---
# Flux réseau de Loki (journaux). Voir docs/flux-conception.md.
flux:
  - sens: ingress
    port: 3100
    protocole: tcp
    pair: client_journal
    chiffrement: tls
    raison: "Réception des journaux poussés par Alloy (client_journal) en HTTPS (http_tls_config, cert step-ca)."
  - sens: ingress
    port: 3100
    protocole: tcp
    pair: localhost
    chiffrement: clair
    raison: "Requêtes de Grafana co-localisé (datasource Loki en localhost)."

  # LA FABRIC JOURNALISE AUSSI, ET ELLE, ELLE PEUT POUSSER (2026-09-10).
  #
  # Les metriques des hyperviseurs sont TIREES : leur route par defaut est gelee (D-57) et
  # le porteur de sante y expirait. Les journaux, eux, passent — parce que les routes
  # SPECIFIQUES vers les zones du site ont ete completees le meme jour (`10.0.35.0/24` et
  # `10.0.36.0/24` manquaient). Alloy pousse donc vers Loki comme n'importe quelle machine.
  #
  # LA DIFFERENCE AVEC LES METRIQUES N'EST PAS UN CAPRICE : un scrape part du collecteur et
  # doit REVENIR, ce qui exige un chemin symetrique ; un push part de la source et n'attend
  # qu'un accuse. La route completee suffit au second, pas au premier.
  - sens: ingress
    port: 3100
    protocole: tcp
    pair: fabric
    chiffrement: tls
    raison: >-
      Journaux des hyperviseurs. La machine qui PORTE les VM ecrivait ses journaux nulle
      part ailleurs que sur son propre disque — invisibles le jour ou c'est elle qui casse.

  # LE SYSLOG DE LA FRONTIERE (2026-09-10).
  #
  # Port 1514 et non 514 : au-dessus de 1024, donc Alloy l'ecoute sans privilege. Un
  # collecteur qui aurait besoin des droits du systeme pour entendre un equipement serait
  # un mauvais echange.
  #
  # `fabric` couvre la frontiere. Le flux est declare COTE LOKI parce que c'est lui qui
  # ouvre un port : l'emetteur, lui, n'est pas dans la flotte et ne declare rien.
  - sens: ingress
    port: 1514
    protocole: tcp
    pair: fabric
    chiffrement: clair
    raison: >-
      Journaux de la frontiere. Elle n'accueille aucun agent et n'emet que du syslog ; sans
      ce flux, le seul equipement qui voit passer TOUT le trafic n'ecrit nulle part.