Le 2026-10-08, 16.216.88.0/24 (74 adresses qui tournent) et 74.7.227.0/24 ont
fait tourner Gitea à 100 % plus d'une heure sur blame/commit/commits/raw.
crowdsecurity/http-crawl-non_statics ne pouvait pas les voir : il compte par
adresse et tolère 2 req/s soutenues ; la plage ne dépassait pas 9 req/min par
adresse, et `.ts` (TypeScript ici) est rangé parmi les fichiers statiques.
- arcodange/forge-aspiration : pages git coûteuses sur le routeur gitea,
regroupées par /24 ou /64, capacité 60, fuite 4 s ;
- arcodange/forge-comparaisons : compare/archive, capacité 15, fuite 60 s
(un troisième robot enchaînait une comparaison de ~10 s toutes les 15 s) ;
- portée Ip conservée (une alerte par adresse présente dans le seau) : le
videur Traefik en mode stream n'applique pas les décisions de plage ;
- profil LAPI : 24 h pour ces deux scénarios, les deux profils par défaut
recopiés tels quels derrière ;
- liste blanche des adresses publiques du foyer (IPv4 et /64 IPv6).
Rejoué hors trafic dans un CrowdSec v1.7.0 local, avec le hub copié de
l'agent du cluster : voir la PR (débordements, sabotage du seuil, lecteur
humain, adresses privées et du foyer).
Co-Authored-By: Claude Opus 5.5 <[email protected]>
Sur pi1, les journaux de conteneurs passent par une chaîne de liens qui finit
sous /mnt/arcodange/docker/containers (racine Docker déplacée ; l'ancienne,
/var/lib/docker/containers, n'est plus écrite depuis le 2026-04-07). Le chart
ne montait que /var/log et l'ancienne racine : le lien pendait dans le pod.
Mesuré le 2026-10-08 : « Error setting up tail for
/var/log/containers/traefik-… » au démarrage de l'agent (2026-09-26), les 54
journaux de /var/log/pods pointent tous sous /mnt/arcodange/docker, et la
métrique cs_filesource_hits_total n'existe pas (zéro ligne lue). Aucun
scénario HTTP n'a donc jamais pu déborder, pendant que la forge était aspirée.
Montage hostPath en lecture seule AU MÊME CHEMIN (le noyau résout le lien dans
l'espace de montage du pod), type Directory pour que l'agent refuse de démarrer
plutôt que de redevenir aveugle en silence si la racine bouge encore.
Co-Authored-By: Claude Opus 5.5 <[email protected]>
RollingUpdate with maxSurge>0 creates a new pod before terminating the old one,
causing a Multi-Attach error on the RWO PVCs (crowdsec-db-pvc, crowdsec-config-pvc).
Recreate terminates the old pod first, then starts the new one.
arcodange