# Rapport Hermes — 2026-06-03_15-30
> Branche : `hermes/daily-work` · Fichiers analysés : 5

---
## Résumé
- ✅ À jour : 5
- ⚠️  À améliorer : 0

## ✅ `admin/infra/dnsmasq.md` — 8/10

**Statut** : ok  
**Résumé** : Documentation complète et structurée pour la configuration et la gestion de dnsmasq sur storage-01, avec des exemples concrets et des solutions pour les problèmes courants.  

**Problèmes :**
- Manque d'explications contextuelles pour les commandes (ex: pourquoi tester la config sans redémarrer ?)
- La section 'Ajouter une entrée DNS' pourrait inclure un exemple concret de modification du fichier de configuration
- Le template MetalLB n'est pas encore implémenté dans la documentation

**Suggestions :**
- Ajouter une explication des attentes pour chaque commande (ex: 'Le résultat devrait être X')
- Inclure un exemple de contenu de /etc/dnsmasq.conf avec les paramètres courants
- Mettre à jour le template MetalLB avec une configuration fonctionnelle complète
- Ajouter une note sur la priorité des interfaces réseau dans systemd

**État réel connu de Hermes :**  
Fonctionnel avec les configurations décrites, les fixes pour le problème USB sont appliqués, et les tests DNS passent sur le réseau cluster

---

## ✅ `admin/infra/email.md` — 9/10

**Statut** : à_jour  
**Résumé** : Documentation complète sur la configuration du relais SMTP Postfix vers Gmail, avec prérequis, installation, vérification et dépannage.  

**Problèmes :**
- Manque de détails sur la sécurisation des credentials (chiffrement du vault_postfix_relay_password)
- Aucune mention des règles SPF/DKIM pour le relais Gmail (même si le choix de Gmail évite ces contraintes)
- Le script de test 'sudo mail' nécessite des permissions spécifiques qui ne sont pas expliquées

**Suggestions :**
- Ajouter une section sur la rotation sécurisée des App Passwords
- Préciser les droits nécessaires pour exécuter les tests (ex: création d'un utilisateur spécifique)
- Mettre en avant la configuration de la file d'attente pour les emails échoués

**État réel connu de Hermes :**  
null

---

## ✅ `admin/infra/nfs.md` — 9/10

**Statut** : ok  
**Résumé** : Documentation complète des configurations NFS avec des étapes claires pour le serveur/client et la gestion des exports  

**Problèmes :**
- Manque de vérification du statut du service NFS sur storage-01
- Aucune mention des politiques de récupération des données en cas de pannes
- Les répertoires futurs (hermes/postgres/etc.) ne sont pas explicitement exportés

**Suggestions :**
- Ajouter un check 'sudo systemctl status nfs-server' dans la section serveur
- Proposer un exemple concret de création d'un répertoire supplémentaire
- Mettre en évidence les risques de latency avec les options nfsvers=4

**État réel connu de Hermes :**  
Le système NFS est actif et fonctionnel, les exports sont correctement configurés avec les permissions appropriées

---

## ✅ `admin/infra/reseau.md` — 9/10

**Statut** : à_jour  
**Résumé** : Document complet sur la configuration réseau du cluster Funk, couvrant interfaces, routes statiques, nftables, ports ouverts et débogage. Manque cependant les règles nftables concrètes et une vérification de la mise à jour.  

**Problèmes :**
- Absence de règles nftables spécifiques dans le fichier (seulement la gestion par Ansible)
- Pas de mention de la vérification des règles contre les playbooks Ansible récents
- Le DNS utilise des résolveurs externes (1.1.1.1/9.9.9.9) mais les entrées critiques sont dans /etc/hosts

**Suggestions :**
- Ajouter les règles nftables concretes ou au moins référencer leur emplacement
- Inclure une vérification de synchronisation avec les playbooks Ansible récents
- Mettre en évidence les entrées critiques dans /etc/hosts avec des commentaires explicites

**État réel connu de Hermes :**  
Le réseau est configuré selon le document : nftables géré par Ansible, routes statiques sur le poste, IP forwarding activé, ports ouverts corrects. Les débogues commands sont disponibles. Les règles nftables sont appliquées via le rôle 'gateway' dans les playbooks.

---

## ✅ `admin/infra/ssh.md` — 8/10

**Statut** : à_jour  
**Résumé** : Le document décrit correctement les connexions SSH et transferts de fichiers, mais manque de pratiques de sécurité modernes  

**Problèmes :**
- Aucune mention des bonnes pratiques de sécurité comme l'agent forwarding ou la configuration de ProxyJump dans le fichier ssh_config
- La section 'Connexion en root' encourage une pratique non sécurisée
- Absence de conseils sur la gestion des clés SSH pour les jump hosts

**Suggestions :**
- Ajouter une section sur l'utilisation de l'agent SSH pour la gestion des clés
- Mettre en avant la configuration de ProxyJump dans le fichier ssh_config
- Mettre à jour le conseil sur la connexion en root pour inclure des précautions de sécurité
- Ajouter des exemples de vérification des clés SSH pour les hôtes de saut

**État réel connu de Hermes :**  
Le système SSH est fonctionnel avec des connexions sécurisées via les clés ed25519, mais présente des opportunités d'amélioration en matière de sécurité et de configuration optimisée

---

