FcgidPassHeader Authorization

This article has multiple motivations. First, it is a follow-up to an article by Patrick Ohly (author of syncEvolution). As such it illustrates my own experience with his software, but also is meant as a way to show my gratitude and give kudos to him and all contributors of syncEvolution. Second, but this is somehow related to the aforementioned article, it should show that synchronisation [of PIM data] can work reliably and as such it opposes a wide spread opinion.

Scope

What I’ll try to show is how I’m successfully synchronising my notebook, my workstation (both Fedora 15) and my Android phone using the SyncML protocol.

Disclaimer: on the phone, I’m currently using a non-free piece of software from Synthesis AG for the only reason that the free Funambol client doesn’t play well with my self-signed SSL certificate (yet!?).

Server aka “cloud”

On the server-side, I’m using the eGroupware software. That means PHP with MySQL backend and a few cron scripts, hence quiet a “default” set-up and easily joining my WordPress. For installation and updates I’m using their CentOS 5 repository hosted at the openSUSE build service.

eGroupware exposes a SyncML interface, but also supports GroupDAV, CalDAV and CardDAV for those with different tastes and/or clients.

Desktops

Although syncEvolution is not intended to be limited to the GNOME Evolution software, that is what I’m using and the inter-play between the two works out of the box. To also work with the server, syncEvolution needs some tuning. After installation of syncevolution-gtk, I created a stub configuration with

$ syncevolution --configure --sync-property "username=MYEGROUPWAREUSER" memotoo

then renamed it to match my own service

$ cd ~/.config/syncevolution
$ mv default/peers/memotoo default/peers/fabianmoser

finally, I change the default setting to match my server by applying a patch (below)

$ patch -p1 < ~/syncevolution.patch

Here is the syncevolution.patch file (explanations below):

diff -u -r old/config.ini new/config.ini
--- old/config.ini	2011-07-06 09:45:01.952470598 +0200
+++ new/config.ini	2011-07-01 13:27:33.000000000 +0200
@@ -1,2 +1,2 @@
 # the peer which is used by default in some frontends, like the sync-UI
-# defaultPeer = 
+defaultPeer = fabianmoser
diff -u -r old/default/peers/fabianmoser/config.ini new/default/peers/fabianmoser/config.ini
--- old/default/peers/fabianmoser/config.ini	2011-07-06 09:48:16.758035192 +0200
+++ new/default/peers/fabianmoser/config.ini	2011-07-04 14:21:47.000000000 +0200
@@ -16,7 +16,7 @@
 # In the future this might be used to contact the peer
 # via one of several transports; right now, only the first
 # one is tried.
-syncURL = http://sync.memotoo.com/syncML
+syncURL = https://fabianmoser.at/egroupware/rpc.php
 
 # user name used for authorization with the SyncML server
 username = MYEGROUPWAREUSER
@@ -40,7 +40,7 @@
 
 # enables or disables the detailed (and sometimes slow) comparison
 # of database content before and after a sync session
-# printChanges = 1
+printChanges = 0
 
 # Controls automatic synchronization. Currently,
 # automatic synchronization is done by running
@@ -57,7 +57,7 @@
 # http - only via HTTP transport
 # obex-bt - only via Bluetooth transport
 # http,obex-bt - pick one of these
-# autoSync = 0
+autoSync = 1
 
 # This is the minimum number of seconds between two
 # synchronizations that has to pass before starting
@@ -72,7 +72,7 @@
 # synchronization when changes are detected (not
 # implemented yet, therefore it basically disables
 # automatic synchronization).
-# autoSyncInterval = 30M
+autoSyncInterval = 60M
 
 # An automatic sync will not be started unless the peer
 # has been available for this duration, specified in seconds
@@ -84,7 +84,7 @@
 # to predict how long connectivity be available in the
 # future, because it should better be available long
 # enough to complete the synchronization.
-# autoSyncDelay = 5M
+autoSyncDelay = 5M
 
 # During a slow sync, the SyncML server must match all items
 # of the client with its own items and detect which ones it
@@ -185,7 +185,7 @@
 # An arbitrary name for the peer referenced by this config.
 # Might be used by a GUI. The command line tool always uses the
 # the configuration name.
-# PeerName = 
+PeerName = fabianmoser
 
