Alliance-Boreale/Set-OPS-Public
2
0
Fork 0
Code Issues Pull requests Projects Releases Packages Wiki Activity Actions
Set-OPS-Public/docs/audit/preuve-2026-08-02.md

61 lines
4.6 KiB
Markdown
Raw Normal View History

frontière : les intrants d'interface demandent l'identifiant OPNsense `opt1`, `igb1` et `TENANTS` désignent le même port — identifiant interne, périphérique FreeBSD, libellé affiché. L'API REST ne parle que du premier. Les libellés des deux intrants ne le disaient pas, et la question s'est posée en pratique. Ils le disent maintenant, et docs/frontiere-opnsense.md explique les trois couches et pourquoi `opt1` est le plus stable : il survit à un changement de carte comme à un renommage. La note « prochain_saut dérive de l'underlay » est repliée dans l'en-tête régénéré par le panneau : une sauvegarde l'effaçait, le fichier étant réécrit depuis le YAML analysé. Vérifié qu'une sauvegarde préserve valeurs et références de voûte. Corrigé au passage : après le renumérotage du /29, deux passages de la doc annonçaient encore 10.0.4.2 comme prochain saut et contredisaient le devis. Preuves : 24 OK, 0 échec. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-08-02 13:02:27 -04:00
# Preuve de conformite — Set-OPS — 2026-08-02
> Genere par `make prouver` (`scripts/prouver.py`). **Rejouable** : relancer
> reproduit ce rapport. Chaque preuve rejoue l'outillage existant du depot ;
> aucune validation n'est reimplementee ici. Voir le mode d'emploi :
> [`docs/audit/README.md`](README.md), et le registre trace :
> [`docs/audit/affirmations.md`](affirmations.md).
- **Instance** : `instance` — inventaire `instance/inventories/principal/hosts.yml`
- **Verdict** : ✅ CONFORME (24 OK · 0 echec · 0 saute)
## Preuves
| # | Preuve | Affirmations | Statut | Detail |
|---|---|---|---|---|
| P01 | Lint (ansible-lint) | AFF-006 | ✅ OK | |
| P02 | Tests unitaires (inventory_host) | — | ✅ OK | 4 tests passes. |
| P03 | Diff-vide du plan (inventaire genere) | AFF-001, AFF-004, AFF-030, AFF-031, AFF-032 | ✅ OK | DIFF VIDE : le plan reproduit exactement l'inventaire actuel. Bascule possible. |
| P04 | Groupes <-> playbooks homonymes | AFF-008 | ✅ OK | |
| P05 | Dependances causales de groupes | AFF-009, AFF-084 | ✅ OK | |
| P06 | Validateurs de registres (serveurs/apps/bases/domaines) | AFF-003 | ✅ OK | Registre des domaines valide. |
| P07 | GUI (node --check) | AFF-033 | ✅ OK | JS du GUI : syntaxe valide (node --check). |
| P08 | Orchestration (couches + graphe) | AFF-070 | ✅ OK | Orchestration coherente : 30 groupes classes, aucun cycle, aucune arete en arriere. |
frontière : la sortie générale est déclarée, pas subie Le devis se terminait par `block out log all` avec une seule règle sortante (le relais SMTP). Appliqué tel quel, il coupait la flotte d'Internet : plus d'apt, plus de NTP, plus de récursion DNS. Rien ne le signalait — la ligne la plus lourde de conséquences du devis, posée à la suite des autres. La sortie est déclarée dans le registre, donc dérivée : - `serveur_debian` (socle, 14 hôtes) : 443 et 80 pour les dépôts apt, 123/udp pour l'horloge — une dérive fait échouer step-ca et le SSO des semaines après la cause ; - `client_unbound` : 53 udp et tcp, la récursion depuis la racine qu'implique `client_unbound_transitaires: []`. Le TCP est le repli obligatoire dès qu'une réponse DNSSEC dépasse la taille UDP. Le devis passe de 6 à 11 règles, et sa section 5 énonce le default-deny sortant, le nombre de règles qui l'accompagnent, et où déclarer un besoin oublié — jamais à la main dans le pare-feu. Vérifié : les nftables d'hôte sont inchangés, octet pour octet. Le pair `externe` reste sauté par resoudre_flux. Non déclaré volontairement : le rôle `chrony` n'est référencé par aucun groupe ni playbook — un flux pour lui aurait été une règle morte. Preuves : 24 OK, 0 échec. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-08-02 13:10:45 -04:00
