Centre SIO

§ 01Contexte & périmètre

Le Centre SIO est un centre de formation accueillant plusieurs formations, des formateurs et une équipe administrative. L'objectif est de cloisonner les flux réseau par population, de centraliser le routage et le filtrage sur un pare-feu unique, et de garantir l'isolation du trafic de sauvegarde.

Populations desservies

• Apprenants — étudiants des différentes formations, accès aux services pédagogiques et Internet.
• Formateurs — équipe pédagogique, accès étendu aux outils + accès aux ressources de préparation.
• Administratif — secrétariat, direction, comptabilité, accès complet aux serveurs métier.
• Équipe technique — exploitation et administration de l'infrastructure depuis le VLAN 99 (Admin), via deux postes physiques (PC1, PC2) qui ont accès à toutes les machines en RDP/SSH/HTTPS.

Équipements concernés

Objectifs fonctionnels

• Segmentation — isoler les populations (apprenants, formateurs, administratif) en domaines de diffusion séparés.
• Sécurité — appliquer un filtrage inter-VLAN au niveau du pare-feu (zero-trust par défaut).
• Performance backup — isoler le trafic Veeam ↔ NAS sur un VLAN dédié (VLAN 50) pour éviter la saturation de la prod.
• Administration — un VLAN d'administration (VLAN 99) dédié au management des équipements.
• Simplicité opérationnelle — un seul point de routage et de filtrage (pfSense) pour faciliter la supervision.

Inventaire des machines virtuelles

§ 02Architecture cible

Le principe retenu est celui du router-on-a-stick : un unique lien trunk 802.1Q entre le switch L3 et pfSense transporte l'ensemble des VLANs. Toutes les interfaces logiques du pare-feu sont adressées comme gateway de leur VLAN respectif.

§ 03Plan d'adressage

Chaque VLAN correspond à un subnet /24 distinct. La passerelle (.1) est portée par pfSense. La convention 10.0.X.0/24 où X = ID VLAN facilite la mémorisation et la lecture des logs.

Plan des VLANs

Attribution des IP fixes

Interfaces WAN & interconnexion opérateur

Entre pfSense et le routeur D-Link (box FAI), un réseau de transit dédié 172.0.0.0/24 est utilisé. Cette convention évite tout chevauchement avec le plan d'adressage interne et matérialise clairement la séparation WAN / LAN.

§ 04Plan de câblage switch

La configuration des ports repose sur la distinction entre ports access (un seul VLAN non-tagué, PVID défini) et ports trunk (plusieurs VLANs tagués 802.1Q).

§ 05Routage inter-VLAN

Oui, il y a bien du routage — mais pas de routes statiques à déclarer. pfSense l'assure nativement grâce au modèle router-on-a-stick.

5.1Principe du router-on-a-stick

Chaque VLAN est matérialisé sur pfSense par une sous-interface virtuelle (ex. igb1.10, igb1.20, etc.) portant l'IP gateway du subnet. Comme pfSense possède une interface dans chacun des 6 subnets, tous les réseaux sont directement connectés à son point de vue.

Conséquence pratique : la table de routage de pfSense est peuplée automatiquement dès que les interfaces VLAN sont créées. Aucune route statique n'est à configurer pour le trafic inter-VLAN.

5.2Flux d'une communication inter-VLAN

Exemple : le poste admin PC1 (VLAN 99, 10.0.99.30) souhaite ouvrir une session RDP sur le serveur AD (VLAN 10, 10.0.10.5).

1. Résolution ARP locale

   PC1 constate que 10.0.10.5 n'est pas dans son subnet (10.0.99.0/24). Il envoie la trame TCP vers le port 3389 à sa passerelle par défaut (10.0.99.1, sous-interface VLAN 99 de pfSense).

2. Encapsulation 802.1Q

   La trame traverse le switch. Comme le port 21 est en access VLAN 99, le switch l'étiquette en VLAN 99 en interne. Elle est ensuite commutée vers le port 24 (trunk) en ressortant taguée VID=99.

3. Réception sur pfSense

   pfSense voit arriver la trame sur son interface virtuelle VLAN99. Le pare-feu applique les règles de filtrage : la règle « V99 → ANY autorisé » matche, le paquet passe.

