Apprendre autrement qu'en laboratoire scolaire.
J'ai monté une infrastructure virtualisée à domicile pour tester librement des services, des réseaux et des scénarios d'administration. Au fil du temps, elle héberge des outils que j'utilise au quotidien : gestionnaire de mots de passe, stockage de fichiers, suite bureautique en ligne, applications web et ce site.
Qui dit services réels dit exigences réelles : disponibilité, sécurité, sauvegardes et capacité à intervenir sans tout casser.
Séparer les serveurs du réseau domestique.
Au départ, serveurs, ordinateurs et objets connectés partageaient le même réseau. J'ai refondu l'architecture en trois zones, l'hyperviseur assurant le routage et le filtrage entre elles :
- Réseau domestique : postes et équipements de la maison.
- Zone serveurs (DMZ) : tous les services, sans accès au réseau domestique.
- Laboratoire : maquettes réseau (GNS3) et systèmes de test, isolés du reste.
Seuls deux points d'entrée relient le réseau domestique à la zone serveurs : le reverse proxy pour les services web, le VPN pour l'administration. La migration de chaque service a été préparée, testée puis vérifiée, avec un retour arrière automatique prévu en cas de perte d'accès.
Ne laisser passer que les flux utiles.
- Pare-feu de l'hyperviseur activé : politique par défaut en refus, règles explicites par zone.
- Micro-segmentation : chaque serveur n'accepte que le reverse proxy et le VPN, ce qui empêche un service compromis d'en atteindre un autre.
- Administration accessible uniquement depuis le réseau domestique ou le VPN, SSH par clé seulement.
- Certificats TLS automatiques et renouvelés pour chaque service publié.
- Comptes de service à privilèges minimaux, secrets conservés hors de la documentation.
Un VPN qui fonctionne même sur les réseaux restrictifs.
L'accès d'administration à distance repose sur WireGuard. Pour les réseaux qui n'autorisent que la navigation web, le même tunnel peut être encapsulé dans une connexion HTTPS classique (WebSocket TLS), protégée par un chemin secret. Deux profils côté poste : connexion directe, ou repli HTTPS lancé automatiquement à la demande.
Superviser, documenter, sauvegarder.
- Supervision Prometheus & Grafana : état de l'hyperviseur, de chaque machine et de chaque site publié.
- Documentation complète dans un wiki BookStack : architecture, plan d'adressage, matrice des flux, inventaire, procédures et journal des modifications.
- Sauvegardes quotidiennes de toutes les machines, avec rétention et procédure de restauration documentée.
Comprendre les dépendances d'une infrastructure.
Ce projet m'oblige à raisonner au-delà d'un seul serveur : stockage, réseau, certificats, DNS, disponibilité et capacité à restaurer un service sont liés. La refonte réseau l'a bien montré :
- Un changement de carte réseau sur un conteneur à plusieurs interfaces peut supprimer sa route par défaut : toujours revérifier après coup.
- Activer un pare-feu peut casser la traduction d'adresses (NAT) d'une zone routée : comprendre le suivi de connexion avant de choisir une technologie.
- Une machine virtuelle sans agent peut être reconfigurée hors ligne, depuis l'hyperviseur, en montant son disque.
- Une intervention risquée se prépare : sauvegarde, retour arrière automatique, tests de chaque flux, puis documentation.