Tutoriel

Ton OPNsense tourne, il est à jour, et si tu as suivi la partie 1 de cette série, tu as maintenant une carte en tête : plusieurs zones, un principe simple, par défaut personne ne parle à personne. Ce que tu n’as pas encore, c’est le réseau lui-même. Pour l’instant, cette carte n’existe que sur un schéma. On va la rendre réelle. C’est le pas-à-pas que je t’avais promis dans la partie 1, quand je te disais que la configuration des VLAN viendrait plus tard. On y est. À la fin de cet article, tu auras découpé ton réseau plat en zones étanches, chacune avec sa propre plage d’adresses, et surtout tu sauras écrire les règles qui décident qui a le droit de parler à qui. Si OPNsense n’est pas encore installé chez toi, commence par l’article précédent : on y pose les fondations, WAN sur vmbr0, LAN sur vmbr1, sur lesquelles tout le reste s’appuie. ...

Quand j’ai commencé à bricoler mon réseau, j’ai fait comme tout le monde : j’ai acheté un routeur. Un boîtier grand public, avec sa petite interface web, ses quelques réglages, et cette impression rassurante que « ça marche tout seul ». Et ça marche, un temps. Jusqu’au jour où tu veux vraiment comprendre ce qui circule chez toi, séparer tes machines, décider de qui a le droit de parler à qui. Là, un routeur grand public montre ses limites. Il ne t’a jamais donné les clés, il t’a donné un volant et un capot soudé. ...

Dans l’article précédent sur Pi-hole, tu as monté un bloqueur qui filtre tout ton réseau. Un seul service, un seul mur — et ce mur est rigoureusement identique pour tous les appareils de la maison. Le téléphone, la télé, l’ordinateur du télétravail, la tablette des enfants : même filtrage pour tout le monde. C’est le bon point de départ. C’est aussi sa limite. Parce qu’un mur unique, c’est un compromis permanent. Si tu le serres trop, ta smart TV refuse de lancer Netflix parce que sa télémétrie est bloquée, et c’est toi qu’on vient engueuler. Si tu le desserres pour que la télé fonctionne, tu desserres aussi pour tout le reste. Tu finis coincé au milieu, à viser un réglage « moyen » qui ne convient parfaitement à personne. ...

Tu as installé Proxmox, tu ouvres l’interface web, et deux boutons t’attendent en haut à droite : Create VM (créer une machine virtuelle) et Create CT (créer un conteneur). Deux boutons, deux technologies, et une question que tout le monde se pose au début : c’est quoi la différence, et lequel des deux boutons dois-je choisir : VM ou CT ? La réponse courte, sans suspense : une VM est un ordinateur complet simulé dans ton serveur, un conteneur LXC est un environnement Linux isolé qui partage le moteur de ton serveur. La VM est plus lourde mais plus étanche et plus polyvalente. Le LXC est plus léger et plus rapide, mais réservé à Linux. ...

Ton serveur Proxmox tourne, installé proprement et durci. Si tu as suivi la série, tu as déjà mis les mains dans un conteneur LXC avec Pi-hole. Cette fois, on passe au cran au-dessus : ta première vraie machine virtuelle, un système complet avec son propre noyau, son bureau, ses fenêtres. Et pour cette première, autant choisir le terrain le plus formateur qui soit : un système qu’on peut casser, effacer et réinstaller autant de fois qu’on veut, sans la moindre conséquence. Linux Mint est parfait pour ça. C’est un système accessible, complet, idéal pour découvrir Linux, et il tourne très bien en VM. Le faire tourner sur Proxmox ajoute un filet de sécurité que tu n’as nulle part ailleurs : un snapshot avant chaque manip risquée, un retour en arrière en trois clics si tu casses quelque chose. C’est le bac à sable idéal — celui où on apprend en cassant des choses, ce qui reste la meilleure façon d’apprendre. ...

