---
# Flux réseau du DNS autoritatif interne (PowerDNS). Voir docs/flux-conception.md.
# LE PORT DE L'AUTORITATIF EST DÉRIVÉ DEPUIS LE 2026-08-24, et c'est pour ça qu'il est
# déclaré `derive` plutôt que `53` :
#
#   seul sur son hôte                      -> 53 sur l'adresse du tenant
#   partageant l'hôte avec le résolveur    -> 5300 sur la loopback, derrière lui
#
# Le résolveur devient alors la seule porte, et personne n'interroge l'autoritatif
# directement. `verifier_ports` traite un port non numérique comme « pas une écoute fixe »
# — ce qui est exactement le cas : les deux services lient le port 53 mais sur des
# ADRESSES différentes, ce qu'une comparaison de ports seuls ne peut pas distinguer.
flux:
  - sens: ingress
    port: derive
    protocole: udp
    pair: flotte
    chiffrement: clair
    raison: "Zone souveraine. 53 seul sur son hôte, 5300 sur la loopback derrière le résolveur."
  - sens: ingress
    port: derive
    protocole: tcp
    pair: flotte
    chiffrement: clair
    raison: "Idem en TCP (réponses volumineuses, AXFR restreint par allow_axfr_ips)."

  # L'autoritatif ne RÉCURSE pour personne — mais il doit résoudre POUR LUI-MÊME : `apt`,
  # NTP, les certificats. Il est le seul hôte exempté de `client_resolveur` (PowerDNS occupe
  # déjà son port 53), donc rien d'autre ne lui ouvre ce flux. Sans cette déclaration, la
  # frontière jette ses requêtes et la machine ne peut même pas s'installer — mesuré le
  # 2026-08-06, sur la VM qui devait justement servir de DNS au tenant.
  - sens: egress
    port: 53
    protocole: udp
    pair: externe
    chiffrement: clair
    raison: "Résolution sortante du serveur autoritatif POUR SES PROPRES besoins (apt, NTP) — il ne récurse pour aucun autre hôte."
  - sens: egress
    port: 53
    protocole: tcp
    pair: externe
    chiffrement: clair
    raison: "Repli TCP de la résolution sortante du serveur autoritatif (réponses dépassant la taille UDP)."