Update README.html.

author Matt Birkholz <matt@birchwood-abbey.net>

Sat, 9 May 2026 21:43:14 +0000 (15:43 -0600)

committer Matt Birkholz <matt@birchwood-abbey.net>

Sat, 9 May 2026 21:43:14 +0000 (15:43 -0600)
author Matt Birkholz <matt@birchwood-abbey.net>
Sat, 9 May 2026 21:43:14 +0000 (15:43 -0600)
committer Matt Birkholz <matt@birchwood-abbey.net>
Sat, 9 May 2026 21:43:14 +0000 (15:43 -0600)
diff --git a/README.html b/README.html

index 569594d67e9f10417d78a8840117ca2af75cf135..b89a2cc99d201945e818b4ecf779440a87326b5b 100644 (file)
--- a/README.html
+++ b/README.html
@@ -3,7 +3,7 @@
  "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
  <html xmlns="http://www.w3.org/1999/xhtml" lang="en" xml:lang="en">
  <head>
  "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
  <html xmlns="http://www.w3.org/1999/xhtml" lang="en" xml:lang="en">
  <head>
-<!-- 2026-01-15 Thu 14:35 -->
+<!-- 2026-05-09 Sat 15:42 -->
  <meta http-equiv="Content-Type" content="text/html;charset=utf-8" />
  <meta name="viewport" content="width=device-width, initial-scale=1" />
  <title>A Small Institute</title>
  <meta http-equiv="Content-Type" content="text/html;charset=utf-8" />
  <meta name="viewport" content="width=device-width, initial-scale=1" />
  <title>A Small Institute</title>
@@ -24,8 +24,8 @@ an expendable public face (easily wiped clean) while maintaining a
  secure and private campus that can function with or without the
  Internet.
  </p>
  secure and private campus that can function with or without the
  Internet.
  </p>
-<div id="outline-container-orgefb6095" class="outline-2">
-<h2 id="orgefb6095"><span class="section-number-2">1.</span> Overview</h2>
+<div id="outline-container-org953f84e" class="outline-2">
+<h2 id="org953f84e"><span class="section-number-2">1.</span> Overview</h2>
  <div class="outline-text-2" id="text-1">
  <p>
  This small institute has a public server on the Internet, Front, that
  <div class="outline-text-2" id="text-1">
  <p>
  This small institute has a public server on the Internet, Front, that
@@ -48,7 +48,7 @@ connects to Front making the institute email, cloud, etc. available to
  members off campus.
  </p>
  
  members off campus.
  </p>
  
-<pre class="example" id="orga2a6199">
+<pre class="example" id="org7a64759">
                  =                                                   
                _|||_                                                 
          =-The-Institute-=                                           
                  =                                                   
                _|||_                                                 
          =-The-Institute-=                                           
@@ -95,8 +95,8 @@ uses OpenPGP encryption to secure message content.
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-org422f876" class="outline-2">
-<h2 id="org422f876"><span class="section-number-2">2.</span> Caveats</h2>
+<div id="outline-container-orgbcb988b" class="outline-2">
+<h2 id="orgbcb988b"><span class="section-number-2">2.</span> Caveats</h2>
  <div class="outline-text-2" id="text-2">
  <p>
  This small institute prizes its privacy, so there is little or no
  <div class="outline-text-2" id="text-2">
  <p>
  This small institute prizes its privacy, so there is little or no
@@ -144,8 +144,8 @@ month) because of this assumption.
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-org3e07cdc" class="outline-2">
-<h2 id="org3e07cdc"><span class="section-number-2">3.</span> The Services</h2>
+<div id="outline-container-org8635a79" class="outline-2">
+<h2 id="org8635a79"><span class="section-number-2">3.</span> The Services</h2>
  <div class="outline-text-2" id="text-3">
  <p>
  The small institute's network is designed to provide a number of
  <div class="outline-text-2" id="text-3">
  <p>
  The small institute's network is designed to provide a number of
@@ -157,8 +157,8 @@ policies.  On first reading, those subsections should be skipped; they
  reference particulars first introduced in the following chapter.
  </p>
  </div>
  reference particulars first introduced in the following chapter.
  </p>
  </div>
-<div id="outline-container-org4e0cff6" class="outline-3">
-<h3 id="org4e0cff6"><span class="section-number-3">3.1.</span> The Name Service</h3>
+<div id="outline-container-org2b3e1ef" class="outline-3">
+<h3 id="org2b3e1ef"><span class="section-number-3">3.1.</span> The Name Service</h3>
  <div class="outline-text-3" id="text-3-1">
  <p>
  The institute has a public domain, e.g. <code>small.example.org</code>, and a
  <div class="outline-text-3" id="text-3-1">
  <p>
  The institute has a public domain, e.g. <code>small.example.org</code>, and a
@@ -172,8 +172,8 @@ names like <code>core</code>.
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-orgd68300a" class="outline-3">
-<h3 id="orgd68300a"><span class="section-number-3">3.2.</span> The Email Service</h3>
+<div id="outline-container-org39e9ca1" class="outline-3">
+<h3 id="org39e9ca1"><span class="section-number-3">3.2.</span> The Email Service</h3>
  <div class="outline-text-3" id="text-3-2">
  <p>
  Front provides the public SMTP (Simple Mail Transfer Protocol) service
  <div class="outline-text-3" id="text-3-2">
  <p>
  Front provides the public SMTP (Simple Mail Transfer Protocol) service
@@ -269,8 +269,8 @@ setting for the maximum message size is given in a code block labeled
  configurations wherever <code>&lt;&lt;postfix-message-size&gt;&gt;</code> appears.
  </p>
  </div>
  configurations wherever <code>&lt;&lt;postfix-message-size&gt;&gt;</code> appears.
  </p>
  </div>
-<div id="outline-container-org77f1db7" class="outline-4">
-<h4 id="org77f1db7"><span class="section-number-4">3.2.1.</span> The Postfix Configurations</h4>
+<div id="outline-container-org3380242" class="outline-4">
+<h4 id="org3380242"><span class="section-number-4">3.2.1.</span> The Postfix Configurations</h4>
  <div class="outline-text-4" id="text-3-2-1">
  <p>
  The institute aims to accommodate encrypted email containing short
  <div class="outline-text-4" id="text-3-2-1">
  <p>
  The institute aims to accommodate encrypted email containing short
@@ -285,7 +285,7 @@ handle maxi-messages.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>postfix-message-size</code><pre class="src src-conf" id="orgca44832"><code>- { p: message_size_limit, v: 104857600 }
+<code>postfix-message-size</code><pre class="src src-conf" id="orgd30f2a7"><code>- { p: message_size_limit, v: 104857600 }
  </code></pre>
  </div>
  
  </code></pre>
  </div>
  
@@ -300,7 +300,7 @@ re-sending the bounce (or just grabbing the go-bag!).
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>postfix-queue-times</code><pre class="src src-conf" id="org0f5ca65"><code>- { p: delay_warning_time, v: 1h }
+<code>postfix-queue-times</code><pre class="src src-conf" id="org11939b4"><code>- { p: delay_warning_time, v: 1h }
  - { p: maximal_queue_lifetime, v: 4h }
  - { p: bounce_queue_lifetime, v: 4h }
  </code></pre>
  - { p: maximal_queue_lifetime, v: 4h }
  - { p: bounce_queue_lifetime, v: 4h }
  </code></pre>
@@ -314,7 +314,7 @@ disables relaying (other than for the local networks).
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>postfix-relaying</code><pre class="src src-conf" id="org76985ab"><code>- p: smtpd_relay_restrictions
+<code>postfix-relaying</code><pre class="src src-conf" id="orgd7a665b"><code>- p: smtpd_relay_restrictions
    v: permit_mynetworks reject_unauth_destination
  </code></pre>
  </div>
    v: permit_mynetworks reject_unauth_destination
  </code></pre>
  </div>
@@ -326,7 +326,7 @@ effect.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>postfix-maildir</code><pre class="src src-conf" id="org671afcd"><code>- { p: home_mailbox, v: Maildir/ }
+<code>postfix-maildir</code><pre class="src src-conf" id="orgbbd9862"><code>- { p: home_mailbox, v: Maildir/ }
  </code></pre>
  </div>
  
  </code></pre>
  </div>
  
@@ -337,8 +337,8 @@ in the respective roles below.
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-org09a0593" class="outline-4">
-<h4 id="org09a0593"><span class="section-number-4">3.2.2.</span> The Dovecot Configurations</h4>
+<div id="outline-container-org2ebf3bf" class="outline-4">
+<h4 id="org2ebf3bf"><span class="section-number-4">3.2.2.</span> The Dovecot Configurations</h4>
  <div class="outline-text-4" id="text-3-2-2">
  <p>
  The Dovecot settings on both Front and Core disable POP and require
  <div class="outline-text-4" id="text-3-2-2">
  <p>
  The Dovecot settings on both Front and Core disable POP and require
@@ -352,7 +352,7 @@ The official documentation for Dovecot once was a Wiki but now is
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>dovecot-tls</code><pre class="src src-conf" id="org7be555a"><code><span class="org-variable-name">protocols</span> = imap
+<code>dovecot-tls</code><pre class="src src-conf" id="orgf11083d"><code><span class="org-variable-name">protocols</span> = imap
  <span class="org-variable-name">ssl</span> = required
  </code></pre>
  </div>
  <span class="org-variable-name">ssl</span> = required
  </code></pre>
  </div>
@@ -364,7 +364,7 @@ configuration keeps them from even listening at the IMAP port
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>dovecot-ports</code><pre class="src src-conf" id="org8149504"><code><span class="org-type">service imap-login</span> {
+<code>dovecot-ports</code><pre class="src src-conf" id="orgd69d756"><code><span class="org-type">service imap-login</span> {
    <span class="org-type">inet_listener imap</span> {
      <span class="org-variable-name">port</span> = 0
    }
    <span class="org-type">inet_listener imap</span> {
      <span class="org-variable-name">port</span> = 0
    }
@@ -378,7 +378,7 @@ directories.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>dovecot-maildir</code><pre class="src src-conf" id="orgabad348"><code><span class="org-variable-name">mail_location</span> = maildir:~/Maildir
+<code>dovecot-maildir</code><pre class="src src-conf" id="org5711c76"><code><span class="org-variable-name">mail_location</span> = maildir:~/Maildir
  </code></pre>
  </div>
  
  </code></pre>
  </div>
  
@@ -387,7 +387,7 @@ In version 2.4 (Debian 13), this variable was split in two.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>dovecot-maildir</code><pre class="src src-conf" id="org5ec3332"><code><span class="org-variable-name">mail_driver</span> = maildir
+<code>dovecot-maildir</code><pre class="src src-conf" id="org1c96945"><code><span class="org-variable-name">mail_driver</span> = maildir
  <span class="org-variable-name">mail_path</span> = ~/Maildir
  <span class="org-variable-name">mail_inbox_path</span> = ~/Maildir
  </code></pre>
  <span class="org-variable-name">mail_path</span> = ~/Maildir
  <span class="org-variable-name">mail_inbox_path</span> = ~/Maildir
  </code></pre>
@@ -402,15 +402,15 @@ Dovecot before 2.4 (Debian 13).
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orga25cdab" class="outline-3">
-<h3 id="orga25cdab"><span class="section-number-3">3.3.</span> The Web Services</h3>
+<div id="outline-container-orgce2848f" class="outline-3">
+<h3 id="orgce2848f"><span class="section-number-3">3.3.</span> The Web Services</h3>
  <div class="outline-text-3" id="text-3-3">
  <p>
  Front provides the public HTTP service that serves institute web pages
  at e.g. <code>https://small.example.org/</code>.  The small institute initially
  runs with a self-signed, "snake oil" server certificate, causing
  browsers to warn of possible fraud, but this certificate is easily
  <div class="outline-text-3" id="text-3-3">
  <p>
  Front provides the public HTTP service that serves institute web pages
  at e.g. <code>https://small.example.org/</code>.  The small institute initially
  runs with a self-signed, "snake oil" server certificate, causing
  browsers to warn of possible fraud, but this certificate is easily
-replaced by one signed by a recognized authority, as discussed in <a href="#org7d542aa">The
+replaced by one signed by a recognized authority, as discussed in <a href="#org172259a">The
  Front Role</a>.
  </p>
  
  Front Role</a>.
  </p>
  
@@ -465,15 +465,15 @@ will automatically wipe it within 15 minutes.
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-org401990b" class="outline-3">
-<h3 id="org401990b"><span class="section-number-3">3.4.</span> The Cloud Service</h3>
+<div id="outline-container-org389cdda" class="outline-3">
+<h3 id="org389cdda"><span class="section-number-3">3.4.</span> The Cloud Service</h3>
  <div class="outline-text-3" id="text-3-4">
  <p>
  Core runs Nextcloud to provide a private institute cloud at
  <code>https://core.small.private/nextcloud/</code>.  It is managed manually per
  <a href="https://docs.nextcloud.com/server/stable/admin_manual/">The Nextcloud Server Administration Guide</a>.  The code <i>and</i> data,
  including especially database dumps, are stored in <q>/Nextcloud/</q> which
  <div class="outline-text-3" id="text-3-4">
  <p>
  Core runs Nextcloud to provide a private institute cloud at
  <code>https://core.small.private/nextcloud/</code>.  It is managed manually per
  <a href="https://docs.nextcloud.com/server/stable/admin_manual/">The Nextcloud Server Administration Guide</a>.  The code <i>and</i> data,
  including especially database dumps, are stored in <q>/Nextcloud/</q> which
-is included in Core's backup procedure as described in <a href="#org51316c9">Backups</a>.  The
+is included in Core's backup procedure as described in <a href="#orgec56c07">Backups</a>.  The
  default Apache2 configuration expects to find the web scripts in
  <q>/var/www/nextcloud/</q>, so the institute symbolically links this to
  <q>/Nextcloud/nextcloud/</q>.
  default Apache2 configuration expects to find the web scripts in
  <q>/var/www/nextcloud/</q>, so the institute symbolically links this to
  <q>/Nextcloud/nextcloud/</q>.
@@ -487,15 +487,15 @@ private network.
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-orge68fa9b" class="outline-3">
-<h3 id="orge68fa9b"><span class="section-number-3">3.5.</span> Accounts</h3>
+<div id="outline-container-orge0ec564" class="outline-3">
+<h3 id="orge0ec564"><span class="section-number-3">3.5.</span> Accounts</h3>
  <div class="outline-text-3" id="text-3-5">
  <p>
  A small institute has just a handful of members.  For simplicity (and
  thus security) static configuration files are preferred over complex
  account management systems, LDAP, Active Directory, and the like.  The
  Ansible scripts configure the same set of user accounts on Core and
  <div class="outline-text-3" id="text-3-5">
  <p>
  A small institute has just a handful of members.  For simplicity (and
  thus security) static configuration files are preferred over complex
  account management systems, LDAP, Active Directory, and the like.  The
  Ansible scripts configure the same set of user accounts on Core and
-Front.  <a href="#org43f8955">The Institute Commands</a> (e.g. <code>./inst new dick</code>) capture the
+Front.  <a href="#org219b1f0">The Institute Commands</a> (e.g. <code>./inst new dick</code>) capture the
  processes of enrolling, modifying and retiring members of the
  institute.  They update the administrator's membership roll, and run
  Ansible to create (and disable) accounts on Core, Front, Nextcloud,
  processes of enrolling, modifying and retiring members of the
  institute.  They update the administrator's membership roll, and run
  Ansible to create (and disable) accounts on Core, Front, Nextcloud,
@@ -510,8 +510,8 @@ accomplished via the campus cloud and the resulting desktop files can
  all be private (readable and writable only by the owner) by default.
  </p>
  </div>
  all be private (readable and writable only by the owner) by default.
  </p>
  </div>
-<div id="outline-container-org575bba9" class="outline-4">
-<h4 id="org575bba9"><span class="section-number-4">3.5.1.</span> The Administration Accounts</h4>
+<div id="outline-container-org0bffc41" class="outline-4">
+<h4 id="org0bffc41"><span class="section-number-4">3.5.1.</span> The Administration Accounts</h4>
  <div class="outline-text-4" id="text-3-5-1">
  <p>
  The institute avoids the use of the <code>root</code> account (<code>uid 0</code>) because
  <div class="outline-text-4" id="text-3-5-1">
  <p>
  The institute avoids the use of the <code>root</code> account (<code>uid 0</code>) because
@@ -520,21 +520,21 @@ command is used to consciously (conscientiously!) run specific scripts
  and programs as <code>root</code>.  When installation of a Debian OS leaves the
  host with no user accounts, just the <code>root</code> account, the next step is
  to create a system administrator's account named <code>sysadm</code> and to give
  and programs as <code>root</code>.  When installation of a Debian OS leaves the
  host with no user accounts, just the <code>root</code> account, the next step is
  to create a system administrator's account named <code>sysadm</code> and to give
-it permission to use the <code>sudo</code> command (e.g. as described in <a href="#orge9845ca">The
+it permission to use the <code>sudo</code> command (e.g. as described in <a href="#org548ba51">The
  Front Machine</a>).  When installation prompts for the name of an
  initial, privileged user account the same name is given (e.g. as
  Front Machine</a>).  When installation prompts for the name of an
  initial, privileged user account the same name is given (e.g. as
-described in <a href="#org764b20c">The Core Machine</a>).  Installation may <i>not</i> prompt and
+described in <a href="#org4e25105">The Core Machine</a>).  Installation may <i>not</i> prompt and
  still create an initial user account with a distribution specific name
  (e.g. <code>pi</code>).  Any name can be used as long as it is provided as the
  value of <code>ansible_user</code> in <a href="hosts"><q>hosts</q></a>.  Its password is specified by a
  vault-encrypted variable in the <a href="Secret/become.yml"><q>Secret/become.yml</q></a> file.  (The
  still create an initial user account with a distribution specific name
  (e.g. <code>pi</code>).  Any name can be used as long as it is provided as the
  value of <code>ansible_user</code> in <a href="hosts"><q>hosts</q></a>.  Its password is specified by a
  vault-encrypted variable in the <a href="Secret/become.yml"><q>Secret/become.yml</q></a> file.  (The
-<a href="hosts"><q>hosts</q></a> and <a href="Secret/become.yml"><q>Secret/become.yml</q></a> files are described in <a href="#orge0896ae">The Ansible
+<a href="hosts"><q>hosts</q></a> and <a href="Secret/become.yml"><q>Secret/become.yml</q></a> files are described in <a href="#orgb99caba">The Ansible
  Configuration</a>.)
  </p>
  </div>
  </div>
  Configuration</a>.)
  </p>
  </div>
  </div>
-<div id="outline-container-org3a3610b" class="outline-4">
-<h4 id="org3a3610b"><span class="section-number-4">3.5.2.</span> The Monkey Accounts</h4>
+<div id="outline-container-org2ae6fca" class="outline-4">
+<h4 id="org2ae6fca"><span class="section-number-4">3.5.2.</span> The Monkey Accounts</h4>
  <div class="outline-text-4" id="text-3-5-2">
  <p>
  The institute's Core uses a special account named <code>monkey</code> to run
  <div class="outline-text-4" id="text-3-5-2">
  <p>
  The institute's Core uses a special account named <code>monkey</code> to run
@@ -545,8 +545,8 @@ account is created on Front as well.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orge1a9ef2" class="outline-3">
-<h3 id="orge1a9ef2"><span class="section-number-3">3.6.</span> Keys</h3>
+<div id="outline-container-org49a7a21" class="outline-3">
+<h3 id="org49a7a21"><span class="section-number-3">3.6.</span> Keys</h3>
  <div class="outline-text-3" id="text-3-6">
  <p>
  The institute keeps its "master secrets" in an encrypted
  <div class="outline-text-3" id="text-3-6">
  <p>
  The institute keeps its "master secrets" in an encrypted
@@ -627,8 +627,8 @@ the administrator's password keep, to install a new SSH key.
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-org51316c9" class="outline-3">
-<h3 id="org51316c9"><span class="section-number-3">3.7.</span> Backups</h3>
+<div id="outline-container-orgec56c07" class="outline-3">
+<h3 id="orgec56c07"><span class="section-number-3">3.7.</span> Backups</h3>
  <div class="outline-text-3" id="text-3-7">
  <p>
  The small institute backs up its data, but not so much so that nothing
  <div class="outline-text-3" id="text-3-7">
  <p>
  The small institute backs up its data, but not so much so that nothing
@@ -664,14 +664,14 @@ files mentioned in the Nextcloud database dump).
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<a href="private/backup"><q>private/backup</q></a><pre class="src src-sh" id="orga427f1d"><code><span class="org-comment-delimiter">#</span><span class="org-comment">!/bin/</span><span class="org-keyword">bash</span><span class="org-comment"> -e
-</span><span class="org-comment-delimiter">#</span><span class="org-comment">
-</span><span class="org-comment-delimiter"># </span><span class="org-comment">DO NOT EDIT.
-</span><span class="org-comment-delimiter">#</span><span class="org-comment">
-</span><span class="org-comment-delimiter"># </span><span class="org-comment">Maintained (will be replaced) by Ansible.
-</span><span class="org-comment-delimiter">#</span><span class="org-comment">
-</span><span class="org-comment-delimiter"># </span><span class="org-comment">sudo backup [-n]
-</span>
+<a href="private/backup"><q>private/backup</q></a><pre class="src src-sh" id="orgf87535e"><code><span class="org-comment-delimiter">#</span><span class="org-comment">!/bin/</span><span class="org-keyword">bash</span><span class="org-comment"> -e</span>
+<span class="org-comment-delimiter">#</span>
+<span class="org-comment-delimiter"># </span><span class="org-comment">DO NOT EDIT.</span>
+<span class="org-comment-delimiter">#</span>
+<span class="org-comment-delimiter"># </span><span class="org-comment">Maintained (will be replaced) by Ansible.</span>
+<span class="org-comment-delimiter">#</span>
+<span class="org-comment-delimiter"># </span><span class="org-comment">sudo backup [-n]</span>
+
  <span class="org-keyword">if</span> [ <span class="org-sh-quoted-exec">`id -u`</span> != <span class="org-string">"0"</span> ]
  <span class="org-keyword">then</span>
      <span class="org-builtin">echo</span> <span class="org-string">"This script must be run as root."</span>
  <span class="org-keyword">if</span> [ <span class="org-sh-quoted-exec">`id -u`</span> != <span class="org-string">"0"</span> ]
  <span class="org-keyword">then</span>
      <span class="org-builtin">echo</span> <span class="org-string">"This script must be run as root."</span>
@@ -768,8 +768,8 @@ finish
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org967f39d" class="outline-2">
-<h2 id="org967f39d"><span class="section-number-2">4.</span> The Particulars</h2>
+<div id="outline-container-orgb434147" class="outline-2">
+<h2 id="orgb434147"><span class="section-number-2">4.</span> The Particulars</h2>
  <div class="outline-text-2" id="text-4">
  <p>
  This chapter introduces Ansible variables intended to simplify
  <div class="outline-text-2" id="text-4">
  <p>
  This chapter introduces Ansible variables intended to simplify
@@ -781,13 +781,13 @@ stored in separate files: <a href="public/vars.yml"><q>public/vars.yml</q></a> a
  
  <p>
  The example settings in this document configure VirtualBox VMs as
  
  <p>
  The example settings in this document configure VirtualBox VMs as
-described in the <a href="#orgfb808de">Testing</a> chapter.  For more information about how a
+described in the <a href="#orga52c0d9">Testing</a> chapter.  For more information about how a
  small institute turns the example Ansible code into a working Ansible
  small institute turns the example Ansible code into a working Ansible
-configuration, see chapter <a href="#orge0896ae">The Ansible Configuration</a>.
+configuration, see chapter <a href="#orgb99caba">The Ansible Configuration</a>.
  </p>
  </div>
  </p>
  </div>
-<div id="outline-container-orgd52ac5a" class="outline-3">
-<h3 id="orgd52ac5a"><span class="section-number-3">4.1.</span> Generic Particulars</h3>
+<div id="outline-container-org7c445bd" class="outline-3">
+<h3 id="org7c445bd"><span class="section-number-3">4.1.</span> Generic Particulars</h3>
  <div class="outline-text-3" id="text-4-1">
  <p>
  The small institute's domain name is used quite frequently in the
  <div class="outline-text-3" id="text-4-1">
  <p>
  The small institute's domain name is used quite frequently in the
@@ -826,8 +826,8 @@ domain_priv: small.private
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org1f4bd95" class="outline-3">
-<h3 id="org1f4bd95"><span class="section-number-3">4.2.</span> Subnets</h3>
+<div id="outline-container-orgbabb444" class="outline-3">
+<h3 id="orgbabb444"><span class="section-number-3">4.2.</span> Subnets</h3>
  <div class="outline-text-3" id="text-4-2">
  <p>
  The small institute uses a private Ethernet, two VPNs, and a "wild",
  <div class="outline-text-3" id="text-4-2">
  <p>
  The small institute uses a private Ethernet, two VPNs, and a "wild",
@@ -927,7 +927,7 @@ example result follows the code.
  </code></pre>
  </div>
  
  </code></pre>
  </div>
  
-<div class="TEXT" id="orge35f409">
+<div class="TEXT" id="org1884b4b">
  <p>
  =&gt; 10.62.17.0/24
  </p>
  <p>
  =&gt; 10.62.17.0/24
  </p>
@@ -940,7 +940,7 @@ code block below.  The small institute treats these addresses as
  sensitive information so again the code block below "tangles" into
  <a href="private/vars.yml"><q>private/vars.yml</q></a> rather than <a href="public/vars.yml"><q>public/vars.yml</q></a>.  Two of the
  addresses are in <code>192.168</code> subnets because they are part of a test
  sensitive information so again the code block below "tangles" into
  <a href="private/vars.yml"><q>private/vars.yml</q></a> rather than <a href="public/vars.yml"><q>public/vars.yml</q></a>.  Two of the
  addresses are in <code>192.168</code> subnets because they are part of a test
-configuration using mostly-default VirtualBoxes (described <a href="#orgfb808de">here</a>).
+configuration using mostly-default VirtualBoxes (described <a href="#orga52c0d9">here</a>).
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
@@ -961,7 +961,7 @@ e.g. <code>_net_and_mask</code> rather than <code>_net_cidr</code>.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>network-vars</code><pre class="src src-conf" id="orgfbc5ad9"><code>private_net:
+<code>network-vars</code><pre class="src src-conf" id="orgbf8965b"><code>private_net:
             <span class="org-string">"{{ private_net_cidr | ansible.utils.ipaddr('network') }}"</span>
  private_net_mask:
             <span class="org-string">"{{ private_net_cidr | ansible.utils.ipaddr('netmask') }}"</span>
             <span class="org-string">"{{ private_net_cidr | ansible.utils.ipaddr('network') }}"</span>
  private_net_mask:
             <span class="org-string">"{{ private_net_cidr | ansible.utils.ipaddr('netmask') }}"</span>
@@ -1003,7 +1003,7 @@ the institute's Internet domain name.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<a href="public/vars.yml"><q>public/vars.yml</q></a><pre class="src src-conf" id="orgcbded06"><code>front_addr: 192.168.15.4
+<a href="public/vars.yml"><q>public/vars.yml</q></a><pre class="src src-conf" id="org60eec42"><code>front_addr: 192.168.15.4
  </code></pre>
  </div>
  
  </code></pre>
  </div>
  
@@ -1021,7 +1021,7 @@ with <code>address-vars</code> in the <q>default/main.yml</q> files.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>address-vars</code><pre class="src src-conf" id="orgbde4401"><code>
+<code>address-vars</code><pre class="src src-conf" id="orge4324d8"><code>
  core_addr_cidr:  <span class="org-string">"{{ private_net_cidr | ansible.utils.ipaddr('1') }}"</span>
  gate_addr_cidr:  <span class="org-string">"{{ private_net_cidr | ansible.utils.ipaddr('2') }}"</span>
  gate_wild_addr_cidr:
  core_addr_cidr:  <span class="org-string">"{{ private_net_cidr | ansible.utils.ipaddr('1') }}"</span>
  gate_addr_cidr:  <span class="org-string">"{{ private_net_cidr | ansible.utils.ipaddr('2') }}"</span>
  gate_wild_addr_cidr:
@@ -1044,19 +1044,19 @@ core_wg_addr:
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org612052e" class="outline-2">
-<h2 id="org612052e"><span class="section-number-2">5.</span> The Hardware</h2>
+<div id="outline-container-orgc581563" class="outline-2">
+<h2 id="orgc581563"><span class="section-number-2">5.</span> The Hardware</h2>
  <div class="outline-text-2" id="text-5">
  <p>
  The small institute's network was built by its system administrator
  using Ansible on a trusted notebook.  The Ansible configuration and
  scripts were generated by "tangling" the Ansible code included here.
  <div class="outline-text-2" id="text-5">
  <p>
  The small institute's network was built by its system administrator
  using Ansible on a trusted notebook.  The Ansible configuration and
  scripts were generated by "tangling" the Ansible code included here.
-(<a href="#orge0896ae">The Ansible Configuration</a> describes how to do this.)  The following
+(<a href="#orgb99caba">The Ansible Configuration</a> describes how to do this.)  The following
  sections describe how Front, Gate and Core were prepared for Ansible.
  </p>
  </div>
  sections describe how Front, Gate and Core were prepared for Ansible.
  </p>
  </div>
-<div id="outline-container-orge9845ca" class="outline-3">
-<h3 id="orge9845ca"><span class="section-number-3">5.1.</span> The Front Machine</h3>
+<div id="outline-container-org548ba51" class="outline-3">
+<h3 id="org548ba51"><span class="section-number-3">5.1.</span> The Front Machine</h3>
  <div class="outline-text-3" id="text-5-1">
  <p>
  Front is the small institute's public facing server, a virtual machine
  <div class="outline-text-3" id="text-5-1">
  <p>
  Front is the small institute's public facing server, a virtual machine
@@ -1069,8 +1069,8 @@ possible to quickly re-provision a new Front machine from a frontier
  Internet café using just the administrator's notebook.
  </p>
  </div>
  Internet café using just the administrator's notebook.
  </p>
  </div>
-<div id="outline-container-org6b216f0" class="outline-4">
-<h4 id="org6b216f0"><span class="section-number-4">5.1.1.</span> A Digital Ocean Droplet</h4>
+<div id="outline-container-org3e413ad" class="outline-4">
+<h4 id="org3e413ad"><span class="section-number-4">5.1.1.</span> A Digital Ocean Droplet</h4>
  <div class="outline-text-4" id="text-5-1-1">
  <p>
  The following example prepared a Digital Ocean droplet to be Front.
  <div class="outline-text-4" id="text-5-1-1">
  <p>
  The following example prepared a Digital Ocean droplet to be Front.
@@ -1093,7 +1093,7 @@ during the hand-off.
  <p>
  The freshly created Digital Ocean droplet came with just one account,
  <code>root</code>, but the small institute avoids remote access to the "super
  <p>
  The freshly created Digital Ocean droplet came with just one account,
  <code>root</code>, but the small institute avoids remote access to the "super
-user" account (per the policy in <a href="#org575bba9">The Administration Accounts</a>), so the
+user" account (per the policy in <a href="#org0bffc41">The Administration Accounts</a>), so the
  first thing the administrator did was to create a <code>sysadm</code> account.
  </p>
  
  first thing the administrator did was to create a <code>sysadm</code> account.
  </p>
  
@@ -1101,7 +1101,7 @@ first thing the administrator did was to create a <code>sysadm</code> account.
  The password for the <code>sysadm</code> account was generated by <code>gpw</code>, saved in
  the administrator's password keep, and added to <a href="Secret/become.yml"><q>Secret/become.yml</q></a> as
  shown below.  (Producing a working Ansible configuration with
  The password for the <code>sysadm</code> account was generated by <code>gpw</code>, saved in
  the administrator's password keep, and added to <a href="Secret/become.yml"><q>Secret/become.yml</q></a> as
  shown below.  (Producing a working Ansible configuration with
-<a href="Secret/become.yml"><q>Secret/become.yml</q></a> file is described in <a href="#orge0896ae">The Ansible Configuration</a>.)
+<a href="Secret/become.yml"><q>Secret/become.yml</q></a> file is described in <a href="#orgb99caba">The Ansible Configuration</a>.)
  </p>
  