| P09 | Flux reseau (schema + matrice) | AFF-071 | ✅ OK | Flux coherents : 29 rôles, 68 flux, schéma + matrice OK. |
frontière : les intrants d'interface demandent l'identifiant OPNsense `opt1`, `igb1` et `TENANTS` désignent le même port — identifiant interne, périphérique FreeBSD, libellé affiché. L'API REST ne parle que du premier. Les libellés des deux intrants ne le disaient pas, et la question s'est posée en pratique. Ils le disent maintenant, et docs/frontiere-opnsense.md explique les trois couches et pourquoi `opt1` est le plus stable : il survit à un changement de carte comme à un renommage. La note « prochain_saut dérive de l'underlay » est repliée dans l'en-tête régénéré par le panneau : une sauvegarde l'effaçait, le fichier étant réécrit depuis le YAML analysé. Vérifié qu'une sauvegarde préserve valeurs et références de voûte. Corrigé au passage : après le renumérotage du /29, deux passages de la doc annonçaient encore 10.0.4.2 comme prochain saut et contredisaient le devis. Preuves : 24 OK, 0 échec. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-08-02 13:02:27 -04:00
| P10 | Handlers <-> notify | AFF-034, AFF-035 | ✅ OK | Tout notify pointe vers un handler du meme role (49 roles). |
| P11 | Syntaxe des playbooks (--syntax-check) | AFF-083 | ✅ OK | playbook: playbooks/proxmox/cloner_vm_debian.yml |
| P12 | Existence des runbooks cites | AFF-010, AFF-011, AFF-012, AFF-083 | ✅ OK | 17/17 runbooks/registres cites presents. |
| P13 | Invariants structurels/doctrinaux | AFF-015, AFF-022, AFF-037, AFF-038, AFF-062 | ✅ OK | LICENSE, socle dossier, pas de couches paralleles, SSH clef-only, nftables off : OK. |
| P14 | Pas de chemin lab/ code en dur | AFF-097 | ✅ OK | Aucun chemin instance/inventories/lab/group_vars code en dur. |
| P15 | Modele public socle valide | AFF-022, AFF-099 | ✅ OK | Modele public socle : domaines/serveurs/applications/bases valides. |
| P16 | Inventaire Ansible complet (--list) | AFF-030 | ✅ OK | 14 hotes, 32 groupes (inventaire dechiffre et parse). |
| P17 | Tous les modeles d'instance valident | AFF-022, AFF-099 | ✅ OK | Les 1 modele(s) decouvert(s) valident. |
| P18 | Gabarit de voute complet | AFF-026 | ✅ OK | Gabarit de voute complet : 24 secret(s) exige(s), tous presents. |
| P19 | Le GUI couvre le schema du plan | AFF-002, AFF-095 | ✅ OK | GUI : les 28 champ(s) des plans reels sont editables (2 plan(s) inspecte(s)), registres toleres : nomenclature. |
| P20 | Adressage 100% derive du seed (aucun stocke) | AFF-001, AFF-003 | ✅ OK | 2 nomenclature(s) : adressage 100% derive du seed index. |
| P21 | Federation : aucun index en collision | AFF-001 | ✅ OK | Federation coherente : 2 instance(s) federee(s), aucun index en collision. |
| P22 | Plan de recette a jour (genere du wiki) | AFF-002 | ✅ OK | Plan de recette à jour (19 sections). |
| P23 | Underlay sans collision avec la plage tenant | AFF-001 | ✅ OK | Underlay conforme : 5 reseau(x), aucune collision avec la plage tenant. |
