From d243773b455550a2ad1baa6f607bfa5f9924580a Mon Sep 17 00:00:00 2001 From: Daniel Allaire Date: Mon, 28 Sep 2026 15:58:39 -0400 Subject: [PATCH] pare-feu proxmox : les 26 VM des locataires filtrees, plan conforme Co-Authored-By: Claude Opus 5.5 --- CHANGELOG.md | 24 ++++++++++++++++++++++++ 1 file changed, 24 insertions(+) diff --git a/CHANGELOG.md b/CHANGELOG.md index c7e1af3..d1bdd12 100644 --- a/CHANGELOG.md +++ b/CHANGELOG.md @@ -1,5 +1,29 @@ # CHANGELOG — Set-OPS +## 2026-09-28 (15) — Les 26 VM des locataires filtrées par Proxmox ; `proxmox-fw-plan` : « Rien à faire » + +**Chezlepro, 13/13**, dans le même ordre que Technolibre et par la même procédure, VM par +VM : matrice complète tirée du devis, flux entrants établis confrontés aux règles, matrice +avant, activation, matrice après, sondes relancées sur les 13 nœuds, Icinga. Toutes : +avant = après, 0 critique. Au-delà : DNS UDP réel à travers `infra-dns-01` ; les 13 +rapports `sante` reçus après l'activation de `mon-01` ; et de bout en bout, +`courriel-plan` (Postfix → LDAP → Dovecot → IMAP) et `identite-plan` : CONFORME. + +**Une régression introduite, puis fermée.** nftables admet le SSH depuis l'intrant +`nftables_admin_ssh` PLUS le tunnel du locataire (`10.x.29.0/24`) ; le devis Proxmox ne lisait +que l'intrant. Filtré, Technolibre refusait donc le SSH venu de son propre tunnel (de 13:27 +à ~15:40, SSH seulement, aucun service). Une seule dérivation désormais, +`inventory_rules.tunnel_admin_de`, pour les deux ; IPSets `admin` à trois membres ; +`make flux` identique octet pour octet. + +**Deux devis cassés depuis le 2026-09-13, trouvés en vérifiant.** `courriel-plan` et +`identite-plan` appelaient `resoudre_annuaire` sans nommer de compte de service : ils +échouaient sur une assertion, avant toute connexion. Ils empruntent maintenant le compte du +service qu'ils vérifient (`postfix`, `keycloak`). + +**Reste à faire** : une règle Proxmox pour les flux venus d'Internet (`externe`) avant la +première exposition d'un locataire. + ## 2026-09-28 (14) — Technolibre entièrement filtré par Proxmox, VM par VM **Les quatre dernières, une à la fois** : `infra-dns-01`, `obs-01`, `ops-01`, `mon-01`. Pour