cinnae/infrastructure
Watch
3
0
Fork
You've already forked infrastructure
 0
Code Issues Pull requests Projects Releases Packages 2 Wiki Activity Actions

fix(netpol): sorties des bases CNPG d'authentik et de forgejo en liste blanche #157

Merged
slanski merged 1 commit from fix/networkpolicy-sorties-bases-cnpg into main 2026-09-28 06:52:24 +00:00
Conversation 0 Commits 1 Files changed 2 +210 -3
slanski commented 2026-09-28 06:52:19 +00:00
Owner
Copy link

Les instances CNPG et les poolers de forgejo-pg et authentik-pg n'avaient
aucune règle de sortie : ils joignaient tout le cluster.

  • forgejo-pg-egress, authentik-pg-egress (instances et jobs CNPG) : DNS,
    pods du cluster CNPG (réplication, pg_rewind), API Kubernetes (6443 des
    masters : gestionnaire d'instance, side-car de sauvegarde), OVH S3 en 443
    (archivage des WAL et sauvegardes par plugin-barman-cloud), hors réseaux
    internes et hors adresses des nœuds.
  • forgejo-pg-pooler-egress, authentik-pg-pooler-egress : DNS, instances du
    cluster (5432), API Kubernetes (sans elle, CrashLoop : incident du pooler
    de staging du 2026-09-26).

Même besoin que les bases de staging (cnpg-instances : 5432, DNS, 443,
6443), resserré. Le side-car de sauvegarde n'appelle que l'API et S3
(réglages locaux). Simulé : instances et poolers gardent DNS, leur cluster
et l'API, les instances S3 ; plus de Vault, Valkey, autre base, Internet en
80 ni ports des nœuds. Validé côté serveur.

Les instances CNPG et les poolers de forgejo-pg et authentik-pg n'avaient aucune règle de sortie : ils joignaient tout le cluster. - forgejo-pg-egress, authentik-pg-egress (instances et jobs CNPG) : DNS, pods du cluster CNPG (réplication, pg_rewind), API Kubernetes (6443 des masters : gestionnaire d'instance, side-car de sauvegarde), OVH S3 en 443 (archivage des WAL et sauvegardes par plugin-barman-cloud), hors réseaux internes et hors adresses des nœuds. - forgejo-pg-pooler-egress, authentik-pg-pooler-egress : DNS, instances du cluster (5432), API Kubernetes (sans elle, CrashLoop : incident du pooler de staging du 2026-09-26). Même besoin que les bases de staging (cnpg-instances : 5432, DNS, 443, 6443), resserré. Le side-car de sauvegarde n'appelle que l'API et S3 (réglages locaux). Simulé : instances et poolers gardent DNS, leur cluster et l'API, les instances S3 ; plus de Vault, Valkey, autre base, Internet en 80 ni ports des nœuds. Validé côté serveur.
Les instances CNPG et les poolers de forgejo-pg et authentik-pg n'avaient
aucune règle de sortie : ils joignaient tout le cluster.

- forgejo-pg-egress, authentik-pg-egress (instances et jobs CNPG) : DNS,
  pods du cluster CNPG (réplication, pg_rewind), API Kubernetes (6443 des
  masters : gestionnaire d'instance, side-car de sauvegarde), OVH S3 en 443
  (archivage des WAL et sauvegardes par plugin-barman-cloud), hors réseaux
  internes et hors adresses des nœuds.
- forgejo-pg-pooler-egress, authentik-pg-pooler-egress : DNS, instances du
  cluster (5432), API Kubernetes (sans elle, CrashLoop : incident du pooler
  de staging du 2026-09-26).

Même besoin que les bases de staging (cnpg-instances : 5432, DNS, 443,
6443), resserré. Le side-car de sauvegarde n'appelle que l'API et S3
(réglages locaux). Simulé : instances et poolers gardent DNS, leur cluster
et l'API, les instances S3 ; plus de Vault, Valkey, autre base, Internet en
80 ni ports des nœuds. Validé côté serveur.
slanski deleted branch fix/networkpolicy-sorties-bases-cnpg 2026-09-28 06:52:25 +00:00
Sign in to join this conversation.
Reviewers
No reviewers
Labels
Clear labels
No items
No labels
Milestone
Clear milestone
No items
No milestone
Projects
Clear projects
No items
No project
Assignees
Clear assignees
No assignees
1 participant
Notifications
Due date
The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set

Reference
cinnae/infrastructure!157
No description provided.