01 / 02
Comment le lab est monté
02 / 02
Ce que le pare-feu laisse passer
Tout ce qui n'est pas dans ces tableaux est bloqué par pfSense.
Site web 9 flux
| Service | Protocole · ports | De → vers | Pourquoi | Passage |
|---|---|---|---|---|
| HTTP/HTTPS (site GSB, GLPI, portail salariés) | TCP 80, 443 | poste-win11 → srv-ha | Les utilisateurs passent par le répartiteur | règle pfSense |
| HTTP (backends HAProxy) | TCP 80 | srv-ha → srv-web-01, srv-web-02 | Répartition vers les serveurs web | même zone, sans pfSense |
| MariaDB (via HAProxy) | TCP 3306 | srv-web-01, srv-web-02 → srv-ha | Les applications joignent la base par HAProxy | même zone, sans pfSense |
| MariaDB | TCP 3306 | srv-ha → les 3 nœuds Galera | Seule machine autorisée vers la base | règle pfSense |
| Sonde d'état Galera | TCP 9200 | srv-ha → les 3 nœuds Galera | Ne garder que les nœuds synchronisés | règle pfSense |
| Réplication Galera | TCP 3306, 4444, 4567, 4568 | chaque nœud → les deux autres | Réplication synchrone entre les trois nœuds | même zone, sans pfSense |
| SSH (recopie lsyncd) | TCP 22 | srv-web-01 → srv-web-02 | Recopie des fichiers vers le secours | même zone, sans pfSense |
| Tunnel WireGuard (connecteur Pangolin) | UDP 51820 | srv-docker → Pangolin (chez moi) | Le lab sort, rien n'entre | règle pfSense |
| HTTPS (site public, via le tunnel) | TCP 443 | srv-docker → srv-ha | Les visiteurs Internet arrivent par le tunnel | règle pfSense |
Annuaire et GLPI 6 flux
| Service | Protocole · ports | De → vers | Pourquoi | Passage |
|---|---|---|---|---|
| Active Directory (DNS, Kerberos, LDAP, SMB, RPC) | TCP/UDP 53, 88, 123, 135, 389, 445, 464, 636, 3268, 3269, 49152-65535 | poste-win11 → zone ADM (contrôleur de domaine) | Jonction et authentification au domaine | règle pfSense |
| LDAPS | TCP 636 | zone WEB → AD-Core-01 | GLPI lit les comptes de l'annuaire | règle pfSense |
| HTTPS (agents et API GLPI) | TCP 443 | zone ADM → srv-ha | Inventaire GLPI et API depuis ADM | règle pfSense |
| HTTPS (agent GLPI) | TCP 443 | srv-mysql-01, srv-mysql-02, srv-mysql-03 → srv-ha | Inventaire quotidien, exception assumée | règle pfSense |
| HTTPS (agent GLPI) | TCP 443 | srv-web-01, srv-web-02 → srv-ha | Inventaire GLPI dans la même zone | même zone, sans pfSense |
| HTTPS (API GLPI) | TCP 443 | srv-supervision → srv-ha | Les alertes deviennent des tickets GLPI | règle pfSense |
Administration 7 flux
| Service | Protocole · ports | De → vers | Pourquoi | Passage |
|---|---|---|---|---|
| Termix (web) | TCP 443 | poste-win11 → srv-docker | Portail d'administration à distance | règle pfSense |
| SSH / RDP | TCP 22, 3389 | srv-docker → zones WEB, BDD, USERS, VISITEURS | Seul le bastion administre les autres zones | règle pfSense |
| SSH / RDP | TCP 22, 3389 | srv-docker → le reste de la zone ADM | Administration dans sa propre zone | même zone, sans pfSense |
| Statistiques HAProxy | TCP 8404 | srv-docker → srv-ha | Une seule page pour l'accès externe | règle pfSense |
| HTTPS / SSH (administration pfSense) | TCP 443, 22 | zone ADM → fw-01 | Le pare-feu s'administre depuis ADM seulement | règle pfSense |
| Administration à distance (Tailscale) | tous (ex. Grafana 3000, LogAnalyzer 8443) | Mon PC (Tailscale) → tout le lab | Poste d'administration de confiance, dette T-6 | règle pfSense |
| Grafana / tableau Wazuh (ressources publiées) | TCP 3000, 443 | srv-docker → srv-supervision, srv-wazuh | Ressources d'essai de l'accès externe | même zone, sans pfSense |
