Installation initiale

On met en place un réseau DNF par étapes, et on peut s’arrêter à chacune : un poste suffit pour démarrer.

Le parcours

1. Un poste : la machine de l’administrateur (cette page).
2. Une passerelle : créer une zone et y brancher d’autres postes.
3. La coordination : relier les zones par VPN (tailnet).

Une seule configuration

Tous les nœuds sont décrits dans une configuration NixOS, sur la machine de l’administrateur. De là, on déploie et fait évoluer tout le réseau. Cette machine est elle-même un hôte DNF : les recettes d’administration tournent sous son compte de déploiement nix.

Installation assistée

Le premier poste s’installe seul, depuis l’ISO générique, sans autre machine : c’est la voie la plus simple.

Essayer d’abord dans une VM

Sur un Linux doté de Nix et de KVM, une seule commande démarre l’ISO dans une fenêtre QEMU, disque virtuel compris :

nix run github:darkone-linux/darkone-nixos-framework#try

Le disque est gardé d’une fois sur l’autre (~/.local/share/dnf-try) ; nix run …#try -- --reset repart de zéro.

1. Obtenir l’image

   L’ISO générique jointe à chaque release du framework 🡕 (dnf-installer-vX.Y.Z-x86_64-linux.iso), gravée sur une clé USB.

2. Démarrer la machine sur la clé, en filaire, Secure Boot désactivé.

3. Répondre à l’assistant

   Il se lance tout seul sur la console, une fois le réseau en place. Ctrl-C donne l’invite de commande, d’où il se relance :

   darkone new

   Il demande la langue et le clavier, l’identité et le mot de passe de l’administrateur, le domaine du réseau, le nom de la machine, le disque s’il y en a plusieurs (pas en dessous de 20 Go : la clé de sauvegarde n’est jamais proposée), puis le chiffrement du disque et sa passphrase. Le reste se détecte : portable ou poste fixe, UEFI ou BIOS, fuseau horaire du pays. Disque en clair : une passphrase pour la sauvegarde des clés.

4. Confirmer

   Le récapitulatif signale les choix définitifs (domaine, login). Le disque est ensuite effacé et le système installé, projet compris dans /etc/nixos.

5. Sauvegarder les clés, sur une seconde clé USB

   Brancher une clé USB (FAT, exFAT, ext4…), la choisir : rien n’y est effacé. L’assistant y écrit dnf-backup-<domaine>.tar.age, puis demande de la débrancher et de la rebrancher pour la relire. Pas de sauvegarde relue, pas de fin d’installation.

6. Redémarrer, clés USB retirées. Disque chiffré : la passphrase est demandée à chaque démarrage, avec le clavier choisi. La première session ouvre une page d’accueil dans le navigateur : étape 1 sur 4 franchie, la passerelle ensuite.

Sans sauvegarde, un disque perdu emporte tous les secrets

La clé de déploiement nix, la clé age d’infra et le projet n’existent que sur ce poste. La sauvegarde, chiffrée par la passphrase du disque (ou celle de la sauvegarde, disque en clair), les contient tous : la ranger loin de la machine.

La passphrase du disque est celle du parc

Elle devient la passphrase partagée (luks-passphrase) : tout hôte chiffré installé ensuite est formaté avec elle. Le chiffrement exige l’UEFI. Voir Chiffrement des disques (LUKS).

Installation scriptée

Un fichier de réponses tient lieu de questions ; une réponse absente est demandée, ou refusée avec --non-interactive.

reponses.yaml

version: 1
admin:
  login: "alice"
  name: "Alice Martin"
  passwordHash: '$y$j9T$...'    # mkpasswd -m yescrypt
network:
  domain: "example.org"
host:
  hostname: "poste"
disk:
  encrypt: true
locale:
  language: "fr_FR.UTF-8"
backup:
  device: "/dev/disk/by-label/SECOURS"   # clé USB de la sauvegarde

darkone new --answers reponses.yaml --non-interactive --yes \
  --luks-passphrase-file /run/user/1000/luks

La passphrase du disque n’entre jamais dans le fichier de réponses, qui circule : --luks-passphrase-file la lit dans un fichier, sinon elle est demandée. Elle chiffre aussi la sauvegarde ; disque en clair, c’est --backup-passphrase-file. En scripté, la clé USB est relue sans être débranchée.