  <pre class="example">
  </p>
  
  <pre class="example">
@@ -1144,7 +1144,7 @@ notebook$
  <p>
  After creating the <code>sysadm</code> account on the droplet, the administrator
  concatenated a personal public ssh key and the key found in
  <p>
  After creating the <code>sysadm</code> account on the droplet, the administrator
  concatenated a personal public ssh key and the key found in
-<a href="Secret/ssh_admin/"><q>Secret/ssh_admin/</q></a> (created by <a href="#org65c7b5a">The CA Command</a>) into an <q>admin_keys</q>
+<a href="Secret/ssh_admin/"><q>Secret/ssh_admin/</q></a> (created by <a href="#org44eead9">The CA Command</a>) into an <q>admin_keys</q>
  file, copied it to the droplet, and installed it as the
  <q>authorized_keys</q> for <code>sysadm</code>.
  </p>
  file, copied it to the droplet, and installed it as the
  <q>authorized_keys</q> for <code>sysadm</code>.
  </p>
@@ -1186,7 +1186,7 @@ key.  The <code>systemd-resolved</code> package was installed so that the
  subsequent reboot gets ResolveD configured properly (else <code>resolvectl</code>
  hangs, causing <code>wg-quick@wg0</code> to hang&hellip;).  The rest are included just
  to speed up (re)testing of "prepared" test machines, e.g. prepared as
  subsequent reboot gets ResolveD configured properly (else <code>resolvectl</code>
  hangs, causing <code>wg-quick@wg0</code> to hang&hellip;).  The rest are included just
  to speed up (re)testing of "prepared" test machines, e.g. prepared as
-described in <a href="#orga994a42">The Test Front Machine</a>.
+described in <a href="#orgf8cddd8">The Test Front Machine</a>.
  </p>
  
  <pre class="example">
  </p>
  
  <pre class="example">
@@ -1225,13 +1225,13 @@ notebook$
  
  <p>
  The public key is copied and pasted into <a href="private/vars.yml"><q>private/vars.yml</q></a> as the
  
  <p>
  The public key is copied and pasted into <a href="private/vars.yml"><q>private/vars.yml</q></a> as the
-value of <code>front_wg_pubkey</code> (as in the example <a href="#org232c76c">here</a>).
+value of <code>front_wg_pubkey</code> (as in the example <a href="#org4f55070">here</a>).
  </p>
  
  <p>
  The prospective IP address (<code>159.65.75.60</code>) is also pasted into
  <a href="public/vars.yml"><q>public/vars.yml</q></a> as the value of <code>front_addr</code> (as in the example
  </p>
  
  <p>
  The prospective IP address (<code>159.65.75.60</code>) is also pasted into
  <a href="public/vars.yml"><q>public/vars.yml</q></a> as the value of <code>front_addr</code> (as in the example
-<a href="#orgcbded06">here</a>).
+<a href="#org60eec42">here</a>).
  </p>
  
  <p>
  </p>
  
  <p>
@@ -1252,8 +1252,8 @@ Ansible prepared for the droplet!).
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org764b20c" class="outline-3">
-<h3 id="org764b20c"><span class="section-number-3">5.2.</span> The Core Machine</h3>
+<div id="outline-container-org4e25105" class="outline-3">
+<h3 id="org4e25105"><span class="section-number-3">5.2.</span> The Core Machine</h3>
  <div class="outline-text-3" id="text-5-2">
  <p>
  Core is the small institute's private file, email, cloud and whatnot
  <div class="outline-text-3" id="text-5-2">
  <p>
  Core is the small institute's private file, email, cloud and whatnot
@@ -1277,7 +1277,7 @@ The following example prepared a new core on a PC with Debian 11
  freshly installed.  During installation, the machine was named <code>core</code>,
  no desktop or server software was installed, no root password was set,
  and a privileged account named <code>sysadm</code> was created (per the policy in
  freshly installed.  During installation, the machine was named <code>core</code>,
  no desktop or server software was installed, no root password was set,
  and a privileged account named <code>sysadm</code> was created (per the policy in
-<a href="#org575bba9">The Administration Accounts</a>).
+<a href="#org0bffc41">The Administration Accounts</a>).
  </p>
  
  <pre class="example">
  </p>
  
  <pre class="example">
@@ -1293,7 +1293,7 @@ Is the information correct? [Y/n]
  The password was generated by <code>gpw</code>, saved in the administrator's
  password keep, and later added to <a href="Secret/become.yml"><q>Secret/become.yml</q></a> as shown below.
  (Producing a working Ansible configuration with <a href="Secret/become.yml"><q>Secret/become.yml</q></a>
  The password was generated by <code>gpw</code>, saved in the administrator's
  password keep, and later added to <a href="Secret/become.yml"><q>Secret/become.yml</q></a> as shown below.
  (Producing a working Ansible configuration with <a href="Secret/become.yml"><q>Secret/become.yml</q></a>
-file is described in <a href="#orge0896ae">The Ansible Configuration</a>.)
+file is described in <a href="#orgb99caba">The Ansible Configuration</a>.)
  </p>
  
  <pre class="example">
  </p>
  
  <pre class="example">
@@ -1357,7 +1357,7 @@ _                  nagios-nrpe-plugin
  
  <p>
  Next, the administrator concatenated a personal public ssh key and the
  
  <p>
  Next, the administrator concatenated a personal public ssh key and the
-key found in <a href="Secret/ssh_admin/"><q>Secret/ssh_admin/</q></a> (created by <a href="#org65c7b5a">The CA Command</a>) into an
+key found in <a href="Secret/ssh_admin/"><q>Secret/ssh_admin/</q></a> (created by <a href="#org44eead9">The CA Command</a>) into an
  <q>admin_keys</q> file, copied it to Core, and installed it as the
  <q>authorized_keys</q> for <code>sysadm</code>.
  </p>
  <q>admin_keys</q> file, copied it to Core, and installed it as the
  <q>authorized_keys</q> for <code>sysadm</code>.
  </p>
@@ -1398,7 +1398,7 @@ a new, private IP address and a default route.
  <p>
  In the example command lines below, the address <code>10.227.248.1</code> was
  generated by the random subnet address picking procedure described in
  <p>
  In the example command lines below, the address <code>10.227.248.1</code> was
  generated by the random subnet address picking procedure described in
-<a href="#org1f4bd95">Subnets</a>, and is named <code>core_addr</code> in the Ansible code.  The second
+<a href="#orgbabb444">Subnets</a>, and is named <code>core_addr</code> in the Ansible code.  The second
  address, <code>10.227.248.2</code>, is the corresponding address for Gate's
  Ethernet interface, and is named <code>gate_addr</code> in the Ansible
  code.
  address, <code>10.227.248.2</code>, is the corresponding address for Gate's
  Ethernet interface, and is named <code>gate_addr</code> in the Ansible
  code.
@@ -1414,8 +1414,8 @@ At this point Core was prepared for provisioning with Ansible.
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-org6da11e2" class="outline-3">
-<h3 id="org6da11e2"><span class="section-number-3">5.3.</span> The Gate Machine</h3>
+<div id="outline-container-orge906ba2" class="outline-3">
+<h3 id="orge906ba2"><span class="section-number-3">5.3.</span> The Gate Machine</h3>
  <div class="outline-text-3" id="text-5-3">
  <p>
  Gate is the small institute's route to the Internet, and the campus
  <div class="outline-text-3" id="text-5-3">
  <p>
  Gate is the small institute's route to the Internet, and the campus
@@ -1435,7 +1435,7 @@ modem, a USB port tethered to a phone, a wireless adapter
  connected to a campground Wi-Fi access point, etc.</li>
  </ol>
  
  connected to a campground Wi-Fi access point, etc.</li>
  </ol>
  
-<pre class="example" id="org7db64f1">
+<pre class="example" id="org3ed3b3d">
  =============== | ==================================================
                  |                                           Premises
            (Campus ISP)                                              
  =============== | ==================================================
                  |                                           Premises
            (Campus ISP)                                              
@@ -1448,8 +1448,8 @@ connected to a campground Wi-Fi access point, etc.</li>
                  +----Ethernet switch                                
  </pre>
  </div>
                  +----Ethernet switch                                
  </pre>
  </div>
-<div id="outline-container-org4ac492a" class="outline-4">
-<h4 id="org4ac492a"><span class="section-number-4">5.3.1.</span> Alternate Gate Topology</h4>
+<div id="outline-container-orgd868032" class="outline-4">
+<h4 id="orgd868032"><span class="section-number-4">5.3.1.</span> Alternate Gate Topology</h4>
  <div class="outline-text-4" id="text-5-3-1">
  <p>
  While Gate and Core really need to be separate machines for security
  <div class="outline-text-4" id="text-5-3-1">
  <p>
  While Gate and Core really need to be separate machines for security
@@ -1458,7 +1458,7 @@ This avoids the need for a second Wi-Fi access point and leads to the
  following topology.
  </p>
  
  following topology.
  </p>
  
-<pre class="example" id="orgba1cdb8">
+<pre class="example" id="org55db2af">
  =============== | ==================================================
                  |                                           Premises
             (House ISP)                                              
  =============== | ==================================================
                  |                                           Premises
             (House ISP)                                              
@@ -1482,12 +1482,12 @@ its Ethernet and Wi-Fi clients are allowed to communicate).
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-org63b27ee" class="outline-4">
-<h4 id="org63b27ee"><span class="section-number-4">5.3.2.</span> Original Gate Topology</h4>
+<div id="outline-container-org2bfcd33" class="outline-4">
+<h4 id="org2bfcd33"><span class="section-number-4">5.3.2.</span> Original Gate Topology</h4>
  <div class="outline-text-4" id="text-5-3-2">
  <p>
  The Ansible code in this document is somewhat dependent on the
  <div class="outline-text-4" id="text-5-3-2">
  <p>
  The Ansible code in this document is somewhat dependent on the
-physical network shown in the <a href="#orgefb6095">Overview</a> wherein Gate has three network
+physical network shown in the <a href="#org953f84e">Overview</a> wherein Gate has three network
  interfaces.
  </p>
  
  interfaces.
  </p>
  
@@ -1496,7 +1496,7 @@ The following example prepared a new gate on a PC with Debian 11
  freshly installed.  During installation, the machine was named <code>gate</code>,
  no desktop or server software was installed, no root password was set,
  and a privileged account named <code>sysadm</code> was created (per the policy in
  freshly installed.  During installation, the machine was named <code>gate</code>,
  no desktop or server software was installed, no root password was set,
  and a privileged account named <code>sysadm</code> was created (per the policy in
-<a href="#org575bba9">The Administration Accounts</a>).
+<a href="#org0bffc41">The Administration Accounts</a>).
  </p>
  
  <pre class="example">
  </p>
  
  <pre class="example">
@@ -1512,7 +1512,7 @@ Is the information correct? [Y/n]
  The password was generated by <code>gpw</code>, saved in the administrator's
  password keep, and later added to <a href="Secret/become.yml"><q>Secret/become.yml</q></a> as shown below.
  (Producing a working Ansible configuration with <a href="Secret/become.yml"><q>Secret/become.yml</q></a>
  The password was generated by <code>gpw</code>, saved in the administrator's
  password keep, and later added to <a href="Secret/become.yml"><q>Secret/become.yml</q></a> as shown below.
  (Producing a working Ansible configuration with <a href="Secret/become.yml"><q>Secret/become.yml</q></a>
-file is described in <a href="#orge0896ae">The Ansible Configuration</a>.)
+file is described in <a href="#orgb99caba">The Ansible Configuration</a>.)
  </p>
  
  <pre class="example">
  </p>
  
  <pre class="example">
@@ -1544,7 +1544,7 @@ ready to proceed.
  
  <p>
  Next, the administrator concatenated a personal public ssh key and the
  
  <p>
  Next, the administrator concatenated a personal public ssh key and the
-key found in <a href="Secret/ssh_admin/"><q>Secret/ssh_admin/</q></a> (created by <a href="#org65c7b5a">The CA Command</a>) into an
+key found in <a href="Secret/ssh_admin/"><q>Secret/ssh_admin/</q></a> (created by <a href="#org44eead9">The CA Command</a>) into an
  <q>admin_keys</q> file, copied it to Gate, and installed it as the
  <q>authorized_keys</q> for <code>sysadm</code>.
  </p>
  <q>admin_keys</q> file, copied it to Gate, and installed it as the
  <q>authorized_keys</q> for <code>sysadm</code>.
  </p>
@@ -1585,7 +1585,7 @@ a new, private IP address.
  <p>
  In the example command lines below, the address <code>10.227.248.2</code> was
  generated by the random subnet address picking procedure described in
  <p>
  In the example command lines below, the address <code>10.227.248.2</code> was
  generated by the random subnet address picking procedure described in
-<a href="#org1f4bd95">Subnets</a>, and is named <code>gate_addr</code> in the Ansible code.
+<a href="#orgbabb444">Subnets</a>, and is named <code>gate_addr</code> in the Ansible code.
  </p>
  
  <pre class="example">
  </p>
  
  <pre class="example">
@@ -1597,7 +1597,7 @@ Gate was also connected to the USB Ethernet dongles cabled to the
  campus Wi-Fi access point and the campus ISP and the values of three
  variables (<code>gate_lan_mac</code>, <code>gate_wild_mac</code>, and <code>gate_isp_mac</code> in
  <a href="private/vars.yml"><q>private/vars.yml</q></a>) match the actual hardware MAC addresses of the
  campus Wi-Fi access point and the campus ISP and the values of three
  variables (<code>gate_lan_mac</code>, <code>gate_wild_mac</code>, and <code>gate_isp_mac</code> in
  <a href="private/vars.yml"><q>private/vars.yml</q></a>) match the actual hardware MAC addresses of the
-dongles.  (For more information, see the tasks in section <a href="#org83aa08b">9.3</a>.)
+dongles.  (For more information, see the tasks in the <a href="#orgbb16e96">9.3</a> section.)
  </p>
  
  <p>
  </p>
  
  <p>
@@ -1607,22 +1607,22 @@ At this point Gate was prepared for provisioning with Ansible.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orgac6ebd5" class="outline-2">
-<h2 id="orgac6ebd5"><span class="section-number-2">6.</span> The All Role</h2>
+<div id="outline-container-orga965227" class="outline-2">
+<h2 id="orga965227"><span class="section-number-2">6.</span> The All Role</h2>
  <div class="outline-text-2" id="text-6">
  <p>
  The <code>all</code> role contains tasks that are executed on all of the
  institute's servers.  At the moment there is just the one.
  </p>
  </div>
  <div class="outline-text-2" id="text-6">
  <p>
  The <code>all</code> role contains tasks that are executed on all of the
  institute's servers.  At the moment there is just the one.
  </p>
  </div>
-<div id="outline-container-org5f981d7" class="outline-3">
-<h3 id="org5f981d7"><span class="section-number-3">6.1.</span> Include Particulars</h3>
+<div id="outline-container-orgad498ed" class="outline-3">
+<h3 id="orgad498ed"><span class="section-number-3">6.1.</span> Include Particulars</h3>
  <div class="outline-text-3" id="text-6-1">
  <p>
  The <code>all</code> role's task contains a reference to a common institute
  particular, the institute's <code>domain_name</code>, a variable found in the
  <q>public/vars.yml</q> file.  Thus the first task of the <code>all</code> role is to
  <div class="outline-text-3" id="text-6-1">
  <p>
  The <code>all</code> role's task contains a reference to a common institute
  particular, the institute's <code>domain_name</code>, a variable found in the
  <q>public/vars.yml</q> file.  Thus the first task of the <code>all</code> role is to
-include the variables defined in this file (described in <a href="#org967f39d">The
+include the variables defined in this file (described in <a href="#orgb434147">The
  Particulars</a>).  The code block below is the first to tangle into
  <a href="roles/all/tasks/main.yml"><q>roles/all/tasks/main.yml</q></a>.
  </p>
  Particulars</a>).  The code block below is the first to tangle into
  <a href="roles/all/tasks/main.yml"><q>roles/all/tasks/main.yml</q></a>.
  </p>
@@ -1635,8 +1635,8 @@ Particulars</a>).  The code block below is the first to tangle into
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org9761ed6" class="outline-3">
-<h3 id="org9761ed6"><span class="section-number-3">6.2.</span> Enable Systemd Resolved</h3>
+<div id="outline-container-orgd82af2d" class="outline-3">
+<h3 id="orgd82af2d"><span class="section-number-3">6.2.</span> Enable Systemd Resolved</h3>
  <div class="outline-text-3" id="text-6-2">
  <p>
  The <code>systemd-networkd</code> and <code>systemd-resolved</code> service units are not
  <div class="outline-text-3" id="text-6-2">
  <p>
  The <code>systemd-networkd</code> and <code>systemd-resolved</code> service units are not
@@ -1705,14 +1705,14 @@ follows these recommendations (and <i>not</i> the suggestion to enable
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org489cf42" class="outline-3">
-<h3 id="org489cf42"><span class="section-number-3">6.3.</span> Trust Institute Certificate Authority</h3>
+<div id="outline-container-orgd8d3967" class="outline-3">
+<h3 id="orgd8d3967"><span class="section-number-3">6.3.</span> Trust Institute Certificate Authority</h3>
  <div class="outline-text-3" id="text-6-3">
  <p>
  All servers should recognize the institute's Certificate Authority as
  trustworthy, so its certificate is added to the set of trusted CAs on
  each host.  More information about how the small institute manages its
  <div class="outline-text-3" id="text-6-3">
  <p>
  All servers should recognize the institute's Certificate Authority as
  trustworthy, so its certificate is added to the set of trusted CAs on
  each host.  More information about how the small institute manages its
-X.509 certificates is available in <a href="#orge1a9ef2">Keys</a>.
+X.509 certificates is available in <a href="#org49a7a21">Keys</a>.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
@@ -1739,15 +1739,15 @@ X.509 certificates is available in <a href="#orge1a9ef2">Keys</a>.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org7d542aa" class="outline-2">
-<h2 id="org7d542aa"><span class="section-number-2">7.</span> The Front Role</h2>
+<div id="outline-container-org172259a" class="outline-2">
+<h2 id="org172259a"><span class="section-number-2">7.</span> The Front Role</h2>
  <div class="outline-text-2" id="text-7">
  <p>
  The <code>front</code> role installs and configures the services expected on the
  institute's publicly accessible "front door": email, web, VPN.  The
  virtual machine is prepared with an Ubuntu Server install and remote
  access to a privileged, administrator's account.  (For details, see
  <div class="outline-text-2" id="text-7">
  <p>
  The <code>front</code> role installs and configures the services expected on the
  institute's publicly accessible "front door": email, web, VPN.  The
  virtual machine is prepared with an Ubuntu Server install and remote
  access to a privileged, administrator's account.  (For details, see
-<a href="#orge9845ca">The Front Machine</a>.)
+<a href="#org548ba51">The Front Machine</a>.)
  </p>
  
  <p>
  </p>
  
  <p>
@@ -1762,8 +1762,8 @@ perhaps with symbolic links to, for example,
  <q>/etc/letsencrypt/live/small.example.org/fullchain.pem</q>.
  </p>
  </div>
  <q>/etc/letsencrypt/live/small.example.org/fullchain.pem</q>.
  </p>
  </div>
-<div id="outline-container-org7adc374" class="outline-3">
-<h3 id="org7adc374"><span class="section-number-3">7.1.</span> Role Defaults</h3>
+<div id="outline-container-org2417e1f" class="outline-3">
+<h3 id="org2417e1f"><span class="section-number-3">7.1.</span> Role Defaults</h3>
  <div class="outline-text-3" id="text-7-1">
  <p>
  The <code>front</code> role sets a number of variables to default values in its
  <div class="outline-text-3" id="text-7-1">
  <p>
  The <code>front</code> role sets a number of variables to default values in its
@@ -1781,15 +1781,15 @@ The <code>front</code> role sets a number of variables to default values in its
  <p>
  The <code>membership-rolls</code> reference defines <code>membership_rolls</code> which is
  used to select an empty membership roll if one has not been written
  <p>
  The <code>membership-rolls</code> reference defines <code>membership_rolls</code> which is
  used to select an empty membership roll if one has not been written
-yet.  (See section <a href="#org38c0efd">12.7</a>.)
+yet.  (See section <a href="#org8b8c94b">12.7</a>.)
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-org26771ce" class="outline-3">
-<h3 id="org26771ce"><span class="section-number-3">7.2.</span> Include Particulars</h3>
+<div id="outline-container-org39c7fe3" class="outline-3">
+<h3 id="org39c7fe3"><span class="section-number-3">7.2.</span> Include Particulars</h3>
  <div class="outline-text-3" id="text-7-2">
  <p>
  <div class="outline-text-3" id="text-7-2">
  <p>
-The first task, as in <a href="#orgac6ebd5">The All Role</a>, is to include the institute
+The first task, as in <a href="#orga965227">The All Role</a>, is to include the institute
  particulars.  The <code>front</code> role refers to private variables and the
  membership roll, so these are included was well.
  </p>
  particulars.  The <code>front</code> role refers to private variables and the
  membership roll, so these are included was well.
  </p>
@@ -1809,8 +1809,8 @@ membership roll, so these are included was well.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org9e8314a" class="outline-3">
-<h3 id="org9e8314a"><span class="section-number-3">7.3.</span> Configure Hostname</h3>
+<div id="outline-container-org6292f55" class="outline-3">
+<h3 id="org6292f55"><span class="section-number-3">7.3.</span> Configure Hostname</h3>
  <div class="outline-text-3" id="text-7-3">
  <p>
  This task ensures that Front's <q>/etc/hostname</q> and <q>/etc/mailname</q> are
  <div class="outline-text-3" id="text-7-3">
  <p>
  This task ensures that Front's <q>/etc/hostname</q> and <q>/etc/mailname</q> are
@@ -1838,8 +1838,8 @@ delivery.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orgb13272d" class="outline-3">
-<h3 id="orgb13272d"><span class="section-number-3">7.4.</span> Add Administrator to System Groups</h3>
+<div id="outline-container-orge80c89c" class="outline-3">
+<h3 id="orge80c89c"><span class="section-number-3">7.4.</span> Add Administrator to System Groups</h3>
  <div class="outline-text-3" id="text-7-4">
  <p>
  The administrator often needs to read (directories of) log files owned
  <div class="outline-text-3" id="text-7-4">
  <p>
  The administrator often needs to read (directories of) log files owned
@@ -1859,8 +1859,8 @@ these groups speeds up debugging.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orgffe4240" class="outline-3">
-<h3 id="orgffe4240"><span class="section-number-3">7.5.</span> Configure Monkey</h3>
+<div id="outline-container-org23a6207" class="outline-3">
+<h3 id="org23a6207"><span class="section-number-3">7.5.</span> Configure Monkey</h3>
  <div class="outline-text-3" id="text-7-5">
  <p>
  The small institute runs cron jobs and web scripts that generate
  <div class="outline-text-3" id="text-7-5">
  <p>
  The small institute runs cron jobs and web scripts that generate
@@ -1868,7 +1868,7 @@ reports and perform checks.  The un-privileged jobs are run by a
  system account named <code>monkey</code>.  One of Monkey's more important jobs on
  Core is to run <code>rsync</code> to update the public web site on Front.  Monkey
  on Core will login as <code>monkey</code> on Front to synchronize the files (as
  system account named <code>monkey</code>.  One of Monkey's more important jobs on
  Core is to run <code>rsync</code> to update the public web site on Front.  Monkey
  on Core will login as <code>monkey</code> on Front to synchronize the files (as
-described in <a href="#orgc0df403">*Configure Apache2</a>).  To do that without needing a
+described in <a href="#org1cb4a91">*Configure Apache2</a>).  To do that without needing a
  password, the <code>monkey</code> account on Front should authorize Monkey's SSH
  key on Core.
  </p>
  password, the <code>monkey</code> account on Front should authorize Monkey's SSH
  key on Core.
  </p>
@@ -1898,8 +1898,8 @@ key on Core.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orgb638d29" class="outline-3">
-<h3 id="orgb638d29"><span class="section-number-3">7.6.</span> Install Rsync</h3>
+<div id="outline-container-org843c9b6" class="outline-3">
+<h3 id="org843c9b6"><span class="section-number-3">7.6.</span> Install Rsync</h3>
  <div class="outline-text-3" id="text-7-6">
  <p>
  Monkey uses Rsync to keep the institute's public web site up-to-date.
  <div class="outline-text-3" id="text-7-6">
  <p>
  Monkey uses Rsync to keep the institute's public web site up-to-date.
@@ -1914,8 +1914,8 @@ Monkey uses Rsync to keep the institute's public web site up-to-date.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org1aa2793" class="outline-3">
-<h3 id="org1aa2793"><span class="section-number-3">7.7.</span> Install Unattended Upgrades</h3>
+<div id="outline-container-org59bed61" class="outline-3">
+<h3 id="org59bed61"><span class="section-number-3">7.7.</span> Install Unattended Upgrades</h3>
  <div class="outline-text-3" id="text-7-7">
  <p>
  The institute prefers to install security updates as soon as possible.
  <div class="outline-text-3" id="text-7-7">
  <p>
  The institute prefers to install security updates as soon as possible.
@@ -1930,13 +1930,13 @@ The institute prefers to install security updates as soon as possible.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orge398e89" class="outline-3">
-<h3 id="orge398e89"><span class="section-number-3">7.8.</span> Configure User Accounts</h3>
+<div id="outline-container-orgb83d69e" class="outline-3">
+<h3 id="orgb83d69e"><span class="section-number-3">7.8.</span> Configure User Accounts</h3>
  <div class="outline-text-3" id="text-7-8">
  <p>
  User accounts are created immediately so that Postfix and Dovecot can
  start delivering email immediately, <i>without</i> returning "no such
  <div class="outline-text-3" id="text-7-8">
  <p>
  User accounts are created immediately so that Postfix and Dovecot can
  start delivering email immediately, <i>without</i> returning "no such
-recipient" replies.  The <a href="#org38c0efd">Account Management</a> chapter describes the
+recipient" replies.  The <a href="#org8b8c94b">Account Management</a> chapter describes the
  <code>members</code> and <code>usernames</code> variables used below.
  </p>
  
  <code>members</code> and <code>usernames</code> variables used below.
  </p>
  
@@ -1974,8 +1974,8 @@ recipient" replies.  The <a href="#org38c0efd">Account Management</a> chapter de
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org802c293" class="outline-3">
-<h3 id="org802c293"><span class="section-number-3">7.9.</span> Install Server Certificate</h3>
+<div id="outline-container-orgb963fa3" class="outline-3">
+<h3 id="orgb963fa3"><span class="section-number-3">7.9.</span> Install Server Certificate</h3>
  <div class="outline-text-3" id="text-7-9">
  <p>
  The servers on Front use the same certificate (and key) to
  <div class="outline-text-3" id="text-7-9">
  <p>
  The servers on Front use the same certificate (and key) to
@@ -2005,8 +2005,8 @@ and <q>/etc/server.key</q> files, the latter only readable by <code>root</code>.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orgb6a1762" class="outline-3">
-<h3 id="orgb6a1762"><span class="section-number-3">7.10.</span> Configure Postfix on Front</h3>
+<div id="outline-container-org599719f" class="outline-3">
+<h3 id="org599719f"><span class="section-number-3">7.10.</span> Configure Postfix on Front</h3>
  <div class="outline-text-3" id="text-7-10">
  <p>
  Front uses Postfix to provide the institute's public SMTP service, and
  <div class="outline-text-3" id="text-7-10">
  <p>
  Front uses Postfix to provide the institute's public SMTP service, and
@@ -2023,7 +2023,7 @@ The appropriate answers are listed here but will be checked
  </ul>
  
  <p>
  </ul>
  
  <p>
-As discussed in <a href="#orgd68300a">The Email Service</a> above, Front's Postfix configuration
+As discussed in <a href="#org39e9ca1">The Email Service</a> above, Front's Postfix configuration
  includes site-wide support for larger message sizes, shorter queue
  times, the relaying configuration, and the common path to incoming
  emails.  These and a few Front-specific Postfix configurations
  includes site-wide support for larger message sizes, shorter queue
  times, the relaying configuration, and the common path to incoming
  emails.  These and a few Front-specific Postfix configurations
@@ -2036,7 +2036,7 @@ via which Core relays messages from the campus.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>postfix-front-networks</code><pre class="src src-conf" id="org69c4dee"><code>- p: mynetworks
+<code>postfix-front-networks</code><pre class="src src-conf" id="org1cd6345"><code>- p: mynetworks
    v: &gt;-
       {{ public_wg_net_cidr }}
       127.0.0.0/8
    v: &gt;-
       {{ public_wg_net_cidr }}
       127.0.0.0/8
@@ -2052,7 +2052,7 @@ difficult for internal hosts, who do <i>not</i> have (public) domain names.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>postfix-front-restrictions</code><pre class="src src-conf" id="orgbdc455b"><code>- p: smtpd_recipient_restrictions
+<code>postfix-front-restrictions</code><pre class="src src-conf" id="org01a1ce3"><code>- p: smtpd_recipient_restrictions
    v: &gt;-
       permit_mynetworks
       reject_unauth_pipelining
    v: &gt;-
       permit_mynetworks
       reject_unauth_pipelining
@@ -2073,13 +2073,13 @@ messages; incoming messages are delivered locally, without
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>postfix-header-checks</code><pre class="src src-conf" id="org602c61d"><code>- p: smtp_header_checks
+<code>postfix-header-checks</code><pre class="src src-conf" id="org81a7999"><code>- p: smtp_header_checks
    v: regexp:/etc/postfix/header_checks.cf
  </code></pre>
  </div>
  
  <div class="org-src-container">
    v: regexp:/etc/postfix/header_checks.cf
  </code></pre>
  </div>
  
  <div class="org-src-container">
-<code>postfix-header-checks-content</code><pre class="src src-conf" id="org4c8d75c"><code>/^Received:/    IGNORE
+<code>postfix-header-checks-content</code><pre class="src src-conf" id="org5341ddf"><code>/^Received:/    IGNORE
  /^User-Agent:/  IGNORE
  </code></pre>
  </div>
  /^User-Agent:/  IGNORE
  </code></pre>
  </div>
@@ -2091,7 +2091,7 @@ Debian default for <code>inet_interfaces</code>.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>postfix-front</code><pre class="src src-conf" id="orgcd0f568"><code>- { p: smtpd_tls_cert_file, v: /etc/server.crt }
+<code>postfix-front</code><pre class="src src-conf" id="org2ad85a9"><code>- { p: smtpd_tls_cert_file, v: /etc/server.crt }
  - { p: smtpd_tls_key_file, v: /etc/server.key }
  &lt;&lt;postfix-front-networks&gt;&gt;
  &lt;&lt;postfix-front-restrictions&gt;&gt;
  - { p: smtpd_tls_key_file, v: /etc/server.key }
  &lt;&lt;postfix-front-networks&gt;&gt;
  &lt;&lt;postfix-front-restrictions&gt;&gt;
@@ -2167,8 +2167,8 @@ start and enable the service.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orgd72bc6a" class="outline-3">
-<h3 id="orgd72bc6a"><span class="section-number-3">7.11.</span> Configure Public Email Aliases</h3>
+<div id="outline-container-orgc4d9612" class="outline-3">
+<h3 id="orgc4d9612"><span class="section-number-3">7.11.</span> Configure Public Email Aliases</h3>
  <div class="outline-text-3" id="text-7-11">
  <p>
  The institute's Front needs to deliver email addressed to a number of
  <div class="outline-text-3" id="text-7-11">
  <p>
  The institute's Front needs to deliver email addressed to a number of
@@ -2210,8 +2210,8 @@ created by a more specialized role.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org75f922e" class="outline-3">
-<h3 id="org75f922e"><span class="section-number-3">7.12.</span> Configure OpenDKIM</h3>
+<div id="outline-container-org963405a" class="outline-3">
+<h3 id="org963405a"><span class="section-number-3">7.12.</span> Configure OpenDKIM</h3>
  <div class="outline-text-3" id="text-7-12">
  <p>
  Front uses OpenDKIM to sign outgoing emails.  It does not verify
  <div class="outline-text-3" id="text-7-12">
  <p>
  Front uses OpenDKIM to sign outgoing emails.  It does not verify
@@ -2310,8 +2310,8 @@ OpenDKIM, and Postfix.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org9d767ec" class="outline-3">
-<h3 id="org9d767ec"><span class="section-number-3">7.13.</span> Configure Dovecot IMAPd</h3>
+<div id="outline-container-orgb886b67" class="outline-3">
+<h3 id="orgb886b67"><span class="section-number-3">7.13.</span> Configure Dovecot IMAPd</h3>
  <div class="outline-text-3" id="text-7-13">
  <p>
  Front uses Dovecot's IMAPd to allow user Fetchmail jobs on Core to
  <div class="outline-text-3" id="text-7-13">
  <p>
  Front uses Dovecot's IMAPd to allow user Fetchmail jobs on Core to
@@ -2320,7 +2320,7 @@ default with POP and IMAP (without TLS) support disabled.  This is a
  bit "over the top" given that Core accesses Front via VPN, but helps
  to ensure privacy even when members must, in extremis, access recent
  email directly from their accounts on Front.  For more information
  bit "over the top" given that Core accesses Front via VPN, but helps
  to ensure privacy even when members must, in extremis, access recent
  email directly from their accounts on Front.  For more information
-about Front's role in the institute's email services, see <a href="#orgd68300a">The Email
+about Front's role in the institute's email services, see <a href="#org39e9ca1">The Email
  Service</a>.
  </p>
  
