--- # Flux réseau du socle Debian : le plan de gestion (SSH). Voir docs/flux-conception.md. # CRITIQUE : sans cette règle, les nftables générés couperaient l'accès Ansible/SSH. flux: - sens: ingress port: 22 protocole: tcp pair: [flotte, externe] chiffrement: ssh raison: "Plan de gestion : administration et déploiement Ansible par SSH (inter-nœud ; l'accès depuis l'extérieur est filtré à l'OPNsense)." # --- Sortie apt directe : SEULEMENT SANS AMONT D'ARTEFACTS (2026-10-10) --- # # C'ÉTAIT UNE SORTIE 80/443 VERS TOUT INTERNET, POUR TOUTE MACHINE. Sa raison, « dépôts # apt », n'était plus vraie chez les locataires : leurs 26 machines prennent TOUTES leurs # sources en `http://` par le cache du site (`artefacts_amorcage`), aucune n'a de dépôt # HTTPS. Mesuré à la frontière, elle ne servait plus qu'à ce qu'aucun rôle ne déclarait : # télémétrie de Grafana, d'Alloy et de Loki, vérification de version de Collabora, # cartes de rspamd, repère du génome. Les trois premiers sont coupés à la source ; les # deux derniers ont désormais leur propre flux, dans leur rôle. # # ELLE NE RESTE QUE LÀ OÙ IL N'Y A AUCUN AMONT. Le site non plus ne la reçoit pas : ses # machines visent son propre cache depuis le 2026-09-14 (`site_inventaire.py`, # `artefacts_amorcage`), et le cache, lui, porte ses propres sorties 80/443 # (`serveur_cache_site`, `serveur_artefacts`). Seul un écosystème sans aucune source # d'artefacts — un laboratoire isolé — prend encore ses paquets en direct. - sens: egress port: 443 protocole: tcp pair: externe chiffrement: tls-requis seulement_si: {variable: artefacts_amorcage, non_vide: false} raison: >- Dépôts apt en direct, pour un écosystème SANS aucune source d'artefacts. Le site et ses locataires passent par le cache du site et ne la reçoivent pas. - sens: egress port: 80 protocole: tcp pair: externe chiffrement: clair seulement_si: {variable: artefacts_amorcage, non_vide: false} raison: >- Dépôts apt en clair et redirections des miroirs, pour un écosystème SANS amont d'artefacts. L'intégrité vient de la signature des paquets, pas du transport. # --- Decouverte de MTU de chemin (PMTUD) --- # L'overlay EVPN plafonne a 1450 : tout ce qui traverse la frontiere depend de ces # deux messages. Bloques, la connexion s'etablit, les petites requetes passent et les # grosses reponses restent suspendues — la panne la plus couteuse a diagnostiquer. - sens: ingress port: frag-needed protocole: icmp pair: externe chiffrement: n-a raison: "ICMP « fragmentation nécessaire » entrant : sans lui, un distant ne peut pas nous demander de réduire nos paquets — les transferts se figent." - sens: egress port: frag-needed protocole: icmp pair: externe chiffrement: n-a raison: "ICMP « fragmentation nécessaire » sortant : c'est ainsi que nos hôtes signalent l'overlay à 1450 aux correspondants distants." # LA FACE RECEPTRICE DU PING DE SUPERVISION. # # `serveur_icinga` declare l'egress ; le registre REFUSE un egress sans son ingress en # face, et il a bien fait : c'est precisement l'oubli qui a coute cinq `TimeoutError` # sur le rapport de sante quelques heures plus tot. Ici la garde l'a dit tout de suite. - sens: ingress port: echo-request protocole: icmp pair: serveur_icinga chiffrement: n-a partage: true raison: "La supervision verifie que ce noeud repond (hostalive). Sans lui, elle le tient pour mort et supprime ses notifications." # LA FRONTIÈRE EST AUSSI L'AUTORITÉ DE NOMS D'AMORÇAGE (2026-09-12). # # TROUVÉ À LA PREMIÈRE RECONSTRUCTION DU SITE DEPUIS ZÉRO. Les sept machines du site # naissent avec `nameserver 10.37.34.11` — `site-dns-01`, qui est elle-même une des # sept et n'a pas encore de résolveur. `site-dns-01` pointe donc sur elle-même, et # `apt update` échoue sur les sept : # # Erreur temporaire de résolution de « deb.debian.org » # # Le locataire n'a jamais ce problème : son résolveur est le SITE, qui existe déjà. # Le site, lui, n'a personne au-dessus — sauf la frontière, dont l'Unbound tourne et # écoute sur `*:53`. Il ne manquait que le passage. # # CE QUE CETTE RÈGLE NE DIT PAS. « Toute la flotte résout ici, et nulle part ailleurs » # (`serveur_resolveur/meta/flux.yml`) reste la règle en régime établi : le résolveur # de l'écosystème est le seul que les machines INTERROGENT, parce que c'est lui que # leur `/etc/resolv.conf` nomme. Cette règle n'ouvre qu'une possibilité, celle qui # rend l'amorçage possible — et sans elle, un écosystème neuf ne peut pas naître. - sens: egress port: 53 protocole: udp pair: frontiere chiffrement: n-a raison: >- Résolution de noms à l'amorçage, avant que le résolveur de l'écosystème n'existe. Sans elle, les machines d'un site neuf ne peuvent pas résoudre leurs dépôts de paquets — et rien ne peut donc s'installer, y compris le résolveur lui-même. - sens: egress port: 53 protocole: tcp pair: frontiere chiffrement: n-a raison: >- Réponses longues et bascule TCP, obligatoires en DNS. Déclarer l'UDP sans le TCP donne une résolution qui marche jusqu'à la première réponse tronquée. # L'HEURE VIENT DE LA FRONTIÈRE, PAS D'INTERNET (2026-09-11). # # C'était `pair: externe` : les quatorze machines interrogeaient `2.debian.pool.ntp.org`, # défaut de Debian jamais choisi — le rôle `chrony` posait le fuseau et laissait les # sources telles quelles. Mesuré : quatre pairs publics par machine, sur les quatorze. # # C'était la DERNIÈRE dépendance vivante à Internet des opérations internes. Tout le # reste sort déjà par le site : les paquets par son cache, les noms par son DNS, le # génome par sa forge, l'état par son dépôt. L'heure, non. # # ET C'EST LA MAUVAISE À LAISSER TRAÎNER. step-ca émet des certificats à durée courte ; # TLS refuse un certificat pas encore valide ; Loki rejette une ligne trop loin dans le # futur ; les silences d'Icinga reposent sur des `ttl`. Une flotte dont les horloges # divergent tombe en panne de l'intérieur, avec des symptômes qui ressemblent à tout # sauf à une horloge. Et la dérive est lente : couper Internet ne casse rien le premier # jour, ce qui laisse croire à une souveraineté qu'on n'a pas. # # La frontière est déjà `stratum 3`, synchronisée, et écoute en 123 sur chaque patte. # Elle se discipline sur le pool public quand Internet est là ; la flotte, elle, ne sort # plus. Même patron que le cache apt : un seul sort, les autres non. # # RESSERRE AUTANT QUE CENTRALISE : `pair: externe` autorisait le 123 vers N'IMPORTE # QUELLE adresse d'Internet. La destination est désormais nommée. - sens: egress port: 123 protocole: udp pair: frontiere chiffrement: n-a raison: >- Synchronisation d'horloge (NTP) contre la frontière, autorité de temps de l'écosystème. Une dérive fait échouer la validation des certificats step-ca et l'authentification SSO.