Daniel Allaire
c733d2df1c
Doctrine posee par l exploitant : des lors que le site a son Loki, la journalisation de la frontiere et des hyperviseurs doit y etre dirigee. CE QUI ETAIT CASSE. La destination syslog d OPNsense pointait 10.17.20.11:3100 - une adresse de TENANT, sur le port de Loki, en UDP, ce que Loki ne sait pas lire. La VM a ete rasee ; une cible morte a arrete TOUTE la journalisation pendant dix jours. La destination a ete eteinte pour reparer et jamais remplacee. Deux fautes en une : plus de journaux, et une cible chez un locataire, ce que D-87 refuse dans l autre sens. L intention etait juste - bonnes facilites, info et au-dessus. On l a REPRISE telle quelle et change uniquement la destination : ces choix avaient ete faits, ce n etait pas a nous de les redecider. UN TRADUCTEUR, parce que Loki ne parle pas syslog : loki.source.syslog dans l Alloy qui tourne DEJA sur le collecteur. Port 1514 et non 514, donc ecoute sans privilege - un collecteur qui aurait besoin des droits du systeme pour entendre un equipement serait un mauvais echange. UNE REGLE DE RELABEL SANS GARDE N IGNORE PAS : ELLE EFFACE. Trois quarts d heure sur un symptome absurde - la configuration deposee portait host = "bifrost-1", visible dans le fichier, et le flux arrivait sans etiquette. Sans regex, la regle correspond TOUJOURS, meme quand sa source n existe pas, et pose host = "". Loki jette une etiquette vide, et celle de l ecouteur disparaissait avec elle. Et la verification finale a corrige une seconde erreur, la mienne : label/host/values rendait une liste en CACHE. La requete directe rendait bien un flux. Un index qui ne montre pas une chose ne prouve pas qu elle n existe pas. LA GARDE, qui manquait depuis l incident. journaux-frontiere demande a LOKI ce qu il a RECU, pas a la frontiere ce qu elle croit avoir envoye : la destination est le seul juge, et un emetteur qui parle a un trou noir se porte tres bien. La fenetre est DERIVEE du debit observe - environ 1500 lignes par minute - pas choisie. Trois etats eprouves sur une copie : frontiere muette rc=2, Loki injoignable rc=3, debit normal rc=0. Le 3 compte autant que le 2 : « je ne peux rien affirmer » n est pas « c est casse ». Mesure : 46 681 lignes recues en 30 min, site a 68 services tous OK. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
82 lines
4.4 KiB
YAML
82 lines
4.4 KiB
YAML
---
|
|
client_journal_paquets:
|
|
- alloy
|
|
|
|
client_journal_service: "alloy"
|
|
client_journal_utilisateur: "alloy"
|
|
client_journal_config: "/etc/alloy/config.alloy"
|
|
|
|
# Point de collecte Loki (obs-01, serveur_loki, VLAN 14).
|
|
# Hôte Loki dérivé du groupe serveur_loki (FQDN via le plancher) ; override par instance au besoin.
|
|
client_journal_loki_url: "http://{{ (groups.get('serveur_loki') or ['obs-01']) | first }}.{{ domaine_interne }}:3100/loki/api/v1/push"
|
|
|
|
# Depot apt officiel Grafana (partage avec serveur_loki / serveur_grafana).
|
|
client_journal_depot_cle_url: "{{ client_journal_depot_schema }}://apt.grafana.com/gpg-full.key"
|
|
client_journal_depot_cle_fichier: "/etc/apt/keyrings/grafana.asc"
|
|
client_journal_depot_source: "deb [signed-by=/etc/apt/keyrings/grafana.asc] {{ client_journal_depot_schema }}://apt.grafana.com stable main"
|
|
|
|
# --- TLS (zero-confiance) : Alloy pousse vers Loki en https + verifie root_ca ---
|
|
client_journal_loki_tls: false
|
|
client_journal_loki_ca: "/etc/step/certs/root_ca.crt"
