Le besoin

Une vingtaine de services auto-hébergés, dont certains doivent être accessibles depuis l’extérieur… et d’autres surtout pas (hyperviseurs, terminal web).

L’architecture

Internet ─▶ Box ─▶ IPFire (pare-feu) ─▶ Nginx Proxy Manager ─▶ conteneurs
                                              │
                                     Pi-hole (DNS local)
  • IPFire virtualisé, avec une carte réseau dédiée côté Internet : seuls les ports nécessaires entrent.
  • Nginx Proxy Manager comme unique porte d’entrée web, avec certificats Let’s Encrypt.
  • Conteneurs LXC non privilégiés pour isoler chaque service.

Public ou réservé au LAN

Les interfaces sensibles sont protégées par une Access List dans NPM qui n’autorise que le réseau local. Depuis Internet : erreur 403.

Deux pièges rencontrés, détaillés dans cette note :

  1. Un bloc location / personnalisé désactive silencieusement l’Access List.
  2. Depuis le LAN, le domaine résout vers l’IP publique : la box masque l’IP source et on se bloque soi-même. Solution : des enregistrements DNS locaux dans Pi-hole.

Prochaines étapes

  • VPN pour accéder aux services « LAN only » depuis l’extérieur
  • Proxmox Backup Server pour des sauvegardes incrémentales et vérifiées