From ef472cced9aea095c61b8de5260e9b672cb6ce78 Mon Sep 17 00:00:00 2001 From: Daniel Allaire Date: Thu, 15 Oct 2026 21:38:29 -0400 Subject: [PATCH] promo : le diaporama devient une presentation, plus un expose technique Quinze diapositives au lieu de vingt, en langage simple : trois engagements, ce que recoit une organisation, une image du fonctionnement, 43 minutes en grand, la federation des deux sites, qui peut nous rejoindre. Le detail technique reste dans les notes. CHANGELOG 157. Co-Authored-By: Claude Opus 5.5 --- CHANGELOG.md | 17 ++++++ promo/README.md | 6 +- promo/rlq-2026-10-24/deck.json | 17 ++---- promo/rlq-2026-10-24/slides/adressage.html | 24 -------- promo/rlq-2026-10-24/slides/chiffres.html | 10 +-- promo/rlq-2026-10-24/slides/declarations.html | 19 ------ promo/rlq-2026-10-24/slides/ecosysteme.html | 61 +++++++++---------- promo/rlq-2026-10-24/slides/etat.html | 41 ------------- promo/rlq-2026-10-24/slides/filtrage.html | 42 ------------- .../rlq-2026-10-24/slides/fonctionnement.html | 26 ++++++++ promo/rlq-2026-10-24/slides/lecons.html | 35 ----------- promo/rlq-2026-10-24/slides/libre.html | 39 ++++++------ promo/rlq-2026-10-24/slides/plan.html | 44 ------------- promo/rlq-2026-10-24/slides/preuves.html | 31 ++++------ promo/rlq-2026-10-24/slides/probleme.html | 2 +- .../slides/reconstructions.html | 26 +++----- promo/rlq-2026-10-24/slides/reste.html | 36 +++++------ promo/rlq-2026-10-24/slides/secondsite.html | 49 ++++++--------- promo/rlq-2026-10-24/slides/setops.html | 39 +++++------- promo/rlq-2026-10-24/slides/site.html | 38 +++++------- .../rlq-2026-10-24/slides/zeroconfiance.html | 35 +++++------ 21 files changed, 206 insertions(+), 431 deletions(-) delete mode 100644 promo/rlq-2026-10-24/slides/adressage.html delete mode 100644 promo/rlq-2026-10-24/slides/declarations.html delete mode 100644 promo/rlq-2026-10-24/slides/etat.html delete mode 100644 promo/rlq-2026-10-24/slides/filtrage.html create mode 100644 promo/rlq-2026-10-24/slides/fonctionnement.html delete mode 100644 promo/rlq-2026-10-24/slides/lecons.html delete mode 100644 promo/rlq-2026-10-24/slides/plan.html diff --git a/CHANGELOG.md b/CHANGELOG.md index 355195e..9177f05 100644 --- a/CHANGELOG.md +++ b/CHANGELOG.md @@ -1,3 +1,20 @@ +## 2026-10-15 (157) — Le diaporama devient une présentation, plus un exposé technique + +**95 preuves.** `make verifier` : 95 OK, 0 échec. Aucun changement au moteur. + +Demande de Daniel : moins d'exposé technique, plus de présentation. Le public des Rencontres +Linux veut comprendre ce que le projet change, pas lire un plan YAML. + +- **Quinze diapositives au lieu de vingt.** Sortent : le plan et l'inventaire, l'adressage + dérivé, les déclarations des rôles, les pare-feu, les étapes de restauration, les astuces + Linux. Entre : « Comment ça marche, en une image » (un plan → le moteur → un écosystème). +- **Le reste est réécrit en langage simple** : trois engagements (libre, reconstructible, + transmissible), ce que reçoit une organisation, l'hébergeur qui prête l'abri, « 43 minutes » + en grand, la fédération des deux sites, une culture de la preuve, et qui peut nous rejoindre. +- **Une affirmation resserrée** : « chaque échange entre machines est chiffré » était trop large ; + la diapositive nomme ce qui l'est (bases de données, métriques, journaux). +- Le détail technique reste dans les notes, pour les questions de la salle. + ## 2026-10-15 (156) — Le diaporama dit l'œuvre commune : Chezlepro et TechnoLibre, membres de l'Alliance Boréale **95 preuves.