Intermediate on Tom Meurs

Vendor lock-in bij Talos Linux: vijf vragen, op m'n eigen nodes

Tue, 06 Oct 2026 09:00:00 +0200

TL;DR De vijf vragen uit m’n licentiepost heb ik eens losgelaten op het OS onder m’n eigen cluster. De licentie houdt stand. De vendor lock-in van Talos Linux zit in twee defaults die naar servers van Sidero wijzen, in de BSL -code die Sidero steeds naast de MPL -kern zet, en in een bedrijf dat sinds 14 september van Yardi is.

Het verdienmodel van je dependency hoort in je threat model

Wed, 23 Sep 2026 19:00:00 +0200

TL;DR Een leverancier die z’n gratis editie bevriest hoort in je risicoregister, naast het certificaat dat verloopt. Zesendertig gedateerde gevallen hieronder, drie soorten gebeurtenis, en vijf vragen om je eigen stack langs te leggen. In mijn eigen register ontbrak de Vault-regel. Drie jaar lang.

Op 11 september publiceerde de CEO van Portainer “Portainer 3.0 is coming, and here’s what it means for you”. Ik las hem de maandag erna en haalde m’n schouders op.

KVM/QEMU scripts en aliases: maak virtualisatie echt bruikbaar

Wed, 03 Jun 2026 21:17:00 +0100

Ik draai de hele dag VMs. Een Kubernetes-deployment die ik wil testen, een distro waar ik over las, Windows voor die ene koppige applicatie, een experiment dat ik liever niet op m’n eigen machine loslaat. Daar is KVM/QEMU gewoon de juiste tool voor. Het zit in de Linux-kernel en draait bijna op native snelheid. Niks erin belt naar huis, en geen vendor die bepaalt wat ik met mijn eigen hardware mag.

Infrastructure as Code voor mensen die moeten begrijpen

Sat, 30 May 2026 19:45:00 +0100

Iemand opent een cloud console, klikt door een wizard, laat de defaults staan, en er verschijnt een resource. Het dashboard springt op groen en iedereen gaat door. Zo wordt er in 2026 nog steeds een hoop infrastructuur gebouwd, en ik heb er zelf ook zo gebouwd.

Lang hou ik dat niet vol. Klik ik op een knop en verschijnt er infrastructuur, dan voelt het geleend. Ik wil de configuratie ergens opgeschreven hebben waar ik hem terug kan lezen, en ik wil weten waaróm iets bestaat, niet alleen dát het bestaat. De console geeft me een groen vinkje. Meer niet.

Backup-strategie voor je homelab: de 3-2-1-regel in de praktijk

Mon, 18 May 2026 19:30:00 +0100

TL;DR Drie kopieën, twee soorten media, één ervan buiten de deur. Restic voor bestanden, Velero voor het cluster, een bucket bij Backblaze als offsite kopie, en een restore-test op een vast moment. Bij mij kost dat zo’n 5 euro per maand, en die restore-test is het onderdeel waar ik mezelf nog steeds toe moet zetten.

Stel dat de disk in je homelab vannacht sterft. Niet corrupt raken, niet eerst een week SMART-waarschuwingen geven, gewoon weg. De git-server met elke repo waar je om geeft, de password vault, vijftien jaar familiefoto’s, de home automation die het huis aanstuurt. Allemaal op een drive die heeft besloten dat het mooi geweest is.

Grafana-dashboards die daadwerkelijk gebruikt worden

Sat, 02 May 2026 20:15:00 +0100

TL;DR Elk dashboard beantwoordt één vraag, en binnen vijf seconden weet ik of ik me druk moet maken. Vier soorten dashboards dekken alles, variabelen en links knopen ze aan elkaar, en de JSON staat in Git. M’n homelab draait er vijf, en wat een maand niet geopend wordt gooi ik weg.

Je hebt Grafana. Je hebt Prometheus-metrics. Je hebt logs in Loki en traces in Tempo. De data staat er allemaal.

Je hebt ook 47 dashboards die niemand opent.

K3s cluster setup op refurbished mini-PCs

Fri, 24 Apr 2026 21:12:00 +0100

TL;DR Drie refurbished mini-PCs, K3s met embedded etcd, kube-vip voor één API-adres dat een dode node overleeft, en daarbovenop MetalLB, Traefik en Longhorn. Zo’n €450 aan hardware en een middag. Hieronder staan de commando’s, in de volgorde waarin ik ze heb gedraaid.

