04 · Pour vos propres machines

Six choses bonnes à savoir.

Un connect() TCP ne prouve rien

Un pare-feu peut accepter la poignée de main sans relayer la suite. Seule la livraison compte.

Une sonde trop courte fabrique une panne

L’API de Proxmox, sans authentification, répond en 3 s par prudence ; un délai de 2 s y voit une panne.

nginx reload ne déplace pas une écoute

Une nouvelle adresse listen demande un restart. Comparer ss à la configuration.

Renouveler un certificat ne suffit pas

Le fichier est neuf ; le service sert l’ancien tant qu’on ne le recharge pas.

Ansible veut un tube

Une sortie non bloquante donne un échec silencieux. Remède : < /dev/null 2>&1 | cat

OPNsense : le groupe passe d’abord

Les règles du groupe wireguard s’appliquent avant celles d’une interface WireGuard assignée.

Set-OPS · Rencontres Linux du Québec 2026

Pour une salle d’administrateurs Linux, voici ce qui vous servira peut-être demain matin. Un : un connect TCP réussi ne prouve rien ; un pare-feu peut accepter la poignée de main sans relayer le trafic. Seule la livraison compte, et la destination en est le seul juge. Deux : l’API de Proxmox, quand on l’interroge sans authentification, met un peu plus de trois secondes à répondre, par protection contre la force brute ; une sonde avec un délai de deux secondes y voit une panne qui n’existe pas. Trois : nginx reload n’applique pas un changement d’adresse d’écoute ; il faut un restart, et comparer ss à la configuration. Quatre : un certificat renouvelé sur disque reste servi périmé tant qu’on ne recharge pas le service. Cinq : Ansible lancé avec une sortie non bloquante échoue en silence ; on le fait passer dans un tube. Six : dans OPNsense, les règles du groupe wireguard passent avant celles d’une interface WireGuard assignée.