** `make verifier` : 95 OK, 0 échec. Aucun changement au moteur. diff --git a/promo/README.md b/promo/README.md index 5a40deb..836d7fc 100644 --- a/promo/README.md +++ b/promo/README.md @@ -149,7 +149,7 @@ Ne pas remplacer les résultats historiques par des affirmations sur la flotte a ## `rlq-2026-10-24/` — le diaporama des Rencontres Linux du Québec La présentation de Set-OPS et de son état d'avancement aux Rencontres Linux du Québec (ÉTS, -24 octobre 2026) : vingt diapositives 16:9, notes de présentation comprises, **sans adresse +24 octobre 2026) : quinze diapositives 16:9, notes de présentation comprises, **sans adresse interne, secret, prix, faiblesse de sécurité ni défaut interne**. Les chiffres et les faits sont ceux du **15 octobre 2026** (révision `4645e47`, 95 preuves), datés comme tels ; ne pas les rafraîchir sans les relever de nouveau. @@ -163,8 +163,8 @@ exporté (PDF, PowerPoint) ; ces fichiers en sont la source versionnée. Une mod aux deux endroits, ou se republie depuis ces fichiers. Avant de présenter : remplacer `[adresse publique du dépôt]` (diapositives `libre` et -`questions`). L'exemple d'adressage (`adressage`) est calculé par le moteur pour un index -fictif, 42 ; le recalculer si la règle de nomenclature change. +`questions`). C'est une présentation, pas un exposé technique : le détail (inventaire généré, +adressage dérivé, flux) vit dans `docs/`, et les notes renvoient aux questions de la salle. ### Ouvrir les pages diff --git a/promo/rlq-2026-10-24/deck.json b/promo/rlq-2026-10-24/deck.json index 000652b..db246fb 100644 --- a/promo/rlq-2026-10-24/deck.json +++ b/promo/rlq-2026-10-24/deck.json @@ -12,38 +12,33 @@ "probleme", "setops", "ecosysteme", - "plan", - "adressage", - "declarations", - "filtrage", + "fonctionnement", "site", "chiffres", "reconstructions", - "etat", "zeroconfiance", "secondsite", "preuves", - "lecons", "reste", "libre", "questions" ], "sections": { "s1": { - "description": "Pourquoi Set-OPS existe et ce qu’il est.", + "description": "D’où vient Set-OPS, et pourquoi.", "start": "cover" }, "s2": { - "description": "Comment le moteur est fait : du plan aux machines.", + "description": "Comment ça marche, en langage simple.", "start": "ecosysteme" }, "s3": { - "description": "Où il en est au 15 octobre 2026, preuves datées à l’appui.", + "description": "Où il en est, preuves à l’appui.", "start": "chiffres" }, "s4": { - "description": "Ce que la flotte a appris, ce qui reste, et comment le reprendre.", - "start": "lecons" + "description": "La suite, et comment s’y joindre.", + "start": "reste" } }, "faces": { diff --git a/promo/rlq-2026-10-24/slides/adressage.html b/promo/rlq-2026-10-24/slides/adressage.html deleted file mode 100644 index 3978868..0000000 --- a/promo/rlq-2026-10-24/slides/adressage.html +++ /dev/null @@ -1,24 +0,0 @@ -
-
-

