7. Maintenance

Ce qu'il faut faire régulièrement, et comment faire les choses qui n'arrivent qu'à l'occasion.

Une routine qui vaut la peine d'être tenue

Sauvegardes

System → Configuration → Backups télécharge la configuration entière en un seul fichier : règles, interfaces, certificats, clés, utilisateurs, tout.

Rangez-le comme un secret. Quiconque le détient peut monter une copie de votre pare-feu. Gardez-le chiffré, hors du boîtier, et hors du même domaine de panne que la machine.

Restaurer se fait sur la même page, en sens inverse. C'est aussi ainsi que vous passez à du matériel neuf : installez le boîtier, restaurez la configuration, remettez les câbles dans les mêmes ports. Vérifiez ensuite l'affectation des interfaces — les cartes réseau de la nouvelle machine peuvent porter d'autres noms.

System → Configuration → History est l'outil de grain plus fin : il enregistre chaque changement avec son auteur, et peut ramener le boîtier à un état antérieur. Servez-vous-en pour « qu'avons-nous changé il y a vingt minutes » ; servez-vous d'une sauvegarde en fichier pour « la machine n'est plus là ».

Mise à jour

Les mises à jour viennent du dépôt signé de l'éditeur. Le boîtier vérifie la signature et refuse un catalogue dont la vérification échoue.

1. Lisez le journal des changements — System → Firmware → Changelog.
2. Prenez une sauvegarde.
3. En ZFS, prenez un instantané — System → Snapshots. C'est le retour en arrière du système d'exploitation lui-même, par opposition à la configuration.
4. Mettez à jour — System → Firmware → Status → Check for updates, puis appliquez. Le boîtier redémarre son plan de contrôle quand il a fini ; le plan de données continue d'acheminer pendant ce temps.
5. Vérifiez — la version sur Status, puis que vos services sont debout (System → Diagnostics → Services) et que le trafic coule toujours.

Sur une paire à haute disponibilité, mettez d'abord à jour le nœud de secours. Vérifiez qu'il revient en bonne santé, basculez dessus, puis mettez à jour l'autre nœud. Ne mettez jamais les deux à jour en même temps.

Sur un boîtier distant, préférez une fenêtre de maintenance où quelqu'un peut atteindre la console. Une mise à jour qui tourne mal sur une machine que personne ne peut toucher, c'est un déplacement sur site.

Certificats

Le certificat que le boîtier présente au premier contact est un certificat qu'il s'est délivré à lui-même. Remplacez-le :

1. Mettez le vrai certificat et sa clé dans System → Trust → Certificates (importez-les, ou créez-y une demande de signature, faites-la signer, et importez le résultat).
2. Sélectionnez-le dans System → Settings → Administration comme certificat de l'interface web.
3. Vérifiez que le navigateur est satisfait, depuis une machine qui fait confiance à l'émetteur.

Surveillez les expirations. Le widget Certificates du tableau de bord liste tout ce que contient le magasin avec le temps qu'il lui reste, le plus proche en tête. Un VPN qui cesse de marcher un lundi matin, c'est en général un certificat qui a expiré pendant le week-end.

Retirer un certificat avant son heure — un portable perdu, un salarié qui part — se fait dans System → Trust → Revocation, avec un motif.

Comptes et clés

• Un compte par administrateur (Access → Users), les privilèges par les groupes (Access → Groups), et root gardé pour la récupération.
• Les clés d'API appartiennent à un utilisateur et héritent de ses droits : la clé d'une supervision appartient à un compte en lecture seule.
• La liste montre la dernière utilisation de chaque clé. Une clé dont rien ne s'est servi depuis des mois est une clé à supprimer.
• Quand quelqu'un s'en va : désactivez le compte, supprimez ses clés d'API, révoquez son certificat VPN, retirez son pair WireGuard.

Journaux et espace disque

Le boîtier fait tourner ses journaux, mais la rétention est votre décision (System → Settings → Logging). Deux règles :

• Envoyez les journaux hors de la machine. Un collecteur distant survit au boîtier et vous permet de garder une rétention locale courte.
• Surveillez le disque. Les captures de paquets sont le coupable habituel — prenez-les avec un filtre et une limite, et effacez-les ensuite.

Instantanés

Sur une installation ZFS, System → Snapshots gère les environnements de démarrage : une copie complète du système d'exploitation dans laquelle vous pouvez redémarrer. Prenez-en un avant une mise à jour ; retirez les anciens quand le disque se resserre.

Un instantané n'est pas une sauvegarde — il vit sur le même disque. Gardez les deux.

Remplacer du matériel

1. Une sauvegarde de configuration de l'ancien boîtier (ou la plus récente que vous ayez).
2. Installez la même version sur la nouvelle machine.
3. Restaurez la configuration.
4. Corrigez l'affectation des interfaces si les noms de cartes diffèrent (console, Assign interfaces).
5. Déplacez les câbles, port pour port.
6. Vérifiez : passerelle active, clients qui reçoivent des adresses, VPN qui se rétablissent.