Console de site

Capturé le 2026-07-28 depuis un CE de ce déploiement. sitecli/capture-manifest.json consigne quel nœud, et scripts/capture-sitecli.sh --check revérifie la surface de commandes sur un CE actif.

Chaque Customer Edge sert la Console de site F5 sur https://<sli-ip>:65500. Sur ce déploiement, c’est généralement la voie à essayer en premier.

C’est celle qui exige le moins de vous : aucune clé SSH à distribuer, aucun hôte de rebond à maintenir, aucune adresse IP publique sur le nœud, et aucun remplacement de VM pour l’activer. Déterminer qui peut se connecter devient une décision Azure RBAC. Et elle n’a pas besoin que le site soit enregistré : cette page a d’abord été capturée alors que les trois sites signalaient site_state: FAILED, puis revérifiée sans changement sur les mêmes nœuds une fois qu’ils étaient ONLINE.

Le revers est que la Console de site ne répond que sur l’adresse interne (SLI) du nœud, accessible uniquement depuis l’intérieur du VNet. Azure Bastion comble cet écart sans rien ajouter d’autre sur le réseau.

Ce qui est vérifié ici, et ce qui ne l'est pas

Chaque commande et chaque sortie de cette page a été exécutée sur f5-xc-ce-vm-01 dans ce déploiement et est reproduite mot pour mot, y compris les échecs.

L’authentification est vérifiée : l’identifiant admin de l’appliance renvoie 200 à travers le tunnel. Ce qui n’est pas mis à l’épreuve, c’est la console elle-même — rien de ce qui suit ne décrit ce que vous pouvez voir ou faire une fois à l’intérieur.

Azure RBAC n’est pas vérifié. Chaque exécution a été effectuée en tant que propriétaire de l’abonnement, de sorte que l’exigence Reader de l’étape 2 est l’exigence documentée par Microsoft plutôt que quelque chose mesuré ici.

Bastion est optionnel et n'est pas déployé par défaut

enable_bastion vaut false par défaut, donc sur un terraform apply par défaut il n’y a pas d’hôte Bastion et terraform output -raw bastion_name vaut null. Définissez enable_bastion = true dans terraform/terraform.tfvars — il vaut true sur ce déploiement.

La raison pour laquelle c’est optionnel est le coût, non le risque : un hôte de SKU Standard facture une charge horaire permanente dès l’instant où il est provisionné, que quelqu’un ouvre un tunnel ou non — 0,29 USD/heure dans eastus pour les deux unités d’échelle incluses (tarif public, 2026-07), soit environ 212 USD par mois. Désactivez-le à nouveau lorsque la démonstration n’a pas besoin d’un accès console.

Avant de commencer

1. Connectez-vous à Azure et ajoutez l’extension Bastion. Le tunneling est une fonctionnalité du client natif et l’extension n’est pas installée par défaut.

   az login
   az extension add --name bastion

2. Détenez le rôle Reader sur la machine virtuelle CE, son interface réseau et l’hôte Bastion. Il s’agit de l’exigence documentée par Microsoft et elle est non vérifiée ici — chaque exécution dans ce déploiement a été effectuée en tant que propriétaire de l’abonnement, aucun rôle moindre n’a donc été démontré suffisant ou insuffisant.

3. Confirmez que Bastion est déployé et capable. Le SKU Basic ne prend en charge ni le tunneling ni la connexion par IP, donc Standard et True sont tous deux déterminants ici.

   az network bastion list -g "$(terraform output -raw resource_group_name)" \
     --query "[].{name:name, sku:sku.name, tunneling:enableTunneling}" -o table

   Name               Sku       Tunneling
   -----------------  --------  -----------
   mcn-ce-ha-bastion  Standard  True

Ouvrir le tunnel

Prenez les valeurs depuis terraform output plutôt que de les saisir — l’identifiant de ressource n’est pas quelque chose à assembler à la main.

