Ce que vous voyez
Les échanges légitimes peuvent être bloqués; il ne faut jamais ouvrir toutes les voies réseau comme solution de repli.
État d’avancement:Essai localfiche de référencemise en service interdite pour l’instantÉtat réel:Code + lab localpage d’autorité composantpromotion NO-GO
Choisissez votre lectureCommencez par la vue sans jargon si vous découvrez le sujet.
À qui s’adresse chaque lecture?
Je veux comprendre: direction, équipes métier, communication, achats et première visite. Exploitation: opérateur, support et astreinte. Vue architecte: architecte, ingénieur et sécurité. Tout afficher: revue complète de la fiche.
« Je veux comprendre » affiché. Ce choix sera repris sur les autres fiches. La décision de mise en service et les risques restent toujours visibles.
Comprendre cette fonction en 60 secondes
Le résumé donne le rôle, le trajet, le risque, le responsable et la limite de preuve en moins d’une minute. Les dépendances et exemples restent disponibles juste après, sans jargon imposé.
Résumé essentiel
Ce que c’est et à quoi cela sert
Limiter chaque réseau à son rôle.
Autoriser un échange uniquement sur la voie réseau prévue, même si son identité semble valide.
Une comparaison utile
Comme l’accueil d’un bâtiment: chaque arrivée suit la bonne entrée.
Ce qui entre
Un échange téléphonique, audio ou d’administration arrive sur une machine.
Qui en bénéficie et quel résultat attendre
Il passe seulement s’il utilise le réseau et le point d’entrée prévus pour son rôle.
La personne qui appelle et l’équipe téléphonique.
État actuel
Essai local. Une preuve locale existe. Aucun déploiement ni usage réel n’est prouvé. Mise en service interdite pour l’instant.
Risque principal
Les échanges légitimes peuvent être bloqués; il ne faut jamais ouvrir toutes les voies réseau comme solution de repli.
Responsable
Responsable du filtrage réseau des cellules. Autorité de décision: Architecte sécurité réseau.
Décision suivante
Autoriser une cellule seulement si chaque réseau peut joindre uniquement les services prévus pour son rôle.
Voir les dépendances, preuves et solutions de secours
Ce qui entre, en langage courant
Un échange téléphonique, audio ou d’administration arrive sur une machine.
Ce dont il dépend
Du fournisseur téléphonique, du réseau et des autres fonctions de la cellule qui traite l’appel.
Comment le service continue
Les nouveaux appels cessent d’entrer dans la partie touchée. Le repli contractuel peut utiliser l’autre cellule, mais aucun appel actif n’est déplacé.
En cas de panne et pour vos données
Si une règle de filtrage est incertaine, la machine refuse tout par prudence au lieu d’ouvrir: des échanges légitimes peuvent être bloqués jusqu’à correction. Il ne faut jamais tout ouvrir pour dépanner. Aucune information d’appel n’est stockée ici: cette fonction ne fait que filtrer les entrées.
Preuve attendue avant la prochaine étape
Matrice des flux, tests autorisés et refusés sur les trois réseaux, redémarrage et preuve qu’aucune règle large n’est utilisée.
Statut expliqué
Des essais limités sur une machine ont réussi. Ils ne prouvent pas que le service fonctionne dans un hébergement réel, sur le réseau téléphonique public ou en production. Il reste à le déployer, à tester de vraies pannes, à mesurer sa fiabilité et à vérifier les services externes.
Exemple concret
Un échange téléphonique, audio ou d’administration arrive sur une machine. Il passe seulement s’il utilise le réseau et le point d’entrée prévus pour son rôle.
Voir l’exemple technique précis
SIP/RTP public, WSS edge et SSH/NTP management sont autorisés uniquement sur leur NIC attendue.
Voir les questions et réponses selon votre rôle
Les six lectures ci-dessous reprennent les mêmes faits. Elles ne créent pas une seconde source de vérité.
- Direction
- Question: Peut-on compter sur cette fonction aujourd’hui?
