Daniel Allaire
f9e45b1676
Le site de TechnoLibre n'a qu'une adresse DHCP. Trois adresses fixes sont louees sur un VPS (le relais), qui repond a l'ARP pour elles et les route en /32 dans un tunnel WireGuard que la frontiere initie. Aucune traduction : l'adresse du client arrive intacte. - underlay.py : `tunnel: wireguard` dispense de VLAN ; role d'hote `relais`. - devis_opnsense.py : `opnsense_face_publique`. Les entrees publiques s'y posent avec reply-to ; les sorties des locataires du pool passent par le relais ; une redirection n'y vise plus `wanip`. Le devis de Chezlepro est identique au caractere pres. - appliquer_opnsense.py : replyto et gateway transmis et dans l'identite (seulement s'ils existent) ; le NAT sortant en mode automatic arrete l'application au lieu de dupliquer. - role serveur_relais, inventorie depuis la carte comme un hyperviseur ; cle privee dans la voute du site. Deploye, idempotent. - site_inventaire.py : les hyperviseurs ne sont plus filtres sur 192.168.11. ; site-appliquer charge la voute designee par SETOPS_UNDERLAY ; voute.py n'exige plus d'un locataire un secret du site. - prouver.py : P67 lit le plan par underlay.plan_site() ; P53 couvre la face publique. - Tests : test_underlay_tunnel, test_face_publique_relais, test_mode_nat_sortant. 95 preuves (make verifier), make test passe. CHANGELOG 144 et 145. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
25 lines
983 B
YAML
25 lines
983 B
YAML
---
|
|
# Flux reseau du relais. Voir docs/flux-conception.md.
|
|
#
|
|
# LE RELAIS N'EST PAS DANS LE PLAN DU SITE : aucun devis ne derive de regle de ces lignes
|
|
# (son pare-feu est le sien, `templates/nftables.conf.j2`). Elles DISENT ce qui le traverse,
|
|
# pour qu'un humain le lise au meme endroit que pour tout autre role.
|
|
flux:
|
|
# `derive` : 51800 + index du site (51831 au site de TechnoLibre). Le role est generique.
|
|
- sens: ingress
|
|
port: derive
|
|
protocole: udp
|
|
pair: externe
|
|
chiffrement: wireguard
|
|
raison: >-
|
|
La frontiere du site ouvre le tunnel depuis son adresse DHCP (port derive : 51800 +
|
|
index du site). Seule sa cle est admise ; le reste de l'Internet ne recoit aucune
|
|
reponse.
|
|
- sens: ingress
|
|
port: 22
|
|
protocole: tcp
|
|
pair: externe
|
|
chiffrement: ssh
|
|
raison: >-
|
|
La console d'administration, sur l'adresse PROPRE du VPS seulement. Les adresses
|
|
relayees ne menent jamais a ce SSH : elles partent dans le tunnel.
|