Pare-Feu

Ton OPNsense tourne, il est à jour, et si tu as suivi la partie 1 de cette série, tu as maintenant une carte en tête : plusieurs zones, un principe simple, par défaut personne ne parle à personne. Ce que tu n’as pas encore, c’est le réseau lui-même. Pour l’instant, cette carte n’existe que sur un schéma. On va la rendre réelle. C’est le pas-à-pas que je t’avais promis dans la partie 1, quand je te disais que la configuration des VLAN viendrait plus tard. On y est. À la fin de cet article, tu auras découpé ton réseau plat en zones étanches, chacune avec sa propre plage d’adresses, et surtout tu sauras écrire les règles qui décident qui a le droit de parler à qui. Si OPNsense n’est pas encore installé chez toi, commence par l’article précédent : on y pose les fondations, WAN sur vmbr0, LAN sur vmbr1, sur lesquelles tout le reste s’appuie. ...

Quand j’ai commencé à bricoler mon réseau, j’ai fait comme tout le monde : j’ai acheté un routeur. Un boîtier grand public, avec sa petite interface web, ses quelques réglages, et cette impression rassurante que « ça marche tout seul ». Et ça marche, un temps. Jusqu’au jour où tu veux vraiment comprendre ce qui circule chez toi, séparer tes machines, décider de qui a le droit de parler à qui. Là, un routeur grand public montre ses limites. Il ne t’a jamais donné les clés, il t’a donné un volant et un capot soudé. ...

Tu viens d’installer Proxmox VE 9, et si tu as suivi l’article précédent, tu as maintenant une interface d’administration qui tourne, accessible dans ton navigateur sur le port 8006. Tu t’y connectes avec root et le mot de passe choisi à l’installation. Ça marche, c’est satisfaisant, et c’est exactement là que la plupart des gens s’arrêtent. Problème : root, c’est le passe-partout de tout le bâtiment. Il ouvre absolument toutes les portes — créer, détruire, reconfigurer, effacer. Or tu ne te balades pas avec le passe dans la poche du matin au soir juste pour ouvrir ton propre bureau. Tu prends ta clé perso pour le quotidien, et tu gardes le passe-partout au coffre, pour les urgences. Travailler en root toute la journée sur ton hyperviseur, c’est exactement l’inverse : se promener avec le passe en permanence. Et le jour où ce mot de passe fuite, est deviné, ou se retrouve dans une fuite de données quelconque, ce n’est pas une porte qui s’ouvre, c’est tout le bâtiment qui s’écroule — l’intégralité de tes machines virtuelles. ...