Reprise du message précédent :
Une vrai sauvegarde plutôt que snapshot, dans le menu sur ton image

 
Sauvegarde en mode 'Stop' sous Proxmox.

merci pour l'info, j'ai eu pas mal de difficulté pour l'update, mon apt upgrade me faisait des erreurs, puis le magic reboot a tout remis en ordre, hého, le chef c'est moi !
 
cool ces groupes et mega-cool les listes DNS  

 
Ya pas de libellé "vraie" sauvegarde dans proxmox, cf la réponse de shaad.
 

 
J'avais lu la différence entre le mode stop et snapshot dans la doc à l'époque : stop = "highest consistency of the backup", snapshot = "small inconsistency risk".
Dans la mesure où j'ai installé le guest agent qui déclenche les commandes "guest-fsfreeze-freeze and guest-fsfreeze-thaw to improve consistency" sur mes vm sensibles, et puisque je fais un backup des DB sensibles, je vais donc rester sur des snapshots, car je n'aime pas l'idée de reboot mes machines tous les 3j.

Tu peux faire un backup à froid toutes les semaines/quinzaines par exemple, et faire des snapshots quotidiens

Je vais faire ça, en effet.  
 
EDIT : en fait je n'arrive pas à faire moins régulier que hebdo. Or une sauvegarde complète je suis OK pour une tous les 90j. EDIT : j'ai réussi à le faire en modifiant le CRON situé ici : /etc/cron.d/vzdump

si tu veux limiter les risques de snapshot foireux sans pour autant éteindre la machine, tu peux aussi couper un maximum de services (surtout BDD en fait) le temps de la snapshot.

Pour les services type bdd, j'essaye d'utiliser les outils de backups à chaud (depuis un autre container, par exemple), ou un simple dump avec lock de la base.

 
Enorme, j'étais passé à côté de ça.
J'ai encore de la marge (enfants petits) mais je commençais justement à tester adguard pour son aspect contrôle parental... que pihole ne proposait pas car pas de gestion par utilisateur.
 
Ca m'amène à reréfléchir à mon infrastructure... voilà en gros la situation :
- VDSL / livebox 4
- actuellement un orangepi qui fait DHCP + pihole + VPN wireguard. Dans l'ensemble ça marchotte pas trop mal (qq plantages de pihole mais jamais rien de méchant).
- un petit serveur qui tourne H24 avec proxmox et des conteneurs/VM pour entre autre tester des trucs (mais aussi serveur web, contrôleur unifi pour le point d'accès wifi...). Il a son clone via du matos n-1 (un vieil atom330) dans un cluster proxmox dont ce node est éteint sauf 1x par jour pour la réplication.
- La fibre n'est pas encore à l'ordre du jour, probablement d'ici 2/4 ans, bref le temps de voir venir... et sûr que j'y passe lorsque ça sera dispo car le VDSL fonctionne vraiment bien (sosh 20€ sosh : 66 Mbps descendant / 21 montant -> si c'est 50% plus cher pour passer à du 300/300 pas dit que je bascule).
 
- Je trouve l'orangepi très casse gueule (moins qu'un raspberry car pas de micro SD mais une eMMC intégrée), genre il crame ça met mon réseau en PLS... bon en même temps pour du @home c'est pas catastrophique de réactiver le DHCP de la livebox, remettre des baux statiques... C'est un beau SPOF, mais intervention facile pour ponctuellement contourner le problème (sauf pour le VPN)
- J'ai créé un conteneur sur proxmox avec un second pihole pour répliquer la config au cas où. C'est pas génial car quand j'ajoute des baux statiques il faut le faire sur les 2 pihole mais bon... J'ai activé le DHCP dessus avec des plages différentes, à priori c'est censé fonctionner mais le second pihole n'a jamais le moindre client. Si j'ai bien compris c'est le DHCP le plus rapide à répondre sur le réseau qui attribue l'ip... visiblement c'est toujours l'orangepi qui gagne... en pratique surtout le DHCP n'a pas l'air de fonctionner sur le conteneur, et en même temps ça fait une situation très étrange car le serveur proxmox, les conteneurs et compagnie ont tous des IP attribuées par le DHCP (baux statiques), du coup ça se mord la queue, c'est    
- pas réussi à répliquer wireguard en conteneur proxmox... et c'est un peu overkill de faire une VM juste pour ça. Pas trop envie de jouer sur l'hôte.
 
