Funk-lab

akadmin/Funk-lab

Fork 0

mirror of https://github.com/Alkatrazz24/Funk-lab.git synced 2026-07-08 16:54:43 +02:00

Commit graph

Author	SHA1	Message	Date
ALI YESILKAYA	fe0aa89ffa	feat(security): durcissement edge funklab.online (vraie IP client + rate-limit + TLS/headers) (#95 ) - Traefik externalTrafficPolicy: Local → IP client réelle (fin du SNAT kube-proxy) - middleware ratelimit par IP (100/min, burst 200) sur les 6 routes publiques - middleware security-headers (HSTS, nosniff, X-Frame SAMEORIGIN, Referrer-Policy) - TLSOption globale : plancher TLS 1.2 + ciphers modernes - Guacamole REMOTE_IP_VALVE → ban anti-bruteforce par IP (fin du piège n°5) - nftables : fermeture des ports Internet legacy 9080/9081 (HTTP clair redondant) - allowCrossNamespace pour mutualiser les middlewares depuis infra - docs : section Durcissement (public-domain.md) + CAA OVH + pièges à jour Co-authored-by: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-07 22:58:24 +02:00
ALI YESILKAYA	a336eda7e9	feat(argocd): SSO OIDC Authentik sur le domaine (argocd.funklab.online) (#92 ) - values : configs.cm (url + oidc.config vers auth.funklab.online, secret référencé $argocd-oidc:clientSecret) + rbac lab-admins→admin - IngressRoute websecure + Let's Encrypt (route argocd.lab.local conservée) Appliqué hors ArgoCD (bootstrap helm) : helm upgrade argocd argo/argo-cd -n argocd --version 9.5.14 \ -f k8s/argocd-bootstrap/values.yaml Secret k8s argocd-oidc déjà créé (clé clientSecret, label part-of=argocd). Co-authored-by: Claude Fable 5 <noreply@anthropic.com>	2026-07-07 17:21:19 +02:00
alkatrazz	d7b33bb34a	feat: bootstrap ArgoCD + structure GitOps k8s - k8s/argocd-bootstrap/values.yaml : ArgoCD Helm values (ingress Traefik, resources limités, dex désactivé) - k8s/apps-of-apps/ : root Application + monitoring Application - k8s/infra/monitoring/ : kube-prometheus-stack v85.0.2 (Grafana, Prometheus, AlertManager, node-exporter daemonset) - Scrape additionnels : storage-01:9100, gpu-01:9100 (node), :9101 (ROCm), llama-server :1234/:1236/:1237 - AlertManager webhook → http://192.168.10.1:9093/webhook (Hermes monitor) - Ressources dimensionnées pour compute 8GB - kubeEtcd/Scheduler/ControllerManager/Proxy désactivés (Talos) Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>	2026-05-13 20:26:49 +02:00

Author

SHA1

Message

Date

ALI YESILKAYA

fe0aa89ffa

feat(security): durcissement edge funklab.online (vraie IP client + rate-limit + TLS/headers) (#95 )

- Traefik externalTrafficPolicy: Local → IP client réelle (fin du SNAT kube-proxy)
- middleware ratelimit par IP (100/min, burst 200) sur les 6 routes publiques
- middleware security-headers (HSTS, nosniff, X-Frame SAMEORIGIN, Referrer-Policy)
- TLSOption globale : plancher TLS 1.2 + ciphers modernes
- Guacamole REMOTE_IP_VALVE → ban anti-bruteforce par IP (fin du piège n°5)
- nftables : fermeture des ports Internet legacy 9080/9081 (HTTP clair redondant)
- allowCrossNamespace pour mutualiser les middlewares depuis infra
- docs : section Durcissement (public-domain.md) + CAA OVH + pièges à jour

Co-authored-by: Claude Opus 4.8 <noreply@anthropic.com>

2026-07-07 22:58:24 +02:00

ALI YESILKAYA

a336eda7e9

feat(argocd): SSO OIDC Authentik sur le domaine (argocd.funklab.online) (#92 )

- values : configs.cm (url + oidc.config vers auth.funklab.online, secret
  référencé $argocd-oidc:clientSecret) + rbac lab-admins→admin
- IngressRoute websecure + Let's Encrypt (route argocd.lab.local conservée)

Appliqué hors ArgoCD (bootstrap helm) :
  helm upgrade argocd argo/argo-cd -n argocd --version 9.5.14 \
    -f k8s/argocd-bootstrap/values.yaml
Secret k8s argocd-oidc déjà créé (clé clientSecret, label part-of=argocd).

Co-authored-by: Claude Fable 5 <noreply@anthropic.com>

2026-07-07 17:21:19 +02:00

alkatrazz

d7b33bb34a

feat: bootstrap ArgoCD + structure GitOps k8s

- k8s/argocd-bootstrap/values.yaml : ArgoCD Helm values (ingress Traefik,
  resources limités, dex désactivé)
- k8s/apps-of-apps/ : root Application + monitoring Application
- k8s/infra/monitoring/ : kube-prometheus-stack v85.0.2 (Grafana, Prometheus,
  AlertManager, node-exporter daemonset)
  - Scrape additionnels : storage-01:9100, gpu-01:9100 (node), :9101 (ROCm),
    llama-server :1234/:1236/:1237
  - AlertManager webhook → http://192.168.10.1:9093/webhook (Hermes monitor)
  - Ressources dimensionnées pour compute 8GB
  - kubeEtcd/Scheduler/ControllerManager/Proxy désactivés (Talos)

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

2026-05-13 20:26:49 +02:00

3 commits