Daniel Allaire
ac48b7650b
Some checks are pending
verifier / verifier (push) Waiting to run
Le decoupage du site en quatre zones a revele un defaut qui dormait dans le moteur. `firewall=1` sur l'interface d'une VM fait passer tout le trafic ponte par conntrack. Sur un VNet SDN c'est sans consequence : en EVPN le routage inter-VNet se fait dans le VRF, SUR LE NOEUD, et le flux ne quitte jamais l'hyperviseur. Sur un pont classique route par une frontiere externe, deux VM du MEME noeud dans deux VLAN differents ne se parlent qu'en EPINGLE : la trame sort par le lien physique, la frontiere la route, elle revient sur le meme pont. La meme table conntrack voit alors les deux moities de la connexion, classe le retour INVALID, et PVEFW-FORWARD le jette. La mesure a tranche : ops(asgard) -> pki(asgard) 0/8 dns(gandalf) -> cache(gandalf) 0/8 ops(asgard) -> forge(vishnu) 6/8 dns(gandalf) -> pki(asgard) 6/8 ops(asgard) -> cache(gandalf) 8/8 dns(gandalf) -> forge(vishnu) 8/8 Toutes les paires intra-noeud echouent, toutes les paires inter-noeuds passent. Douze tentatives faisaient monter le compteur `ctstate INVALID` de +112 sur asgard et +116 sur gandalf ; `firewall=0` pose, il ne bouge plus — 0 sur les deux, pour le meme trafic. Le defaut se deguise en panne reseau : la poignee TCP ABOUTIT, et ce sont les paquets de DONNEES qui disparaissent. L'AC le disait dans son propre journal (`TLS handshake error ... i/o timeout` : elle accepte et attend un ClientHello qui n'arrive jamais). Ecartes un par un, par la mesure : regles identiques champ par champ, alias corrects, assignation des interfaces confirmee, ARP et routes saines, IPS desactive, shaper vide, NAT source limite a `wan`, MTU a 1500 de bout en bout — et la taille sans effet, 100 octets se perdant comme 1460. L'INTENTION DECLAREE NE SUFFIT PAS : un tenant declare `proxmox_clone_parefeu_interface: true` avec `proxmox_clone_pont: vmbr1` comme valeur PAR DEFAUT, chaque hote la remplacant par son VNet derive. L'hote qui retombe sur `vmbr1` naitrait arme sur un pont classique. `cloner_vm_debian.yml` croise donc l'intention avec le pont REELLEMENT utilise, et le dit quand il desarme — un desarmement muet serait le meme piege, en silence. P45 EVALUE l'expression du playbook sur quatre cas plutot que d'en lire le texte, dont un qui DOIT rendre vrai : sans lui, une expression constamment fausse passerait la preuve sans rien garantir. Controle negatif verifie — le drapeau remis a plat fait echouer la preuve. Ce commit emporte aussi le desarmement d'`unattended-upgrades` dans `common_packages`, jusqu'ici applique sur les machines mais pas versionne : le verrou dpkg tenu 48 minutes par une vague de maj automatiques a coute deux deploiements. Le site a revele ce defaut parce qu'il a ete le premier a porter plusieurs zones. Ce n'est pas une particularite du site : un tenant derive les siennes du meme principe. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> |
||
|---|---|---|
| .. | ||
| amorcage_acces | ||
| apparmor | ||
| auditd | ||
| chrony | ||
| client_artefacts | ||
| client_backup | ||
| client_journal | ||
| client_metrique | ||
| client_pki | ||
| client_resolveur | ||
| client_smtp | ||
| cloud_init | ||
| common_packages | ||
| core_dumps | ||
| fail2ban_ssh | ||
| hardening_packages | ||
| hosts_statiques | ||
| journald | ||
| motd | ||
| nftables_baseline | ||
| qemu_guest_agent | ||
| resoudre_annuaire | ||
| resoudre_base | ||
| resoudre_idp | ||
| resoudre_politique_mdp | ||
| serveur_artefacts | ||
| serveur_backup | ||
| serveur_cache_site | ||
| serveur_collabora | ||
| serveur_debian | ||
| serveur_dovecot | ||
| serveur_forgejo | ||
| serveur_grafana | ||
| serveur_icinga | ||
| serveur_icingaweb2 | ||
| serveur_keycloak | ||
| serveur_loki | ||
| serveur_nextcloud | ||
| serveur_nginx | ||
| serveur_oauth2_proxy | ||
| serveur_openldap | ||
| serveur_ops | ||
| serveur_ops_site | ||
| serveur_postfix | ||
| serveur_postgresql | ||
| serveur_powerdns | ||
| serveur_prometheus | ||
| serveur_redis | ||
| serveur_resolveur | ||
| serveur_rspamd | ||
| serveur_step_ca | ||
| serveur_web_dorsal | ||
| serveur_web_frontal | ||
| ssh_baseline | ||
| ssh_hardening | ||
| sudo_ansible | ||
| sysctl_hardening | ||
| systemd_ssh_auto | ||
| template_cleanup | ||
| unattended_upgrades | ||