02 · L’adressage

-

Tout l’adressage dérive d’un seul nombre.

-
-
-
-

# plan/nomenclature.yml
index: 42

# plan/serveurs.yml
infra-dns-01:
  fonction: infra-dns
  etat: actif
idm-01:
  fonction: idm
collab-01:
  fonction: collab

-
-
- - - - - -
MachineAdresseVLANVMID
infra-dns-0110.42.19.111424142401101
idm-0110.42.17.111422142201101
collab-0110.42.21.211426142602101
-

Le VMID est le miroir de l’adresse : VLAN · octet d’hôte · rang. On retrouve la machine depuis son adresse, et l’inverse, sans registre.

-

Une preuve refuse un adressage écrit à la main au plan ; une autre refuse deux écosystèmes au même index. Plusieurs organisations cohabitent sur une même grappe sans collision.

-
-
-

Set-OPS · Rencontres Linux du Québec 2026 · exemple calculé par le moteur, index fictif

-

07

- -
diff --git a/promo/rlq-2026-10-24/slides/chiffres.html b/promo/rlq-2026-10-24/slides/chiffres.html index f7f6dca..bbf1765 100644 --- a/promo/rlq-2026-10-24/slides/chiffres.html +++ b/promo/rlq-2026-10-24/slides/chiffres.html @@ -1,6 +1,6 @@
-

03 · Où il en est · 15 octobre 2026

+

Où il en est · 15 octobre 2026

Moins de quatre mois, mesurés dans le dépôt.

@@ -29,8 +29,8 @@

sites : Chezlepro, TechnoLibre

-

43

-

groupes, ordonnés sans cycle

+

5 ans +

+

de vision partagée

154

@@ -38,6 +38,6 @@

Set-OPS · Rencontres Linux du Québec 2026 · relevés le 15 octobre 2026

-

11

- +

08

+
diff --git a/promo/rlq-2026-10-24/slides/declarations.html b/promo/rlq-2026-10-24/slides/declarations.html deleted file mode 100644 index 63ce846..0000000 --- a/promo/rlq-2026-10-24/slides/declarations.html +++ /dev/null @@ -1,19 +0,0 @@ -
-
-

02 · Ce que les rôles déclarent

-

Chaque rôle déclare ; le moteur dérive.

-
- - - - - - - - -
Déclaration du rôleCe que le moteur en dérive
meta/flux.ymlnftables, pare-feu Proxmox, frontière OPNsense, registre d’audit
meta/empreinte.ymlRAM, cœurs et disque : la somme des rôles que la VM porte
meta/liens.ymlles variables de connexion d’un service à un autre
meta/supervision.ymlles services Icinga ; avec metriques.yml, Prometheus et Grafana
meta/authentification.ymlla portée et le mécanisme d’authentification, gardés par une preuve
meta/acces.ymlles rôles d’accès projetés dans Keycloak
-

Aucune liste n’est tenue à la main ailleurs. La leçon la plus payée du dépôt : une liste qui suit une autre prend du retard.

-

Set-OPS · Rencontres Linux du Québec 2026

-

08

- -
diff --git a/promo/rlq-2026-10-24/slides/ecosysteme.html b/promo/rlq-2026-10-24/slides/ecosysteme.html index 99594fa..e0f483b 100644 --- a/promo/rlq-2026-10-24/slides/ecosysteme.html +++ b/promo/rlq-2026-10-24/slides/ecosysteme.html @@ -1,44 +1,41 @@ -
+
-

02 · Ce qu’un écosystème contient

-

Huit fonctions reliées, une seule identité.

+

Ce que reçoit une organisation

+

Tout son numérique, sous son toit.

-
-
-

Identité

-

OpenLDAP · Keycloak · oauth2-proxy

+
+
+ +

Une identité par personne

+

Un seul mot de passe pour tous les services

-
-

Confiance

-

step-ca, une autorité de certification interne, ACME

+
+ +

Son courriel

+

À son nom de domaine, chez elle

-
-

Noms

-

PowerDNS · Unbound · DNSSEC

+
+ +

Ses fichiers, à plusieurs

+

Partage et édition de documents

-
-

Courriel

-

Postfix · Dovecot · rspamd

+
+ +

Ses sites web

+

Publiés derrière un pare-feu applicatif

-
-

Données

-

PostgreSQL · Redis · restic hors nœud

+
+ +

Sa propre confiance

+

Ses certificats, ses noms de domaine

-
-

Collaboration

-

Nextcloud · Collabora

-
-
-

Observation

-

Prometheus · Loki · Grafana · Icinga

-
-
-

Web et forge

-

nginx · pare-feu applicatif CRS · Forgejo

+
+ +

Une vigie

+

Qui surveille tout, et prévient

-

Aujourd’hui, un écosystème de référence compte 13 machines virtuelles, nées du même gabarit Debian 13 durci : nftables, auditd, AppArmor, fail2ban, SSH par clé seulement.