1. Lisez le nom de l’hôte Bastion, le groupe de ressources et l’identifiant de ressource de la VM du CE ciblé.

   cd terraform
   BASTION=$(terraform output -raw bastion_name)
   RG=$(terraform output -raw resource_group_name)
   VM_ID=$(terraform output -json ce_vm_ids | jq -r '.eastus01')

   mcn-ce-ha-bastion
   rg-mcn-ce-ha-<deployer>
   /subscriptions/…/providers/Microsoft.Compute/virtualMachines/f5-xc-ce-vm-01

   La table est indexée par site, non par nom de VM

   Les clés de ce_vm_ids sont eastus01, eastus02, eastus03 — et non les noms de VM. Un filtre comme jq -r '."f5-xc-ce-vm-01"' renvoie null, et le tunnel échoue alors sur un identifiant de ressource vide. Listez-les en cas de doute :

   terraform output -json ce_vm_ids | jq -r 'keys | join(", ")'

   eastus01, eastus02, eastus03

2. Démarrez le tunnel. Il maintient le port ouvert jusqu’à son arrêt, exécutez-le donc en arrière-plan ou utilisez un second terminal.

   az network bastion tunnel \
     --name "$BASTION" \
     --resource-group "$RG" \
     --target-resource-id "$VM_ID" \
     --resource-port 65500 \
     --port 65500 &

   WARNING: Opening tunnel on port: 65500
   WARNING: Tunnel is ready, connect on port 65500
   WARNING: Ctrl + C to close

   Les trois lignes sont préfixées par WARNING:. C’est l’Azure CLI qui écrit sa progression sur stderr, pas un problème. Attendez Tunnel is ready avant de vous connecter.

3. Confirmez que l’écouteur est local, sur la boucle locale :

   lsof -nP -iTCP:65500 -sTCP:LISTEN

   COMMAND   PID  USER  FD  TYPE  DEVICE  SIZE/OFF  NODE  NAME
   Python  41648  you   7u  IPv4  …            0t0   TCP  127.0.0.1:65500 (LISTEN)

4. Ouvrez la console. Le tunnel la rend locale, l’adresse est donc localhost — et non l’adresse du nœud.

   open https://localhost:65500/          # macOS
   xdg-open https://localhost:65500/      # Linux

5. Arrêtez le tunnel lorsque vous avez terminé — Ctrl-C, ou kill %1 si vous l’avez lancé en arrière-plan. Le laisser ouvert maintient le port local 65500 et la session Bastion.

Ce que vous allez voir

Une boîte de dialogue d’identifiants, pas une page de connexion. La console utilise l’authentification HTTP Basic, le navigateur affiche donc sa propre invite de nom d’utilisateur et de mot de passe. Il n’y a aucun formulaire à regarder :

curl -skI https://localhost:65500/

HTTP/1.1 401 Unauthorized
WWW-Authenticate: Basic realm="Volterra Site Console"
Content-Type: text/html; charset=utf-8
Content-Length: 0

Un 401 avec ce domaine (realm) signifie que la console fonctionne correctement. C’est ce qu’une requête non authentifiée est censée obtenir — et fournir l’identifiant admin à la même URL renvoie 200, ce qui permet de confirmer l’identifiant avant d’ouvrir un navigateur :

curl -sk -u admin -o /dev/null -w '%{http_code}\n' https://localhost:65500/

Enter host password for user 'admin':
200

-u admin sans deux-points fait que curl demande le mot de passe au lieu de le prendre depuis la ligne de commande, où il finirait dans l’historique du shell et dans la liste des processus.

Un avertissement de certificat, pour trois raisons à la fois. En vérifiant directement le certificat :

openssl s_client -connect localhost:65500 -servername localhost </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -issuer -dates

subject=C=US, ST=California, L=Santa Clara, O=Volterra, OU=Volterra Edge Services, CN=site-local.volterra.io
issuer=C=US, ST=California, L=Santa Clara, O=Volterra, OU=Volterra Edge Services, CN=site-local.volterra.io
notBefore=Oct 25 04:51:31 2024 GMT
notAfter=Oct 25 04:51:31 2025 GMT

Le sujet est identique à l’émetteur : il est donc auto-signé. Le nom est site-local.volterra.io alors que vous vous connectez à localhost, il ne correspondra donc pas. Et sur la build qu’exécute ce déploiement, le certificat a expiré le 25 octobre 2025 — l’appliance le livre ainsi, et rien dans ce dépôt ne le renouvelle.

Attendez-vous à un avertissement brutal du navigateur, et attendez-vous à le voir chaque fois. La ligne du sujet ci-dessus est la partie utile : c’est ainsi que vous confirmez avoir atteint l’appliance et non autre chose écoutant sur le port local 65500.

L’identifiant administrateur

Connectez-vous en tant que admin. Cette documentation ne publie pas le mot de passe, et ne devrait pas le faire.

Sur ce déploiement, ce mot de passe est encore la valeur d'usine F5

C’est un fait mesuré, pas un soupçon : l’identifiant par défaut d’usine s’authentifie et renvoie 200 sur les trois CE aujourd’hui. F5 publie cette valeur par défaut et exige qu’elle soit modifiée, et elle ne l’a pas été.