Drie mini-PCs staan op een plank bij mij thuis. Samen draaien ze m’n GitLab, m’n monitoring-stack, home automation, file sync, een wachtwoordmanager en nog een stapel dingen die ik liever niet op andermans computer zet. De hele setup kostte minder dan één maand van de managed-Kubernetes-rekening voor hetzelfde, en ik weet wat elke laag doet omdat ik hem er zelf in heb gezet.

cert-manager: automatische TLS certificaten in Kubernetes

Sun, 12 Apr 2026 21:38:00 +0100

TL;DR cert-manager houdt Certificate-resources in de gaten, haalt het certificaat bij Let’s Encrypt, je eigen CA of Vault, zet het in een Secret en vernieuwt het 30 dagen voor het verloopt. Ik draai één DNS-01 ClusterIssuer via Cloudflare en één wildcard-certificaat, kopieer die Secret naar de namespaces die hem nodig hebben, en laat twee Prometheus-alerts me vertellen wanneer een vernieuwing vastloopt. Niks meer om te onthouden.

Jarenlang vernieuwde ik m’n certificaten zoals de meeste mensen dat doen. Een agenda-reminder, een handmatige certbot-run, en de hoop dat ik er op tijd bij was. Dat werkte. Tot de ochtend waarop een service me om de oren sloeg met certfouten en ik geen idee had waarom. De renewal-cron bleek al weken te falen. Stilletjes.

Distributed tracing met Tempo en OpenTelemetry

Sat, 04 Apr 2026 19:47:00 +0100

TL;DR Tempo is waar m’n traces heen gaan. De OpenTelemetry Collector ontvangt spans van elke service, tail sampling houdt elke error en elke trage request vast, en Tempo schrijft de rest naar MinIO met drie dagen retentie. Vanaf een span in Grafana klik ik door naar de Loki-regels met dezelfde trace ID. M’n productie-values staan onderaan.

Je metrics zeggen dat iets traag is. Je logs zeggen dat er errors waren. Prima. Welke request faalde, waar kwam die latency vandaan, en welke service in de keten vrat de timeout op? Geen van beide kan je dat vertellen.

Loki voor Kubernetes logging: de Prometheus-achtige aanpak

Tue, 31 Mar 2026 21:15:00 +0100

TL;DR Loki indexeert labels en bewaart de logtekst als gecomprimeerde chunks, dus een maand logs past op commodity hardware. Wat je inlevert is full-text search. Hieronder de single-binary-install waar ik iedereen mee laat beginnen, dezelfde chart op MinIO met drie replicas, en de knoppen waar ik pas aan zat toen het volume echt was.

Je hebt Prometheus voor metrics, dus je ziet al wat er in je clusters gebeurt. Metrics vertellen je dat de latency om 14:32 piekte. Ze vertellen je niet dat de payment service een null pointer gooide omdat iemand een config-wijziging met een typefout uitrolde. Daarvoor heb je de logregel nodig.

NixOS als hypervisor: KVM en QEMU kunnen alles

Thu, 19 Mar 2026 21:52:00 +0100

TL;DR KVM en QEMU zijn de motor in Proxmox en het grootste deel van de cloud die je huurt. Op NixOS, met libvirt erbovenop, is die motor één blok config, en live migratie, memory ballooning, GPU passthrough, SR-IOV en CPU pinning zijn elk één commando of één stukje XML verderop. Wat Proxmox toevoegt is het dashboard en de delegatie, en hieronder ben ik eerlijk over wat dat waard is.

Vraag eens rond hoe je thuis een “echte” hypervisor draait en je krijgt hetzelfde rijtje. VMware, Hyper-V, of op z’n minst Proxmox. Iets met een web-UI, een clustering-tab en een marketingpagina vol enterprise features. Dat rijtje zit er zo diep in dat VMs draaien zonder zo’n product voelt als bochten afsnijden. Ik neem het niemand kwalijk. De marketing is goed.

Arch vs NixOS als werkstation: professioneel en privégebruik

Tue, 03 Mar 2026 21:28:00 +0100

TL;DR Arch en NixOS heb ik allebei als dagelijkse machine gedraaid, en vandaag is het Arch op beide desktops en NixOS op de servers. Arch z’n reputatie voor kapotgaan is meestal een ontbrekende snapshot. Met btrfs, Snapper, dotfiles in git en een packagelijst kost een rollback 2 minuten en is de angst voor updates weg. NixOS verdient z’n leercurve terug zodra meerdere machines identiek moeten blijven, en op een server zou ik niks anders meer willen.

CTF en forensics skills die je een betere DevOps engineer maken

Fri, 27 Feb 2026 19:52:00 +0100

TL;DR Ik zit ’s avonds op Hack The Box en daar word ik beter van in m’n dagelijkse werk, en dat is platform engineering, geen pentesting. De eerste tien minuten op een CTF -box en de eerste tien minuten op een kapotte productieserver zijn dezelfde loop, met “flag” in plaats van “incident”. Hieronder de toolkit waar die loop op draait, van één host tot in een Kubernetes-pod, per commando met het CTF-gebruik en het werkgebruik naast elkaar.