Réponse: Des essais limités sur une machine ont réussi. Ils ne prouvent pas que le service fonctionne dans un hébergement réel, sur le réseau téléphonique public ou en production. Autoriser une cellule seulement si chaque réseau peut joindre uniquement les services prévus pour son rôle. - Métier
- Question: Quel service rend-elle concrètement?
Réponse: Autoriser un échange uniquement sur la voie réseau prévue, même si son identité semble valide. Il passe seulement s’il utilise le réseau et le point d’entrée prévus pour son rôle. - Achats et conformité
- Question: De quoi dépend l’engagement et qu’est-ce qui manque?
Réponse: Du fournisseur téléphonique, du réseau et des autres fonctions de la cellule qui traite l’appel. Il reste à le déployer, à tester de vraies pannes, à mesurer sa fiabilité et à vérifier les services externes. Preuve attendue: Matrice des flux, tests autorisés et refusés sur les trois réseaux, redémarrage et preuve qu’aucune règle large n’est utilisée. - Communication
- Question: Que peut-on annoncer sans faire de fausse promesse?
Réponse: Vous pouvez expliquer l’objectif suivant: Autoriser un échange uniquement sur la voie réseau prévue, même si son identité semble valide. Ne présentez pas cette fonction comme disponible en production: Des essais limités sur une machine ont réussi. Ils ne prouvent pas que le service fonctionne dans un hébergement réel, sur le réseau téléphonique public ou en production. - Exploitation
- Question: Qui agit et quel est le premier geste sans risque?
Réponse: Responsable du filtrage réseau des cellules. Autorité de décision: Architecte sécurité réseau. Fermer l’entrée des nouveaux appels vers la partie touchée et ne jamais tenter de déplacer un appel déjà actif. - Technique
- Question: Où sont les contrats exacts?
Réponse: Utilisez la « Vue architecte ». Elle montre les entrées, les sorties, les interfaces, les données, la sécurité et les preuves provenant de la fiche d’autorité.
Trajet simple, de la situation au résultat
Le trajet montre ce qui déclenche cette fonction, le service qu’elle rend et le résultat obtenu. Il reste lisible sans fonction interactive.
Suivre le flux
Partie documentée: Limiter chaque réseau à son rôle.
Un échange téléphonique, audio ou d’administration arrive sur une machine.
Autoriser un échange uniquement sur la voie réseau prévue, même si son identité semble valide.
Il passe seulement s’il utilise le réseau et le point d’entrée prévus pour son rôle.
Comment lire ce trajet: avancez avec les flèches du clavier ou parcourez les étapes dans l’ordre. Les contrats exacts restent dans la « Vue architecte ».
Étape 1 sur 3: Un échange téléphonique, audio ou d’administration arrive sur une machine.
Impact utile: Il passe seulement s’il utilise le réseau et le point d’entrée prévus pour son rôle.
En cas de panne: Les échanges légitimes peuvent être bloqués; il ne faut jamais ouvrir toutes les voies réseau comme solution de repli.
Responsable: Responsable du filtrage réseau des cellules. Autorité de décision: Architecte sécurité réseau.
Premiers gestes en cas de problème
Reconnaître ce qui se passe, protéger le service et prévenir le bon responsable sans improviser.
Première action sans risque
Fermer l’entrée des nouveaux appels vers la partie touchée et ne jamais tenter de déplacer un appel déjà actif.
Solution de secours
Les nouveaux appels cessent d’entrer dans la partie touchée. Le repli contractuel peut utiliser l’autre cellule, mais aucun appel actif n’est déplacé.
Qui prévenir et où lire les preuves
Responsable du filtrage réseau des cellules. Autorité de décision: Architecte sécurité réseau. La procédure de production reste à créer et valider avant la mise en service. Ouvrir la fiche d’architecture et de preuve du domaine.
Besoin d’un terme technique? Ouvrir les définitions
- NIC
- interface réseau
- nftables
- pare-feu Linux
- Fail-closed
- refus par défaut en cas d’ambiguïté
Décision actuelle: mise en service interdite pour l’instant. Des essais limités sur une machine ont réussi. Ils ne prouvent pas que le service fonctionne dans un hébergement réel, sur le réseau téléphonique public ou en production. Ce qui reste à faire: Il reste à le déployer, à tester de vraies pannes, à mesurer sa fiabilité et à vérifier les services externes.Décision actuelle: promotion NO-GO, pas de mise en production. Une preuve locale bornée existe. Elle ne vaut ni déploiement cloud, ni preuve carrier/PSTN, ni qualification de production. Blockers: Déploiement, exercice de panne réel, SLO et interopérabilité externe restent des gates.
