mirror of
https://github.com/Alkatrazz24/Funk-lab.git
synced 2026-07-08 16:24:43 +02:00
ALI YESILKAYA
fe0aa89ffa
- Traefik externalTrafficPolicy: Local → IP client réelle (fin du SNAT kube-proxy) - middleware ratelimit par IP (100/min, burst 200) sur les 6 routes publiques - middleware security-headers (HSTS, nosniff, X-Frame SAMEORIGIN, Referrer-Policy) - TLSOption globale : plancher TLS 1.2 + ciphers modernes - Guacamole REMOTE_IP_VALVE → ban anti-bruteforce par IP (fin du piège n°5) - nftables : fermeture des ports Internet legacy 9080/9081 (HTTP clair redondant) - allowCrossNamespace pour mutualiser les middlewares depuis infra - docs : section Durcissement (public-domain.md) + CAA OVH + pièges à jour Co-authored-by: Claude Opus 4.8 <noreply@anthropic.com>
24 lines
649 B
YAML
24 lines
649 B
YAML
# Accès public HTTPS — n8n.funklab.online (cert Let's Encrypt auto).
|
|
# n8n garde son propre login (pas d'OIDC en édition communautaire).
|
|
# Route interne n8n.lab.local conservée (utilisée par le webhook AlertManager).
|
|
apiVersion: traefik.io/v1alpha1
|
|
kind: IngressRoute
|
|
metadata:
|
|
name: n8n-public
|
|
namespace: ai
|
|
spec:
|
|
entryPoints:
|
|
- websecure
|
|
routes:
|
|
- match: Host(`n8n.funklab.online`)
|
|
kind: Rule
|
|
middlewares:
|
|
- name: security-headers
|
|
namespace: infra
|
|
- name: ratelimit
|
|
namespace: infra
|
|
services:
|
|
- name: n8n
|
|
port: 5678
|
|
tls:
|
|
certResolver: letsencrypt
|