haos-project/docs/architecture.md

Architecture – HAOS Project

Vue d'ensemble

L'infrastructure repose sur Home Assistant OS installé en natif sur un mini-PC dédié, fonctionnant 24h/24.

Stack technique

Couche	Technologie
OS domotique	Home Assistant OS (HAOS)
Broker MQTT	Mosquitto (add-on officiel)
Réseau Zigbee	Zigbee2MQTT + Sonoff Dongle Plus V2
NVR	Frigate
Alarme	Alarmo
Tunnel sortant	Cloudflared (add-on officiel)
Capteurs custom	ESPHome (add-on officiel)
Notifications	Telegram Bot API
Énergie	Intégration Enedis officielle
Chauffage	Heatzy (intégration HACS)

Le VPN WireGuard ne fait pas partie de la stack HAOS. Il est hébergé sur un LXC dédié, sur un second mini-PC sous Proxmox VE (cf. pve-project). HAOS ne fait tourner aucun serveur VPN : le client WireGuard obtient un accès au LAN, qui inclut HAOS, au même titre que tout autre hôte du réseau local.

Flux de données

Équipements Zigbee
      │
      ▼ (radio Zigbee 2.4GHz)
Sonoff USB Dongle
      │
      ▼ (USB)
Zigbee2MQTT ──► Mosquitto MQTT ──► Home Assistant
                                        │
                                        ├── Alarmo
                                        ├── Frigate (RTSP)
                                        ├── ESPHome (Wi-Fi)
                                        ├── Heatzy (Cloud API)
                                        └── Enedis (Cloud API)

Accès réseau

Internet
    │
    ┌───────────────┴───────────────┐
    │                               │
    ▼ HTTPS sortant uniquement      ▼ UDP 51820 (seul port WAN ouvert, pas sur HAOS)
Cloudflare                    WireGuard (LXC sur Proxmox, mini-PC distinct)
    │                               │
    ▼ tunnel chiffré                ▼ tunnel VPN → accès LAN complet
Cloudflared add-on (HAOS)     LAN 192.168.1.0/24 (HAOS, Proxmox, IoT)
    │
    ▼
Home Assistant

L'accès web public à Home Assistant passe uniquement par le tunnel sortant Cloudflared. L'administration (SSH, Samba, UI Zigbee2MQTT/Frigate) passe uniquement par le VPN WireGuard, qui n'est pas un add-on HAOS mais un service distinct hébergé sur le Proxmox.

Principes de sécurité

• Zéro port ouvert sur la box/routeur côté HAOS (le seul port WAN ouvert, UDP 51820, est sur le Proxmox)
• Tunnel sortant uniquement (Cloudflared) pour l'accès web à Home Assistant
• VPN WireGuard obligatoire pour toute administration (SSH, Samba) — hébergé sur le Proxmox, pas sur HAOS
• Données locales : vidéo, Zigbee, capteurs ESPHome restent sur le réseau local
• Moindre privilège : chaque service n'accède qu'à ce dont il a besoin