Maintenance
Modifié par john le 2026/09/20 18:32
Points à vérifier régulièrement sur les deux machines. Chaque ligne renvoie à la page qui explique le détail.
Chaque jour, sans rien faire
| Signal | Attendu | Sinon |
|---|---|---|
| Message ✅ vers 3 h 40 | Sauvegarde réussie | ⚠️ : un dump a échoué. ❌ : la sauvegarde n'a pas eu lieu. Aucun message : le script n'a pas démarré (serveur éteint, cron cassé). Voir Sauvegarde |
| Messages de mises à jour de conteneurs | Après le passage de Watchtower à 5 h | Silence prolongé : vérifier le workflow n8n et le jeton du bot |
Chaque semaine
Serveur principal
sudo apt update && sudo apt full-upgrade # mises à jour Debian
docker exec crowdsec cscli metrics show acquisition # chaque source doit lire des lignes
docker exec crowdsec cscli decisions list # adresses bannies
sudo grep -E '^(hardening_index|warning\[\])=' /var/log/lynis-report.dat
docker ps -a --format '{{.Names}} {{.Status}}' | grep -v Up # conteneurs arrêtés ou en erreur
df -h / /srv # espace disque
docker exec crowdsec cscli metrics show acquisition # chaque source doit lire des lignes
docker exec crowdsec cscli decisions list # adresses bannies
sudo grep -E '^(hardening_index|warning\[\])=' /var/log/lynis-report.dat
docker ps -a --format '{{.Names}} {{.Status}}' | grep -v Up # conteneurs arrêtés ou en erreur
df -h / /srv # espace disque
Une source d'acquisition absente ou à zéro dans CrowdSec signifie qu'un service n'est plus surveillé : voir CrowdSec.
Raspberry Pi
sudo apt update && sudo apt full-upgrade
sudo grep -c '^' /var/log/chkrootkit/log.today # rapport du jour, à relire si le nombre change
sudo fail2ban-client status sshd
sudo smartctl -d sat -H /dev/sda # santé du SSD
df -h / <POINT_MONTAGE>
sudo ls -lh <POINT_MONTAGE>/config-matrix/ # archive de configuration du dimanche
sudo grep -c '^' /var/log/chkrootkit/log.today # rapport du jour, à relire si le nombre change
sudo fail2ban-client status sshd
sudo smartctl -d sat -H /dev/sda # santé du SSD
df -h / <POINT_MONTAGE>
sudo ls -lh <POINT_MONTAGE>/config-matrix/ # archive de configuration du dimanche
Chaque mois
# Serveur principal
docker exec -it crowdsec cscli bouncers prune -d 168h # entrées de SWAG accumulées
docker exec crowdsec cscli hub update && docker exec crowdsec cscli hub upgrade
sudo apt autoremove --purge
sudo lynis audit system # audit complet, à comparer au précédent
# Raspberry Pi
pipx upgrade-all
sudo rpi-eeprom-update # état du chargeur de démarrage
apt list '~o' # paquets qu'aucun dépôt ne fournit plus
docker exec -it crowdsec cscli bouncers prune -d 168h # entrées de SWAG accumulées
docker exec crowdsec cscli hub update && docker exec crowdsec cscli hub upgrade
sudo apt autoremove --purge
sudo lynis audit system # audit complet, à comparer au précédent
# Raspberry Pi
pipx upgrade-all
sudo rpi-eeprom-update # état du chargeur de démarrage
apt list '~o' # paquets qu'aucun dépôt ne fournit plus
Comparer aussi les fichiers de SWAG à leurs modèles, mis à jour à chaque version de l'image :
cd <APPDATA>/swag/config/nginx
for f in *.sample; do diff -q "${f%.sample}" "$f" > /dev/null 2>&1 || echo "$f"; done
for f in *.sample; do diff -q "${f%.sample}" "$f" > /dev/null 2>&1 || echo "$f"; done
Voir SWAG.
Trois fois par an
- Essai de restauration : restaurer un instantané dans un dossier temporaire, et vérifier qu'un dump SQL s'ouvre. Une sauvegarde jamais restaurée n'est pas vérifiée. Voir Sauvegarde.
- Archive Portainer : Settings > General > Backup Portainer, à conserver hors du serveur. Voir Portainer.
- Export Meshtastic : meshtastic
host localhostexport-config, à ranger avec les secrets. Voir Meshtastic. - Versions des bases : vérifier qu'aucune image de base n'est sortie du support de son éditeur.
- Secrets : renouveler les clés et jetons exposés ou anciens (bouncer CrowdSec, Turnstile, jeton Telegram, JWT).
Après chaque opération sensible
| Opération | À vérifier ensuite |
|---|---|
| Changement de noyau du Pi | SSD monté, SPI et I2C présents, services actifs, écran OLED et LEDs, nombre d'overlays. Voir Noyau et dépôt Raspberry Pi |
| Recréation de SWAG | Nouvelle entrée de bouncer dans CrowdSec ; services publiés joignables |
| Modification du script de sauvegarde | sudo bash -n /root/backup-plakar.sh, puis contrôler les dates des dumps le lendemain |
| Mise à jour d'une image de base de données | Journaux du conteneur : erreurs de version ou de collation |
| Modification d'un proxy-conf | docker exec swag nginx -t puis nginx -s reload |
Points connus à surveiller
- Les bouncers CrowdSec s'accumulent à chaque recréation de SWAG.
- Une barre oblique inverse suivie d'un espace en fin de ligne casse silencieusement le script de sauvegarde.
- Le retrait d'un ancien noyau sur le Pi peut supprimer des overlays de la partition de démarrage.
- libpam-cracklib (Debian 11) n'est plus mis à jour ; remplaçant : libpam-pwquality.
- Les données de Portainer et les volumes Docker nommés ne sont pas dans la sauvegarde Plakar.