Sauvegarde des clés

dnf-backup-<domaine>.tar.age, chiffré par age, contient :

• nix/ : la clé de déploiement (SSH) et la clé age d’admin qui en dérive ;
• infra.key : la clé age d’infra ;
• project.bundle : le projet, /etc/nixos, en git bundle.

Pour l’ouvrir, sur n’importe quel Linux doté d’age :

age -d dnf-backup-example.org.tar.age | tar -x
git clone dnf-backup/project.bundle mon-reseau

Sur un nouveau poste d’administration, les clés reprennent leur place, au compte nix, en mode 600 : /home/nix/.ssh/id_ed25519, /home/nix/.config/sops/age/keys.txt et /etc/sops/age/infra.key. Le projet évolue : just backup-admin <périphérique> refait la sauvegarde (recettes).

--dry-run affiche le plan sans rien toucher, sur n’importe quelle machine.

Créer le projet

Voie manuelle, depuis une machine d’administration qui est déjà un hôte DNF. Le projet part du modèle fourni par le framework : une structure prête et un etc/config.yaml commenté à remplir.

1. Créer le dépôt

   nix flake new -t github:darkone-linux/darkone-nixos-framework mon-reseau
   cd mon-reseau && git init && git add -A

   Le projet épingle la dernière release du framework. Autre voie : le template GitHub dnf-boilerplate 🡕 (bouton « Use this template »), copie publiée du même modèle.

2. Amorcer le framework

   nix run github:darkone-linux/darkone-nixos-framework#init
   nix develop github:darkone-linux/darkone-nixos-framework

   Que fait #init ?

   Il crée le lien dnf/ vers l’arbre du framework dans le store nix : c’est lui qui donne ses recettes à just et ses profils au générateur. Ensuite, just --list affiche toutes les commandes disponibles.

   Une fois le projet doté de son propre flake.lock, on rafraîchit ce lien avec nix run .#init : cette forme suit la révision épinglée par le projet, l’outillage ne diverge donc jamais du système construit.

3. Initialiser les secrets

   just configure-admin-host

   Idempotent

   Crée les clés age, le fichier .sops.yaml, le mot de passe de référence et les secrets internes des services déclarés. Ne recrée jamais ce qui existe déjà : relancez-la après chaque nouveau service, hôte ou zone.

Décrire la configuration

Tout se déclare dans etc/config.yaml (réseau, zones, utilisateurs, hôtes). Pour un premier poste, une zone, un utilisateur et un hôte suffisent : tout hôte appartient à une zone (ou porte une adresse publique ipv4).

Un éditeur doté de yaml-language-server (Zed, VS Code avec l’extension YAML…) complète et valide chaque clé, grâce à cette première ligne du fichier (déjà présente dans un projet créé par le modèle) :

# yaml-language-server: $schema=../dnf/config/config.schema.json

etc/config.yaml

zones:
  main:
    description: "Réseau principal"
    ipPrefix: "10.0"          # cette zone utilise 10.0.0.0/16

users:
  alice:
    uid: 1000
    name: "Alice"
    profile: "nix-admin"
    groups: ["global"]

hosts:
  - hostname: "poste"
    name: "Poste de l'administrateur"
    zone: "main:1.10"         # IP fixe 10.0.1.10 ("main" seul = DHCP)
    profile: "desktop"
    users: ["alice"]
    disko:
      profile: "btrfs-1-disk"
      devices:
        main: "/dev/nvme0n1"

Puis régénérer, vérifier et commiter :

just generate      # produit var/generated/*.nix depuis etc/config.yaml
just check-flake   # nix flake check
git add . && git commit -m "Premier hôte"

Fichiers générés

var/generated/ est produit par l’outil : on ne l’édite jamais à la main. On édite etc/config.yaml, puis on régénère. just generate sème aussi les fichiers que le framework attend : usr/users/<login>/ pour chaque compte et usr/machines/<hôte>/ (configuration.nix, install/disko.nix) pour chaque hôte doté d’un bloc disko.

