---
# Flux réseau de Prometheus (métriques). Voir docs/flux-conception.md.
flux:
  - sens: egress
    port: 9100
    protocole: tcp
    pair: client_metrique
    chiffrement: tls
    raison: "Scrape des node_exporter (HTTPS via cert step-ca) sur chaque nœud instrumenté."
  - sens: ingress
    port: 9090
    protocole: tcp
    pair: localhost
    chiffrement: clair
    raison: "Console Prometheus consommée en local par Grafana co-localisé (pas d'exposition inter-nœud)."

  # LA FABRIC SE SURVEILLE EN LA TIRANT (2026-09-10).
  #
  # Les hyperviseurs portent `node_exporter` — D-48 l'autorise : « hors flotte » ne vaut
  # que pour les commutateurs et la frontiere. Mais ils ne peuvent pas POUSSER : leur route
  # par defaut vise le routeur du site, qui ne connait pas les reseaux du site, et cette
  # route est GELEE (D-57). Mesure : le porteur de sante y expirait en 20 s.
  #
  # Prometheus tire donc, dans le sens que la frontiere route deja pour `serveur_ops_site`.
  # 7887 lignes de metriques sur `asgard`, dont 1005 unites systemd avec leur etat — soit
  # davantage que ce qu'un ping ou un porteur de sante auraient dit.
  - sens: egress
    port: 9100
    protocole: tcp
    pair: fabric
    chiffrement: clair
    raison: >-
      Scrape des hyperviseurs : la machine qui PORTE les VM etait invisible de la
      supervision qui les surveille. Elle ne peut pas pousser (route par defaut gelee,
      D-57), donc on la tire.