feat/traefik-prod-ovh #158

Merged

slanski merged 2 commits from feat/traefik-prod-ovh into main

2026-09-28 09:16:22 +00:00

slanski commented

2026-09-28 09:16:18 +00:00

Owner

No description provided.

slanski added 2 commits

2026-09-28 09:16:18 +00:00

feat(traefik): Traefik en production OVH, à la place d'ingress-nginx e8812c5a94

- traefik/values.prod-ovh.yaml : chart officiel 41.6.0, Traefik 3.7.13,
  2 pods sur 2 nœuds et 2 zones, PDB, preStop ; IngressClass traefik non
  par défaut ; core.strictTLSOptions (GHSA-g55h-rg46-x9c5, TLS mutuel de
  m2m) ; parité avec ingress-nginx : redirection HTTPS, HSTS, corps limité
  à 2 Mio, délai de 60 s ; journal des accès ; ServiceMonitor.
- traefik/networkpolicy.prod-ovh.yaml : entrées publiques sans `from`
  (Cilium : un ipBlock ne couvre ni nœuds ni pods), métriques depuis
  monitoring ; sorties DNS, edge-prod (8080, 8081, 8089) et API
  (entité Cilium kube-apiserver).
- bootstrap/cluster-issuer.prod-ovh.yaml : solveur HTTP-01 en classe
  traefik, appliqué une fois erp et m2m basculés.
- Sonde : erp.cinnae.com passe dans endpoints-publics (il répond depuis
  fin août) pour que la bascule soit surveillée.

fix(cert-manager): le solveur HTTP-01 de prod ne sert que l'entrypoint web 65eac1fa54

Sans l'annotation, Traefik attache aussi l'Ingress du solveur à websecure :
sur m2m.cinnae.com, ce routeur sans options TLS entre en conflit avec la
TLSOption du TLS mutuel (repli sans certificat client avant 3.7.11,
routeurs en erreur avec core.strictTLSOptions).

slanski merged commit 63c8ef2645 into main

2026-09-28 09:16:22 +00:00

slanski deleted branch feat/traefik-prod-ovh

2026-09-28 09:16:22 +00:00

slanski referenced this pull request from a commit

2026-09-28 09:16:23 +00:00

Merge pull request 'feat/traefik-prod-ovh' (#158) from feat/traefik-prod-ovh into main