La vraie question n’est pas technique. Elle est plus simple, et plus dérangeante : qui décide, sur ta propre machine ? Pendant longtemps, la réponse n’avait pas d’importance. Windows était là, il marchait, on ne se posait pas la question. Mais ces dernières années, la trajectoire est devenue difficile à ignorer. Windows collecte toujours plus de données — télémétrie activée par défaut, compte Microsoft quasi obligatoire dès l’installation, Copilot et l’IA poussés au cœur du système, publicités glissées jusque dans le menu Démarrer. À chaque mise à jour, tu as un peu moins la main, et le système ressemble un peu plus à un service qu’on te loue qu’à un outil que tu possèdes. ...

Tu as verrouillé l’interface web de Proxmox dans la partie 1 : compte dédié, double authentification, pare-feu. La porte de devant est solide. Mais il reste une entrée dont on n’a pas parlé : l’accès SSH au système Debian qui fait tourner Proxmox. Durcir SSH, c’est désactiver le login root, passer à l’authentification par clé et bloquer les tentatives répétées avec fail2ban. On va voir comment mettre tout ça en place. ...

Tu viens d’installer Proxmox VE 9, et si tu as suivi l’article précédent, tu as maintenant une interface d’administration qui tourne, accessible dans ton navigateur sur le port 8006. Tu t’y connectes avec root et le mot de passe choisi à l’installation. Ça marche, c’est satisfaisant, et c’est exactement là que la plupart des gens s’arrêtent. Problème : root, c’est le passe-partout de tout le bâtiment. Il ouvre absolument toutes les portes — créer, détruire, reconfigurer, effacer. Or tu ne te balades pas avec le passe dans la poche du matin au soir juste pour ouvrir ton propre bureau. Tu prends ta clé perso pour le quotidien, et tu gardes le passe-partout au coffre, pour les urgences. Travailler en root toute la journée sur ton hyperviseur, c’est exactement l’inverse : se promener avec le passe en permanence. Et le jour où ce mot de passe fuite, est deviné, ou se retrouve dans une fuite de données quelconque, ce n’est pas une porte qui s’ouvre, c’est tout le bâtiment qui s’écroule — l’intégralité de tes machines virtuelles. ...

Dans l’article précédent, tu as installé Proxmox VE 9 sur ton mini-PC. Tu as un hyperviseur qui tourne, une interface web qui s’ouvre, et probablement une impression bizarre : “OK, et maintenant je fais quoi ?”. C’est exactement la question à laquelle cet article va répondre. On va installer ton premier service utile. Pas un truc abstrait — un outil que tu vas voir fonctionner dès le premier jour, et qui va changer ton expérience web à la maison, je parle ici de Pi-hole. C’est un bloqueur de publicités et de trackers qui fonctionne au niveau de ton réseau, pas au niveau de ton navigateur. Concrètement : une fois en place, plus de pubs sur les appareils connectés à ton réseau. Le tout, sans avoir besoin d’installer la moindre extension. ...

Tu as un mini PC qui prend la poussière, ou tu viens d’en acheter un d’occasion exprès pour ça. Dans une grosse demi-heure, ce ne sera plus un PC : ce sera un serveur. Un vrai — capable de faire tourner plusieurs machines en même temps, que tu pilotes depuis le navigateur de ton ordinateur habituel, chez toi, sans payer un abonnement à personne. Pour y arriver, on va installer Proxmox VE 9, un système gratuit et open source dont le seul métier est de faire tourner d’autres systèmes. On appelle ça un hyperviseur : au lieu d’installer Windows ou Linux sur ta machine, tu installes Proxmox, et c’est lui qui héberge ensuite autant de machines virtuelles que ton matériel le permet. Si le mot « homelab » ou l’intérêt de la démarche ne te parle pas encore, commence plutôt par notre article sur le homelab : ici, on part du principe que tu sais pourquoi tu fais ça, et on s’occupe du comment. ...