Redémarrer NTP, DNS et DHCP après une panne réseau totale : un ordre fondé sur les dépendances

Objectif

Redémarrer les services d'infrastructure de base d'un petit réseau dans un ordre permettant à chacun de démarrer correctement, après une panne totale où NTP, DNS et DHCP étaient tous indisponibles en même temps.

Prérequis

Savoir quels hôtes exécutent quel service ; disposer d'un accès console ou hors bande à chaque hôte, car l'accès distant qui dépend du réseau peut ne pas encore fonctionner ; avoir déjà rétabli la connectivité de base des hôtes (alimentation, liens réseau physiques ou virtuels actifs) ; avoir configuré les serveurs NTP, DNS et DHCP eux-mêmes avec des adresses statiques, et non via DHCP.

Étapes

1. Démarrer d'abord le service de temps, sur le ou les hôtes qui assurent NTP. La validation des certificats, la durée de vie des tickets Kerberos et la corrélation des horodatages de journaux pendant toute la reprise supposent que les horloges soient à peu près correctes ; un serveur dont l'horloge a fortement dérivé pendant la panne doit pouvoir la corriger (par saut ou par ajustement progressif) avant que quoi que ce soit qui vérifie les périodes de validité des certificats ne s'appuie sur lui. Un résolveur qui valide DNSSEC échoue lui aussi si l'horloge est très fausse. La dépendance est toutefois circulaire : un serveur NTP dont les serveurs amont sont désignés par des noms d'hôte (un nom de pool, des serveurs NTS) ne peut pas les joindre tant que DNS ne fonctionne pas ; il ne fournit alors que l'heure de son horloge matérielle, ou sa référence local si elle est configurée. Il faut lui donner au moins un serveur amont identifié par son adresse IP, ou accepter que l'heure soit corrigée une seconde fois une fois DNS rétabli.
2. Démarrer ensuite DNS, sur le ou les hôtes qui l'assurent. De nombreux services se localisent mutuellement, et valident les certificats TLS, par leur nom ; démarrer DNS avant DHCP permet même aux hôtes configurés statiquement de résoudre des noms dès ce stade, y compris le serveur DHCP lui-même si son démarrage résout quoi que ce soit par nom.
3. Démarrer DHCP en dernier des trois. Les clients qui ont perdu leur bail ont besoin de DHCP pour obtenir de nouveau une adresse ; le serveur DHCP peut tirer profit d'une heure correcte (horodatage des baux, journaux) et n'a besoin de DNS que pour les mises à jour DNS dynamiques, si elles sont configurées.
4. Revérifier chaque service depuis un client avant de déclarer le réseau rétabli : un contrôle de l'heure (l'horloge du client converge-t-elle vers le serveur NTP), une résolution de nom pour un nom interne et un nom externe, et un renouvellement de bail DHCP sur un client de réserve.
5. Seulement après la confirmation de ces trois services, redémarrer ceux qui dépendent de tous : l'authentification (Kerberos/LDAP, qui exigent une heure correcte et des noms résolubles), ainsi que les services applicatifs qui utilisent des certificats de courte durée ou la découverte de services par nom.

Résultat attendu

Chaque service devrait démarrer sans attendre l'un des deux autres ni échouer silencieusement à cause de lui ; les clients devraient retrouver une connectivité complète dans l'ordre même où les services sont revenus, sans second cycle de redémarrages causé par une dépendance oubliée.

Limites et base de vérification

Il s'agit d'un ordre général proposé, qui ne remplace pas un runbook propre au site : sur un réseau où l'adresse du serveur DHCP est statique et où DNS est assuré par le même hôte que NTP, il y a moins de dépendances réelles à ordonner. Les déploiements virtualisés ou conteneurisés, où les trois services tournent comme services applicatifs derrière leur propre répartiteur de charge, peuvent comporter des dépendances supplémentaires — le plan de contrôle de l'hyperviseur ou de l'orchestrateur — qui doivent être opérationnelles avant n'importe lequel des trois. Aucune expérience ni mesure sur le terrain n'est revendiquée pour cet ordre ; il est déduit des dépendances habituelles de ces services vis-à-vis de l'heure et de la résolution de noms, et un site donné peut en avoir moins ou d'autres.