Daniel Allaire
c0f610be33
Ses machines n existaient plus depuis le 2026-09-06 (D-83), mais son plan restait sur disque : la federation lui reservait l index 29 et quatre machines du site lui ouvraient SSH, apt, DNS et HTTPS. Les commentaires et documents vivants gardent leur lecon sans le nommer ; les archives restent telles quelles. Pas encore sur le reseau : les regles regenerees attendent le runner du site. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
49 lines
2.1 KiB
Markdown
49 lines
2.1 KiB
Markdown
# serveur_backup_site
|
|
|
|
**Le marqueur du dépôt de sauvegarde du site.** Il dit que *ce* dépôt est celui où les
|
|
écosystèmes du site déposent leur état, et déclare le flux qui le permet. Il n'installe
|
|
rien.
|
|
|
|
## Le quatrième service prêté
|
|
|
|
| ce que le site prête | pendant la jeunesse du tenant |
|
|
|---|---|
|
|
| les paquets | `serveur_cache_site` |
|
|
| le génome | `serveur_forge_site` |
|
|
| les noms | `serveur_resolveur_site` |
|
|
| **l'état** | **ce rôle** |
|
|
|
|
## Ce qu'il a corrigé
|
|
|
|
Mesuré le 2026-09-01, en préparant un rasage de Chezlepro : **toutes ses sauvegardes
|
|
vivaient sur `backup-01`, une VM de sa propre flotte.** Raser l'écosystème aurait détruit
|
|
les données et leur seul filet dans le même geste.
|
|
|
|
La doctrine affirmait pourtant que `client_backup_cible` *« pointe déjà hors de
|
|
l'écosystème »*. C'était faux pour
|
|
Chezlepro. *Un document qui décrit une propriété que le réel n'a pas est exactement ce que
|
|
ce dépôt traque.*
|
|
|
|
## Pourquoi une zone à lui seul
|
|
|
|
`site-sauvegarde` (VLAN 35) n'existe que pour lui. Il détient l'état de **chaque** tenant :
|
|
clés d'autorité, annuaires, bases, courriel. C'est la machine dont la compromission coûte
|
|
le plus cher du site — davantage que la forge, dont le contenu est du code, et davantage
|
|
que l'AC, qui forge des noms sans détenir de données.
|
|
|
|
Le mettre avec le génome aurait partagé un domaine de diffusion entre ce que les tenants
|
|
**viennent chercher** et ce qu'ils **déposent**. Deux natures opposées : l'une est faite
|
|
pour être lue par tous, l'autre pour n'être lue par personne.
|
|
|
|
## Ce qui rend la mutualisation acceptable
|
|
|
|
Le site reçoit des **octets chiffrés par restic avant de partir**. Il héberge l'état de
|
|
ses locataires sans pouvoir le lire — c'est ce qui distingue ce service de la voûte, qui
|
|
ne se mutualise à aucun âge.
|
|
|
|
## Ce que ce rôle ne fait pas
|
|
|
|
Il n'installe rien. Il vérifie deux choses : que la racine des dépôts **existe**, et qu'il
|
|
reste de la **place** devant les locataires. *Un dépôt qui se remplit n'échoue pas à
|
|
l'ouverture — il échoue au milieu d'un instantané, chez le locataire, et la panne se lit
|
|
comme une erreur réseau.*
|