pve-confsync/docs/proposition-replication-noeuds.md

Proposition : réplication de fichiers système nœud à nœud (SSH)

Statut : validée par Cédric le 2026-10-23 (liste v1, API dès que possible, identifiants SSH hérités du cluster avec surcharge par nœud), puis implémentée. Écart avec la proposition : /etc/network/interfaces passe par l'API PVE (/nodes/{node}/network) et non par fichier, et le DNS est ajouté par l'API (/nodes/{node}/dns). Le fonctionnement réel est décrit dans le README (« Réplication de nœuds »).

Deuxième mode de réplication, séparé de la réplication cluster à cluster (API) : un nœud maître et un ou plusieurs nœuds cibles (même cluster ou non), fichiers lus et écrits en SSH root. Même moteur : lecture, normalisation, diff, plan, apply, vérification.

Constat dans le code actuel : l'accès SSH est défini par cluster, sur un seul hôte (SSHHost, internal/config/config.go:33). Il faut le passer par nœud : nœuds découverts par l'API (GET /cluster/status, champ ip), identifiants root hérités du cluster et surchargeables par nœud, clé d'hôte épinglée par nœud (même TOFU que maintenant).

1. Fichiers candidats

Légende : 🟢 v1 recommandée, 🟡 v1 possible avec garde-fous, 🔴 exclu.

Fichier	Intérêt	Risques	Propre au nœud (mapper / exclure)	Rechargement
🟢 /etc/network/interfaces	bonds, VLAN, bridges, MTU identiques partout	perte d'accès au nœud ; noms de NIC différents d'un nœud à l'autre	address, gateway, hwaddress, IP de management, éventuellement noms de NIC (nic1 maître ↔ enp65s0f0 cible)	ifreload -a
🟢 /etc/network/interfaces.d/*	idem	interfaces.d/sdn est généré par le SDN PVE	exclure sdn d'office	ifreload -a
🟢 /etc/multipath.conf	defaults, blacklist, devices identiques sur tout le cluster	erreur de syntaxe = chemins perdus	rien en général	multipathd reconfigure
🟢 /etc/multipath/wwids	mêmes LUN vues par tous les nœuds	ajouter un WWID local (disque système) par erreur	mode additif seulement, jamais de suppression	multipathd reconfigure
🟡 /etc/multipath/bindings	alias mpathX identiques sur tous les nœuds (important si LVM partagé référence les noms)	renommer un alias en service	additif seulement, conflit d'alias = bloquant	multipathd reconfigure
🟢 /etc/chrony/chrony.conf (+ sources.d)	mêmes sources NTP	faible	rien	systemctl restart chrony
🟡 /etc/systemd/timesyncd.conf	si chrony absent	faible	rien	systemctl restart systemd-timesyncd
🟢 /etc/sysctl.d/*.conf	tuning réseau / mémoire homogène	réglage inadapté au matériel	rien ; ne jamais toucher les fichiers des paquets (/usr/lib/sysctl.d)	sysctl --system
🟡 /etc/modprobe.d/*.conf	options ZFS (zfs_arc_max), blacklist de modules	effet au reboot seulement ; ARC dépend de la RAM	zfs_arc_max à surcharger par nœud	update-initramfs -u, redémarrage requis (signalé, jamais fait)
🟡 /etc/apt/sources.list.d/*.sources	mêmes dépôts (enterprise / no-subscription / ceph)	dépôt enterprise sans abonnement sur la cible	rien	aucun (pas d'apt update automatique)
🟡 /etc/lvm/lvm.conf	global_filter pour iSCSI / multipath	filtre faux = volumes invisibles	rien en général	aucun ; vérification pvs avant / après
🟡 /etc/iscsi/iscsid.conf	timeouts, node.startup	contient les secrets CHAP	secrets chiffrés au repos, jamais affichés en clair dans le diff	systemctl restart iscsid (signalé)
🟡 /etc/vzdump.conf	défauts de sauvegarde par nœud	faible	tmpdir éventuellement	aucun
🟡 /etc/postfix/main.cf	relais SMTP des notifications	faible	myhostname	postfix reload
🔵 /etc/resolv.conf	DNS identiques	écrasé par DHCP / resolvconf	rien	aucun. Existe aussi en API (/nodes/{node}/dns), à préférer : à vérifier dans l'API viewer
🔵 /etc/hosts	résolution des nœuds entre eux	ligne du nœud lui-même ; corosync dépend du nom	ligne 127.0.1.1 et la ligne du nœud cible	aucun. Existe aussi en API (/nodes/{node}/hosts), à vérifier
🔴 /etc/pve/* (dont corosync.conf)	déjà partagé par pmxcfs dans un cluster	casser le cluster
🔴 /etc/corosync/*, /etc/hostname, /etc/machine-id, clés SSH d'hôte, /etc/iscsi/initiatorname.iscsi		identité unique du nœud
🔴 /etc/frr/*		géré par le SDN EVPN (hors périmètre)
🔴 /etc/kernel/cmdline, /etc/default/grub		démarrage du nœud		v2 éventuellement

🔵 = je propose de passer par l'API PVE plutôt que par le fichier (déjà le modèle du reste de l'outil).

Ma recommandation v1 : interfaces (+ interfaces.d hors sdn), multipath.conf, wwids, chrony.conf, sysctl.d. Le reste en v1.1 une fois le mécanisme éprouvé.