 # SyncML ID of our peer, empty if unknown; must be set only when
 # the peer is a SyncML client contacting us via HTTP.
@@ -221,7 +221,7 @@
 # 
 # SSL support when acting as HTTP server is implemented
 # by the HTTP server frontend, not with these properties.
-# SSLServerCertificates = /etc/ssl/certs/ca-certificates.crt:/etc/pki/tls/certs/ca-bundle.crt:/usr/share/ssl/certs/ca-bundle.crt
+SSLServerCertificates = /home/fabian/.local/share/ssl/certs/fabianmoser.at.crt
 
 # The client refuses to establish the connection unless
 # the server presents a valid certificate. Disabling this
@@ -238,7 +238,7 @@
 
 # The URL of a web page with further information about the server.
 # Used only by the GUI.
-WebURL = http://www.memotoo.com
+WebURL = http://fabianmoser.at
 
 # The URI of an icon representing the server graphically.
 # Should be a 48x48 pixmap or a SVG (preferred).
diff -u -r old/default/peers/fabianmoser/sources/addressbook/config.ini new/default/peers/fabianmoser/sources/addressbook/config.ini
--- old/default/peers/fabianmoser/sources/addressbook/config.ini	2011-07-06 09:48:16.758035192 +0200
+++ new/default/peers/fabianmoser/sources/addressbook/config.ini	2011-07-01 13:27:33.000000000 +0200
@@ -141,8 +141,8 @@
 #       xmlrpc:text/vcard:3.0
 #       xmlrpc:text/x-vcalendar:1.0
 #       xmlrpc:text/calendar:2.0
-type = addressbook
+type = addressbook:text/x-vcard
 
 # this is appended to the server's URL to identify the
 # server's database
-uri = con
+uri = ./contacts
diff -u -r old/default/peers/fabianmoser/sources/calendar/config.ini new/default/peers/fabianmoser/sources/calendar/config.ini
--- old/default/peers/fabianmoser/sources/calendar/config.ini	2011-07-06 09:48:16.758035192 +0200
+++ new/default/peers/fabianmoser/sources/calendar/config.ini	2011-07-01 13:27:33.000000000 +0200
@@ -141,8 +141,8 @@
 #       xmlrpc:text/vcard:3.0
 #       xmlrpc:text/x-vcalendar:1.0
 #       xmlrpc:text/calendar:2.0
-type = calendar
+type = calendar:text/calendar
 
 # this is appended to the server's URL to identify the
 # server's database
-uri = cal
+uri = ./calendar
diff -u -r old/default/peers/fabianmoser/sources/todo/config.ini new/default/peers/fabianmoser/sources/todo/config.ini
--- old/default/peers/fabianmoser/sources/todo/config.ini	2011-07-06 09:48:16.759035180 +0200
+++ new/default/peers/fabianmoser/sources/todo/config.ini	2011-07-01 12:02:16.000000000 +0200
@@ -145,4 +145,4 @@
 
 # this is appended to the server's URL to identify the
 # server's database
-uri = task
+uri = ./tasks
diff -u -r old/default/sources/addressbook/config.ini new/default/sources/addressbook/config.ini
--- old/default/sources/addressbook/config.ini	2011-07-06 09:45:01.953470586 +0200
+++ new/default/sources/addressbook/config.ini	2011-07-01 13:27:33.000000000 +0200
@@ -123,7 +123,7 @@
 #       xmlrpc:text/vcard:3.0
 #       xmlrpc:text/x-vcalendar:1.0
 #       xmlrpc:text/calendar:2.0
-type = addressbook
+type = addressbook:text/x-vcard
 
 # Picks one of backend data sources:
 # enter either the name or the full URL.
diff -u -r old/default/sources/calendar/config.ini new/default/sources/calendar/config.ini
--- old/default/sources/calendar/config.ini	2011-07-06 09:45:01.953470586 +0200
+++ new/default/sources/calendar/config.ini	2011-07-01 13:27:33.000000000 +0200
@@ -123,7 +123,7 @@
 #       xmlrpc:text/vcard:3.0
 #       xmlrpc:text/x-vcalendar:1.0
 #       xmlrpc:text/calendar:2.0
-type = calendar
+type = calendar:text/calendar
 
 # Picks one of backend data sources:
 # enter either the name or the full URL.

What this does is setting the URL and configuring auto-sync for every 60 minutes. It tells syncEvolution that it should accept my SSL certificate. Finally, it changes the types and uris of the different SyncML sources, namely calendar, tasks and contacts, to match eGroupware.

