adam/Paillasse
1
0
Fork 0
Code Issues Pull requests Projects Releases Packages Wiki Activity Actions

ajoute le réseau pour OpenStack : dummy0, paire veth, NAT restreint au réseau externe

Browse source 
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
This commit is contained in:
Adam Belkacemi 2026-10-07 11:40:34 +02:00
parent e879a214a9
commit 87c8aac5f5
14 changed files with 247 additions and 0 deletions
Download patch file Download diff file Expand all files Collapse all files

13
ansible/roles/durcissement/templates/nftables.conf.j2
View file

@ -21,9 +21,22 @@ table inet filter {
chain forward {
type filter hook forward priority 0; policy drop;
{% if reseau_veth_gw_subnet is defined %}
# Un seul sens autorisé : réseau externe OpenStack -> Internet (NAT),
# plus les réponses à ce trafic. Rien n'entre depuis Internet vers les
# réseaux internes ; tout le reste est refusé par la politique drop.
iifname "{{ reseau_veth_gw }}" oifname "{{ reseau_interface_publique }}" ip saddr {{ reseau_veth_gw_subnet }} accept
iifname "{{ reseau_interface_publique }}" oifname "{{ reseau_veth_gw }}" ct state established,related accept
{% endif %}
}
chain output {
type filter hook output priority 0; policy accept;
}
}
# Autres règles (NAT, etc.), déposées par d'autres rôles. Un glob sans fichier
# correspondant n'est pas une erreur pour nft : cette ligne ne casse rien tant
# que /etc/nftables.d/ est vide.
include "/etc/nftables.d/*.conf"