Daniel Allaire
0778979b89
Les journaux de la fabric, et le defaut de classe que leur mise en place a revele. 10 hotes dans Loki (7 VM du site + 3 hyperviseurs), site a 67 services tous OK contre 51 avant. METRIQUES TIREES, JOURNAUX POUSSES. Un scrape part du collecteur et doit REVENIR : il exige un chemin symetrique, que la route par defaut gelee interdit. Un push part de la source et n attend qu un accuse. Trois trous dans les generateurs. Le devis de la frontiere ne connaissait fabric qu en DESTINATION - un flux entrant tombait dans « rien d autre n entre » sans rien dire. La regle etait posee sur la patte de la destination alors que D-61 raisonne en ARRIVEE, et opt7 manquait a la table des zones. Et le plus grave : fabric etait un mot RECONNU mais NON RESOLU. Source vide, donc regle sans saddr - tcp dport 3100 accept, ouvert a tous. Un mot reconnu mais non resolu est pire qu un mot inconnu : celui-ci serait refuse a la validation, celui-la produit une porte grande ouverte qui a l air d un flux precis. LA CLASSE ENTIERE EST REFERMEE. Le defaut n etait pas propre a fabric : toute paire nommant un ensemble et ne resolvant rien ouvrait le port. Trouve en lisant les fichiers generes, l API de supervision d un tenant etait ouverte a tous parce que pair: serveur_backup ne resout rien - cet ecosysteme depose chez le site. expositions et externe, eux, veulent bien dire tout le monde : c est une intention. Ailleurs, pas de source, pas de regle, et le generateur le DIT. Trois regles se referment, chacune verifiee AVANT d appliquer. Deux etaient sans effet ; la troisieme portait Grafana, qui ecoute bien sur 3000. Sa declaration disait pair: edge - juste chez un tenant, faux au site qui n a pas d edge. Ajout de admin : ce qui etait accidentel devient explicite. Et la mesure a montre autre chose : Grafana etait DEJA injoignable depuis le poste, la frontiere ne laissant pas passer le 3000. Le site a une console deployee et sans chemin d acces. Ce n est pas corrige ici, mais c est dit. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
31 lines
1.5 KiB
YAML
31 lines
1.5 KiB
YAML
---
|
|
# Flux réseau de Grafana (tableaux de bord). Voir docs/flux-conception.md.
|
|
# Prometheus et Loki sont co-localisés (datasources en localhost) : aucun flux inter-nœud.
|
|
flux:
|
|
# `edge` ET `admin` — PARCE QUE TOUS LES DEPLOIEMENTS N'ONT PAS D'EDGE (2026-09-10).
|
|
#
|
|
# Chez un tenant, le nginx d'edge termine le TLS et parle en clair a Grafana : `edge`
|
|
# resout, et c'est le seul chemin. Le SITE, lui, n'a PAS d'edge — chaque service s'y
|
|
# sert lui-meme. `edge` n'y resolvait donc rien, et une source vide produisait une regle
|
|
# SANS `saddr` : la console ouverte a l'Internet, par accident, avec un commentaire qui
|
|
# parlait d'un edge inexistant.
|
|
#
|
|
# Le jour ou le generateur a cesse d'ouvrir sur une source vide, la regle a disparu et
|
|
# l'acces avec elle — mesure : `ss` ne montre que `*:3000`, rien sur 443. Ajouter `admin`
|
|
# rend explicite ce qui etait accidentel : la console se joint depuis le plan
|
|
# d'ADMINISTRATION, qui est d'ou l'exploitant la regarde. Chez un tenant, la ligne ne
|
|
# retire rien — elle ajoute l'operateur a l'edge.
|
|
- sens: ingress
|
|
port: 3000
|
|
protocole: tcp
|
|
pair: [edge, admin]
|
|
chiffrement: clair
|
|
raison: >-
|
|
Interface web : servie via l'edge la ou il y en a un, joignable depuis le plan
|
|
d'administration partout — sans quoi un deploiement sans edge n'a plus de console.
|
|
- sens: egress
|
|
port: 443
|
|
protocole: tcp
|
|
pair: edge
|
|
chiffrement: tls-requis
|
|
raison: "Authentification OIDC auprès de Keycloak (via son FQDN publié à l'edge)."
|