Préparation du Réseau Domestique / Laboratoire
Utilisez ce skill avant de modifier un réseau domestique ou de petit laboratoire qui mélange VLAN, Pi-hole ou un autre résolveur DNS local, des règles de pare-feu et un accès VPN distant.
Il s'agit d'un skill de planification et de révision. Ne le transformez pas en commandes copiées-collées de routeur, pare-feu ou VPN sauf si la plateforme cible, la topologie actuelle, le chemin de restauration, l'accès console et la fenêtre de maintenance sont tous connus.
Quand l'Utiliser
- Préparer le découpage d'un réseau plat en VLAN de confiance, IoT, invité, serveur ou gestion.
- Migrer les clients DHCP vers Pi-hole, AdGuard Home, Unbound ou un autre résolveur DNS local.
- Ajouter un accès VPN WireGuard, Tailscale, ZeroTier, OpenVPN ou natif du routeur.
- Vérifier si une modification du réseau domestique peut bloquer l'accès de l'opérateur à la passerelle, au switch, au point d'accès, au serveur DNS ou au serveur VPN.
- Transformer une idée informelle de réseau domestique en un plan de migration par étapes avec preuves de validation.
Règles de Sécurité
- Conservez la première réponse en lecture seule : inventaire, risques, plan par étapes, validation et restauration.
- N'exposez pas les panneaux d'administration de la passerelle, les résolveurs DNS, SSH, les consoles NAS ou les interfaces de gestion VPN directement sur Internet.
- Ne fournissez pas de commandes pare-feu, NAT, VLAN, DHCP ou VPN sans une plateforme confirmée et une procédure de restauration.
- Exigez un accès console hors bande ou dans la même pièce avant de modifier les VLAN de gestion, les ports trunk, les politiques par défaut du pare-feu ou les paramètres DHCP/DNS.
- Gardez un chemin fonctionnel de retour vers Internet avant de diriger tout le réseau vers un nouveau résolveur DNS ou une route VPN.
- Traitez les réseaux IoT, invités, caméras et serveurs de laboratoire comme des zones de confiance différentes jusqu'à ce que l'opérateur choisisse explicitement le contraire.
Inventaire Requis
Collectez ceci avant de donner des étapes de mise en œuvre :
| Zone | Questions |
|---|---|
| Périphérie Internet | Quel est le modem ou l'ONT ? Le routeur FAI est-il en mode bridge ou route-t-il toujours ? |
| Passerelle | Quelles routes, pare-feu, gère le DHCP et termine les VPN ? |
| Commutation | Quels ports du switch sont des uplinks, ports d'accès, trunks ou non gérés ? |
| Wi-Fi | Quels SSID correspondent à quels réseaux, et les points d'accès sont-ils câblés ou maillés ? |
| Adressage | Quels sous-réseaux existent aujourd'hui, et quelles plages entrent en conflit avec les sites VPN ? |
| DNS/DHCP | Quel service distribue actuellement les baux et les adresses de résolveur ? |
| Gestion | Comment l'opérateur atteindra-t-il la passerelle, le switch et le point d'accès après les modifications ? |
| Récupération | Qu'est-ce qui peut être annulé localement si le DNS, le DHCP, les VLAN ou les routes VPN cassent ? |
Plan de VLAN et de Zones de Confiance
Commencez par l'intention plutôt que par la syntaxe du fournisseur.
| Zone | Contenu typique | Politique par défaut |
|---|---|---|
| De confiance | Ordinateurs portables, téléphones, postes d'administration | Peut atteindre les services partagés et la gestion uniquement si nécessaire |
| Serveurs | NAS, Home Assistant, hôtes de laboratoire, résolveur DNS | Accepte des flux entrants restreints provenant de clients de confiance |
| IoT | Téléviseurs, prises connectées, caméras, enceintes | Accès Internet plus exceptions explicites uniquement |
| Invité | Appareils des visiteurs | Internet uniquement, aucune accessibilité au LAN |
| Gestion | Passerelle, switches, points d'accès, contrôleurs | Accessible uniquement depuis les appareils d'administration de confiance |
| VPN | Clients distants | Accès identique ou plus restreint que les clients de confiance |
Avant de recommander des identifiants VLAN ou sous-réseaux, confirmez :
- La passerelle prend en charge le routage inter-VLAN et les règles de pare-feu.
- Le switch prend en charge le comportement des ports taggés et non taggés requis.
- Les points d'accès peuvent mapper les SSID aux VLAN.
- L'opérateur sait par quel port il est connecté pendant le changement.
- Le réseau de gestion reste accessible après les modifications de trunk et de SSID.
Préparation du Filtrage DNS
Pi-hole ou un autre résolveur local doit être introduit comme une dépendance, pas comme un point de défaillance unique.
