ADR 0002 : Exposition publique via Cloudflare Tunnel
Le site vitrine est exposé par un tunnel sortant, sans aucun port entrant ouvert.
Contexte
Le site vitrine et la page de statut doivent être publics. L’infrastructure est derrière une Freebox, avec une IP résidentielle.
Options envisagées
- Redirection de ports 80/443 : IP personnelle exposée et scannée, dépendance au DynDNS.
- VPS en frontal + WireGuard : robuste, mais coûteux ou dépendant d’offres gratuites instables.
- Cloudflare Tunnel : connexions sortantes uniquement, TLS, anti-DDoS et WAF inclus.
Décision
Cloudflare Tunnel (cloudflared en deux réplicas dans la DMZ), décrit en OpenTofu avec le provider officiel, pour le contenu public uniquement (vitrine, page de statut). Les services personnels sont publiés autrement (voir l’ADR 0008).
Conséquences
- Cloudflare déchiffre le trafic : acceptable pour du contenu public, exclu pour les données personnelles (VPN).
- Les domaines doivent utiliser les serveurs DNS de Cloudflare.