  Service</a>.
  </p>
  
@@ -2401,8 +2401,8 @@ and enables it to start at every reboot.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org230b0c3" class="outline-3">
-<h3 id="org230b0c3"><span class="section-number-3">7.14.</span> Configure Apache2 <a id="orgc0df403"></a></h3>
+<div id="outline-container-org8d5d29a" class="outline-3">
+<h3 id="org8d5d29a"><span class="section-number-3">7.14.</span> Configure Apache2 <a id="org1cb4a91"></a></h3>
  <div class="outline-text-3" id="text-7-14">
  <p>
  This is the small institute's public web site.  It is simple, static,
  <div class="outline-text-3" id="text-7-14">
  <p>
  This is the small institute's public web site.  It is simple, static,
@@ -2438,7 +2438,7 @@ taken from <a href="https://www.ssllabs.com/projects/best-practices">https://www
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>apache-ciphers</code><pre class="src src-conf" id="org06effc3"><code>SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
+<code>apache-ciphers</code><pre class="src src-conf" id="orgf7dd15e"><code>SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
  SSLHonorCipherOrder on
  <span class="org-type">SSLCipherSuite {</span>{ [ <span class="org-string">'ECDHE-ECDSA-AES128-GCM-SHA256'</span>,
                      <span class="org-string">'ECDHE-ECDSA-AES256-GCM-SHA384'</span>,
  SSLHonorCipherOrder on
  <span class="org-type">SSLCipherSuite {</span>{ [ <span class="org-string">'ECDHE-ECDSA-AES128-GCM-SHA256'</span>,
                      <span class="org-string">'ECDHE-ECDSA-AES256-GCM-SHA384'</span>,
@@ -2493,7 +2493,7 @@ used on all of the institute's web sites.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>apache-userdir-front</code><pre class="src src-conf" id="orgc887b1c"><code>UserDir /home/www-users
+<code>apache-userdir-front</code><pre class="src src-conf" id="org8913eee"><code>UserDir /home/www-users
  &lt;Directory /home/www-users/&gt;
          Require all granted
          AllowOverride None
  &lt;Directory /home/www-users/&gt;
          Require all granted
          AllowOverride None
@@ -2508,7 +2508,7 @@ HTTPS URLs.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>apache-redirect-front</code><pre class="src src-conf" id="org28cb9e3"><code>&lt;VirtualHost *:80&gt;
+<code>apache-redirect-front</code><pre class="src src-conf" id="org951c06c"><code>&lt;VirtualHost *:80&gt;
          Redirect permanent / https://{{ domain_name }}/
  &lt;/VirtualHost&gt;
  </code></pre>
          Redirect permanent / https://{{ domain_name }}/
  &lt;/VirtualHost&gt;
  </code></pre>
@@ -2533,7 +2533,7 @@ the inside of a <code>VirtualHost</code> block.  They should apply globally.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>apache-front</code><pre class="src src-conf" id="org299067e"><code>ServerName {{ domain_name }}
+<code>apache-front</code><pre class="src src-conf" id="org2914ec7"><code>ServerName {{ domain_name }}
  ServerAdmin webmaster@{{ domain_name }}
  
  DocumentRoot /home/www
  ServerAdmin webmaster@{{ domain_name }}
  
  DocumentRoot /home/www
@@ -2700,8 +2700,8 @@ the users' <q>~/Public/HTML/</q> directories.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org09a327c" class="outline-3">
-<h3 id="org09a327c"><span class="section-number-3">7.15.</span> Configure Public WireGuard™ Subnet</h3>
+<div id="outline-container-orgd4aef93" class="outline-3">
+<h3 id="orgd4aef93"><span class="section-number-3">7.15.</span> Configure Public WireGuard™ Subnet</h3>
  <div class="outline-text-3" id="text-7-15">
  <p>
  Front uses WireGuard™ to provide a public (Internet accessible) VPN
  <div class="outline-text-3" id="text-7-15">
  <p>
  Front uses WireGuard™ to provide a public (Internet accessible) VPN
@@ -2791,8 +2791,8 @@ The "empty" WireGuard™ configuration file (below) is used until the
  </code></pre>
  </div>
  </div>
  </code></pre>
  </div>
  </div>
-<div id="outline-container-orga907b96" class="outline-4">
-<h4 id="orga907b96"><span class="section-number-4">7.15.1.</span> Example <q>private/front-wg0.conf</q></h4>
+<div id="outline-container-orgd6878f6" class="outline-4">
+<h4 id="orgd6878f6"><span class="section-number-4">7.15.1.</span> Example <q>private/front-wg0.conf</q></h4>
  <div class="outline-text-4" id="text-7-15-1">
  <p>
  The example <q>private/front-wg0.conf</q> below recognizes Core by its
  <div class="outline-text-4" id="text-7-15-1">
  <p>
  The example <q>private/front-wg0.conf</q> below recognizes Core by its
@@ -2814,21 +2814,21 @@ Example <q>private/front-wg0.conf</q><pre class="src src-conf"><code>[<span clas
  <span class="org-variable-name">PostUp</span> = resolvectl dns %i 192.168.56.1
  <span class="org-variable-name">PostUp</span> = resolvectl domain %i small.private
  
  <span class="org-variable-name">PostUp</span> = resolvectl dns %i 192.168.56.1
  <span class="org-variable-name">PostUp</span> = resolvectl domain %i small.private
  
-<span class="org-comment-delimiter"># </span><span class="org-comment">Core
-</span>[<span class="org-type">Peer</span>]
+<span class="org-comment-delimiter"># </span><span class="org-comment">Core</span>
+[<span class="org-type">Peer</span>]
  <span class="org-variable-name">PublicKey</span> = lGhC51IBgZtlq4H2bsYFuKvPtV0VAEwUvVIn5fW7D0c=
  <span class="org-variable-name">AllowedIPs</span> = 10.177.87.2
  <span class="org-variable-name">AllowedIPs</span> = 192.168.56.0/24
  <span class="org-variable-name">AllowedIPs</span> = 192.168.57.0/24
  <span class="org-variable-name">AllowedIPs</span> = 10.84.139.0/24
  
  <span class="org-variable-name">PublicKey</span> = lGhC51IBgZtlq4H2bsYFuKvPtV0VAEwUvVIn5fW7D0c=
  <span class="org-variable-name">AllowedIPs</span> = 10.177.87.2
  <span class="org-variable-name">AllowedIPs</span> = 192.168.56.0/24
  <span class="org-variable-name">AllowedIPs</span> = 192.168.57.0/24
  <span class="org-variable-name">AllowedIPs</span> = 10.84.139.0/24
  
-<span class="org-comment-delimiter"># </span><span class="org-comment">dick
-</span>[<span class="org-type">Peer</span>]
+<span class="org-comment-delimiter"># </span><span class="org-comment">dick</span>
+[<span class="org-type">Peer</span>]
  <span class="org-variable-name">PublicKey</span> = 4qd4xdRztZBKhFrX9jI/b4fnMzpKQ5qhg691hwYSsX8=
  <span class="org-variable-name">AllowedIPs</span> = 10.177.87.4
  
  <span class="org-variable-name">PublicKey</span> = 4qd4xdRztZBKhFrX9jI/b4fnMzpKQ5qhg691hwYSsX8=
  <span class="org-variable-name">AllowedIPs</span> = 10.177.87.4
  
-<span class="org-comment-delimiter"># </span><span class="org-comment">dicks-razr
-</span>[<span class="org-type">Peer</span>]
+<span class="org-comment-delimiter"># </span><span class="org-comment">dicks-razr</span>
+[<span class="org-type">Peer</span>]
  <span class="org-variable-name">PublicKey</span> = zho0qMxoLclJSQu4GeJEcMkk0hx4Q047OcNc8vOejVw=
  <span class="org-variable-name">AllowedIPs</span> = 10.177.87.6
  </code></pre>
  <span class="org-variable-name">PublicKey</span> = zho0qMxoLclJSQu4GeJEcMkk0hx4Q047OcNc8vOejVw=
  <span class="org-variable-name">AllowedIPs</span> = 10.177.87.6
  </code></pre>
@@ -2859,8 +2859,8 @@ WireGuard™ tunnel on Dick's notebook, used abroad<pre class="src src-conf"><co
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orge558524" class="outline-3">
-<h3 id="orge558524"><span class="section-number-3">7.16.</span> Configure Kamailio</h3>
+<div id="outline-container-org7bda53c" class="outline-3">
+<h3 id="org7bda53c"><span class="section-number-3">7.16.</span> Configure Kamailio</h3>
  <div class="outline-text-3" id="text-7-16">
  <p>
  Front uses Kamailio to provide a SIP service on the public VPN so that
  <div class="outline-text-3" id="text-7-16">
  <p>
  Front uses Kamailio to provide a SIP service on the public VPN so that
@@ -2882,7 +2882,7 @@ specifies the actual IP, known here as <code>front_wg_addr</code>.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>kamailio</code><pre class="src src-conf" id="org04f5fa1"><code><span class="org-variable-name">listen</span>=udp:{{ front_wg_addr }}:5060
+<code>kamailio</code><pre class="src src-conf" id="org9268a63"><code><span class="org-variable-name">listen</span>=udp:{{ front_wg_addr }}:5060
  </code></pre>
  </div>
  
  </code></pre>
  </div>
  
@@ -2983,22 +2983,22 @@ Finally, Kamailio can be configured and started.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org5254b26" class="outline-2">
-<h2 id="org5254b26"><span class="section-number-2">8.</span> The Core Role</h2>
+<div id="outline-container-org264af3e" class="outline-2">
+<h2 id="org264af3e"><span class="section-number-2">8.</span> The Core Role</h2>
  <div class="outline-text-2" id="text-8">
  <p>
  The <code>core</code> role configures many essential campus network services as
  well as the institute's private cloud, so the core machine has
  horsepower (CPUs and RAM) and large disks and is prepared with a
  Debian install and remote access to a privileged, administrator's
  <div class="outline-text-2" id="text-8">
  <p>
  The <code>core</code> role configures many essential campus network services as
  well as the institute's private cloud, so the core machine has
  horsepower (CPUs and RAM) and large disks and is prepared with a
  Debian install and remote access to a privileged, administrator's
-account.  (For details, see <a href="#org764b20c">The Core Machine</a>.)
+account.  (For details, see <a href="#org4e25105">The Core Machine</a>.)
  </p>
  </div>
  </p>
  </div>
-<div id="outline-container-org5879ca0" class="outline-3">
-<h3 id="org5879ca0"><span class="section-number-3">8.1.</span> Role Defaults</h3>
+<div id="outline-container-orgb4e2640" class="outline-3">
+<h3 id="orgb4e2640"><span class="section-number-3">8.1.</span> Role Defaults</h3>
  <div class="outline-text-3" id="text-8-1">
  <p>
  <div class="outline-text-3" id="text-8-1">
  <p>
-As in <a href="#org7d542aa">The Front Role</a>, the <code>core</code> role sets a number of variables to
+As in <a href="#org172259a">The Front Role</a>, the <code>core</code> role sets a number of variables to
  default values in its <q>defaults/main.yml</q> file.
  </p>
  
  default values in its <q>defaults/main.yml</q> file.
  </p>
  
@@ -3011,11 +3011,11 @@ default values in its <q>defaults/main.yml</q> file.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org96886b7" class="outline-3">
-<h3 id="org96886b7"><span class="section-number-3">8.2.</span> Include Particulars</h3>
+<div id="outline-container-orgeb3617e" class="outline-3">
+<h3 id="orgeb3617e"><span class="section-number-3">8.2.</span> Include Particulars</h3>
  <div class="outline-text-3" id="text-8-2">
  <p>
  <div class="outline-text-3" id="text-8-2">
  <p>
-The first task, as in <a href="#org7d542aa">The Front Role</a>, is to include the institute
+The first task, as in <a href="#org172259a">The Front Role</a>, is to include the institute
  particulars and membership roll.
  </p>
  
  particulars and membership roll.
  </p>
  
@@ -3036,8 +3036,8 @@ particulars and membership roll.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org325596b" class="outline-3">
-<h3 id="org325596b"><span class="section-number-3">8.3.</span> Configure Hostname</h3>
+<div id="outline-container-org2b16642" class="outline-3">
+<h3 id="org2b16642"><span class="section-number-3">8.3.</span> Configure Hostname</h3>
  <div class="outline-text-3" id="text-8-3">
  <p>
  This task ensures that Core's <q>/etc/hostname</q> and <q>/etc/mailname</q> are
  <div class="outline-text-3" id="text-8-3">
  <p>
  This task ensures that Core's <q>/etc/hostname</q> and <q>/etc/mailname</q> are
@@ -3067,8 +3067,8 @@ proper email delivery.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org2e9a975" class="outline-3">
-<h3 id="org2e9a975"><span class="section-number-3">8.4.</span> Configure Systemd Resolved</h3>
+<div id="outline-container-org81703f1" class="outline-3">
+<h3 id="org81703f1"><span class="section-number-3">8.4.</span> Configure Systemd Resolved</h3>
  <div class="outline-text-3" id="text-8-4">
  <p>
  Core runs the campus name server, so Resolved is configured to use it
  <div class="outline-text-3" id="text-8-4">
  <p>
  Core runs the campus name server, so Resolved is configured to use it
@@ -3112,26 +3112,26 @@ list, and to disable its cache and stub listener.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orgd413bcb" class="outline-3">
-<h3 id="orgd413bcb"><span class="section-number-3">8.5.</span> Configure Core NetworkD</h3>
+<div id="outline-container-org87bd414" class="outline-3">
+<h3 id="org87bd414"><span class="section-number-3">8.5.</span> Configure Core NetworkD</h3>
  <div class="outline-text-3" id="text-8-5">
  <p>
  Core's network interface is statically configured using the
  <div class="outline-text-3" id="text-8-5">
  <p>
  Core's network interface is statically configured using the
-<code>systemd-networkd</code> configuration files <q>10-lan.link</q> and
-<q>10-lan.network</q> installed in <q>/etc/systemd/network/</q>.  Those files
-statically assign Core's IP address (as well as the campus name server
-and search domain), and its default route through Gate.  A second
-route, through Core itself to Front, is advertised to other hosts, and
-is routed through a WireGuard™ interface connected to Front's public
-WireGuard™ VPN.
+<code>systemd-udevd</code> configuration file <q>10-lan.link</q> and the
+<code>systemd-networkd</code> configuration file <q>10-lan.network</q>, both installed
+in <q>/etc/systemd/network/</q>.  Those files statically assign Core's IP
+address and its default route through Gate.  A second route, through
+Core itself to Front, is advertised to other hosts, and is routed
+through a WireGuard™ interface connected to Front's public WireGuard™
+VPN.
  </p>
  
  <p>
  Note that the <code>[Match]</code> sections of the <q>.network</q> files should
  specify only a <code>MACAddress</code>.  Getting <code>systemd-udevd</code> to rename
  interfaces has thusfar been futile (short of a reboot), so specifying
  </p>
  
  <p>
  Note that the <code>[Match]</code> sections of the <q>.network</q> files should
  specify only a <code>MACAddress</code>.  Getting <code>systemd-udevd</code> to rename
  interfaces has thusfar been futile (short of a reboot), so specifying
-a <code>Name</code> means the interface does not match, leaving it un-configured
-(until the next reboot).
+a <code>Name</code> means the interface will not be configured until after the
+next reboot.
  </p>
  
  <p>
  </p>
  
  <p>
@@ -3184,8 +3184,8 @@ fact was an empty hash at first boot on a simulated campus Ethernet.)
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orgd06348f" class="outline-3">
-<h3 id="orgd06348f"><span class="section-number-3">8.6.</span> Configure DHCP For the Private Ethernet</h3>
+<div id="outline-container-org70a0b5e" class="outline-3">
+<h3 id="org70a0b5e"><span class="section-number-3">8.6.</span> Configure DHCP For the Private Ethernet</h3>
  <div class="outline-text-3" id="text-8-6">
  <p>
  Core speaks DHCP (Dynamic Host Configuration Protocol) using the
  <div class="outline-text-3" id="text-8-6">
  <p>
  Core speaks DHCP (Dynamic Host Configuration Protocol) using the
@@ -3287,12 +3287,12 @@ the real <a href="private/core-dhcpd.conf"><q>private/core-dhcpd.conf</q></a> (<
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org8519578" class="outline-3">
-<h3 id="org8519578"><span class="section-number-3">8.7.</span> Configure BIND9</h3>
+<div id="outline-container-org3e05bdd" class="outline-3">
+<h3 id="org3e05bdd"><span class="section-number-3">8.7.</span> Configure BIND9</h3>
  <div class="outline-text-3" id="text-8-7">
  <p>
  Core uses BIND9 to provide name service for the institute as described
  <div class="outline-text-3" id="text-8-7">
  <p>
  Core uses BIND9 to provide name service for the institute as described
-in <a href="#org4e0cff6">The Name Service</a>.  The configuration supports reverse name lookups,
+in <a href="#org2b3e1ef">The Name Service</a>.  The configuration supports reverse name lookups,
  resolving many private network addresses to private domain names.
  </p>
  
  resolving many private network addresses to private domain names.
  </p>
  
@@ -3364,7 +3364,7 @@ probably be used as forwarders rather than Google.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>bind-options</code><pre class="src src-conf" id="org3346503"><code><span class="org-type">acl </span><span class="org-string"><span class="org-type">"trusted"</span></span> {
+<code>bind-options</code><pre class="src src-conf" id="org450921f"><code><span class="org-type">acl </span><span class="org-string"><span class="org-type">"trusted"</span></span> {
          {{ private_net_cidr }};
          {{ public_wg_net_cidr }};
          {{ campus_wg_net_cidr }};
          {{ private_net_cidr }};
          {{ public_wg_net_cidr }};
          {{ campus_wg_net_cidr }};
@@ -3394,27 +3394,27 @@ probably be used as forwarders rather than Google.
  </div>
  
  <div class="org-src-container">
  </div>
  
  <div class="org-src-container">
-<code>bind-local</code><pre class="src src-conf" id="org4109fc3"><code>include <span class="org-string">"/etc/bind/zones.rfc1918"</span>;
+<code>bind-local</code><pre class="src src-conf" id="org336a3ad"><code>include <span class="org-string">"/etc/bind/zones.rfc1918"</span>;
  
  <span class="org-type">zone </span><span class="org-string"><span class="org-type">"{{ domain_priv }}."</span></span> {
          type master;
          file <span class="org-string">"/etc/bind/db.domain"</span>;
  };
  
  
  <span class="org-type">zone </span><span class="org-string"><span class="org-type">"{{ domain_priv }}."</span></span> {
          type master;
          file <span class="org-string">"/etc/bind/db.domain"</span>;
  };
  
-<span class="org-type">zone </span><span class="org-string"><span class="org-type">"{</span></span><span class="org-string">{ private_net_cidr | ansible.utils.ipaddr('revdns')
-         </span><span class="org-string"><span class="org-type">| regex_replace('^0\.','') }}"</span></span> {
+<span class="org-type">zone </span><span class="org-string"><span class="org-type">"{</span></span><span class="org-string">{ private_net_cidr | ansible.utils.ipaddr('revdns')</span>
+<span class="org-string">         </span><span class="org-string"><span class="org-type">| regex_replace('^0\.','') }}"</span></span> {
          type master;
          file <span class="org-string">"/etc/bind/db.private"</span>;
  };
  
          type master;
          file <span class="org-string">"/etc/bind/db.private"</span>;
  };
  
-<span class="org-type">zone </span><span class="org-string"><span class="org-type">"{</span></span><span class="org-string">{ public_wg_net_cidr | ansible.utils.ipaddr('revdns')
-         </span><span class="org-string"><span class="org-type">| regex_replace('^0\.','') }}"</span></span> {
+<span class="org-type">zone </span><span class="org-string"><span class="org-type">"{</span></span><span class="org-string">{ public_wg_net_cidr | ansible.utils.ipaddr('revdns')</span>
+<span class="org-string">         </span><span class="org-string"><span class="org-type">| regex_replace('^0\.','') }}"</span></span> {
          type master;
          file <span class="org-string">"/etc/bind/db.public_vpn"</span>;
  };
  
          type master;
          file <span class="org-string">"/etc/bind/db.public_vpn"</span>;
  };
  
-<span class="org-type">zone </span><span class="org-string"><span class="org-type">"{</span></span><span class="org-string">{ campus_wg_net_cidr | ansible.utils.ipaddr('revdns')
-         </span><span class="org-string"><span class="org-type">| regex_replace('^0\.','') }}"</span></span> {
+<span class="org-type">zone </span><span class="org-string"><span class="org-type">"{</span></span><span class="org-string">{ campus_wg_net_cidr | ansible.utils.ipaddr('revdns')</span>
+<span class="org-string">         </span><span class="org-string"><span class="org-type">| regex_replace('^0\.','') }}"</span></span> {
          type master;
          file <span class="org-string">"/etc/bind/db.campus_vpn"</span>;
  };
          type master;
          file <span class="org-string">"/etc/bind/db.campus_vpn"</span>;
  };
@@ -3423,91 +3423,91 @@ probably be used as forwarders rather than Google.
  
  <div class="org-src-container">
  <a href="private/db.domain"><q>private/db.domain</q></a><pre class="src src-conf"><code>;
  
  <div class="org-src-container">
  <a href="private/db.domain"><q>private/db.domain</q></a><pre class="src src-conf"><code>;
-; BIND data file for a small institute<span class="org-string">'s PRIVATE domain names.
-;
-$TTL    604800
-@       IN      SOA     small.private. root.small.private. (
-                              1         ; Serial
-                         604800         ; Refresh
-                          86400         ; Retry
-                        2419200         ; Expire
-                         604800 )       ; Negative Cache TTL
-;
-@       IN      NS      core.small.private.
-$TTL    7200
-mail    IN      CNAME   core.small.private.
-smtp    IN      CNAME   core.small.private.
-ns      IN      CNAME   core.small.private.
-www     IN      CNAME   core.small.private.
-test    IN      CNAME   core.small.private.
-live    IN      CNAME   core.small.private.
-ntp     IN      CNAME   core.small.private.
-sip     IN      A       10.177.87.1
-;
-core    IN      A       192.168.56.1
-gate    IN      A       192.168.56.2</span>
+; BIND data file for a small institute<span class="org-string">'s PRIVATE domain names.</span>
+<span class="org-string">;</span>
+<span class="org-string">$TTL    604800</span>
+<span class="org-string">@       IN      SOA     small.private. root.small.private. (</span>
+<span class="org-string">                              1         ; Serial</span>
+<span class="org-string">                         604800         ; Refresh</span>
+<span class="org-string">                          86400         ; Retry</span>
+<span class="org-string">                        2419200         ; Expire</span>
+<span class="org-string">                         604800 )       ; Negative Cache TTL</span>
+<span class="org-string">;</span>
+<span class="org-string">@       IN      NS      core.small.private.</span>
+<span class="org-string">$TTL    7200</span>
+<span class="org-string">mail    IN      CNAME   core.small.private.</span>
+<span class="org-string">smtp    IN      CNAME   core.small.private.</span>
+<span class="org-string">ns      IN      CNAME   core.small.private.</span>
+<span class="org-string">www     IN      CNAME   core.small.private.</span>
+<span class="org-string">test    IN      CNAME   core.small.private.</span>
+<span class="org-string">live    IN      CNAME   core.small.private.</span>
+<span class="org-string">ntp     IN      CNAME   core.small.private.</span>
+<span class="org-string">sip     IN      A       10.177.87.1</span>
+<span class="org-string">;</span>
+<span class="org-string">core    IN      A       192.168.56.1</span>
+<span class="org-string">gate    IN      A       192.168.56.2</span>
  </code></pre>
  </div>
  
  <div class="org-src-container">
  <a href="private/db.private"><q>private/db.private</q></a><pre class="src src-conf"><code>;
  </code></pre>
  </div>
  
  <div class="org-src-container">
  <a href="private/db.private"><q>private/db.private</q></a><pre class="src src-conf"><code>;
-; BIND reverse data file for a small institute<span class="org-string">'s private Ethernet.
-;
-$TTL    604800
-@       IN      SOA     small.private. root.small.private. (
-                              1         ; Serial
-                         604800         ; Refresh
-                          86400         ; Retry
-                        2419200         ; Expire
-                         604800 )       ; Negative Cache TTL
-;
-@       IN      NS      core.small.private.
-$TTL    7200
-1       IN      PTR     core.small.private.
-2       IN      PTR     gate.small.private.</span>
+; BIND reverse data file for a small institute<span class="org-string">'s private Ethernet.</span>
+<span class="org-string">;</span>
+<span class="org-string">$TTL    604800</span>
+<span class="org-string">@       IN      SOA     small.private. root.small.private. (</span>
+<span class="org-string">                              1         ; Serial</span>
+<span class="org-string">                         604800         ; Refresh</span>
+<span class="org-string">                          86400         ; Retry</span>
+<span class="org-string">                        2419200         ; Expire</span>
+<span class="org-string">                         604800 )       ; Negative Cache TTL</span>
+<span class="org-string">;</span>
+<span class="org-string">@       IN      NS      core.small.private.</span>
+<span class="org-string">$TTL    7200</span>
+<span class="org-string">1       IN      PTR     core.small.private.</span>
+<span class="org-string">2       IN      PTR     gate.small.private.</span>
  </code></pre>
  </div>
  
  <div class="org-src-container">
  <a href="private/db.public_vpn"><q>private/db.public_vpn</q></a><pre class="src src-conf"><code>;
  </code></pre>
  </div>
  
  <div class="org-src-container">
  <a href="private/db.public_vpn"><q>private/db.public_vpn</q></a><pre class="src src-conf"><code>;
-; BIND reverse data file for a small institute<span class="org-string">'s public VPN.
-;
-$TTL    604800
-@       IN      SOA     small.private. root.small.private. (
-                              1         ; Serial
-                         604800         ; Refresh
-                          86400         ; Retry
-                        2419200         ; Expire
-                         604800 )       ; Negative Cache TTL
-;
-@       IN      NS      core.small.private.
-$TTL    7200
-1       IN      PTR     front-p.small.private.
-2       IN      PTR     core-p.small.private.</span>
+; BIND reverse data file for a small institute<span class="org-string">'s public VPN.</span>
+<span class="org-string">;</span>
+<span class="org-string">$TTL    604800</span>
+<span class="org-string">@       IN      SOA     small.private. root.small.private. (</span>
+<span class="org-string">                              1         ; Serial</span>
+<span class="org-string">                         604800         ; Refresh</span>
+<span class="org-string">                          86400         ; Retry</span>
+<span class="org-string">                        2419200         ; Expire</span>
+<span class="org-string">                         604800 )       ; Negative Cache TTL</span>
+<span class="org-string">;</span>
+<span class="org-string">@       IN      NS      core.small.private.</span>
+<span class="org-string">$TTL    7200</span>
+<span class="org-string">1       IN      PTR     front-p.small.private.</span>
+<span class="org-string">2       IN      PTR     core-p.small.private.</span>
  </code></pre>
  </div>
  
  <div class="org-src-container">
  <a href="private/db.campus_vpn"><q>private/db.campus_vpn</q></a><pre class="src src-conf"><code>;
  </code></pre>
  </div>
  
  <div class="org-src-container">
  <a href="private/db.campus_vpn"><q>private/db.campus_vpn</q></a><pre class="src src-conf"><code>;
-; BIND reverse data file for a small institute<span class="org-string">'s campus VPN.
-;
-$TTL    604800
-@       IN      SOA     small.private. root.small.private. (
-                              1         ; Serial
-                         604800         ; Refresh
-                          86400         ; Retry
-                        2419200         ; Expire
-                         604800 )       ; Negative Cache TTL
-;
-@       IN      NS      core.small.private.
-$TTL    7200
-1       IN      PTR     gate-c.small.private.</span>
+; BIND reverse data file for a small institute<span class="org-string">'s campus VPN.</span>
+<span class="org-string">;</span>
+<span class="org-string">$TTL    604800</span>
+<span class="org-string">@       IN      SOA     small.private. root.small.private. (</span>
+<span class="org-string">                              1         ; Serial</span>
+<span class="org-string">                         604800         ; Refresh</span>
+<span class="org-string">                          86400         ; Retry</span>
+<span class="org-string">                        2419200         ; Expire</span>
+<span class="org-string">                         604800 )       ; Negative Cache TTL</span>
+<span class="org-string">;</span>
+<span class="org-string">@       IN      NS      core.small.private.</span>
+<span class="org-string">$TTL    7200</span>
+<span class="org-string">1       IN      PTR     gate-c.small.private.</span>
  </code></pre>
  </div>
  </div>
  </div>
  </code></pre>
  </div>
  </div>
  </div>
-<div id="outline-container-orgff849e7" class="outline-3">
-<h3 id="orgff849e7"><span class="section-number-3">8.8.</span> Add Administrator to System Groups</h3>
+<div id="outline-container-orgacb8782" class="outline-3">
+<h3 id="orgacb8782"><span class="section-number-3">8.8.</span> Add Administrator to System Groups</h3>
  <div class="outline-text-3" id="text-8-8">
  <p>
  The administrator often needs to read (directories of) log files owned
  <div class="outline-text-3" id="text-8-8">
  <p>
  The administrator often needs to read (directories of) log files owned
@@ -3527,15 +3527,15 @@ these groups speeds up debugging.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org0d2aa98" class="outline-3">
-<h3 id="org0d2aa98"><span class="section-number-3">8.9.</span> Configure Monkey</h3>
+<div id="outline-container-orgb1ab810" class="outline-3">
+<h3 id="orgb1ab810"><span class="section-number-3">8.9.</span> Configure Monkey</h3>
  <div class="outline-text-3" id="text-8-9">
  <p>
  The small institute runs cron jobs and web scripts that generate
  reports and perform checks.  The un-privileged jobs are run by a
  system account named <code>monkey</code>.  One of Monkey's more important jobs on
  Core is to run <code>rsync</code> to update the public web site on Front (as
  <div class="outline-text-3" id="text-8-9">
  <p>
  The small institute runs cron jobs and web scripts that generate
  reports and perform checks.  The un-privileged jobs are run by a
  system account named <code>monkey</code>.  One of Monkey's more important jobs on
  Core is to run <code>rsync</code> to update the public web site on Front (as
-described in <a href="#org9ee6313">*Configure Apache2</a>).
+described in <a href="#org5d087f7">*Configure Apache2</a>).
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
@@ -3593,8 +3593,8 @@ described in <a href="#org9ee6313">*Configure Apache2</a>).
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org79c507b" class="outline-3">
-<h3 id="org79c507b"><span class="section-number-3">8.10.</span> Install Unattended Upgrades</h3>
+<div id="outline-container-org46d0d46" class="outline-3">
+<h3 id="org46d0d46"><span class="section-number-3">8.10.</span> Install Unattended Upgrades</h3>
  <div class="outline-text-3" id="text-8-10">
  <p>
  The institute prefers to install security updates as soon as possible.
  <div class="outline-text-3" id="text-8-10">
  <p>
  The institute prefers to install security updates as soon as possible.
@@ -3609,12 +3609,12 @@ The institute prefers to install security updates as soon as possible.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orgb26abc6" class="outline-3">
-<h3 id="orgb26abc6"><span class="section-number-3">8.11.</span> Configure User Accounts</h3>
+<div id="outline-container-org97fa599" class="outline-3">
+<h3 id="org97fa599"><span class="section-number-3">8.11.</span> Configure User Accounts</h3>
  <div class="outline-text-3" id="text-8-11">
  <p>
  User accounts are created immediately so that backups can begin
  <div class="outline-text-3" id="text-8-11">
  <p>
  User accounts are created immediately so that backups can begin
-restoring as soon as possible.  The <a href="#org38c0efd">Account Management</a> chapter
+restoring as soon as possible.  The <a href="#org8b8c94b">Account Management</a> chapter
  describes the <code>members</code> and <code>usernames</code> variables.
  </p>
  
  describes the <code>members</code> and <code>usernames</code> variables.
  </p>
  
@@ -3652,8 +3652,8 @@ describes the <code>members</code> and <code>usernames</code> variables.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org925deb8" class="outline-3">
-<h3 id="org925deb8"><span class="section-number-3">8.12.</span> Install Server Certificate</h3>
+<div id="outline-container-org81f1179" class="outline-3">
+<h3 id="org81f1179"><span class="section-number-3">8.12.</span> Install Server Certificate</h3>
  <div class="outline-text-3" id="text-8-12">
  <p>
  The servers on Core use the same certificate (and key) to authenticate
  <div class="outline-text-3" id="text-8-12">
  <p>
  The servers on Core use the same certificate (and key) to authenticate
@@ -3683,8 +3683,8 @@ to institute clients.  They share the <q>/etc/server.crt</q> and
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org3149dfc" class="outline-3">
-<h3 id="org3149dfc"><span class="section-number-3">8.13.</span> Install Chrony</h3>
+<div id="outline-container-org09cbc8f" class="outline-3">
+<h3 id="org09cbc8f"><span class="section-number-3">8.13.</span> Install Chrony</h3>
  <div class="outline-text-3" id="text-8-13">
  <p>
  Core uses Chrony to provide a time synchronization service to the campus.
  <div class="outline-text-3" id="text-8-13">
  <p>
  Core uses Chrony to provide a time synchronization service to the campus.
@@ -3720,8 +3720,8 @@ The default daemon's default configuration is fine.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org322719a" class="outline-3">
-<h3 id="org322719a"><span class="section-number-3">8.14.</span> Configure Postfix on Core</h3>
+<div id="outline-container-org18dd6d0" class="outline-3">
+<h3 id="org18dd6d0"><span class="section-number-3">8.14.</span> Configure Postfix on Core</h3>
  <div class="outline-text-3" id="text-8-14">
  <p>
  Core uses Postfix to provide SMTP service to the campus.  The default
  <div class="outline-text-3" id="text-8-14">
  <p>
  Core uses Postfix to provide SMTP service to the campus.  The default
@@ -3737,7 +3737,7 @@ The appropriate answers are listed here but will be checked
  </ul>
  
