Set-OPS-Public/roles/serveur_powerdns/meta/flux.yml

---
# Flux réseau du DNS autoritatif interne (PowerDNS). Voir docs/flux-conception.md.
# LE PORT DE L'AUTORITATIF EST DÉRIVÉ DEPUIS LE 2026-08-24, et c'est pour ça qu'il est
# déclaré `derive` plutôt que `53` :
#
#   seul sur son hôte                      -> 53 sur l'adresse du tenant
#   partageant l'hôte avec le résolveur    -> 5300 sur la loopback, derrière lui
#
# Le résolveur devient alors la seule porte, et personne n'interroge l'autoritatif
# directement. `verifier_ports` traite un port non numérique comme « pas une écoute fixe »
# — ce qui est exactement le cas : les deux services lient le port 53 mais sur des
# ADRESSES différentes, ce qu'une comparaison de ports seuls ne peut pas distinguer.
flux:
  - sens: ingress
    port: derive
    protocole: udp
    pair: flotte
    chiffrement: clair
    raison: "Zone souveraine. 53 seul sur son hôte, 5300 sur la loopback derrière le résolveur."
  - sens: ingress
    port: derive
    protocole: tcp
    pair: flotte
    chiffrement: clair
    raison: "Idem en TCP (réponses volumineuses, AXFR restreint par allow_axfr_ips)."

  # L'autoritatif ne RÉCURSE pour personne — mais il doit résoudre POUR LUI-MÊME : `apt`,
  # NTP, les certificats. Il est le seul hôte exempté de `client_resolveur` (PowerDNS occupe
  # déjà son port 53), donc rien d'autre ne lui ouvre ce flux. Sans cette déclaration, la
  # frontière jette ses requêtes et la machine ne peut même pas s'installer — mesuré le
  # 2026-08-06, sur la VM qui devait justement servir de DNS au tenant.
  - sens: egress
    port: 53
    protocole: udp
    pair: externe
    chiffrement: clair
    raison: "Résolution sortante du serveur autoritatif POUR SES PROPRES besoins (apt, NTP) — il ne récurse pour aucun autre hôte."
  - sens: egress
    port: 53
    protocole: tcp
    pair: externe
    chiffrement: clair
    raison: "Repli TCP de la résolution sortante du serveur autoritatif (réponses dépassant la taille UDP)."

  # LE SERVEUR PUBLIC DU SITE TIRE LES ZONES PUBLIQUES (2026-09-16).
  #
  # Sur l'instance `pdns@public` seulement, qui ne sert que les zones `primaire-cache`.
  # UDP pour le SOA que le secondaire compare avant de tirer, TCP pour le transfert. La
  # regle limite qui peut FRAPPER ; TSIG decide qui peut LIRE.
  #
  # SEULEMENT LA OU LE SITE A UN SERVEUR PUBLIC A SERVIR (2026-09-30) — la ou l'instance
  # `pdns@public` existe (`zones-publiques.yml` ne se joue que sous la meme condition). Le
  # PowerDNS du SITE n'en a pas : il ecoute sur la boucle locale, et la regle restait posee,
  # coupee — la sonde `connectivite` le montrait chaque minute.
  - sens: ingress
    port: 5300
    protocole: tcp
    pair: dns_public_site
    seulement_si: {variable: dns_public_site, non_vide: true}
    chiffrement: clair
    raison: "AXFR signe TSIG par le serveur DNS public du site, vers l'instance publique uniquement."
  - sens: ingress
    port: 5300
    protocole: udp
    pair: dns_public_site
    seulement_si: {variable: dns_public_site, non_vide: true}
    chiffrement: clair
    raison: "Interrogation du SOA par le secondaire du site avant chaque transfert."