2026-07-07 03:08:09 -04:00
|
|
|
---
|
|
|
|
|
# Flux réseau de Loki (journaux). Voir docs/flux-conception.md.
|
|
|
|
|
flux:
|
|
|
|
|
- sens: ingress
|
|
|
|
|
port: 3100
|
|
|
|
|
protocole: tcp
|
|
|
|
|
pair: client_journal
|
|
|
|
|
chiffrement: tls
|
|
|
|
|
raison: "Réception des journaux poussés par Alloy (client_journal) en HTTPS (http_tls_config, cert step-ca)."
|
|
|
|
|
- sens: ingress
|
|
|
|
|
port: 3100
|
|
|
|
|
protocole: tcp
|
|
|
|
|
pair: localhost
|
|
|
|
|
chiffrement: clair
|
|
|
|
|
raison: "Requêtes de Grafana co-localisé (datasource Loki en localhost)."
|
une source vide n est pas « tout le monde »
Les journaux de la fabric, et le defaut de classe que leur mise en place a
revele. 10 hotes dans Loki (7 VM du site + 3 hyperviseurs), site a 67
services tous OK contre 51 avant.
METRIQUES TIREES, JOURNAUX POUSSES. Un scrape part du collecteur et doit
REVENIR : il exige un chemin symetrique, que la route par defaut gelee
interdit. Un push part de la source et n attend qu un accuse.
Trois trous dans les generateurs. Le devis de la frontiere ne connaissait
fabric qu en DESTINATION - un flux entrant tombait dans « rien d autre n
entre » sans rien dire. La regle etait posee sur la patte de la destination
alors que D-61 raisonne en ARRIVEE, et opt7 manquait a la table des zones.
Et le plus grave : fabric etait un mot RECONNU mais NON RESOLU. Source
vide, donc regle sans saddr - tcp dport 3100 accept, ouvert a tous. Un mot
reconnu mais non resolu est pire qu un mot inconnu : celui-ci serait refuse
a la validation, celui-la produit une porte grande ouverte qui a l air d un
flux precis.
LA CLASSE ENTIERE EST REFERMEE. Le defaut n etait pas propre a fabric :
toute paire nommant un ensemble et ne resolvant rien ouvrait le port.
Trouve en lisant les fichiers generes, l API de supervision d un tenant
etait ouverte a tous parce que pair: serveur_backup ne resout rien - cet
ecosysteme depose chez le site. expositions et externe, eux, veulent bien
dire tout le monde : c est une intention. Ailleurs, pas de source, pas de
regle, et le generateur le DIT.
Trois regles se referment, chacune verifiee AVANT d appliquer. Deux etaient
sans effet ; la troisieme portait Grafana, qui ecoute bien sur 3000. Sa
declaration disait pair: edge - juste chez un tenant, faux au site qui n a
pas d edge. Ajout de admin : ce qui etait accidentel devient explicite.
Et la mesure a montre autre chose : Grafana etait DEJA injoignable depuis
le poste, la frontiere ne laissant pas passer le 3000. Le site a une
console deployee et sans chemin d acces. Ce n est pas corrige ici, mais
c est dit.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
2026-09-10 19:14:23 -04:00
|
|
|
|
|
|
|
|
# LA FABRIC JOURNALISE AUSSI, ET ELLE, ELLE PEUT POUSSER (2026-09-10).
|
|
|
|
|
#
|
|
|
|
|
# Les metriques des hyperviseurs sont TIREES : leur route par defaut est gelee (D-57) et
|
|
|
|
|
# le porteur de sante y expirait. Les journaux, eux, passent — parce que les routes
|
|
|
|
|
# SPECIFIQUES vers les zones du site ont ete completees le meme jour (`10.0.35.0/24` et
|
|
|
|
|
# `10.0.36.0/24` manquaient). Alloy pousse donc vers Loki comme n'importe quelle machine.
|
|
|
|
|
#
|
|
|
|
|
# LA DIFFERENCE AVEC LES METRIQUES N'EST PAS UN CAPRICE : un scrape part du collecteur et
|
|
|
|
|
# doit REVENIR, ce qui exige un chemin symetrique ; un push part de la source et n'attend
|
|
|
|
|
# qu'un accuse. La route completee suffit au second, pas au premier.
|
|
|
|
|
- sens: ingress
|
|
|
|
|
port: 3100
|
|
|
|
|
protocole: tcp
|
|
|
|
|
pair: fabric
|
|
|
|
|
chiffrement: tls
|
|
|
|
|
raison: >-
|
|
|
|
|
Journaux des hyperviseurs. La machine qui PORTE les VM ecrivait ses journaux nulle
|
|
|
|
|
part ailleurs que sur son propre disque — invisibles le jour ou c'est elle qui casse.