  <p>
  </ul>
  
  <p>
-As discussed in <a href="#orgd68300a">The Email Service</a> above, Core delivers email addressed
+As discussed in <a href="#org39e9ca1">The Email Service</a> above, Core delivers email addressed
  to any internal domain name locally, and uses its smarthost Front to
  relay the rest.  Core is reachable only on institute networks, so
  there is little benefit in enabling TLS, but it does need to handle
  to any internal domain name locally, and uses its smarthost Front to
  relay the rest.  Core is reachable only on institute networks, so
  there is little benefit in enabling TLS, but it does need to handle
@@ -3750,7 +3750,7 @@ Core relays messages from any institute network.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>postfix-core-networks</code><pre class="src src-conf" id="orgc2e6699"><code>- p: mynetworks
+<code>postfix-core-networks</code><pre class="src src-conf" id="orgf3985b4"><code>- p: mynetworks
    v: &gt;-
       {{ private_net_cidr }}
       {{ public_wg_net_cidr }}
    v: &gt;-
       {{ private_net_cidr }}
       {{ public_wg_net_cidr }}
@@ -3766,7 +3766,7 @@ Core uses Front to relay messages to the Internet.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>postfix-core-relayhost</code><pre class="src src-conf" id="org2ed094c"><code>- { p: relayhost, v: <span class="org-string">"[{{ front_wg_addr }}]"</span> }
+<code>postfix-core-relayhost</code><pre class="src src-conf" id="orgfbd5184"><code>- { p: relayhost, v: <span class="org-string">"[{{ front_wg_addr }}]"</span> }
  </code></pre>
  </div>
  
  </code></pre>
  </div>
  
@@ -3778,7 +3778,7 @@ file.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>postfix-transport</code><pre class="src src-conf" id="org316b50b"><code>.{{ domain_name }}      local:$myhostname
+<code>postfix-transport</code><pre class="src src-conf" id="orga6b90fb"><code>.{{ domain_name }}      local:$myhostname
  .{{ domain_priv }}      local:$myhostname
  </code></pre>
  </div>
  .{{ domain_priv }}      local:$myhostname
  </code></pre>
  </div>
@@ -3789,7 +3789,7 @@ The complete list of Core's Postfix settings for
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>postfix-core</code><pre class="src src-conf" id="orgaeba4f1"><code>&lt;&lt;postfix-relaying&gt;&gt;
+<code>postfix-core</code><pre class="src src-conf" id="orgc5fe78d"><code>&lt;&lt;postfix-relaying&gt;&gt;
  - { p: smtpd_tls_security_level, v: none }
  - { p: smtp_tls_security_level, v: none }
  &lt;&lt;postfix-message-size&gt;&gt;
  - { p: smtpd_tls_security_level, v: none }
  - { p: smtp_tls_security_level, v: none }
  &lt;&lt;postfix-message-size&gt;&gt;
@@ -3867,8 +3867,8 @@ enable the service.  Whenever <q>/etc/postfix/transport</q> is changed, the
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orgdc15429" class="outline-3">
-<h3 id="orgdc15429"><span class="section-number-3">8.15.</span> Configure Private Email Aliases</h3>
+<div id="outline-container-orgc1274bc" class="outline-3">
+<h3 id="orgc1274bc"><span class="section-number-3">8.15.</span> Configure Private Email Aliases</h3>
  <div class="outline-text-3" id="text-8-15">
  <p>
  The institute's Core needs to deliver email addressed to institute
  <div class="outline-text-3" id="text-8-15">
  <p>
  The institute's Core needs to deliver email addressed to institute
@@ -3905,8 +3905,8 @@ installed by more specialized roles.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orge1eb76c" class="outline-3">
-<h3 id="orge1eb76c"><span class="section-number-3">8.16.</span> Configure Dovecot IMAPd</h3>
+<div id="outline-container-org6ec0eef" class="outline-3">
+<h3 id="org6ec0eef"><span class="section-number-3">8.16.</span> Configure Dovecot IMAPd</h3>
  <div class="outline-text-3" id="text-8-16">
  <p>
  Core uses Dovecot's IMAPd to store and serve member emails.  As on
  <div class="outline-text-3" id="text-8-16">
  <p>
  Core uses Dovecot's IMAPd to store and serve member emails.  As on
@@ -3916,7 +3916,7 @@ top" given that Core is only accessed from private (encrypted)
  networks, but helps to ensure privacy even when members accidentally
  attempt connections from outside the private networks.  For more
  information about Core's role in the institute's email services, see
  networks, but helps to ensure privacy even when members accidentally
  attempt connections from outside the private networks.  For more
  information about Core's role in the institute's email services, see
-<a href="#orgd68300a">The Email Service</a>.
+<a href="#org39e9ca1">The Email Service</a>.
  </p>
  
  <p>
  </p>
  
  <p>
@@ -3924,7 +3924,7 @@ The institute follows the recommendation in the package
  <q>README.Debian</q> (in <q>/usr/share/dovecot-core/</q>) but replaces the
  default "snake oil" certificate with another, signed by the institute.
  (For more information about the institute's X.509 certificates, see
  <q>README.Debian</q> (in <q>/usr/share/dovecot-core/</q>) but replaces the
  default "snake oil" certificate with another, signed by the institute.
  (For more information about the institute's X.509 certificates, see
-<a href="#orge1a9ef2">Keys</a>.)
+<a href="#org49a7a21">Keys</a>.)
  </p>
  
  <p>
  </p>
  
  <p>
@@ -3994,8 +3994,8 @@ and enables it to start at every reboot.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org49154aa" class="outline-3">
-<h3 id="org49154aa"><span class="section-number-3">8.17.</span> Configure Fetchmail</h3>
+<div id="outline-container-org2039da5" class="outline-3">
+<h3 id="org2039da5"><span class="section-number-3">8.17.</span> Configure Fetchmail</h3>
  <div class="outline-text-3" id="text-8-17">
  <p>
  Core runs a <code>fetchmail</code> for each member of the institute.  Individual
  <div class="outline-text-3" id="text-8-17">
  <p>
  Core runs a <code>fetchmail</code> for each member of the institute.  Individual
@@ -4012,13 +4012,13 @@ the username.  The template is only used when the record has a
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>fetchmail-config</code><pre class="src src-conf" id="org7d5734f"><code><span class="org-comment-delimiter"># </span><span class="org-comment">Permissions on this file may be no greater than 0600.
-</span>
+<code>fetchmail-config</code><pre class="src src-conf" id="orge50a8cd"><code><span class="org-comment-delimiter"># </span><span class="org-comment">Permissions on this file may be no greater than 0600.</span>
+
  set no bouncemail
  set no spambounce
  set no syslog
  set no bouncemail
  set no spambounce
  set no syslog
-<span class="org-comment-delimiter">#</span><span class="org-comment">set logfile /home/{{ item }}/.fetchmail.log
-</span>
+<span class="org-comment-delimiter">#</span><span class="org-comment">set logfile /home/{{ item }}/.fetchmail.log</span>
+
  poll {{ front_wg_addr }} protocol imap timeout 15
      username {{ item }}
      password <span class="org-string">"{{ members[item].password_fetchmail }}"</span> fetchall
  poll {{ front_wg_addr }} protocol imap timeout 15
      username {{ item }}
      password <span class="org-string">"{{ members[item].password_fetchmail }}"</span> fetchall
@@ -4031,7 +4031,7 @@ The Systemd service description.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>fetchmail-service</code><pre class="src src-conf" id="org30c11c3"><code>[<span class="org-type">Unit</span>]
+<code>fetchmail-service</code><pre class="src src-conf" id="org3973906"><code>[<span class="org-type">Unit</span>]
  <span class="org-variable-name">Description</span>=Fetchmail --idle task for {{ item }}.
  <span class="org-variable-name">AssertPathExists</span>=/home/{{ item }}/.fetchmailrc
  <span class="org-variable-name">After</span>=wg-quick@wg0.service
  <span class="org-variable-name">Description</span>=Fetchmail --idle task for {{ item }}.
  <span class="org-variable-name">AssertPathExists</span>=/home/{{ item }}/.fetchmailrc
  <span class="org-variable-name">After</span>=wg-quick@wg0.service
@@ -4151,12 +4151,12 @@ Otherwise the following task might be appropriate.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org663059e" class="outline-3">
-<h3 id="org663059e"><span class="section-number-3">8.18.</span> Configure Apache2 <a id="org9ee6313"></a></h3>
+<div id="outline-container-org36b706b" class="outline-3">
+<h3 id="org36b706b"><span class="section-number-3">8.18.</span> Configure Apache2 <a id="org5d087f7"></a></h3>
  <div class="outline-text-3" id="text-8-18">
  <p>
  This is the small institute's campus web server.  It hosts several web
  <div class="outline-text-3" id="text-8-18">
  <p>
  This is the small institute's campus web server.  It hosts several web
-sites as described in <a href="#orga25cdab">The Web Services</a>.
+sites as described in <a href="#orgce2848f">The Web Services</a>.
  </p>
  
  <table border="2" cellspacing="0" cellpadding="6" rules="groups" frame="hsides">
  </p>
  
  <table border="2" cellspacing="0" cellpadding="6" rules="groups" frame="hsides">
@@ -4227,7 +4227,7 @@ naming a sub-directory in the member's home directory on Core.  The
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>apache-userdir-core</code><pre class="src src-conf" id="org2090e18"><code>UserDir Public/HTML
+<code>apache-userdir-core</code><pre class="src src-conf" id="orgd4f1792"><code>UserDir Public/HTML
  &lt;Directory /home/*/Public/HTML/&gt;
          Require all granted
          AllowOverride None
  &lt;Directory /home/*/Public/HTML/&gt;
          Require all granted
          AllowOverride None
@@ -4242,7 +4242,7 @@ redirect, the encryption ciphers and certificates.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>apache-live</code><pre class="src src-conf" id="orgf191324"><code>&lt;VirtualHost *:80&gt;
+<code>apache-live</code><pre class="src src-conf" id="org1b4affe"><code>&lt;VirtualHost *:80&gt;
          ServerName live
          ServerAlias live.{{ domain_priv }}
          ServerAdmin webmaster@core.{{ domain_priv }}
          ServerName live
          ServerAlias live.{{ domain_priv }}
          ServerAdmin webmaster@core.{{ domain_priv }}
@@ -4269,7 +4269,7 @@ familiar.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>apache-test</code><pre class="src src-conf" id="orgd8dc046"><code>&lt;VirtualHost *:80&gt;
+<code>apache-test</code><pre class="src src-conf" id="orgbdf0d5c"><code>&lt;VirtualHost *:80&gt;
          ServerName test
          ServerAlias test.{{ domain_priv }}
          ServerAdmin webmaster@core.{{ domain_priv }}
          ServerName test
          ServerAlias test.{{ domain_priv }}
          ServerAdmin webmaster@core.{{ domain_priv }}
@@ -4298,7 +4298,7 @@ trained staffers, monitored by a revision control system, etc.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>apache-campus</code><pre class="src src-conf" id="org2ff085a"><code>&lt;VirtualHost *:80&gt;
+<code>apache-campus</code><pre class="src src-conf" id="orga620ee8"><code>&lt;VirtualHost *:80&gt;
          ServerName www
          ServerAlias www.{{ domain_priv }}
          ServerAdmin webmaster@core.{{ domain_priv }}
          ServerName www
          ServerAlias www.{{ domain_priv }}
          ServerAdmin webmaster@core.{{ domain_priv }}
@@ -4422,8 +4422,8 @@ The <code>a2ensite</code> command enables them.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org31ea0cd" class="outline-3">
-<h3 id="org31ea0cd"><span class="section-number-3">8.19.</span> Configure Website Updates</h3>
+<div id="outline-container-org76aee34" class="outline-3">
+<h3 id="org76aee34"><span class="section-number-3">8.19.</span> Configure Website Updates</h3>
  <div class="outline-text-3" id="text-8-19">
  <p>
  Monkey on Core runs <q>/usr/local/sbin/webupdate</q> every 15 minutes via a
  <div class="outline-text-3" id="text-8-19">
  <p>
  Monkey on Core runs <q>/usr/local/sbin/webupdate</q> every 15 minutes via a
@@ -4432,12 +4432,12 @@ Monkey on Core runs <q>/usr/local/sbin/webupdate</q> every 15 minutes via a
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<a href="private/webupdate"><q>private/webupdate</q></a><pre class="src src-sh" id="org18e1de2"><code><span class="org-comment-delimiter">#</span><span class="org-comment">!/bin/</span><span class="org-keyword">bash</span><span class="org-comment"> -e
-</span><span class="org-comment-delimiter">#</span><span class="org-comment">
-</span><span class="org-comment-delimiter"># </span><span class="org-comment">DO NOT EDIT.
-</span><span class="org-comment-delimiter">#</span><span class="org-comment">
-</span><span class="org-comment-delimiter"># </span><span class="org-comment">This file was tangled from a small institute's README.org.
-</span>
+<a href="private/webupdate"><q>private/webupdate</q></a><pre class="src src-sh" id="orge646506"><code><span class="org-comment-delimiter">#</span><span class="org-comment">!/bin/</span><span class="org-keyword">bash</span><span class="org-comment"> -e</span>
+<span class="org-comment-delimiter">#</span>
+<span class="org-comment-delimiter"># </span><span class="org-comment">DO NOT EDIT.</span>
+<span class="org-comment-delimiter">#</span>
+<span class="org-comment-delimiter"># </span><span class="org-comment">This file was tangled from a small institute's README.org.</span>
+
  <span class="org-builtin">cd</span> /WWW/live/
  
  rsync -avz --delete --chmod=g-w         <span class="org-sh-escaped-newline">\</span>
  <span class="org-builtin">cd</span> /WWW/live/
  
  rsync -avz --delete --chmod=g-w         <span class="org-sh-escaped-newline">\</span>
@@ -4450,7 +4450,7 @@ rsync -avz --delete --chmod=g-w         <span class="org-sh-escaped-newline">\</
  <p>
  The following tasks install the <q>webupdate</q> script from <a href="private/"><q>private/</q></a>,
  and create Monkey's <code>cron</code> job.  An example <q>webupdate</q> script is
  <p>
  The following tasks install the <q>webupdate</q> script from <a href="private/"><q>private/</q></a>,
  and create Monkey's <code>cron</code> job.  An example <q>webupdate</q> script is
-provided <a href="#org18e1de2">here</a>.
+provided <a href="#orge646506">here</a>.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
@@ -4475,12 +4475,12 @@ provided <a href="#org18e1de2">here</a>.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orga73db31" class="outline-3">
-<h3 id="orga73db31"><span class="section-number-3">8.20.</span> Configure Core WireGuard™ Interface</h3>
+<div id="outline-container-org53717f4" class="outline-3">
+<h3 id="org53717f4"><span class="section-number-3">8.20.</span> Configure Core WireGuard™ Interface</h3>
  <div class="outline-text-3" id="text-8-20">
  <p>
  Core connects to Front's WireGuard™ service to provide members abroad
  <div class="outline-text-3" id="text-8-20">
  <p>
  Core connects to Front's WireGuard™ service to provide members abroad
-with a route to the campus networks.  As described in <a href="#org09a327c">Configure Public
+with a route to the campus networks.  As described in <a href="#orgd4aef93">Configure Public
  WireGuard™ Subnet</a> for Front, Core is expected to forward packets from/to the
  private networks.
  </p>
  WireGuard™ Subnet</a> for Front, Core is expected to forward packets from/to the
  private networks.
  </p>
@@ -4511,8 +4511,8 @@ service.
        <span class="org-variable-name">Address</span> = {{ core_wg_addr }}
        <span class="org-variable-name">PostUp</span> = wg set %i private-key /etc/wireguard/private-key
  
        <span class="org-variable-name">Address</span> = {{ core_wg_addr }}
        <span class="org-variable-name">PostUp</span> = wg set %i private-key /etc/wireguard/private-key
  
-      <span class="org-comment-delimiter"># </span><span class="org-comment">Front
-</span>      [<span class="org-type">Peer</span>]
+      <span class="org-comment-delimiter"># </span><span class="org-comment">Front</span>
+      [<span class="org-type">Peer</span>]
        <span class="org-variable-name">EndPoint</span> = {{ front_addr }}:{{ public_wg_port }}
        <span class="org-variable-name">PublicKey</span> = {{ front_wg_pubkey }}
        <span class="org-variable-name">AllowedIPs</span> = {{ front_wg_addr }}
        <span class="org-variable-name">EndPoint</span> = {{ front_addr }}:{{ public_wg_port }}
        <span class="org-variable-name">PublicKey</span> = {{ front_wg_pubkey }}
        <span class="org-variable-name">AllowedIPs</span> = {{ front_wg_addr }}
@@ -4556,8 +4556,8 @@ service.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orgfda5a2f" class="outline-3">
-<h3 id="orgfda5a2f"><span class="section-number-3">8.21.</span> Configure NAGIOS</h3>
+<div id="outline-container-orgf520512" class="outline-3">
+<h3 id="orgf520512"><span class="section-number-3">8.21.</span> Configure NAGIOS</h3>
  <div class="outline-text-3" id="text-8-21">
  <p>
  Core runs a <code>nagios4</code> server to monitor "services" on institute hosts.
  <div class="outline-text-3" id="text-8-21">
  <p>
  Core runs a <code>nagios4</code> server to monitor "services" on institute hosts.
@@ -4646,8 +4646,8 @@ Core and Campus (and thus Gate) machines.
  </code></pre>
  </div>
  </div>
  </code></pre>
  </div>
  </div>
-<div id="outline-container-org0bc858c" class="outline-4">
-<h4 id="org0bc858c"><span class="section-number-4">8.21.1.</span> Configure NAGIOS Monitors for Core</h4>
+<div id="outline-container-org300b424" class="outline-4">
+<h4 id="org300b424"><span class="section-number-4">8.21.1.</span> Configure NAGIOS Monitors for Core</h4>
  <div class="outline-text-4" id="text-8-21-1">
  <p>
  The first block in <q>nagios.cfg</q> specifies monitors for services on
  <div class="outline-text-4" id="text-8-21-1">
  <p>
  The first block in <q>nagios.cfg</q> specifies monitors for services on
@@ -4722,8 +4722,8 @@ used here <i>may</i> specify plugin arguments.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org2ef8474" class="outline-4">
-<h4 id="org2ef8474"><span class="section-number-4">8.21.2.</span> Custom NAGIOS Monitor <code>inst_sensors</code></h4>
+<div id="outline-container-org1f170b4" class="outline-4">
+<h4 id="org1f170b4"><span class="section-number-4">8.21.2.</span> Custom NAGIOS Monitor <code>inst_sensors</code></h4>
  <div class="outline-text-4" id="text-8-21-2">
  <p>
  The <code>check_sensors</code> plugin is included in the package
  <div class="outline-text-4" id="text-8-21-2">
  <p>
  The <code>check_sensors</code> plugin is included in the package
@@ -4733,8 +4733,8 @@ small institute substitutes a slightly modified version,
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<a href="roles_t/core/files/inst_sensors"><q>roles_t/core/files/inst_sensors</q></a><pre class="src src-sh"><code><span class="org-comment-delimiter">#</span><span class="org-comment">!/bin/</span><span class="org-keyword">sh</span><span class="org-comment">
-</span>
+<a href="roles_t/core/files/inst_sensors"><q>roles_t/core/files/inst_sensors</q></a><pre class="src src-sh"><code><span class="org-comment-delimiter">#</span><span class="org-comment">!/bin/</span><span class="org-keyword">sh</span>
+
  <span class="org-variable-name">PATH</span>=<span class="org-string">"/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin"</span>
  <span class="org-builtin">export</span> PATH
  <span class="org-variable-name">PROGNAME</span>=<span class="org-sh-quoted-exec">`basename $0`</span>
  <span class="org-variable-name">PATH</span>=<span class="org-string">"/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin"</span>
  <span class="org-builtin">export</span> PATH
  <span class="org-variable-name">PROGNAME</span>=<span class="org-sh-quoted-exec">`basename $0`</span>
@@ -4759,9 +4759,9 @@ small institute substitutes a slightly modified version,
  }
  
  <span class="org-function-name">brief_data</span>() {
  }
  
  <span class="org-function-name">brief_data</span>() {
-    <span class="org-builtin">echo</span> <span class="org-string">"$1"</span> | sed -n -E -e <span class="org-string">'
-  /^ *Core [0-9]+:/ { s/^ *Core [0-9]+: +([-+]?[0-9.]+).*/ \1/; H }
-  $ { x; s/\n//g; p }'</span>
+    <span class="org-builtin">echo</span> <span class="org-string">"$1"</span> | sed -n -E -e <span class="org-string">'</span>
+<span class="org-string">  /^ *Core [0-9]+:/ { s/^ *Core [0-9]+: +([-+]?[0-9.]+).*/ \1/; H }</span>
+<span class="org-string">  $ { x; s/\n//g; p }'</span>
  }
  
  <span class="org-keyword">case</span> <span class="org-string">"$1"</span><span class="org-keyword"> in</span>
  }
  
  <span class="org-keyword">case</span> <span class="org-string">"$1"</span><span class="org-keyword"> in</span>
@@ -4835,8 +4835,8 @@ Core.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org20f5369" class="outline-4">
-<h4 id="org20f5369"><span class="section-number-4">8.21.3.</span> Configure NAGIOS Monitors for Remote Hosts</h4>
+<div id="outline-container-org4911d77" class="outline-4">
+<h4 id="org4911d77"><span class="section-number-4">8.21.3.</span> Configure NAGIOS Monitors for Remote Hosts</h4>
  <div class="outline-text-4" id="text-8-21-3">
  <p>
  The following sections contain code blocks specifying monitors for
  <div class="outline-text-4" id="text-8-21-3">
  <p>
  The following sections contain code blocks specifying monitors for
@@ -4853,12 +4853,12 @@ plugin with pre-defined arguments appropriate for the institute.  The
  commands are defined in code blocks interleaved with the blocks that
  monitor them.  The command blocks are appended to <q>nrpe.cfg</q> and the
  monitoring blocks to <q>nagios.cfg</q>.  The <q>nrpe.cfg</q> file is installed
  commands are defined in code blocks interleaved with the blocks that
  monitor them.  The command blocks are appended to <q>nrpe.cfg</q> and the
  monitoring blocks to <q>nagios.cfg</q>.  The <q>nrpe.cfg</q> file is installed
-on each campus host by the campus role's <a href="#orgadce02c">Configure NRPE</a> tasks.
+on each campus host by the campus role's <a href="#org0d2271c">Configure NRPE</a> tasks.
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-orgbb4c911" class="outline-4">
-<h4 id="orgbb4c911"><span class="section-number-4">8.21.4.</span> Configure NAGIOS Monitors for Gate</h4>
+<div id="outline-container-org70d7102" class="outline-4">
+<h4 id="org70d7102"><span class="section-number-4">8.21.4.</span> Configure NAGIOS Monitors for Gate</h4>
  <div class="outline-text-4" id="text-8-21-4">
  <p>
  Define the monitored host, <code>gate</code>.  Monitor its response to network
  <div class="outline-text-4" id="text-8-21-4">
  <p>
  Define the monitored host, <code>gate</code>.  Monitor its response to network
@@ -4989,12 +4989,12 @@ Monitor <code>inst_sensors</code> on Gate.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orga6a8f60" class="outline-3">
-<h3 id="orga6a8f60"><span class="section-number-3">8.22.</span> Configure Backups</h3>
+<div id="outline-container-org3b45f29" class="outline-3">
+<h3 id="org3b45f29"><span class="section-number-3">8.22.</span> Configure Backups</h3>
  <div class="outline-text-3" id="text-8-22">
  <p>
  The following task installs the <q>backup</q> script from <a href="private/"><q>private/</q></a>.  An
  <div class="outline-text-3" id="text-8-22">
  <p>
  The following task installs the <q>backup</q> script from <a href="private/"><q>private/</q></a>.  An
-example script is provided in <a href="#orga427f1d">here</a>.
+example script is provided in <a href="#orgf87535e">here</a>.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
@@ -5009,20 +5009,20 @@ example script is provided in <a href="#orga427f1d">here</a>.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org3c73064" class="outline-3">
-<h3 id="org3c73064"><span class="section-number-3">8.23.</span> Configure Nextcloud</h3>
+<div id="outline-container-org2bd90fb" class="outline-3">
+<h3 id="org2bd90fb"><span class="section-number-3">8.23.</span> Configure Nextcloud</h3>
  <div class="outline-text-3" id="text-8-23">
  <p>
  Core runs Nextcloud to provide a private institute cloud, as described
  <div class="outline-text-3" id="text-8-23">
  <p>
  Core runs Nextcloud to provide a private institute cloud, as described
-in <a href="#org401990b">The Cloud Service</a>.  Installing, restoring (from backup), and
+in <a href="#org389cdda">The Cloud Service</a>.  Installing, restoring (from backup), and
  upgrading Nextcloud are manual processes documented in <a href="https://docs.nextcloud.com/server/stable/admin_manual/maintenance/">The Nextcloud
  Admin Manual, Maintenance</a>.  However Ansible can help prepare Core
  before an install or restore, and perform basic security checks
  afterwards.
  </p>
  </div>
  upgrading Nextcloud are manual processes documented in <a href="https://docs.nextcloud.com/server/stable/admin_manual/maintenance/">The Nextcloud
  Admin Manual, Maintenance</a>.  However Ansible can help prepare Core
  before an install or restore, and perform basic security checks
  afterwards.
  </p>
  </div>
-<div id="outline-container-orgf6d36e2" class="outline-4">
-<h4 id="orgf6d36e2"><span class="section-number-4">8.23.1.</span> Prepare Core For Nextcloud</h4>
+<div id="outline-container-org26c6d0e" class="outline-4">
+<h4 id="org26c6d0e"><span class="section-number-4">8.23.1.</span> Prepare Core For Nextcloud</h4>
  <div class="outline-text-4" id="text-8-23-1">
  <p>
  The Ansible code contained herein prepares Core to run Nextcloud by
  <div class="outline-text-4" id="text-8-23-1">
  <p>
  The Ansible code contained herein prepares Core to run Nextcloud by
@@ -5109,8 +5109,8 @@ virtual host's document root.
  &lt;Directory /var/www/html/&gt;
      &lt;IfModule mod_rewrite.c&gt;
          RewriteEngine on
  &lt;Directory /var/www/html/&gt;
      &lt;IfModule mod_rewrite.c&gt;
          RewriteEngine on
-        <span class="org-comment-delimiter"># </span><span class="org-comment">LogLevel alert rewrite:trace3
-</span>        RewriteRule ^\.well-known/carddav \
+        <span class="org-comment-delimiter"># </span><span class="org-comment">LogLevel alert rewrite:trace3</span>
+        RewriteRule ^\.well-known/carddav \
              <span class="org-variable-name">/nextcloud/remote.php/dav [R</span>=301,L]
          RewriteRule ^\.well-known/caldav \
              <span class="org-variable-name">/nextcloud/remote.php/dav [R</span>=301,L]
              <span class="org-variable-name">/nextcloud/remote.php/dav [R</span>=301,L]
          RewriteRule ^\.well-known/caldav \
              <span class="org-variable-name">/nextcloud/remote.php/dav [R</span>=301,L]
@@ -5264,8 +5264,8 @@ its document root.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org13cdb80" class="outline-4">
-<h4 id="org13cdb80"><span class="section-number-4">8.23.2.</span> Configure PHP</h4>
+<div id="outline-container-org2229684" class="outline-4">
+<h4 id="org2229684"><span class="section-number-4">8.23.2.</span> Configure PHP</h4>
  <div class="outline-text-4" id="text-8-23-2">
  <p>
  The following tasks set a number of PHP parameters for better
  <div class="outline-text-4" id="text-8-23-2">
  <p>
  The following tasks set a number of PHP parameters for better
@@ -5308,8 +5308,8 @@ performance, as recommended by Nextcloud.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org9f538c9" class="outline-4">
-<h4 id="org9f538c9"><span class="section-number-4">8.23.3.</span> Create <q>/Nextcloud/</q></h4>
+<div id="outline-container-org04d7161" class="outline-4">
+<h4 id="org04d7161"><span class="section-number-4">8.23.3.</span> Create <q>/Nextcloud/</q></h4>
  <div class="outline-text-4" id="text-8-23-3">
  <p>
  The Ansible tasks up to this point have completed Core's LAMP stack
  <div class="outline-text-4" id="text-8-23-3">
  <p>
  The Ansible tasks up to this point have completed Core's LAMP stack
@@ -5367,8 +5367,8 @@ sudo mount /Nextcloud
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org755e8f8" class="outline-4">
-<h4 id="org755e8f8"><span class="section-number-4">8.23.4.</span> Restore Nextcloud</h4>
+<div id="outline-container-orgf6b8a57" class="outline-4">
+<h4 id="orgf6b8a57"><span class="section-number-4">8.23.4.</span> Restore Nextcloud</h4>
  <div class="outline-text-4" id="text-8-23-4">
  <p>
  Restoring Nextcloud in the newly created <q>/Nextcloud/</q> presumably
  <div class="outline-text-4" id="text-8-23-4">
  <p>
  Restoring Nextcloud in the newly created <q>/Nextcloud/</q> presumably
@@ -5427,8 +5427,8 @@ Overview web page.
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-org765a566" class="outline-4">
-<h4 id="org765a566"><span class="section-number-4">8.23.5.</span> Install Nextcloud</h4>
+<div id="outline-container-orgb6f2431" class="outline-4">
+<h4 id="orgb6f2431"><span class="section-number-4">8.23.5.</span> Install Nextcloud</h4>
  <div class="outline-text-4" id="text-8-23-5">
  <p>
  Installing Nextcloud in the newly created <q>/Nextcloud/</q> starts with
  <div class="outline-text-4" id="text-8-23-5">
  <p>
  Installing Nextcloud in the newly created <q>/Nextcloud/</q> starts with
@@ -5497,8 +5497,8 @@ Administration &gt; Overview page.
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-org3e4c6ed" class="outline-4">
-<h4 id="org3e4c6ed"><span class="section-number-4">8.23.6.</span> Afterwards</h4>
+<div id="outline-container-orge79c42a" class="outline-4">
+<h4 id="orge79c42a"><span class="section-number-4">8.23.6.</span> Afterwards</h4>
  <div class="outline-text-4" id="text-8-23-6">
  <p>
  Whether Nextcloud was restored or installed, there are a few things
  <div class="outline-text-4" id="text-8-23-6">
  <p>
  Whether Nextcloud was restored or installed, there are a few things
@@ -5708,14 +5708,14 @@ run before the next backup.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org4b52960" class="outline-2">
-<h2 id="org4b52960"><span class="section-number-2">9.</span> The Gate Role</h2>
+<div id="outline-container-orgb8b1253" class="outline-2">
+<h2 id="orgb8b1253"><span class="section-number-2">9.</span> The Gate Role</h2>
  <div class="outline-text-2" id="text-9">
  <p>
  The <code>gate</code> role configures the services expected at the campus gate:
  access to the private Ethernet from the untrusted Ethernet (e.g. a
  campus Wi-Fi AP) via VPN, and access to the Internet via NAT.  The
  <div class="outline-text-2" id="text-9">
  <p>
  The <code>gate</code> role configures the services expected at the campus gate:
  access to the private Ethernet from the untrusted Ethernet (e.g. a
  campus Wi-Fi AP) via VPN, and access to the Internet via NAT.  The
-gate machine uses three network interfaces (see <a href="#org6da11e2">The Gate Machine</a>)
+gate machine uses three network interfaces (see <a href="#orge906ba2">The Gate Machine</a>)
  configured with persistent names used in its firewall rules.
  </p>
  
