudriere jail, make sure to mount them in your periodic script that runs poudriere (using ``zfs mount -a``, before running poudriere), or take a look at `the thread on the ezjail mailing list <https://elektropost.org/ezjail/msg00902.html>`_ regarding rc.d/zfs not finding the dataset when it's run.