From 16e87bfd417d9d0c2404d94691452f673ff07457 Mon Sep 17 00:00:00 2001 From: Daniel Allaire Date: Wed, 14 Oct 2026 18:04:49 -0400 Subject: [PATCH] CHANGELOG 152 : l'administration par le lien, appliquee et eprouvee de bout en bout SSH et API de requin, maurice par le rebond, depuis le wifi par le tunnel admins. Temoins : requin refuse depuis 172.31.0.2, maurice ne se joint pas sans le rebond. Co-Authored-By: Claude Opus 5.5 --- CHANGELOG.md | 17 ++++++++++++++--- 1 file changed, 14 insertions(+), 3 deletions(-) diff --git a/CHANGELOG.md b/CHANGELOG.md index 8a7b6f8..f89d413 100644 --- a/CHANGELOG.md +++ b/CHANGELOG.md @@ -3,7 +3,14 @@ **95 preuves.** `make verifier` passe (site de Chezlepro), `devis_opnsense.py --verifier` est CONFORME aux deux sites. Témoin : sans la clé `administration`, le devis des deux sites est identique au caractère près à celui de l'ancien code. `make frontiere-plan` n'annonce que des -créations : 6 à `requin`, 8 à `bifrost-1`, aucun retrait. **Pas encore appliqué** aux frontières. +créations : 6 à `requin`, 8 à `bifrost-1`, aucun retrait. + +**Appliqué aux deux frontières et éprouvé de bout en bout**, depuis le wifi du site de +Chezlepro, par le tunnel `admins`, `bifrost-1`, le lien, puis `requin` : SSH +`ansible@10.31.0.1` répond (`requin.internal`), son API répond 200, et `maurice` (`10.31.0.11`) +répond par le rebond (`-J ansible@10.31.0.1`). Témoins qui mordent : `requin` refuse la même +connexion depuis `172.31.0.2` (l'adresse de tunnel de `bifrost-1`), et `maurice` ne se joint +pas sans le rebond. **Décision de Daniel (2026-10-14)** : administrer le site de TechnoLibre depuis le site de Chezlepro par le lien existant (`requin` opt10 ↔ `bifrost-1` opt11), sans VPN d'administration @@ -25,8 +32,12 @@ SSH vers `requin` par le relais expire à l'échange de bannière. d'hôte (`10.17.19.11/32`…) : FreeBSD les affiche sans masque. La lecture compare les deux formes ; une route vraiment absente reste signalée (témoin sur une table fictive). -**Reste** : appliquer `requin` puis `bifrost-1` ; la route `10.31.0.1/32` au poste ; l'essai de -bout en bout (SSH vers `requin`, `maurice` par le rebond, l'API en HTTPS). +**Au poste** : `10.31.0.1/32` dans les adresses autorisées du tunnel `admins` (fichier +netplan, `nmcli` ne sait pas éditer les pairs WireGuard), et la route `10.31.0.1/32 via +10.37.0.1` pour le filaire du site de Chezlepro. + +**Reste** : l'interface web de Proxmox sur `maurice` ne se joint que par le rebond +(`ssh -L`) ; aucun flux ne l'ouvre par le lien. ## 2026-10-14 (151) — Le second serveur de noms, désigné : `dns1.technolibre.ca`