History

Daniel Allaire 4e12c3a802 Some checks are pending verifier / verifier (push) Waiting to run Details supervision du site, et la panne qui dormait dans un mot Le site a son temoin : site-mon-01 (VLAN 36) porte PostgreSQL, Icinga et un relais. Le depot lui rapporte, et son premier verdict fut un vrai defaut — site-mon-01 n avait jamais depose son propre etat. Les trois sont au vert. serveur_backup_verification_locale repasse a true sur le depot : le drapeau ne dit plus on renonce mais verifie ce que tu peux ouvrir . La liste des noeuds attendus derive de l inventaire ou tourne le role, donc du site seul. serveur_postfix gagne un mode relais : un site n heberge aucune boite, il expedie. Directement par sa frontiere — emprunter le MTA d un locataire ferait dependre l hebergeur d un ecosysteme qu il peut outvivre. LA PANNE DE FOND : le modele de routes OPNsense lit enabled ; on lui envoyait disabled=0, un champ ignore. enabled restait a son defaut, ETEINT. Chaque route creee par Set-OPS depuis l origine l etait desactivee — invisible, parce qu une route eteinte EXISTE dans le modele et compte posee . Le rechargement lance pour activer la nouvelle patte a fait reprendre au noyau sa table depuis le modele : 14 routes sur 15 disparues, 11 machines de Chezlepro injoignables le lendemain de sa reconstruction, et le devis toujours vert. Trois corrections empilees : la cause (enabled), la cecite (le plan lit la table du NOYAU et signale absent ou eteint), l inaction (la reconfiguration ne se declenchait que sur un changement du modele). Aussi : un role du site peut enfin en appeler un autre a travers la frontiere — le devis traitait tout pair nomme comme l exterieur . Et nftables_admin_ssh se DERIVE de la carte : recopie a la main, il retardait d une zone, et m a verrouille dehors de la machine que je venais de creer. Reste ouvert : le destinataire des alertes est encore root@localhost. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_019f91zs9SDdwSzL2CVei6on		2026-09-02 17:34:01 -04:00
..
defaults	supervision du site, et la panne qui dormait dans un mot	2026-09-02 17:34:01 -04:00
handlers	Soumission courriel :587 interne (authentifiée) — boucle souveraine bouclée	2026-07-03 23:17:36 -04:00
meta	frontiere : etanche — CONFORME sur 56 lignes, dans les deux sens	2026-08-09 21:33:04 -04:00
tasks	supervision du site, et la panne qui dormait dans un mot	2026-09-02 17:34:01 -04:00
templates	supervision du site, et la panne qui dormait dans un mot	2026-09-02 17:34:01 -04:00
README.md	docs : un README par rôle (12 manquants) + carte remise à l'état du code	2026-07-29 11:32:06 -04:00

README.md

serveur_postfix

MTA : Postfix 3.x (Debian 13) sur le nœud edge-mta — réception SMTP :25, cartes LDAP (domaines, boîtes, alias), remise LMTP réseau vers le mailstore (serveur_dovecot). Ne stocke aucune boîte. Cf. docs/courriel-conception.md.

Rôle

Préconfigure Postfix par debconf (installation non interactive), installe postfix + postfix-ldap.
Chroot : recopie /etc/hosts dans /var/spool/postfix/etc/ — le MTA hérite du plancher de résolution (hosts_statiques), sinon il ne résout aucun nom interne.
TLS : pont de certificat step_ca (client_pki) — script setops-postfix-cert-sync
- unités .service/.path, recharge Postfix à chaque renouvellement.
Annuaire : connexion fournie par resoudre_annuaire ; carte ldap-mailboxes.cf (validation des destinataires contre LDAP).
Soumission :587 optionnelle, avec SASL délégué à Dovecot (passdb LDAP).
Valide la configuration (postfix check) avant d'activer le service.

Liaisons (`meta/liens.yml`)

Le rôle accepte deux liens déclarés côté application dans plan/applications.yml :

Lien	Effet
`mailstore`	Injecte `serveur_postfix_mailstore_hote` = FQDN de la cible (Dovecot LMTP)
`milter`	Passe `serveur_postfix_rspamd_milter` à `true` (rspamd co-localisé)

C'est le sens « app→app », résolu par scripts/instancier.py. Cf. docs/bindings-conception.md.

Variables principales

Variable	Défaut	Rôle
`serveur_postfix_mailstore_hote`	(vide — obligatoire)	Nœud Dovecot, normalement injecté par le lien `mailstore`
`serveur_postfix_lmtp_port`	`24`	LMTP vers le mailstore
`serveur_postfix_reseaux_confiance`	`127.0.0.0/8 [::1]/128`	`mynetworks` (relais autorisé)
`serveur_postfix_submission_actif`	`false`	Soumission :587 (SASL Dovecot)
`serveur_postfix_rspamd_milter`	`false`	Milter antispam/DKIM co-localisé
`serveur_postfix_lmtp_tls_verify`	`false`	Zéro-confiance : vérifier le certificat du mailstore

Flux (`meta/flux.yml`)

25/tcp entrant (externe + client_smtp) · 587/tcp soumission (flotte) · 24/tcp → Dovecot (TLS vérifié) · 12345/tcp → Dovecot (SASL) · 11332/tcp → rspamd local · 636/tcp → OpenLDAP · 25/tcp sortant (MX distants).

Notes / limites

Le rôle exige serveur_postfix_mailstore_hote (assertion) : pas de remise locale, la remise finale appartient au mailstore. C'est la scission edge-mta / mail-store.
serveur_postfix_reseaux_confiance est à adapter au réseau de l'instance — laissé au strict minimum par défaut.
serveur_postfix_lmtp_tls_verify: true demande que la racine step_ca soit lisible (/etc/step/certs/root_ca.crt, posée en 0644 par client_pki).
La frontière publique (MX, SPF/DKIM/DMARC publics, filtrage entrant) relève de l'OPNsense — Étape B, hors flotte Ansible.

Prérequis

serveur_postfix requiert serveur_dovecot actif (docs/dependances-groupes.yml).
client_pki appliqué sur le nœud.