Daniel Allaire
8c4a39b8b1
Le tenant a le droit de sortir sur l'internet et pas d'entrer dans le LAN 192.168.x de son hebergeur. L'adresse publique de la forge amont repond en ~7 ms (retour en epingle local) et sert bien la version 8.0.3, distincte de la 16.0.2 locale. C'est celle-la qu'on epingle, parce qu'on a prouve qu'elle livre. A suivre : les hotes resolvent par Quad9 et n'interrogent pas infra-dns-01. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
48 lines
2.6 KiB
YAML
48 lines
2.6 KiB
YAML
---
|
|
# L'AMONT DE LA LIGNEE — comment patient 0 atteint la forge dont il descend.
|
|
#
|
|
# La forge amont (Alliance Boreale) porte les cinq depots du genome. La forge de
|
|
# patient 0 les MIROITE toutes les huit heures, pour que la copie cesse d'etre figee au
|
|
# jour du poussage. Ce fichier declare par quelle adresse elle l'atteint.
|
|
#
|
|
# CE QUI A ETE MESURE LE 2026-08-23, depuis forge-01, dans l'overlay de patient 0 :
|
|
#
|
|
# ping 100 octets vers 192.168.14.66 -> BLOQUE
|
|
# ping 100 octets vers 192.168.12.201 -> BLOQUE
|
|
# ping / https vers l'internet -> passe, toutes tailles
|
|
#
|
|
# Le tenant de patient 0 a le droit de SORTIR sur l'internet et PAS d'entrer dans le
|
|
# LAN 192.168.x de l'hebergeur. C'est le default-deny entre les deux mondes, et il est
|
|
# correct : un ecosysteme enfant n'a rien a faire dans le reseau physique de son hote.
|
|
#
|
|
# L'ADRESSE PUBLIQUE, ELLE, REPOND — ET C'EST BIEN LA BONNE FORGE :
|
|
#
|
|
# curl https://69.70.26.51/api/v1/version -> {"version":"8.0.3+gitea-1.22.0"}
|
|
# la forge locale de patient 0 -> {"version":"16.0.2+gitea-1.22.0"}
|
|
# 8 essais sur 8 : HTTP 200 en ~6,7 ms
|
|
#
|
|
# Sept millisecondes vers une adresse publique : le trafic ne sort pas vraiment, il
|
|
# revient en epingle au bord du reseau. C'est stable et c'est le chemin qui marche.
|
|
#
|
|
# POURQUOI EPINGLER PLUTOT QUE LAISSER LE DNS FAIRE. Le DNS public ne rend aujourd'hui
|
|
# qu'un seul enregistrement A (69.70.26.51), et les hotes de patient 0 interrogent Quad9
|
|
# — la resolution est donc juste par construction. Mais le jour ou un enregistrement a
|
|
# horizon partage rendrait l'adresse INTERNE, le miroir s'arreterait SANS BRUIT : la
|
|
# poignee TCP vers 192.168.14.66 « reussit » (mesure du meme jour), seule la livraison
|
|
# manque. Une copie du genome qui vieillit en silence est exactement le defaut que ce
|
|
# depot combat. On epingle donc l'adresse dont on a prouve qu'elle livre.
|
|
#
|
|
# SI CETTE ADRESSE CHANGE, les miroirs s'arretent — mais bruyamment, et tout le reste de
|
|
# l'acces a la forge amont s'arrete en meme temps. C'est un echec visible, pas un silence.
|
|
#
|
|
# Le plancher /etc/hosts est REGENERE integralement a chaque passage du role
|
|
# `hosts_statiques` : une entree posee a la main y serait effacee. Elle doit vivre ici.
|
|
hosts_statiques_externes:
|
|
- ip: "69.70.26.51"
|
|
noms:
|
|
- "forge.alliance-boreale.ca"
|
|
pourquoi: "forge amont du genome — l'adresse interne est bloquee par la frontiere"
|
|
|
|
# A SUIVRE, constate en passant le 2026-08-23 : les hotes de patient 0 resolvent par
|
|
# 9.9.9.9 (Quad9) et n'interrogent PAS leur propre serveur `infra-dns-01`. L'ecosysteme
|
|
# fait donc tourner un resolveur que personne n'utilise. A traiter separement.
|