Daniel Allaire
fa7e656844
Une regle inter-tenant n'appartient ni a l'emetteur ni au recepteur : c'est le site qui autorise un flux entre deux de ses tenants, et son runner qui prepare le terrain. Deux silences fermes dans le generateur de frontiere. flux_frontiere() ne retenait que les flux `externe` -- or deux tenants vivent sur des VLAN routes par la frontiere, leur trafic la traverse. Et un egress vers un voisin recevait !SETOPS_INTERNES en destination : le port ouvert vers l'INTERNET. La destination est desormais nommee. Deux roles parce que meta/flux.yml est statique : un role unique aurait declare l'ingress pour TOUS les caches -- maillage complet, visible au devis. serveur_artefacts_site porte l'ingress, serveur_artefacts l'egress vers l'amont. Debian est desormais telecharge une fois pour toute la fabric. Le cache du site ne voit que des requetes agregees, jamais quelle machine installe quoi. Rien n'est applique : le devis se lit avant. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
30 lines
1.2 KiB
YAML
30 lines
1.2 KiB
YAML
---
|
|
# Flux réseau de la source d'artefacts. Voir docs/flux-conception.md.
|
|
flux:
|
|
- sens: ingress
|
|
port: 3142
|
|
protocole: tcp
|
|
pair: flotte
|
|
chiffrement: clair
|
|
raison: >-
|
|
Toute la flotte prend ses paquets ici. En clair, et c'est correct : l'intégrité
|
|
d'un dépôt apt vient de ses signatures, qu'apt vérifie de toute façon — un
|
|
intermédiaire ne peut pas altérer un paquet sans se faire prendre.
|
|
- sens: egress
|
|
port: 80
|
|
protocole: tcp
|
|
pair: externe
|
|
chiffrement: clair
|
|
raison: "Remplir le cache depuis les dépôts Debian amont (deb.debian.org, security)."
|
|
# LE CHAINAGE, cote consommateur. Un seul port, et seulement vers un CACHE — jamais
|
|
# d'une VM vers le cache d'un autre tenant.
|
|
#
|
|
# L'INGRESS CORRESPONDANT N'EST PAS ICI : il appartient a `serveur_artefacts_site`, le
|
|
# cache designe du site. Sans cette separation, chaque cache aurait accepte chaque
|
|
# autre — un maillage complet, visible au devis du 2026-08-24.
|
|
- sens: egress
|
|
port: 3142
|
|
protocole: tcp
|
|
pair: voisins_site
|
|
chiffrement: clair
|
|
raison: "Prendre le cache du site comme amont, plutot que d'aller chez Debian."
|