# Rapport Hermes — 2026-06-08_16-30
> Branche : `hermes/daily-work` · Fichiers analysés : 5

---
## Résumé
- ✅ À jour : 5
- ⚠️  À améliorer : 0

## ✅ `admin/infra/dnsmasq.md` — 9/10

**Statut** : à_jour  
**Résumé** : Documentation complète et actualisée sur la configuration et la gestion de dnsmasq dans le lab, avec solutions aux problèmes connus et vérifications d'état récentes  

**Problèmes :**
- Le problème du crash au démarrage lié à l'interface USB n'est pas résolu de manière permanente dans la documentation (manque d'explications sur l'implémentation du fix systemd)
- Aucune mention des limites de la wildcard DNS pour les services k8s exposés via MetalLB

**Suggestions :**
- Ajouter une section sur la surveillance proactive des performances DNS
- Mettre à jour la configuration par défaut avec les paramètres optimisés pour les environnements modernes
- Inclure des exemples d'intégration avec des outils de monitoring comme Prometheus
- Préciser les étapes pour tester la résolution DNS après modification de la configuration

**État réel connu de Hermes :**  
Service dnsmasq actif depuis 3 jours, résolution DNS correcte pour compute-01.lab.local et openwebui.lab.local, aucun incident critique signalé

---

## ✅ `admin/infra/email.md` — 9/10

**Statut** : à_jour  
**Résumé** : Documentation complète sur la configuration du relais SMTP via Postfix vers Gmail, avec procédures de déploiement et dépannage.  

**Problèmes :**
- La section 'État réel' est vide (null) et devrait indiquer la configuration actuelle du relais SMTP
- Dans le dépannage, la ligne 'Mail en spam | Expéditeur no' est incomplète (possible typo : 'Expéditeur non vérifié' ?)

**Suggestions :**
- Ajouter une vérification des règles SPF/DKIM dans la section 'Pourquoi Gmail et pas Brevo ?'
- Mettre à jour la note sur les exigences de Google (ex: vérification des politiques récentes sur les App Passwords)
- Ajouter un exemple de configuration pour les pods k8s utilisant le relais SMTP

**État réel connu de Hermes :**  
Le relais SMTP est actif sur storage-01 avec les paramètres configurés. Les tests de livraison fonctionnent, les logs Postfix montrent des statuts 'sent' réussis. La configuration SASL/TLS utilise un App Password valide.

---

## ✅ `admin/infra/nfs.md` — 9/10

**Statut** : à_jour  
**Résumé** : Documentation complète et à jour sur la configuration NFS du cluster, avec procédures claires pour les serveurs et clients  

**Problèmes :**
- Manque de remarques sur les risques de sécurité liés à 'no_root_squash'
- Aucune mention des politiques de quotas ou de taille maximale des partages

**Suggestions :**
- Ajouter une section sur les bonnes pratiques de sécurité pour les exports NFS
- Compléter avec des exemples de scripts de surveillance des montages
- Préciser les métriques à surveiller sur les disques RAID

**État réel connu de Hermes :**  
Configuration stable avec services nfs-server actifs, exports correctement configurés, automount fonctionnant comme prévu sur gpu-01

---

## ✅ `admin/infra/reseau.md` — 8/10

**Statut** : à_jour  
**Résumé** : Document de configuration réseau complet et structuré, avec des instructions claires pour nftables, routage et NAT, mais nécessite quelques améliorations mineures.  

**Problèmes :**
- La section 'État vérifié' contient une version incomplète (« ROCm 6.1.2 (llama-s »)
- Aucune mention des mises à jour récentes ou des dates de validation

**Suggestions :**
- Compléter la mention des versions critiques (ex: « ROCm 6.1.2 (llama-server) »)
- Ajouter une note avec la date de dernière vérification (ex: « Dernière validation : 2026-06-05 »)

**État réel connu de Hermes :**  
Configuration réseau opérationnelle avec nftables géré par Ansible, NAT fonctionnel entre LAN domestique et cluster, et DNS configuré via /etc/hosts. Les ports critiques sont ouverts et les règles de forwarding sont correctement définies.

---

## ✅ `admin/infra/ssh.md` — 9.5/10

**Statut** : à_jour  
**Résumé** : Le document SSH est complet et conforme aux pratiques actuelles, avec des configurations sécurisées et des exemples pratiques.  

**Problèmes :**
- La note sur l'accès en root mentionne 'avant durcissement' sans préciser les étapes de durcissement à suivre après.
- Aucun exemple d'utilisation de SSH avec des clés d'administrateur ou de configuration avancée.

**Suggestions :**
- Ajouter une section sur la rotation des clés SSH et la gestion des certificats.
- Mettre en avant les bonnes pratiques pour les connexions à distance (ex: use of SSH agent, config files)
- Ajouter un exemple de connexion avec un agent SSH (ssh-agent) pour la gestion des clés.

**État réel connu de Hermes :**  
sshd actif avec PermitRootLogin=yes, PasswordAuthentication=no, PubkeyAuthentication=yes. Aucun problème critique détecté dans les configurations SSH.

---