ADR-0004 : Plan de segmentation VLAN¶
- Statut : Acceptée (mise à jour 2026-11-10)
- Date : 2026-10-31
Contexte¶
Le réseau mélange des appareils de confiance, de l'IoT, des caméras, un serveur de jeux exposé à internet et des invités. Le Giada n'a que deux ports 1G : tout le trafic inter-VLAN passe par un seul lien, à travers OPNsense.
Décision¶
| VLAN | Nom | Sous-réseau | Contenu | DHCP | Accès internet | État |
|---|---|---|---|---|---|---|
| 1 (non tagué) | INFRA | 10.0.1.0/24 | Hôtes Proxmox, switch, gestion AP | Non (adresses fixes) | Oui | ✅ |
| 10 | TRUSTED | 10.0.10.0/24 | Postes, téléphones, imprimante 3D réseau (temporaire, ADR-0013) | .100–.250 | Oui | ✅ |
| 20 | SERVICES | 10.0.20.0/24 | Services internes | — | Oui | Prévu |
| 30 | IOT | 10.0.30.0/24 | ESPHome, prises, imprimantes, passerelle USB | .100–.250 + réservations | Liste blanche (IOT_INTERNET) |
Switch prêt |
| 40 | CAMS | 10.0.40.0/24 | Caméras | — | Non | Prévu |
| 50 | GUEST | 10.0.50.0/24 | Invités | .100–.250 | Oui, rien d'autre | ✅ |
| 60 | STORAGE | 10.0.60.0/24 | Réservé v3, non routé | — | Non | Réservé |
| 70 | GAMES | 10.0.70.0/24 | Serveur de jeux (DMZ) | Non (IP fixe) | Oui + port entrant | ✅ |
| — | WireGuard | 10.0.99.0/24 | Clients VPN | — | Selon règles | Prévu |
Règle structurante : les flux lourds ne traversent pas le routeur. - Frigate aura une interface directement dans CAMS : les flux vidéo restent commutés. - Home Assistant aura une interface dans IOT : la découverte mDNS fonctionne sans relais. - En v3, le NAS aura une interface dans le VLAN de ses clients ; STORAGE reste réservé au trafic nœuds ↔ NAS.
Modèle de règles pour un réseau isolé (GAMES, GUEST, IOT)¶
| # | Action | Source | Destination | Port destination |
|---|---|---|---|---|
| 1 | Pass | réseau | adresse de l'interface | 53 (DNS) |
| 2 | Pass | réseau | adresse de l'interface | 123 (NTP), si besoin |
| 3 | Block | réseau | alias RFC1918 |
— |
| 4 | Pass | réseau (ou alias liste blanche) | any | — |
- Le port source est toujours
any: un client émet depuis un port aléatoire. - La règle 3 bloque aussi l'accès à l'interface web d'OPNsense et à la box ; les règles 1 et 2 la précèdent pour ne laisser passer que le DNS et l'heure.
- TRUSTED dispose d'une règle unique Pass any : il administre les autres réseaux, l'inverse est bloqué (pare-feu stateful).
Conséquences¶
- Une compromission dans GAMES, GUEST ou IOT reste confinée à son VLAN.
- INFRA n'a pas de DHCP : la plage créée par défaut par OPNsense sur le LAN a été supprimée (elle chevauchait une adresse fixe).
- Le plan est celui de la v3 : changer de switch revient à recopier la table des ports.
- La découverte mDNS ne traverse pas les VLANs : les appareils sont joints par nom DNS (réservations DHCP + Unbound).