Daniel Allaire
32e1f6fbcd
Some checks failed
verifier / verifier (push) Has been cancelled
serveur_artefacts (apt-cacher-ng) + client_artefacts, integration universelle qui s'eteint quand aucun hote ne porte le service et RETIRE la direction posee. Chez patient 0 : colocalise sur forge-01 -- la forge est la source, du code et des binaires. La preuve est le mode hors ligne : paquet en cache servi en 0 o/s, paquet absent refuse par un 503. Tant qu'internet repond, un apt update qui reussit ne dit pas d'ou vient l'octet. Trois lecons : apt fait heriter Acquire::https::Proxy de la valeur HTTP (d'ou 403 CONNECT denied sur les depots tiers, et smallstep injoignable) ; un service ne doit pas dependre de lui-meme pour se reparer (l'apt update du role passait par le cache hors ligne) ; et rediriger 2>/dev/null, c'est choisir de ne pas voir. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> |
||
|---|---|---|
| .. | ||
| defaults | ||
| handlers | ||
| meta | ||
| tasks | ||
| templates | ||
| README.md | ||
serveur_artefacts
La source d'artefacts de l'écosystème : un cache apt (apt-cacher-ng) qui sert à toute la flotte les paquets qu'elle installe, au lieu de les faire chercher chez Debian.
Principe
La forge héberge le code. Il manquait qui héberge les binaires. Pour poser une
seule machine, un écosystème allait chercher chez six serveurs étrangers :
deb.debian.org, security.debian.org, packages.smallstep.com, apt.grafana.com,
packages.icinga.com, codeberg.org.
Ce n'est pas théorique. packages.smallstep.com est intermittent — la même URL pend au
premier essai et répond en 0,48 s au second — et a fait échouer un déploiement de
quarante minutes sur la première machine.
Ce que ce rôle couvre, et ce qui est couvert ailleurs
| dépôts apt | ce rôle — un cache, servi à la flotte |
| téléchargements directs (Forgejo, Keycloak, Nextcloud, oauth2-proxy, collections) | le cache du contrôleur : il télécharge une fois et pousse par SSH |
Deux mécanismes parce que ce sont deux problèmes : on ne sert pas un dépôt apt par scp.
Ce qu'il ne couvre pas encore
Les dépôts tiers en HTTPS (Smallstep, Grafana, Icinga) continuent d'aller en direct.
Les faire passer par le cache exigerait soit de casser le TLS de bout en bout, soit de
réécrire leurs sources en http://cache/<remap>/…. La seconde voie est propre et reste à
faire. Le dire vaut mieux que le laisser croire.
Le mode hors ligne, qui est aussi l'épreuve
serveur_artefacts_hors_ligne: true
Le cache cesse d'aller en amont : il sert ce qu'il détient et refuse le reste. C'est
l'état d'un écosystème coupé du monde — et le seul moyen de prouver que le cache sert
vraiment. Tant qu'internet répond, un apt update qui réussit ne dit pas d'où vient
l'octet.
Pourquoi le trafic est en clair, et pourquoi c'est correct
L'intégrité d'un dépôt apt ne vient pas du transport mais des signatures, qu'apt
vérifie de toute façon. Un intermédiaire ne peut pas altérer un paquet sans se faire
prendre. Restreindre qui interroge le cache est le travail du pare-feu est-ouest,
dérivé de meta/flux.yml — pas d'une authentification.
Variables principales
| Variable | Défaut | Rôle |
|---|---|---|
serveur_artefacts_port |
3142 |
port d'écoute |
serveur_artefacts_cache |
/var/cache/apt-cacher-ng |
où les paquets sont retenus |
serveur_artefacts_expiration_jours |
30 |
rétention sans redemande |
serveur_artefacts_hors_ligne |
false |
couper l'amont (et éprouver) |
Ce que ce rôle ne fait pas
Il ne sauvegarde rien : un cache se reconstitue en le re-remplissant. Le sauvegarder reviendrait à sauvegarder les binaires de Debian.