Commiter avant de construire

Les flakes nix ne voient que les fichiers suivis par git. Un var/generated/hosts.nix ou un usr/machines/<hôte>/ non commité fait échouer toutes les constructions.

Installer un poste

L’installation grave une image, démarre la machine dessus, puis applique le système complet.

1. Obtenir l’image

   just build-iso

   Cette image porte votre clé de déploiement. Autre voie, sans construction : l’ISO générique jointe à chaque release du framework 🡕 (dnf-installer-vX.Y.Z-x86_64-linux.iso) ; la clé s’autorise alors au démarrage.

2. Démarrer la machine

   Graver l’image sur une clé USB, brancher l’ordinateur au réseau en filaire, puis démarrer sur la clé. Avant l’invite de commande, l’écran affiche un message de bienvenue DNF, puis l’adresse IP et l’adresse MAC de l’interface reliée à Internet (servies par la passerelle locale ou votre routeur) : les noter.

   - IP: 10.0.0.50
   - MAC: aa:bb:cc:dd:ee:ff

   La commande dnf-netinfo les réaffiche.

   Avec l’ISO générique, l’écran le rappelle : définir un mot de passe (passwd), puis autoriser la clé depuis le poste d’admin.

   sudo -i -u nix ssh-copy-id nixos@10.0.0.50

3. Fixer les adresses (dès qu’une zone existe)

   L’installation se termine par un redémarrage, et la suite doit retrouver la machine. Deux cas :

   • adresse MAC déjà déclarée : rien à faire, la passerelle sert la même adresse fixe à la clé USB et au système installé ;
   • adresse MAC inconnue : la relever, puis la déclarer.

   # just host-info <hôte> <ip-actuelle>
   just host-info poste 10.0.0.50

   Reporter la valeur dans etc/config.yaml, avec une adresse fixe, puis redéployer la passerelle de chaque zone concernée :

   etc/config.yaml

   - hostname: "poste"
     zone: "maison:2.1"
     mac: "aa:bb:cc:dd:ee:ff"

   Hors de la plage DHCP dynamique

   L’adresse fixe doit être en dehors de la plage dhcp-range de la zone (par défaut <préfixe>.3.200 à <préfixe>.3.249). Dans la plage, la réservation n’est honorée que tant que l’adresse n’a pas déjà été prêtée à quelqu’un d’autre : la machine change alors d’adresse à son premier démarrage, en silence. Le générateur refuse ce cas de figure.

   # Redéployer la passerelle locale
   just clean
   git add . && git commit -m "host(poste): installation"
   just apply gw

4. Installer le système

   Avant de lancer l’installation

   Veiller à ce que la machine redémarre par défaut sur le disque qui supportera le système et non sur la clé usb d’installation.

   # just full-install <hôte> <utilisateur> <ip>
   just full-install poste nixos 10.0.0.50

   En quelques minutes

   full-install installe le système, les programmes, les configurations et les utilisateurs. Quand il redémarrera automatiquement, sondera toutes les adresses connues de la machine (celle de l’installation, celle de sa zone, celle de passage, son nom) et poursuit sur celle qui répond. Sur un hôte chiffré, il répond aussi tout seul au prompt LUKS. En cas d’échec, les étapes détaillées sont dans le Justfile.

   Installer par-dessus un système existant

   Une machine qui tourne déjà peut détenir un bail dynamique plus ancien que sa réservation. nixos-anywhere fige son adresse cible pour tout le run : dès que son installeur refait un DHCP, la machine bascule sur son adresse réservée et le run parle dans le vide.

   La recette refuse maintenant de démarrer sur une adresse que l’hôte ne garde pas. Le plus simple est de redémarrer la machine avant d’installer, pour qu’elle prenne son adresse réservée.

   Si le cas se produit quand même, rien n’est perdu : l’installeur est déjà chargé en mémoire sur la machine, à la bonne adresse cette fois. Il suffit de relancer dessus, la phase de chargement est sautée automatiquement :

   just full-install poste root 10.0.2.1

5. Le système est installé et à jour.

On peut s’arrêter là

Un poste autonome est déjà pleinement utilisable. La passerelle n’est nécessaire que pour créer une zone (réseau local partagé).