Set-OPS · Rencontres Linux du Québec 2026

05

- +
diff --git a/promo/rlq-2026-10-24/slides/etat.html b/promo/rlq-2026-10-24/slides/etat.html deleted file mode 100644 index 4868923..0000000 --- a/promo/rlq-2026-10-24/slides/etat.html +++ /dev/null @@ -1,41 +0,0 @@ -
-
-

03 · L’état traverse la reconstruction

-

Le code reconstruit, la sauvegarde restitue.

-
-
-
-

1 · Instantané

-

« avant-raser », pris par chaque détenteur d’état

-
-
-

2 · Raser

-

toutes les VM de l’écosystème

-
-
-

3 · Reconstruire

-

cloner, armer le serveur d’exploitation, déployer

-
-
-

4 · Restaurer

-

depuis restic, hors du nœud, chaque service à sa naissance

-
-
-

5 · Comparer

-

les témoins, clé par clé, avant et après

-
-
-
-
-

Ce qui revient

-

Autorité de certification · annuaire · bases PostgreSQL · fichiers Nextcloud · boîtes de courriel · historique de supervision · métriques · journaux

-
-
-

Le principe

-

L’infrastructure se reconstruit par le code ; on sauvegarde la donnée, pas la VM. Un service qui naît demande au dépôt si une incarnation précédente l’attend.

-
-
-

Set-OPS · Rencontres Linux du Québec 2026

-

13

- -
diff --git a/promo/rlq-2026-10-24/slides/filtrage.html b/promo/rlq-2026-10-24/slides/filtrage.html deleted file mode 100644 index e6777ae..0000000 --- a/promo/rlq-2026-10-24/slides/filtrage.html +++ /dev/null @@ -1,42 +0,0 @@ -
-
-

02 · Le réseau

-

Un flux déclaré, trois pare-feu cohérents.

-
-
-
-

roles/*/meta/flux.yml

-
-
-

Internet

-

ce qui vient de l’extérieur

-
-
-

Frontière OPNsense

-

nord-sud ; un refus se journalise

-
-
-

SDN EVPN

-

une zone par écosystème, passerelles anycast

-
-
-

Pare-feu Proxmox

-

est-ouest, par VM, refus par défaut

-
-
-

nftables

-

sur chaque hôte, devant le service

-
- - - - - - - -
-

Les trois cadres verts sortent du même fichier. Un flux pair: externe devient la politique de bordure ; le registre des flux, généré, sert d’audit et dit le chiffrement de chacun.

-

Set-OPS · Rencontres Linux du Québec 2026

-

09

- -
diff --git a/promo/rlq-2026-10-24/slides/fonctionnement.html b/promo/rlq-2026-10-24/slides/fonctionnement.html new file mode 100644 index 0000000..0914c4e --- /dev/null +++ b/promo/rlq-2026-10-24/slides/fonctionnement.html @@ -0,0 +1,26 @@ +
+
+

Comment ça marche

+

En une image.

+
+
+
+

Un plan

+

Quelques fichiers texte qui disent ce dont l’organisation a besoin.

+
+ +
+

Le moteur

+

Déduit tout le reste : adresses, pare-feu, certificats, ordre d’installation.

+
+ +
+

Un écosystème

+

Vivant, sur des serveurs Linux, prêt à servir.

+
+
+

On modifie le plan, jamais les machines à la main.

+

Set-OPS · Rencontres Linux du Québec 2026

+

06

+ +
diff --git a/promo/rlq-2026-10-24/slides/lecons.html b/promo/rlq-2026-10-24/slides/lecons.html deleted file mode 100644 index 900d0bd..0000000 --- a/promo/rlq-2026-10-24/slides/lecons.html +++ /dev/null @@ -1,35 +0,0 @@ -
-
-

04 · Pour vos propres machines

-

Six choses bonnes à savoir.

