Domene, servisi i nadzor

1 · Dead man's switch prijedlog prvo od svega

Jednostavno rečeno: Alertmanager šalje jedan alarm koji uvijek gori — recimo svakih pet minuta pingne vanjsku adresu. Vanjski servis ne gleda taj alarm; gleda je li stigao. Kad prestane stizati, on diže uzbunu.

Zvuči naopako i nije: svi ostali alarmi javljaju da je nešto palo. Ovaj jedini javlja da je pao onaj koji javlja. Bez njega flora-nexus ima točno istu sljepoću kao stari — ako cijeli nadzor umre, alarmi o svemu drugom su uredno tihi i sve izgleda mirno.

healthchecks.io, besplatni plan. Jedan URL, jedan cron, ništa za održavati.

2 · Vanjska proba nad Uptime Kumom prijedlog opseg sužen, 20. 9.

Jedan vanjski čuvar nad Uptime Kumom, i to je sve. Ako je Kuma dostupna, njoj je ostalo dostupno — pa nema potrebe za vanjskom probom po stranici.

Vlasnikova odluka, 20. 9. Postavljeno je pitanje može li Kuma biti živa dok su joj provjere pauzirane, i odgovor je: to je ljudska greška, velika i izravna, a ne kvar. Nadzor se gradi protiv kvarova; protiv nekoga tko svjesno ugasi provjere ne brani ga nijedna metrika, i ne isplati se plaćati složenošću za taj slučaj.

Dakle: vanjski servis gleda odgovara li Kuma. Jedan monitor, besplatna razina, ništa za održavati. Danas je ne gleda ništa.

3 · Metrika „deklarirano naspram pokrenutog" prijedlog

Kako se to prati, konkretno:

1. Skripta na stroju pročita stvarnu verziju:     loki --version
2. Upiše je u .prom datoteku, kao metriku:
     grafana_obs_version_info{component="loki",installed="3.7.1",declared="3.5.1"} 1
3. Alloyev textfile collector tu datoteku pokupi — bez ijednog novog porta
4. Prometheus pravilo:  installed != declared  →  alarm

Deklarirana verzija dolazi iz iste Ansible varijable kojom se instalira, pa ne postoji treće mjesto koje bi se razišlo.

Jedna prepreka, već poznata: Alloyev unix exporter ima textfile uključen po zadanom, ali predložak kolekcije nabraja collectore izrijekom — pa je isključen i svaka .prom datoteka nevidljiva. Treba dodati "textfile" u set_collectors i blok textfile { directory = … }. Isto blokira smartmon i lvm role.

Isti put rješava i „da znam kad ima update", i rješava ga na pravom mjestu. Ista skripta zapiše i najnoviji GitHub release, pa se dobije installed / declared / latest — tri broja po komponenti, u Prometheusu.

3b · Update se gleda, ne javlja vlasnikova odluka, 20. 9.

Problem s onim što danas postoji nije da ne radi — nego da se ne vidi. update_checker.sh šalje popis nadogradnji u Telegram, gdje se utopi među fail2ban obavijestima i svime ostalim. Poruka koja stigne svaki dan i traži ništa je poruka koju nitko ne čita.

Zato ista brojka ide u Grafanu umjesto u chat — istim putem kao točka 3, bez ijednog novog porta:

update_checker.sh  →  .prom datoteka  →  Alloy textfile  →  Prometheus  →  Grafana

  pending_updates{host="rasadnik-nexus",kind="apt"}     7
  pending_updates{host="rasadnik-nexus",kind="docker"}  2
  version_info{component="loki",installed="3.7.1",declared="3.5.1",latest="3.8.0"} 1

Razlika je u tome tko koga zove. Telegram gura poruku na vas svaki dan. Ploča u Grafani stoji i čeka da je pogledate, a alarm se digne samo kad prijeđe prag koji vi postavite — na primjer „sigurnosna nadogradnja starija od 7 dana" ili „installed ≠ declared". Chat tada dobiva samo ono što stvarno traži potez.

Telegram ostaje kanal za alarme. Prestaje biti kanal za izvještaje.

4 · tofu plan po rasporedu prijedlog

Kako se to prikazuje — dva stupnja, i prvi je dovoljan:

Jednostavno:  zakazani CI job vrti  tofu plan -detailed-exitcode
                 izlaz 0 = nema razlike · 2 = drift · 1 = greška
                 job padne → GitLab javi

Ako se želi na grafu:
                 isti job upiše metriku u .prom (isti put kao točka 3)
                 tofu_drift{stack="nexus"} 1
                 Grafana panel: tri stacka, tri kvadratića, zeleno ili crveno

Tri stacka su dev, utils i nexus, sa stanjem u GitLabu. Danas vam ništa ne kaže je li netko nešto promijenio kroz Hetznerovu konzolu.

Ovo je i jedini način da se drift uhvati prije nego ga uhvati sljedeći apply — a sljedeći apply ga hvata tako što ga pregazi.

5 · Cloudflare obavijesti odbijeno

Vlasnikova odluka, 20. 9.: ne koristi se. Zapisano zbog posljedice — istek certifikata i nedostupnost ishodišta u cijelosti padaju na blackbox rolu (faza 3, ne postoji) i na vanjsku probu iz točke 2.

Do tada te dvije stvari ne mjeri ništa, i to je stanje a ne plan.

6 · Što je Renovate prijedlog

Bot koji čita vaše repozitorije, gleda ima li novija verzija svega što u njima stoji pribijeno, i sam otvara merge request s tom izmjenom. Ne ažurira ništa — otvara MR, pipeline se vrti nad njim, vi odlučujete.

Konkretno u ovom imanju:

Razlika prema onome što već imate: update_checker.sh javi da ima novije. Renovate otvori izmjenu koja to podiže, i pusti gate preko nje — pa se vidi hoće li puknuti prije nego što se odluči.

Self-hosted, na vašem runneru, besplatno. Nije hitno; postaje vrijedan kad broj pribijenih verzija naraste preko onoga što se pamti.

7 · Bolji nadzor n8n-a i ostalih servisa faza 3

Svi su na rasadnik-nexusu i dolaze na red kad Alloy stigne na taj stroj — kao nadzirani klijent, ne kao ugašeni prethodnik.

Zadnji red je iskren, ne mlak. Nudi li n8n vlastite Prometheus metrike i pod kojim prekidačem, ima li Vaultwarden health endpoint — to se provjerava na živom servisu, a ne prepisuje iz dokumentacije. Ova stranica ne tvrdi ništa što nije izmjereno, pa ni ovdje.