|
|
|
|
# Port de l'interface HTTP locale d'Alloy (diagnostic). DECLARE ici parce que son defaut
|
|
# amont — 12345 — entre en collision avec `serveur_dovecot_sasl_port`, qui vaut 12345 lui
|
|
# aussi et qui est un choix DELIBERE de Set-OPS (SASL reseau, pour la soumission :587).
|
|
#
|
|
# Sur `infra-mail-01`, les deux cohabitent : le premier demarre gagne, l'autre boucle sur
|
|
# « bind: address already in use ». Constate le 2026-08-08 lors de la premiere
|
|
# reconstruction from-zero, ou l'ordre des couches fait demarrer Dovecot bien avant Alloy.
|
|
# En exploitation courante le conflit dormait : Alloy tenait le port depuis toujours, et
|
|
# c'est l'ecoute SASL de Dovecot qui echouait — en silence.
|
|
#
|
|
# Le vrai defaut n'est pas le numero, c'est qu'un port SUBI ne se declare nulle part et
|
|
# qu'aucun controle ne peut donc voir la collision.
|
|
client_journal_http_port: 12346
|
|
client_journal_http_adresse: "127.0.0.1"
|
|
|
|
# --- Sonde de supervision (voir meta/supervision.yml) ---
|
|
# L'interface de diagnostic d'Alloy, la ou il tient le compte de ce qu'il a expedie et de
|
|
# ce qu'il a jete. Locale : personne d'autre n'a a la joindre.
|
|
client_journal_sonde_url: >-
|
|
http://{{ client_journal_http_adresse }}:{{ client_journal_http_port }}
|
|
# La memoire d'un passage a l'autre : sans elle, un compteur cumulatif ne dit pas QUAND.
|
|
client_journal_sonde_etat: "/var/lib/setops/journaux-jetees"
|
|
|
|
# --- SCHEMA DES DEPOTS TIERS (2026-09-10) --------------------------------------------
|
|
#
|
|
# `http` DES QU'UN CACHE EST DANS LE CHEMIN, `https` sinon. Ce n'est pas un relachement :
|
|
# le cache RELAIE ces depots en https vers le fournisseur (voir `serveur_artefacts`,
|
|
# `Remap-*`), et l'integrite vient des SIGNATURES du depot, qu'apt verifie de toute facon.
|
|
# Le meme raisonnement vaut deja pour `deb.debian.org` depuis toujours.
|
|
#
|
|
# Sans cette derivation, chaque machine sortait elle-meme sur Internet : le mandataire ne
|
|
# vaut que pour `http`, et le socle pose deliberement `Acquire::https::Proxy "DIRECT"`
|
|
# parce qu'un cache sans remap refuse les tunnels. Le remap leve ce refus ; encore
|
|
# faut-il DEMANDER en http.
|
|
#
|
|
# DEGRADE, JAMAIS DEVINE : pas de cache d'amorcage declare, pas de reecriture.
|
|
client_journal_depot_schema: >-
|
|
{{ 'http' if (artefacts_amorcage | default('') | string | length > 0) else 'https' }}
|
|
|
|
# --- RECEPTEUR SYSLOG (vide = pas de recepteur) ---------------------------------------
|
|
#
|
|
# CE QUI NE PEUT PAS PORTER D'AGENT DOIT QUAND MEME ETRE ENTENDU. La frontiere OPNsense
|
|
# n'accueille rien ; elle sait emettre du syslog. Le collecteur du site l'ecoute et le
|
|
# traduit vers Loki.
|
|
#
|
|
# CE QUE CA A COUTE DE NE PAS L'AVOIR : la destination syslog de la frontiere pointait une
|
|
# VM de TENANT, rasee depuis. Une cible morte a arrete TOUTE la journalisation d'OPNsense
|
|
# pendant dix jours, et rien ne l'a signale — c'est le meme silence qui a motive le `ttl`
|
|
# des sondes. La destination a ete eteinte pour reparer, et jamais remplacee : la frontiere
|
|
# ne journalisait plus nulle part.
|
|
#
|
|
# ET LA CIBLE ETAIT CHEZ UN LOCATAIRE, ce que D-87 refuse dans l'autre sens : les journaux
|
|
# du site ne vivent pas chez un tenant, pas plus que l'inverse. Le site a son Loki depuis
|
|
# le 2026-09-10 ; c'est la que ses equipements parlent.
|
|
#
|
|
# Vide par defaut : un tenant n'a pas de frontiere a ecouter.
|
|
client_journal_syslog_ecoute: ""
|
|
client_journal_syslog_protocole: "tcp"
|
|
# Le nom sous lequel les journaux recus apparaitront. Derive de la carte par l'inventaire
|
|
# du site — jamais fabrique ici.
|
|
client_journal_syslog_emetteur: "frontiere"
|