Daniel Allaire
a1997774be
Devis clos : 0 a creer, 0 a retirer, 65 inchange + 15 routes. Flotte verifiee apres coup -- DNS interne, Internet et apt sans erreur sur les cinq hotes. OPNsense refuse un alias de 32 caracteres ou plus. La contrainte n'etait ecrite nulle part et se manifestait a l'APPLICATION, pas au devis. nom_alias abrege desormais (SERVEUR_ -> SRV_, comme le pare-feu est-ouest) et REFUSE bruyamment si le nom deborde encore : un devis qui promet un objet que la cible rejettera n'est pas un devis. Le role devient serveur_cache_site. « RIEN N'EST APPLIQUE » signifiait « pas encore recharge », pas « rien ecrit » : les objets etaient dans la config, le pare-feu en marche les ignorait. J'avais lu le message a l'envers. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
30 lines
1.1 KiB
YAML
30 lines
1.1 KiB
YAML
---
|
|
# Flux réseau de la source d'artefacts. Voir docs/flux-conception.md.
|
|
flux:
|
|
- sens: ingress
|
|
port: 3142
|
|
protocole: tcp
|
|
pair: flotte
|
|
chiffrement: clair
|
|
raison: >-
|
|
Toute la flotte prend ses paquets ici. En clair, et c'est correct : l'intégrité
|
|
d'un dépôt apt vient de ses signatures, qu'apt vérifie de toute façon — un
|
|
intermédiaire ne peut pas altérer un paquet sans se faire prendre.
|
|
- sens: egress
|
|
port: 80
|
|
protocole: tcp
|
|
pair: externe
|
|
chiffrement: clair
|
|
raison: "Remplir le cache depuis les dépôts Debian amont (deb.debian.org, security)."
|
|
# LE CHAINAGE, cote consommateur. Un seul port, et seulement vers un CACHE — jamais
|
|
# d'une VM vers le cache d'un autre tenant.
|
|
#
|
|
# L'INGRESS CORRESPONDANT N'EST PAS ICI : il appartient a `serveur_cache_site`, le
|
|
# cache designe du site. Sans cette separation, chaque cache aurait accepte chaque
|
|
# autre — un maillage complet, visible au devis du 2026-08-24.
|
|
- sens: egress
|
|
port: 3142
|
|
protocole: tcp
|
|
pair: voisins_site
|
|
chiffrement: clair
|
|
raison: "Prendre le cache du site comme amont, plutot que d'aller chez Debian."
|