4. Décision de routage

   pfSense consulte sa table et constate que 10.0.10.0/24 est directement connecté à son interface VLAN10. Il réécrit la trame avec VID=10.

5. Retour sur le switch

   La trame taguée 10 ressort vers le switch, qui la commute vers le port 17 (trunk PVE1) en conservant le tag 10. L'hyperviseur Proxmox la délivre à la carte réseau virtuelle de la VM AD, qui répond à la session RDP.

5.3Routage vers Internet

Le trafic sortant passe par la règle NAT outbound automatic de pfSense : les paquets issus des subnets privés sont masqués (SNAT) derrière l'IP WAN avant d'être envoyés au routeur D-Link, qui les propage vers Internet.

§ 06Procédure de mise en œuvre

La procédure est séquentielle : chaque étape valide la précédente. Ne jamais enchaîner deux changements majeurs sans test intermédiaire.

6.0Prérequis avant intervention

• Câble console ou accès web initial au switch et au pfSense.
• Sauvegarde de la configuration actuelle du switch (Save & Backup) et de pfSense (Diagnostics → Backup/Restore).
• Un poste d'administration branché directement sur un port laissé en VLAN 1 → sert de porte de secours si la config trunk se casse.
• Créneau d'intervention hors production (affichage d'une notice aux utilisateurs).
• Schéma et plan d'adressage validés (cette documentation).

6.1Configuration du switch D-Link L3

Accès par défaut sur les DGS-3xxx : http://10.90.90.90 (login admin / pas de mot de passe au premier démarrage). Si tu as déjà changé l'IP, utilise celle-ci.

1. Changer le mot de passe admin par défaut

   Tools → User Accounts. Créer un compte admin avec mot de passe robuste. Supprimer le compte par défaut ou changer son mot de passe.

2. Créer les VLANs

   L2 Features → VLAN → 802.1Q VLAN → Add VLAN. Pour chaque VLAN :

   • VID : 10 / Nom : Servers
   • VID : 20 / Nom : Apprenants
   • VID : 30 / Nom : Formateurs
   • VID : 40 / Nom : Administratif
   • VID : 50 / Nom : Backup
   • VID : 99 / Nom : Admin

   Le VLAN 1 (default) existe déjà et ne doit pas être supprimé.

3. Configurer les ports access admin (PC1, PC2)

   Éditer le VLAN 99 (Admin). Ajouter les ports 21 et 23 en Untagged. Puis dans L2 Features → VLAN → PVID Settings, définir PVID = 99 pour les ports 21 et 23.

   Pourquoi V99 et pas V20 ? Ces postes servent à administrer toute l'infrastructure (Proxmox, switch, pfSense, NAS, VMs). Les placer dans le VLAN Admin permet aux règles firewall « V99 → ALL » de leur ouvrir tous les accès management (SSH, RDP, HTTPS, 8006…).

4. Configurer les ports trunk (PVE1/2/3, pfSense)

   Pour chaque VLAN (10, 20, 30, 40, 50, 99), éditer le VLAN et ajouter les ports 17, 18, 19, 24 en Tagged. Laisser le PVID à 1 pour ces ports (ou à la valeur native que tu préfères).

5. Configurer le port trunk NAS (port 9)

   Ajouter le port 9 en Untagged sur le VLAN 50 (c'est son VLAN natif pour le trafic backup), et en Tagged sur le VLAN 99 (pour le management séparé). Définir PVID = 50 pour le port 9.

6. Attribuer une IP de management au switch

   L3 Features → IPv4 Interface Settings. Créer une interface SVI sur VLAN 99 avec l'IP 10.0.99.20/24 et gateway 10.0.99.1.

   Supprimer (ou désactiver) l'interface de management par défaut sur VLAN 1 seulement après avoir vérifié que l'accès via VLAN 99 fonctionne depuis pfSense.

7. Sauvegarder la configuration

   Save → Save Configuration. Critique : sur D-Link, un simple Apply n'est pas persistant. Sans Save, tout est perdu au prochain redémarrage.

6.2Configuration de pfSense

1. Raccorder le WAN

   Brancher un port de pfSense (ex. igb0) sur le routeur D-Link. Configurer l'interface WAN en DHCP client (ou IP fixe selon ton FAI).

2. Assigner l'interface LAN

   Le port igb1 (relié au port 24 du switch) devient l'interface LAN parent. Lui laisser l'IP 192.168.1.253/24 qui servira de fallback sur le VLAN natif.