  configured with persistent names used in its firewall rules.
  </p>
  
@@ -5737,11 +5737,11 @@ applied first, by which Gate gets a campus machine's DNS and Postfix
  configurations, etc.
  </p>
  </div>
  configurations, etc.
  </p>
  </div>
-<div id="outline-container-org3947934" class="outline-3">
-<h3 id="org3947934"><span class="section-number-3">9.1.</span> Role Defaults</h3>
+<div id="outline-container-orga370688" class="outline-3">
+<h3 id="orga370688"><span class="section-number-3">9.1.</span> Role Defaults</h3>
  <div class="outline-text-3" id="text-9-1">
  <p>
  <div class="outline-text-3" id="text-9-1">
  <p>
-As in <a href="#org5254b26">The Core Role</a>, the <code>gate</code> role sets a number of variables to
+As in <a href="#org264af3e">The Core Role</a>, the <code>gate</code> role sets a number of variables to
  default values in its <q>defaults/main.yml</q> file.
  </p>
  
  default values in its <q>defaults/main.yml</q> file.
  </p>
  
@@ -5753,8 +5753,8 @@ default values in its <q>defaults/main.yml</q> file.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org80ce321" class="outline-3">
-<h3 id="org80ce321"><span class="section-number-3">9.2.</span> Include Particulars</h3>
+<div id="outline-container-org276141d" class="outline-3">
+<h3 id="org276141d"><span class="section-number-3">9.2.</span> Include Particulars</h3>
  <div class="outline-text-3" id="text-9-2">
  <p>
  The following should be familiar boilerplate by now.
  <div class="outline-text-3" id="text-9-2">
  <p>
  The following should be familiar boilerplate by now.
@@ -5771,14 +5771,15 @@ The following should be familiar boilerplate by now.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org83aa08b" class="outline-3">
-<h3 id="org83aa08b"><span class="section-number-3">9.3.</span> Configure Gate NetworkD</h3>
+<div id="outline-container-orgbb16e96" class="outline-3">
+<h3 id="orgbb16e96"><span class="section-number-3">9.3.</span> Configure Gate NetworkD</h3>
  <div class="outline-text-3" id="text-9-3">
  <p>
  <div class="outline-text-3" id="text-9-3">
  <p>
-Gate's network interfaces are configured using SystemD NetworkD
-configuration files that specify their MAC addresses.  (One or more
-might be plug-and-play USB dongles.)  These addresses are provided by
-the <a href="private/vars.yml"><q>private/vars.yml</q></a> file as in the example code here.
+Gate's network interfaces are configured by <q>.link</q> and <q>.network</q>
+files installed in <q>/etc/systemd/network</q>.  The files specify
+interfaces by matching their MAC addresses.  (One or more might be
+plug-and-play USB dongles.)  The addresses are provided by the
+<a href="private/vars.yml"><q>private/vars.yml</q></a> file as in the example code here.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
@@ -5788,13 +5789,18 @@ gate_isp_mac:               08:00:27:3d:42:e5
  </code></pre>
  </div>
  
  </code></pre>
  </div>
  
+<p>
+Note that the <q>.network</q> files do not use the interface names for
+reasons discussed in the <a href="#org87bd414">8.5</a> section.
+</p>
+
  <p>
  The tasks in the following sections install the necessary
  configuration files.
  </p>
  </div>
  <p>
  The tasks in the following sections install the necessary
  configuration files.
  </p>
  </div>
-<div id="outline-container-org27bfefc" class="outline-4">
-<h4 id="org27bfefc"><span class="section-number-4">9.3.1.</span> Gate's <code>lan</code> Interface</h4>
+<div id="outline-container-org39516f3" class="outline-4">
+<h4 id="org39516f3"><span class="section-number-4">9.3.1.</span> Gate's <code>lan</code> Interface</h4>
  <div class="outline-text-4" id="text-9-3-1">
  <p>
  The campus Ethernet interface is named <code>lan</code> and configured by
  <div class="outline-text-4" id="text-9-3-1">
  <p>
  The campus Ethernet interface is named <code>lan</code> and configured by
@@ -5813,7 +5819,6 @@ The campus Ethernet interface is named <code>lan</code> and configured by
        [<span class="org-type">Link</span>]
        <span class="org-variable-name">Name</span>=lan
      dest: /etc/systemd/network/10-lan.link
        [<span class="org-type">Link</span>]
        <span class="org-variable-name">Name</span>=lan
      dest: /etc/systemd/network/10-lan.link
-  notify: Reload networkd.
  
  - name: Install 10-lan.network.
    become: yes
  
  - name: Install 10-lan.network.
    become: yes
@@ -5843,8 +5848,8 @@ The campus Ethernet interface is named <code>lan</code> and configured by
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org7bf5f70" class="outline-4">
-<h4 id="org7bf5f70"><span class="section-number-4">9.3.2.</span> Gate's <code>wild</code> Interface</h4>
+<div id="outline-container-orga407149" class="outline-4">
+<h4 id="orga407149"><span class="section-number-4">9.3.2.</span> Gate's <code>wild</code> Interface</h4>
  <div class="outline-text-4" id="text-9-3-2">
  <p>
  The institute keeps the wild ones off the campus Ethernet.  Its wild
  <div class="outline-text-4" id="text-9-3-2">
  <p>
  The institute keeps the wild ones off the campus Ethernet.  Its wild
@@ -5889,7 +5894,6 @@ configured by <q>10-wild.link</q> and <q>10-wild.network</q> files in
        [<span class="org-type">Link</span>]
        <span class="org-variable-name">Name</span>=wild
      dest: /etc/systemd/network/10-wild.link
        [<span class="org-type">Link</span>]
        <span class="org-variable-name">Name</span>=wild
      dest: /etc/systemd/network/10-wild.link
-  notify: Reload networkd.
  
  - name: Install 10-wild.network.
    become: yes
  
  - name: Install 10-wild.network.
    become: yes
@@ -5913,8 +5917,8 @@ configured by <q>10-wild.link</q> and <q>10-wild.network</q> files in
  <span class="org-variable-name">EmitDNS</span>=yes
  {% for wild in wild_ones %}
  
  <span class="org-variable-name">EmitDNS</span>=yes
  {% for wild in wild_ones %}
  
-<span class="org-comment-delimiter"># </span><span class="org-comment">{{ wild.name }}
-</span>[<span class="org-type">DHCPServerStaticLease</span>]
+<span class="org-comment-delimiter"># </span><span class="org-comment">{{ wild.name }}</span>
+[<span class="org-type">DHCPServerStaticLease</span>]
  <span class="org-variable-name">MACAddress</span>={{ wild.MAC }}
  <span class="org-variable-name">Address</span>={{ wild_net_cidr |ansible.utils.ipaddr(wild.num) }}
  {% endfor %}
  <span class="org-variable-name">MACAddress</span>={{ wild.MAC }}
  <span class="org-variable-name">Address</span>={{ wild_net_cidr |ansible.utils.ipaddr(wild.num) }}
  {% endfor %}
@@ -5922,8 +5926,8 @@ configured by <q>10-wild.link</q> and <q>10-wild.network</q> files in
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orga3e4e2e" class="outline-4">
-<h4 id="orga3e4e2e"><span class="section-number-4">9.3.3.</span> Gate's <code>isp</code> Interface</h4>
+<div id="outline-container-org23a38a1" class="outline-4">
+<h4 id="org23a38a1"><span class="section-number-4">9.3.3.</span> Gate's <code>isp</code> Interface</h4>
  <div class="outline-text-4" id="text-9-3-3">
  <p>
  The interface to the campus ISP is named <code>isp</code> and configured by
  <div class="outline-text-4" id="text-9-3-3">
  <p>
  The interface to the campus ISP is named <code>isp</code> and configured by
@@ -5945,7 +5949,6 @@ tether, Wi-Fi connection, etc.
        [<span class="org-type">Link</span>]
        <span class="org-variable-name">Name</span>=isp
      dest: /etc/systemd/network/10-isp.link
        [<span class="org-type">Link</span>]
        <span class="org-variable-name">Name</span>=isp
      dest: /etc/systemd/network/10-isp.link
-  notify: Reload networkd.
  
  - name: Install 10-isp.network.
    become: yes
  
  - name: Install 10-isp.network.
    become: yes
@@ -5965,7 +5968,9 @@ campus ISP without interference from Ansible.
  
  <p>
  The following example <q>gate-isp.network</q> file recognizes an Ethernet
  
  <p>
  The following example <q>gate-isp.network</q> file recognizes an Ethernet
-interface by its MAC address.
+interface by its MAC address and configures it as a DHCP client.  The
+block tangles to <q>private/gate-isp.network</q> as part of the test
+configuration.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
@@ -5981,11 +5986,49 @@ interface by its MAC address.
  <span class="org-variable-name">UseDNS</span>=false
  </code></pre>
  </div>
  <span class="org-variable-name">UseDNS</span>=false
  </code></pre>
  </div>
+
+<p>
+The same <q>gate-isp.link</q> and <q>gate-isp.network</q> files can be used to
+configure a wireless interface simply by replacing the interface MAC,
+though the machine will need to reboot in order to name the new
+interface <code>isp</code> and re-load the firewall rules with that new naming.
+</p>
+
+<p>
+Once the wireless interface is named <code>isp</code>, WPA Supplicant can be
+supplied a configuration file like the following, and used to connect
+and authenticate.
+</p>
+
+<div class="org-src-container">
+<q>/etc/wpa_supplicant/wpa_supplicant-isp.conf</q><pre class="src src-conf"><code><span class="org-variable-name">ctrl_interface</span>=DIR=/var/run/wpa_supplicant GROUP=root
+<span class="org-variable-name">network</span>={
+  <span class="org-variable-name">ssid</span>=<span class="org-string">"Access Point Name"</span>
+  <span class="org-variable-name">scan_ssid</span>=1
+  <span class="org-variable-name">key_mgmt</span>=WPA-PSK
+  <span class="org-variable-name">psk</span>=<span class="org-string">"access point passphrase"</span>
+}
+</code></pre>
+</div>
+
+<div class="org-src-container">
+<pre class="src src-sh"><code>sudo systemctl start wpa_supplicant@isp
+networkctl
+sudo systemctl enable wpa_supplicant@isp
+</code></pre>
+</div>
+
+<p>
+The same <q>gate-isp.link</q> and <q>gate-isp.network</q> files would also be
+used with a USB tether simply by replacing the interface MAC.  Again,
+the machine will need to reboot in order to name the interface <code>isp</code>
+and re-load the firewall rules with that new naming.
+</p>
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org7dc91ca" class="outline-3">
-<h3 id="org7dc91ca"><span class="section-number-3">9.4.</span> Configure Gate ResolveD</h3>
+<div id="outline-container-org4904624" class="outline-3">
+<h3 id="org4904624"><span class="section-number-3">9.4.</span> Configure Gate ResolveD</h3>
  <div class="outline-text-3" id="text-9-4">
  <p>
  Gate provides name service on the wild Ethernet by having its "stub
  <div class="outline-text-3" id="text-9-4">
  <p>
  Gate provides name service on the wild Ethernet by having its "stub
@@ -6029,8 +6072,8 @@ listener" listen there.  That stub should not read <q>/etc/hosts</q> lest
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org1c59284" class="outline-3">
-<h3 id="org1c59284"><span class="section-number-3">9.5.</span> UFW Rules</h3>
+<div id="outline-container-orgcdebc22" class="outline-3">
+<h3 id="orgcdebc22"><span class="section-number-3">9.5.</span> UFW Rules</h3>
  <div class="outline-text-3" id="text-9-5">
  <p>
  Gate uses the Uncomplicated FireWall (UFW) to install its packet
  <div class="outline-text-3" id="text-9-5">
  <p>
  Gate uses the Uncomplicated FireWall (UFW) to install its packet
@@ -6054,7 +6097,7 @@ traffic through their WireGuard™ interface.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>ufw-nat</code><pre class="src src-conf" id="orgc90bce1"><code>-A POSTROUTING -s {{ private_net_cidr }} -o isp -j MASQUERADE
+<code>ufw-nat</code><pre class="src src-conf" id="orgfe6b889"><code>-A POSTROUTING -s {{ private_net_cidr }} -o isp -j MASQUERADE
  -A POSTROUTING -s {{    wild_net_cidr }} -o isp -j MASQUERADE
  </code></pre>
  </div>
  -A POSTROUTING -s {{    wild_net_cidr }} -o isp -j MASQUERADE
  </code></pre>
  </div>
@@ -6070,7 +6113,7 @@ tracking).
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>ufw-forward-nat</code><pre class="src src-conf" id="org4b403b5"><code>-A ufw-before-forward -i lan  -o isp -j ACCEPT
+<code>ufw-forward-nat</code><pre class="src src-conf" id="org955e99e"><code>-A ufw-before-forward -i lan  -o isp -j ACCEPT
  -A ufw-before-forward -i wild -o isp -j ACCEPT
  </code></pre>
  </div>
  -A ufw-before-forward -i wild -o isp -j ACCEPT
  </code></pre>
  </div>
@@ -6084,7 +6127,7 @@ public and campus VPNs is also allowed.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>ufw-forward-private</code><pre class="src src-conf" id="org3abef6b"><code>-A ufw-before-forward -i lan  -o wg0 -j ACCEPT
+<code>ufw-forward-private</code><pre class="src src-conf" id="orgd2649ac"><code>-A ufw-before-forward -i lan  -o wg0 -j ACCEPT
  -A ufw-before-forward -i wg0  -o lan -j ACCEPT
  -A ufw-before-forward -i wg0  -o wg0 -j ACCEPT
  </code></pre>
  -A ufw-before-forward -i wg0  -o lan -j ACCEPT
  -A ufw-before-forward -i wg0  -o wg0 -j ACCEPT
  </code></pre>
@@ -6104,8 +6147,8 @@ forwarded to <code>lan</code>.
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-orgf03d906" class="outline-3">
-<h3 id="orgf03d906"><span class="section-number-3">9.6.</span> Configure UFW</h3>
+<div id="outline-container-org52994f0" class="outline-3">
+<h3 id="org52994f0"><span class="section-number-3">9.6.</span> Configure UFW</h3>
  <div class="outline-text-3" id="text-9-6">
  <p>
  The following tasks install the Uncomplicated Firewall (UFW), set its
  <div class="outline-text-3" id="text-9-6">
  <p>
  The following tasks install the Uncomplicated Firewall (UFW), set its
@@ -6157,8 +6200,8 @@ policy in <q>/etc/default/ufw</q>, and install the institute's rules in
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orgeec3599" class="outline-3">
-<h3 id="orgeec3599"><span class="section-number-3">9.7.</span> Configure Campus WireGuard™ Subnet</h3>
+<div id="outline-container-orgf51aad2" class="outline-3">
+<h3 id="orgf51aad2"><span class="section-number-3">9.7.</span> Configure Campus WireGuard™ Subnet</h3>
  <div class="outline-text-3" id="text-9-7">
  <p>
  Gate uses WireGuard™ to provide a campus VPN service.  Gate's routes
  <div class="outline-text-3" id="text-9-7">
  <p>
  Gate uses WireGuard™ to provide a campus VPN service.  Gate's routes
@@ -6249,8 +6292,8 @@ The "empty" WireGuard™ configuration file (below) is used until the
  </code></pre>
  </div>
  </div>
  </code></pre>
  </div>
  </div>
-<div id="outline-container-org832194b" class="outline-4">
-<h4 id="org832194b"><span class="section-number-4">9.7.1.</span> Example <q>private/gate-wg0.conf</q></h4>
+<div id="outline-container-org8e07390" class="outline-4">
+<h4 id="org8e07390"><span class="section-number-4">9.7.1.</span> Example <q>private/gate-wg0.conf</q></h4>
  <div class="outline-text-4" id="text-9-7-1">
  <p>
  The example <q>private/gate-wg0.conf</q> below recognizes a wired IoT
  <div class="outline-text-4" id="text-9-7-1">
  <p>
  The example <q>private/gate-wg0.conf</q> below recognizes a wired IoT
@@ -6269,18 +6312,18 @@ Example <q>private/gate-wg0.conf</q><pre class="src src-conf"><code>[<span class
  <span class="org-variable-name">ListenPort</span> = 51820
  <span class="org-variable-name">PostUp</span> = wg set %i private-key /etc/wireguard/private-key
  
  <span class="org-variable-name">ListenPort</span> = 51820
  <span class="org-variable-name">PostUp</span> = wg set %i private-key /etc/wireguard/private-key
  
-<span class="org-comment-delimiter"># </span><span class="org-comment">thing
-</span>[<span class="org-type">Peer</span>]
+<span class="org-comment-delimiter"># </span><span class="org-comment">thing</span>
+[<span class="org-type">Peer</span>]
  <span class="org-variable-name">PublicKey</span> = LdsCsgfjKCfd5+VKS+Q/dQhWO8NRNygByDO2VxbXlSQ=
  <span class="org-variable-name">AllowedIPs</span> = 10.84.139.3
  
  <span class="org-variable-name">PublicKey</span> = LdsCsgfjKCfd5+VKS+Q/dQhWO8NRNygByDO2VxbXlSQ=
  <span class="org-variable-name">AllowedIPs</span> = 10.84.139.3
  
-<span class="org-comment-delimiter"># </span><span class="org-comment">dick
-</span>[<span class="org-type">Peer</span>]
+<span class="org-comment-delimiter"># </span><span class="org-comment">dick</span>
+[<span class="org-type">Peer</span>]
  <span class="org-variable-name">PublicKey</span> = 4qd4xdRztZBKhFrX9jI/b4fnMzpKQ5qhg691hwYSsX8=
  <span class="org-variable-name">AllowedIPs</span> = 10.84.139.4
  
  <span class="org-variable-name">PublicKey</span> = 4qd4xdRztZBKhFrX9jI/b4fnMzpKQ5qhg691hwYSsX8=
  <span class="org-variable-name">AllowedIPs</span> = 10.84.139.4
  
-<span class="org-comment-delimiter"># </span><span class="org-comment">dicks-razr
-</span>[<span class="org-type">Peer</span>]
+<span class="org-comment-delimiter"># </span><span class="org-comment">dicks-razr</span>
+[<span class="org-type">Peer</span>]
  <span class="org-variable-name">PublicKey</span> = zho0qMxoLclJSQu4GeJEcMkk0hx4Q047OcNc8vOejVw=
  <span class="org-variable-name">AllowedIPs</span> = 10.84.139.6
  </code></pre>
  <span class="org-variable-name">PublicKey</span> = zho0qMxoLclJSQu4GeJEcMkk0hx4Q047OcNc8vOejVw=
  <span class="org-variable-name">AllowedIPs</span> = 10.84.139.6
  </code></pre>
@@ -6298,8 +6341,8 @@ WireGuard™ tunnel on an IoT appliance<pre class="src src-conf"><code>[<span cl
  <span class="org-variable-name">DNS</span> = 192.168.56.1
  <span class="org-variable-name">Domain</span> = small.private
  
  <span class="org-variable-name">DNS</span> = 192.168.56.1
  <span class="org-variable-name">Domain</span> = small.private
  
-<span class="org-comment-delimiter"># </span><span class="org-comment">Gate
-</span>[<span class="org-type">Peer</span>]
+<span class="org-comment-delimiter"># </span><span class="org-comment">Gate</span>
+[<span class="org-type">Peer</span>]
  <span class="org-variable-name">EndPoint</span> = 192.168.57.1:51820
  <span class="org-variable-name">PublicKey</span> = y3cjFnvQbylmH4lGTujpqc8rusIElmJ4Gu9hh6iR7QI=
  <span class="org-variable-name">AllowedIPs</span> = 10.84.139.1
  <span class="org-variable-name">EndPoint</span> = 192.168.57.1:51820
  <span class="org-variable-name">PublicKey</span> = y3cjFnvQbylmH4lGTujpqc8rusIElmJ4Gu9hh6iR7QI=
  <span class="org-variable-name">AllowedIPs</span> = 10.84.139.1
@@ -6321,8 +6364,8 @@ WireGuard™ tunnel on Dick's notebook, used on campus<pre class="src src-conf">
  <span class="org-variable-name">PostUp</span> = resolvectl dns wg0 192.168.56.1
  <span class="org-variable-name">PostUp</span> = resolvectl domain wg0 small.private
  
  <span class="org-variable-name">PostUp</span> = resolvectl dns wg0 192.168.56.1
  <span class="org-variable-name">PostUp</span> = resolvectl domain wg0 small.private
  
-<span class="org-comment-delimiter"># </span><span class="org-comment">Gate
-</span>[<span class="org-type">Peer</span>]
+<span class="org-comment-delimiter"># </span><span class="org-comment">Gate</span>
+[<span class="org-type">Peer</span>]
  <span class="org-variable-name">EndPoint</span> = 192.168.57.1:51820
  <span class="org-variable-name">PublicKey</span> = y3cjFnvQbylmH4lGTujpqc8rusIElmJ4Gu9hh6iR7QI=
  <span class="org-variable-name">AllowedIPs</span> = 10.84.139.1
  <span class="org-variable-name">EndPoint</span> = 192.168.57.1:51820
  <span class="org-variable-name">PublicKey</span> = y3cjFnvQbylmH4lGTujpqc8rusIElmJ4Gu9hh6iR7QI=
  <span class="org-variable-name">AllowedIPs</span> = 10.84.139.1
@@ -6335,8 +6378,8 @@ WireGuard™ tunnel on Dick's notebook, used on campus<pre class="src src-conf">
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org2a84069" class="outline-2">
-<h2 id="org2a84069"><span class="section-number-2">10.</span> The Campus Role</h2>
+<div id="outline-container-orgf4b9188" class="outline-2">
+<h2 id="orgf4b9188"><span class="section-number-2">10.</span> The Campus Role</h2>
  <div class="outline-text-2" id="text-10">
  <p>
  The <code>campus</code> role configures generic campus server machines: network
  <div class="outline-text-2" id="text-10">
  <p>
  The <code>campus</code> role configures generic campus server machines: network
@@ -6352,11 +6395,11 @@ Wireless campus devices register their public keys using the <code>./inst
  client</code> command which updates the WireGuard™ configuration on Gate.
  </p>
  </div>
  client</code> command which updates the WireGuard™ configuration on Gate.
  </p>
  </div>
-<div id="outline-container-orga279c9d" class="outline-3">
-<h3 id="orga279c9d"><span class="section-number-3">10.1.</span> Role Defaults</h3>
+<div id="outline-container-orge095902" class="outline-3">
+<h3 id="orge095902"><span class="section-number-3">10.1.</span> Role Defaults</h3>
  <div class="outline-text-3" id="text-10-1">
  <p>
  <div class="outline-text-3" id="text-10-1">
  <p>
-As in <a href="#org4b52960">The Gate Role</a>, the <code>campus</code> role sets a number of variables to
+As in <a href="#orgb8b1253">The Gate Role</a>, the <code>campus</code> role sets a number of variables to
  default values in its <q>defaults/main.yml</q> file.
  </p>
  
  default values in its <q>defaults/main.yml</q> file.
  </p>
  
@@ -6368,8 +6411,8 @@ default values in its <q>defaults/main.yml</q> file.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org3a0ddfc" class="outline-3">
-<h3 id="org3a0ddfc"><span class="section-number-3">10.2.</span> Include Particulars</h3>
+<div id="outline-container-orgceb19a3" class="outline-3">
+<h3 id="orgceb19a3"><span class="section-number-3">10.2.</span> Include Particulars</h3>
  <div class="outline-text-3" id="text-10-2">
  <p>
  The following should be familiar boilerplate by now.
  <div class="outline-text-3" id="text-10-2">
  <p>
  The following should be familiar boilerplate by now.
@@ -6386,8 +6429,8 @@ The following should be familiar boilerplate by now.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orge6319fe" class="outline-3">
-<h3 id="orge6319fe"><span class="section-number-3">10.3.</span> Configure Hostname</h3>
+<div id="outline-container-orga0f1ba7" class="outline-3">
+<h3 id="orga0f1ba7"><span class="section-number-3">10.3.</span> Configure Hostname</h3>
  <div class="outline-text-3" id="text-10-3">
  <p>
  Clients should be using the expected host name.
  <div class="outline-text-3" id="text-10-3">
  <p>
  Clients should be using the expected host name.
@@ -6415,8 +6458,8 @@ Clients should be using the expected host name.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org2157bb4" class="outline-3">
-<h3 id="org2157bb4"><span class="section-number-3">10.4.</span> Configure Systemd Timesyncd</h3>
+<div id="outline-container-org8a1c01a" class="outline-3">
+<h3 id="org8a1c01a"><span class="section-number-3">10.4.</span> Configure Systemd Timesyncd</h3>
  <div class="outline-text-3" id="text-10-4">
  <p>
  The institute uses a common time reference throughout the campus.
  <div class="outline-text-3" id="text-10-4">
  <p>
  The institute uses a common time reference throughout the campus.
@@ -6465,8 +6508,8 @@ and file timestamps.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org1df1d5c" class="outline-3">
-<h3 id="org1df1d5c"><span class="section-number-3">10.5.</span> Add Administrator to System Groups</h3>
+<div id="outline-container-org902a898" class="outline-3">
+<h3 id="org902a898"><span class="section-number-3">10.5.</span> Add Administrator to System Groups</h3>
  <div class="outline-text-3" id="text-10-5">
  <p>
  The administrator often needs to read (directories of) log files owned
  <div class="outline-text-3" id="text-10-5">
  <p>
  The administrator often needs to read (directories of) log files owned
@@ -6486,8 +6529,8 @@ these groups speeds up debugging.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org739a3ff" class="outline-3">
-<h3 id="org739a3ff"><span class="section-number-3">10.6.</span> Install Unattended Upgrades</h3>
+<div id="outline-container-org4288431" class="outline-3">
+<h3 id="org4288431"><span class="section-number-3">10.6.</span> Install Unattended Upgrades</h3>
  <div class="outline-text-3" id="text-10-6">
  <p>
  The institute prefers to install security updates as soon as possible.
  <div class="outline-text-3" id="text-10-6">
  <p>
  The institute prefers to install security updates as soon as possible.
@@ -6502,8 +6545,8 @@ The institute prefers to install security updates as soon as possible.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org8bc6f75" class="outline-3">
-<h3 id="org8bc6f75"><span class="section-number-3">10.7.</span> Configure Postfix on Campus</h3>
+<div id="outline-container-org942e4f6" class="outline-3">
+<h3 id="org942e4f6"><span class="section-number-3">10.7.</span> Configure Postfix on Campus</h3>
  <div class="outline-text-3" id="text-10-7">
  <p>
  The Postfix settings used by the campus include message size, queue
  <div class="outline-text-3" id="text-10-7">
  <p>
  The Postfix settings used by the campus include message size, queue
@@ -6571,8 +6614,8 @@ tasks below.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org2a646f7" class="outline-3">
-<h3 id="org2a646f7"><span class="section-number-3">10.8.</span> Set Domain Name</h3>
+<div id="outline-container-org7062ccb" class="outline-3">
+<h3 id="org7062ccb"><span class="section-number-3">10.8.</span> Set Domain Name</h3>
  <div class="outline-text-3" id="text-10-8">
  <p>
  The host's fully qualified (private) domain name (FQDN) is set by an
  <div class="outline-text-3" id="text-10-8">
  <p>
  The host's fully qualified (private) domain name (FQDN) is set by an
@@ -6586,22 +6629,22 @@ manpage.)
  - name: Set domain name.
    become: yes
    vars:
  - name: Set domain name.
    become: yes
    vars:
-    name: <span class="org-string">"{{ inventory_hostname }}"</span>
+    host: <span class="org-string">"{{ inventory_hostname }}"</span>
    lineinfile:
      path: /etc/hosts
      regexp: <span class="org-string">"^127.0.1.1[        ].*"</span>
    lineinfile:
      path: /etc/hosts
      regexp: <span class="org-string">"^127.0.1.1[        ].*"</span>
-    line: <span class="org-string">"127.0.1.1    {{ name }}.{{ domain_priv }} {{ name }}"</span>
+    line: <span class="org-string">"127.0.1.1    {{ host }}.{{ domain_priv }} {{ host }}"</span>
  </code></pre>
  </div>
  </div>
  </div>
  </code></pre>
  </div>
  </div>
  </div>
-<div id="outline-container-orgadce02c" class="outline-3">
-<h3 id="orgadce02c"><span class="section-number-3">10.9.</span> Configure NRPE</h3>
+<div id="outline-container-org0d2271c" class="outline-3">
+<h3 id="org0d2271c"><span class="section-number-3">10.9.</span> Configure NRPE</h3>
  <div class="outline-text-3" id="text-10-9">
  <p>
  Each campus host runs an NRPE (a NAGIOS Remote Plugin Executor)
  server so that the NAGIOS4 server on Core can collect statistics.  The
  <div class="outline-text-3" id="text-10-9">
  <p>
  Each campus host runs an NRPE (a NAGIOS Remote Plugin Executor)
  server so that the NAGIOS4 server on Core can collect statistics.  The
-NAGIOS service is discussed in the <a href="#orgadce02c">Configure NRPE</a> section of <a href="#org5254b26">The Core
+NAGIOS service is discussed in the <a href="#org0d2271c">Configure NRPE</a> section of <a href="#org264af3e">The Core
  Role</a>.
  </p>
  
  Role</a>.
  </p>
  
@@ -6662,8 +6705,8 @@ Role</a>.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orge0896ae" class="outline-2">
-<h2 id="orge0896ae"><span class="section-number-2">11.</span> The Ansible Configuration</h2>
+<div id="outline-container-orgb99caba" class="outline-2">
+<h2 id="orgb99caba"><span class="section-number-2">11.</span> The Ansible Configuration</h2>
  <div class="outline-text-2" id="text-11">
  <p>
  The small institute uses Ansible to maintain the configuration of its
  <div class="outline-text-2" id="text-11">
  <p>
  The small institute uses Ansible to maintain the configuration of its
@@ -6672,7 +6715,7 @@ runs playbook <a href="playbook/site.yml"><q>site.yml</q></a> to apply the appro
  role(s) to each host.  Examples of these files are included here, and
  are used to test the roles.  The example configuration applies the
  institutional roles to VirtualBox machines prepared according to
  role(s) to each host.  Examples of these files are included here, and
  are used to test the roles.  The example configuration applies the
  institutional roles to VirtualBox machines prepared according to
-chapter <a href="#orgfb808de">Testing</a>.
+chapter <a href="#orga52c0d9">Testing</a>.
  </p>
  
