11
services auto-hébergés
Rocha Server
Homelab & sécurité des accès
Un bac à sable pour apprendre la sécurité des accès en la mettant vraiment en production.
11 services
1 identité
4 ports ouverts
Chiffres clés
En un coup d'œil
12
domaines sécurisés
8
applications derrière Keycloak
4
ports en écoute
9,1 To
de stockage
3,7 Go
de RAM
Les services
Le stack
SSO natif
L'application authentifie via l'annuaire.
Portail
Contrôle d'accès en amont.
Réseau privé
Joignable uniquement par VPN.
Socle
Composant de la chaîne d'authentification.
Identité & accès
Keycloak
Fournisseur d'identité OpenID Connect
Socle
OAuth2 Proxy
Contrôle d'accès délégué
Socle
Nginx Proxy Manager
Reverse proxy et terminaison TLS
Portail
Réseau privé
Réseau
Pi-hole
DNS interne et filtrage
Portail
Réseau privé
Données & stockage
FileBrowser Quantum
Accès web au stockage
SSO natif
Réseau privé
Immich
Photothèque personnelle
SSO natif
CouchDB
Synchronisation de notes, chiffrée de bout en bout
Réseau privé
Média & outils
Jellyfin
Médiathèque, transcodage matériel
SSO natif
Portainer
Supervision des conteneurs
SSO natif
Réseau privé
Obsidian
Éditeur de notes web
Portail
Réseau privé
Mailpit
Messagerie transactionnelle interne
Portail
Réseau privé
Toutes les images sont épinglées sur une version précise.
Architecture
Une seule porte d'entrée
Toute requête traverse les mêmes cinq couches.
01
Réseau
VPN maillé
L'administration n'est joignable que par le tunnel.
02
Résolution
DNS interne
Les sous-domaines des applications n'existent que sur le réseau interne.
03
Transport
TLS wildcard
Certificat wildcard, HTTPS forcé, HSTS.
04
Identité
Keycloak · MFA
Un annuaire, des rôles, un second facteur sur les comptes sensibles.
05
Applications
11 services
Aucun port publié sur l'hôte.
Les trois modes d'accès
Chaque application à sa mesure
SSO natif
L'application dialogue avec l'annuaire et reçoit l'identité de l'utilisateur.
Portail
L'accès est autorisé en amont pour les applications sans support SSO.
Réseau privé
Services techniques, joignables uniquement depuis le VPN.
Principes
Comment c'est pensé
Surface réduite
Quatre ports en écoute, aucune interface d'administration exposée.
Chiffrement sans exposition
Un certificat wildcard obtenu par validation DNS, sans qu'aucune application soit publiée sur Internet.
Second facteur ciblé
Le MFA s'applique aux comptes d'administration, là où il change quelque chose.
Vérifié, pas supposé
Chaque garantie de sécurité est testée depuis un vrai client distant.
La machine
Sous le capot
Système
Debian 13
Processeur
Intel Celeron — 4 cœurs
Mémoire
3,7 Go de RAM
Stockage
9,1 To de stockage
Un ancien PC de lycée, reconditionné en serveur. Chaque service y justifie sa mémoire.
Projet
Le détail est dans le projet
La mise en place de la fédération d'identités est documentée de bout en bout : architecture, décisions, et les problèmes techniques rencontrés en chemin.