2. Modèle

Profil de réplication : un nœud maître, des nœuds cibles, une liste de fichiers, et par fichier des règles.

Règles par fichier, deux niveaux :

• Adaptateur structuré pour interfaces (stanzas iface) et multipath.conf (sections) : politique par champ comme pour l'API (sync / ignorer / surcharger par cible). Exemple : iface vmbr0 / address = surcharger, valeur par cible.
• Mode texte pour les autres : diff ligne à ligne, avec des lignes protégées (regex) conservées telles quelles sur la cible, et des variables ({{hostname}}, {{ip}}, valeurs saisies par cible).
• Mapping de noms de NIC par cible (eno1 → enp1s0f0), appliqué avant le diff.

Déroulé :

1. Lecture : cat + sha256sum + propriétaire et droits, sur le maître et chaque cible.
2. Diff : diff unifié par fichier et par cible, après application des règles. Statut : à jour / écarts / bloquant (ex. NIC du maître absente sur la cible, alias multipath en conflit).
3. Dry-run (par défaut) : rien n'est écrit, on affiche le fichier final exact et la commande de rechargement.
4. Apply, après confirmation explicite (comme le SDN), un nœud à la fois, arrêt au premier échec :
   • le hash de la cible doit être celui lu au plan (sinon : modifié entre-temps, on refuse) ;
   • sauvegarde sur le nœud (/var/lib/pve-confsync/backup/<chemin>.<horodatage>) et en base (SQLite, historique) ;
   • validation avant écriture quand l'outil existe : multipath -t sur un fichier temporaire, contrôle de syntaxe ifupdown2 (ifup --no-act, option exacte à vérifier) ;
   • écriture atomique (fichier temporaire + mv), propriétaire et droits conservés ;
   • rechargement (colonne de droite du tableau), seulement si coché ;
   • vérification : relecture du hash, et pour le réseau, reconnexion SSH.
5. Filet de sécurité réseau : avant ifreload -a, on programme sur le nœud une restauration automatique (systemd-run --on-active=120s qui remet la sauvegarde et relance ifreload -a). Si l'outil se reconnecte en SSH dans le délai, il annule la restauration. Sinon le nœud revient seul à l'ancienne config.
6. Suppression : jamais par défaut. Un fichier absent du maître n'est pas supprimé sur la cible sauf option explicite (cohérent avec le mode additif du reste).

Journal et audit : chaque exécution (profil, nœud, fichier, hash avant / après, sauvegarde, sortie du rechargement) dans le journal existant, avec un type « Nœuds ».

Droits : opérateur = dry-run, admin = apply (le SSH root est le droit le plus fort de l'outil).

3. Maquette de l'interface

Un sélecteur en tête sépare les deux modes. Chaque mode garde les onglets Écarts / Profils (ou Clusters) / Journal.

┌──────────────────────────────────────────────────────────────────────┐
│ pve-confsync     [ Clusters (API) | Nœuds (fichiers) ]        👤  ⏻ │
├──────────────────────────────────────────────────────────────────────┤
│ [Écarts] [Profils] [Journal]   Profil: [Réseau stockage ▾]  2 écarts │
│                                          [Dry-run global] [Appliquer]│
├────────────────────────────┬─────────────────────────────────────────┤
│ MAÎTRE  pve1 (lab-a)       │ pve2 · /etc/network/interfaces  ÉCARTS  │
│                            │                                         │
│ CIBLES                     │  auto bond0                             │
│ ┌────────────────────────┐ │  iface bond0 inet manual                │
│ │ pve2 (lab-a)   ÉCARTS  │ │ -    bond-mode active-backup            │
│ │  interfaces       ✎ 3  │ │ +    bond-mode 802.3ad                  │
│ │  multipath.conf   ✓    │ │ +    bond-xmit-hash-policy layer3+4     │
│ │  chrony.conf      ✓    │ │  iface vmbr0 inet static                │
│ └────────────────────────┘ │      address 10.0.0.12/24  🔒 surchargé │
│ ┌────────────────────────┐ │      bridge-ports bond0                 │
│ │ pve3 (lab-a)  À JOUR   │ │                                         │
│ └────────────────────────┘ │  Après écriture : ifreload -a  ☑        │
│ ┌────────────────────────┐ │  Restauration auto si perte SSH : 120 s │
│ │ pve7 (lab-b) BLOQUANT  │ │                                         │
│ │  interfaces  NIC eno2  │ │  [Dry-run]  [Appliquer sur pve2]        │
│ │  absente, à mapper     │ │                                         │
│ └────────────────────────┘ │                                         │
└────────────────────────────┴─────────────────────────────────────────┘

Onglet Profils : maître, cibles (nœuds découverts par cluster, cases à cocher), fichiers (cases parmi la liste du §1), règles par fichier (champs à surcharger, lignes protégées, mapping de NIC par cible).

Fenêtre de confirmation d'apply : liste des nœuds dans l'ordre, fichiers, commandes de rechargement, avertissements (« redémarrage requis », « accès réseau »), saisie du nom du nœud pour confirmer quand interfaces est concerné.

Questions ouvertes

1. Liste v1 : celle recommandée ci-dessus, ou plus large ?
2. resolv.conf et hosts par l'API plutôt que par fichier : d'accord ?
3. Identifiants SSH : hérités du cluster avec surcharge par nœud, d'accord ?