Code source wiki de Maintenance
Modifié par john le 2026/09/20 18:32
Afficher les derniers auteurs
| author | version | line-number | content |
|---|---|---|---|
| 1 | Points à vérifier régulièrement sur les deux machines. Chaque ligne renvoie à la page qui explique le détail. | ||
| 2 | |||
| 3 | == Chaque jour, sans rien faire == | ||
| 4 | |||
| 5 | |=Signal|=Attendu|=Sinon | ||
| 6 | |Message ✅ vers 3 h 40|Sauvegarde réussie|⚠️ : un dump a échoué. ❌ : la sauvegarde n'a pas eu lieu. Aucun message : le script n'a pas démarré (serveur éteint, cron cassé). Voir [[Sauvegarde>>Wiki Batcave John.Infrastructure.Sauvegarde.WebHome]] | ||
| 7 | |Messages de mises à jour de conteneurs|Après le passage de Watchtower à 5 h|Silence prolongé : vérifier le workflow [[n8n>>Wiki Batcave John.Infrastructure.ServeurPrincipal.n8n.WebHome]] et le jeton du bot | ||
| 8 | |||
| 9 | == Chaque semaine == | ||
| 10 | |||
| 11 | === Serveur principal === | ||
| 12 | |||
| 13 | {{code language="bash"}} | ||
| 14 | sudo apt update && sudo apt full-upgrade # mises à jour Debian | ||
| 15 | docker exec crowdsec cscli metrics show acquisition # chaque source doit lire des lignes | ||
| 16 | docker exec crowdsec cscli decisions list # adresses bannies | ||
| 17 | sudo grep -E '^(hardening_index|warning\[\])=' /var/log/lynis-report.dat | ||
| 18 | docker ps -a --format '{{.Names}} {{.Status}}' | grep -v Up # conteneurs arrêtés ou en erreur | ||
| 19 | df -h / /srv # espace disque | ||
| 20 | {{/code}} | ||
| 21 | |||
| 22 | Une source d'acquisition absente ou à zéro dans CrowdSec signifie qu'un service n'est plus surveillé : voir [[CrowdSec>>Wiki Batcave John.Infrastructure.ServeurPrincipal.CrowdSec.WebHome]]. | ||
| 23 | |||
| 24 | === Raspberry Pi === | ||
| 25 | |||
| 26 | {{code language="bash"}} | ||
| 27 | sudo apt update && sudo apt full-upgrade | ||
| 28 | sudo grep -c '^' /var/log/chkrootkit/log.today # rapport du jour, à relire si le nombre change | ||
| 29 | sudo fail2ban-client status sshd | ||
| 30 | sudo smartctl -d sat -H /dev/sda # santé du SSD | ||
| 31 | df -h / <POINT_MONTAGE> | ||
| 32 | sudo ls -lh <POINT_MONTAGE>/config-matrix/ # archive de configuration du dimanche | ||
| 33 | {{/code}} | ||
| 34 | |||
| 35 | == Chaque mois == | ||
| 36 | |||
| 37 | {{code language="bash"}} | ||
| 38 | # Serveur principal | ||
| 39 | docker exec -it crowdsec cscli bouncers prune -d 168h # entrées de SWAG accumulées | ||
| 40 | docker exec crowdsec cscli hub update && docker exec crowdsec cscli hub upgrade | ||
| 41 | sudo apt autoremove --purge | ||
| 42 | sudo lynis audit system # audit complet, à comparer au précédent | ||
| 43 | |||
| 44 | # Raspberry Pi | ||
| 45 | pipx upgrade-all | ||
| 46 | sudo rpi-eeprom-update # état du chargeur de démarrage | ||
| 47 | apt list '~o' # paquets qu'aucun dépôt ne fournit plus | ||
| 48 | {{/code}} | ||
| 49 | |||
| 50 | Comparer aussi les fichiers de SWAG à leurs modèles, mis à jour à chaque version de l'image : | ||
| 51 | |||
| 52 | {{code language="bash"}} | ||
| 53 | cd <APPDATA>/swag/config/nginx | ||
| 54 | for f in *.sample; do diff -q "${f%.sample}" "$f" > /dev/null 2>&1 || echo "$f"; done | ||
| 55 | {{/code}} | ||
| 56 | |||
| 57 | Voir [[SWAG>>Wiki Batcave John.Infrastructure.ServeurPrincipal.SWAG.WebHome]]. | ||
| 58 | |||
| 59 | == Trois fois par an == | ||
| 60 | |||
| 61 | * **Essai de restauration** : restaurer un instantané dans un dossier temporaire, et vérifier qu'un dump SQL s'ouvre. Une sauvegarde jamais restaurée n'est pas vérifiée. Voir [[Sauvegarde>>Wiki Batcave John.Infrastructure.Sauvegarde.WebHome]]. | ||
| 62 | * **Archive Portainer** : Settings > General > Backup Portainer, à conserver hors du serveur. Voir [[Portainer>>Wiki Batcave John.Infrastructure.Portainer.WebHome]]. | ||
| 63 | * **Export Meshtastic** : ##meshtastic --host localhost --export-config##, à ranger avec les secrets. Voir [[Meshtastic>>Wiki Batcave John.Infrastructure.RaspberryPi.Meshtastic.WebHome]]. | ||
| 64 | * **Versions des bases** : vérifier qu'aucune image de base n'est sortie du support de son éditeur. | ||
| 65 | * **Secrets** : renouveler les clés et jetons exposés ou anciens (bouncer CrowdSec, Turnstile, jeton Telegram, JWT). | ||
| 66 | |||
| 67 | == Après chaque opération sensible == | ||
| 68 | |||
| 69 | |=Opération|=À vérifier ensuite | ||
| 70 | |Changement de noyau du Pi|SSD monté, SPI et I2C présents, services actifs, écran OLED et LEDs, nombre d'overlays. Voir [[Noyau et dépôt Raspberry Pi>>Wiki Batcave John.Infrastructure.RaspberryPi.Noyau et dépôt Raspberry Pi.WebHome]] | ||
| 71 | |Recréation de SWAG|Nouvelle entrée de bouncer dans CrowdSec ; services publiés joignables | ||
| 72 | |Modification du script de sauvegarde|##sudo bash -n /root/backup-plakar.sh##, puis contrôler les dates des dumps le lendemain | ||
| 73 | |Mise à jour d'une image de base de données|Journaux du conteneur : erreurs de version ou de collation | ||
| 74 | |Modification d'un proxy-conf|##docker exec swag nginx -t## puis ##nginx -s reload## | ||
| 75 | |||
| 76 | == Points connus à surveiller == | ||
| 77 | |||
| 78 | * Les bouncers CrowdSec s'accumulent à chaque recréation de SWAG. | ||
| 79 | * Une barre oblique inverse suivie d'un espace en fin de ligne casse silencieusement le script de sauvegarde. | ||
| 80 | * Le retrait d'un ancien noyau sur le Pi peut supprimer des overlays de la partition de démarrage. | ||
| 81 | * ##libpam-cracklib## (Debian 11) n'est plus mis à jour ; remplaçant : ##libpam-pwquality##. | ||
| 82 | * Les données de Portainer et les volumes Docker nommés ne sont pas dans la sauvegarde Plakar. |