Wanneer je Kubernetes niet moet gebruiken

Sat, 17 Jan 2026 10:00:00 +0100

Ik schrijf veel over Kubernetes en ik draai het thuis elke dag. Ik vind het mooi spul.

Dus het verbaast je misschien dat ik een flink deel van m’n tijd besteed aan mensen ervan afpraten.

Het gaat steeds zo. Een klein team, één product, een roadmap vol features waar klanten op wachten, en iemand heeft besloten dat de eerste mijlpaal een Kubernetes-cluster is. Minimaal drie nodes, etcd, een CNI , een ingress controller, cert-manager, een monitoringstack. Weken werk voordat één klant iets ziet. Iedereen knikt mee, want zo hoort een serieuze setup er nu eenmaal uit te zien.

YubiKey + pass + GPG + SSH: één key om ze allemaal te beheren

Tue, 13 Jan 2026 17:00:00 +0100

TL;DR Eén YubiKey draagt een GPG-key met een signing-, een encryption- en een authentication-subkey. gpg-agent geeft de authentication-subkey aan SSH, git signt met de signing-subkey en pass ontsleutelt met de encryption-subkey, dus één PIN ’s ochtends en een touch per actie vervangen elk wachtwoord dat ik vroeger typte. Het SSH-deel alleen is drie stappen en op zichzelf al de moeite.

Elke ochtend plug ik m’n YubiKey in, typ één PIN, en dat is het laatste geheim dat ik typ tot ik hem er weer uittrek. SSH naar een server, geen wachtwoord. Een commit signen, geen passphrase. Een secret uit pass halen, key aanraken. Eén ding in een USB-poort, en de rest van de dag regelt m’n authenticatie zichzelf.

Onkapotbaar - mijn fascinatie.

Tue, 23 Dec 2025 20:00:00 +0100

Als kind noemde ik de dingen die me fascineerden onkapotbaar. Onverwoestbaar klopte nooit, want onverwoestbaar is iets dat nooit kapotgaat. Onkapotbaar is iets dat blijft werken nadat het kapot is.

Ik weet nog precies waar het begon. Een foto van een A-10 Thunderbolt II, terug van een missie met een halve vleugel weg, de staart aan flarden en de romp vol gaten. Dat ding bracht zijn piloot gewoon thuis.

Geluk had daar niks mee te maken. Iemand heeft jaren voor die missie aan een tekentafel besloten dat dat vliegtuig er zo uit mocht zien en toch thuis moest komen.

Prometheus en Thanos: metrics op schaal

Sun, 31 Aug 2025 10:00:00 +0200

TL;DR Prometheus alleen bewaart een week of twee aan metrics op lokale schijf en kan geen vraag over meerdere clusters heen beantwoorden. Thanos zet een sidecar naast elke Prometheus, stuurt de blocks naar object storage en zet er een querier voor die alles terugleest via dezelfde PromQL. Hieronder de installatie, de vier componenten, de bedrading voor HA en multi-cluster, en de getallen die ik in productie draai.

De eerste keer dat iemand me vroeg “was dit vorige maand trager dan nu?”, had ik geen antwoord. M’n Prometheus onthield twee weken. De data die ik nodig had was allang van de lokale schijf af en weg. Dat gat is de reden dat deze post bestaat.

Kubernetes RBAC: least privilege in de praktijk

Tue, 19 Aug 2025 10:00:00 +0200

TL;DR Kubernetes levert standaard een permissiemodel waarin elke pod een token krijgt en het default service account rechten verzamelt die niemand meer bewust heeft gegeven. Least privilege betekent een service account per workload, geen token tenzij de app met de API praat, en roles die de namespace, de resource en het verb bij naam noemen. Hieronder de vier RBAC-resources, de vijf instellingen die de blast radius begrenzen, de bindings die ik het vaakst kopieer, en hoe ik dat alles controleer en afdwing.

Vault voor beginners: secrets management in Kubernetes

Wed, 02 Jul 2025 10:00:00 +0200

De eerste keer dat ik kubectl get secret myapp -o yaml draaide en de waarde base64-decodeerde, zakte mijn maag. Daar stond mijn database-wachtwoord, gewoon in etcd, leesbaar voor iedereen die met de juiste RBAC bij de API kon. Kubernetes Secrets zijn geen secrets. Het is base64-gecodeerde platte tekst met een mooie naam. Dat is de default, en het is precies het ding waar niemand je op dag één voor waarschuwt.