La conséquence pratique est que sur ce déploiement, « détenir Reader sur le Bastion » équivaut à un accès complet à la console de l’appliance, pour quiconque connaît une valeur figurant dans la documentation publique de F5. Changez-la, et considérez ce changement comme faisant partie du déploiement d’un nœud plutôt que comme un durcissement ultérieur.

Deux raisons pour lesquelles ne pas le publier importe davantage ici qu’il n’y paraît :

• Cette documentation est publique. Imprimer le mot de passe console actuel du parc transformerait « détenir Reader sur le Bastion » en accès complet à l’appliance pour quiconque lit la page.
• Un mot de passe publié dans la documentation est faux dès l’instant où quelqu’un le fait tourner, et faux de la manière la plus trompeuse — le lecteur conclut que son accès est cassé plutôt que que la page est obsolète.

Une fois qu’il a été renouvelé, obtenez-le là où votre équipe conserve ses secrets opérationnels.

Définir le mot de passe depuis Terraform n'est pas vérifié

admin_user_credentials.admin_password sur l’objet site semble être la manière déclarative de le définir. Il n’a pas été confirmé qu’il atteint la Console de site sur cette build, ne supposez donc pas qu’il le fait.

Ne lisez pas non plus la page SSH comme une preuve dans un sens ou l’autre. Sa conclusion selon laquelle admin_password « n’a rien changé » a été mesurée sur l’authentification SSH, que vpm contourne entièrement pour l’utilisateur admin. Cela ne dit rien de la console.

Pourquoi le tunnel doit cibler l’identifiant de ressource

--target-resource-id est obligatoire. Cibler l’adresse du nœud à la place est refusé — quelle que soit l’adresse utilisée, c’est pourquoi aucune adresse réelle n’est délibérément imprimée ici :

az network bastion tunnel --name "$BASTION" -g "$RG" \
  --target-ip-address <any-sli-address> --resource-port 65500 --port 65501

ERROR: Custom ports are not allowed. Allowed ports for Tunnel with IP connect is 22, 3389.

La raison n’est pas que la connexion par IP soit désactivée — sur ce Bastion, ip_connect_enabled vaut true. Microsoft ne prend pas en charge les ports personnalisés sur les connexions client natif basées sur IP, indépendamment de ce paramètre (documentation Azure), et 65500 est un port personnalisé. Inspecter la configuration Bastion ici ne mène nulle part ; utilisez l’identifiant de ressource.

Quand cela ne fonctionne pas

Symptôme	Cause	Correctif
ERROR: Custom ports are not allowed. Allowed ports for Tunnel with IP connect is 22, 3389.	Utilisation de --target-ip-address	Utilisez --target-resource-id
ERROR: Defined port is currently unavailable	Un autre tunnel occupe déjà ce port local	Arrêtez l’autre tunnel, ou passez un --port différent ; --resource-port reste 65500
terraform output -raw bastion_name vaut null ou est vide	Bastion n’est pas déployé	Définissez enable_bastion = true et appliquez
Le tunnel démarre mais l’identifiant de ressource est vide	Le filtre jq a utilisé le nom de la VM au lieu de la clé de site	Indexez sur eastus01/02/03
401 Unauthorized, realm Volterra Site Console	Pas une panne — requête non authentifiée	Fournissez l’identifiant admin
Le navigateur refuse le certificat	Auto-signé, nom non concordant, et expiré depuis octobre 2025	Attendu ; confirmez que le sujet est CN=site-local.volterra.io et continuez

Les échecs d'autorisation n'ont pas été reproduits

Un RBAC insuffisant est l’autre manière évidente dont cela échoue, mais le reproduire impliquerait de retirer des attributions de rôles sur un déploiement partagé, ce n’est donc pas documenté ici avec une erreur mot pour mot. Si le tunnel échoue au démarrage avec une erreur d’autorisation, vérifiez le rôle Reader sur les trois éléments : la VM, sa carte réseau et l’hôte Bastion.

Les autres voies

Debug APIScriptable et reproductible, ne nécessite aucun accès au VNet. 34 commandes, et le site doit être ONLINE.

SSHLa Site CLI complète sur la machine. Nécessite une clé présente dès le premier démarrage et un hôte à l'intérieur du VNet.

Console sériePour un nœud sans aucun chemin réseau fonctionnel. Une session par VM, limite de collage de 2 048 caractères.