Tunnel chiffré

En UDP et en TCP, les journaux voyagent en clair jusqu'au collecteur, et seule l'adresse publique de départ dit qui a le droit d'émettre. Le tunnel chiffré (WireGuard) change ces deux points : les journaux voyagent chiffrés, et l'équipement est reconnu à sa clé, quelle que soit l'adresse publique d'où il part — une connexion 4G, une box à adresse changeante.

Où il est proposé

• Pour les marques MikroTik et Serveur Linux.
• Pour les collecteurs en UDP ou en TCP. En TLS, les journaux voyagent déjà chiffrés.
• Un tunnel par collecteur, qui compte parmi ses trois émetteurs : un tunnel et deux adresses publiques, par exemple.

Le déclarer

Dans le formulaire de déclaration, ou avec le crayon de l'inventaire, chaque ligne d'émetteur propose Adresse publique ou Tunnel chiffré. Choisissez Tunnel chiffré sur une ligne, et donnez-lui un nom si vous le souhaitez (« Annexe 4G »). Il n'y a pas d'adresse à saisir : Infralogs attribue celle du tunnel.

Dans l'inventaire, l'émetteur apparaît avec un cadenas, et la mention clé attendue tant que la clé de l'équipement n'est pas enregistrée.

Le brancher

La page Configurer du collecteur guide le branchement en trois temps. Quand le collecteur a aussi des adresses publiques, un onglet par sorte d'émetteur sépare leurs réglages.

1. Créer la clé sur l'équipement. Les premières étapes créent l'interface du tunnel et affichent sa clé publique. La clé privée reste sur l'équipement : elle ne vous est jamais demandée.
2. Enregistrer la clé publique. Collez-la dans le champ de la page, puis Enregistrer la clé. Infralogs attribue alors l'adresse du tunnel de l'équipement.
3. Relier le tunnel et envoyer les journaux. Les étapes suivantes apparaissent avec l'adresse attribuée : relier le tunnel à Infralogs, puis envoyer les journaux vers la destination dans le tunnel affichée en haut de la page — une adresse en 198.18.…, et non l'adresse publique du collecteur.

Le tunnel se raccorde par défaut au port UDP 51820. Si votre réseau le bloque en sortie, cochez Mon réseau bloque le port 51820 : utiliser le port 443 : les commandes affichées passent au port 443.

Vérifier que ça marche

Sous les étapes, une ligne suit le tunnel :

• « En attente du premier contact du tunnel… » — l'équipement ne s'est pas encore raccordé. La page se met à jour toute seule.
• « Tunnel établi — dernier contact il y a … » — le tunnel est en place.
• « Aucun contact du tunnel depuis … » — l'équipement ne s'est plus manifesté depuis plus de cinq minutes.

La ligne d'état de la réception, en bas de page, confirme ensuite l'arrivée des journaux, comme pour tout collecteur.

Le tunnel ne s'établit pas ?

Vérifiez, dans cet ordre :

1. que la clé enregistrée est bien la clé publique affichée par l'équipement ;
2. que l'équipement peut joindre le port 51820 en UDP — sinon, utilisez le port 443 ;
3. que le point d'entrée du tunnel, en haut de la page, est bien celui saisi dans l'équipement.

Tunnel établi mais aucun journal reçu : vérifiez que l'équipement envoie vers la destination dans le tunnel, avec le bon port et le bon transport.

Changer de clé

Un équipement remplacé, ou une clé régénérée : Changer la clé, sur la page Configurer, enregistre la nouvelle. L'adresse du tunnel ne change pas ; l'ancienne clé ne peut plus servir.

Une clé ne s'enregistre qu'une fois sur toute la plateforme : une clé déjà utilisée, même sur un collecteur retiré, est refusée. Générez-en une nouvelle sur l'équipement.

Retirer le tunnel

Le crayon de l'inventaire remet la ligne en Adresse publique, ou la supprime ; retirer le collecteur retire aussi son tunnel. L'adresse du tunnel n'est jamais redonnée, ni sa clé acceptée de nouveau : un équipement resté réglé ne peut pas écrire dans le collecteur d'un autre compte.