Que fait Préparation du réseau Homelab ?
Utilisez ce skill avant de modifier un réseau domestique ou de petit laboratoire qui mélange VLAN, Pi-hole ou un autre résolveur DNS local, des règles de pare-feu et un accès VPN distant.
Il s'agit d'un skill de planification et de révision. Ne le transformez pas en configuration copier-coller de routeur, pare-feu ou VPN, sauf si la plateforme cible, la topologie actuelle, le chemin de retour, l'accès console et la fenêtre de maintenance sont tous connus.
Quand l'utiliser
- Préparer la division d'un réseau plat en VLAN de confiance, IoT, invité, serveur ou gestion.
- Déplacer les clients DHCP vers Pi-hole, AdGuard Home, Unbound ou un autre résolveur DNS local.
- Ajouter un accès VPN via WireGuard, Tailscale, ZeroTier, OpenVPN ou le VPN natif du routeur.
- Vérifier si un changement du réseau domestique peut verrouiller l'opérateur hors de la passerelle, du commutateur, du point d'accès, du serveur DNS ou du serveur VPN.
- Transformer une idée informelle de réseau domestique en un plan de migration par étapes avec preuves de validation.
Règles de sécurité
- Conservez la première réponse en lecture seule : inventaire, risques, plan par étapes, validation et rollback.
- N'exposez pas les panneaux d'administration de la passerelle, les résolveurs DNS, SSH, les consoles NAS ou les interfaces de gestion VPN directement sur Internet public.
- Ne fournissez pas de commandes de pare-feu, NAT, VLAN, DHCP ou VPN sans une plateforme confirmée et une procédure de rollback.
- Exigez un accès console hors bande ou dans la même pièce avant de modifier les VLAN de gestion, les ports trunk, les politiques par défaut du pare-feu ou les paramètres DHCP/DNS.
- Gardez un chemin de retour fonctionnel vers Internet avant de pointer tout le réseau vers un nouveau résolveur DNS ou une route VPN.
- Traitez les réseaux IoT, invités, caméras et serveurs de laboratoire comme des zones de confiance différentes jusqu'à ce que l'opérateur choisisse explicitement le contraire.
Inventaire requis
Collectez ceci avant de donner des étapes de mise en œuvre :
| Domaine | Questions |
|---|---|
| Périphérie Internet | Quel est le modem ou ONT ? Le routeur FAI est-il en mode bridge ou route-t-il toujours ? |
| Passerelle | Quels sont les routes, pare-feu, DHCP et terminaisons VPN ? |
| Commutation | Quels ports du commutateur sont des uplinks, ports d'accès, trunks ou non gérés ? |
| Wi-Fi | Quels SSID correspondent à quels réseaux, et les points d'accès sont-ils câblés ou maillés ? |
| Adressage | Quels sous-réseaux existent aujourd'hui, et quelles plages sont en conflit avec les sites VPN ? |
| DNS/DHCP | Quel service distribue actuellement les baux et les adresses des résolveurs ? |
| Gestion | Comment l'opérateur atteindra-t-il la passerelle, le commutateur et le point d'accès après les changements ? |
| Récupération | Que peut-on restaurer localement si DNS, DHCP, VLAN ou les routes VPN se cassent ? |
Plan VLAN et zones de confiance
Commencez par l'intention plutôt que par la syntaxe du fournisseur.
| Zone | Contenu typique | Politique par défaut |
|---|---|---|
| Confiance | Ordinateurs portables, téléphones, postes d'administration | Peut accéder aux services partagés et à la gestion uniquement si nécessaire |
| Serveurs | NAS, Home Assistant, hôtes de laboratoire, résolveur DNS | Accepte des flux entrants limités en provenance des clients de confiance |
| IoT | TV, prises intelligentes, caméras, enceintes | Accès Internet plus exceptions explicites uniquement |
| Invité | Appareils des visiteurs | Internet uniquement, aucune accessibilité LAN |
| Gestion | Passerelle, commutateurs, points d'accès, contrôleurs | Accessible uniquement depuis les appareils d'administration de confiance |
| VPN | Clients distants | Accès identique ou plus restreint que celui des clients de confiance |
Avant de recommander des ID VLAN ou des sous-réseaux, confirmez :
- La passerelle prend en charge le routage inter-VLAN et les règles de pare-feu.
- Le commutateur prend en charge le comportement requis pour les ports tagués et non tagués.
- Les points d'accès peuvent mapper les SSID aux VLAN.
- L'opérateur sait par quel port il est connecté pendant le changement.
- Le réseau de gestion reste accessible après les modifications de trunk et SSID.
Préparation au filtrage DNS
Pi-hole ou un autre résolveur local doit être introduit comme une dépendance, pas comme un point de défaillance unique.
