0 Votes

Infrastructure

Modifié par john le 2026/09/23 19:44

Deux machines, deux rôles distincts.

Les raisons de cette organisation (et des outils retenus) sont expliquées dans Choix techniques.

Machine	Rôle	Exposition
Serveur principal	Services web en conteneurs	Internet, via reverse proxy
Raspberry Pi	DNS local, dépôt de sauvegarde, nœud LoRa, médias	Réseau local uniquement

Flux entre les machines

Sauvegarde nocturne : Plakar sur le serveur principal envoie vers le dépôt du Raspberry Pi en SFTP. Les bases sont exportées en SQL avant chaque sauvegarde. Détails : Sauvegarde.
DNS : AdGuard Home sur le Raspberry Pi réécrit le domaine public vers l'IP locale du serveur (contournement du hairpin NAT de la box).
Gestion Docker : un Portainer central sur le serveur principal pilote les deux machines, le Raspberry Pi par un agent. Détails : Portainer.
Alertes : la sauvegarde envoie chaque nuit un message Telegram (✅ réussite, ⚠️ dump échoué, ❌ interruption) ; un workflow n8n signale sur Telegram les mises à jour de conteneurs.

Portainer : gestion Docker des deux machines.
Oh My Bash : configuration du shell Bash.
Lynis : audit de sécurité nocturne des deux machines.
Maintenance : ce qu'il faut vérifier chaque jour, chaque semaine et chaque mois.

Mise à jour automatique chaque nuit par Watchtower .
Une base de données est toujours épinglée sur une version majeure encore supportée : la mise à jour automatique ne lui apporte que des correctifs mineurs.
Le reverse proxy, l'authentification et toute image en latest critique sont exclus de la mise à jour automatique et mis à jour à la main, après lecture des notes de version.

Aucun pip install dans le Python système, ni en root ni en utilisateur : une montée de version de Debian casse tout ce qui a été installé ainsi.
Outils en ligne de commande : pipx.
Scripts qui ont besoin de modules : un venv dans leur dossier.

Pas d'IP, de domaine, de nom d'utilisateur, de secret ni de vulnérabilité connue dans ce wiki. Les valeurs réelles sont notées <ENTRE_CHEVRONS>.