# Adăugare hosturi locale — madagascar network

Numele vechi `is-vpn-gw` este deprecated. Folosește `jumper` sau `jumper.madagascar.xdev.ro` în scripturi și documentație.

Regula importantă: local nu se folosește wildcard pentru `*.madagascar.xdev.ro`. Doar hostname-urile cunoscute din `config/local-hosts.tsv` se rezolvă local; orice nume necunoscut, inclusiv typo-uri precum `nohost.madagascar.xdev.ro`, trebuie să întoarcă `NXDOMAIN`.

Domeniul vechi `.vad.is.xdev.ro` este deprecated. Nu se adaugă intrări noi pentru el și nu se păstrează aliasuri locale pentru acest namespace.

## De ce dual?

## Unde se adaugă

| Loc | Fișier | Rol |

|-----|--------|-----|

| jumper `/etc/dnscrypt-proxy/cloaking-rules.txt` | servit clienților LAN prin dnscrypt-proxy | Clienții care cer DNS la 192.168.2.100 primesc IP-ul intern |

| as01 `/ip dns static` (MikroTik) | fallback când jumper e oprit | as01 servește direct din cache static propriu |

Zona publică poate avea nume Madagascar care ajung la IP-ul public `89.32.222.226`. Pentru LAN, fiecare nume real care există și local trebuie să aibă override exact în ambele resolvere, altfel va cădea în DNS public și va ajunge greșit la `.226`.

Implementarea versionată este:

| Fișier | Rol |

|--------|-----|

| `config/hosts.yaml` | seed/snapshot export pentru hosturi și FQDN-uri canonice |

Când inventarele se contrazic, ordinea de încredere este:

1. DHCP lease/reservation pe router (`admin@192.168.2.1`) — autoritatea pentru alocarea IP-urilor pe LAN. Configurațiile statice locale nu au voie să mute un IP peste DHCP; cel mult semnalează o rezervare lipsă sau o intrare veche.

2. `cluster/cluster-context/madagascar.json` — autoritatea pentru roluri, topologie și IP-uri de serviciu. Pentru nodurile Proxmox, DNS-ul de serviciu poate folosi interfața `thunderbridge` (`192.168.10.x`) chiar dacă management/WAN este `192.168.2.x`.

4. `config/local-hosts.tsv` — manifestul DNS local publicat pe jumper și as01. Acesta trebuie să fie derivat sau validat din DHCP plus topologia clusterului, nu folosit ca sursă primară de alocare IP.

5. `hosts-local.yaml` — inventar SSH: aliasuri, utilizatori, entrypoint-uri și căi de acces. IP-urile de aici sunt utile pentru audit, dar pot fi stale dacă DHCP spune altceva.

6. mDNS (`*.local`) — sursă observată de descoperire și validare. Confirmă prezența unui host sau propune aliasuri, dar nu creează automat intrări `madagascar.xdev.ro`.

7. DNS public — folosit doar pentru acces extern. Local, numele interne trebuie shadow-uite exact sau lăsate nerezolvate; wildcard-ul public nu este autoritate pentru LAN.

Reguli de împăcare:

- Pentru un IP de LAN, DHCP câștigă în fața oricărei valori hardcodate în inventare.

- Pentru un IP de serviciu non-LAN, `madagascar.json` câștigă dacă explică explicit interfața sau rolul.

- Pentru VM-uri, regula `vmid -> 192.168.2.vmid` este convenție de propunere și audit, nu autoritate. Rezervarea DHCP finală decide.

- Prefixele istorice `is-`, `vad-` și `b-` se elimină la normalizarea numelor. `.vad.is.xdev.ro` rămâne deprecated și nu se reactivează prin aliasuri.

- Dacă o sursă observată există doar în mDNS sau doar în lease-uri dinamice, se raportează ca propunere, nu se sincronizează automat în DNS.

