Cosa gira e perché¶
Traduzione automatica dell'originale francese.
Il parco comprende sei host Docker, circa trecento container, un hypervisor e un team di agenti IA (dati del 2026-10-06). Elencare i container non direbbe molto; questa pagina procede diversamente e analizza il parco per capacità. Per ciascuna, fornisce ciò che è in uso e ciò che ha portato alla creazione. Quasi sempre, si tratta di un problema o di una mancanza che è stata identificata, raramente di un desiderio di utilizzare uno strumento.
Cosa rivela questa pagina
Indica gli strumenti, ma non fornisce versioni, indirizzi, porte o regole di rilevamento, né segnala eventuali anomalie ancora aperte. Una architettura viene descritta; un elenco delle versioni disponibili è un elenco di CVE da provare. I dettagli si trovano nel vault privato.
Una panoramica¶
| Capacità | Cosa la supporta | Per approfondire |
|---|---|---|
| Rilevamento e risposta | SIEM, rilevamento comportamentale, inventario, indagine remota, blocco HTTP | Rilevamento · Risposta |
| Segreti | Due contenitori: macchine e persone | Leggi un segreto |
| Backup | Un repository crittografato per host, copia fuori sede | Continuità |
| Supervisione e avvisi | Metriche, sondaggi end-to-end, salute dei dischi, un punto di accesso per le notifiche | Configura una notifica |
| Identità e accesso | SSO, rete mesh auto-ospitata | Sicurezza |
| Esposizione web | Proxy inverso a due livelli, un record DNS per nome | Configura il proxy inverso |
| Ticket | Ciclo di rilevamento → ticket → correzione → prova | — |
| Agenti IA | Un team di agenti in un ambiente sandbox | Agenti |
| Modelli linguistici | Inferenza locale su GPU, gateway unico | Agenti |
| Automazione | Workflow | — |
| Codice | Ambiente auto-ospitato, mirror di condivisione | Integrazione continua |
| Host | Hypervisor, aggiornamenti notturni autonomi | Host del parco |
| Conoscenza | Un vault di origine, un wiki interno, questo sito | Dove scrivere cosa |
Rilevamento e risposta¶
Wazuh svolge il ruolo di SIEM: integrità dei file, vulnerabilità note, correlazione con MITRE ATT&CK. Falco monitora il comportamento dei processi a livello di kernel, e osquery mantiene l'inventario degli host, che viene poi inviato a Wazuh. Velociraptor serve a porre una domanda a tutto il parco durante un incidente. CrowdSec blocca a livello HTTP.
Perché. Wazuh risponde, nel giugno 2026, alla necessità di effettuare audit anche sui singoli host, anziché solo sui servizi. Velociraptor è nato da un guasto del sistema di file, il 24 agosto 2026: ha richiesto nove ore perché fosse necessario interrogare ogni macchina individualmente. CrowdSec, invece, parte da un'osservazione semplice: decine di nomi pubblici, e nessun sistema di prevenzione degli attacchi che li proteggesse.
Falco, invece, segue una regola specifica per il parco: ogni nuovo host inizia solo con la raccolta dati, per un periodo di 24 ore, al fine di misurare il suo livello di attività. Successivamente, vengono definite le eccezioni, una per volta, e solo allora viene attivata la notifica. Un'allerta che non viene letta finisce per essere ignorata.
Segreti¶
I segreti per le macchine (chiavi API, password dei servizi, token) sono in OpenBao, su una macchina dedicata. Vengono memorizzati come file crittografati SOPS all'interno dei container. I segreti per gli esseri umani (account web, codici di emergenza) sono in Vaultwarden.
Perché. La separazione risale al 27 settembre 2026. Un segreto letto da una macchina e un segreto digitato da una persona hanno cicli di vita, ritmi di rotazione e lettori diversi. Inoltre, il "cofano" per le macchine è mantenuto fuori dal processo di avvio: ogni host conserva la propria copia crittografata, in modo che un "cofano" spento non impedisca al parco di riavviarsi.
Backup¶
restic, gestito da Backrest, effettua il backup di sei host, ognuno in un proprio repository crittografato, verso il NAS. Una copia viene conservata fuori sede, al di fuori dei host da proteggere. Il NAS crea anche i propri snapshot di volume.
Perché. Il sistema di backup per host, basato sul runbook, è rimasto nello stato "pianificato" per diverse settimane, mentre i dati si accumulavano. I livelli di backup e il ripristino sono descritti in Continuità.
Supervisione e notifiche¶
Prometheus raccoglie le metriche degli host e gestisce le regole di allerta. Gatus esegue il sondaggio completo dei servizi e fornisce una pagina di stato pubblica. Scrutiny monitora la salute SMART dei dischi fisici. Una tabella mattutina riassume lo stato degli host e gli ultimi incidenti. alerts-hub è il punto di accesso unico per le notifiche: una singola chiamata e il messaggio viene inviato al canale di posta appropriato.
Perché. Il 2026-08-14, il parco non presentava nessuna regola di allerta. La mattina seguente, sono stati rilevati 41 arresti a causa della mancanza di memoria, come indicato in uno screenshot. Per quanto riguarda i sondaggi pubblici, la decisione del 2026-09-16 è di misurare l'intera catena (DNS, proxy, applicazione), poiché un servizio può essere funzionante dietro un percorso interrotto.
Identità e accesso¶
Authentik fornisce l'SSO (Single Sign-On). Per ogni nuovo servizio, la regola è OIDC (OpenID Connect) per prima. Il forward auth (un meccanismo di autenticazione davanti all'applicazione) è una soluzione di riserva, e non vengono mai utilizzati contemporaneamente. La rete privata tra gli host utilizza un tailnet gestita da Headscale, auto-ospitata.
