Ports et flux réseau
Cette page liste les ports sur lesquels écoute la Navin Platform et les flux à ouvrir, par méthode d'installation. Les valeurs viennent des unités systemd des paquets, du chart Helm, des manifestes des services de données et du fichier compose.
Paquets OS
| Port | Protocole | Service | Qui se connecte |
|---|---|---|---|
| 8080 | HTTP | API Control Plane (navin-platform-api, EAI_PORT) | Navigateurs à travers le proxy inverse TLS, SDK, CLI |
| 3300 | HTTP | Portail (navin-platform-portal, NAVIN_PORTAL_PORT) | Navigateurs à travers le proxy inverse TLS |
| 9464 | HTTP | Métriques du worker (EAI_WORKER_METRICS_PORT) | Prometheus |
| 9465 | HTTP | Métriques du worker média (EAI_MEDIA_WORKER_METRICS_PORT) | Prometheus |
| 5432 | PostgreSQL | Base locale (socket UNIX seulement par défaut) | API et worker du même hôte |
| 8460 | HTTPS | Console et API du Navin Manager (rôle standalone ou manager) | Opérateurs, portail |
| 8461 | HTTPS | Point d'accès des agents du Navin Manager | Agents des nœuds |
navin-install preflight vérifie que 5432, 8460, 8461, 8080, 3300 et 9464 sont libres (ou déjà servis par leur
propre unité Navin) et signale les ports que le pare-feu local bloque encore.
En sortie de l'hôte de la plateforme : OpenBao (EAI_OPENBAO_URL, 8200 par défaut), Keycloak (EAI_OIDC_ISSUER),
Redis (EAI_REDIS_URL, 6379), LiteLLM (EAI_LITELLM_URL), le collecteur OTLP (4318) et, s'il est utilisé, le
serveur PostgreSQL externe (5432).
Kubernetes
Exposition
| Point d'entrée | Port | Objet |
|---|---|---|
APISIX (API <control-plane-host>) | 9080 HTTP, 9443 TLS (ports du conteneur) | Service LoadBalancer, externalTrafficPolicy: Local (deploy/apisix/values.yaml) |
Portail (<portal-host>) | 443, HTTP redirigé vers HTTPS | Ingress de classe nginx (portal.ingress) |
| Média LiveKit (voix) | 7880 signalisation, 7881 TCP, plage UDP de deploy/livekit | Manifestes de deploy/livekit |
Ports dans le cluster
| Service | Namespace | Port |
|---|---|---|
| API Control Plane | enterprise-ai | 8080 |
| Portail | enterprise-ai | 3000 |
| LiteLLM | enterprise-ai | 4000 |
| vLLM | enterprise-ai | 8000 |
| Ollama | enterprise-ai | 11434 |
| Métriques du worker | enterprise-ai | 9464 |
| PostgreSQL (CloudNativePG) | eai-data | 5432 |
| Redis | eai-data | 6379 |
| NATS | eai-data | 4222 (client), 8222 (supervision, lu par KEDA) |
| Qdrant | eai-data | 6333 |
| Frontend Temporal | eai-data | 7243 |
| LiveKit | eai-data | 80 (Service), 7880 (conteneur) |
| OpenFGA | eai-security | 8080 |
| OPA | eai-security | 8181 |
| OpenBao | openbao | 8200 (API), 8201 (cluster) |
| ClickHouse | observability | 8443 |
| OpenTelemetry Collector | observability | 4317 (gRPC), 4318 (HTTP) |
| Backend Opik | observability | 8080 |
| Prometheus | observability | 9090 |
Flux
Chaque namespace part d'un refus total, DNS compris, et chaque charge n'ouvre que ce dont elle a besoin. La matrice
des flux du chart (Control Plane, worker, Job de migration, portail, LiteLLM, vLLM, workers média) et les règles DNS
sont décrites dans Durcissement réseau et DNS. Seuls le Control Plane et
LiteLLM joignent Internet, à travers la liste de FQDN networkSecurity.providerFQDNs
(référence des valeurs Helm).
Docker Compose
Publiés sur l'hôte (deploy/compose/docker-compose.yml) :
| Port | Service |
|---|---|
| 8080 | API Control Plane |
| 3300 | Portail |
| 4000 | LiteLLM |
| 8081 | Keycloak |
| 8082 | OpenFGA |
| 8088 | Interface Temporal |
| 8200 | OpenBao (mode dev) |
| 7880, 7881, 50000-50100/udp | LiveKit |
| 3001 | Frontend Opik (profil opik) |
| 16686 | Jaeger |
| 4317, 4318 | OpenTelemetry Collector |
| 9090 | Prometheus |
| 8333 | API S3 de SeaweedFS |
docker-compose.host-ports.yml, ajouté par chaque cible make docker-* sauf avec HOST_PORTS=0, publie aussi sur
127.0.0.1 seulement : PostgreSQL 5432, Redis 6379, OPA 8181, Qdrant 6333, NATS 4222, Temporal 7243,
ClickHouse 8123, vLLM 8000, Ollama 11434. make docker-env écrit le port libre suivant quand un port par défaut est
pris (par exemple POSTGRES_HOST_PORT=5433).
Dépannage
| Symptôme | Cause | Correction |
|---|---|---|
navin-install preflight affiche port 8080 is taken | Un autre programme écoute sur le port | ss -ltnp 'sport = :8080' le montre ; arrêtez-le ou déplacez-le |
| Le portail s'affiche mais chaque appel à l'API échoue | NAVIN_PORTAL_API_URL ou NEXT_PUBLIC_EAI_API_URL n'est pas l'URL que joignent les navigateurs | Fixez l'URL publique de l'API, puis redémarrez le portail |
| Un pod ne résout pas un nom | La règle DNS Cilium de la charge ne le liste pas | Utilisez le nom complet (nats.eai-data.svc.cluster.local), voir la section DNS de la page de durcissement |