Homelab
L'ensemble des services conteneurisés derrière un proxy inverse unique, avec authentification centralisée, cache HTTP et supervision.
Mise en contexte
L'infrastructure est déclarée en Compose sur un serveur Debian provisionné par Ansible : l'entrée du réseau se reconstruit à partir des seuls fichiers de configuration. Une partie des services est ouverte à des utilisateurs externes, ce qui impose disponibilité, authentification et supervision.
Chemin d'une requête
Topologie de l'infrastructure.
- Le navigateur résout le domaine chez Cloudflare, puis atteint Traefik en HTTPS ou HTTP/3.
- Traefik termine le TLS avec un certificat wildcard renouvelé automatiquement.
- CrowdSec analyse chaque requête en direct et interroge son moteur de décision, qui répond par le passage, un CAPTCHA ou un blocage.
- Les requêtes acceptées traversent le filtrage applicatif, le rate limiting et les security headers.
- Le routage se fait par domaine, et l'authentification est déléguée à Authelia en SSO avec TOTP.
- Une partie du trafic passe par un cache HTTP avant les services.
- Les services conteneurisés sont répartis sur des réseaux Docker isolés.
Technologies et outils utilisés
Entrée & sécurité du réseau
Proxy inverse & TLS
Middlewares
- CrowdSec Bouncer & AppSec
- Rate limiting
- Security headers (HSTS, identity stripping)
Le routage se fait par domaine derrière un wildcard renouvelé en DNS-01, et chaque requête traverse une analyse de sécurité avant d'atteindre un service.
Cache & réseau
Réseau & DNS
Le DNS est configuré avec Cloudflare, et un VCL personnalisé exclut le trafic authentifié du cache tout en gardant un TTL long sur les assets.
Authentification & identité
Traefik délègue l'authentification à Authelia par ForwardAuth, avec refus par défaut et TOTP sur les services sensibles.
Provisionnement
Un playbook rejouable décrit la configuration de l'hôte et les stacks Docker, vérifiable en dry run avant d'être appliqué.
Exploitation
Supervision
Sauvegardes
Netdata collecte les métriques et Uptime Kuma sonde les services de l'extérieur, pendant que restic pousse des snapshots chiffrés hors site.
Expérimentations (hors production)
Virtualisation & orchestration
Un cluster Kubernetes en HA sur Proxmox VE et Ceph, et un mesh WARP avec politiques d'accès par application, montés par expérimentation.
Défis rencontrés
- Isoler les services par réseaux Docker sans casser les dépendances entre conteneurs.
- Ordonner les middlewares pour que l'authentification, le cache et l'analyse de sécurité se composent sans se contredire.
- Passer à des certificats wildcard validés par DNS, pour ne plus exposer de chemin de validation HTTP à l'extérieur.