La mission CIA, les besoins du client et les contraintes du projet.
Design HLD/LLD, plan d'adressage et stack technologique.
VPN, pare-feu pfSense, bastion et gestion des secrets.
IPAM NetBox, observabilité, DNS et site interne.
Infrastructure as Code : Ansible, Vault, Git.
Démo en direct de l'infrastructure déployée.
En tant que Cloud Infrastructure Architects, un client nous demande de concevoir, déployer et sécuriser une infrastructure hybride complète, reposant sur deux sites Proxmox interconnectés par VPN, avec une approche scalable pour ajouter de nouveaux sites.
Deux sites Proxmox : on-premises + remote.
VPN site-to-site chiffré entre les sites.
pfSense + filtrage + kill switch.
Bastion host sur le Site 2.
NetBox synchronisé automatiquement.
Logs & métriques centralisés.
Site web accessible en interne uniquement.
Architecture prête pour de nouveaux sites.
| Réseau | Plage | Rôle | Hôtes clés |
|---|---|---|---|
| LAN Site 1 | 192.168.10.0/24 | Réseau interne — supervision & gestion | pfSense .1 · Observabilité .102 · Services .103 |
| LAN Site 2 | 192.168.20.0/24 | Réseau interne distant | pfSense .1 · Bastion .10 · DNS/NTP .20 |
| Tunnel S2S | IPsec IKEv2 | Interconnexion chiffrée S1 ↔ S2 | pfSense ↔ pfSense |
| VPN distant | 10.8.0.0/24 | OpenVPN client-to-site (admins) | Serveur sur pfSense S1 |
Les deux LAN se voient comme un même réseau privé à travers le tunnel, tout en restant isolés d'Internet par les pare-feux.
| Critère | OpenVPN — client-to-site | IPsec — site-to-site |
|---|---|---|
| Authentification | Certificats (CA + certificats) | Clé partagée (PSK) / certificats |
| Fonctionnement | Client / serveur | Pair-à-pair (sites égaux) |
| Ports | UDP 1194 | UDP 500 (IKE) + 4500 (NAT-T) |
| Protocole | SSL/TLS | IKEv2 |
| Usage retenu | Accès admins distants | Liaison entre les 2 sites |
Choix justifié par le besoin : OpenVPN pour l'utilisateur distant (flexible, auth forte), IPsec pour l'interconnexion de sites (performances kernel).
En cas d'incident, l'interconnexion est coupée instantanément en désactivant l'interface VPN sur pfSense.
→ Stoppe la propagation sans empêcher la reprise : la config reste intacte, réactivation en un clic.
Unique point d'entrée SSH externe. Le pare-feu redirige WAN:2222 → :22 vers le bastion (192.168.20.10), qui sert de point de rebond (ProxyJump Ansible) vers les machines internes.
Authentification par clé uniquement — pas de mot de passe.
Blocage auto des tentatives suspectes.
Sessions tracées · métriques Node Exporter :9101.
ProxyJump Ansible vers les hôtes internes.
Aucun secret n'est stocké en clair. Mots de passe et clés API sont centralisés dans HashiCorp Vault (9 secrets), et récupérés dynamiquement par Ansible.
NetBox est notre source de vérité pour le plan d'adressage IP : 2 sites, 6 équipements documentés, exploités comme inventaire par Ansible.
Chaque VM embarque Node Exporter (métriques) et Promtail (logs). Prometheus scrape et Loki agrège sur le Site 1 ; le Site 2 est exposé via un NAT dédié — contournement du blocage IPsec pour le scraping.
Collecte & stockage des métriques :9090.
Dashboards & alerting :3000.
Agrégation & recherche des logs.
Agent métriques sur chaque VM :9100.
Le DNS permet la résolution croisée entre les deux sites via le tunnel VPN : chaque site résout les noms de l'autre comme s'ils étaient locaux.
Résolveur DNS :53 · stub-resolver systemd désactivé.
S1 ↔ S2 — résolution privée, jamais exposée.
Synchro ntp.ubuntu.com — logs & certificats cohérents.
Un site web est hébergé par Nginx :8080 (VM Services du Site 1), accessible uniquement depuis les réseaux privés — bloqué depuis le WAN (deny by default).
Rejeu sûr — changed=0 sur 3 exécutions.
Orchestre les 4 VMs · contrôleur WSL Ubuntu.
Secrets récupérés dynamiquement au déploiement.
Tout versionné — traçabilité & reproductibilité.
Des questions ?
// projet CIA · infrastructure hybride Proxmox · T-NSA-810