Daniel Allaire
92a6fb0ead
La sonde connectivite essaie l'API Proxmox (8006) sur la passerelle par defaut : chez un locataire en SDN, c'est l'hyperviseur dans son VRF, hors de la frontiere. Ouvert -> CRITIQUE. Temoin : CONNECTIVITE_PASSERELLE. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
28 lines
1.6 KiB
YAML
28 lines
1.6 KiB
YAML
---
|
|
nftables_baseline_enabled: false
|
|
nftables_baseline_allow_ssh: true
|
|
nftables_baseline_allow_icmp: true
|
|
nftables_baseline_input_policy: "drop"
|
|
nftables_baseline_forward_policy: "drop"
|
|
nftables_baseline_output_policy: "accept"
|
|
nftables_baseline_ssh_port: 22
|
|
nftables_baseline_extra_tcp_ports: []
|
|
nftables_baseline_extra_udp_ports: []
|
|
|
|
# Ruleset résolu, généré par `make flux` (scripts/resoudre_flux.py) : règles par
|
|
# source (ip saddr = moindre privilège), dérivées des meta/flux.yml de l'hôte. S'il
|
|
# est présent sur le contrôleur, il PRIME sur le gabarit plat ci-dessus.
|
|
nftables_baseline_ruleset_genere: "{{ inventory_dir }}/../../flux-genere/{{ inventory_hostname }}.nft"
|
|
|
|
# La liste des flux que la sonde `connectivite` teste chaque minute, generee par `make flux`
|
|
# a cote du ruleset, depuis les MEMES regles (voir templates/sonde-connectivite.sh.j2).
|
|
nftables_baseline_connectivite_genere: "{{ inventory_dir }}/../../flux-genere/{{ inventory_hostname }}.connectivite.json"
|
|
|
|
# LA PASSERELLE N'EST PAS UNE PORTE (2026-10-05). Ports qui ne doivent JAMAIS repondre sur la
|
|
# passerelle par defaut de la machine — la sonde `connectivite` le verifie chaque minute.
|
|
# Chez un locataire en SDN, la passerelle de zone est l'HYPERVISEUR lui-meme, dans le VRF du
|
|
# locataire : une API Proxmox qui y repondrait contournerait la frontiere. Fermee aujourd'hui
|
|
# (mesure du 2026-10-05 : ECONNREFUSED) ; la garde dit si elle s'ouvre, quelle qu'en soit la
|
|
# cause (`net.ipv4.tcp_l3mdev_accept`, un pare-feu d'hote retire...). Sur une machine du site,
|
|
# la passerelle est la frontiere, qui n'ecoute pas sur ces ports.
|
|
nftables_baseline_connectivite_passerelle_interdits: [8006]
|