Container image scanning met Trivy in je CI pipeline

Sun, 08 Jun 2025 10:00:00 +0200

Een base image pullen, je code erin kopiëren, naar productie pushen. Die lus draaien de meesten van ons op de automatische piloot. Het stuk waar niemand naar kijkt is de base image zelf, die stilletjes een paar honderd packages meesleept die je nooit gekozen hebt. Eén ervan kan een bekende CVE dragen, en je zou er geen flauw idee van hebben.

Semantic versioning automatiseren met GitLab CI

Tue, 27 May 2025 19:44:00 +0200

Stel je eerst de eindsituatie voor. Je merget een branch naar main, loopt weg om koffie te halen, en tegen de tijd dat je terug bent heeft het project een nieuwe versie-tag, een verse changelog-entry, en een GitLab release met notes die uit je commits zijn geschreven. Niemand besloot “is dit 1.4.0 of 1.3.5?” omdat niemand dat hoefde. Het versienummer rolde uit het werk zelf.

Daar wil ik in deze post naartoe. Ik draai een self-hosted GitLab en ik wil niet dat versioning iets is waar ik over nadenk. Een versienummer dat iemand met de hand kiest is een klein black box: het hangt ervan af of die persoon de regels onthield, oplette, en het met iedereen eens was over wat als een breaking change telt. Ik heb liever dat het nummer een consequentie van de commits is, iets dat ik kan inspecteren en reproduceren.

GitLab CI voor Kubernetes: van commit tot deployment

Thu, 15 May 2025 20:33:00 +0200

Lange tijd draaide mijn CI op de servers van iemand anders. Push code, wacht op een hosted runner, kijk hoe de minuten aftikken tegen een maandelijks quotum, hoop dat de provider de regels niet verandert volgend kwartaal. Het werkte, tot ik me begon af te vragen waar mijn broncode eigenlijk stond terwijl hij gebouwd werd, en wie er nog meer bij kon.

Dus haalde ik GitLab in huis. Ik draai hem nu self-hosted, op eigen hardware, naast de clusters waarnaar hij deployt. Dat is soevereiniteit toegepast op CI/CD: mijn code, mijn builds, mijn artifacts, geen vendor die prijzen kan veranderen, een feature kan deprecaten waar ik van afhankelijk ben, of mijn repositories kan lezen zonder dat ik het weet.

ArgoCD vs Flux: wanneer kies je wat

Fri, 28 Mar 2025 21:33:00 +0200

“Moet ik ArgoCD of Flux gebruiken?”

Ik krijg deze vraag bij de koffie, in Slack, in PR-comments, waarschijnlijk een keer per week. Mensen willen dat ik een winnaar aanwijs zodat ze er niet meer over hoeven na te denken en gewoon iets kunnen bouwen.

Hier is mijn bias, vooraf, zodat je alles wat volgt kunt wegen: ik draai ArgoCD op mijn eigen clusters. Ik heb er een paar jaar mee onder de gordel en ik vind het prettig. Die voorkeur lekt overal doorheen hoe voorzichtig ik ook ben, dus ik zeg het nu maar in plaats van te doen alsof ik neutraal ben.

ArgoCD voor beginners: je eerste GitOps deployment

Sun, 16 Mar 2025 19:15:00 +0100

Dit wil ik nooit meer doen: een cluster vragen wat het draait en het antwoord niet vertrouwen. Jarenlang was dat normaal. Iemand draaide kubectl apply, misschien vanaf een laptop, misschien vanuit een CI-job die niemand meer kon vinden, en de live staat dreef langzaam weg van alles wat ergens opgeschreven stond. Toen ik op GitOps overstapte, verdween die hele categorie onzekerheid. Ik push naar Git, en het cluster convergeert tot het matcht. Wil ik weten wat gedeployed is, dan lees ik een bestand.

Kubernetes Network Policies: een visuele handleiding voor pod security

Sat, 08 Feb 2025 19:34:00 +0100

Stel je dit voor: een aanvaller kraakt één pod in je cluster, via een kwetsbare image of een gelekte token. Vanuit dat ene bruggenhoofd kan deze elke database, elke interne API en elke secret-ophalende sidecar bereiken die je draait. Niets houdt hem tegen, want standaard probeert niets dat.

Network Policies zijn precies het ding dat hem tegenhoudt. Ze maken van “één gecompromitteerde pod” gewoon “één gecompromitteerde pod, en daar blijft het bij.” Iedereen weet dat ze ze zouden moeten gebruiken. Bijna niemand doet het echt, want de YAML ziet er eng uit en het gedrag is raar tot het mentale model klikt.