---
# Flux reseau du serveur DNS public du site. Voir docs/flux-conception.md.
#
# PHASE 2 (2026-09-16) : L'INTERNET ENTRE, ET SEULEMENT PAR LE FRONTAL. Declare APRES que
# toutes les zones sont signees DNSSEC (P82 le refuse sinon) et que dnsdist borne le debit.
flux:
  # LE 53 PUBLIC. La frontiere redirige `WAN:53` (`port_public`) vers le frontal dnsdist
  # (`port`, 1053) ; PowerDNS n'est jamais joint depuis dehors. Le 53 de la machine reste
  # celui des primaires et du site.
  - sens: ingress
    port: 1053
    port_public: 53
    protocole: udp
    pair: externe
    chiffrement: clair
    raison: >-
      Les resolveurs de l'Internet interrogent les zones publiques des locataires du site. Les
      reponses sont signees DNSSEC : leur integrite ne depend ni du transport, ni de nous.
  - sens: ingress
    port: 1053
    port_public: 53
    protocole: tcp
    pair: externe
    chiffrement: clair
    raison: >-
      Repli TCP : reponses tronquees par dnsdist (ANY, debit) et reponses signees trop grosses
      pour l'UDP.

  # LES NOTIFICATIONS DES PRIMAIRES. Un locataire previent le site qu'une zone a change ;
  # le site tire alors la nouvelle version. Sans ce flux, la replique attendrait le
  # rafraichissement du SOA — une heure de retard sur chaque changement.
  - sens: ingress
    port: 53
    protocole: udp
    pair: voisins_site
    chiffrement: clair
    raison: >-
      NOTIFY des primaires des locataires du site : une zone publique a change. Le contenu
      d'une zone publique n'a rien de secret ; ce qui compte est QUI peut le modifier, et
      c'est TSIG qui le garde, sur le transfert.
  - sens: ingress
    port: 53
    protocole: tcp
    pair: voisins_site
    chiffrement: clair
    raison: "Repli TCP des notifications des primaires des locataires."

  # LE TRANSFERT, TIRE PAR LE SITE. Le primaire d'un locataire n'accepte AUCUNE adresse :
  # seule une requete signee par la cle de sa relation obtient la zone.
  - sens: egress
    port: 5300
    protocole: tcp
    pair: primaires_dns_locataires
    chiffrement: clair
    raison: >-
      AXFR signe TSIG vers l'autoritatif de chaque locataire du site (5300 : il partage sa
      machine avec le resolveur, qui tient le 53). La signature authentifie, elle ne
      chiffre pas — et une zone publique n'a rien a cacher.

  # LA QUESTION QUI PRECEDE LE TRANSFERT (mesure le 2026-09-16, en production).
  #
  # Avant de tirer une zone, un secondaire compare les serials : il demande le SOA au
  # primaire, EN UDP. La premiere version ne declarait que le TCP du transfert. La frontiere
  # laissait donc passer l'AXFR et jetait la question qui le declenche : aucune zone n'a
  # jamais ete tiree toute seule. Un tirage force a la main passait, et aurait fait croire
  # que tout marchait — le secondaire n'aurait vu aucun changement, jamais.
  - sens: egress
    port: 5300
    protocole: udp
    pair: primaires_dns_locataires
    chiffrement: clair
    raison: >-
      SOA demande au primaire avant chaque transfert : c'est lui qui dit si la zone a change.
      Sans lui, le secondaire garde sa premiere copie pour toujours.