Je trouve tout ce bazar un peu bancal, mais en même temps j'ai du mal à envisager quelle serait la situation idéale pour du @home sans y laisser un rein, acheter du matos inutile...
- pour le DHCP un routeur serait plus pertinent... mais avec la livebox en xDSL c'est un peu stupide. Si je ne passe pas par le DHCP de la box c'est qu'elle ne permet pas de changer les DNS. J'aimerai bien intégrer un petit routeur unifi pour le suivi de ce qui se passe sur le réseau mais si c'est pour se compliquer inutilement la vie c'est probablement pas nécessaire. Dans l'immédiat les enfants n'ont pas de device à eux, donc pas besoin de filtrer/surveiller. Idem, rajouter un routeur c'est sympa, mais c'est toujours un SPOF, si l'alim crame ça fout autant le bazar que mon orangepi, surtout que lui il doit avoir une alim ultra basique genre 12V 1A, et qu'il peut être aussi remplacé par un raspberry qui traine ou ce genre de chose. Sans compter le double NAT et ce genre de bêtise imposé par la livebox (pas fibre je rappelle).
- pour les piholes, s'ils ne faisaient que ça je pourrai facilement les mettre sur des conteneurs, ou un orangepi + un conteneur (DNS primaire et secondaire) ça serait idéal...
- pour le VPN je ne sais pas.
- Je bosse @home (pas que en cette période), donc j'ai un besoin vital du net, en gros quand ça ne marche pas c'est vraiment un problème. J'ai aussi pas mal de domotique qui repose sur le réseau (lan, wifi).
 
Bref je suis preneur d'avis et de conseils sur la situation, sachant qu'au passage je cherche aussi à diminuer ma consommation électrique (ou au moins ne pas l'augmenter outre mesure).
 

C'est où ça pour le coup ? Moi aussi j'ai ma liste de /etc/hosts en dur, un peu pénible...

J'étais moi aussi sur ARM (RPI 3) pour pihole et quelques conteneurs, ce qui m'a fait changer c'est la RAM (1 Go) et le fait que certaines images Docker n'étaient pas dispos "officiellement" pour ARMv6, idem pour Docker CE sur CentOS.
 
Du coup je suis passé sur un NUC, on en trouve plein sur leboncoin (70 € pour un core i3 3rd gen, 4 Go, SSD 64 Go).
Ça consomme pas trop, c'est pas trop gros, ça supporte tous les softs x86 et en terme de patate ça n'a rien à voir avec des petites cartes type Pi.
 
Pour le DHCP dans un conteneur, je dirais que le plus simple est d'utiliser le réseau du host : https://docs.pi-hole.net/docker/DHCP/

Antépénultième menu en bas à gauche de la capture d'écran
 

 
   Merci je cherchais dans les settings
 
Bon par contre ils n'ont pas l'air d'avoir intégré les paramètres dans les sauvegardes générées (teleporter machin chose)

 
J'avais d'ailleurs éditer un peu plus de params :
dans /etc/pihole/pihole-FTL.conf
MAXDBDAYS=7
DBINTERVAL=5.0
DBFILE=/etc/pihole/pihole-FTL.db
MAXLOGAGE=24.0  
 
" Only 7 days for the DB, writing to the DB every 5 minutes (not every 1.0 minutes), DB is the normal location, MaxlogAge in Ram is also the normal 24 Hours. "
source : https://forum.armbian.com/topic/644 [...] ng-pihole/

 
J'ai pas une solution pour tous tes besoins à la fois mais voici comment j'ai procédé pour un cahier des charges proche :  
 
- Serveur X86  avec proxmox et 2 interfaces réseau
- Une VM avec sophos qui Firewall complet, avec deep inspection, c'est une vraie usine à gaz mais ça répond à une tonne de besoins et c'est maintenu. Sophos joue le rôle de routeur donc il lui faut 2 interfaces réseau.
- Une VM avec docker pour quasi tous les services applicatifs, notamment traefik pour le reverse proxy
- Une VM avec Pihole qui joue le rôle de DNS , et à qui j'ai confié le rôle de DHCP car c'est bien foutu et facile à gérer (j'aurais aussi pu faire ça avec sophos)
 
Voili voilà, si un composant hardware tombe en panne j'ai assez de spare dans les tiroirs pour réparer, et si j'avais vraiment besoin de haute disponibilité je mettrais un second proxmox sur une machine ultra basse conso, ce que je peux faire du jour au lendemain. En gros le SPOF est bien identifié et l'installation est HA ready.

 
Intéressant. C’est quoi ta machine Proxmox (Hardware) ?
Merci

C'est pas éco friendly
 
Ryzen 2600 avec le bios réglé en mode économie et également sur le host proxmox
16Go DDR4
SSD + HDD
Petit ampli stéréo
 
ça consomme environ 70w mais bon ça joue le rôle de nas, routeur, firewall, streaming musique , serveur domotique, etc.
 
J'ai choisi le 2600 car j'ai fait une bonne affaire dessus et je pensais que sophos allait turbiner vu qu'on est 6 utilisateurs actifs. Au final il tourne à 6% de CPU avec des pics à 12%. Par contre les applis sont vraiment réactives, mon CPU précédent était un i5 3470T et là c'est encore mieux. ça se sent pour les applis domotiques et c'est appréciable.

petit ampli stéréo... tu m'intrigues, tu peux détailler stp?

Ah, j'ai juste mis un petit tripath de récupération : https://www.ebay.fr/itm/2x20W-Tripa [...] 2866022782
 
Et derrière j'ai des petites enceintes bibliothèque hifi.
 
