sonde fabric en service ; journal

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

CHANGELOG.md

@@ -1,5 +1,27 @@
 # CHANGELOG — Set-OPS
 
+## 2026-09-28 (18) — La sonde « fabric » : la fabric dit-elle encore ce que le plan dit ?
+
+**Le trou.** Le pare-feu Proxmox, le SDN, la frontière et les accès WireGuard ont chacun un
+plan de lecture (`*-plan`) ; personne ne les jouait sans raison. Aujourd'hui même : 26 VM
+sans pare-feu, sans signal.
+
+**Sur le runner du site** (`serveur_ops_site`) : un minuteur horaire joue les quatre plans
+(4 s au total), additionne ce qui reste à créer, retirer, mettre à jour ou corriger, et
+consigne le constat dans `/var/lib/setops/conformite-fabric.json`. La sonde `fabric` le lit
+— une sonde n'a que quelques secondes : écart → avertissement (avec le premier détail),
+plan illisible → inconnu, constat de plus de 3 h → CRITIQUE (un minuteur mort ne doit pas
+laisser la dernière bonne nouvelle au vert). Éprouvée sur quatre constats fabriqués, puis
+en vrai : `site-ops-01!fabric` en avertissement sur un écart RÉEL — les pairs WireGuard de
+Technolibre, en attente de décision.
+
+**Ce qu'elle a attrapé avant même d'exister.** En mesurant la durée des plans,
+`frontiere-plan` voulait 4 créations : des alias et des règles « SSH depuis le tunnel du
+locataire, sur le WAN ». Cause : le tunnel ajouté à `admin_de` plus tôt dans la journée ; la
+frontière range chaque réseau d'administration par interface et l'avait classé WAN — une
+règle qui ne correspondrait jamais. `admin_de` redevient l'intrant (la frontière) ;
+`admin_avec_tunnel` sert l'est-ouest (Proxmox, épreuve). Les deux plans : 0 écart.
+
 ## 2026-09-28 (17) — La sonde « disque » : espace et inodes, sur les 35 machines
 
 **Le trou.** Seuls le cache apt et les dépôts de sauvegarde avaient une sonde d'espace.