Daniel Allaire
aab1bcc83a
README reduit au role du projet et au demarrage rapide. docs/architecture.md (schemas Mermaid), docs/setup.md, docs/usage.md (154 cibles en 13 familles), docs/README.md (index). Documents ranges en conception/, exploitation/, hebergement/, projet/ ; 598 chemins suivis. QUICKSTART.md, SOLUTION.md, architecture-set-ops.md et la carte fondus puis retires. Preuves : P48 lit l'index et conception/mecanismes.md ; les gardes parcourent docs/ sous- dossiers compris (_documents) ; usage.md suit le Makefile dans les deux sens. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
54 lines
2.4 KiB
YAML
54 lines
2.4 KiB
YAML
---
|
|
# Flux réseau de Loki (journaux). Voir docs/conception/flux-conception.md.
|
|
flux:
|
|
- sens: ingress
|
|
port: 3100
|
|
protocole: tcp
|
|
pair: client_journal
|
|
chiffrement: tls
|
|
raison: "Réception des journaux poussés par Alloy (client_journal) en HTTPS (http_tls_config, cert step-ca)."
|
|
- sens: ingress
|
|
port: 3100
|
|
protocole: tcp
|
|
pair: localhost
|
|
chiffrement: clair
|
|
raison: "Requêtes de Grafana co-localisé (datasource Loki en localhost)."
|
|
|
|
# LA FABRIC JOURNALISE AUSSI, ET ELLE, ELLE PEUT POUSSER (2026-09-10).
|
|
#
|
|
# Les metriques des hyperviseurs sont TIREES : leur route par defaut est gelee (D-57) et
|
|
# le porteur de sante y expirait. Les journaux, eux, passent — parce que les routes
|
|
# SPECIFIQUES vers les zones du site ont ete completees le meme jour (`10.0.35.0/24` et
|
|
# `10.0.36.0/24` manquaient). Alloy pousse donc vers Loki comme n'importe quelle machine.
|
|
#
|
|
# LA DIFFERENCE AVEC LES METRIQUES N'EST PAS UN CAPRICE : un scrape part du collecteur et
|
|
# doit REVENIR, ce qui exige un chemin symetrique ; un push part de la source et n'attend
|
|
# qu'un accuse. La route completee suffit au second, pas au premier.
|
|
- sens: ingress
|
|
port: 3100
|
|
protocole: tcp
|
|
pair: fabric
|
|
chiffrement: tls
|
|
raison: >-
|
|
Journaux des hyperviseurs. La machine qui PORTE les VM ecrivait ses journaux nulle
|
|
part ailleurs que sur son propre disque — invisibles le jour ou c'est elle qui casse.
|
|
|
|
# LE SYSLOG DE LA FRONTIERE (2026-09-10).
|
|
#
|
|
# Port 1514 et non 514 : au-dessus de 1024, donc Alloy l'ecoute sans privilege. Un
|
|
# collecteur qui aurait besoin des droits du systeme pour entendre un equipement serait
|
|
# un mauvais echange.
|
|
#
|
|
# `fabric` couvre la frontiere. Le flux est declare COTE LOKI parce que c'est lui qui
|
|
# ouvre un port : l'emetteur, lui, n'est pas dans la flotte et ne declare rien.
|
|
- sens: ingress
|
|
port: 1514
|
|
protocole: tcp
|
|
pair: fabric
|
|
# EN TLS, CLIENT AUTHENTIFIE (2026-10-12) : Alloy sert le certificat de la machine et
|
|
# exige un certificat emis par l'autorite de la frontiere ; la frontiere verifie Alloy
|
|
# contre la racine du site (scripts/frontiere_pki.py).
|
|
chiffrement: tls-requis
|
|
raison: >-
|
|
Journaux de la frontiere, en TLS mutuel. Elle n'accueille aucun agent et n'emet que du
|
|
syslog ; sans ce flux, le seul equipement qui voit passer TOUT le trafic n'ecrit nulle part.
|