# Rapport Hermes — 2026-06-09_12-00
> Branche : `hermes/daily-work` · Fichiers analysés : 5

---
## Résumé
- ✅ À jour : 5
- ⚠️  À améliorer : 0

## ✅ `admin/infra/dnsmasq.md` — 9/10

**Statut** : ok  
**Résumé** : Documentation complète et à jour sur la configuration DNS dnsmasq, avec procédures de test, gestion des configurations et résolution des problèmes connus.  

**Problèmes :**
- La section 'Problème connu' pourrait être mieux structurée avec des sous-titres pour les solutions permanentes/immédiates
- Manque de mention des risques de dépendances avec les interfaces réseau USB

**Suggestions :**
- Ajouter un exemple concret de test DNS vers un service k8s récent (ex: open-webui)
- Mettre en évidence les commandes clés dans une section 'Quick Start'
- Ajouter une note sur la priorité des résolutions DNS vers 192.168.10.1 dans les machines cluster

**État réel connu de Hermes :**  
Service dnsmasq actif depuis 3 jours, résolution DNS correcte pour compute-01.lab.local et openwebui.lab.local, aucun incident critique détecté dans les logs récents

---

## ✅ `admin/infra/email.md` — 9/10

**Statut** : ok  
**Résumé** : Documentation complète sur la configuration du relais SMTP via Postfix vers Gmail, avec étapes claires et vérifications.  

**Problèmes :**
- Manque de mention sur la sécurité (ex: chiffrement des données dans le vault)
- Aucune mention des règles SPF/DKIM pour Gmail (même si le relais ne nécessite pas de domaine vérifié)

**Suggestions :**
- Ajouter une section sur la rotation sécurisée des App Passwords
- Mettre en avant les bonnes pratiques pour les logs Postfix (ex: monitoring des erreurs 4xx/5xx)
- Compléter le dépannage avec des exemples de debug SMTP (ex: telnet 127.0.0.1 25)

**État réel connu de Hermes :**  
Configuration opérationnelle validée par les tests décrits, avec relais SMTP actif vers Gmail

---

## ✅ `admin/infra/nfs.md` — 9/10

**Statut** : à_jour  
**Résumé** : Documentation complète et à jour sur la configuration NFS du cluster Funk, avec procédures claires et vérification récente  

**Problèmes :**
- Manque de mention sur les considérations de sécurité (ACL, chroot, etc.)
- Aucune information sur les mesures de surveillance ou les seuils d'alerte pour les montages NFS

**Suggestions :**
- Ajouter une section sur les bonnes pratiques de sécurité pour les exports NFS
- Inclure des exemples de règles de firewall associées aux ports NFS
- Ajouter un paragraphe sur la vérification régulière des permissions et quotas
- Proposer un script d'audit pour les configurations NFS

**État réel connu de Hermes :**  
Configuration stable avec deux exports actifs, automount fonctionnel sur gpu-01, RAID127 operational, aucun incident signalé depuis 3 jours

---

## ✅ `admin/infra/reseau.md` — 9/10

**Statut** : à_jour  
**Résumé** : Documentation complète du réseau Funk avec configuration nftables, routing, NAT et DNS, vérifiée le 2026-06-05  

**Problèmes :**
- La mention "llama-s" dans l'État vérifié semble être un fragment incomplet
- Manque d'exemples concrets pour les règles nftables
- Le paragraphe DNS pourrait préciser les résolveurs utilisés (1.1.1.1/9.9.9.9)

**Suggestions :**
- Ajouter un exemple de règles nftables pour illustrer la configuration
- Corriger le fragment incomplet "llama-s" dans l'État vérifié
- Mettre à jour les versions critiques avec les numéros de version complets

**État réel connu de Hermes :**  
Le réseau fonctionne avec les configurations décrites, les services clés (LiteLLM, Qdrant, PostgreSQL) sont actifs et les règles nftables gérées par Ansible

---

## ✅ `admin/infra/ssh.md` — 8/10

**Statut** : à_jour  
**Résumé** : Documentation complète sur les connexions SSH et transferts, avec des exemples pratiques et vérification de l'état actuel des configurations.  

**Problèmes :**
- La configuration `PermitRootLogin yes` pourrait être un risque de sécurité si la politique de gestion exige `no`
- Aucune mention des politiques de rotation/expiration des clés SSH

**Suggestions :**
- Mettre à jour `PermitRootLogin` selon la politique de sécurité actuelle
- Ajouter une section sur la gestion des clés SSH (rotation, expiration, audits)

**État réel connu de Hermes :**  
Service sshd actif sur 22/tcp avec `PasswordAuthentication no` et `PubkeyAuthentication yes`. Configuration conforme aux normes, mais le `PermitRootLogin yes` nécessite vérification par rapport à la politique de durcissement actuelle.

---