Perché. Il forward auth non trasmette alcuna identità all'applicazione: non ci sono account, ruoli o una vera disconnessione. Combinato con OIDC, intercetta la risposta di connessione e crea un loop. Headscale ha sostituito il servizio ospitato il 2026-08-19: chiavi di nodo che non scadono automaticamente, liste di accesso versionate e OIDC senza costi di abbonamento.
Esposizione web¶
Una richiesta proveniente da Internet attraversa due livelli di Caddy. Il primo gestisce il frontend, mentre il secondo fornisce i servizi interni. I certificati vengono emessi tramite sfida DNS. Ogni nome pubblico ha il proprio record DNS: non ci sono wildcard nella zona.
Perché. La regola del 10 settembre 2026 è semplice: un nome viene esposto solo se qualcuno lo ha deciso, per quel nome specifico. Un wildcard espone per impostazione predefinita tutto ciò che viene dimenticato. Il dettaglio è in Proxy inverso.
Ticket¶
Ciò che viene rilevato automaticamente apre e chiude il proprio ticket, tramite calcolo, con un'isteresi per evitare di essere sovrapposti dai sondaggi. Ciò che viene trovato durante una sessione di lavoro apre un ticket manualmente, e questo ticket viene chiuso solo con una risoluzione scritta: come verificarlo. Un agente di triage gestisce la coda.
Perché. A fine agosto 2026, 529 ticket erano ancora in stato "aperto", e nessuno li ricalcolava. Uno stato che viene dichiarato in un sistema in grado di calcolarlo, alla fine, finisce per mentire.
Agenti IA¶
Un team di agenti IA, denominato internamente STA Inc, opera con un container per agente, su una VM di test dedicata. Ogni agente riceve solo i propri token; i segreti del parco non sono presenti su questa VM. Gli agenti svolgono il loro lavoro in Vikunja. Tra questi, Clio, la persona responsabile della documentazione, misura la completezza della documentazione e la completa.
Perché. Il 2 ottobre 2026, è emerso che un agente lanciato dalla VM di sviluppo avrebbe avuto accesso a tutti i segreti e a tutti gli host. La VM dedicata chiude questo ambito. Gli agenti sono organizzati in albero, in modo che nessuno possa inviare un compito a sé stesso in un ciclo.
Modelli linguistici¶
Ollama utilizza modelli locali, sul GPU del computer host. LiteLLM è la piattaforma unica per l'intero parco: ogni chiamata, sia locale che verso un fornitore esterno, passa attraverso di essa, con una chiave per ogni utente, un budget e un meccanismo di fallback.
Perché. La piattaforma unica rende i costi e l'utilizzo facilmente consultabili in un unico punto, e permette di cambiare fornitore senza influire sugli utenti. È diventata un sistema indipendente il 28 settembre 2026.
Automazione¶
n8n gestisce i flussi di lavoro: approvazioni, notifiche, elaborazione di documenti. Comunica con Docker solo tramite un proxy di socket, mai direttamente.
Un meccanismo basato sull'esperienza accompagna n8n: un'attività quotidiana che non dipende da un trigger programmato di n8n, che potrebbe fallire. Utilizza un timer di sistema che verifica lo stato e riprova.
Codice¶
Gitea, auto-ospitata, è la fonte di ogni repository. GitHub è utilizzato per la condivisione. Un sincronizzatore gira ogni cinque minuti in entrambe le direzioni e non forza mai nulla.
Perché. Un mirror unidirezionale sovrascrive forzatamente: un merge effettuato su GitHub sarebbe scomparso al passaggio successivo (decisione del 27 settembre 2026). Un'applicazione con un'interfaccia ha il suo repository; l'immagine costruita localmente ha la sua ricetta versionata accanto alla sua configurazione.
Host¶
Le VM girano su un hypervisor Proxmox. Gli host Linux applicano gli aggiornamenti di notte, senza intervento, e ogni notte producono un report. La pila dell'hypervisor viene mantenuta aggiornata manualmente, poiché i suoi script di installazione riavviano i servizi di gestione.
Perché. Fino a settembre 2026, le VM giravano su una postazione di lavoro che gestiva fino a 80 container, su un disco virtuale lento, mentre l'altro host di calcolo era sovraccarico. La migrazione verso l'hypervisor, a settembre 2026, ha spostato questo carico su uno storage locale più veloce.
Conoscenza¶
Il "vault", ovvero le note Markdown in formato Git, create in Obsidian, è la fonte di tutta la conoscenza del parco: decisioni, procedure operative, circa 1.700 FAQ sugli incidenti. Un wiki interno ne è una versione leggibile. Questo sito ne è la versione rivista e pubblica.
Perché. Una FAQ nasce da un incidente e racconta un'indagine, con i suoi falsi indizi; la sua collocazione è nel vault. Questo sito ne conserva solo ciò che rimane vero una volta conclusa l'indagine. I dettagli del suo utilizzo sono forniti in Dove scrivere cosa.
E per l'uso quotidiano¶
Il parco viene utilizzato anche per: una fototeca (Immich, dove l'analisi delle immagini gira sul GPU, circa dieci volte più velocemente rispetto a un CPU, su oltre 40.000 foto), la domotica (Home Assistant, Node-RED, MQTT), una mediateca. Questi sono i servizi per i quali tutto il resto esiste.
Dernière vérification de cette page : 2026-10-06