Supervision 15 flux
| Service | Protocole · ports | De → vers | Pourquoi | Passage |
|---|---|---|---|---|
| syslog | TCP 514 | zones WEB, BDD, USERS → srv-supervision | Chaque machine envoie ses journaux | règle pfSense |
| syslog | port 514 | poste-visiteur → srv-supervision | Le poste de test seul, pas la zone | règle pfSense |
| syslog | TCP 514 | zone ADM → srv-supervision | Journaux de la zone ADM, sans pare-feu | même zone, sans pfSense |
| syslog | UDP 514 | fw-01 → srv-supervision | Journaux du pare-feu, Suricata compris | émis par pfSense |
| syslog (alertes Suricata) | UDP 514 | srv-supervision → srv-wazuh | Copie des alertes réseau vers Wazuh | même zone, sans pfSense |
| MariaDB | TCP 3306 | srv-supervision → les 3 nœuds Galera | Journaux et Grafana stockés dans le cluster | règle pfSense |
| Exporteurs Prometheus (Linux, MariaDB, Windows) | TCP 9100, 9104, 9182 | srv-metriques → tout le lab, pfSense compris | Prometheus lit les mesures, sans administrer | règle pfSense |
| API PBS (pbs-exporter) | TCP 8007 | srv-metriques → srv-pbs | Mesures des sauvegardes | même zone, sans pfSense |
| API Proxmox (lecture seule) | TCP 8006 | srv-metriques → pve-01 | Mesures de l'hyperviseur, compte en lecture | règle pfSense |
| HTTPS (sondes site, GLPI, Matomo) | TCP 443 | srv-metriques → srv-ha | Tester les services comme un utilisateur | règle pfSense |
| HTTPS (sondes Termix, LogAnalyzer, Wazuh) | TCP 443, 8443 | srv-metriques → srv-docker, srv-supervision, srv-wazuh | Disponibilité des services de la zone | même zone, sans pfSense |
| HTTPS (sonde de bout en bout) | TCP 443 | srv-metriques → nom public du site | Vérifier le site depuis Internet | règle pfSense |
| Agents Wazuh (événements, enrôlement) | TCP 1514, 1515 | agents déployés : WEB et USERS → srv-wazuh | Les agents remontent au serveur Wazuh | règle pfSense |
| Agent Wazuh | TCP 1514, 1515 | AD-Core-01 → srv-wazuh | Agent du contrôleur, même zone | même zone, sans pfSense |
| Agents Wazuh (règle prête) | TCP 1514, 1515 | zone BDD, poste de test visiteur → srv-wazuh | Règle ouverte, agent pas encore déployé | règle pfSense |
Sauvegardes 2 flux
| Service | Protocole · ports | De → vers | Pourquoi | Passage |
|---|---|---|---|---|
| Proxmox Backup Server | TCP 8007 | pve-01 → srv-pbs | Seule entrée du WAN, sauvegardes nocturnes | redirection (NAT) |
| HTTPS (S3) | TCP 443 | srv-pbs → stockage hors site (accès extérieur) | Copie hors site chaque nuit | règle pfSense |
Sortie Internet 4 flux
| Service | Protocole · ports | De → vers | Pourquoi | Passage |
|---|---|---|---|---|
| HTTP/HTTPS | TCP 80, 443 | zone WEB → Internet | Mises à jour (dépôts Debian) | règle pfSense |
| Sortie Internet (dont mail d'alerte 587) | tous | zone ADM → Internet | Mises à jour, mails, copie hors site | règle pfSense |
| HTTP/HTTPS | TCP 80, 443 | poste-win11 → Internet | Navigation web des salariés | règle pfSense |
| HTTP/HTTPS | TCP 80, 443 | zone VISITEURS → Internet | Seul droit des invités : Internet, limité à 50 Mbit/s par sens pour toute la zone | règle pfSense |
Services réseau 2 flux
| Service | Protocole · ports | De → vers | Pourquoi | Passage |
|---|---|---|---|---|
| DNS / NTP | TCP/UDP 53, 123 | toutes les zones → fw-01 | pfSense donne noms et heure | règle pfSense |
| Ping | ICMP | zones WEB, BDD, ADM, USERS → tout le lab (LAB_NETS) | Diagnostic, à restreindre (dette T-4) | règle pfSense |