Daniel Allaire
0778979b89
Les journaux de la fabric, et le defaut de classe que leur mise en place a revele. 10 hotes dans Loki (7 VM du site + 3 hyperviseurs), site a 67 services tous OK contre 51 avant. METRIQUES TIREES, JOURNAUX POUSSES. Un scrape part du collecteur et doit REVENIR : il exige un chemin symetrique, que la route par defaut gelee interdit. Un push part de la source et n attend qu un accuse. Trois trous dans les generateurs. Le devis de la frontiere ne connaissait fabric qu en DESTINATION - un flux entrant tombait dans « rien d autre n entre » sans rien dire. La regle etait posee sur la patte de la destination alors que D-61 raisonne en ARRIVEE, et opt7 manquait a la table des zones. Et le plus grave : fabric etait un mot RECONNU mais NON RESOLU. Source vide, donc regle sans saddr - tcp dport 3100 accept, ouvert a tous. Un mot reconnu mais non resolu est pire qu un mot inconnu : celui-ci serait refuse a la validation, celui-la produit une porte grande ouverte qui a l air d un flux precis. LA CLASSE ENTIERE EST REFERMEE. Le defaut n etait pas propre a fabric : toute paire nommant un ensemble et ne resolvant rien ouvrait le port. Trouve en lisant les fichiers generes, l API de supervision d un tenant etait ouverte a tous parce que pair: serveur_backup ne resout rien - cet ecosysteme depose chez le site. expositions et externe, eux, veulent bien dire tout le monde : c est une intention. Ailleurs, pas de source, pas de regle, et le generateur le DIT. Trois regles se referment, chacune verifiee AVANT d appliquer. Deux etaient sans effet ; la troisieme portait Grafana, qui ecoute bien sur 3000. Sa declaration disait pair: edge - juste chez un tenant, faux au site qui n a pas d edge. Ajout de admin : ce qui etait accidentel devient explicite. Et la mesure a montre autre chose : Grafana etait DEJA injoignable depuis le poste, la frontiere ne laissant pas passer le 3000. Le site a une console deployee et sans chemin d acces. Ce n est pas corrige ici, mais c est dit. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
34 lines
1.4 KiB
YAML
34 lines
1.4 KiB
YAML
---
|
|
# Flux réseau de Loki (journaux). Voir docs/flux-conception.md.
|
|
flux:
|
|
- sens: ingress
|
|
port: 3100
|
|
protocole: tcp
|
|
pair: client_journal
|
|
chiffrement: tls
|
|
raison: "Réception des journaux poussés par Alloy (client_journal) en HTTPS (http_tls_config, cert step-ca)."
|
|
- sens: ingress
|
|
port: 3100
|
|
protocole: tcp
|
|
pair: localhost
|
|
chiffrement: clair
|
|
raison: "Requêtes de Grafana co-localisé (datasource Loki en localhost)."
|
|
|
|
# LA FABRIC JOURNALISE AUSSI, ET ELLE, ELLE PEUT POUSSER (2026-09-10).
|
|
#
|
|
# Les metriques des hyperviseurs sont TIREES : leur route par defaut est gelee (D-57) et
|
|
# le porteur de sante y expirait. Les journaux, eux, passent — parce que les routes
|
|
# SPECIFIQUES vers les zones du site ont ete completees le meme jour (`10.0.35.0/24` et
|
|
# `10.0.36.0/24` manquaient). Alloy pousse donc vers Loki comme n'importe quelle machine.
|
|
#
|
|
# LA DIFFERENCE AVEC LES METRIQUES N'EST PAS UN CAPRICE : un scrape part du collecteur et
|
|
# doit REVENIR, ce qui exige un chemin symetrique ; un push part de la source et n'attend
|
|
# qu'un accuse. La route completee suffit au second, pas au premier.
|
|
- sens: ingress
|
|
port: 3100
|
|
protocole: tcp
|
|
pair: fabric
|
|
chiffrement: tls
|
|
raison: >-
|
|
Journaux des hyperviseurs. La machine qui PORTE les VM ecrivait ses journaux nulle
|
|
part ailleurs que sur son propre disque — invisibles le jour ou c'est elle qui casse.
|