  <p>
  </p>
  
  <p>
@@ -6685,13 +6728,13 @@ while changes to the institute's particulars are committed to a
  separate revision history.
  </p>
  </div>
  separate revision history.
  </p>
  </div>
-<div id="outline-container-org24cb4b1" class="outline-3">
-<h3 id="org24cb4b1"><span class="section-number-3">11.1.</span> <q>ansible.cfg</q></h3>
+<div id="outline-container-orgf5d2ded" class="outline-3">
+<h3 id="orgf5d2ded"><span class="section-number-3">11.1.</span> <q>ansible.cfg</q></h3>
  <div class="outline-text-3" id="text-11-1">
  <p>
  The Ansible configuration file <a href="ansible.cfg"><q>ansible.cfg</q></a> contains just a handful
  of settings, some included just to create a test jig as described in
  <div class="outline-text-3" id="text-11-1">
  <p>
  The Ansible configuration file <a href="ansible.cfg"><q>ansible.cfg</q></a> contains just a handful
  of settings, some included just to create a test jig as described in
-<a href="#orgfb808de">Testing</a>.
+<a href="#orga52c0d9">Testing</a>.
  </p>
  
  <ul class="org-ul">
  </p>
  
  <ul class="org-ul">
@@ -6700,7 +6743,7 @@ of settings, some included just to create a test jig as described in
  that Python 3 can be expected on all institute hosts.</li>
  <li><code>vault_password_file</code> is set to suppress prompts for the vault
  password.  The institute keeps its vault password in <a href="Secret/"><q>Secret/</q></a> (as
  that Python 3 can be expected on all institute hosts.</li>
  <li><code>vault_password_file</code> is set to suppress prompts for the vault
  password.  The institute keeps its vault password in <a href="Secret/"><q>Secret/</q></a> (as
-described in <a href="#orge1a9ef2">Keys</a>) and thus sets this parameter to
+described in <a href="#org49a7a21">Keys</a>) and thus sets this parameter to
  <a href="Secret/vault-password"><q>Secret/vault-password</q></a>.</li>
  <li><code>inventory</code> is set to avoid specifying it on the command line.</li>
  <li><code>roles_path</code> is set to the recently tangled roles files in
  <a href="Secret/vault-password"><q>Secret/vault-password</q></a>.</li>
  <li><code>inventory</code> is set to avoid specifying it on the command line.</li>
  <li><code>roles_path</code> is set to the recently tangled roles files in
@@ -6717,8 +6760,8 @@ described in <a href="#orge1a9ef2">Keys</a>) and thus sets this parameter to
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orge4f8016" class="outline-3">
-<h3 id="orge4f8016"><span class="section-number-3">11.2.</span> <q>hosts</q></h3>
+<div id="outline-container-org06dd17d" class="outline-3">
+<h3 id="org06dd17d"><span class="section-number-3">11.2.</span> <q>hosts</q></h3>
  <div class="outline-text-3" id="text-11-2">
  <p>
  The Ansible inventory file <a href="hosts"><q>hosts</q></a> describes all of the institute's
  <div class="outline-text-3" id="text-11-2">
  <p>
  The Ansible inventory file <a href="hosts"><q>hosts</q></a> describes all of the institute's
@@ -6730,7 +6773,7 @@ describes three test servers named <code>front</code>, <code>core</code> and <co
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<a href="hosts"><q>hosts</q></a><pre class="src src-conf" id="org4b53c5c"><code>all:
+<a href="hosts"><q>hosts</q></a><pre class="src src-conf" id="org5bba1a7"><code>all:
    vars:
      ansible_user: sysadm
      ansible_ssh_extra_args: -i Secret/ssh_admin/id_ed25519
    vars:
      ansible_user: sysadm
      ansible_ssh_extra_args: -i Secret/ssh_admin/id_ed25519
@@ -6795,8 +6838,8 @@ the <a href="Secret/vault-password"><q>Secret/vault-password</q></a> file.
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-org72dca4d" class="outline-3">
-<h3 id="org72dca4d"><span class="section-number-3">11.3.</span> <q>playbooks/site.yml</q></h3>
+<div id="outline-container-orgbcbc838" class="outline-3">
+<h3 id="orgbcbc838"><span class="section-number-3">11.3.</span> <q>playbooks/site.yml</q></h3>
  <div class="outline-text-3" id="text-11-3">
  <p>
  The example <a href="playbooks/site.yml"><q>playbooks/site.yml</q></a> playbook (below) applies the
  <div class="outline-text-3" id="text-11-3">
  <p>
  The example <a href="playbooks/site.yml"><q>playbooks/site.yml</q></a> playbook (below) applies the
@@ -6829,8 +6872,8 @@ the example inventory: <a href="hosts"><q>hosts</q></a>.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org44a8214" class="outline-3">
-<h3 id="org44a8214"><span class="section-number-3">11.4.</span> <q>Secret/vault-password</q></h3>
+<div id="outline-container-org10c0f2b" class="outline-3">
+<h3 id="org10c0f2b"><span class="section-number-3">11.4.</span> <q>Secret/vault-password</q></h3>
  <div class="outline-text-3" id="text-11-4">
  <p>
  As already mentioned, the small institute keeps its Ansible vault
  <div class="outline-text-3" id="text-11-4">
  <p>
  As already mentioned, the small institute keeps its Ansible vault
@@ -6842,17 +6885,17 @@ example password matches the example encryptions above.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<a href="Secret/vault-password"><q>Secret/vault-password</q></a><pre class="src src-conf" id="orgc190a30"><code>alitysortstagess
+<a href="Secret/vault-password"><q>Secret/vault-password</q></a><pre class="src src-conf" id="org822842e"><code>alitysortstagess
  </code></pre>
  </div>
  </div>
  </div>
  </code></pre>
  </div>
  </div>
  </div>
-<div id="outline-container-org12e6cd9" class="outline-3">
-<h3 id="org12e6cd9"><span class="section-number-3">11.5.</span> Creating A Working Ansible Configuration</h3>
+<div id="outline-container-orgc34c9ce" class="outline-3">
+<h3 id="orgc34c9ce"><span class="section-number-3">11.5.</span> Creating A Working Ansible Configuration</h3>
  <div class="outline-text-3" id="text-11-5">
  <p>
  A working Ansible configuration can be "tangled" from this document to
  <div class="outline-text-3" id="text-11-5">
  <p>
  A working Ansible configuration can be "tangled" from this document to
-produce the test configuration described in the <a href="#orgfb808de">Testing</a> chapter.  The
+produce the test configuration described in the <a href="#orga52c0d9">Testing</a> chapter.  The
  tangling is done by Emacs's <code>org-babel-tangle</code> function and has
  already been performed with the resulting tangle included in the
  distribution with this document.
  tangling is done by Emacs's <code>org-babel-tangle</code> function and has
  already been performed with the resulting tangle included in the
  distribution with this document.
@@ -6895,7 +6938,7 @@ would be copied, with appropriate changes, into new subdirectories
  <q>public/</q> and <q>private/</q>.</li>
  <li><q>~/network/Secret</q> would be a symbolic link to the (auto-mounted?)
  location of the administrator's encrypted USB drive, as described in
  <q>public/</q> and <q>private/</q>.</li>
  <li><q>~/network/Secret</q> would be a symbolic link to the (auto-mounted?)
  location of the administrator's encrypted USB drive, as described in
-section <a href="#orge1a9ef2">Keys</a>.</li>
+section <a href="#org49a7a21">Keys</a>.</li>
  </ul>
  
  <p>
  </ul>
  
  <p>
@@ -6931,8 +6974,8 @@ super-project's directory.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org130e5c0" class="outline-3">
-<h3 id="org130e5c0"><span class="section-number-3">11.6.</span> Maintaining A Working Ansible Configuration</h3>
+<div id="outline-container-org38aff7d" class="outline-3">
+<h3 id="org38aff7d"><span class="section-number-3">11.6.</span> Maintaining A Working Ansible Configuration</h3>
  <div class="outline-text-3" id="text-11-6">
  <p>
  The Ansible roles currently tangle into the <a href="roles_t/"><q>roles_t/</q></a> directory to
  <div class="outline-text-3" id="text-11-6">
  <p>
  The Ansible roles currently tangle into the <a href="roles_t/"><q>roles_t/</q></a> directory to
@@ -6951,8 +6994,8 @@ their way back to the code block in this document.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org43f8955" class="outline-2">
-<h2 id="org43f8955"><span class="section-number-2">12.</span> The Institute Commands</h2>
+<div id="outline-container-org219b1f0" class="outline-2">
+<h2 id="org219b1f0"><span class="section-number-2">12.</span> The Institute Commands</h2>
  <div class="outline-text-2" id="text-12">
  <p>
  The institute's administrator uses a convenience script to reliably
  <div class="outline-text-2" id="text-12">
  <p>
  The institute's administrator uses a convenience script to reliably
@@ -6962,8 +7005,8 @@ Ansible configuration.  The Ansible commands it executes are expected
  to get their defaults from <q>./ansible.cfg</q>.
  </p>
  </div>
  to get their defaults from <q>./ansible.cfg</q>.
  </p>
  </div>
-<div id="outline-container-orgf4494a3" class="outline-3">
-<h3 id="orgf4494a3"><span class="section-number-3">12.1.</span> Sub-command Blocks</h3>
+<div id="outline-container-org89e47d3" class="outline-3">
+<h3 id="org89e47d3"><span class="section-number-3">12.1.</span> Sub-command Blocks</h3>
  <div class="outline-text-3" id="text-12-1">
  <p>
  The code blocks in this chapter tangle into the <a href="inst"><q>inst</q></a> script.  Each
  <div class="outline-text-3" id="text-12-1">
  <p>
  The code blocks in this chapter tangle into the <a href="inst"><q>inst</q></a> script.  Each
@@ -6977,20 +7020,20 @@ The first code block is the header of the <code>./inst</code> script.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<a href="inst"><q>inst</q></a><pre class="src src-perl"><code><span class="org-comment-delimiter">#</span><span class="org-comment">!/usr/bin/perl -w
-</span><span class="org-comment-delimiter">#</span><span class="org-comment">
-</span><span class="org-comment-delimiter"># </span><span class="org-comment">DO NOT EDIT.
-</span><span class="org-comment-delimiter">#</span><span class="org-comment">
-</span><span class="org-comment-delimiter"># </span><span class="org-comment">This file was tangled from a small institute's README.org.
-</span>
+<a href="inst"><q>inst</q></a><pre class="src src-perl"><code><span class="org-comment-delimiter">#</span><span class="org-comment">!/usr/bin/perl -w</span>
+<span class="org-comment-delimiter">#</span>
+<span class="org-comment-delimiter"># </span><span class="org-comment">DO NOT EDIT.</span>
+<span class="org-comment-delimiter">#</span>
+<span class="org-comment-delimiter"># </span><span class="org-comment">This file was tangled from a small institute's README.org.</span>
+
  <span class="org-keyword">use</span> <span class="org-constant">strict</span>;
  <span class="org-keyword">use</span> <span class="org-constant">IO::File</span>;
  </code></pre>
  </div>
  </div>
  </div>
  <span class="org-keyword">use</span> <span class="org-constant">strict</span>;
  <span class="org-keyword">use</span> <span class="org-constant">IO::File</span>;
  </code></pre>
  </div>
  </div>
  </div>
-<div id="outline-container-org0c983e7" class="outline-3">
-<h3 id="org0c983e7"><span class="section-number-3">12.2.</span> Sanity Check</h3>
+<div id="outline-container-org30853b3" class="outline-3">
+<h3 id="org30853b3"><span class="section-number-3">12.2.</span> Sanity Check</h3>
  <div class="outline-text-3" id="text-12-2">
  <p>
  The next code block does not implement a sub-command; it implements
  <div class="outline-text-3" id="text-12-2">
  <p>
  The next code block does not implement a sub-command; it implements
@@ -7050,8 +7093,8 @@ permissions.  It probes past the <a href="Secret/"><q>Secret/</q></a> mount poin
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org21ab591" class="outline-3">
-<h3 id="org21ab591"><span class="section-number-3">12.3.</span> Importing Ansible Variables</h3>
+<div id="outline-container-org75ed9bc" class="outline-3">
+<h3 id="org75ed9bc"><span class="section-number-3">12.3.</span> Importing Ansible Variables</h3>
  <div class="outline-text-3" id="text-12-3">
  <p>
  To ensure that Ansible and <code>./inst</code> are sympatico vis-a-vi certain
  <div class="outline-text-3" id="text-12-3">
  <p>
  To ensure that Ansible and <code>./inst</code> are sympatico vis-a-vi certain
@@ -7096,8 +7139,8 @@ The playbook that updates <a href="private/vars.pl"><q>private/vars.pl</q></a>:
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org8e3af24" class="outline-3">
-<h3 id="org8e3af24"><span class="section-number-3">12.4.</span> The check-inst-vars Role</h3>
+<div id="outline-container-orgd21308e" class="outline-3">
+<h3 id="orgd21308e"><span class="section-number-3">12.4.</span> The check-inst-vars Role</h3>
  <div class="outline-text-3" id="text-12-4">
  <p>
  This role is executed by <q>playbooks/check-inst-vars.yml</q> and is not
  <div class="outline-text-3" id="text-12-4">
  <p>
  This role is executed by <q>playbooks/check-inst-vars.yml</q> and is not
@@ -7148,7 +7191,7 @@ following few provide the servers' public keys and ports.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<a href="private/vars.yml"><q>private/vars.yml</q></a><pre class="src src-conf" id="org232c76c"><code><span class="org-variable-name">front_wg_pubkey: S+6HaTnOwwhWgUGXjSBcPAvifKw+j8BDTRfq534gNW4</span>=
+<a href="private/vars.yml"><q>private/vars.yml</q></a><pre class="src src-conf" id="org4f55070"><code><span class="org-variable-name">front_wg_pubkey: S+6HaTnOwwhWgUGXjSBcPAvifKw+j8BDTRfq534gNW4</span>=
  public_wg_port:  39608
  
  <span class="org-variable-name">gate_wg_pubkey:  y3cjFnvQbylmH4lGTujpqc8rusIElmJ4Gu9hh6iR7QI</span>=
  public_wg_port:  39608
  
  <span class="org-variable-name">gate_wg_pubkey:  y3cjFnvQbylmH4lGTujpqc8rusIElmJ4Gu9hh6iR7QI</span>=
@@ -7159,8 +7202,8 @@ campus_wg_port:  51820
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org65c7b5a" class="outline-3">
-<h3 id="org65c7b5a"><span class="section-number-3">12.5.</span> The CA Command</h3>
+<div id="outline-container-org44eead9" class="outline-3">
+<h3 id="org44eead9"><span class="section-number-3">12.5.</span> The CA Command</h3>
  <div class="outline-text-3" id="text-12-5">
  <p>
  The next code block implements the <code>CA</code> sub-command, which creates a
  <div class="outline-text-3" id="text-12-5">
  <p>
  The next code block implements the <code>CA</code> sub-command, which creates a
@@ -7219,8 +7262,8 @@ that will be installed on their servers by the next <code>./inst config</code>.
    umask 077;
    mysystem <span class="org-string">"cd Secret/CA; ./easyrsa init-pki"</span>;
    mysystem <span class="org-string">"cd Secret/CA; ./easyrsa build-ca nopass"</span>;
    umask 077;
    mysystem <span class="org-string">"cd Secret/CA; ./easyrsa init-pki"</span>;
    mysystem <span class="org-string">"cd Secret/CA; ./easyrsa build-ca nopass"</span>;
-  <span class="org-comment"># Common Name: small.example.org
-</span>
+  <span class="org-comment"># Common Name: small.example.org</span>
+
    <span class="org-keyword">my</span> $<span class="org-variable-name">dom</span> = $<span class="org-variable-name">domain_name</span>;
    <span class="org-keyword">my</span> $<span class="org-variable-name">pvt</span> = $<span class="org-variable-name">domain_priv</span>;
  
    <span class="org-keyword">my</span> $<span class="org-variable-name">dom</span> = $<span class="org-variable-name">domain_name</span>;
    <span class="org-keyword">my</span> $<span class="org-variable-name">pvt</span> = $<span class="org-variable-name">domain_priv</span>;
  
@@ -7268,8 +7311,8 @@ that will be installed on their servers by the next <code>./inst config</code>.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orga8acaf4" class="outline-3">
-<h3 id="orga8acaf4"><span class="section-number-3">12.6.</span> The Config Command</h3>
+<div id="outline-container-orge8d546d" class="outline-3">
+<h3 id="orge8d546d"><span class="section-number-3">12.6.</span> The Config Command</h3>
  <div class="outline-text-3" id="text-12-6">
  <p>
  The next code block implements the <code>config</code> sub-command, which
  <div class="outline-text-3" id="text-12-6">
  <p>
  The next code block implements the <code>config</code> sub-command, which
@@ -7319,12 +7362,12 @@ Example command lines:
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org38c0efd" class="outline-3">
-<h3 id="org38c0efd"><span class="section-number-3">12.7.</span> Account Management</h3>
+<div id="outline-container-org8b8c94b" class="outline-3">
+<h3 id="org8b8c94b"><span class="section-number-3">12.7.</span> Account Management</h3>
  <div class="outline-text-3" id="text-12-7">
  <p>
  For general information about members and their Unix accounts, see
  <div class="outline-text-3" id="text-12-7">
  <p>
  For general information about members and their Unix accounts, see
-<a href="#orge68fa9b">Accounts</a>.  The account management sub-commands maintain a mapping
+<a href="#orge0ec564">Accounts</a>.  The account management sub-commands maintain a mapping
  associating member "usernames" (Unix account names) with their
  records.  The mapping is stored among other things in
  <q>private/members.yml</q> as the value associated with the key <code>members</code>.
  associating member "usernames" (Unix account names) with their
  records.  The mapping is stored among other things in
  <q>private/members.yml</q> as the value associated with the key <code>members</code>.
@@ -7390,7 +7433,7 @@ value of <code>membership_rolls</code>.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>membership-rolls</code><pre class="src src-conf" id="org4534614"><code>
+<code>membership-rolls</code><pre class="src src-conf" id="orgf1b6e04"><code>
  membership_rolls:
  - <span class="org-string">"../private/members.yml"</span>
  - <span class="org-string">"../private/members-empty.yml"</span>
  membership_rolls:
  - <span class="org-string">"../private/members.yml"</span>
  - <span class="org-string">"../private/members-empty.yml"</span>
@@ -7429,8 +7472,8 @@ read from the file.  The dump subroutine is another story (below).
    <span class="org-keyword">my</span> $<span class="org-variable-name">old_umask</span> = umask 077;
    <span class="org-keyword">my</span> $<span class="org-variable-name">path</span> = <span class="org-string">"private/members.yml"</span>;
    print <span class="org-string">"$path: "</span>; STDOUT-&gt;flush;
    <span class="org-keyword">my</span> $<span class="org-variable-name">old_umask</span> = umask 077;
    <span class="org-keyword">my</span> $<span class="org-variable-name">path</span> = <span class="org-string">"private/members.yml"</span>;
    print <span class="org-string">"$path: "</span>; STDOUT-&gt;flush;
-  <span class="org-keyword">eval</span> { <span class="org-comment">#DumpFile ("$path.tmp", $yaml);
-</span>         dump_members_yaml (<span class="org-string">"$path.tmp"</span>, $<span class="org-variable-name">yaml</span>);
+  <span class="org-keyword">eval</span> { <span class="org-comment">#DumpFile ("$path.tmp", $yaml);</span>
+         dump_members_yaml (<span class="org-string">"$path.tmp"</span>, $<span class="org-variable-name">yaml</span>);
           rename (<span class="org-string">"$path.tmp"</span>, $<span class="org-variable-name">path</span>)
             or <span class="org-keyword">die</span> <span class="org-string">"Could not rename $path.tmp: $!\n"</span>; };
    <span class="org-keyword">my</span> $<span class="org-variable-name">err</span> = $@;
           rename (<span class="org-string">"$path.tmp"</span>, $<span class="org-variable-name">path</span>)
             or <span class="org-keyword">die</span> <span class="org-string">"Could not rename $path.tmp: $!\n"</span>; };
    <span class="org-keyword">my</span> $<span class="org-variable-name">err</span> = $@;
@@ -7524,8 +7567,8 @@ each record.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org203c192" class="outline-3">
-<h3 id="org203c192"><span class="section-number-3">12.8.</span> The New Command</h3>
+<div id="outline-container-org9908aac" class="outline-3">
+<h3 id="org9908aac"><span class="section-number-3">12.8.</span> The New Command</h3>
  <div class="outline-text-3" id="text-12-8">
  <p>
  The next code block implements the <code>new</code> sub-command.  It adds a new
  <div class="outline-text-3" id="text-12-8">
  <p>
  The next code block implements the <code>new</code> sub-command.  It adds a new
@@ -7609,14 +7652,14 @@ initial, generated password.
        chdir: /var/www/nextcloud/
        cmd: &gt;
          sudo -u www-data sh -c
        chdir: /var/www/nextcloud/
        cmd: &gt;
          sudo -u www-data sh -c
-        <span class="org-string">"OC_PASS={{ pass }}
-        php occ user:add {{ user }} --password-from-env"</span>
+        <span class="org-string">"OC_PASS={{ pass }}</span>
+<span class="org-string">        php occ user:add {{ user }} --password-from-env"</span>
  </code></pre>
  </div>
  </div>
  </div>
  </code></pre>
  </div>
  </div>
  </div>
-<div id="outline-container-orgaed3cbb" class="outline-3">
-<h3 id="orgaed3cbb"><span class="section-number-3">12.9.</span> The Pass Command</h3>
+<div id="outline-container-orgc50a9b4" class="outline-3">
+<h3 id="orgc50a9b4"><span class="section-number-3">12.9.</span> The Pass Command</h3>
  <div class="outline-text-3" id="text-12-9">
  <p>
  The institute's <code>passwd</code> command on Core securely emails <code>root</code> with a
  <div class="outline-text-3" id="text-12-9">
  <p>
  The institute's <code>passwd</code> command on Core securely emails <code>root</code> with a
@@ -7630,8 +7673,8 @@ Ansible <a href="playbooks/site.yml"><q>site.yml</q></a> playbook to update the
  message is sent to <code>member@core</code>.
  </p>
  </div>
  message is sent to <code>member@core</code>.
  </p>
  </div>
-<div id="outline-container-org490d591" class="outline-4">
-<h4 id="org490d591"><span class="section-number-4">12.9.1.</span> Less Aggressive passwd.</h4>
+<div id="outline-container-org736f166" class="outline-4">
+<h4 id="org736f166"><span class="section-number-4">12.9.1.</span> Less Aggressive passwd.</h4>
  <div class="outline-text-4" id="text-12-9-1">
  <p>
  The next code block implements the less aggressive <code>passwd</code> command.
  <div class="outline-text-4" id="text-12-9-1">
  <p>
  The next code block implements the less aggressive <code>passwd</code> command.
@@ -7645,8 +7688,8 @@ in <a href="Secret/"><q>Secret/</q></a>.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<a href="roles_t/core/templates/passwd"><q>roles_t/core/templates/passwd</q></a><pre class="src src-perl"><code><span class="org-comment-delimiter">#</span><span class="org-comment">!/bin/perl -wT
-</span>
+<a href="roles_t/core/templates/passwd"><q>roles_t/core/templates/passwd</q></a><pre class="src src-perl"><code><span class="org-comment-delimiter">#</span><span class="org-comment">!/bin/perl -wT</span>
+
  <span class="org-keyword">use</span> <span class="org-constant">strict</span>;
  
  $<span class="org-variable-name">ENV</span>{PATH} = <span class="org-string">"/usr/sbin:/usr/bin:/bin"</span>;
  <span class="org-keyword">use</span> <span class="org-constant">strict</span>;
  
  $<span class="org-variable-name">ENV</span>{PATH} = <span class="org-string">"/usr/sbin:/usr/bin:/bin"</span>;
@@ -7700,35 +7743,35 @@ close $<span class="org-variable-name">TMP</span>;
  open $<span class="org-variable-name">O</span>, (<span class="org-string">"| gpg --encrypt --armor"</span>
            .<span class="org-string">" --recipient-file /etc/root-pub.pem"</span>
            .<span class="org-string">" &gt; $tmp"</span>) or <span class="org-keyword">die</span> <span class="org-string">"Error running gpg &gt; $tmp: $!\n"</span>;
  open $<span class="org-variable-name">O</span>, (<span class="org-string">"| gpg --encrypt --armor"</span>
            .<span class="org-string">" --recipient-file /etc/root-pub.pem"</span>
            .<span class="org-string">" &gt; $tmp"</span>) or <span class="org-keyword">die</span> <span class="org-string">"Error running gpg &gt; $tmp: $!\n"</span>;
-print $<span class="org-variable-name">O</span> &lt;&lt;EOD;<span class="org-perl-heredoc">
-username: $username
-password: $epass
-EOD
-</span>close $<span class="org-variable-name">O</span> or <span class="org-keyword">die</span> <span class="org-string">"Error closing pipe to gpg: $!\n"</span>;
+print $<span class="org-variable-name">O</span> &lt;&lt;EOD;
+<span class="org-perl-heredoc">username: $username</span>
+<span class="org-perl-heredoc">password: $epass</span>
+<span class="org-perl-heredoc">EOD</span>
+close $<span class="org-variable-name">O</span> or <span class="org-keyword">die</span> <span class="org-string">"Error closing pipe to gpg: $!\n"</span>;
  
  <span class="org-keyword">use</span> <span class="org-constant">File::Copy</span>;
  open ($<span class="org-variable-name">O</span>, <span class="org-string">"| sendmail root"</span>);
  
  <span class="org-keyword">use</span> <span class="org-constant">File::Copy</span>;
  open ($<span class="org-variable-name">O</span>, <span class="org-string">"| sendmail root"</span>);
-print $<span class="org-variable-name">O</span> &lt;&lt;EOD;<span class="org-perl-heredoc">
-From: root
-To: root
-Subject: New password.
+print $<span class="org-variable-name">O</span> &lt;&lt;EOD;
+<span class="org-perl-heredoc">From: root</span>
+<span class="org-perl-heredoc">To: root</span>
+<span class="org-perl-heredoc">Subject: New password.</span>
  
  
-EOD
-</span>$<span class="org-variable-name">O</span>-&gt;flush;
+<span class="org-perl-heredoc">EOD</span>
+$<span class="org-variable-name">O</span>-&gt;flush;
  copy $<span class="org-variable-name">tmp</span>, $<span class="org-variable-name">O</span>;
  copy $<span class="org-variable-name">tmp</span>, $<span class="org-variable-name">O</span>;
-<span class="org-comment-delimiter">#</span><span class="org-comment">print $O `cat $tmp`;
-</span>close $<span class="org-variable-name">O</span> or <span class="org-keyword">die</span> <span class="org-string">"Error closing pipe to sendmail: $!\n"</span>;
+<span class="org-comment-delimiter">#</span><span class="org-comment">print $O `cat $tmp`;</span>
+close $<span class="org-variable-name">O</span> or <span class="org-keyword">die</span> <span class="org-string">"Error closing pipe to sendmail: $!\n"</span>;
  
  
-print <span class="org-string">"
-Your request was sent to Root.  PLEASE WAIT for email confirmation
-that the change was completed.\n"</span>;
+print <span class="org-string">"</span>
+<span class="org-string">Your request was sent to Root.  PLEASE WAIT for email confirmation</span>
+<span class="org-string">that the change was completed.\n"</span>;
  <span class="org-keyword">exit</span>;
  </code></pre>
  </div>
  </div>
  </div>
  <span class="org-keyword">exit</span>;
  </code></pre>
  </div>
  </div>
  </div>
-<div id="outline-container-org53cb66d" class="outline-4">
-<h4 id="org53cb66d"><span class="section-number-4">12.9.2.</span> Less Aggressive Pass Command</h4>
+<div id="outline-container-orge67b15e" class="outline-4">
+<h4 id="orge67b15e"><span class="section-number-4">12.9.2.</span> Less Aggressive Pass Command</h4>
  <div class="outline-text-4" id="text-12-9-2">
  <p>
  The following code block implements the <code>./inst pass</code> command, used by
  <div class="outline-text-4" id="text-12-9-2">
  <p>
  The following code block implements the <code>./inst pass</code> command, used by
@@ -7781,13 +7824,13 @@ the administrator to update <q>private/members.yml</q> before running
    <span class="org-keyword">my</span> $<span class="org-variable-name">O</span> = new IO::File;
    open ($<span class="org-variable-name">O</span>, <span class="org-string">"| sendmail $user\@$domain_priv"</span>)
      or <span class="org-keyword">die</span> <span class="org-string">"Could not pipe to sendmail: $!\n"</span>;
    <span class="org-keyword">my</span> $<span class="org-variable-name">O</span> = new IO::File;
    open ($<span class="org-variable-name">O</span>, <span class="org-string">"| sendmail $user\@$domain_priv"</span>)
      or <span class="org-keyword">die</span> <span class="org-string">"Could not pipe to sendmail: $!\n"</span>;
-  print $<span class="org-variable-name">O</span> <span class="org-string">"From: &lt;root&gt;
-To: &lt;$user&gt;
-Subject: Password change.
+  print $<span class="org-variable-name">O</span> <span class="org-string">"From: &lt;root&gt;</span>
+<span class="org-string">To: &lt;$user&gt;</span>
+<span class="org-string">Subject: Password change.</span>
  
  
-Your new password has been distributed to the servers.
+<span class="org-string">Your new password has been distributed to the servers.</span>
  
  
-As always: please email root with any questions or concerns.\n"</span>;
+<span class="org-string">As always: please email root with any questions or concerns.\n"</span>;
    close $<span class="org-variable-name">O</span> or <span class="org-keyword">die</span> <span class="org-string">"pipe to sendmail failed: $!\n"</span>;
    <span class="org-keyword">exit</span>;
  }
    close $<span class="org-variable-name">O</span> or <span class="org-keyword">die</span> <span class="org-string">"pipe to sendmail failed: $!\n"</span>;
    <span class="org-keyword">exit</span>;
  }
@@ -7809,14 +7852,14 @@ users:resetpassword</code> command.
        chdir: /var/www/nextcloud/
        cmd: &gt;
          sudo -u www-data sh -c
        chdir: /var/www/nextcloud/
        cmd: &gt;
          sudo -u www-data sh -c
-        <span class="org-string">"OC_PASS={{ pass }}
-        php occ user:resetpassword {{ user }} --password-from-env"</span>
+        <span class="org-string">"OC_PASS={{ pass }}</span>
+<span class="org-string">        php occ user:resetpassword {{ user }} --password-from-env"</span>
  </code></pre>
  </div>
  </div>
  </div>
  </code></pre>
  </div>
  </div>
  </div>
-<div id="outline-container-org78507bd" class="outline-4">
-<h4 id="org78507bd"><span class="section-number-4">12.9.3.</span> Installing the Less Aggressive passwd</h4>
+<div id="outline-container-orgd656360" class="outline-4">
+<h4 id="orgd656360"><span class="section-number-4">12.9.3.</span> Installing the Less Aggressive passwd</h4>
  <div class="outline-text-4" id="text-12-9-3">
  <p>
  The following Ansible tasks install the less aggressive <code>passwd</code>
  <div class="outline-text-4" id="text-12-9-3">
  <p>
  The following Ansible tasks install the less aggressive <code>passwd</code>
@@ -7884,8 +7927,8 @@ configuration so that the email to root can be encrypted.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org4dae799" class="outline-3">
-<h3 id="org4dae799"><span class="section-number-3">12.10.</span> The Old Command</h3>
+<div id="outline-container-org0a2776e" class="outline-3">
+<h3 id="org0a2776e"><span class="section-number-3">12.10.</span> The Old Command</h3>
  <div class="outline-text-3" id="text-12-10">
  <p>
  The <code>old</code> command disables a member's account (and thus their clients).
  <div class="outline-text-3" id="text-12-10">
  <p>
  The <code>old</code> command disables a member's account (and thus their clients).
@@ -7929,8 +7972,8 @@ The <code>old</code> command disables a member's account (and thus their clients
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org7efeef2" class="outline-3">
-<h3 id="org7efeef2"><span class="section-number-3">12.11.</span> The Client Command</h3>
+<div id="outline-container-orgf253523" class="outline-3">
+<h3 id="orgf253523"><span class="section-number-3">12.11.</span> The Client Command</h3>
  <div class="outline-text-3" id="text-12-11">
  <p>
  The <code>client</code> command registers the public key of a client wishing to
  <div class="outline-text-3" id="text-12-11">
  <p>
  The <code>client</code> command registers the public key of a client wishing to
@@ -8016,8 +8059,8 @@ better support in NetworkManager soon.)
    <span class="org-keyword">die</span> <span class="org-string">"$user: no longer current\n"</span>
      <span class="org-keyword">if</span> defined $<span class="org-variable-name">member</span> &amp;&amp; $<span class="org-variable-name">member</span>-&gt;{<span class="org-string">"status"</span>} ne <span class="org-string">"current"</span>;
  
