Set-OPS-Public/roles/client_journal/meta/flux.yml

---
# Flux réseau du client journal (Alloy -> Loki). Voir docs/flux-conception.md.
flux:
  - sens: egress
    port: 3100
    protocole: tcp
    pair: serveur_loki
    chiffrement: tls
    raison: "Expédition des journaux par Alloy vers le collecteur central Loki (HTTPS, cert step-ca)."
  # Interface de diagnostic d'Alloy, liee a la boucle locale. Ce n'est pas un flux entre
  # hotes — c'est une REVENDICATION DE PORT, declaree pour qu'elle cesse d'etre invisible :
  # son defaut amont (12345) entrait en collision avec le SASL de Dovecot sur le meme hote.
  - sens: ingress
    port: 12346
    protocole: tcp
    pair: localhost
    chiffrement: clair
    raison: "Interface de diagnostic locale d'Alloy — port declare pour rendre les collisions visibles."
Reconstruction propre : orchestrateur ordonné, registre des flux + pare-feu Rend l'écosystème reconstructible en une commande (create+deploy idempotent) et ajoute la couche « accès » (nftables least-privilege) au zéro-confiance. Orchestrateur (phase 2) : - docs/couches-deploiement.yml : registre des couches (socle → pki → services → apps → agents) - scripts/orchestrer.py : tri par couche + topo intra-couche (graphe) → playbooks/site.yml ordonné - Makefile : site / deployer-tout / flotte-creer / reconstruire / myDay (+ gardes CONFIRMER) - docs/dependances-groupes.yml : graphe complété (keycloak→openldap, dovecot, postfix, icingaweb2, nextcloud) Audit codé-en-dur (phase 1b) : labels/slug OIDC dérivés de l'intrant `organisation` (serveur_forgejo/grafana/nextcloud) — le moteur ne porte plus de nom de tenant. Registre des flux réseau (phase 0) : - meta/flux.yml pour tous les rôles (29 rôles, 63 flux ; schéma + matrice validés) - scripts/resoudre_flux.py : matrice d'audit (docs/registre-flux.md) + rulesets nftables résolus par hôte - roles/nftables_baseline : déploie le ruleset résolu (moindre-privilège) quand activé, sinon repli Correctifs : détection du coffre Vault (chemin production → inventaire réellement résolu). Outillage : make wiki-publier (publication du wiki pédagogique dans Forgejo). Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> 2026-07-07 03:08:09 -04:00			`---`
			`# Flux réseau du client journal (Alloy -> Loki). Voir docs/flux-conception.md.`
			`flux:`
			`- sens: egress`
			`port: 3100`
			`protocole: tcp`
			`pair: serveur_loki`
			`chiffrement: tls`
			`raison: "Expédition des journaux par Alloy vers le collecteur central Loki (HTTPS, cert step-ca)."`
client_journal : imposer et DECLARER le port d'Alloy — collision avec le SASL de Dovecot Sixieme et dernier arret de la reconstruction from-zero, et le seul qui ne soit ni un ordre ni une course : un vrai conflit de port. infra-mail-01 : dovecot ecoute 0.0.0.0:12345 (serveur_dovecot_sasl_port, choix delibere de Set-OPS pour la soumission :587) alloy : defaut amont 12345 -> bind: address already in use Le premier demarre gagne. En exploitation courante le conflit DORMAIT : Alloy tenait le port depuis toujours et c'est l'ecoute SASL de Dovecot qui echouait, en silence. L'ordre des couches d'une reconstruction inverse les roles et le rend visible. Le vrai defaut n'est pas le numero : c'est qu'un port SUBI ne se declare nulle part, donc aucun controle ne peut voir la collision. Le port est desormais IMPOSE (--server.http.listen-addr) et DECLARE dans meta/flux.yml avec pair: localhost — une revendication de port, pas un flux entre hotes. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> 2026-08-09 09:04:25 -04:00			`# Interface de diagnostic d'Alloy, liee a la boucle locale. Ce n'est pas un flux entre`
			`# hotes — c'est une REVENDICATION DE PORT, declaree pour qu'elle cesse d'etre invisible :`
			`# son defaut amont (12345) entrait en collision avec le SASL de Dovecot sur le meme hote.`
			`- sens: ingress`
			`port: 12346`
			`protocole: tcp`
			`pair: localhost`
			`chiffrement: clair`
			`raison: "Interface de diagnostic locale d'Alloy — port declare pour rendre les collisions visibles."`