3. Créer les interfaces VLAN

   Interfaces → Assignments → VLANs → Add. Pour chaque VLAN :

   • Parent interface : igb1
   • VLAN tag : 10, 20, 30, 40, 50, 99
   • Description : Servers, Apprenants, etc.
4. Assigner chaque VLAN à une interface logique

   Interfaces → Assignments. Cliquer sur Add pour chaque VLAN disponible. Ils apparaîtront en OPT1, OPT2, etc.

5. Activer et configurer chaque interface VLAN

   Pour chacune (OPT1 → renommer en SERVERS, OPT2 → APPRENANTS, etc.) :

   • Cocher Enable
   • IPv4 Configuration Type : Static IPv4
   • IP : 10.0.X.1/24 (X = ID VLAN)
   • Save + Apply changes
6. Activer le DHCP sur VLAN 20, 30, 40

   Services → DHCP Server. Pour chaque VLAN ayant du DHCP :

   • Enable DHCP server
   • Range : .100 – .200 (V20, V30) ou .50 – .150 (V40)
   • DNS servers : 10.0.10.5 (ton AD/DNS) puis 1.1.1.1 en secours
   • Gateway : laisser vide (pfSense utilise l'IP de l'interface par défaut)
   • Domain name : tib.bts.local (ou ton domaine AD)
7. Configurer le DNS resolver

   Services → DNS Resolver. Activer, puis dans Domain Overrides rediriger tib.bts.local vers 10.0.10.5 (ton AD). Ça permet aux postes de résoudre les noms internes.

8. Créer les règles de firewall (minimum)

   Pour chaque interface VLAN, dans Firewall → Rules → [VLAN], créer au minimum :

   • Allow : source VLAN net → destination any, port any (permissif en phase de test)

   Ces règles seront resserrées en § 7.

9. Sauvegarder la configuration pfSense

   Diagnostics → Backup & Restore → Download configuration. Archiver le .xml dans un dossier versionné.

6.3Configuration des hyperviseurs Proxmox

L'objectif : rendre vmbr0 VLAN-aware, puis déplacer l'IP de management du Proxmox dans le VLAN 99.

Méthode recommandée : éditer /etc/network/interfaces via SSH.

# Interface physique (ex. enp0s3) — ne pas adresser
auto enp0s3
iface enp0s3 inet manual

# Bridge principal — VLAN-aware
auto vmbr0
iface vmbr0 inet manual
    bridge-ports enp0s3
    bridge-stp off
    bridge-fd 0
    bridge-vlan-aware yes
    bridge-vids 2-4094

# Interface de management taguée VLAN 99
auto vmbr0.99
iface vmbr0.99 inet static
    address 10.0.10.112/24   # .12 sur PVE2, .13 sur PVE3
    gateway 10.0.99.1
    dns-nameservers 10.0.10.5 1.1.1.1

1. Sauvegarder l'ancienne configuration

   cp /etc/network/interfaces /etc/network/interfaces.bak

2. Appliquer la nouvelle configuration

   Éditer le fichier selon le modèle ci-dessus. Puis :

   ifreload -a       # recharge sans rebooter (package ifupdown2)
   ip a show vmbr0.99  # vérifier que l'IP est bien portée
   ping 10.0.99.1    # vérifier la gateway pfSense

3. Accéder à la nouvelle interface web

   Depuis le VLAN 99 : https://10.0.10.112:8006. Si ça répond, tout est OK.

4. Configurer le tagging VLAN pour les VM

   Sur chaque VM, dans Hardware → Network Device → Edit :

   • Bridge : vmbr0
   • VLAN Tag : ID du VLAN cible (10 pour les serveurs prod, 50 pour Veeam/backup, etc.)
5. Cas particulier : VM Veeam

   Éditer la VM Veeam et ajouter une seconde interface réseau :

   • IP statique 10.0.10.15 — trafic backup vers NAS uniquement

   Dans la console Veeam, déclarer le repository NAS via son IP 10.0.50.50.

6. Répéter sur PVE2 et PVE3

   Même procédure avec 10.0.10.113 et 10.0.10.114.

6.4Configuration du NAS

1. Interface data (VLAN 50)

   Configurer l'interface principale en IP statique 10.0.50.50/24 avec gateway 10.0.50.1. C'est elle qui reçoit le trafic untagué depuis le port 9.