|
la frontiere journalise a nouveau, et une garde veille cette fois
Doctrine posee par l exploitant : des lors que le site a son Loki, la
journalisation de la frontiere et des hyperviseurs doit y etre dirigee.
CE QUI ETAIT CASSE. La destination syslog d OPNsense pointait
10.17.20.11:3100 - une adresse de TENANT, sur le port de Loki, en UDP, ce
que Loki ne sait pas lire. La VM a ete rasee ; une cible morte a arrete
TOUTE la journalisation pendant dix jours. La destination a ete eteinte
pour reparer et jamais remplacee. Deux fautes en une : plus de journaux, et
une cible chez un locataire, ce que D-87 refuse dans l autre sens.
L intention etait juste - bonnes facilites, info et au-dessus. On l a
REPRISE telle quelle et change uniquement la destination : ces choix
avaient ete faits, ce n etait pas a nous de les redecider.
UN TRADUCTEUR, parce que Loki ne parle pas syslog : loki.source.syslog dans
l Alloy qui tourne DEJA sur le collecteur. Port 1514 et non 514, donc
ecoute sans privilege - un collecteur qui aurait besoin des droits du
systeme pour entendre un equipement serait un mauvais echange.
UNE REGLE DE RELABEL SANS GARDE N IGNORE PAS : ELLE EFFACE. Trois quarts d
heure sur un symptome absurde - la configuration deposee portait
host = "bifrost-1", visible dans le fichier, et le flux arrivait sans
etiquette. Sans regex, la regle correspond TOUJOURS, meme quand sa source n
existe pas, et pose host = "". Loki jette une etiquette vide, et celle de l
ecouteur disparaissait avec elle.
Et la verification finale a corrige une seconde erreur, la mienne :
label/host/values rendait une liste en CACHE. La requete directe rendait
bien un flux. Un index qui ne montre pas une chose ne prouve pas qu elle n
existe pas.
LA GARDE, qui manquait depuis l incident. journaux-frontiere demande a LOKI
ce qu il a RECU, pas a la frontiere ce qu elle croit avoir envoye : la
destination est le seul juge, et un emetteur qui parle a un trou noir se
porte tres bien. La fenetre est DERIVEE du debit observe - environ 1500
lignes par minute - pas choisie.
Trois etats eprouves sur une copie : frontiere muette rc=2, Loki
injoignable rc=3, debit normal rc=0. Le 3 compte autant que le 2 : « je ne
peux rien affirmer » n est pas « c est casse ».
Mesure : 46 681 lignes recues en 30 min, site a 68 services tous OK.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
2026-09-10 19:38:19 -04:00
|
|
|
|
|
|
|
|
# LE SYSLOG DE LA FRONTIERE (2026-09-10).
|
|
|
|
|
#
|
|
|
|
|
# Port 1514 et non 514 : au-dessus de 1024, donc Alloy l'ecoute sans privilege. Un
|
|
|
|
|
# collecteur qui aurait besoin des droits du systeme pour entendre un equipement serait
|
|
|
|
|
# un mauvais echange.
|
|
|
|
|
#
|
|
|
|
|
# `fabric` couvre la frontiere. Le flux est declare COTE LOKI parce que c'est lui qui
|
|
|
|
|
# ouvre un port : l'emetteur, lui, n'est pas dans la flotte et ne declare rien.
|
|
|
|
|
- sens: ingress
|
|
|
|
|
port: 1514
|
|
|
|
|
protocole: tcp
|
|
|
|
|
pair: fabric
|
|
|
|
|
chiffrement: clair
|
|
|
|
|
raison: >-
|
|
|
|
|
Journaux de la frontiere. Elle n'accueille aucun agent et n'emet que du syslog ; sans
|
|
|
|
|
ce flux, le seul equipement qui voit passer TOUT le trafic n'ecrit nulle part.
|