frontière : les règles couvrent tous les tenants fédérés Le devis était multi-tenant pour ses routes, mono-tenant pour ses règles : il routait 10.21.0.0/16 et 10.27.0.0/16 mais ne filtrait que l'instance active. Technolibre aurait été routé jusqu'à la bordure puis bloqué dans les deux sens, SSH d'administration compris, sans qu'une ligne dise pourquoi. La résolution est paramétrée par tenant : `inventaire_de()` lit le hosts.yml de chaque instance fédérée, `cibles_par_role()` prend l'inventaire en argument, les alias d'hôtes sont préfixés. 11 règles par tenant, 22 au total. Cloisonnement : la première version faisait de SETOPS_ADMIN l'union des réseaux d'administration — le plan de gestion d'un tenant serait entré chez le voisin, la bordure rouvrant ce que les ACL de switch ferment. Corrigé avant livraison : un alias par tenant, n'ouvrant que son propre supernet. L'union reste pour les routes de retour et P24 : router n'est pas autoriser. Deux omissions annoncées : tenant sans inventaire (aucune règle), tenant sans `nftables_admin_ssh` (règle SSH omise plutôt qu'ouverte à `any`, ce qui exposerait le SSH à Internet). Cas dégradé exercé. Preuves : 24 OK, 0 échec. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-08-02 14:25:20 -04:00
| P24 | Frontiere nord/sud : acces d'administration declare | AFF-001 | ✅ OK | CONFORME : frontiere nord/sud, 22 regles, 2 routes, admin=192.168.254.2/32,192.168.255.0/24,192.168.255.2/32. |
frontière : les intrants d'interface demandent l'identifiant OPNsense `opt1`, `igb1` et `TENANTS` désignent le même port — identifiant interne, périphérique FreeBSD, libellé affiché. L'API REST ne parle que du premier. Les libellés des deux intrants ne le disaient pas, et la question s'est posée en pratique. Ils le disent maintenant, et docs/frontiere-opnsense.md explique les trois couches et pourquoi `opt1` est le plus stable : il survit à un changement de carte comme à un renommage. La note « prochain_saut dérive de l'underlay » est repliée dans l'en-tête régénéré par le panneau : une sauvegarde l'effaçait, le fichier étant réécrit depuis le YAML analysé. Vérifié qu'une sauvegarde préserve valeurs et références de voûte. Corrigé au passage : après le renumérotage du /29, deux passages de la doc annonçaient encore 10.0.4.2 comme prochain saut et contredisaient le devis. Preuves : 24 OK, 0 échec. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-08-02 13:02:27 -04:00
## Couverture des affirmations ✅ du registre
Chaque affirmation ✅ automatisable est couverte par la preuve indiquee ci-dessus.
Les ✅ **structurelles/doctrinales** non rejouables par une commande (ex. AFF-005
`make`=aide, AFF-014 ciblage groupe, AFF-024 `instancier-appliquer`, AFF-051 autorite
d'AGENTS.md, AFF-073/075 gardes `make`, AFF-090 wiki) ont ete verifiees a l'audit ;
elles restent hors du harnais recurrent (rien d'executable a rejouer).
## Declarations d'intention (⚪ invérifiables localement — assumees)
Ces affirmations ne sont pas rejouables hors production ; elles sont **assumees**
comme declarations d'intention, non comme preuves :
- **AFF-036** — « testables avec `--check` autant que possible » : verifiable seulement
contre une flotte vivante.
- **AFF-091** — contenu pedagogique du wiki : affirmations conceptuelles.
- **AFF-096** — « GUI 100 % francais » : revue exhaustive des libelles rendus, non automatisee.
- **AFF-007** — hote d'exemple `web-frontal-01` : placeholder assume.
_Rapport genere le 2026-08-02._
Reference in a new issue Copy permalink