Vous avez besoin d'un homelab !

Un homelab n'est pas qu'un ensemble de serveurs qui clignotent dans un coin de la maison — c'est un banc d'essai vivant, un système de production personnel et un excellent moyen d'apprendre l'infrastructure réseau, la sécurité et l'administration système.

Dans cet article, je présente l'architecture actuelle de mon homelab, conçue en pensant à la sécurité périmétrique, la haute disponibilité des services et la gestion centralisée des identités.

flowchart TD
    classDef internet fill:#f9f9f9,stroke:#333,stroke-width:2px;
    classDef vps fill:#e1f5fe,stroke:#01579b,stroke-width:2px;
    classDef lan fill:#e8f5e9,stroke:#2e7d32,stroke-width:2px;
    classDef security fill:#fff3e0,stroke:#ef6c00,stroke-width:2px;
    classDef apps fill:#e3f2fd,stroke:#1565c0,stroke-width:2px;
    classDef storage fill:#eceff1,stroke:#37474f,stroke-width:2px;
    classDef proxmox fill:#f3e5f5,stroke:#6a1b9a,stroke-width:2px;

    subgraph Internet [Internet]
        ExtNet([Utilisateur Internet])
    end

    subgraph VPS [VPS Externe]
        ExtNPM[NGINX Externe]
    end

    subgraph Proxmox [Proxmox VE — Bare Metal]
        subgraph LAN [Couche Réseau]
            Router["pfSense (VM)"]
            IntNPM["NGINX Interne (LXC)"]
            Dashy["Tableau de bord Dashy (LXC)"]
        end

        subgraph Security [Couche Sécurité]
            Authentik["Authentik SSO (LXC)"]
            AD["Samba 4 AD DC (VM)"]
            Vault["Vault (LXC)"]
        end

        subgraph Apps [Couche Applications]
            HomeAssistant["Home Assistant (LXC)"]
            Nextcloud["Nextcloud (LXC)"]
            Vaultwarden["Vaultwarden (LXC)"]
            Joplin["Joplin (LXC)"]
            Forgejo["Forgejo (LXC)"]
        end

        subgraph Storage [Couche Stockage]
            TrueNAS[("TrueNAS ZFS (VM)")]
        end
    end

    ExtNet --> ExtNPM
    ExtNPM --> Router
    Router --> IntNPM

    IntNPM --> Dashy
    IntNPM --> Authentik
    Authentik --> AD
    Authentik --> Vault

    IntNPM --> HomeAssistant
    IntNPM --> Nextcloud
    IntNPM --> Vaultwarden
    IntNPM --> Joplin
    IntNPM --> Forgejo

    HomeAssistant --> TrueNAS
    Nextcloud --> TrueNAS
    Vaultwarden --> TrueNAS
    Joplin --> TrueNAS
    Forgejo --> TrueNAS

    class ExtNet internet;
    class ExtNPM vps;
    class Router,IntNPM,Dashy lan;
    class Authentik,AD,Vault security;
    class HomeAssistant,Nextcloud,Vaultwarden,Joplin,Forgejo apps;
    class TrueNAS storage;

Pourquoi cette architecture ?

1. Périmètre et accès externe

Pour éviter d'exposer directement mon réseau domestique à Internet et protéger l'adresse IP de ma maison, j'utilise une approche basée sur un serveur privé virtuel externe qui fait office de bouclier.

VPS externe — reçoit tout le trafic entrant depuis Internet
Nginx Proxy Manager — gère les certificats SSL/TLS et redirige le trafic de façon sécurisée
Tunnel WireGuard — tout le trafic validé et filtré sur le VPS est acheminé de façon sécurisée et chiffrée vers le réseau local via un tunnel WireGuard initié depuis la maison

2. Plateforme de virtualisation

Tous les services du lab tournent sur un unique serveur physique géré par Proxmox VE, un hyperviseur de type 1 open-source basé sur Debian. Proxmox permet de faire coexister des conteneurs légers et des machines virtuelles complètes depuis une seule interface web — ce fut le premier grand défi technique à maîtriser.