- Donnez au résolveur une adresse réservée avant de l'utiliser dans les options DHCP.
- Confirmez qu'il peut résoudre les DNS publics et les noms locaux
home.arpa. - Gardez la passerelle ou un deuxième résolveur disponible comme solution de repli temporaire.
- Testez un client ou un VLAN avant de modifier chaque étendue DHCP.
- Documentez quels réseaux peuvent contourner le filtrage et pourquoi.
- Vérifiez que les règles de blocage ne cassent pas les portails captifs, les VPN professionnels, les mises à jour du firmware ou les dispositifs médicaux/de sécurité.
Preuves de validation utiles :
Le client reçoit le bail DHCP attendu
Le client reçoit le résolveur DNS attendu
La résolution DNS publique réussit
La résolution locale home.arpa réussit
Le domaine de test bloqué est bloqué uniquement là où prévu
Les interfaces d'administration de la passerelle et du DNS ne sont pas accessibles depuis les réseaux invité ou IoT
Préparation à l'accès distant
Pour un accès de type WireGuard, décidez ce que le VPN est autorisé à atteindre avant de générer des clés ou d'ouvrir des ports.
| Mode | Quand l'utiliser | Notes de risque |
|---|---|---|
| Split tunnel vers un sous-réseau | Administration à distance pour NAS ou hôtes de laboratoire | Gardez la liste des routes étroite |
| Split tunnel vers les services de confiance | Accès à des applications sélectionnées par IP ou DNS | Nécessite des règles de pare-feu précises |
| Tunnel complet | Réseaux non fiables ou voyages | Plus de bande passante et responsabilité DNS |
| VPN superposé | Accès distant plus simple avec contrôles d'identité | Nécessite toujours une révision des ACL |
Ne recommandez pas la redirection de port tant que l'opérateur n'a pas confirmé :
- Le point de terminaison VPN est patché et activement maintenu.
- Le port redirigé va uniquement au service VPN, pas à une interface d'administration.
- Le DNS dynamique, le comportement de l'IP publique et le statut CGNAT du FAI sont compris.
- Les clés des pairs peuvent être révoquées sans reconstruire tout le réseau.
- Les logs ou l'état de la connexion peuvent vérifier qui s'est connecté et quand.
Séquence de changement
Privilégiez les changements petits et réversibles :
- Prenez un instantané de la topologie actuelle, du plan IP, des paramètres DHCP, des paramètres DNS et des règles de pare-feu.
- Réservez les adresses d'infrastructure pour la passerelle, le DNS, le contrôleur, les points d'accès, le NAS et le point de terminaison VPN.
- Créez la nouvelle zone ou VLAN sans déplacer les périphériques critiques.
- Déplacez un client de test et validez le DHCP, DNS, routage, Internet et le comportement de blocage.
- Ajoutez des exceptions de pare-feu étroites pour les flux requis.
- Déplacez un groupe de périphériques à faible risque.
- Ajoutez l'accès VPN avec la politique de route et de pare-feu la plus étroite satisfaisant le cas d'utilisation.
- Documentez l'état final, les exceptions connues et les commandes ou étapes UI de rollback.
Liste de vérification
- Chaque réseau a une raison d'exister et une limite de confiance claire.
- Aucune interface de gestion n'est accessible depuis les réseaux invité, IoT ou Internet public.
- Une panne DNS ne supprime pas la capacité de l'opérateur à récupérer localement.
- Les modifications d'étendue DHCP ont été testées sur un client avant un déploiement large.
- Les clients VPN reçoivent uniquement les routes et paramètres DNS dont ils ont besoin.
- Les règles de pare-feu sont en refus par défaut entre les zones, avec des exceptions nommées.
- L'opérateur peut toujours atteindre les surfaces d'administration de la passerelle, du commutateur, du point d'accès, du DNS et du VPN.
- Le rollback est documenté dans le même vocabulaire que l'interface utilisateur ou la CLI de la plateforme choisie.
Anti-patrons
- Segmenter les réseaux avant de savoir quels ports de commutateur et SSID transportent quels VLAN.
- Déplacer le poste d'administration hors du seul réseau de gestion accessible.
- Pointer toutes les étendues DHCP vers un Pi-hole avant de tester le DNS de secours.
- Publier la gestion NAS, DNS, routeur ou hyperviseur directement sur Internet.
- Traiter l'accès VPN comme équivalent à un accès complet au LAN de confiance.
- Ajouter des règles de pare-feu tout-autoriser temporairement et oublier de les supprimer.
- Copier des commandes d'un autre fournisseur ou version de firmware sans vérifier la syntaxe exacte de la plateforme.
Voir aussi
- Skill:
homelab-network-setup - Skill:
network-config-validation - Skill:
network-interface-health