From ceb832eeac0fcedde4a17d166517eaec3ad3df74 Mon Sep 17 00:00:00 2001 From: Daniel Allaire Date: Fri, 28 Aug 2026 15:08:35 -0400 Subject: [PATCH] journal : l amorcage des artefacts, et deux diagnostics faux corriges par la mesure MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit L explication du commit precedent avait ete mangee par le shell (backticks), et le garde-fou du genome a refuse l amend — l histoire de la forge fait foi (D-81). Elle vit donc ici, avec ce que la mesure a corrige : un port muet lu comme un pare-feu alors qu il mesurait une absence, et un acces cru perdu qui n etait qu une exception retiree. Co-Authored-By: Claude Opus 5 Claude-Session: https://claude.ai/code/session_019f91zs9SDdwSzL2CVei6on --- CHANGELOG.md | 68 ++++++++++++++++++++++++++++++++++++++++++++++++++++ 1 file changed, 68 insertions(+) diff --git a/CHANGELOG.md b/CHANGELOG.md index a7615f6..4a9d922 100644 --- a/CHANGELOG.md +++ b/CHANGELOG.md @@ -1,5 +1,73 @@ # CHANGELOG — Set-OPS +## 2026-08-28 — Nourrir la première machine : le cache du site pendant la jeunesse + +**52 preuves.** `ops-01` est la première machine de la reconstruction de Chezlepro, et le +socle y restait bloqué sur son premier `apt update`, sans message qui parle de réseau. La +mesure, depuis la machine : + +``` +sortie Internet TCP 443 OK +DNS UDP 53 -> 9.9.9.9 MUET +plancher /etc/hosts 15 machines du tenant, AUCUNE du site +``` + +**Le DNS sortant est fermé par conception** — un tenant résout chez lui, son DNS ne +traverse jamais la frontière. Or `apt` vise `deb.debian.org` **par son nom**, et le cache +de l'écosystème n'existe pas encore. + +C'est le cas étroit que le plan du SITE nommait déjà, descendu d'un niveau : **la première +machine d'un écosystème n'a ni résolveur ni cache, et c'est elle qui doit les construire.** + +### Un mandataire résout ce que le client ne peut pas résoudre + +`apt` envoie au mandataire l'**URL absolue** ; c'est lui qui traduit le nom. La machine +n'a donc besoin d'aucun DNS pour installer ses paquets — seulement d'une **adresse**. D'où +`artefacts_amorcage`, symétrique exact de `dns_amorcage`, à la même place dans le socle. + +**Aucun flux à ouvrir, et c'est la bonne surprise.** `serveur_cache_site` accepte déjà le +3142 depuis `voisins_site`, qui résout les **supernets** des tenants — donc toute machine +d'un locataire, pas seulement son cache. Vérifié depuis `ops-01` : *HTTP 200 en 0,158 s*, +la résolution faite par le cache. + +### Ce n'est pas une rustine, c'est de la filiation + +L'hébergeur nourrit la première machine de son locataire le temps qu'il monte son propre +cache. L'emprunt est **déclaré** — l'intrant nomme l'amont — et il s'efface : +`client_artefacts` écrit `00-setops-artefacts`, qui trie **après** ce fichier-ci, donc +gagne dès que l'écosystème a sa source. Le plancher reste dessous, comme `/etc/hosts` +reste sous le DNS. + +*Retirer cette ligne le jour où le cache du tenant est debout est une **émancipation** — un +geste, pas un effet.* C'est le premier service à recevoir cette forme après la forge, et le +patron vaudra pour les sauvegardes, l'observabilité, le relais courriel. + +### Deux diagnostics faux, corrigés par la mesure + +**J'ai lu « BLOQUÉ » comme un pare-feu.** Les sondes vers le résolveur, le cache et la PKI +du tenant échouaient toutes — j'y ai vu un filtre, puis j'ai appliqué le pare-feu est-ouest +en croyant corriger. La vraie cause était une **absence** : `ops-01` est la seule VM de +Chezlepro qui existe, les quatorze autres ne sont sur aucun hyperviseur. *Un port muet +ressemble à un refus.* + +**Et j'ai cru avoir cassé mon propre accès.** Après l'application du pare-feu, `ops-01` est +devenue injoignable depuis le poste — j'y ai vu une régression que j'aurais causée. Mesure : +**aucune** machine de Chezlepro n'est joignable depuis le poste par ce rebond. `ops-01` +l'était parce qu'elle n'avait *aucun* groupe de pare-feu. Je n'ai pas créé une panne, j'ai +retiré une exception — et le seul chemin qui reste vers elle est le chemin **déclaré**, +celui de l'insémination. + +*Le nœud `192.168.11.42` est injoignable, à traiter séparément.* + +### Le garde-fou du génome a refusé une histoire réécrite + +`--amend` sur un commit déjà poussé : le runner a refusé l'avance non rapide, exactement +comme il doit. Les arbres étant identiques et seul le message différant, **c'est la version +de la forge qui fait foi** (D-81) — et l'explication vit ici, où elle a de toute façon sa +place. + +make verifier : vert. + ## 2026-08-28 — Armer un runner est un acte, pas un réglage **52 preuves.** La séparation faite, la distribution devient sûre. `serveur_ops_site` et