-
-
-
-

Un connect() TCP ne prouve rien

-

Un pare-feu peut accepter la poignée de main sans relayer la suite. Seule la livraison compte.

-
-
-

Une sonde trop courte fabrique une panne

-

L’API de Proxmox, sans authentification, répond en 3 s par prudence ; un délai de 2 s y voit une panne.

-
-
-

nginx reload ne déplace pas une écoute

-

Une nouvelle adresse listen demande un restart. Comparer ss à la configuration.

-
-
-

Renouveler un certificat ne suffit pas

-

Le fichier est neuf ; le service sert l’ancien tant qu’on ne le recharge pas.

-
-
-

Ansible veut un tube

-

Une sortie non bloquante donne un échec silencieux. Remède : < /dev/null 2>&1 | cat

-
-
-

OPNsense : le groupe passe d’abord

-

Les règles du groupe wireguard s’appliquent avant celles d’une interface WireGuard assignée.

-
-
-

Set-OPS · Rencontres Linux du Québec 2026

-

17

- -
diff --git a/promo/rlq-2026-10-24/slides/libre.html b/promo/rlq-2026-10-24/slides/libre.html index 3f19c52..5ccd3dc 100644 --- a/promo/rlq-2026-10-24/slides/libre.html +++ b/promo/rlq-2026-10-24/slides/libre.html @@ -1,28 +1,27 @@ -
+
-

04 · Le reprendre

-

Libre, et fait pour être repris.

+

Nous rejoindre

+

Il y a une place pour vous.

-
-
-

AGPLv3 ou ultérieure

-

Le moteur est libre. Le modèle d’affaires : libre + services, héberger et accompagner.

+
+
+ +

Une organisation

+

OBNL, coopérative, PME : reprenez vos outils numériques.

-
-

Sans IA pour l’exploiter

-

Un administrateur reprend l’écosystème avec la documentation, make et la console.

+
+ +

Un hébergeur

+

Vous avez du matériel : devenez un site de la fédération.

-
-

Une remise en deux temps

-

L’identité au jour de la livraison, puis les clés des machines à une échéance écrite.

+
+ +

Un contributeur

+

Le code est libre, sous AGPLv3 : lisez-le, essayez-le.

-
-

Essayer avec le modèle public

-

make instance-creer NOM=OPS-MonOrg MODELE=socle

-

Le code : [adresse publique du dépôt] · Contact : chezlepro.ca/contact

-
+

Le code : [adresse publique du dépôt] · Nous écrire : chezlepro.ca/contact

Set-OPS · Rencontres Linux du Québec 2026

-

19

- +

14

+
diff --git a/promo/rlq-2026-10-24/slides/plan.html b/promo/rlq-2026-10-24/slides/plan.html deleted file mode 100644 index da7c30d..0000000 --- a/promo/rlq-2026-10-24/slides/plan.html +++ /dev/null @@ -1,44 +0,0 @@ -
-
-

02 · Du plan aux machines

-

On édite le plan, jamais l’inventaire.

-
-
-
-

plan/*.yml

-

Serveurs, applications, bases, domaines, nomenclature : ce qu’on écrit.

-
- -
-

make instancier

-

Dérive VMID, IP, VLAN, noms et groupes ; montre l’écart avant d’écrire.

-
- -
-

hosts.yml

-

L’inventaire Ansible, généré. Personne ne l’édite à la main.

-
- -
-

make deployer

-

Couche par couche, dans l’ordre d’un graphe de 43 groupes, sans cycle.

-
-
-
-
-

Un groupe, un playbook

-

Chaque groupe applique ses rôles ; le socle et le durcissement passent en premier.

-
-
-

Lire avant d’écrire

-

Les cibles -plan comparent le réel au plan sans rien changer ; -appliquer réconcilie, sur confirmation.

-
-
-

Un modèle pour démarrer

-

Le modèle public socle : PKI, DNS interne, edge TLS, magasin de courriel.

