99 lines
7.4 KiB
Markdown
99 lines
7.4 KiB
Markdown
# Schéma réseau – Homelab Proxmox VE
|
||
|
||
## Flux réseau complets
|
||
|
||
```
|
||
┌─────────────────────────────────────────────────────────────────────────┐
|
||
│ INTERNET │
|
||
└──────────┬──────────────────────────────────────┬───────────────────────┘
|
||
│ │
|
||
[UDP 51820] [HTTPS – Cloudflare CDN]
|
||
WireGuard Cloudflare Access (auth email)
|
||
│ │
|
||
▼ ▼
|
||
┌──────────────────────────────────────────────────────────────────────────┐
|
||
│ Freebox – 192.168.1.x/24 │
|
||
│ │
|
||
│ ┌─────────────────────┐ ┌──────────────────────────────────────┐ │
|
||
│ │ GMKtec K12 │ │ TrueNAS Scale │ │
|
||
│ │ Proxmox VE │ │ 192.168.1.x │ │
|
||
│ │ 192.168.1.x │ │ │ │
|
||
│ │ │ │ ┌──────────────────────────────┐ │ │
|
||
│ │ vmbr0 (192.168.1.x)│ │ │ Agent Cloudflare Tunnel │ │ │
|
||
│ │ ┌───────────────┐ │ │ │ → expose Guacamole LXC │ │ │
|
||
│ │ │ WireGuard LXC │ │ │ └──────────────────────────────┘ │ │
|
||
│ │ │ 192.168.1.x │◄─┼── VPN─┘ │ │
|
||
│ │ └───────────────┘ │ └──────────────────────────────────────┘ │
|
||
│ │ │ │ │
|
||
│ │ ┌───────────────┐ │◄─────────────────────────┘ (tunnel vers) │
|
||
│ │ │ Guacamole LXC │ │ │
|
||
│ │ │ 192.168.1.x │ │ │
|
||
│ │ └───────────────┘ │ │
|
||
│ │ │ │
|
||
│ │ ┌───────────────┐ │ │
|
||
│ │ │ OPNsense VM │ │ │
|
||
│ │ │ WAN: 192.168.1│ │ │
|
||
│ │ │ LAN: 10.1.1.1 │ │ │
|
||
│ │ └──────┬────────┘ │ │
|
||
│ │ │ NAT │ │
|
||
│ │ vmbr1 (10.1.1.x/24)│ │
|
||
│ │ ┌──────▼────────┐ │ │
|
||
│ │ │ VMs isolées │ │ │
|
||
│ │ │ • Windows/AD │ │ │
|
||
│ │ │ • Ubuntu │ │ │
|
||
│ │ │ • VMs TP │ │ │
|
||
│ │ └───────────────┘ │ │
|
||
│ │ │ │
|
||
│ │ [host-only / no NIC] │
|
||
│ │ ┌───────────────┐ │ │
|
||
│ │ │ VMs CTF / │ │ │
|
||
│ │ │ Malware │ │ │
|
||
│ │ │ (isolées) │ │ │
|
||
│ │ └───────────────┘ │ │
|
||
│ └─────────────────────┘ │
|
||
└──────────────────────────────────────────────────────────────────────────┘
|
||
```
|
||
|
||
---
|
||
|
||
## Table d'adressage
|
||
|
||
| Service | Type | Réseau | Adresse | Accès externe |
|
||
|---------|------|--------|---------|---------------|
|
||
| Proxmox VE (hôte) | Physique | 192.168.1.x/24 | 192.168.1.x | Via WireGuard uniquement |
|
||
| TrueNAS Scale | Physique | 192.168.1.x/24 | 192.168.1.x | Via WireGuard uniquement |
|
||
| WireGuard | LXC | 192.168.1.x/24 | 192.168.1.x | UDP 51820 (seul port ouvert) |
|
||
| Guacamole | LXC | 192.168.1.x/24 | 192.168.1.x | Via Cloudflare Tunnel |
|
||
| OPNsense WAN | VM | 192.168.1.x/24 | 192.168.1.x | Non exposé |
|
||
| OPNsense LAN | VM | 10.1.1.x/24 | 10.1.1.1 | Passerelle interne |
|
||
| VMs TP / isolées | VM | 10.1.1.x/24 | 10.1.1.x | Via Guacamole uniquement |
|
||
| VMs CTF / Malware | VM | Aucun / host-only | — | Aucun |
|
||
|
||
> Les adresses IP réelles ont été omises volontairement. Ce tableau illustre la logique de segmentation.
|
||
|
||
---
|
||
|
||
## Flux autorisés (synthèse)
|
||
|
||
| Source | Destination | Port/Proto | Autorisation |
|
||
|--------|-------------|------------|--------------|
|
||
| Internet | WireGuard LXC | UDP 51820 | ✅ Seul port ouvert box |
|
||
| Cloudflare | Guacamole LXC | HTTPS | ✅ Via tunnel sortant TrueNAS |
|
||
| Client VPN | Proxmox WebUI | TCP 8006 | ✅ Via tunnel WireGuard |
|
||
| Client VPN | Tous services | Tous | ✅ Via tunnel WireGuard |
|
||
| Internet | Réseau Freebox | Tout autre | ❌ Bloqué par box |
|
||
| Réseau Freebox | Réseau 10.1.1.x | Tout | ❌ Bloqué par OPNsense |
|
||
| VMs 10.1.1.x | Internet | HTTP/HTTPS | ✅ NAT OPNsense |
|
||
| VMs 10.1.1.x | Réseau Freebox | Tout | ❌ Bloqué par OPNsense |
|
||
| VMs CTF | Tout | Tout | ❌ Pas d'interface réseau |
|
||
|
||
---
|
||
|
||
## Ports ouverts sur la Freebox
|
||
|
||
| Port | Proto | Destination | Service |
|
||
|------|-------|-------------|---------|
|
||
| 51820 | UDP | WireGuard LXC | VPN personnel |
|
||
|
||
> **Aucun autre port n'est ouvert.** L'accès à Guacamole et aux autres services web passe exclusivement par le Cloudflare Tunnel (connexion sortante initiée par TrueNAS).
|