Homelab
Décisions d'architecture
Chaque choix structurant est expliqué dans un ADR (Architecture Decision Record) — contexte, options, décision, conséquences. Une décision remplacée n'est jamais effacée.
Une carte graphique confiée à la VM des applications
Une GeForce d'entrée de gamme est confiée en entier à la VM des applications (passage PCI) pour la reconnaissance des photos et la conversion des vidéos, avec un pilote suivi par Debian et des conteneurs qui la demandent par CDI.
Mises à jour du parc et veille de sécurité
Chaque machine publie son état de mise à jour, une veille nocturne compare versions et failles connues, et la maintenance se lance en deux clics dans Semaphore (annonce, puis mise à jour programmée).
Autorité de certification interne et TLS vérifié sur les flux internes
Une autorité interne (racine hors ligne, intermédiaire sur le pare-feu) pour chiffrer et authentifier chaque flux entre machines, et rendre inopérante une usurpation DNS ou ARP.
Détection et prévention des intrusions en couches légères
Suricata sur le pare-feu, CrowdSec partagé par toutes les machines avec blocage au pare-feu, règles de détection sur les journaux centralisés ; pas de SIEM lourd.
Journaux centralisés avec VictoriaLogs, collecte sans agent
Les journaux de toutes les machines arrivent dans VictoriaLogs sur la VM de supervision, par les mécanismes déjà présents (journald, syslog), consultables dans Grafana.
Sauvegardes hors site chiffrées, ciblées sur ce qui est irremplaçable
Chaque nuit, exports des VM, photos et fichiers partent chiffrés vers un stockage distant de 1 To ; ce qui peut être recopié depuis sa source n'en fait pas partie.
Un groupe par service, droits d'administration et quotas dérivés de l'annuaire
L'accès à chaque service se donne en ajoutant quelqu'un à un groupe ; les droits d'administration des applications suivent le groupe des administrateurs ; les quotas se règlent depuis la page des comptes.
Inviter sans transmettre de mot de passe, depuis une page des comptes
Les comptes sont créés sans mot de passe et la personne choisit le sien par un lien à usage unique ; une page d'administration, derrière le VPN et le SSO, remplace la ligne de commande.
Un coffre à secrets OpenBao, à côté de SOPS
Les secrets passent dans un coffre OpenBao (connexion SSO, accès par identité, audit) ; SOPS reste le magasin de démarrage.
Semaphore UI pour lancer Ansible depuis le homelab
Une interface web interne, protégée par le SSO, lance les playbooks versionnés ; ses accès sont limités et vérifiés.
Supervision par Prometheus, NOC public sur mesure derrière le SSO
Prometheus collecte, Alertmanager prévient par e-mail et sur téléphone (ntfy), une page sur mesure publie un NOC consultable après authentification.
Site public sur mesure, généré par Hugo et servi par le homelab
Le portfolio est un site statique au design propre, construit depuis docs/ et publié par un tunnel Cloudflare.
Nextcloud pour le stockage de fichiers
Nextcloud est retenu pour le drive familial, pour sa compatibilité avec tous les appareils.
Annuaire LLDAP et authentification unique Authelia
Un annuaire LDAP unique pour les comptes et un portail SSO avec double authentification pour tous les services publiés.
Un seul serveur, avec le pare-feu virtualisé
Le Dell T330 porte l'hyperviseur, le stockage et OPNsense en VM ; pas de cluster ni de bastion pour l'instant.
Un seul domaine, maximebertrand.net
maximebertrand.net sert à tout (vitrine, services publics, zone interne), en remplacement de l'ADR 0004.
Exposition directe des services personnels derrière OPNsense et BunkerWeb
Les photos et le drive sont publiés sans Cloudflare, via une redirection de port vers un WAF BunkerWeb en DMZ.
LAB isolé derrière son propre pare-feu
Le LAB a sa propre OPNsense, reliée à la PROD par un transit routé sans NAT.
Cluster Proxmox de PROD en mini-PC basse consommation
Trois ThinkCentre Tiny en cluster, avec ZFS local et réplication, dans un budget énergie de 40 €/mois.
OpenTofu et Ansible dès le départ
Aucune ressource créée à la main, même si le démarrage est plus lent.
Répartition des domaines
maximebertrand.eu pour la vitrine publique, le domaine .fr existant pour le labo.
OPNsense sur boîtier dédié, en DMZ derrière la Freebox Pop
La Freebox reste en routeur ; un mini-PC OPNsense dédié reçoit tout le trafic entrant en DMZ.
Exposition publique via Cloudflare Tunnel
Le site vitrine est exposé par un tunnel sortant, sans aucun port entrant ouvert.
Le Dell T330 dédié au stockage
Le T330 devient la machine de stockage (ZFS RAIDZ2, PBS), le calcul part sur un cluster dédié.