-
-
-

Set-OPS · Rencontres Linux du Québec 2026

-

06

- -
diff --git a/promo/rlq-2026-10-24/slides/preuves.html b/promo/rlq-2026-10-24/slides/preuves.html index 5944417..2091ca1 100644 --- a/promo/rlq-2026-10-24/slides/preuves.html +++ b/promo/rlq-2026-10-24/slides/preuves.html @@ -1,25 +1,20 @@ -
+
-

03 · Comment on sait

-

Prouver le dépôt, mesurer le système.

+

Une culture de la preuve

+

On ne croit pas. On vérifie.

-
-
-

make verifier · make prouver

-

Les preuves statiques

-

Lisent le dépôt seul, sans réseau : plan, rôles, flux, documentation, ordre de déploiement. 95 preuves, un rapport daté et rejouable.

+
+
+

95

+

vérifications automatiques, rejouées à chaque changement du moteur.

-
-

make SUJET-plan

-

Les devis

-

Lisent le système en marche, par les API de Proxmox et d’OPNsense et sur les VM, et le comparent au plan. Ils n’écrivent rien.

+
+

Le réel

+

comparé au plan, sans rien modifier, avant toute intervention.

-
-

Chaque garde a son témoin : on casse exprès, elle doit le voir.

-

Et chaque sonde a son contrôle : avant de conclure, on vérifie d’où l’instrument mesure.

-
+

Chaque garde est mise à l’épreuve : on casse exprès, elle doit le voir.

Set-OPS · Rencontres Linux du Québec 2026

-

16

- +

12

+
diff --git a/promo/rlq-2026-10-24/slides/probleme.html b/promo/rlq-2026-10-24/slides/probleme.html index 5e41912..f1814fc 100644 --- a/promo/rlq-2026-10-24/slides/probleme.html +++ b/promo/rlq-2026-10-24/slides/probleme.html @@ -1,6 +1,6 @@
-

01 · Pourquoi

+

Pourquoi

Une petite organisation loue aujourd’hui
ses comptes, son courriel et ses fichiers.

diff --git a/promo/rlq-2026-10-24/slides/reconstructions.html b/promo/rlq-2026-10-24/slides/reconstructions.html index 59ec8c1..d666014 100644 --- a/promo/rlq-2026-10-24/slides/reconstructions.html +++ b/promo/rlq-2026-10-24/slides/reconstructions.html @@ -1,19 +1,9 @@ -
-
-

03 · Raser pour prouver

-

On rase, on reconstruit, on recommence.

-
- - - - - - - - -
DateCe que la reconstruction a prouvéDurée
13 aoûtUne flotte remontée d’un trait : 43 groupes, 0 échec37 min
2 sept.Un écosystème rasé et refait depuis zéro ; recette à 0 échec—
10 sept.Reconstruction de confirmation, 0 échec34 min
1er oct.L’état revient : autorité, annuaire, bases, fichiers, courriel41 puis 40 min
4 oct.Les deux écosystèmes avant une release étiquetée et signée42 min chacun
9 oct.Sans PyPI, Galaxy ni app store ; supervision, métriques et journaux compris43 min, d’une traite
-

Une commande : make reconstruire-locataire. Des épreuves datées sur des VM réelles, pas un délai de reprise garanti.

-

Set-OPS · Rencontres Linux du Québec 2026 · journal des changements du dépôt

-

12

- +
+

La preuve par l’épreuve

+

43 minutes

+

pour raser une organisation entière et la reconstruire depuis son plan, intacte.

+

Comptes, courriel, fichiers, bases de données, historique : identiques avant et après. Chezlepro, le 9 octobre 2026, d’une traite. Nous le refaisons régulièrement depuis août.

+

Set-OPS · Rencontres Linux du Québec 2026

+

09

+
diff --git a/promo/rlq-2026-10-24/slides/reste.html b/promo/rlq-2026-10-24/slides/reste.html index 99da44e..f609f13 100644 --- a/promo/rlq-2026-10-24/slides/reste.html +++ b/promo/rlq-2026-10-24/slides/reste.html @@ -1,27 +1,27 @@ -
+
-

04 · La suite

-

Les prochaines étapes.