- Donnez une adresse réservée au résolveur avant de l'utiliser dans les options DHCP.
- Confirmez qu'il peut résoudre le DNS public et les noms locaux
home.arpa. - Gardez la passerelle ou un second résolveur disponible comme solution de repli temporaire.
- Testez un client ou un VLAN avant de modifier chaque étendue DHCP.
- Documentez quels réseaux peuvent contourner le filtrage et pourquoi.
- Vérifiez que les règles de blocage n'interrompent pas les portails captifs, les VPN professionnels, les mises à jour du firmware ou les appareils médicaux/de sécurité.
Preuves de validation utiles :
Le client reçoit le bail DHCP attendu
Le client reçoit le résolveur DNS attendu
La résolution DNS publique réussit
La résolution locale home.arpa réussit
Le domaine de test bloqué est bloqué uniquement là où prévu
Les interfaces d'administration de la passerelle et du DNS ne sont pas accessibles depuis les réseaux invité ou IoT
Préparation de l'Accès à Distance
Pour un accès de type WireGuard, décidez ce que le VPN est autorisé à atteindre avant de générer des clés ou d'ouvrir des ports.
| Mode | Utilisation | Notes de risque |
|---|---|---|
| Split tunnel vers un sous-réseau | Administration à distance pour NAS ou hôtes de laboratoire | Gardez la liste des routes étroite |
| Split tunnel vers des services de confiance | Accès à des applications sélectionnées par IP ou DNS | Nécessite des règles de pare-feu précises |
| Tunnel complet | Réseaux non fiables ou voyages | Plus de bande passante et de responsabilité DNS |
| VPN superposé | Accès distant plus simple avec contrôles d'identité | Nécessite toujours une revue des ACL |
Ne recommandez pas la redirection de port tant que l'opérateur n'a pas confirmé :
- Le point de terminaison VPN est patché et activement maintenu.
- Le port redirigé va uniquement au service VPN, pas à une interface d'administration.
- Le DNS dynamique, le comportement de l'IP publique et le statut CGNAT du FAI sont compris.
- Les clés homologues peuvent être révoquées sans reconstruire tout le réseau.
- Les journaux ou l'état de connexion peuvent vérifier qui s'est connecté et quand.
Séquence de Changement
Privilégiez les changements petits et réversibles :
- Sauvegardez la topologie actuelle, le plan IP, les paramètres DHCP, les paramètres DNS et les règles de pare-feu.
- Réservez les adresses d'infrastructure pour la passerelle, le DNS, le contrôleur, les points d'accès, le NAS et le point de terminaison VPN.
- Créez la nouvelle zone ou le nouveau VLAN sans déplacer les appareils critiques.
- Déplacez un client test et validez le DHCP, le DNS, le routage, Internet et le comportement de blocage.
- Ajoutez des exceptions de pare-feu étroites pour les flux requis.
- Déplacez un groupe d'appareils à faible risque.
- Ajoutez l'accès VPN avec la route et la politique de pare-feu les plus restrictives qui satisfont le cas d'usage.
- Documentez l'état final, les exceptions connues et les commandes ou étapes d'interface de restauration.
Liste de Vérification Finale
- Chaque réseau a une raison d'exister et une limite de confiance claire.
- Aucune interface de gestion n'est accessible depuis les réseaux invité, IoT ou Internet.
- Une panne DNS ne neutralise pas la capacité de l'opérateur à récupérer localement.
- Les modifications d'étendue DHCP ont été testées sur un client avant un déploiement large.
- Les clients VPN reçoivent uniquement les routes et paramètres DNS dont ils ont besoin.
- Les règles de pare-feu sont par défaut en refus entre les zones, avec des exceptions nommées.
- L'opérateur peut toujours atteindre les surfaces d'administration de la passerelle, du switch, du point d'accès, du DNS et du VPN.
- La restauration est documentée dans le même vocabulaire que l'interface utilisateur ou le CLI de la plateforme choisie.
Anti-Patrons
- Segmenter les réseaux avant de savoir quels ports de switch et quels SSID transportent quels VLAN.
- Déplacer le poste d'administration hors du seul réseau de gestion accessible.
- Pointer toutes les étendues DHCP vers un Pi-hole avant de tester le DNS de repli.
- Publier l'administration du NAS, du DNS, du routeur ou de l'hyperviseur directement sur Internet.
- Considérer l'accès VPN comme équivalent à un accès complet au LAN de confiance.
- Ajouter des règles de pare-feu temporaires tout-autoriser et oublier de les supprimer.
- Copier des commandes d'un autre fournisseur ou version de firmware sans vérifier la syntaxe exacte de la plateforme.
Voir Aussi
- Skill :
homelab-network-setup - Skill :
network-config-validation - Skill :
network-interface-health