    <span class="org-keyword">die</span> <span class="org-string">"$user: no longer current\n"</span>
      <span class="org-keyword">if</span> defined $<span class="org-variable-name">member</span> &amp;&amp; $<span class="org-variable-name">member</span>-&gt;{<span class="org-string">"status"</span>} ne <span class="org-string">"current"</span>;
  
-  <span class="org-keyword">my</span> @<span class="org-perl-non-scalar-variable">campus_peers</span> <span class="org-comment"># [ name, hostnum, type, pubkey, user|"" ]
-</span>     = map { [ (split <span class="org-string">/ /</span>), <span class="org-string">""</span> ] } @{$<span class="org-variable-name">yaml</span>-&gt;{<span class="org-string">"clients"</span>}};
+  <span class="org-keyword">my</span> @<span class="org-perl-non-scalar-variable">campus_peers</span> <span class="org-comment"># [ name, hostnum, type, pubkey, user|"" ]</span>
+     = map { [ (split <span class="org-string">/ /</span>), <span class="org-string">""</span> ] } @{$<span class="org-variable-name">yaml</span>-&gt;{<span class="org-string">"clients"</span>}};
  
    <span class="org-keyword">my</span> @<span class="org-perl-non-scalar-variable">member_peers</span> = ();
    <span class="org-keyword">for</span> <span class="org-keyword">my</span> $<span class="org-variable-name">u</span> (sort keys %$<span class="org-variable-name">members</span>) {
  
    <span class="org-keyword">my</span> @<span class="org-perl-non-scalar-variable">member_peers</span> = ();
    <span class="org-keyword">for</span> <span class="org-keyword">my</span> $<span class="org-variable-name">u</span> (sort keys %$<span class="org-variable-name">members</span>) {
@@ -8074,8 +8117,8 @@ better support in NetworkManager soon.)
  <span class="org-keyword">sub</span> <span class="org-function-name">write_wireguard</span> ($) {
    <span class="org-keyword">my</span> ($<span class="org-variable-name">yaml</span>) = @<span class="org-perl-non-scalar-variable">_</span>;
  
  <span class="org-keyword">sub</span> <span class="org-function-name">write_wireguard</span> ($) {
    <span class="org-keyword">my</span> ($<span class="org-variable-name">yaml</span>) = @<span class="org-perl-non-scalar-variable">_</span>;
  
-  <span class="org-keyword">my</span> @<span class="org-perl-non-scalar-variable">campus_peers</span> <span class="org-comment"># [ name, hostnum, type, pubkey, user|"" ]
-</span>     = map { [ (split <span class="org-string">/ /</span>), <span class="org-string">""</span> ] } @{$<span class="org-variable-name">yaml</span>-&gt;{<span class="org-string">"clients"</span>}};
+  <span class="org-keyword">my</span> @<span class="org-perl-non-scalar-variable">campus_peers</span> <span class="org-comment"># [ name, hostnum, type, pubkey, user|"" ]</span>
+     = map { [ (split <span class="org-string">/ /</span>), <span class="org-string">""</span> ] } @{$<span class="org-variable-name">yaml</span>-&gt;{<span class="org-string">"clients"</span>}};
  
    <span class="org-keyword">my</span> $<span class="org-variable-name">members</span> = $<span class="org-variable-name">yaml</span>-&gt;{<span class="org-string">"members"</span>};
    <span class="org-keyword">my</span> @<span class="org-perl-non-scalar-variable">member_peers</span> = ();
  
    <span class="org-keyword">my</span> $<span class="org-variable-name">members</span> = $<span class="org-variable-name">yaml</span>-&gt;{<span class="org-string">"members"</span>};
    <span class="org-keyword">my</span> @<span class="org-perl-non-scalar-variable">member_peers</span> = ();
@@ -8089,17 +8132,17 @@ better support in NetworkManager soon.)
                         (@<span class="org-perl-non-scalar-variable">campus_peers</span>, @<span class="org-perl-non-scalar-variable">member_peers</span>);
  
    <span class="org-keyword">my</span> $<span class="org-variable-name">core_wg_addr</span> = hostnum_to_ipaddr (2, $<span class="org-variable-name">public_wg_net_cidr</span>);
                         (@<span class="org-perl-non-scalar-variable">campus_peers</span>, @<span class="org-perl-non-scalar-variable">member_peers</span>);
  
    <span class="org-keyword">my</span> $<span class="org-variable-name">core_wg_addr</span> = hostnum_to_ipaddr (2, $<span class="org-variable-name">public_wg_net_cidr</span>);
-  <span class="org-keyword">my</span> $<span class="org-variable-name">extra_front_config</span> = <span class="org-string">"
-PostUp = resolvectl dns %i $core_addr
-PostUp = resolvectl domain %i $domain_priv
-
-# Core
-[Peer]
-PublicKey = $core_wg_pubkey
-AllowedIPs = $core_wg_addr
-AllowedIPs = $private_net_cidr
-AllowedIPs = $wild_net_cidr
-AllowedIPs = $campus_wg_net_cidr\n"</span>;
+  <span class="org-keyword">my</span> $<span class="org-variable-name">extra_front_config</span> = <span class="org-string">"</span>
+<span class="org-string">PostUp = resolvectl dns %i $core_addr</span>
+<span class="org-string">PostUp = resolvectl domain %i $domain_priv</span>
+
+<span class="org-string"># Core</span>
+<span class="org-string">[Peer]</span>
+<span class="org-string">PublicKey = $core_wg_pubkey</span>
+<span class="org-string">AllowedIPs = $core_wg_addr</span>
+<span class="org-string">AllowedIPs = $private_net_cidr</span>
+<span class="org-string">AllowedIPs = $wild_net_cidr</span>
+<span class="org-string">AllowedIPs = $campus_wg_net_cidr\n"</span>;
  
    write_wg_server (<span class="org-string">"private/front-wg0.conf"</span>, \@<span class="org-perl-non-scalar-variable">member_peers</span>,
                     hostnum_to_ipaddr_cidr (1, $<span class="org-variable-name">public_wg_net_cidr</span>),
  
    write_wg_server (<span class="org-string">"private/front-wg0.conf"</span>, \@<span class="org-perl-non-scalar-variable">member_peers</span>,
                     hostnum_to_ipaddr_cidr (1, $<span class="org-variable-name">public_wg_net_cidr</span>),
@@ -8113,19 +8156,19 @@ AllowedIPs = $campus_wg_net_cidr\n"</span>;
    <span class="org-keyword">my</span> ($<span class="org-variable-name">file</span>, $<span class="org-variable-name">peers</span>, $<span class="org-variable-name">addr_cidr</span>, $<span class="org-variable-name">port</span>, $<span class="org-variable-name">extra</span>) = @<span class="org-perl-non-scalar-variable">_</span>;
    <span class="org-keyword">my</span> $<span class="org-variable-name">O</span> = new IO::File;
    open ($<span class="org-variable-name">O</span>, <span class="org-string">"&gt;$file.tmp"</span>) or <span class="org-keyword">die</span> <span class="org-string">"Could not open $file.tmp: $!\n"</span>;
    <span class="org-keyword">my</span> ($<span class="org-variable-name">file</span>, $<span class="org-variable-name">peers</span>, $<span class="org-variable-name">addr_cidr</span>, $<span class="org-variable-name">port</span>, $<span class="org-variable-name">extra</span>) = @<span class="org-perl-non-scalar-variable">_</span>;
    <span class="org-keyword">my</span> $<span class="org-variable-name">O</span> = new IO::File;
    open ($<span class="org-variable-name">O</span>, <span class="org-string">"&gt;$file.tmp"</span>) or <span class="org-keyword">die</span> <span class="org-string">"Could not open $file.tmp: $!\n"</span>;
-  print $<span class="org-variable-name">O</span> <span class="org-string">"[Interface]
-Address = $addr_cidr
-ListenPort = $port
-PostUp = wg set %i private-key /etc/wireguard/private-key$extra"</span>;
+  print $<span class="org-variable-name">O</span> <span class="org-string">"[Interface]</span>
+<span class="org-string">Address = $addr_cidr</span>
+<span class="org-string">ListenPort = $port</span>
+<span class="org-string">PostUp = wg set %i private-key /etc/wireguard/private-key$extra"</span>;
    <span class="org-keyword">for</span> <span class="org-keyword">my</span> $<span class="org-variable-name">p</span> (@$<span class="org-variable-name">peers</span>) {
      <span class="org-keyword">my</span> ($<span class="org-variable-name">n</span>, $<span class="org-variable-name">h</span>, $<span class="org-variable-name">t</span>, $<span class="org-variable-name">k</span>, $<span class="org-variable-name">u</span>) = @$<span class="org-variable-name">p</span>;
      <span class="org-keyword">next</span> <span class="org-keyword">if</span> $<span class="org-variable-name">k</span> =~ <span class="org-string">/^-/</span>;
      <span class="org-keyword">my</span> $<span class="org-variable-name">ip</span> = hostnum_to_ipaddr ($<span class="org-variable-name">h</span>, $<span class="org-variable-name">addr_cidr</span>);
    <span class="org-keyword">for</span> <span class="org-keyword">my</span> $<span class="org-variable-name">p</span> (@$<span class="org-variable-name">peers</span>) {
      <span class="org-keyword">my</span> ($<span class="org-variable-name">n</span>, $<span class="org-variable-name">h</span>, $<span class="org-variable-name">t</span>, $<span class="org-variable-name">k</span>, $<span class="org-variable-name">u</span>) = @$<span class="org-variable-name">p</span>;
      <span class="org-keyword">next</span> <span class="org-keyword">if</span> $<span class="org-variable-name">k</span> =~ <span class="org-string">/^-/</span>;
      <span class="org-keyword">my</span> $<span class="org-variable-name">ip</span> = hostnum_to_ipaddr ($<span class="org-variable-name">h</span>, $<span class="org-variable-name">addr_cidr</span>);
-    print $<span class="org-variable-name">O</span> <span class="org-string">"
-# $n
-[Peer]
-PublicKey = $k
-AllowedIPs = $ip\n"</span>;
+    print $<span class="org-variable-name">O</span> <span class="org-string">"</span>
+<span class="org-string"># $n</span>
+<span class="org-string">[Peer]</span>
+<span class="org-string">PublicKey = $k</span>
+<span class="org-string">AllowedIPs = $ip\n"</span>;
    }
    close $<span class="org-variable-name">O</span> or <span class="org-keyword">die</span> <span class="org-string">"Could not close $file.tmp: $!\n"</span>;
    rename (<span class="org-string">"$file.tmp"</span>, $<span class="org-variable-name">file</span>)
    }
    close $<span class="org-variable-name">O</span> or <span class="org-keyword">die</span> <span class="org-string">"Could not close $file.tmp: $!\n"</span>;
    rename (<span class="org-string">"$file.tmp"</span>, $<span class="org-variable-name">file</span>)
@@ -8139,29 +8182,29 @@ AllowedIPs = $ip\n"</span>;
    open ($<span class="org-variable-name">O</span>, <span class="org-string">"&gt;$file.tmp"</span>) or <span class="org-keyword">die</span> <span class="org-string">"Could not open $file.tmp: $!\n"</span>;
  
    <span class="org-keyword">my</span> $<span class="org-variable-name">DNS</span> = ($<span class="org-variable-name">type</span> eq <span class="org-string">"android"</span>
    open ($<span class="org-variable-name">O</span>, <span class="org-string">"&gt;$file.tmp"</span>) or <span class="org-keyword">die</span> <span class="org-string">"Could not open $file.tmp: $!\n"</span>;
  
    <span class="org-keyword">my</span> $<span class="org-variable-name">DNS</span> = ($<span class="org-variable-name">type</span> eq <span class="org-string">"android"</span>
-             ? <span class="org-string">"
-DNS = $core_addr
-Domain = $domain_priv"</span>
-             : <span class="org-string">"
-PostUp = wg set %i private-key /etc/wireguard/private-key
-PostUp = resolvectl dns %i $core_addr
-PostUp = resolvectl domain %i $domain_priv"</span>);
+             ? <span class="org-string">"</span>
+<span class="org-string">DNS = $core_addr</span>
+<span class="org-string">Domain = $domain_priv"</span>
+             : <span class="org-string">"</span>
+<span class="org-string">PostUp = wg set %i private-key /etc/wireguard/private-key</span>
+<span class="org-string">PostUp = resolvectl dns %i $core_addr</span>
+<span class="org-string">PostUp = resolvectl domain %i $domain_priv"</span>);
  
    <span class="org-keyword">my</span> $<span class="org-variable-name">WILD</span> = ($<span class="org-variable-name">file</span> eq <span class="org-string">"public.conf"</span>
  
    <span class="org-keyword">my</span> $<span class="org-variable-name">WILD</span> = ($<span class="org-variable-name">file</span> eq <span class="org-string">"public.conf"</span>
-              ? <span class="org-string">"
-AllowedIPs = $wild_net_cidr"</span>
+              ? <span class="org-string">"</span>
+<span class="org-string">AllowedIPs = $wild_net_cidr"</span>
                : <span class="org-string">""</span>);
  
                : <span class="org-string">""</span>);
  
-  print $<span class="org-variable-name">O</span> <span class="org-string">"[Interface]
-Address = $addr$DNS
+  print $<span class="org-variable-name">O</span> <span class="org-string">"[Interface]</span>
+<span class="org-string">Address = $addr$DNS</span>
  
  
-[Peer]
-PublicKey = $pubkey
-EndPoint = $endpt
-AllowedIPs = $server_addr
-AllowedIPs = $private_net_cidr$WILD
-AllowedIPs = $public_wg_net_cidr
-AllowedIPs = $campus_wg_net_cidr\n"</span>;
+<span class="org-string">[Peer]</span>
+<span class="org-string">PublicKey = $pubkey</span>
+<span class="org-string">EndPoint = $endpt</span>
+<span class="org-string">AllowedIPs = $server_addr</span>
+<span class="org-string">AllowedIPs = $private_net_cidr$WILD</span>
+<span class="org-string">AllowedIPs = $public_wg_net_cidr</span>
+<span class="org-string">AllowedIPs = $campus_wg_net_cidr\n"</span>;
    close $<span class="org-variable-name">O</span> or <span class="org-keyword">die</span> <span class="org-string">"Could not close $file.tmp: $!\n"</span>;
    rename (<span class="org-string">"$file.tmp"</span>, $<span class="org-variable-name">file</span>)
      or <span class="org-keyword">die</span> <span class="org-string">"Could not rename $file.tmp: $!\n"</span>;
    close $<span class="org-variable-name">O</span> or <span class="org-keyword">die</span> <span class="org-string">"Could not close $file.tmp: $!\n"</span>;
    rename (<span class="org-string">"$file.tmp"</span>, $<span class="org-variable-name">file</span>)
      or <span class="org-keyword">die</span> <span class="org-string">"Could not rename $file.tmp: $!\n"</span>;
@@ -8171,9 +8214,9 @@ AllowedIPs = $campus_wg_net_cidr\n"</span>;
  {
    <span class="org-keyword">my</span> ($<span class="org-variable-name">hostnum</span>, $<span class="org-variable-name">net_cidr</span>) = @<span class="org-perl-non-scalar-variable">_</span>;
  
  {
    <span class="org-keyword">my</span> ($<span class="org-variable-name">hostnum</span>, $<span class="org-variable-name">net_cidr</span>) = @<span class="org-perl-non-scalar-variable">_</span>;
  
-  <span class="org-comment"># Assume 24bit subnet, 8bit hostnum.
-</span>  <span class="org-comment"># Find a Perl library for more generality?
-</span>  <span class="org-keyword">die</span> <span class="org-string">"$hostnum: hostnum too large\n"</span> <span class="org-keyword">if</span> $<span class="org-variable-name">hostnum</span> &gt; 255;
+  <span class="org-comment"># Assume 24bit subnet, 8bit hostnum.</span>
+  <span class="org-comment"># Find a Perl library for more generality?</span>
+  <span class="org-keyword">die</span> <span class="org-string">"$hostnum: hostnum too large\n"</span> <span class="org-keyword">if</span> $<span class="org-variable-name">hostnum</span> &gt; 255;
    <span class="org-keyword">my</span> ($<span class="org-variable-name">prefix</span>) = $<span class="org-variable-name">net_cidr</span> =~ m<span class="org-string">"^(\d+\.\d+\.\d+)\.\d+/24$"</span>;
    <span class="org-keyword">die</span> <span class="org-keyword">if</span> !$<span class="org-variable-name">prefix</span>;
    <span class="org-keyword">return</span> <span class="org-string">"$prefix.$hostnum"</span>;
    <span class="org-keyword">my</span> ($<span class="org-variable-name">prefix</span>) = $<span class="org-variable-name">net_cidr</span> =~ m<span class="org-string">"^(\d+\.\d+\.\d+)\.\d+/24$"</span>;
    <span class="org-keyword">die</span> <span class="org-keyword">if</span> !$<span class="org-variable-name">prefix</span>;
    <span class="org-keyword">return</span> <span class="org-string">"$prefix.$hostnum"</span>;
@@ -8183,9 +8226,9 @@ AllowedIPs = $campus_wg_net_cidr\n"</span>;
  {
    <span class="org-keyword">my</span> ($<span class="org-variable-name">hostnum</span>, $<span class="org-variable-name">net_cidr</span>) = @<span class="org-perl-non-scalar-variable">_</span>;
  
  {
    <span class="org-keyword">my</span> ($<span class="org-variable-name">hostnum</span>, $<span class="org-variable-name">net_cidr</span>) = @<span class="org-perl-non-scalar-variable">_</span>;
  
-  <span class="org-comment"># Assume 24bit subnet, 8bit hostnum.
-</span>  <span class="org-comment"># Find a Perl library for more generality?
-</span>  <span class="org-keyword">die</span> <span class="org-string">"$hostnum: hostnum too large\n"</span> <span class="org-keyword">if</span> $<span class="org-variable-name">hostnum</span> &gt; 255;
+  <span class="org-comment"># Assume 24bit subnet, 8bit hostnum.</span>
+  <span class="org-comment"># Find a Perl library for more generality?</span>
+  <span class="org-keyword">die</span> <span class="org-string">"$hostnum: hostnum too large\n"</span> <span class="org-keyword">if</span> $<span class="org-variable-name">hostnum</span> &gt; 255;
    <span class="org-keyword">my</span> ($<span class="org-variable-name">prefix</span>) = $<span class="org-variable-name">net_cidr</span> =~ m<span class="org-string">"^(\d+\.\d+\.\d+)\.\d+/24$"</span>;
    <span class="org-keyword">die</span> <span class="org-keyword">if</span> !$<span class="org-variable-name">prefix</span>;
    <span class="org-keyword">return</span> <span class="org-string">"$prefix.$hostnum/24"</span>;
    <span class="org-keyword">my</span> ($<span class="org-variable-name">prefix</span>) = $<span class="org-variable-name">net_cidr</span> =~ m<span class="org-string">"^(\d+\.\d+\.\d+)\.\d+/24$"</span>;
    <span class="org-keyword">die</span> <span class="org-keyword">if</span> !$<span class="org-variable-name">prefix</span>;
    <span class="org-keyword">return</span> <span class="org-string">"$prefix.$hostnum/24"</span>;
@@ -8194,8 +8237,8 @@ AllowedIPs = $campus_wg_net_cidr\n"</span>;
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orgb94f0ba" class="outline-3">
-<h3 id="orgb94f0ba"><span class="section-number-3">12.12.</span> Institute Command Help</h3>
+<div id="outline-container-org4254078" class="outline-3">
+<h3 id="org4254078"><span class="section-number-3">12.12.</span> Institute Command Help</h3>
  <div class="outline-text-3" id="text-12-12">
  <p>
  This should be the last block tangled into the <a href="inst"><q>inst</q></a> script.  It
  <div class="outline-text-3" id="text-12-12">
  <p>
  This should be the last block tangled into the <a href="inst"><q>inst</q></a> script.  It
@@ -8211,8 +8254,8 @@ above.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orgfb808de" class="outline-2">
-<h2 id="orgfb808de"><span class="section-number-2">13.</span> Testing</h2>
+<div id="outline-container-orga52c0d9" class="outline-2">
+<h2 id="orga52c0d9"><span class="section-number-2">13.</span> Testing</h2>
  <div class="outline-text-2" id="text-13">
  <p>
  The example files in this document, <a href="ansible.cfg"><q>ansible.cfg</q></a> and <a href="hosts"><q>hosts</q></a> as well
  <div class="outline-text-2" id="text-13">
  <p>
  The example files in this document, <a href="ansible.cfg"><q>ansible.cfg</q></a> and <a href="hosts"><q>hosts</q></a> as well
@@ -8231,7 +8274,7 @@ simulation is the VirtualBox host.
  <p>
  The next two sections list the steps taken to create the simulated
  Core, Gate and Front machines, and connect them to their networks.
  <p>
  The next two sections list the steps taken to create the simulated
  Core, Gate and Front machines, and connect them to their networks.
-The process is similar to that described in <a href="#org612052e">The (Actual) Hardware</a>, but
+The process is similar to that described in <a href="#orgc581563">The (Actual) Hardware</a>, but
  is covered in detail here where the VirtualBox hypervisor can be
  assumed and exact command lines can be given (and copied during
  re-testing).  The remaining sections describe the manual testing
  is covered in detail here where the VirtualBox hypervisor can be
  assumed and exact command lines can be given (and copied during
  re-testing).  The remaining sections describe the manual testing
@@ -8247,8 +8290,8 @@ HTML version of the latest revision can be found on the official web
  site at <a href="https://www.virtualbox.org/manual/UserManual.html">https://www.virtualbox.org/manual/UserManual.html</a>.
  </p>
  </div>
  site at <a href="https://www.virtualbox.org/manual/UserManual.html">https://www.virtualbox.org/manual/UserManual.html</a>.
  </p>
  </div>
-<div id="outline-container-orgbb6941e" class="outline-3">
-<h3 id="orgbb6941e"><span class="section-number-3">13.1.</span> The Test Networks</h3>
+<div id="outline-container-org3473387" class="outline-3">
+<h3 id="org3473387"><span class="section-number-3">13.1.</span> The Test Networks</h3>
  <div class="outline-text-3" id="text-13-1">
  <p>
  The networks used in the test:
  <div class="outline-text-3" id="text-13-1">
  <p>
  The networks used in the test:
@@ -8293,12 +8336,12 @@ following <code>VBoxManage</code> commands.
                            --enable --dhcp on --ipv6 off
  VBoxManage natnetwork start --netname public
  VBoxManage dhcpserver modify --network=public --lower-ip=192.168.15.5
                            --enable --dhcp on --ipv6 off
  VBoxManage natnetwork start --netname public
  VBoxManage dhcpserver modify --network=public --lower-ip=192.168.15.5
-VBoxManage hostonlyif create <span class="org-comment-delimiter"># </span><span class="org-comment">vboxnet0
-</span>VBoxManage hostonlyif ipconfig vboxnet0 --ip=192.168.56.10
-VBoxManage hostonlyif create <span class="org-comment-delimiter"># </span><span class="org-comment">vboxnet1
-</span>VBoxManage hostonlyif ipconfig vboxnet1 --ip=192.168.57.2
-VBoxManage hostonlyif create <span class="org-comment-delimiter"># </span><span class="org-comment">vboxnet2
-</span>VBoxManage hostonlyif ipconfig vboxnet2 --ip=192.168.58.1
+VBoxManage hostonlyif create <span class="org-comment-delimiter"># </span><span class="org-comment">vboxnet0</span>
+VBoxManage hostonlyif ipconfig vboxnet0 --ip=192.168.56.10
+VBoxManage hostonlyif create <span class="org-comment-delimiter"># </span><span class="org-comment">vboxnet1</span>
+VBoxManage hostonlyif ipconfig vboxnet1 --ip=192.168.57.2
+VBoxManage hostonlyif create <span class="org-comment-delimiter"># </span><span class="org-comment">vboxnet2</span>
+VBoxManage hostonlyif ipconfig vboxnet2 --ip=192.168.58.1
  </code></pre>
  </div>
  
  </code></pre>
  </div>
  
@@ -8317,14 +8360,14 @@ in <code>192.168.15.0/24</code>, on the NAT network <code>public</code>.
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-org4e299ab" class="outline-3">
-<h3 id="org4e299ab"><span class="section-number-3">13.2.</span> The Test Machines</h3>
+<div id="outline-container-org3093f37" class="outline-3">
+<h3 id="org3093f37"><span class="section-number-3">13.2.</span> The Test Machines</h3>
  <div class="outline-text-3" id="text-13-2">
  <p>
  The virtual machines are created by <code>VBoxManage</code> command lines in the
  following sub-sections.  They each start with a recent Debian release
  (e.g. <q>debian-12.5.0-amd64-netinst.iso</q>) in their simulated DVD
  <div class="outline-text-3" id="text-13-2">
  <p>
  The virtual machines are created by <code>VBoxManage</code> command lines in the
  following sub-sections.  They each start with a recent Debian release
  (e.g. <q>debian-12.5.0-amd64-netinst.iso</q>) in their simulated DVD
-drives.  Preparation of <a href="#org612052e">The Hardware</a> installed additional software
+drives.  Preparation of <a href="#orgc581563">The Hardware</a> installed additional software
  packages and keys while the machines had Internet access.  They were
  then moved to the new campus network where Ansible completed the
  configuration without Internet access.
  packages and keys while the machines had Internet access.  They were
  then moved to the new campus network where Ansible completed the
  configuration without Internet access.
@@ -8342,8 +8385,8 @@ shutting each VM down, executing a <code>VBoxManage</code> command line or two,
  and restarting.
  </p>
  </div>
  and restarting.
  </p>
  </div>
-<div id="outline-container-orgfed28f6" class="outline-4">
-<h4 id="orgfed28f6"><span class="section-number-4">13.2.1.</span> The Test Wireguard™ Keys <a id="org394c4e9"></a></h4>
+<div id="outline-container-org3ba7dc7" class="outline-4">
+<h4 id="org3ba7dc7"><span class="section-number-4">13.2.1.</span> The Test Wireguard™ Keys <a id="orgf621e7c"></a></h4>
  <div class="outline-text-4" id="text-13-2-1">
  <p>
  All of the private keys used in the example/test configuration are
  <div class="outline-text-4" id="text-13-2-1">
  <p>
  All of the private keys used in the example/test configuration are
@@ -8408,8 +8451,8 @@ collected (and registered with the <code>./inst client</code> command).
  </table>
  </div>
  </div>
  </table>
  </div>
  </div>
-<div id="outline-container-org2cfc2f7" class="outline-4">
-<h4 id="org2cfc2f7"><span class="section-number-4">13.2.2.</span> Ansible Test Authorization</h4>
+<div id="outline-container-org9fd3cb4" class="outline-4">
+<h4 id="org9fd3cb4"><span class="section-number-4">13.2.2.</span> Ansible Test Authorization</h4>
  <div class="outline-text-4" id="text-13-2-2">
  <p>
  Part of each machine's preparation is to authorize password-less SSH
  <div class="outline-text-4" id="text-13-2-2">
  <p>
  Part of each machine's preparation is to authorize password-less SSH
@@ -8420,7 +8463,7 @@ provided here tagged with <code>test-auth</code> and used via noweb reference
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<code>test-auth</code><pre class="src src-sh" id="orgc8f099b"><code>( <span class="org-builtin">cd</span>
+<code>test-auth</code><pre class="src src-sh" id="org12d463a"><code>( <span class="org-builtin">cd</span>
    <span class="org-builtin">umask</span> 077
    <span class="org-keyword">if</span> [ <span class="org-negation-char">!</span> -d .ssh ]; <span class="org-keyword">then</span> mkdir .ssh; <span class="org-keyword">fi</span>
    ( <span class="org-builtin">echo</span> -n <span class="org-string">"ssh-rsa"</span>
    <span class="org-builtin">umask</span> 077
    <span class="org-keyword">if</span> [ <span class="org-negation-char">!</span> -d .ssh ]; <span class="org-keyword">then</span> mkdir .ssh; <span class="org-keyword">fi</span>
    ( <span class="org-builtin">echo</span> -n <span class="org-string">"ssh-rsa"</span>
@@ -8440,8 +8483,8 @@ provided here tagged with <code>test-auth</code> and used via noweb reference
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orga3d353d" class="outline-4">
-<h4 id="orga3d353d"><span class="section-number-4">13.2.3.</span> A Test Machine</h4>
+<div id="outline-container-org3b352da" class="outline-4">
+<h4 id="org3b352da"><span class="section-number-4">13.2.3.</span> A Test Machine</h4>
  <div class="outline-text-4" id="text-13-2-3">
  <p>
  The following shell function contains most of the <code>VBoxManage</code>
  <div class="outline-text-4" id="text-13-2-3">
  <p>
  The following shell function contains most of the <code>VBoxManage</code>
@@ -8573,8 +8616,8 @@ The administrator logs in here, with username <code>sysadm</code> and password
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-orga994a42" class="outline-4">
-<h4 id="orga994a42"><span class="section-number-4">13.2.4.</span> The Test Front Machine</h4>
+<div id="outline-container-orgf8cddd8" class="outline-4">
+<h4 id="orgf8cddd8"><span class="section-number-4">13.2.4.</span> The Test Front Machine</h4>
  <div class="outline-text-4" id="text-13-2-4">
  <p>
  The <code>front</code> machine is created with 512MiB of RAM, 4GiB of disk, and
  <div class="outline-text-4" id="text-13-2-4">
  <p>
  The <code>front</code> machine is created with 512MiB of RAM, 4GiB of disk, and
@@ -8615,8 +8658,8 @@ installed just to shorten Ansible's work later.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<a href="private/test-front-prep"><q>private/test-front-prep</q></a><pre class="src src-sh"><code><span class="org-comment-delimiter">#</span><span class="org-comment">!/bin/</span><span class="org-keyword">bash</span><span class="org-comment"> -e
-</span>
+<a href="private/test-front-prep"><q>private/test-front-prep</q></a><pre class="src src-sh"><code><span class="org-comment-delimiter">#</span><span class="org-comment">!/bin/</span><span class="org-keyword">bash</span><span class="org-comment"> -e</span>
+
  sudo apt install wireguard systemd-resolved <span class="org-sh-escaped-newline">\</span>
      unattended-upgrades postfix dovecot-imapd rsync apache2 kamailio
  </code></pre>
  sudo apt install wireguard systemd-resolved <span class="org-sh-escaped-newline">\</span>
      unattended-upgrades postfix dovecot-imapd rsync apache2 kamailio
  </code></pre>
@@ -8666,27 +8709,27 @@ to the second NIC.
  <a href="private/test-front-prep"><q>private/test-front-prep</q></a><pre class="src src-sh"><code>
  ( <span class="org-builtin">cd</span> /etc/network/; <span class="org-sh-escaped-newline">\</span>
    [ -f interfaces~ ] || sudo mv interfaces interfaces~ )
  <a href="private/test-front-prep"><q>private/test-front-prep</q></a><pre class="src src-sh"><code>
  ( <span class="org-builtin">cd</span> /etc/network/; <span class="org-sh-escaped-newline">\</span>
    [ -f interfaces~ ] || sudo mv interfaces interfaces~ )
-cat &lt;&lt;EOF | sudo tee /etc/network/interfaces &gt;/dev/null<span class="org-sh-heredoc">
-# This file describes the network interfaces available on your system
-# and how to activate them. For more information, see interfaces(5).
+cat &lt;&lt;EOF | sudo tee /etc/network/interfaces &gt;/dev/null
+<span class="org-sh-heredoc"># This file describes the network interfaces available on your system</span>
+<span class="org-sh-heredoc"># and how to activate them. For more information, see interfaces(5).</span>
  