+

La suite

+

Les prochaines étapes.

-
-
-

La délégation DNS

-

Enregistrer la colle des deux serveurs de noms chez les registraires, puis déléguer les domaines.

+
+
+

Nos domaines, chez nous

+

Nos noms de domaine servis par nos propres serveurs de noms.

-
-

Le web public

-

Des certificats Let’s Encrypt sur le frontal web, derrière son pare-feu applicatif.

+
+

Des sites web publics

+

Ouverts au monde, chiffrés, protégés.

-
-

La reprise entre sites

-

Des sauvegardes croisées : chaque membre garde une copie de l’autre.

+
+

Une copie chez l’autre

+

Chaque membre garde une sauvegarde de l’autre.

-
-

D’autres membres

-

Accueillir d’autres membres de l’Alliance, chacun avec son site, monté par le même moteur.

+
+

D’autres membres

+

Accueillir d’autres organisations dans l’Alliance.

Set-OPS · Rencontres Linux du Québec 2026

-

18

- +

13

+
diff --git a/promo/rlq-2026-10-24/slides/secondsite.html b/promo/rlq-2026-10-24/slides/secondsite.html index e95ab8e..692c7eb 100644 --- a/promo/rlq-2026-10-24/slides/secondsite.html +++ b/promo/rlq-2026-10-24/slides/secondsite.html @@ -1,38 +1,25 @@ -
+
-

03 · TechnoLibre · 13 et 14 octobre

-

Le site de TechnoLibre, construit depuis zéro.

+

La fédération, concrètement

+

Deux sites, deux membres, un filet commun.

-
-
-

Internet

-

visiteurs, résolveurs, registraires

+
+
+

Site de Chezlepro

+

Héberge les écosystèmes des deux membres.

-
-

Relais (VPS)

-

3 adresses fixes louées, routées en /32

+
+ +

un lien chiffré

+
-
-

Frontière OPNsense

-

sans adresse fixe, elle initie le tunnel

+
+

Site de TechnoLibre

+

Assure la reprise des deux membres.

-
-

Proxmox · 9 VM

-

clonées en 30 secondes chacune

- - -

WireGuard

- -
-

Site de Chezlepro

-

l’autre frontière

-
- -

Lien entre les sites, WireGuard : réplication du DNS public, administration à distance.

-

Aucune traduction d’adresse : l’adresse du client arrive intacte. Deux serveurs de noms publics, un par site, servent les zones signées DNSSEC.

-
-

Set-OPS · Rencontres Linux du Québec 2026 · sur le matériel de TechnoLibre, la reprise des deux membres

-

15

- +

Construit depuis zéro par le moteur les 13 et 14 octobre, sur le matériel de TechnoLibre. Il sert déjà nos domaines publics ; il gardera bientôt une copie de chacun.

+

Set-OPS · Rencontres Linux du Québec 2026

+

11

+
diff --git a/promo/rlq-2026-10-24/slides/setops.html b/promo/rlq-2026-10-24/slides/setops.html index 9e203e3..3e4e521 100644 --- a/promo/rlq-2026-10-24/slides/setops.html +++ b/promo/rlq-2026-10-24/slides/setops.html @@ -1,34 +1,23 @@ -
+
-

01 · Ce que c’est

-

Un moteur qui transforme un plan
en écosystème.

+

Notre réponse

+

Vous décrivez votre organisation.
Set-OPS la construit.

-
-
-
-

Le moteur

-

Rôles Ansible, playbooks, scripts Python de dérivation, preuves. Un seul dépôt, générique.

+
+
+

Libre

+

Tout le logiciel est libre, de bout en bout. Le moteur aussi.

-
-

L’écosystème

-

Un dépôt par organisation : son plan, son inventaire généré, sa voûte chiffrée.

+
+

Reconstructible

+

Tout est écrit : on peut tout raser et tout retrouver.