ça me sert pour streamer spotify, squeezebox, airplay, deezer, et diffuser toutes les annonces vocales de la domotique : alarme, coupure de courant sur l'onduleur, etc.

ok il n'est pas virtualisé
j'avais rien pigé, je ne voyais pas comment virtualiser un ampli

Par contre la sortie audio du host est branchée sur une de mes VM, mais ça c'est basique.

C'est pas insupportable ça ?  
 

on a tous connus ça

c'est quoi ça un ampli tripath

@ptibeur : oui, c'est devenu un meme cette annonce vocale qui rendait fou . La différence c'est que c'est de la domotique DIY, j'ai fait des scripts pythons qui déclenchent la synthèse vocale au bon moment pour donner la bonne information (coupure de courant, quelqu'un a sonné dans la rue, détection de présence la nuit, etc.).
 
Un ampli "tripath" c'est une techno d'ampli qui ne coûte rien, ne consomme quasi rien, et qui sort une excellente amplification quand utilisé sur des enceintes de taille modeste (99% des utulisateurs quoi).

Réduire significativement le downtime @home en cas de panne d'un SPOF, c'est très contraignant, couteux et parfois pas forcement possible, par exemple dans le cas d'un modem avec config particulière fourni par le FAI. Pas possible d'avoir du spare dans ce cas donc si panne, tu attends quelques jours afin d'en recevoir un autre.
 
Dans l'idéal, comme tu le mentionnes, le mieux reste de pouvoir reconfigurer des équipements en cas de défaillance. Ton orange pi crame -> Tu réactives le DHCP de ton routeur. Ton modem meurt -> Tu transformes un smartphone en access point wifi <-> 4G. Ca reste des solutions transitoires mais ça évite de devoir doubler tous les équipements de la chaine.
 

J'étais aussi adepte d'en sophos mais j'en suis revenu justement parce que c'est une usine à gaz. Très pratique pour ces nombreuses fonctionnalités mais avec pour conséquence que d'un point de vue sécurité ça devient vite bancal si tu ne maitrises pas l'outil correctement, ce qui demande beaucoup trop de temps au vu des fonctionnalités et des maj.

https://en.wikipedia.org/wiki/Class-T_amplifier

ah Class-T

Je suis d'accord pour sophos
 
J'ai mis un temps de dingo à trouver comment bloquer youtube sur certaines plages horaires pour des utilisateurs précis.
 
J'ai perdu du temps à comprendre pourquoi je n'arrivais pas à installer office 365 (c'était le firewall de sophos), et de manière générale après 6 mois après je n'arrive toujours pas à identifier clairement lorsque Sophos bloque un service.
 
 
Et la frustration totale, je ne parviens pas à générer une notification (peu importe que ce soit mail, appel d'une url, peu importe) lorsqu'une règle XYZ est enfreinte,  et dans l'autre sens je n'ai pas trouvé comment activer/désactiver une règle de firewall par api.  
 
En gros sophos xg est une boîte noire et je n'arrive pas à brancher ma domotique dessus. Si j'ai la russie qui attaque mon serveur, peu importe qu'il réussisse ou non à traverser sophos, il n'y a à peu près aucune chance que je m'en rende compte.

+1
J'avais des logs qui m'indiquaient une "attaque" mais autorisée ou un truc du genre. Vu que je comprenais pas l'alerte en question, je savais pas s'il fallait bloquer ou pas.

Après, faut relativiser, ça reste du @home et la sécurité maximale va en général à l'encontre de la simplicité d'utilisation.

Quand je vois le temps que je perds à accéder à certains systèmes au taf (parfois bien 5 minutes pour passer toutes les étapes), j'ai vraiment pas envie d'avoir pareil à la maison.

bah c'est surtout que c'est pensé @entreprise , mais je pense que c'est ce que tu voulais dire.

pourquoi vous n'utilisez pas sophos UTM?

Sophos UTM est plus simple et plus accessible que NG, je plussoie.

C'est sûr, elle est super sympa Sophie

Sophie ATM ?  

Fixed

Je n'utilise pas UTM car j'ai épluché google et j'ai saoulé du monde ici pendant un mois pour savoir lequel prendre et que l'avantage est allé pour XG dans la mesure où l'éditeur mise tous ses efforts sur cette version qui doit à terme aller plus loin que UTM. Et d'autre part je n'ai pas vu de message disant qu'UTM est clairement plus simple que XG.  
 
Voilà pourquoi.

j'ai utilisé UTM de janvier 2017 à Janvier 2019 et déjà on disait que XG allait prendre la relève, était + developpé...
3 ans et demi après UTM est toujours la

Et tu as ensuite migré chez Ubiquiti, juste ? Satisfait du move ?

tout à fait.
oui très satisfait, le but étant d'avoir une interface de gestion pour mon AP, mon Switch et mon USG.
Alors j'ai une chose que j'ai perdu c'est le hairpin DNS, mais ça a été remplacé par des entrées dans mes pihole

et tu retrouve tout ce que tu faisais dans Sophos dans Unifi / PiHole ?

+1 pour UniFi / Pihole en @home