Réplication de nœuds : réseau et DNS par l'API, multipath, chrony, sysctl par SSH

Deuxième mode de réplication, séparé de la réplication cluster vers cluster
(sélecteur « Clusters (API) | Nœuds (fichiers) » en haut de page) : un profil
réplique la configuration système d'un nœud maître vers des nœuds cibles.

- réseau par /nodes/{node}/network (interfaces.new puis rechargement), adresses
  et passerelles propres à chaque nœud, mapping des noms d'interfaces par cible ;
  DNS par /nodes/{node}/dns ; multipath.conf, wwids (ajout seul), chrony,
  sysctl.d, interfaces.d (hors sdn) par SSH
- découverte des nœuds (/cluster/status), accès SSH par nœud (mot de passe du
  cluster ou propre), clé d'hôte épinglée, contrôle du nom du nœud
- dry-run avec diff des fichiers ; apply (admin) avec contrôle SHA-256,
  sauvegarde et restore.sh sur le nœud, écriture atomique, rechargements,
  restauration si un rechargement échoue, timer systemd de restauration si le
  nœud est injoignable après le rechargement du réseau, confirmation tapée
- vue Nœuds et profils, journal séparé par mode, démo avec nœuds simulés

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

docs/api-pve.md

@@ -104,6 +104,37 @@ Champs (schémas : [VlanPlugin.pm](https://github.com/proxmox/pve-network/blob/c
 **À valider sur un vrai cluster** : script d'écriture du shadow, forme réelle de
 `/access/users?full=1`, mise à jour d'un utilisateur avec champs vidés.
 
+## Réplication de nœuds (vérifié le 2026-10-23, pve-manager f643ce4b, pve-common master)
+
+| Méthode | Chemin | Usage |
+|---|---|---|
+| GET | `/nodes/{node}/network` ([Network.pm](https://github.com/proxmox/pve-manager/blob/f643ce4bceb99e8b23094cd04075405281eb3f27/PVE/API2/Network.pm)) | interfaces, lues dans `interfaces.new` s'il existe ; `lo` retiré |
+| POST | `/nodes/{node}/network` | création (`iface`, `type` + champs) dans `interfaces.new` |
+| PUT | `/nodes/{node}/network/{iface}` | mise à jour (`type` obligatoire, `delete=`) |
+| DELETE | `/nodes/{node}/network/{iface}` | suppression (prune) |
+| PUT | `/nodes/{node}/network` | renomme `interfaces.new` puis `ifreload -a` dans une tâche (UPID) |
+| DELETE | `/nodes/{node}/network` | annule les changements en attente (supprime `interfaces.new`) |
+| GET / PUT | `/nodes/{node}/dns` ([Nodes.pm](https://github.com/proxmox/pve-manager/blob/f643ce4bceb99e8b23094cd04075405281eb3f27/PVE/API2/Nodes.pm)) | `search` (obligatoire au PUT), `dns1` à `dns3` ; le PUT réécrit tous les serveurs |
+
+Points d'attention :
+
+- champs écrits (`$confdesc`) : `type`, `comments`, `comments6`, `autostart`, `bridge_vlan_aware`,
+  `bridge_vids`, `bridge_ports`, `ovs_*`, `slaves`, `bond_mode`, `bond-primary`,
+  `bond_xmit_hash_policy`, `vlan-raw-device`, `vlan-id`, `gateway`, `gateway6`, `cidr`, `cidr6`, `mtu`.
+  Le GET renvoie aussi `address`/`netmask` (forme canonique : `cidr`), `bridge_stp`,
+  `bridge_fd`, `bond_miimon` (écrits par défaut par PVE), `options` (lignes inconnues de
+  l'API, jamais écrites), `active`, `exists`, `families`, `method`, `priority` : non répliqués.
+- le PUT d'une interface recalcule `method` et `families` à partir des paramètres reçus :
+  sans `address`/`cidr`, une interface statique devient `manual`. pve-confsync envoie donc
+  toute la configuration de l'interface à chaque mise à jour.
+- `interfaces.d/*` n'est pas lu par l'API ([Interfaces.pm](https://github.com/proxmox/pve-common/blob/master/src/PVE/Network/Interfaces.pm)) : répliqué en fichier par SSH.
+
+Scripts SSH (première ligne `# confsync:<étape>`) : lecture (`stat`, `base64 -w0`),
+préparation (contrôle SHA-256, `cp -p` vers la sauvegarde, `restore.sh`, écriture par
+`mktemp` + `mv`), restauration, `systemd-run --on-active=120s` / `systemctl stop <unité>.timer`,
+rechargements. Le script de préparation est testé tel quel avec le shell local
+(`internal/nodesync/script_test.go`) ; **le reste est à valider sur les clusters de labo.**
+
 ## Droits
 
 Accès en `root@pam` (API + SSH, même mot de passe), sans TFA. La référence (primaire)