jbroberjot.com

Depuis plus de 10 ans, j’ai une Freebox Revolution avec sa fibre à 1 Gb/s. Ce qui était révolutionnaire à l’époque commence à être limitant, j’ai donc décidé de passer sur une Freebox Ultra qui propose 8 Gb/s symétrique.

Mon objectif : Passer d’un réseau « classique » à une architecture segmentée et sécurisée capable d’encaisser du 10 Gbs.

Voici les coulisses de ma nouvelle architecture :

Le Casting : Le matériel

Pour orchestrer tout cela, j’ai investi dans du matériel capable de suivre la cadence :

• Le Routeur : Le Firewalla Gold Pro, connecté en 10 Gbps à la freebox c’est lui qui va gérer le routage, l’inspection des paquets et la sécurité. La Freebox passe en simple « pont » (Bridge).

• Le Switch: Un Zyxel XMG1915-18EP seul switch 2.5 Gb/s « abordable » POE qui possède 2 ports 10 Gb/s pour le connecter au Firewalla.

Pour le reste, c’est du matériel déjà en place :

• Le Wifi : Mes deux bornes TP-Link Deco WiFi 6 Mesh AX3000Mbps, en mode « Point d’Accès ».

• Les Serveurs : Un boitier GMTEK qui tourne sous ESXi 8.0U3 pour accueillir les VMs & Containers et un Synology DS1019+ utilisé comme NVR et comme partage NAS.

• Les caméras: plusieurs caméras Reolink connectées en PoE.

• Le Backup : un vieux DS216j que je vais recycler pour être la target des backups.

• Le Cloud : Reste à définir le cloud provider, surement AWS pour des besoins ponctuels et pour externaliser le backup.

Le défi : Séparer pour mieux régner

Aujourd’hui j’utilise simplement deux vLANs pour gérer mon infra, un vLAN fourre tout pour les clients (PC, Téléphones, IoTs) et un vLAN pour le Mgmt (NAS, ESXi).

Avec l’arrivée d’un vrai Firewall, j’en profite donc pour repartir de zéro et augmenter la sécurité de mon environnement.

Voici ma nouvelle carte d’identité réseau :

• VLAN 10 (WIFI_LANDING) : La zone de vie. Tous les appareils Wifi (Smartphones, PC portables, mais aussi la TV, le HomePod mini et tous les appareils IoT.

• VLAN 20 (INFRA_MGMT) : La zone interdite. Réservée uniquement à l’administration du switch, de l’ESXi et du NAS. Ici pas d’accès Internet inutile, c’est la sécurité maximale.

• VLAN 30 (SECURE_CAMS) : Le bunker. Les caméras filaires sont isolées ici. Elles n’ont aucun accès à Internet. Les caméras sont souvent à l’origine de brèches de sécurité. Seul une connexion vers le NVR sera toléré.

• VLAN 40 (WIRED_IOT) : La domotique filaire. Pont Hue, Frisquet Connect ou Player TV. Internet autorisé mais pas de visibilité local.

• VLAN 50 (VM_SERVICES) : La zone de production. C’est ici que tournent les containers & machines virtuelles.

La segmentation logicielle pour le Wifi

C’est là que ça devient intéressant. Mes bornes Wifi (Grand Public) ne savent pas gérer plusieurs VLANs dynamiquement. Tout ce qui est sans fil arrive donc en vrac dans le VLAN 10 ce qui n’est pas franchement sécurisé … Un invité qui se connecte à mon wifi a autant de droit que mon pc perso ou mon téléphone.

Grâce à la puissance du Firewalla, j’amène une couche supplémentaire de segmentation en créant des groupes logiques à l’intérieur de mon vLAN 10.

Le Groupe « Quarantine » (Par défaut) : Tout nouvel appareil qui se connecte au Wifi a accès à Internet, mais est totalement isolé du réseau local. Impossible pour un invité d’atteindre le NAS ou de se connecter sur une enceinte.

Le Groupe « Guest VIP » : Pour les amis de confiance. Je les déplace manuellement dans ce groupe, ce qui leur donne le droit d’utiliser AirPlay ou Spotify Connect sur les enceintes de la maison.

Le Groupe « IoT Restricted » : Pour tous les devices IoT comme la TV, l’aspirateur ou encore le robot cuisine. Ils ont accès à Internet, mais interdiction de parler aux autres machines ou d’être contacté depuis l’extérieur.

Le Groupe « Admin VIP » : Pas de restriction pour mon téléphone et mon pc perso, je dois pouvoir accéder aux éléments de mon réseau.

Performance : Turbo pour le NAS

Avec un réseau en 2.5G et 10G, il ne faut pas que le stockage soit le goulot d’étranglement. On active donc deux éléments indispensables entre le Switch Zyxel et les serveurs :

LACP (Link Aggregation) : Pour agréger les deux ports RJ45 du Synology et de l’ESX.

Jumbo Frames (MTU 9000) : Par défaut, les paquets réseau sont petits (1500 octets). Il faut configurer la chaîne complète ESXi -> Switch -> NAS pour accepter des paquets de 9000 octets.

• Résultat : Moins de travail pour les processeurs, et des transferts de gros fichiers (Backups, ISOs) beaucoup plus stables et rapides.

Stay Tuned pour suivre la migration !