2. Interface management (VLAN 99)

   Si le NAS supporte le 802.1Q (Synology / QNAP / TrueNAS tous compatibles) : créer une interface virtuelle taguée VLAN 99 avec l'IP —/24. L'administration se fera via cette interface pour ne pas mélanger avec le trafic de sauvegarde.

6.5Postes admin (PC1, PC2)

Ces deux postes pilotent l'ensemble de l'infrastructure depuis le VLAN 99. Comme le VLAN admin est sensible (accès complet à toutes les machines), on évite le DHCP et on attribue des IP statiques.

Configuration TCP/IP fixe sur chaque poste :

• PC1 : IP 10.0.99.30/24
• PC2 : IP 10.0.99.31/24
• Passerelle (les deux) : 10.0.99.1 (sous-interface pfSense VLAN 99)
• DNS : 10.0.10.5 (AD interne) en primaire, 1.1.1.1 en secondaire

Outils à installer sur ces postes :

• Client RDP (mstsc) pour l'admin Windows Server / VMs AD
• Client SSH (PuTTY, MobaXterm, Windows Terminal) pour Proxmox, switch, pfSense en CLI
• RSAT (Remote Server Administration Tools) pour piloter AD/DNS/DHCP en GUI
• Navigateur à jour pour les interfaces web : pfSense (https://10.0.99.1), Proxmox (https://10.0.10.112:8006), switch D-Link (http://10.0.99.20)

§ 07Matrice des flux autorisés

Modèle zero-trust : seuls les flux explicitement listés sont autorisés. Cette matrice se traduit une à une en règles pfSense.

Ports métier autorisés V20/V30/V40 → V10

§ 08Règles firewall pfSense

Traduction opérationnelle de la matrice de flux en règles concrètes. pfSense étant stateful, seules les règles du sens sortant de chaque interface sont à déclarer — les paquets retour d'une connexion établie sont autorisés automatiquement.

8.1Aliases à créer au préalable

Les aliases centralisent les valeurs (IPs, réseaux, ports) dans un nom unique. En cas d'ajout d'un serveur, on ne touche qu'à l'alias — toutes les règles s'adaptent. Firewall → Aliases → IP / Ports.

8.2Règles par interface VLAN

Pour chaque interface VLAN dans Firewall → Rules → [Nom de l'interface], déclarer dans l'ordre listé. L'ordre compte : pfSense applique la première règle qui matche.

8.3Règles flottantes (Floating Rules)

Les règles flottantes s'appliquent sur plusieurs interfaces à la fois, quel que soit le sens. Utiles pour les règles transverses.

8.4Procédure de création d'une règle pfSense

1. Naviguer vers l'interface cible

   Firewall → Rules → [Nom de l'interface VLAN]. Chaque onglet correspond à une interface, l'ordre des règles est propre à chaque interface.

2. Ajouter la règle

   Cliquer sur Add (flèche haut = début de liste, flèche bas = fin de liste). Remplir :

   • Action : Pass / Block / Reject
   • Interface : déjà sélectionnée
   • Address Family : IPv4
   • Protocol : TCP, UDP, TCP/UDP, ICMP, Any
   • Source : [nom_interface] net (automatique) ou alias
   • Destination : alias (ADServers, NAS...) ou réseau manuel
   • Destination port : alias (ADPorts_TCP, WebPorts...) ou liste manuelle
   • Description : toujours renseigner pour la maintenance
3. Activer le logging (optionnel mais recommandé)

   Dans Extra Options → Log packets that are handled by this rule. Indispensable pour les règles de blocage sensibles, permet de voir dans Status → System Logs → Firewall ce qui est effectivement bloqué.

4. Sauver et appliquer

   Cliquer Save puis Apply changes (bandeau jaune en haut). Tant qu'on n'a pas cliqué Apply, la règle n'est pas active.

5. Tester

   Depuis un poste du VLAN concerné, valider que le flux autorisé passe et que les flux bloqués sont bien coupés. Consulter les logs firewall pour confirmer.

§ 10Validation & tests

Protocole de recette à exécuter après la mise en œuvre, avant de remettre l'infrastructure en production. Chaque test doit être documenté (capture écran + résultat) pour le dossier E6.