Page intégrée au dossier PRISME — ne pas éditer ici sans resynchroniser.

Cartographie spok — réseau, Docker, Syncthing

Généré : 2026-06-27 · sources : dépôt infrastructure-grainerie (n8n) + collecte SSH nassim@spok.

1. Position de spok dans l’architecture

Conséquence clé : les VLANs Ubiquiti (24, 20, 30, …) sont des segments L2/L3 gérés par le switch/routeur. spok n’a pas d’interfaces taguées ; il vit sur le LAN management 10.0.0.0/24. On ne doit pas « déplacer » Syncthing sur VLAN 20 via macvlan sans casser l’isolation inter-VLAN.

2. Modèle réseau Docker (prod)

Internet / LAN 10.0.0.0/24
        │
   enp4s0f3 (hôte)
        │
   ┌────┴────────────────────────────────────────────┐
   │ traefik (172.18.0.0/16) — ingress HTTPS │
   │ syncthing, n8n (UI), baserow, carbone, … │
   ├────────────────────────────────────────────────┤
   │ docker_n8n (192.168.80.0/20) — stack n8n/métriques │
   │ n8n, redis, prometheus, coalescer, vespa… │
   ├────────────────────────────────────────────────┤
   │ docker_proxy — homepage / proxy │
   │ docker_sync_in — sync-in │
   │ + ~15 autres bridges (authentik, passbolt…) │
   └────────────────────────────────────────────────┘

Doc east-west (gated) : — évite hairpin Traefik pour n8n↔Baserow ; non déployé tant que gate Gunicorn ouverte.

3. Syncthing — état actuel

Référence dépôt : Configuration (docker compose), tuning : .

Ce qui est correct aujourd’hui

• UI derrière Traefik (TLS, middleware syncthing-nobuffer, transport filesStackTransport)
• Données sync sur volumes host HDD (cohérent tuning maxFolderConcurrency: 2)
• Ports sync exposés sur l’hôte — normal pour P2P Syncthing

Ce qui était incorrect dans les propositions macvlan/VLAN 20

• Attacher Syncthing à 24 impliquerait routage inter-VLAN et briserait l’isolation des segments Ubiquiti
• Les VLANs listés (10, 20, 30, …) servent d’autres sites/usages, pas de sous-réseaux Docker overlay
• macvlan sur eth0.20 sans interface VLAN kernel sur spok est non applicable en l’état

4. Saturation uplink 1 GbE — diagnostic

Goulot actuel : tout trafic (HTTPS Traefik, sync Syncthing 22000, n8n, backups Borg, etc.) partage enp4s0f3 vers 10.0.0.1.

Leviers compatibles avec l’architecture existante (sans macvlan inter-VLAN) :

1. Limitation Syncthing : plafond bande passante (~800 Mbps) + plages horaires
2. QoS Ubiquiti sur 10.0.0.113 (priorité basse sync vs management)
3. Ignores / dossiers hot — déjà dans (CODIR 120s watcher)
4. Second NIC (enp4s0f0–f2) : même L3 ou route policy sans mélanger VLANs clients — dédié sync physique seulement
5. East-west internal-net (post-gate) : réduit hairpin HTTPS pour n8n↔Baserow, libère Traefik

5. Plan Syncthing réaliste (post-câblage NIC)

Quand enp4s0f0–f2 seront câblés :

1. Ne pas créer de VLAN kernel pour « sortir » Syncthing du 10.0.0.0/24
2. Option A — deuxième interface same-subnet : IP secondaire ou NIC dédiée sync, Syncthing bind address / firewall mark
3. Option B — QoS + rate limit sur interface unique (moins risqué)
4. Conserver compose existant ; ajuster uniquement :

• options Syncthing (limits bandwidth)
• labels Traefik inchangés
• éventuellement network_mode / bind via config.xml listenAddresses

6. Fichiers de vérité (dépôt n8n)

7. Recommandations agents LLM (investigation infra)

Pour éviter les réponses macvlan/VLAN incorrectes :

1. Lancer Script shell (collect spok network cartography) avant toute proposition
2. Lire +
3. Contraintes immuables en tête de session :

• spok = 10.0.0.113, pas de VLAN kernel
• VLANs Ubiquiti isolés — pas de réallocation
• Partir du compose syncthing

1. Session courte ou contexte 128k — voir Configuration (marty context extended.fragment)