  
-source /etc/network/interfaces.d/*
+<span class="org-sh-heredoc">source /etc/network/interfaces.d/*</span>
  
  
-# The loopback network interface
-auto lo
-iface lo inet loopback
+<span class="org-sh-heredoc"># The loopback network interface</span>
+<span class="org-sh-heredoc">auto lo</span>
+<span class="org-sh-heredoc">iface lo inet loopback</span>
  
  
-# The primary network interface
-auto enp0s3
-iface enp0s3 inet static
-    address 192.168.15.4/24
-    gateway 192.168.15.1
+<span class="org-sh-heredoc"># The primary network interface</span>
+<span class="org-sh-heredoc">auto enp0s3</span>
+<span class="org-sh-heredoc">iface enp0s3 inet static</span>
+<span class="org-sh-heredoc">    address 192.168.15.4/24</span>
+<span class="org-sh-heredoc">    gateway 192.168.15.1</span>
  
  
-# Testing interface
-auto enp0s8
-iface enp0s8 inet static
-    address 192.168.58.3/24
-EOF</span>
+<span class="org-sh-heredoc"># Testing interface</span>
+<span class="org-sh-heredoc">auto enp0s8</span>
+<span class="org-sh-heredoc">iface enp0s8 inet static</span>
+<span class="org-sh-heredoc">    address 192.168.58.3/24</span>
+<span class="org-sh-heredoc">EOF</span>
  </code></pre>
  </div>
  
  </code></pre>
  </div>
  
@@ -8713,7 +8756,7 @@ down and moved to the simulated cloud (from the default NAT network).
  The following <code>VBoxManage</code> commands effect the move, connecting the
  primary NIC to <code>public</code> and a second NIC to the host-only network
  <code>vboxnet2</code> (making it directly accessible to the administrator's
  The following <code>VBoxManage</code> commands effect the move, connecting the
  primary NIC to <code>public</code> and a second NIC to the host-only network
  <code>vboxnet2</code> (making it directly accessible to the administrator's
-notebook as described in <a href="#orgbb6941e">The Test Networks</a>).
+notebook as described in <a href="#org3473387">The Test Networks</a>).
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
@@ -8727,8 +8770,8 @@ VBoxManage modifyvm front --nic2 hostonly --hostonlyadapter2 vboxnet2
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-orgf23e266" class="outline-4">
-<h4 id="orgf23e266"><span class="section-number-4">13.2.5.</span> The Test Gate Machine</h4>
+<div id="outline-container-orgab80c9a" class="outline-4">
+<h4 id="orgab80c9a"><span class="section-number-4">13.2.5.</span> The Test Gate Machine</h4>
  <div class="outline-text-4" id="text-13-2-5">
  <p>
  The <code>gate</code> machine is created with the same amount of RAM and disk as
  <div class="outline-text-4" id="text-13-2-5">
  <p>
  The <code>gate</code> machine is created with the same amount of RAM and disk as
@@ -8742,7 +8785,7 @@ not changed, <code>gate</code> can be created with one command.
  </div>
  
  <p>
  </div>
  
  <p>
-After Debian is installed (as detailed in <a href="#orga3d353d">A Test Machine</a>) and the
+After Debian is installed (as detailed in <a href="#org3b352da">A Test Machine</a>) and the
  machine rebooted, the administrator copies the following script to the
  machine and executes it.
  </p>
  machine rebooted, the administrator copies the following script to the
  machine and executes it.
  </p>
@@ -8761,8 +8804,8 @@ The script starts by installing additional software packages.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<a href="private/test-gate-prep"><q>private/test-gate-prep</q></a><pre class="src src-sh"><code><span class="org-comment-delimiter">#</span><span class="org-comment">!/bin/</span><span class="org-keyword">bash</span><span class="org-comment"> -e
-</span>
+<a href="private/test-gate-prep"><q>private/test-gate-prep</q></a><pre class="src src-sh"><code><span class="org-comment-delimiter">#</span><span class="org-comment">!/bin/</span><span class="org-keyword">bash</span><span class="org-comment"> -e</span>
+
  sudo apt install wireguard systemd-resolved unattended-upgrades <span class="org-sh-escaped-newline">\</span>
                   postfix ufw lm-sensors nagios-nrpe-server
  </code></pre>
  sudo apt install wireguard systemd-resolved unattended-upgrades <span class="org-sh-escaped-newline">\</span>
                   postfix ufw lm-sensors nagios-nrpe-server
  </code></pre>
@@ -8800,22 +8843,22 @@ sufficient to allow remote access by Ansible.)
  
  <div class="org-src-container">
  <a href="private/test-gate-prep"><q>private/test-gate-prep</q></a><pre class="src src-sh"><code>
  
  <div class="org-src-container">
  <a href="private/test-gate-prep"><q>private/test-gate-prep</q></a><pre class="src src-sh"><code>
-cat &lt;&lt;EOD | sudo tee /etc/systemd/network/10-lan.link &gt;/dev/null<span class="org-sh-heredoc">
-[Match]
-MACAddress=08:00:27:f3:16:79
-
-[Link]
-Name=lan
-EOD
-</span>
-cat &lt;&lt;EOD | sudo tee /etc/systemd/network/10-lan.network &gt;/dev/null<span class="org-sh-heredoc">
-[Match]
-MACAddress=08:00:27:f3:16:79
-
-[Network]
-Address=192.168.56.2/24
-EOD
-</span>
+cat &lt;&lt;EOD | sudo tee /etc/systemd/network/10-lan.link &gt;/dev/null
+<span class="org-sh-heredoc">[Match]</span>
+<span class="org-sh-heredoc">MACAddress=08:00:27:f3:16:79</span>
+
+<span class="org-sh-heredoc">[Link]</span>
+<span class="org-sh-heredoc">Name=lan</span>
+<span class="org-sh-heredoc">EOD</span>
+
+cat &lt;&lt;EOD | sudo tee /etc/systemd/network/10-lan.network &gt;/dev/null
+<span class="org-sh-heredoc">[Match]</span>
+<span class="org-sh-heredoc">MACAddress=08:00:27:f3:16:79</span>
+
+<span class="org-sh-heredoc">[Network]</span>
+<span class="org-sh-heredoc">Address=192.168.56.2/24</span>
+<span class="org-sh-heredoc">EOD</span>
+
  sudo systemctl --quiet enable systemd-networkd
  </code></pre>
  </div>
  sudo systemctl --quiet enable systemd-networkd
  </code></pre>
  </div>
@@ -8896,8 +8939,8 @@ values of the MAC address variables in this table.
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-org2a3caf7" class="outline-4">
-<h4 id="org2a3caf7"><span class="section-number-4">13.2.6.</span> The Test Core Machine</h4>
+<div id="outline-container-orgdb01a99" class="outline-4">
+<h4 id="orgdb01a99"><span class="section-number-4">13.2.6.</span> The Test Core Machine</h4>
  <div class="outline-text-4" id="text-13-2-6">
  <p>
  The <code>core</code> machine is created with 1GiB of RAM and 6GiB of disk.
  <div class="outline-text-4" id="text-13-2-6">
  <p>
  The <code>core</code> machine is created with 1GiB of RAM and 6GiB of disk.
@@ -8911,7 +8954,7 @@ created with following command.
  </div>
  
  <p>
  </div>
  
  <p>
-After Debian is installed (as detailed in <a href="#orga3d353d">A Test Machine</a>) and the
+After Debian is installed (as detailed in <a href="#org3b352da">A Test Machine</a>) and the
  machine rebooted, the administrator copies the following script to the
  machine and executes it.
  </p>
  machine rebooted, the administrator copies the following script to the
  machine and executes it.
  </p>
@@ -8930,8 +8973,8 @@ The script starts by installing additional software packages.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<a href="private/test-core-prep"><q>private/test-core-prep</q></a><pre class="src src-sh"><code><span class="org-comment-delimiter">#</span><span class="org-comment">!/bin/</span><span class="org-keyword">bash</span><span class="org-comment"> -e
-</span>
+<a href="private/test-core-prep"><q>private/test-core-prep</q></a><pre class="src src-sh"><code><span class="org-comment-delimiter">#</span><span class="org-comment">!/bin/</span><span class="org-keyword">bash</span><span class="org-comment"> -e</span>
+
  sudo apt install wireguard systemd-resolved unattended-upgrades <span class="org-sh-escaped-newline">\</span>
                   chrony isc-dhcp-server bind9 apache2 postfix <span class="org-sh-escaped-newline">\</span>
                   dovecot-imapd fetchmail rsync gnupg <span class="org-sh-escaped-newline">\</span>
  sudo apt install wireguard systemd-resolved unattended-upgrades <span class="org-sh-escaped-newline">\</span>
                   chrony isc-dhcp-server bind9 apache2 postfix <span class="org-sh-escaped-newline">\</span>
                   dovecot-imapd fetchmail rsync gnupg <span class="org-sh-escaped-newline">\</span>
@@ -8974,25 +9017,25 @@ Next, the script configures the primary NIC with <q>10-lan.link</q> and
  
  <div class="org-src-container">
  <a href="private/test-core-prep"><q>private/test-core-prep</q></a><pre class="src src-sh"><code>
  
  <div class="org-src-container">
  <a href="private/test-core-prep"><q>private/test-core-prep</q></a><pre class="src src-sh"><code>
-cat &lt;&lt;EOD | sudo tee /etc/systemd/network/10-lan.link &gt;/dev/null<span class="org-sh-heredoc">
-[Match]
-MACAddress=08:00:27:b3:e5:5f
-
-[Link]
-Name=lan
-EOD
-</span>
-cat &lt;&lt;EOD | sudo tee /etc/systemd/network/10-lan.network &gt;/dev/null<span class="org-sh-heredoc">
-[Match]
-MACAddress=08:00:27:b3:e5:5f
-
-[Network]
-Address=192.168.56.1/24
-Gateway=192.168.56.2
-DNS=192.168.56.1
-Domains=small.private
-EOD
-</span>
+cat &lt;&lt;EOD | sudo tee /etc/systemd/network/10-lan.link &gt;/dev/null
+<span class="org-sh-heredoc">[Match]</span>
+<span class="org-sh-heredoc">MACAddress=08:00:27:b3:e5:5f</span>
+
+<span class="org-sh-heredoc">[Link]</span>
+<span class="org-sh-heredoc">Name=lan</span>
+<span class="org-sh-heredoc">EOD</span>
+
+cat &lt;&lt;EOD | sudo tee /etc/systemd/network/10-lan.network &gt;/dev/null
+<span class="org-sh-heredoc">[Match]</span>
+<span class="org-sh-heredoc">MACAddress=08:00:27:b3:e5:5f</span>
+
+<span class="org-sh-heredoc">[Network]</span>
+<span class="org-sh-heredoc">Address=192.168.56.1/24</span>
+<span class="org-sh-heredoc">Gateway=192.168.56.2</span>
+<span class="org-sh-heredoc">DNS=192.168.56.1</span>
+<span class="org-sh-heredoc">Domains=small.private</span>
+<span class="org-sh-heredoc">EOD</span>
+
  sudo systemctl --quiet enable systemd-networkd
  </code></pre>
  </div>
  sudo systemctl --quiet enable systemd-networkd
  </code></pre>
  </div>
@@ -9019,8 +9062,8 @@ VBoxManage modifyvm core --nic1 hostonly --hostonlyadapter1 vboxnet0
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orgcd26e2c" class="outline-3">
-<h3 id="orgcd26e2c"><span class="section-number-3">13.3.</span> Configure Test Machines</h3>
+<div id="outline-container-orgf736f93" class="outline-3">
+<h3 id="orgf736f93"><span class="section-number-3">13.3.</span> Configure Test Machines</h3>
  <div class="outline-text-3" id="text-13-3">
  <p>
  At this point the three test machines <code>core</code>, <code>gate</code>, and <code>front</code> are
  <div class="outline-text-3" id="text-13-3">
  <p>
  At this point the three test machines <code>core</code>, <code>gate</code>, and <code>front</code> are
@@ -9055,8 +9098,8 @@ less than a restart will get <code>systemd-udevd</code> to rename the <code>isp<
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-org83c00e6" class="outline-3">
-<h3 id="org83c00e6"><span class="section-number-3">13.4.</span> Test Basics</h3>
+<div id="outline-container-org185f439" class="outline-3">
+<h3 id="org185f439"><span class="section-number-3">13.4.</span> Test Basics</h3>
  <div class="outline-text-3" id="text-13-4">
  <p>
  At this point the test institute is just <code>core</code>, <code>gate</code> and <code>front</code>,
  <div class="outline-text-3" id="text-13-4">
  <p>
  At this point the test institute is just <code>core</code>, <code>gate</code> and <code>front</code>,
@@ -9077,8 +9120,8 @@ forwarding (and NATing).  On <code>core</code> (and <code>gate</code>):
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<pre class="src src-sh"><code>ping -c 1 8.8.4.4      <span class="org-comment-delimiter"># </span><span class="org-comment">dns.google
-</span>ping -c 1 192.168.15.4 <span class="org-comment-delimiter"># </span><span class="org-comment">front_addr</span>
+<pre class="src src-sh"><code>ping -c 1 8.8.4.4      <span class="org-comment-delimiter"># </span><span class="org-comment">dns.google</span>
+ping -c 1 192.168.15.4 <span class="org-comment-delimiter"># </span><span class="org-comment">front_addr</span>
  </code></pre>
  </div>
  
  </code></pre>
  </div>
  
@@ -9118,12 +9161,12 @@ instant attention).
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-org31b0e2e" class="outline-3">
-<h3 id="org31b0e2e"><span class="section-number-3">13.5.</span> The Test Nextcloud</h3>
+<div id="outline-container-org5728825" class="outline-3">
+<h3 id="org5728825"><span class="section-number-3">13.5.</span> The Test Nextcloud</h3>
  <div class="outline-text-3" id="text-13-5">
  <p>
  Further tests involve Nextcloud account management.  Nextcloud is
  <div class="outline-text-3" id="text-13-5">
  <p>
  Further tests involve Nextcloud account management.  Nextcloud is
-installed on <code>core</code> as described in <a href="#org765a566">Install Nextcloud</a>.  Once
+installed on <code>core</code> as described in <a href="#orgb6f2431">Install Nextcloud</a>.  Once
  <q>/Nextcloud/</q> is created, <code>./inst config core</code> will validate
  or update its configuration files.
  </p>
  <q>/Nextcloud/</q> is created, <code>./inst config core</code> will validate
  or update its configuration files.
  </p>
@@ -9145,8 +9188,8 @@ with the <code>./inst client</code> command.
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-org8be29a8" class="outline-3">
-<h3 id="org8be29a8"><span class="section-number-3">13.6.</span> Test New Command</h3>
+<div id="outline-container-org04f7f13" class="outline-3">
+<h3 id="org04f7f13"><span class="section-number-3">13.6.</span> Test New Command</h3>
  <div class="outline-text-3" id="text-13-6">
  <p>
  A member must be enrolled so that a member's client machine can be
  <div class="outline-text-3" id="text-13-6">
  <p>
  A member must be enrolled so that a member's client machine can be
@@ -9166,8 +9209,8 @@ Take note of Dick's initial password.
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-orgf840624" class="outline-3">
-<h3 id="orgf840624"><span class="section-number-3">13.7.</span> The Test Member Notebook</h3>
+<div id="outline-container-orgcb5ff30" class="outline-3">
+<h3 id="orgcb5ff30"><span class="section-number-3">13.7.</span> The Test Member Notebook</h3>
  <div class="outline-text-3" id="text-13-7">
  <p>
  A test member's notebook is created next, much like the servers,
  <div class="outline-text-3" id="text-13-7">
  <p>
  A test member's notebook is created next, much like the servers,
@@ -9195,7 +9238,7 @@ behind) the access point.
  </p>
  
  <p>
  </p>
  
  <p>
-Debian is installed much as detailed in <a href="#orga3d353d">A Test Machine</a> <i>except</i> that
+Debian is installed much as detailed in <a href="#org3b352da">A Test Machine</a> <i>except</i> that
  the SSH server option is <i>not</i> needed and the GNOME desktop option
  <i>is</i>.  When the machine reboots, the administrator logs into the
  desktop and installs a couple additional software packages (which
  the SSH server option is <i>not</i> needed and the GNOME desktop option
  <i>is</i>.  When the machine reboots, the administrator logs into the
  desktop and installs a couple additional software packages (which
@@ -9209,8 +9252,8 @@ require several more).
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org9b617de" class="outline-3">
-<h3 id="org9b617de"><span class="section-number-3">13.8.</span> Test Client Command</h3>
+<div id="outline-container-org5c2ece5" class="outline-3">
+<h3 id="org5c2ece5"><span class="section-number-3">13.8.</span> Test Client Command</h3>
  <div class="outline-text-3" id="text-13-8">
  <p>
  The <code>./inst client</code> command is used to register the public key of a
  <div class="outline-text-3" id="text-13-8">
  <p>
  The <code>./inst client</code> command is used to register the public key of a
@@ -9252,8 +9295,8 @@ sudo systemctl enable wg-quick@campus
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orga591c73" class="outline-3">
-<h3 id="orga591c73"><span class="section-number-3">13.9.</span> Test Campus WireGuard™ Subnet</h3>
+<div id="outline-container-org16e738d" class="outline-3">
+<h3 id="org16e738d"><span class="section-number-3">13.9.</span> Test Campus WireGuard™ Subnet</h3>
  <div class="outline-text-3" id="text-13-9">
  <p>
  A few basic tests are then performed in a terminal.
  <div class="outline-text-3" id="text-13-9">
  <p>
  A few basic tests are then performed in a terminal.
@@ -9261,17 +9304,17 @@ A few basic tests are then performed in a terminal.
  
  <div class="org-src-container">
  <pre class="src src-sh"><code>systemctl status
  
  <div class="org-src-container">
  <pre class="src src-sh"><code>systemctl status
-ping -c 1 8.8.8.8      <span class="org-comment-delimiter"># </span><span class="org-comment">dns.google
-</span>ping -c 1 192.168.56.1 <span class="org-comment-delimiter"># </span><span class="org-comment">core
-</span>host dns.google
+ping -c 1 8.8.8.8      <span class="org-comment-delimiter"># </span><span class="org-comment">dns.google</span>
+ping -c 1 192.168.56.1 <span class="org-comment-delimiter"># </span><span class="org-comment">core</span>
+host dns.google
  host core.small.private
  host www
  </code></pre>
  </div>
  </div>
  </div>
  host core.small.private
  host www
  </code></pre>
  </div>
  </div>
  </div>
-<div id="outline-container-orgbb345dd" class="outline-3">
-<h3 id="orgbb345dd"><span class="section-number-3">13.10.</span> Test Web Pages</h3>
+<div id="outline-container-orga9d6332" class="outline-3">
+<h3 id="orga9d6332"><span class="section-number-3">13.10.</span> Test Web Pages</h3>
  <div class="outline-text-3" id="text-13-10">
  <p>
  Next, the administrator copies <a href="Backup/WWW/"><q>Backup/WWW/</q></a> (included in the
  <div class="outline-text-3" id="text-13-10">
  <p>
  Next, the administrator copies <a href="Backup/WWW/"><q>Backup/WWW/</q></a> (included in the
@@ -9325,8 +9368,8 @@ the edit observed immediately, and its correction within 15 minutes.
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-org4d660de" class="outline-3">
-<h3 id="org4d660de"><span class="section-number-3">13.11.</span> Test Nextcloud</h3>
+<div id="outline-container-org6c698c5" class="outline-3">
+<h3 id="org6c698c5"><span class="section-number-3">13.11.</span> Test Nextcloud</h3>
  <div class="outline-text-3" id="text-13-11">
  <p>
  Using the browser on the simulated member notebook, the Nextcloud
  <div class="outline-text-3" id="text-13-11">
  <p>
  Using the browser on the simulated member notebook, the Nextcloud
@@ -9403,8 +9446,8 @@ the calendar.</li>
  </ul>
  </div>
  </div>
  </ul>
  </div>
  </div>
-<div id="outline-container-org011d35c" class="outline-3">
-<h3 id="org011d35c"><span class="section-number-3">13.12.</span> Test Email</h3>
+<div id="outline-container-orgb81a9f1" class="outline-3">
+<h3 id="orgb81a9f1"><span class="section-number-3">13.12.</span> Test Email</h3>
  <div class="outline-text-3" id="text-13-12">
  <p>
  With Evolution running on the member notebook <code>dick</code>, one second email
  <div class="outline-text-3" id="text-13-12">
  <p>
  With Evolution running on the member notebook <code>dick</code>, one second email
@@ -9432,8 +9475,8 @@ Outgoing email is also tested.  A message to
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-org774462c" class="outline-3">
-<h3 id="org774462c"><span class="section-number-3">13.13.</span> Test Public VPN</h3>
+<div id="outline-container-orgbec2047" class="outline-3">
+<h3 id="orgbec2047"><span class="section-number-3">13.13.</span> Test Public VPN</h3>
  <div class="outline-text-3" id="text-13-13">
  <p>
  At this point, <code>dick</code> can move abroad, from the campus Wi-Fi
  <div class="outline-text-3" id="text-13-13">
  <p>
  At this point, <code>dick</code> can move abroad, from the campus Wi-Fi
@@ -9463,9 +9506,9 @@ Again, some basics are tested in a terminal.
  </p>
  
  <div class="org-src-container">
  </p>
  
  <div class="org-src-container">
-<pre class="src src-sh"><code>ping -c 1 8.8.8.8      <span class="org-comment-delimiter"># </span><span class="org-comment">dns.google
-</span>ping -c 1 192.168.56.1 <span class="org-comment-delimiter"># </span><span class="org-comment">core
-</span>host dns.google
+<pre class="src src-sh"><code>ping -c 1 8.8.8.8      <span class="org-comment-delimiter"># </span><span class="org-comment">dns.google</span>
+ping -c 1 192.168.56.1 <span class="org-comment-delimiter"># </span><span class="org-comment">core</span>
+host dns.google
  host core.small.private
  host www
  </code></pre>
  host core.small.private
  host www
  </code></pre>
@@ -9494,8 +9537,8 @@ calendar events.
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-orgdc86273" class="outline-3">
-<h3 id="orgdc86273"><span class="section-number-3">13.14.</span> Test Pass Command</h3>
+<div id="outline-container-org9528cec" class="outline-3">
+<h3 id="org9528cec"><span class="section-number-3">13.14.</span> Test Pass Command</h3>
  <div class="outline-text-3" id="text-13-14">
  <p>
  To test the <code>./inst pass</code> command, the administrator logs in to <code>core</code>
  <div class="outline-text-3" id="text-13-14">
  <p>
  To test the <code>./inst pass</code> command, the administrator logs in to <code>core</code>
@@ -9547,8 +9590,8 @@ Finally, the administrator verifies that <code>dick</code> can login on <code>co
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-org77c94ce" class="outline-3">
-<h3 id="org77c94ce"><span class="section-number-3">13.15.</span> Test Old Command</h3>
+<div id="outline-container-orga994875" class="outline-3">
+<h3 id="orga994875"><span class="section-number-3">13.15.</span> Test Old Command</h3>
  <div class="outline-text-3" id="text-13-15">
  <p>
  One more institute command is left to exercise.  The administrator
  <div class="outline-text-3" id="text-13-15">
  <p>
  One more institute command is left to exercise.  The administrator
@@ -9568,16 +9611,16 @@ fail.
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-orgb4993fc" class="outline-2">
-<h2 id="orgb4993fc"><span class="section-number-2">14.</span> Future Work</h2>
+<div id="outline-container-org04df873" class="outline-2">
+<h2 id="org04df873"><span class="section-number-2">14.</span> Future Work</h2>
  <div class="outline-text-2" id="text-14">
  <p>
  The small institute's network, as currently defined in this doocument,
  is lacking in a number of respects.
  </p>
  </div>
  <div class="outline-text-2" id="text-14">
  <p>
  The small institute's network, as currently defined in this doocument,
  is lacking in a number of respects.
  </p>
  </div>
-<div id="outline-container-orgf22a258" class="outline-3">
-<h3 id="orgf22a258"><span class="section-number-3">14.1.</span> Deficiencies</h3>
+<div id="outline-container-org7154c20" class="outline-3">
+<h3 id="org7154c20"><span class="section-number-3">14.1.</span> Deficiencies</h3>
  <div class="outline-text-3" id="text-14-1">
  <p>
  The current network monitoring is rudimentary.  It could use some
  <div class="outline-text-3" id="text-14-1">
  <p>
  The current network monitoring is rudimentary.  It could use some
@@ -9598,16 +9641,16 @@ not available on Front, yet.
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-orgcb70f46" class="outline-3">
-<h3 id="orgcb70f46"><span class="section-number-3">14.2.</span> More Tests</h3>
+<div id="outline-container-org93ef5f2" class="outline-3">
+<h3 id="org93ef5f2"><span class="section-number-3">14.2.</span> More Tests</h3>
  <div class="outline-text-3" id="text-14-2">
  <p>
  The testing process described in the previous chapter is far from
  complete.  Additional tests are needed.
  </p>
  </div>
  <div class="outline-text-3" id="text-14-2">
  <p>
  The testing process described in the previous chapter is far from
  complete.  Additional tests are needed.
  </p>
  </div>
-<div id="outline-container-org5b37567" class="outline-4">
-<h4 id="org5b37567"><span class="section-number-4">14.2.1.</span> Backup</h4>
+<div id="outline-container-orgae7b885" class="outline-4">
+<h4 id="orgae7b885"><span class="section-number-4">14.2.1.</span> Backup</h4>
  <div class="outline-text-4" id="text-14-2-1">
  <p>
  The <code>backup</code> command has not been tested.  It needs an encrypted
  <div class="outline-text-4" id="text-14-2-1">
  <p>
  The <code>backup</code> command has not been tested.  It needs an encrypted
@@ -9616,8 +9659,8 @@ partition with which to sync?  And then some way to compare that to
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-orgf05b647" class="outline-4">
-<h4 id="orgf05b647"><span class="section-number-4">14.2.2.</span> Restore</h4>
+<div id="outline-container-orgd09df1f" class="outline-4">
+<h4 id="orgd09df1f"><span class="section-number-4">14.2.2.</span> Restore</h4>
  <div class="outline-text-4" id="text-14-2-2">
  <p>
  The restore process has not been tested.  It might just copy <a href="Backup/"><q>Backup/</q></a>
  <div class="outline-text-4" id="text-14-2-2">
  <p>
  The restore process has not been tested.  It might just copy <a href="Backup/"><q>Backup/</q></a>
@@ -9627,8 +9670,8 @@ perhaps permissions too.  It could also use an example
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-org4583d1e" class="outline-4">
-<h4 id="org4583d1e"><span class="section-number-4">14.2.3.</span> Campus Disconnect</h4>
+<div id="outline-container-org6ca2a7c" class="outline-4">
+<h4 id="org6ca2a7c"><span class="section-number-4">14.2.3.</span> Campus Disconnect</h4>
  <div class="outline-text-4" id="text-14-2-3">
  <p>
  Email access (IMAPS) on <code>front</code> is&hellip; difficult to test unless
  <div class="outline-text-4" id="text-14-2-3">
  <p>
  Email access (IMAPS) on <code>front</code> is&hellip; difficult to test unless
@@ -9652,8 +9695,8 @@ could be used.</li>
  </div>
  </div>
  </div>
  </div>
  </div>
  </div>
-<div id="outline-container-org37b11a6" class="outline-2">
-<h2 id="org37b11a6"><span class="section-number-2">15.</span> Appendix: The Bootstrap</h2>
+<div id="outline-container-org06ad937" class="outline-2">
+<h2 id="org06ad937"><span class="section-number-2">15.</span> Appendix: The Bootstrap</h2>
  <div class="outline-text-2" id="text-15">
  <p>
  Creating the private network from whole cloth (machines with recent
  <div class="outline-text-2" id="text-15">
  <p>
  Creating the private network from whole cloth (machines with recent
@@ -9673,11 +9716,11 @@ etc.: quite a bit of temporary, manual localnet configuration just to
  get to the additional packages.
  </p>
  </div>
  get to the additional packages.
  </p>
  </div>
-<div id="outline-container-orgf004893" class="outline-3">
-<h3 id="orgf004893"><span class="section-number-3">15.1.</span> The Current Strategy</h3>
+<div id="outline-container-orgaff7fb7" class="outline-3">
+<h3 id="orgaff7fb7"><span class="section-number-3">15.1.</span> The Current Strategy</h3>
  <div class="outline-text-3" id="text-15-1">
  <p>
  <div class="outline-text-3" id="text-15-1">
  <p>
-The strategy pursued in <a href="#org612052e">The Hardware</a> is two phase: prepare the servers
+The strategy pursued in <a href="#orgc581563">The Hardware</a> is two phase: prepare the servers
  on the Internet where additional packages are accessible, then connect
  them to the campus facilities (the private Ethernet switch, Wi-Fi AP,
  ISP), manually configure IP addresses (while the DHCP client silently
  on the Internet where additional packages are accessible, then connect
  them to the campus facilities (the private Ethernet switch, Wi-Fi AP,
  ISP), manually configure IP addresses (while the DHCP client silently
@@ -9685,8 +9728,8 @@ fails), and avoid names until BIND9 is configured.
  </p>
  </div>
  </div>
  </p>
  </div>
  </div>
-<div id="outline-container-org5cd9c2c" class="outline-3">
-<h3 id="org5cd9c2c"><span class="section-number-3">15.2.</span> Starting With Gate</h3>
+<div id="outline-container-orga8307c3" class="outline-3">
+<h3 id="orga8307c3"><span class="section-number-3">15.2.</span> Starting With Gate</h3>
  <div class="outline-text-3" id="text-15-2">
  <p>
  The strategy of Starting With Gate concentrates on configuring Gate's
  <div class="outline-text-3" id="text-15-2">
  <p>
  The strategy of Starting With Gate concentrates on configuring Gate's
@@ -9730,8 +9773,8 @@ ansible-playbook -l core site.yml
  </ul>
  </div>
  </div>
  </ul>
  </div>
  </div>
-<div id="outline-container-org6fd0373" class="outline-3">
-<h3 id="org6fd0373"><span class="section-number-3">15.3.</span> Pre-provision With Ansible</h3>
+<div id="outline-container-orgd31e7be" class="outline-3">
+<h3 id="orgd31e7be"><span class="section-number-3">15.3.</span> Pre-provision With Ansible</h3>
  <div class="outline-text-3" id="text-15-3">
  <p>
  A refinement of the current strategy might avoid the need to maintain
  <div class="outline-text-3" id="text-15-3">
  <p>
  A refinement of the current strategy might avoid the need to maintain
@@ -9784,7 +9827,7 @@ routes on Front and Gate, making the simulation less&hellip; similar.
  </div></div>
  <div id="postamble" class="status">
  <p class="author">Author: Matt Birkholz</p>
  </div></div>
  <div id="postamble" class="status">
  <p class="author">Author: Matt Birkholz</p>
-<p class="date">Created: 2026-01-15 Thu 14:35</p>
+<p class="date">Created: 2026-05-09 Sat 15:42</p>
  <p class="validation"><a href="https://validator.w3.org/check?uri=referer">Validate</a></p>
  </div>
  </body>
  <p class="validation"><a href="https://validator.w3.org/check?uri=referer">Validate</a></p>
  </div>
  </body>
author	Matt Birkholz <matt@birchwood-abbey.net>
	Sat, 9 May 2026 21:43:14 +0000 (15:43 -0600)
committer	Matt Birkholz <matt@birchwood-abbey.net>
	Sat, 9 May 2026 21:43:14 +0000 (15:43 -0600)