Conteneurs LXC — utilisés pour la plupart des charges applicatives (Authentik, Nextcloud, Forgejo, Vaultwarden…). Ils partagent le noyau de l'hôte, offrant des performances quasi natives avec une fraction de l'empreinte mémoire d'une VM. Maîtriser LXC implique de comprendre les namespaces cgroup, les conteneurs non privilégiés et les bind mounts pour le stockage persistant.
Machines virtuelles KVM — réservées aux services qui nécessitent un noyau dédié ou un isolement matériel : pfSense (pare-feu/routeur), TrueNAS (stockage) et le contrôleur de domaine Samba. Faire tourner l'AD DC en VM est indispensable pour garantir la synchronisation d'horloge Kerberos et éviter les conflits de noyau avec l'hôte.
Stockage Proxmox — pool ZFS local sur l'hyperviseur pour les disques VM et les rootfs des conteneurs, avec snapshots automatiques et réplication vers TrueNAS en guise de sauvegarde hors nœud.

3. Réseau local et couche d'accès

Une fois dans le réseau local, le trafic passe par un système structuré en couches logiques distinctes :

Portail frontal (Dashy) — tableau de bord centralisé donnant un accès en un clic à tous les services depuis n'importe quel client interne
Ingress interne — distribue les requêtes au sein du réseau local vers les conteneurs et applications correspondants

4. Identité et sécurité

C'est la partie techniquement la plus exigeante du homelab, nécessitant une connaissance approfondie de plusieurs systèmes interdépendants. Faire fonctionner SSO, Active Directory et la gestion des secrets de manière coordonnée a représenté un apprentissage conséquent.

Samba 4 AD DC — un contrôleur de domaine Active Directory entièrement compatible Microsoft, fonctionnant sur Linux. Samba 4 implémente l'intégralité de la pile AD : KDC Kerberos, annuaire LDAP, serveur DNS et SYSVOL. Les clients Windows et Linux rejoignent le domaine de façon transparente, permettant des stratégies de groupe centralisées et une authentification Kerberos sur tout le réseau. Maîtriser Samba sur Linux implique de comprendre la délégation DNS, la configuration du realm Kerberos, le schéma LDAP et la synchronisation d'horloge — une exigence absolue de Kerberos.
Authentik — fournisseur d'identité open-source faisant office de passerelle SSO pour toutes les applications web. Il se connecte à l'AD DC Samba via LDAP pour hériter des utilisateurs et groupes, puis les expose aux applications via OIDC/OAuth2. Pour les applications ne supportant pas nativement OIDC, le mode Forward Auth est utilisé : Nginx envoie chaque requête à Authentik pour validation avant de la proxifier, fournissant une authentification transparente sans modifier l'application.
HashiCorp Vault — gestion des secrets pour l'ensemble de l'environnement. Le moteur PKI fait office d'autorité de certification interne, émettant des certificats TLS à courte durée de vie pour tous les services. Le moteur KV stocke les identifiants des applications. L'authentification à Vault elle-même est fédérée à Authentik via OIDC, de sorte qu'il existe une source d'identité unique pour les utilisateurs comme pour les opérateurs.

5. Couche applicative

Les services du quotidien couvrant la productivité, la domotique et le stockage personnel :

Nextcloud — cloud privé pour la synchronisation de fichiers, calendriers et collaboration
Vaultwarden — gestionnaire de mots de passe léger, compatible Bitwarden
Joplin Server — serveur de synchronisation de notes auto-hébergé
Home Assistant — cerveau de la domotique, intégré avec la sécurité et les automatisations locales
Forgejo — hébergeur Git interne pour les dotfiles et le code source des sites web

6. Couche de stockage

La fondation physique et de sauvegarde de l'ensemble du système :

TrueNAS — stockage de masse tolérant aux pannes via un pool de disques ZFS, fonctionnant comme VM KVM avec passthrough PCI direct vers le contrôleur de disques pour une intégrité ZFS maximale
Protocoles réseau — intégration avec les applications via partages NFS (Nextcloud) et SMB authentifié auprès de l'AD DC Samba
Sauvegardes — snapshots ZFS natifs pour la restauration à un instant donné, combinés à la réplication Proxmox pour des sauvegardes au niveau VM

Conclusion

Cette architecture me permet de profiter des avantages du cloud public (accès distant sécurisé depuis n'importe où) tout en gardant le contrôle total de mes données à la maison. Maîtriser Proxmox, Samba 4 sur Linux et une pile SSO complète avec OIDC et Forward Auth a transformé le homelab en un véritable environnement d'apprentissage — et le résultat est une infrastructure aussi robuste que celle d'une petite entreprise, au coût d'un homelab.