Nova infrastruktura

Jedna pogrešna dijagnoza, i zašto je zapisana oborena mjerenjem

Prva analiza je tvrdila da nexus pati jer dijeli stroj s osam servisa (Vaultwarden, Umami, n8n, Homer, Uptime Kuma, OliveTin). To je bilo izvedeno iz komentara u konfiguraciji, bez ijednog mjerenja, i netočno je: load 0,16, nula OOM zapisa u 129 dana, 1 581 MB slobodnog RAM-a. Susjedi nisu problem. Zapisano je da se ista greška ne ponovi — komentar u konfiguraciji nije dokaz.

Što joj nedostaje to je posao

• Backup i restore ne postoje. Jedino roles/grafana/{backup,restore}.yml. To je cijela druga polovica cilja.
• Alloy šalje samo logove. Metrike se i dalje povlače — bez toga nema „nula ulaznih portova".
• Nema blackbox_exporter role. Danas nitko ne mjeri ističe li TLS certifikat.
• Nema metrike o samom backupu — ni uspjeha, ni starosti zadnje kopije.

Jedna zamka u postojećem predlošku nađena 19. 9.

Alloyev unix exporter ima textfile collector uključen po zadanom — ali predložak kolekcije nabraja collectore izrijekom:

set_collectors = ["cpu", "diskstats", "filesystem", "loadavg",
                  "meminfo", "netdev", "stat", "time", "uname"]

Kad se popis navede, vrijedi samo on — pa je textfile danas isključen i svaka .prom datoteka nevidljiva. To je bitno jer je textfile način na koji se skripte javljaju nadzoru bez ijednog novog porta; tako radi čišćenje diska na runneru, i tako rade smartmon i lvm role. Treba dodati "textfile" u popis i blok textfile { directory = … }.

Prvi potrošač tog puta već postoji napisano 19. 9.

Čišćenje diska na CI runneru. Stroj je mjesecima stajao na 42 % s 8 GB smeća — deset slika i 32 cache volumena koje je držalo deset mrtvih runner tokena, dok je registriran bio jedan. Nitko to nije prijavio jer nitko nije gledao.

Sada systemd timer svakih 15 minuta provjeri disk, očisti iznad praga (80 %, varijabla u Ansibleu), preskoči ako posao radi, i svaki put ostavi metrike: postotak diska, oslobođeni bajtovi, vrijeme zadnjeg čišćenja i brojač preskočenih prolaza. Zadnji je najkorisniji — ako raste, čišćenje nikad ne dolazi na red.

Čišćenje je sigurno i dok posao radi: prune ne dira ništa u upotrebi. Provjera „nema jobova" nije zaštita od kvara nego od buke — da čišćenje ne produžuje tuđi prolaz. Slike su besplatne za brisanje jer je pull policy always, pa lokalne kopije ionako ništa ne ubrzavaju.

Zašto sve kroz 443 a ne kroz 3100 i 9091 jedan port, jedna prijava

• Jedno pravilo u firewallu umjesto pet, i ono se ne zaboravi otvoriti — što je danas uzrok 12 od 21 mrtvog cilja.
• TLS i prijava na jednom mjestu. Loki i Prometheus remote-write nemaju vlastitu autentikaciju vrijednu spomena; nginx je ima.
• Cloudflare ispred. Ono što ide na 443 već ima zaštitu koju smo platili nulom.
• Cijena: nginx mora biti ispravno konfiguriran, inače je jedna točka pada. Zato ide u istu kolekciju i ima test.

Pravilo koje ovaj nalaz traži jer se tiha šteta ne vidi

Starost najstarijeg i najnovijeg zapisa mora biti metrika s alarmom — za logove, metrike i kopije. Compactor je 12 465 puta uspješno obrisao ništa i nitko to nije vidio pet mjeseci. Retencija koja tiho ne radi izgleda identično kao retencija koja radi.

Zašto ne jedan repozitorij za sve tri razloga, svaki izmjeren

• Monorepo nije spriječio drift. Nexus vrti Loki 3.7.1 i Prometheus 3.11.2 dok repozitorij tvrdi 3.5.1 i 2.52.0. Jedan repozitorij ne znači jedno stanje.
• Domet greške. Dinamički hcloud inventar vidi svih sedam strojeva, uključujući production-master. Jedna tipfeler u --limit i posao za dev ode u produkciju. Odvojeni repozitoriji odvajaju i inventar i tokene.
• Različit ritam. flora-infra je u jednom danu narastao s 1 na 66 commita; rasadnik je stabilan mjesecima. Ti se ritmovi međusobno samo smetaju.

Zašto ne ni tri potpuno odvojena jedan razlog, dovoljan

Tri repozitorija bez knjižnice znače tri kopije setup.yml-a i secure.yml-a. Već ih imaš dvije, i već su se razišle — flora-infra ima vlastito učvršćivanje pisano od nule jer se devsec pokazao preširokim.

Redoslijed je bitan prvo knjižnica, pa rez

Izvuci kolekciju u vlastiti repozitorij prije nego podijeliš imanja. Obrnuto znači da duplikaciju prepišeš u tri smjera i tek je onda pokušaš skupiti — a skupljanje je uvijek skuplje od nekopiranja.

Kolekcija je 258 datoteka i 27 rola i već je napisana tako da ne zna ništa o rasadniku. Jedino što joj treba je vlastiti repozitorij i broj verzije, pa da je sva tri imanja troše kao ovisnost umjesto da je kopiraju.

I jedan dodatak popisu „servisi se ne sele" da se ne pročita kao propust

Sync zaliha ide na taj popis uz Vaultwarden, Umami, n8n, Homer i Uptime Kumu. sync-nexus i sync-probe.rasadnik-milic.hr nisu dio ovog posla. To je važno reći naglas jer je sync-probe.rasadnik-milic.hr isti stroj kao rasadnik-nexus — 23.88.40.182 — pa „selimo nadzor s tog stroja" i „ne diramo aplikaciju na njemu" moraju stajati jedno pokraj drugog. Prebacivanje na flora-nexus je moguće kasnije i nije prioritet.

Dvoje nije odluka nego ruka koja nije sesijina čeka vlasnika

Repozitorij je pushan 20. 9. na plant-garden/flora-nexus. Ono što i dalje nije sesijina ruka je apply — po dogovoru od 18. 9. stroj diže vlasnik. Do tada validate i fmt rade, a plan traži GITLAB_PROJECT_ID u .env: broj s pregledne stranice tog projekta.

Checkout stoji pokraj flora-basea, ne u njemu — i to se s korijenom grupe slaže samo od sebe. flora-base okuplja flora-platform, a ovaj repozitorij ondje nije, pa bi red u repos.json bio tvrdnja da jest. Treba li ga ./flora status ipak znati prikazati je vlasnikova odluka, ne sesijin git mv.

Što se ne radi u ovom poslu granica opsega

• Metrike se ne migriraju. Povijest ostaje na starom nexusu dok on živi.
• Servisi se ne sele — Vaultwarden, Umami, n8n, Homer i Uptime Kuma nisu dio ovog posla. Mjerenje je pokazalo da nisu uzrok ničemu.
• Ne mijenja se rasadnik-infrastructure osim ako kolekcija ne dobije ispravak — a onda ide u kolekciju, ne u playbookove.
• Ne gradi se vlastiti GUI.