Daniel Allaire
ee0e33d452
La sortie 80/443 que le socle donnait a toute machine ne servait plus a apt (tout passe par le cache du site) mais a de la telemetrie et a des sorties non declarees. Elle devient conditionnelle (seulement_si artefacts_amorcage vide) ; la telemetrie de Grafana, Loki, Alloy et la verification de version de Collabora sont coupees a la source ; rspamd et la sonde du genome declarent leur sortie. Le devis du site evalue enfin seulement_si, ce qui retire aussi le 465/587 vers un Postfix du site qui n'ecoute que sur 25. Garde : test_conditions_site.py. Journal (125). Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
44 lines
1.8 KiB
YAML
44 lines
1.8 KiB
YAML
---
|
|
# Flux réseau de rspamd (antispam + DKIM, milter Postfix). Voir docs/flux-conception.md.
|
|
flux:
|
|
- sens: ingress
|
|
port: 11332
|
|
protocole: tcp
|
|
pair: localhost
|
|
chiffrement: clair
|
|
raison: "Protocole milter consommé par Postfix co-localisé (analyse + signature DKIM). Local uniquement."
|
|
- sens: ingress
|
|
port: 11334
|
|
protocole: tcp
|
|
pair: localhost
|
|
chiffrement: clair
|
|
raison: "Interface de contrôle rspamd (statistiques, apprentissage) en local."
|
|
|
|
# LES CARTES DE RSPAMD VIENNENT D'INTERNET, ET C'EST UN CHOIX (2026-10-10).
|
|
#
|
|
# Jusqu'ici rien ne le disait : rspamd sortait par la sortie 80/443 que le socle donnait
|
|
# a TOUTE machine. Mesure a la frontiere : ~2 700 connexions par jour et par locataire
|
|
# vers maps.rspamd.com, ~245 vers sa-update.surbl.org, depuis `edge-mta-01` seulement.
|
|
#
|
|
# Sans elles, rspamd ne tombe pas : chaque carte distante a son repli local
|
|
# (`file:///etc/rspamd/maps.d/…`), fige a la version du paquet. Les listes de messageries
|
|
# gratuites, de redirecteurs, d'hameconnage et de listes blanches DMARC vieilliraient en
|
|
# silence. On garde donc la sortie — mais declaree, et pour ce seul role, comme le 25
|
|
# sortant de Postfix.
|
|
- sens: egress
|
|
port: 443
|
|
protocole: tcp
|
|
pair: externe
|
|
chiffrement: tls-requis
|
|
raison: >-
|
|
Cartes de rspamd (maps.rspamd.com) : messageries gratuites et jetables, redirecteurs,
|
|
listes blanches DMARC/SPF/DKIM, hameconnage. Sans elles l'antispam garde les copies
|
|
du paquet, qui vieillissent.
|
|
- sens: egress
|
|
port: 80
|
|
protocole: tcp
|
|
pair: externe
|
|
chiffrement: clair
|
|
raison: >-
|
|
Carte de hachages SURBL (sa-update.surbl.org), publiee en clair par l'amont. Une
|
|
carte alteree ne peut que mal classer un courriel ; elle n'execute rien.
|