Phone

The Synthesis client must again be pointed to the correct URL, i.e. the rpc.php file of the eGroupware installation. Finally, the options must be changed such that the client accepts the self-signed certificate. If necessary, you can configure to which Android storage your PIM data should be synchronised.

Conclusion

I hope I could give a credible example of how synchronisation in my own little private “cloud” works. If this helps someone to create a similar set-up, even better.

The only disadvantage I see at the moment is, that I have to rely on a non-free client on the phone. Maybe other SyncML clients will at some point be able to cope with self-signed certificates. Or maybe there will be free and reliable CalDAV & CardDAV clients for Android?

The problem was, that for some reason and on some machines, WordPress showed always only one blog (not the same on all machines) and ignored the domain entered into the browser. Now it is exactly the purpose of the multi-network plugin to resolve different domains to different blogs (hopefully in a reproducible manner).

It turned out, that the problem was in the nginx configuration that looked like that:

server {
    server_name  _ .fabianmoser.at .nataschastanke.eu;
    #...
}

thus catching both domain names registered for my server.

After some twiddling with the nginx log format to inspect where the http header got lost, I found the following solution:

server {
    server_name  .fabianmoser.at;
    #...
}
server {
    server_name  .nataschastanke.eu;
    #...
}

thus effectively duplicating the virtual server section and giving just one server name each time.

Now everything works fine as you can easily verify yourself.

Der versendende Server signiert alle Mails die er versendet vor der Übertragung. Spam Versender haben keinen Zugriff auf den privaten Schlüssel des Servers in dessen Namen sie versenden und können daher keine gültige Signatur bereitstellen. Der empfangende Server kann sich aus einem speziellen DNS Eintrag der Absender-Domain den zur im Absender angegebenen Domain gehörenden öffentlichen Schlüssel holen und damit die Signatur der empfangenen E-Mail überprüfen.

Bei der Einrichtung habe ich mich größtenteils an eine Anleitung von R. I. Pienaar gehalten. Nur bei den DNS Einträgen hatte ich vorübergehend Schwierigkeiten. Im Unterschied zu der Anleitung, habe ich keinen direkten Zugriff auf die Bind Konfigurationsdatei. Stattdessen muss ich die Administrationsoberfläche meines Hosting Providers SERVER4YOU verwenden. Anstatt umständlich das Format der notwendigen Einträge in der Domainverwaltung zu beschreiben, ist hier ein Screenshot von meinen korrekten, funktionierenden Einstellungen:

DNS Einstellungen für DKIM

Man beachte, dass in der oberen Zeile kein v= Eintrag vorkommt und dass ich weder Anführungszeichen noch Backslashes verwende.

Redmine

Der Grund für die doch etwas aufwendige Aktion war ein mehr oder weniger fehlgeschlagener Versuch, die das Projektmanagement-Tool Redmine als Ersatz für das bisher eingesetzte Trac auszuprobieren. Leider stieß mein alter Server dabei an seine Grenzen und verweigerte für kurze Zeit sogar die Annahme von E-Mails.

Weil ich einen Umstieg schon seit einem Jahr immer wieder überlegte, nahm ich die Situation zum Anlass um mit meinem Provider die Optionen zu besprechen. Mir wurde ein Upgrade angeboten, das sich heute leider als ungültig erwiesen hat. Letztendlich ist der einzige Unterschied eine Monatsmiete, weil ich beide Verträge nur mit einmonatiger Bindung abgeschlossen habe.

Den für Redmine notwendigen Ruby Stack habe ich aus den aktuellen Quellen selbst kompiliert, weil die Versionen in den CentOS Repositories für diese junge Software stark veraltet sind. Ruby stellt mit den gut unterstützen Gems eine gute eigene Paketverwaltung bereit.

CentOS

Weil ich auf meinem Laptop seit einiger Zeit auf die Linux Distribution Fedora setze, habe ich meine Distributionswahl am Server überdacht und statt Debian auf das Fedora-ähnliche aber auf den Servereinsatz aufgelegte CentOS gesetzt. Vom Geist der Revolution beflügelt, habe ich mich auch gleich versuchsweise von Apache als Webserver verabschiedet und auf Nginx umgestellt. Die gerade angezeigte WordPress wird entsprechend von PHP-FPM ausgeführt.

