Réseau

Topologie actuelle

Internet ── ER605 (routeur Omada, passerelle 10.9.73.1, WireGuard pour accès distant)
              ├── VLAN 10 — 10.9.73.0/24 (HomeLab : infra + mgmt)
              │     ├── pve            10.9.73.20
              │     ├── NAS Synology   10.9.73.10
              │     ├── PC bureau      10.9.73.50
              │     ├── dev-laravel    10.9.73.30
              │     ├── jellyfin       10.9.73.80
              │     ├── forgejo        10.9.73.81
              │     ├── woodpecker     10.9.73.82
              │     └── VM-Coolify     10.9.73.90
              └── VLAN 20 — 192.168.20.0/24 (passerelle .1) : appareils perso & IoT,
                    diffusé par le point d'accès TP-Link AXE75

Le contrôleur Omada (logiciel) tourne dans la VM 103 (RouteurController) et pilote l'ER605 (routeur) ainsi que le point d'accès AXE75. Il n'y a aujourd'hui que deux VLAN : 10 (HomeLab) et 20 (appareils perso / IoT).

Cible (phase NaC — P2)

État P2 — replanifié, non démarré (2026-07)

Aucune étape n'est exécutée : le VLAN 30 n'existe pas encore côté Omada, vmbr0 n'est pas VLAN-aware, et aucun objet SDN/pare-feu n'est appliqué (firewall_enabled = false, absent du tfstate). Le code OpenTofu (network-sdn.tf, firewall.tf) est prêt et inerte. Déroulé d'exécution : runbook P2.

• VLAN 30 « PROD » (10.9.30.0/24) : VMs d'applications exposées.
• Port du Proxmox en trunk : natif VLAN 10 + tagged VLAN 30.
• vmbr0 VLAN-aware (manuel, cf. runbook) + SDN OpenTofu : zone lan, vnet prod (tag 30). Pas de vnet mgmt : VLAN 10 = natif (cf. ADR-003).
• Pare-feu PVE activé : UI 8006 et SSH accessibles uniquement depuis VLAN 10/VPN ; PROD sans accès vers MGMT (ACL Omada).

Mise en œuvre : runbook P2.

Pare-feu (as code, opentofu/firewall.tf)

Objet	Contenu
ipset mgmt	10.9.73.0/24 (+ sous-réseau WireGuard si distinct)
Règles hôte (cluster)	8006 + SSH depuis +mgmt uniquement ; ICMP ; réponses DHCP
Groupe internal	tout l'entrant depuis +mgmt, rien d'autre
Groupe webpublic	TCP 80/443 depuis partout
Groupe jellyfin	TCP 8096 depuis VLANs 10/20/30

Machine	Groupes appliqués
VM 101 Coolify	webpublic, internal
VM 104 dev-laravel	internal
CT 106 jellyfin	jellyfin, internal
CT 110 Forgejo / CT 111 CI	internal
VM 100 Gardien / VM 103 Omada	aucun (hors périmètre, cf. ADR-003)

L'interrupteur général est la variable OpenTofu firewall_enabled (false tant que la fenêtre de maintenance P2 n'a pas eu lieu).