mirror of
https://github.com/Alkatrazz24/Funk-lab.git
synced 2026-07-10 12:54:41 +02:00
Alkatrazz
0aa4c3650d
Audit complet des rôles vs état réel du cluster. Chaque rôle a maintenant un README.md : but, variables (défauts + surcharges host_vars/vault), handlers, vérifications, caveats. Gaps découverts et documentés : - minio : rôle VIDE (tasks/main.yml sans aucune tâche), service inactif — placeholder à implémenter ou retirer (ports 9000/9001 ouverts pour rien) - llama_server : ne gère que l'instance GPU :1234 — les services CPU llama-server-system :1236 et llama-server-monitor :1237 sont créés à la main sur gpu-01, non reproductibles par make apply-gpu (+ un llama-server-dev.service non documenté présent sur l'hôte) - hermes_auto_improve : defaults port/repo/branch/log non consommés (valeurs en dur dans les scripts), défaut branch obsolète - lm_studio : README de dépréciation, candidat suppression Tables admin/ops/ansible.md, README.md et CLAUDE.md corrigées en conséquence. Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
35 lines
1.4 KiB
Markdown
35 lines
1.4 KiB
Markdown
# gateway
|
|
|
|
Fait de storage-01 le routeur/firewall du LAN cluster : nftables + NAT + IP forwarding.
|
|
Remplace firewalld (stoppé et désactivé).
|
|
|
|
## Ce que fait le rôle
|
|
|
|
- Désactive firewalld, installe nftables
|
|
- Active `net.ipv4.ip_forward`
|
|
- Déploie `/etc/nftables.conf` depuis `templates/nftables.conf.j2` (policy **drop** en input/forward)
|
|
|
|
## Ports ouverts (template nftables.conf.j2)
|
|
|
|
| Port | Source | Service |
|
|
|---|---|---|
|
|
| 22 | LAN maison + cluster | SSH |
|
|
| 53 udp/tcp, 67 udp | LAN cluster | dnsmasq (DNS + DHCP) |
|
|
| 111, 2049 | LAN cluster | NFS |
|
|
| 5432, 6333/6334, 9000/9001 | LAN cluster | PostgreSQL, Qdrant, MinIO |
|
|
| 9100, 9093 | cluster + pods 10.42/16 | node_exporter, alertmanager-webhook |
|
|
| 8080 | maison + cluster + pods | Hermes gateway |
|
|
| 9119 | `hermes_dashboard_allowed_ip` uniquement | Dashboard Hermes |
|
|
| 4000 | maison + cluster + pods | LiteLLM |
|
|
| 25 | cluster + pods | Postfix relay |
|
|
| 9095 | cluster + pods | hermes-auto-improve trigger |
|
|
|
|
NAT : masquerade du LAN cluster vers le WAN.
|
|
|
|
## Variables
|
|
|
|
Pas de defaults — utilise `lan_interface`, `wan_interface` (host_vars) et `hermes_dashboard_allowed_ip` (defaults du rôle hermes_agent).
|
|
|
|
## Caveat
|
|
|
|
**Tout nouveau service réseau doit ajouter son port ici** (modifier le template puis `--tags gateway`). C'est la cause de plusieurs incidents passés (voir `admin/incidents.md` 2026-05-13, port monitoring bloqué).
|