Hermes Agent
8870cafdf9
Une cible = une instance Android, donc une interface et ses propres fichiers : c'est la seule isolation franche du trafic par appli, et elle ne demande aucun root. - waydroid : capture sur le bridge waydroid0. - avd : alimentee par le -tcpdump de l'emulateur, qui sort par la pile reseau de l'hote. - rotation de 10 min, 72 fichiers conserves (12 h), digest d'hotes par cible. Pas de root : CAP_NET_RAW et CAP_NET_ADMIN en capacites ambiantes, donc NoNewPrivileges reste a false (systemd refuse la combinaison). Utilisateur statique et non DynamicUser, plusieurs unites partageant le meme arbre d'etat. marc et hermes sont ajoutes au groupe pour lire les captures sans root. Verifie sur tower : tcpdump a l'ecoute sur waydroid0, deux jeux de pcaps distincts, digests ecrits par les timers (avd : connectivitycheck.gstatic.com ; waydroid : play.googleapis.com).
94 lines
2.3 KiB
Nix
94 lines
2.3 KiB
Nix
{
|
|
pkgs,
|
|
config,
|
|
...
|
|
}: {
|
|
imports = [
|
|
./nextcloud
|
|
./postgres
|
|
./vaultwarden
|
|
./newt
|
|
./readarr
|
|
./radarr
|
|
./sonarr
|
|
./prowlarr
|
|
./flaresolverr
|
|
./qbittorrent
|
|
./rqbit
|
|
./autossh
|
|
./wayvnc
|
|
./cage-firefox
|
|
./cage-waydroid
|
|
# ./dnscrypt
|
|
./adguard
|
|
./matrix
|
|
./matrix-whatsapp
|
|
./matrix-signal
|
|
./matrix-discord
|
|
./matrix-meta
|
|
./matrix-linkedin
|
|
./matrix-marc-agent
|
|
# ./matrix-telegram # attendre api_id/api_hash de my.telegram.org
|
|
./navidrome
|
|
./jellyfin
|
|
./audiobookshelf
|
|
./media
|
|
./arr-mcp
|
|
./tor
|
|
# ./minio
|
|
./jupyterhub
|
|
./hermes
|
|
./hermes-webui
|
|
./hermes-dashboard
|
|
./hermes-mobile
|
|
./discord-bot
|
|
# ./discord-hermes-bridge # inutile : un seul gateway par hote, celui du
|
|
# profil default sert deja le profil discord-bridge (l'unite faisait
|
|
# crash-looper un second gateway, exit 75 « The host gateway already serves
|
|
# profile 'discord-bridge' »). Le cog Discord tape la route multiplexee
|
|
# http://127.0.0.1:8642/p/discord-bridge/v1/chat/completions.
|
|
./eternal-terminal
|
|
./nextcloud-mcp
|
|
./mcp-lan-access
|
|
./amazon-mcp
|
|
./hinge-auto
|
|
./firefox-mcp
|
|
# ./stalwart-mcp # importé par profiles/tower uniquement (voir le commentaire
|
|
# dans le module : sur anywhere la clé sops entre en conflit avec services/stalwart)
|
|
./gotify
|
|
./zitadel
|
|
# ./zitadel-mcp # FIXME: secret zitadel_mcp_env manquant dans zitadel.yml
|
|
./roku
|
|
./codeberg-mcp
|
|
./ibkr-mcp
|
|
# ./vaultwarden-mcp # FIXME: missing input
|
|
./meetup-mcp
|
|
./gitea
|
|
./gitea-mcp
|
|
./openrouter-mcp
|
|
./reactive-resume
|
|
./anki-sync-server
|
|
./anki-mcp
|
|
./winnie
|
|
./mac-mcp
|
|
./wise-mcp
|
|
./bank-mcp
|
|
./llm-steamdeck
|
|
./android-capture
|
|
# ./kanidm
|
|
# ./syncserver
|
|
# ./newt # attendre maj flakes
|
|
|
|
# Remote desktop gateway & access (WIP, non activé sur aucun profil : les
|
|
# modules définissent juste les options, `enable` reste à false partout.
|
|
# Domaines/secrets encore en placeholder dans les modules, cf TODO internes.)
|
|
../modules/nixos/vault-rustguac
|
|
../modules/nixos/rustguac
|
|
../modules/nixos/kasmvnc
|
|
../modules/nixos/kasmvnc-chrome-cdp.nix
|
|
../modules/nixos/rustdesk
|
|
../modules/nixos/nginx/rustguac
|
|
../modules/nixos/nginx/kasmvnc
|
|
];
|
|
}
|