Ton site répond depuis l'extérieur : comment sais-tu que rien n'est bloqué à l'intérieur ?
En bref
Un site public ne dit rien du serveur, du stockage ou de la machine qui fait réellement tourner l'entreprise, parce qu'aucun d'eux n'est joignable depuis l'extérieur. Les surveiller veut dire poser la question depuis l'intérieur du réseau — et la limite honnête, c'est qu'un appareil qui répond n'est pas un appareil qui fait son travail.
Demande à la plupart des gens si leurs systèmes fonctionnent et ils te parleront du site web. C’est la partie qui a une adresse publique, celle qu’on peut contrôler de n’importe où, et c’est une petite fraction de ce qui fait réellement tourner l’entreprise.
Le serveur de fichiers n’a pas d’adresse publique. Le stockage non plus, ni l’hôte de virtualisation, ni l’imprimante qui sort les bons de livraison, ni la passerelle du local technique, ni la machine de l’atelier qui fait le même travail depuis 2019. Rien sur internet ne peut les voir. C’est une décision de sécurité délibérée et juste, et elle a une conséquence : tu ne peux pas les contrôler depuis l’extérieur, alors la plupart des gens ne les contrôlent pas du tout.
Qu’est-ce que « à l’intérieur du réseau » veut dire en pratique ?
Quelque chose de petit qui vit sur le même réseau et pose les questions à ta place : un équipement léger sur une machine dont tu n’as plus l’usage, une machine virtuelle, ou simplement un agent sur une machine Linux que tu as déjà.
C’est le sens de circulation qui rend la chose acceptable. La sonde ouvre une connexion HTTPS sortante, exactement comme un navigateur, et rien n’est ouvert vers l’intérieur : pas de redirection de port, pas de VPN, pas d’adresse publique fixe. Les réseaux où « peux-tu ouvrir un port ? » met fin à la discussion sont précisément ceux où cela doit fonctionner.
Une fois en place, elle peut demander la joignabilité de tout ce qui a une adresse et — là où tu lui donnes des identifiants — de vrais chiffres : processeur, mémoire, disque et charge sur les machines Linux et Windows, des valeurs SNMP venant du stockage, des commutateurs, des imprimantes et des onduleurs, l’état des hôtes de virtualisation et des contrôleurs de gestion des serveurs. Si tu le veux, elle peut regarder dans les plages réseau que tu déclares et te proposer ce qu’elle y trouve, pour que tu n’aies pas à recopier des adresses depuis un tableur.
De quelle panne parle-t-on vraiment ?
De l’appareil qui répond parfaitement sans rien faire. La joignabilité, c’est la moitié facile ; celle-là est la moitié coûteuse.
Une passerelle placée devant un système de domotique répondra très volontiers sur son adresse réseau avec le bus mort derrière elle. Un point de donnée laissé en état forcé ou hors service annonce une valeur plausible pour toujours. Un import arrêté il y a trois semaines laisse un service qui répond encore instantanément à chaque requête, parce qu’il n’a rien à faire. Dans les trois cas le point est vert et le travail ne se fait pas.
Il y a une manière honnête d’attraper cela, et une manière malhonnête. La malhonnête consiste à prétendre qu’un système de surveillance peut savoir, depuis l’extérieur, qu’un appareil fait son travail. Il ne le peut pas. L’honnête consiste à faire produire un chiffre par le travail lui-même : l’âge du dernier fichier traité, le nombre d’éléments en attente, le nombre de minutes depuis le dernier changement d’une valeur. Tu as déjà une commande capable d’afficher ça, ou tu peux en écrire une en cinq lignes. Un moniteur de métriques peut lancer jusqu’à huit de tes propres commandes et transformer chaque chiffre affiché en une valeur surveillée avec un seuil d’avertissement et un seuil d’alarme.
C’est toute l’astuce, et cela mérite d’être dit franchement : nous ne détectons pas que ton système a cessé de fonctionner. Nous surveillons un chiffre que ton système produit, et ce chiffre s’arrête de bouger.
Que faire cette semaine
- Écris la liste de ce sans quoi l’entreprise s’arrêterait, et marque lesquels ont une adresse publique. Les non marqués, c’est le trou.
- Mets une sonde à l’intérieur du réseau et commence par la joignabilité de tout ce qui figure sur cette liste. Cela prend un après-midi et cela change déjà la conversation.
- Ajoute des identifiants là où tu en as, pour que les machines importantes rapportent des chiffres au lieu d’un point.
