Edge stack — Caddy + CrowdSec¶

Couche de bordure du Kimsufi : reverse proxy + filtrage IP. Tous les services publics (*.carai.be) passent par ici.

Architecture en bref¶

graph LR
    Internet -.HTTPS.-> Caddy
    Caddy -- "bouncer pull" --> CrowdSec
    CrowdSec -- "parse access.log" --> Caddy
    Caddy -- "reverse_proxy" --> Apps
    CrowdSec -- "parse journalctl" --> Host
    CrowdSec <-- "alerts + blocklists" --> Console[app.crowdsec.net]

Console enrôlée engine 9b59c20de105 (app.crowdsec.net) — reçoit les blocklists CTI + remonte les alertes locales.

Réseaux Docker¶

• proxy_net (external) — toutes les apps publiques ; Caddy y reverse-proxy.
• core_internal_net (external) — lien Caddy ↔ CrowdSec (API 8080), DB Postgres, bouncer feed. Jamais d'app publique ici sans Caddy.

Volumes (preserved, external)¶

Backup régulier via Backrest (cf. BACKUP.md). Snapshots tar à la demande : docker run --rm -v <volume>:/d alpine tar czf - -C /d . > backup.tar.gz. Pour la DB sqlite crowdsec en cours d'écriture, faire un snapshot atomique d'abord : docker exec crowdsec sqlite3 /var/lib/crowdsec/data/crowdsec.db '.backup /tmp/snap.db'.

Pattern de labels (côté app)¶

Tout service public ajoute ces labels à son conteneur :

labels:
  caddy: monservice.carai.be
  caddy.reverse_proxy: monservice:PORT   # PAS {{upstreams}} → stale au recreate
  caddy.import: secure_headers           # snippet du Caddyfile
  caddy.crowdsec: ""                     # active le bouncer
  caddy.log: ""                          # access.log JSON

Et doit être sur proxy_net :

networks:
  proxy_net:
    external: true

Snippets dispo dans caddy/Caddyfile : secure_headers (HSTS/XFO/etc.), secure_headers_iframe_ok (sans X-Frame-Options).

Bouncer key¶

Une seule clé partagée entre les 2 stacks (BOUNCER_KEY_CADDY) : - Côté CrowdSec : env BOUNCER_KEY_caddy=... → crée le bouncer "caddy" au boot - Côté Caddy : env BOUNCER_KEY_CADDY=... lue par {env.BOUNCER_KEY_CADDY} dans le Caddyfile

⚠️ Si désynchro : le bouncer Caddy n'arrive plus à pull les décisions ; toutes les IPs passent (mode dégradé, pas mode panique). Voir Debug.

Stockée dans .env local des stacks (gitignored) et dans les env vars Portainer si jamais on adopte (cf. README caddy).

Rotation :

# 1. Génère une nouvelle clé
docker exec crowdsec cscli bouncers add caddy-tmp -o raw
# 2. Update les 2 .env (ou env Portainer) avec la nouvelle clé
# 3. docker compose up -d --force-recreate sur les 2 stacks
# 4. Supprime l'ancienne entrée
docker exec crowdsec cscli bouncers delete caddy
docker exec crowdsec cscli bouncers rename caddy-tmp caddy  # optionnel

Caddyfile global¶

caddy/Caddyfile — versionné, contient le block global (email, order crowdsec first, bloc crowdsec {...}, log default) + les snippets réutilisables. Modifier localement, commit, push, puis sur le serveur :

cd /srv/docker/caddy.v2
git pull          # si géré en git ; sinon scp depuis le Mac
docker exec caddy caddy reload --config /config/Caddyfile

Le caddy reload est sans coupure (graceful).

CrowdSec collections¶

COLLECTIONS: "crowdsecurity/caddy crowdsecurity/linux crowdsecurity/sshd crowdsecurity/http-cve crowdsecurity/base-http-scenarios"

Pour ajouter : éditer la var, redeploy. Les collections déjà installées restent dans le volume jusqu'à cscli collections remove.

Ce qui est couvert : - Bruteforce SSH (sshd) + génériques Linux - Bruteforce HTTP, scans (base-http-scenarios) - CVE web connues (http-cve : Log4Shell, etc.) - Logs Caddy spécifiques (caddy → parsing JSON access.log)

crowdsecurity/whitelist-good-actors est tirée en dépendance auto.

Whitelists¶

Reload sans restart : docker kill --signal=HUP crowdsec.

Helper script : scripts/cs-whitelist.sh.

Maintenance — runbook¶

Debug — symptômes courants¶

Migration / refonte¶

L'edge stack a été refondue le 2026-05-18 (de CLI dans /srv/docker/caddy + /srv/docker/core/crowdsec vers repos Gitea + image registry). Les anciens dossiers sont conservés tel quel pour permettre le rollback via scripts/edge-rollback.sh.

Backup pré-migration : ~/backups/edge-stack-20260518-0003/ sur le serveur.

Les stacks tournent actuellement en CLI (docker compose up -d dans /srv/docker/caddy.v2 et /srv/docker/crowdsec.v2), pas via Portainer. Possible d'adopter plus tard : stop CLI, deploy via Portainer-from-Git. Risque connu : Portainer-from-Git peut mal résoudre le bind ./Caddyfile (crée un dossier vide) → fallback prêt = bind absolu /srv/docker/caddy.v2/Caddyfile.

Upgrade¶