Für die Mailserver Infrastruktur verlasse ich mich weiterhin auf das bewährte Gespann von Dovecot und Exim. Weil mein Server meine zentrale Sammelstelle für alle E-Mail Konten ist (per Fetchmail), wollte ich hier nichts riskieren und sah auch wirklich keinen einzigen Grund für eine Veränderung.

VCS

Meine alten Subversion Repositories habe ich natürlich unverändert kopiert. Daneben habe ich mit Hilfe von Gitosis eine für meine Zwecke perfekte Git Verwahltung eingerichtet, die (wie svn+ssh) unter einem einzelnen Systemaccount und einer Sammlung von autorisierten öffentlichen Schlüsseln beliebig viele Git Repositories mit getrennt einstellbaren Zugriffsrechten zur Verfügung stellt. Nebenbei war die Unterstützung von Git und Subversion einer der Mitgründe für den Umstieg von Trac auf Redmine.

Fertig

Also genug Fachjargon. Fazit: Ich habe einige glückliche Stunden mit meiner virtuellen “Immobilie” verbracht. Nur damit die Änderungen nach außen hin nicht völlig unbemerkt bleiben habe ich auch gleich das WordPress Motiv geändert.

Bei diesem Titel versteht es sich vielleicht von selbst, dass FTP hier kein Thema ist. Es ist vermutlich zu einem nicht unwesentlichen Teil persönliche Präferenz, aber wenn ich das Wort sicher im Zusammenhang mit Servern verwende, verlasse ich mich immer gern auf SSH. Im Fall eines Fileservers bietet sich also das SFTP Protokoll an. Generell wirft die Verwendung von SSH und, im Speziellen, die Weitergabe von Zugangsdaten für einen SSH Server (zumindest) zwei brennende Fragen auf.

Zum einen muss verhindert werden, dass der eingeloggte Benutzer beliebigen Code ausführen kann. Da er zumindest für das Upload Verzeichnis Schreibrechte hat, kann ein eventueller Upload von Exploits nicht prinzipiell verhindert werden, aber wenn man dem Benutzer erst gar keine Shell gibt, kann er die Ausführung des Schadcodes nicht veranlassen. Diese Strategie verfolgt die scponly Software.

Zum anderen ist man als Administator auch interessiert, dem eingeloggten Benutzer möglichst wenig Information über das System preiszugeben. Das erreicht man mit einer chroot Umgebung. Nun wird sogar von scponly ein Skript angeboten, um eine solche Umgebung zu erstellen. Dessen Verwendung wird auf der ubuntuusers Wiki beschrieben. Leider ist dafür das Setzen des SUID Bits notwendig, was meiner Meinung nach keine saubere Lösung ist. Daher werde ich hier beschreiben, wie man eine äquivalente Umgebung mit dem makejail Skript erstellt. Diese Vorgehensweise orientiert sich stark an der Anleitung zum Absichern von Debian, welche in ihrer Gesamtheit auf jeden Fall eine Lektüre wert ist, wenn man einen Debian Server administrieren muss.

Praxis

Diese Anleitung bezieht sich auf Debian Lenny. Zuerst werden die erforderlichen Pakete installiert:

# aptitude install libpam-chroot makejail scponly

Nun wird das eben installierte PAM Modul libpam-chroot für SSH Logins aktiviert. Dazu werden die folgenden Zeilen zu der Datei /etc/pam.d/sshd hinzugefügt:

session    required     pam_chroot.so

Zunächst muss der entsprechende Benutzer erstellt werden, mit dem man sich später am Server anmelden kann.

# adduser --home /home/sftp --shell /usr/bin/scponly --no-create-home sftp

Damit das PAM Modul auch wirklich greift, muss es für den neuen Benutzer aktiviert werden. Das geschieht durch folgende Zeile in der Datei /etc/security/chroot.conf.

sftp	/var/chroot/users/sftp

Als nächstes wird das Verzeichnis für die chroot Umgebung erstellt und der neue Benutzer erhält Schreibrechte für sein Heimatverzeichnis.

# mkdir -p /var/chroot/users/sftp/home/sftp
# chown sftp:sftp /var/chroot/users/sftp/home/sftp

Für die Verwendung des makejail Skripts wird eine Konfigurationsdatei mit folgendem Inhalt erstellt und als sftp-jail.py gespeichert.

chroot="/var/chroot/users/sftp"
users=["sftp"]
testCommandsInsideJail=["scponly", "ls", "scp", "rm", "ln", "mv", "chmod", "chown", "chgrp", "mkdir", "rmdir", "pwd", "groups", "id", "echo", "passwd"]
forceCopy=["/usr/lib/sftp-server"]
cleanJailFirst=1
preserve=["/home/sftp"]

Es folgt der Aufruf des Skripts.