Opérer le composant
Responsabilité, séquence nominale, panne et niveau de service attendu.
| Owner et rôle | Séquence nominale | Mode dégradé | Observabilité et SLO |
|---|---|---|---|
| nftables fail-closed sur public, edge et management. Owner sécurité plateforme. Non-rôle: Ne remplace pas mTLS, l’admission applicative ou les contrôles du carrier. | SIP/RTP public, WSS edge et SSH/NTP management sont autorisés uniquement sur leur NIC attendue. | Une ambiguïté NIC garde le runtime arrêté; politique locale sans dépendance centrale. | Le niveau de preuve est Code + lab local. Aucun SLO de production n’est acquis; l’owner doit mesurer disponibilité, erreurs, saturation et reprise avant promotion. |
Panne, reprise et surveillance
Modes de panne connus, comportement de reprise et signaux à mesurer avant toute mise en service.
| Modes de panne | Reprise après incident | Signaux à mesurer |
|---|---|---|
| La politique est locale et sans dépendance centrale: un redémarrage avec la policy canonique correcte rétablit le filtrage, après correction humaine des règles. L’identité lie policy, modes, fichier rendu et règles actives. Le health-lab a détecté quatre dérives et une mauvaise interface est refusée; aucune preuve locale de reprise sur hôte déployé n’existe. | Niveau Code + lab local: edge.py:render_nft et health.py prouvent le refus sur mauvaise interface et la détection de quatre dérives. Aucun SLO n’est acquis. Matrice des flux, tests autorisés et refusés sur les trois réseaux, redémarrage et absence de règle large restent à mesurer avant promotion. |
Déplier ou replier les détails d’architecture
Contrat d’architecture
Entrées, sorties, protocoles, données, dépendances et configuration.
| Amont et entrées | Aval et sorties | Interfaces et trust boundary | État, données et déploiement |
|---|---|---|---|
| Policy canonique, identités d’interface et configuration d’image. | Kamailio, Asterisk, management et preuves health locales. | 5061/RTP public, 8089 edge, 22/123 management; input/output/forward drop. | Identité lie policy canonique, modes, fichier rendu et règles actives. Déploiement: Lab local uniquement; aucun runtime cloud ou carrier déployé n’est attesté. |
Frontière de confiance: Frontière hôte fail-closed sur trois NIC: 5061/RTP public, 8089 edge et 22/123 management, avec input, output et forward en drop par défaut. Chaque autorisation lie interface, CIDR, protocole et port; une identité valide arrivée par la mauvaise interface est refusée. Politique locale sans dépendance centrale.
Déplier ou replier les détails de sécurité et de preuve
Sécurité, preuve et décision
Le statut de preuve reste visible quel que soit le profil choisi.
| Sécurité et identité | Preuve et sources | Blockers | Définitions |
|---|---|---|---|
| 5061/RTP public, 8089 edge, 22/123 management; input/output/forward drop. | Niveau de preuve: Une preuve locale bornée existe. Elle ne vaut ni déploiement cloud, ni preuve carrier/PSTN, ni qualification de production. Mauvaise interface refusée; quatre dérives health-lab détectées. Source: edge.py:render_nft, health.py.Vue d’autorité du domaine · Entrée du catalogue | NO-GO: Déploiement, exercice de panne réel, SLO et interopérabilité externe restent des gates. | Consulter les définitions de cette fiche |
| Données et souveraineté UE | Le pare-feu ne traite ni ne stocke de données d’appel: il filtre des flux réseau sur l’hôte, selon une policy canonique locale. Aucune sortie vers un tiers n’existe sur cette fonction. La conformité de la matrice des flux et la résidence des journaux de filtrage ne sont pas prouvées hors lab local. | ||