Locația implicită:

```text

Rulare manuală pentru test:

```bash

perl scripts/mdns_host_seed.pl --verbose --once --timeout 120

```

Dry-run:

```bash

perl scripts/mdns_host_seed.pl --dry-run --verbose --timeout 30

```

Pe jumper, listenerul poate rula ca serviciu separat:

```bash

sudo install -m 0644 deploy/jumper/host-manager-mdns.service /etc/systemd/system/host-manager-mdns.service

sudo systemctl daemon-reload

sudo systemctl enable --now host-manager-mdns

```

`dnscrypt-proxy` folosește blocklist; `google.com` și `www.google.com` sunt allowlist-uite explicit ca să nu fie întoarse ca `0.0.0.0`.

Rulează întâi dry-run:

```bash

./scripts/sync_local_hosts.sh

```

Aplică și verifică:

```bash

./scripts/sync_local_hosts.sh --apply --verify

```

## Pași pentru un hostname nou

```bash

# Aplicația păstrează registry-ul în var/host-manager.sqlite.

# 2. Aplică pe ambele resolvere

./scripts/sync_local_hosts.sh --apply --verify

# 3. Verificare manuală, dacă e nevoie

# 4. Verificare negativă: numele inexistente nu trebuie să se rezolve

dig @192.168.2.100 nohost.madagascar.xdev.ro +short

dig @192.168.2.2   nohost.madagascar.xdev.ro +short

```

Comenzile negative de mai sus trebuie să întoarcă output gol, iar cu `+comments` statusul trebuie să fie `NXDOMAIN`.

Registry-ul de cluster publică un singur IP rutabil pentru fiecare host. Micromanagement-ul local, inclusiv orice intrări `127.0.0.1 localhost localhost.localdomain` sau override-uri locale pe host, nu se administrează din Madagascar Local Authority.

## Hosturi existente

| Hostname | IP |

|----------|----|

| `baobab.madagascar.xdev.ro` | 192.168.10.91 |

| `mazeri.madagascar.xdev.ro` | 192.168.2.102 |

| `zabbix.madagascar.xdev.ro` | 192.168.2.107 |

| `toltec.madagascar.xdev.ro` | 192.168.2.103 |

| `ebony.madagascar.xdev.ro` | 192.168.10.92 |

| `tapia.madagascar.xdev.ro` | 192.168.10.93 |

| `autonas01.madagascar.xdev.ro` | 192.168.10.21 |

| `autonas02.madagascar.xdev.ro` | 192.168.10.22 |

| `anjothibe.madagascar.xdev.ro` | 192.168.2.95 |

| `andrafiabe.madagascar.xdev.ro` | 192.168.2.96 |

| `pmx.baobab.madagascar.xdev.ro` | 192.168.10.91 |

| `pmx.ebony.madagascar.xdev.ro` | 192.168.10.92 |

| `pmx.tapia.madagascar.xdev.ro` | 192.168.10.93 |

| `pbs.anjothibe.madagascar.xdev.ro` | 192.168.2.95 |

| `pbs.andrafiabe.madagascar.xdev.ro` | 192.168.2.96 |

## Verificări obligatorii după modificări

```bash

# Host real: trebuie să întoarcă IP intern pe ambele resolvere

dig @192.168.2.100 baobab.madagascar.xdev.ro +short

dig @192.168.2.2   baobab.madagascar.xdev.ro +short

# Host inexistent: trebuie să rămână nerezolvat local

dig @192.168.2.100 nohost.madagascar.xdev.ro +noall +comments

dig @192.168.2.2   nohost.madagascar.xdev.ro +noall +comments

```

## DNS public (zones/xdev.ro.zone)

Hostname-urile interne **nu se adaugă** în zona publică. Excepție: dacă un hostname intern are și un port forward public, se adaugă în zona publică numai pentru acces extern și trebuie shadow-uit local prin override exact.

> RFC 2181: un MX record nu poate pointa la un CNAME. Dacă adaugi un hostname care va primi MX, trebuie să fie A record în zona publică — vezi cazul `mazeri`.