# makejail sftp-jail.py

Die am Ende ausgegebenen Warnungen können getrost ignoriert werden. Wenn man so vorsichtig ist wie ich, muss man noch dafür sorgen, dass der SSH Login für den neuen Benutzer freigegeben wird. Dazu fügt man den neuen Benutzernamen dem AllowUsers Parameter in der Datei /etc/ssh/sshd_config hinzu und startet das SSH Service neu.

# /etc/init.d/ssh restart

My intention was to connect to my freshly set up  WebDAV directory served by Apache. The setup on the server side was quite tedious as well, but as expected, there are countless howtos around and one just has to put the pieces together as usual. The real problem however arose, when I starry-eyed tried to connect to that online directory using Vista’s “Map Network Drive …” dialog. After some steps into the wizard that always gave me the error popup saying “The folder you entered does not appear to be valid”.

Well that soon let me drop to the beloved command line. But using net use W: https://example.com/davroot was answered by “System error 67 has occurred” and “The network name cannot be found”. Using net use W: \\example.com@SSL\davroot gave no improvement.

I will spare you my other trials and all the different possible solutions that can be found on the net (I even installed a Microsoft patch which didn’t change anything) and write down straight what solved the problem:

1. Make sure the “WebClient” service is running! (Type “services.msc” into the search box in the start menu and hit enter.  Scroll down the WebClient and check.)
2. Use “\\yourserver@SSL\DavWWWRoot\yourshare” as the server address in the Folder field of the Map Network Drive dialog box. Do not forget the DavWWWRoot or the @SSL.  

Unfortunately the first start of the new service turned out to blow up the memory usage by about 100 MB which is unacceptable regarding the tight resources of my virtual private server. As I found out, others had similar experience and switched to DenyHosts due to this issue. My experience with setting up Trac two weeks ago taught me that a Python application (like fain2ban) might consume a lot of memory only because of the relatively oversized default stack size on Linux.

The means to reduce the default stack size in Linux are widely known to be the limits.conf file and the ulimit command. But how to use those two in my situation? The solution turns out to be a one-liner on Debian Lenny: All I had to do was to append the ulimit command to my /etc/default/fail2ban file.

This is the changed /etc/default/fail2ban file:

# This file is part of Fail2Ban.
#
# Fail2Ban is free software; you can redistribute it and/or modify
# it under the terms of the GNU General Public License as published by
# the Free Software Foundation; either version 2 of the License, or
# (at your option) any later version.
#
# Fail2Ban is distributed in the hope that it will be useful,
# but WITHOUT ANY WARRANTY; without even the implied warranty of
# MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
# GNU General Public License for more details.
#
# You should have received a copy of the GNU General Public License
# along with Fail2Ban; if not, write to the Free Software
# Foundation, Inc., 59 Temple Place, Suite 330, Boston, MA  02111-1307  USA
#
# Author: Cyril Jaquier
#
# $Revision: 1.2 $
 
# Command line options for Fail2Ban. Refer to "fail2ban-client -h" for
# valid options.
 
FAIL2BAN_OPTS=""
 
ulimit -s 256

Using this sets the default stack size for the Python instances running fail2ban to 256 KB and lowers the memory consumption of fail2ban approximately by a factor of 10.

Damit das Prinzip funktioniert, habe ich begonnen, den neueren Artikeln Schlagworte zuzuweisen. Im Gegensatz zu Stichworten, welche sich auf den Titel beziehen, geben Schlagworte in kürzester Form den Inhalt eines Artikels wieder. Sobald eine Mindestanzahl von Artikeln mit Schalgworten markiert wurde, kommen natürlich in Summe manche Schlagworte öfter vor als andere. Dieser Unterschied wird in der Schlagwortwolke durch das Schriftbild des Schlagwortes dargestellt. Häufiger vorkommende Schlagworte sind auffälliger dargestellt als selten vorkommende. 