-
-

Le site

-

Un dépôt par hébergeur : grappe Proxmox, réseau, frontière OPNsense.

-
-
-

L’exploitation

-

La documentation, make et une console web. Aucune IA requise.

-
-
-
-

Logiciel libre, exclusivement.

-

Ni Docker, ni Podman : des services natifs, des paquets Debian et systemd, sur des VM Debian 13 clonées d’un gabarit durci.

-

Licence AGPLv3 ou ultérieure

+
+

Transmissible

+

Un administrateur le reprend sans nous, et sans IA.

Set-OPS · Rencontres Linux du Québec 2026

04

- +
diff --git a/promo/rlq-2026-10-24/slides/site.html b/promo/rlq-2026-10-24/slides/site.html index 8b6f532..22ad0a5 100644 --- a/promo/rlq-2026-10-24/slides/site.html +++ b/promo/rlq-2026-10-24/slides/site.html @@ -1,31 +1,21 @@ -
+
-

02 · Héberger sans posséder

-

Un site héberge, une organisation possède.

+

Héberger sans posséder

+

L’hébergeur prête l’abri.
L’organisation garde les clés.

-
-
-

Le site · l’hébergeur

-

Grappe Proxmox, SDN, stockage, frontière OPNsense.

-

Crée et détruit les machines, avec sa propre voûte.

-

Prête trois services à un écosystème jeune : les paquets, la forge du moteur, la résolution de noms.

+
+
+

L’hébergeur

+

Fournit le matériel, le réseau et la porte d’entrée. Crée les machines.

-
-

fiche du site

- -
- -

face réseau

-
-
-

L’écosystème · l’organisation

-

Son plan, sa voûte, son annuaire, son autorité, ses journaux.

-

Configure ses services par son propre serveur d’exploitation.

-

Peut partir : plan, données, voûte et domaines s’emportent.

+ +
+

L’organisation

+

Possède son plan, ses données, ses comptes et ses clés.

-

Même entreprise ne veut pas dire même pouvoir : une voûte par dépôt, une clé par voûte, et chaque serveur d’exploitation ne lit que son propre dépôt.

+

Elle peut partir quand elle veut, avec son plan, ses données et ses domaines.

Set-OPS · Rencontres Linux du Québec 2026

-

10

- +

07

+
diff --git a/promo/rlq-2026-10-24/slides/zeroconfiance.html b/promo/rlq-2026-10-24/slides/zeroconfiance.html index 7cddc98..8464f00 100644 --- a/promo/rlq-2026-10-24/slides/zeroconfiance.html +++ b/promo/rlq-2026-10-24/slides/zeroconfiance.html @@ -1,28 +1,23 @@ -
+
-

03 · Zéro confiance, est-ouest

-

Le trafic interne est chiffré aussi.

+

La sécurité par défaut

+

Chiffré, même à l’intérieur.

-
-
-

PostgreSQL : TLS obligatoire

-

hostssl seulement dans pg_hba ; les clients vérifient le serveur en verify-full.

+
+
+ +

Bases de données, métriques et journaux : chiffrés entre machines, chaque partie vérifiant l’autre.

-
-

Métriques et journaux en HTTPS

-

Mesuré le 12 octobre : 15 écoutes sur 15 en TLS dans chaque écosystème, 11 sur 11 au site.

+
+ +

Rien ne sort vers Internet sans une raison écrite dans le plan.

-
-

Aucune sortie sans déclaration

-

Depuis le 10 octobre, aucune machine ne sort vers Internet sans un rôle qui le dise. Le site sert les paquets.

-
-
-

Un pare-feu devant chaque VM

-

Le pare-feu de Proxmox est actif, VM par VM, refus par défaut, depuis le 28 septembre.

+
+ +

Un pare-feu devant chaque machine, qui refuse tout ce qui n’est pas prévu.

-

Chaque flux déclare son chiffrement ; le registre des flux, généré, en fait la synthèse.

Set-OPS · Rencontres Linux du Québec 2026

-

14

- +

10

+