Daniel Allaire
4beb7e0724
Some checks are pending
verifier / verifier (push) Waiting to run
Decision de l exploitant : block vers l Internet, reject a l interieur, parce que
c est prudent. Ce n est pas le refus qui informe, c est CE QU IL FAIT AU SILENCE :
sous drop partout, un timeout voulait dire aucune machine, aucune route, ou une
politique. Quand la politique parle, il n en reste qu une.
nftables par hote policy drop + reject with icmpx type admin-prohibited
pare-feu Proxmox policy_in = REJECT (POLITIQUE_VM, source unique)
frontiere OPNsense block — INCHANGE, et c est la condition
admin-prohibited ET NON tcp reset : un RST est indiscernable d un port ferme sans
service. La chaine forward reste muette : elle porte le trafic qui TRAVERSE l hote,
et y repondre ferait parler cette machine au nom d une destination qui n est pas
elle.
POURQUOI C EST PRUDENT : l obscurite etait deja nulle a l interieur (chaque machine
porte un /etc/hosts qui liste ses voisines), et la bordure protege le reject —
rien d indeclare ne franchit le perimetre, donc il ne repond jamais a l Internet.
982 000 entrees par jour a la frontiere, dont 82 % un balayage VNC.
LA MESURE A CORRIGE LA MESURE, DEUX FOIS.
Ma preuve interdisait le litteral DROP et a fait echouer un code JUSTE : la
detection d une politique posee AU DATACENTER, qui est un garde-fou. Une preuve qui
interdit un mot au lieu de mesurer une propriete finit par accuser ce qu elle
devrait proteger.
Et l absence parlait deja : EHOSTUNREACH en 3,05 s pour une machine inexistante,
timeout a 6 s pour un refus de la frontiere. Mes deux erreurs de diagnostic ne
venaient pas du drop mais de ma SONDE — curl et bash /dev/tcp ecrasent les deux
dans un meme echec.
Applique : 6 VM en REJECT, 0 creee, 0 retiree. Rien ne se ferme.
Trois controles negatifs verifies.
make verifier : vert. make prouver : CONFORME, 53 OK, 0 echec, 0 saute.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_019f91zs9SDdwSzL2CVei6on
|
||
|---|---|---|
| .. | ||
| tests | ||
| applications.py | ||
| appliquer_opnsense.py | ||
| appliquer_proxmox_fw.py | ||
| appliquer_sdn.py | ||
| attendre_materialisation.py | ||
| bases_donnees.py | ||
| config_proxmox.py | ||
| couverture_gui.py | ||
| devis_certificats.py | ||
| devis_courriel.py | ||
| devis_expositions.py | ||
| devis_frontiere.py | ||
| devis_identite.py | ||
| devis_mtu.py | ||
| devis_opnsense.py | ||
| devis_placement.py | ||
| devis_postgresql.py | ||
| devis_proxmox_fw.py | ||
| devis_proxmox_pools.py | ||
| devis_reseau.py | ||
| devis_sdn.py | ||
| devis_underlay.py | ||
| devis_versions.py | ||
| domaines.py | ||
| genome.py | ||
| genome_colis.py | ||
| instance_creer.py | ||
| instances.py | ||
| instancier.py | ||
| inventory_gui.py | ||
| inventory_host.py | ||
| inventory_rules.py | ||
| model_creer.py | ||
| modeles.py | ||
| orchestrer.py | ||
| plan_recette.py | ||
| prouver.py | ||
| proxmox_api.py | ||
| raser.py | ||
| resoudre_flux.py | ||
| serveurs.py | ||
| site_inventaire.py | ||
| site_machines.py | ||
| socle_amorcage.py | ||
| sonde_tcp.py | ||
| underlay.py | ||
| verifier_gui.py | ||
| verifier_intrants.py | ||
| verifier_ports.py | ||
| verifier_signature.py | ||
| voute.py | ||
| voutes.py | ||