In diesem frühen Stadium der Website ist der Vorteil dieser Navigationsmöglichkeit leider noch nicht offensichtlich. Das wird sich aber bei einer größeren Anzahl von Artikeln ändern. Um dann eine effiziente Navigation mittels der Kategorien zu erreichen, müsste ich eine gutüberlegte Hierarchie einführen und regelmäßig aktualisieren, wenn manche Kategorien wichtiger werden als ursprünglich angenommen. Die Schlagwortwolke aktualisiert sich sozusagen von selbst und stellt immer die gerade aktuelle Informationsverteilung auf der Website dar.

Ich hoffe, ich konnte mit dieser kurzen Erklärung die auffällige und vielleicht auf den ersten Blick störende Einrichtung mit dem irritierenden Namen rechtfertigen. Wie gesagt, vielleicht überzeugt sie ja im Lauf der Zeit. Es würde mich freuen.

Nachdem das Design meiner Website zwiespältige Reaktionen hervorgerufen hat (Nicht alle Besucher war darüber begeistert, dass ich Ihnen gleich tief in die Augen geschaut habe.), habe ich schon vor einiger Zeit begonnen, mir über eine gänzliche Neugestaltung Gedanken zu machen. Bei dieser Gelegenheit habe ich mir auch vorgenommen, die bisherige Basis der Website, nämlich das Frog Content Management System neu zu evaluieren.

Es folgte eine längere Recherchephase, weil ich nie wirklich viel Zeit auf einmal darauf verwendet habe. In die engere Auswahl kam immer wieder Drupal. Gegenüber Joomla habe ich eine irrationale Abneigung, die ich manchmal darauf zurückführe, dass es dafür sogar an Schulen Einführungen gibt und manchmal darauf, dass es einfach irgendwie zu bunt wirkt. Gegen eine weitere Verwendung von Frog sprach die Tatsache, dass es anscheinend nur drei aktive Entwickler gab und mir die Entwicklung etwas zu verschlafen schien. So perfekt ist es dann doch noch nicht, auch wenn mich die Schlankheit und das Konzept einst überzeugen konnten.

Warum WordPress?

WordPress wurde es dann ganz einfach, weil es anscheinend für Websites und insbesondere für Blogs die erste Wahl ist. Ich kann mich nicht mehr erinnern, warum ich es früher ausgeschlossen hatte, befürchte aber, dass es von einem Emanzipationsbedürfnis hergerührt hat. Dieses Bedürfnis ist in den letzten Monaten in mir sehr zurückgegangen. Vielleicht steht damit auch im Zusammenhang, dass ich auf meinem Arbeitscomputer nun endgültig bei Windows Vista geblieben bin und es kennen und mögen gelernt habe.

Jedenfalls konnte ich keinen Grund und kein fehlendes Feature finden, das gegen WordPress gesprochen hätte. Meine Kriterien waren vor allem die Möglichkeit, konsistene statische Seiten zu erstellen und Versionierung der Artikel. Da ich mich nicht noch einmal mit Serversoftware herumschlagen wollte, musste das potentielle System auch auf der PHP/MySQL Infrastruktur laufen. Da beides keine stark einschränkenden Kriterien sind, waren die beiden “Bonuskriterien” ausschlaggebend: Ein vernünftiges Plugin für die Einbindung von Picasa Fotoalben und ein Darstellungsmotiv, das mir zusagt.

plaintxtblog

Die Wahl des Aussehens wurde diesmal von einer reduktionistischen Strategie geleitet. Geheimes Vorbild war der Blog von Mark Russinovich, einem früheren SysInternals und jetzt Microsoft Kernel Entwickler, aus dessen Interviews ich einige interessante Hintergrundinformationen zu Vista und Windows 7 erfahren habe. Tatsächlich wird das Aussehen seines Blogs natürlich von TechNet vorgegeben, aber egal. Ich fand ganz einfach, dass ich lieber weiterhin Bilder in meine Artikel aufnehme und alle anderen Fotos und Grafiken vermeiden sollte. Damit wird die Aufmerksamkeit nicht vom interessanteren, neuen Inhalt abgelenkt und man sieht nicht tausendmal dasselbe große, bald altgewordene Bild, das alles andere in den Schatten stellt und zuerst beeindruckt und später langweilt.

Belohnung

Weil ich gerade beim Thema war, gibt es jetzt zur Belohnung noch ein gerade aufgenommenes Foto von Romy, die heute schon einige intensive Knuddeleinheiten einstecken musste und den Samstag genauso genießt wie ich.

Jetzt muss ich aber doch noch hinaus aus der Wohnung, den Wochenendeinkauf erledigen und ein bisschen die Nachmittagssonne inhalieren.