[P2][config] Respecter trusted_networks pour les IP littérales en zone LAN #61

New issue

Closed

opened 2026-09-29 20:34:50 +00:00 by silex · 0 comments

silex commented

2026-09-29 20:34:50 +00:00

Owner

Gravité et périmètre

P2 / medium. Cohérence préflight / netguard, commit 65442d2.

Constat

internal/config/validate.go:281 refuse une IP littérale déclarée LAN dès qu'elle n'est ni privée ni link-local, même lorsqu'elle appartient explicitement à policy.trusted_networks. Le transport internal/policy/netguard.go prend au contraire ces réseaux en compte.

Reproduction

Configurer base_url=http://100.64.0.10:8000/v1, zone=lan, policy.stt_zones=[lan] et trusted_networks=[100.64.0.0/10]. Validate refuse la configuration alors que le transport classe cette destination LAN. Reproduit sans résolution DNS ni transfert réseau.

Impact

Empêche des configurations légitimes, notamment dans des réseaux overlay utilisant une plage explicitement fiable. Ne concerne pas les configurations habituelles RFC1918.

Correction et acceptation

Partager la classification des IP littérales entre préflight et transport, en utilisant les CIDR déjà validés. Ne pas ajouter de résolution DNS au préflight. Tester STT et cleanup, adresses fiables/non fiables, loopback, RFC1918, link-local, IPv6 et conservation des refus policy_blocked.

## Gravité et périmètre P2 / medium. Cohérence préflight / netguard, commit `65442d2`. ## Constat `internal/config/validate.go:281` refuse une IP littérale déclarée LAN dès qu'elle n'est ni privée ni link-local, même lorsqu'elle appartient explicitement à policy.trusted_networks. Le transport `internal/policy/netguard.go` prend au contraire ces réseaux en compte. ## Reproduction Configurer base_url=http://100.64.0.10:8000/v1, zone=lan, policy.stt_zones=[lan] et trusted_networks=[100.64.0.0/10]. Validate refuse la configuration alors que le transport classe cette destination LAN. Reproduit sans résolution DNS ni transfert réseau. ## Impact Empêche des configurations légitimes, notamment dans des réseaux overlay utilisant une plage explicitement fiable. Ne concerne pas les configurations habituelles RFC1918. ## Correction et acceptation Partager la classification des IP littérales entre préflight et transport, en utilisant les CIDR déjà validés. Ne pas ajouter de résolution DNS au préflight. Tester STT et cleanup, adresses fiables/non fiables, loopback, RFC1918, link-local, IPv6 et conservation des refus policy_blocked.

Rows
Columns