- Choisis le processus dont la panne silencieuse ferait le plus mal et fais-lui afficher un chiffre — âge du fichier, profondeur de la file, minutes depuis le dernier changement. Surveille ce chiffre.
- Assure-toi que la sonde elle-même est surveillée, pour que le silence venant de l’intérieur veuille dire quelque chose.
La surveillance depuis l’extérieur te dit ce que tes clients voient. La surveillance depuis l’intérieur te dit si l’entreprise fonctionne encore. Ce ne sont pas la même question, et une seule des deux est généralement posée.
Ce que nous ne pouvons pas te dire
- Nous ne pouvons pas voir un appareil qui ne publie rien : s'il n'existe aucun moyen de l'interroger, tout ce que nous pouvons te dire, c'est s'il répond ou non sur le réseau.
- Nous ne pouvons pas lire un bus de domotique ou de gestion technique du bâtiment — KNX, BACnet et consorts : aujourd'hui nous voyons la passerelle placée devant, pas le bus derrière.
- Nous ne pouvons pas te dire de nous-mêmes qu'une valeur s'est figée. Si ta propre commande affiche depuis combien de temps quelque chose n'a pas changé, nous surveillons ce chiffre et nous alertons dessus — le calcul doit venir de ton côté.
- Nous ne pouvons pas découvrir ce que tu n'as pas déclaré : la sonde ne regarde que dans les plages réseau que tu lui donnes, et seulement si tu actives la découverte.
Les questions qu'on pose vraiment
Pourquoi un service peut-il aller bien à l'extérieur alors que quelque chose est mort à l'intérieur ?
Parce que ce sont des machines différentes qui font des travaux différents. Le site public est la petite partie de l'entreprise tournée vers internet. Le serveur de fichiers, le stockage, l'hôte de virtualisation, la machine qui imprime les bons de livraison : aucun n'est exposé, et c'est voulu, donc rien sur internet ne peut t'en dire quoi que ce soit. Leur silence ne prouve pas qu'ils vont bien, seulement qu'ils sont injoignables.
Dois-je ouvrir des ports ou monter un VPN pour cela ?
Non, et tu ne devrais pas avoir à le faire. Une petite sonde à l'intérieur du réseau ouvre une connexion HTTPS sortante et rien d'autre : aucun port entrant, aucun VPN, aucune adresse fixe. C'est le même sens de circulation qu'un navigateur, et c'est pour cela que ça fonctionne dans des réseaux où ouvrir quoi que ce soit est hors de question.
Que peut-elle réellement demander à un serveur ou à un équipement ?
La joignabilité de tout ce qui a une adresse ; et, avec des identifiants, de vrais chiffres : processeur, mémoire, disque et charge sur Linux en SSH, l'équivalent sur Windows, des valeurs SNMP venant du stockage, des imprimantes, des commutateurs et des onduleurs, ainsi que l'état des hôtes de virtualisation et des contrôleurs de gestion des serveurs. Chacun est un chiffre avec un seuil, une courbe et un historique, pas un point rouge ou vert.
Comment attraper la chose qui répond mais qui a cessé de travailler ?
En surveillant un chiffre qui ne bouge que si le travail se fait : l'âge du dernier fichier traité, la profondeur d'une file d'attente, le temps écoulé depuis le dernier changement d'une valeur. Sur un moniteur de métriques, tu peux lancer jusqu'à huit de tes propres commandes, et le chiffre affiché par chacune devient une valeur surveillée avec un seuil d'avertissement et un seuil d'alarme. C'est comme cela qu'une tâche arrêtée en silence devient visible.
Combien de moniteurs faut-il pour un serveur ?
En pratique deux à quatre : un qui couvre ensemble processeur, mémoire et disque, plus un pour chaque service important qui tourne dessus. Pour donner un ordre de grandeur, cinquante moniteurs couvrent quelque chose comme quinze à vingt-cinq serveurs — utile quand tu cherches quelle offre te convient avant d'installer quoi que ce soit.
Que se passe-t-il si la sonde perd sa connexion ?
Elle continue ses contrôles et conserve les résultats en local, puis les rejoue au retour du lien, si bien que l'historique n'a pas de trou et que la coupure n'est pas mise sur le dos de tes services. Et une sonde qui cesse de rapporter est elle-même une alerte — le silence doit vouloir dire quelque chose, sinon il ne veut rien dire.