Cybersécurité · 2026 · En Développement

Homelab - réseau segmenté et SOC

Homelab personnel dédié à l’expérimentation en cybersécurité, en administration systèmes, en segmentation réseau et en supervision. Le réseau repose sur un routeur/pare-feu TP-Link Omada ER605, qui doit assurer le routage inter-VLAN et le filtrage par ACL, et sur un switch central TP-Link TL-SG108E, prévu pour la commutation VLAN 802.1Q et le port mirroring (SPAN) ; le trunk, les ACL et le port mirroring sont en cours de configuration. Il est découpé en six VLAN : 10 Test / Attaque, 20 Administration / Serveurs, 30 Ad blocker, 40 Stockage / Backup, 50 SOC / Sécurité et 99 Management. La version 2 du schéma décrit l’architecture cible : un SOC virtualisé sous Proxmox VE avec Suricata, Wazuh, Shuffle et Veeam. La page distingue ce qui est en place, ce qui est en cours de configuration et ce qui est prévu.

Requête

Headers

Auth

API

01 : Contexte

Objectif du projet

Projet personnel, mené seul en parallèle de ma formation, pour reproduire des scénarios pratiques : segmentation et filtrage réseau, tests d’intrusion en environnement contrôlé, administration Windows et Active Directory, supervision et détection d’incidents, sauvegarde et restauration.

02 : Problématique

Problème identifié

Comment concevoir un environnement de laboratoire segmenté qui permette de tester des attaques, d’administrer des services et d’expérimenter la détection d’incidents sans exposer le reste du réseau ?

03 : Solution

Solution mise en œuvre

L’ER605 doit assurer le routage inter-VLAN et le filtrage des flux par ACL ; le TL-SG108E assure la commutation 802.1Q, avec un trunk prévu pour transporter les VLAN 10, 20, 30, 40, 50 et 99. En place : les postes et VM de test du VLAN 10 (ThinkCentre et ThinkPad sous Windows, VM vulnérable et VM Kali Linux en mode bridge) et Pi-hole sur Raspberry Pi dans le VLAN 30. En cours de configuration : le trunk 802.1Q, les ACL inter-VLAN, dont dépend l’isolation entre les VLAN, et le port mirroring (SPAN). Prévu dans la cible v2 : dans le VLAN 20, un OptiPlex hébergeant une VM Windows Server avec AD DS et le DNS Active Directory, utilisé par les clients du domaine, Pi-hole servant de redirecteur pour les requêtes externes ; le NAS de sauvegarde du VLAN 40, avec snapshots et copie hors site vers un stockage objet compatible S3 (Object Lock) ; dans le VLAN 50, l’hôte EliteDesk sous Proxmox VE avec des VM Suricata, Wazuh, Shuffle, Veeam Backup & Replication et un contrôleur de domaine secondaire optionnel, ainsi qu’une carte réseau USB 3.0 dédiée à la capture, dont la compatibilité avec Proxmox et Suricata reste à valider ; le VLAN 99, réservé aux interfaces d’administration de l’ER605, du switch et de Proxmox.

04 : Architecture

Schéma technique

01
Routeur / pare-feu : TP-Link Omada ER605 : routage inter-VLAN et filtrage par ACL (en cours de configuration)
02
Switch central : TP-Link TL-SG108E : VLAN 802.1Q, trunk prévu pour les VLAN 10/20/30/40/50/99, port mirroring (SPAN)
03
VLAN 10 — Test / Attaque : ThinkCentre et ThinkPad sous Windows, VM vulnérable, VM Kali Linux (bridge)
04
VLAN 20 — Administration / Serveurs : OptiPlex (hôte Windows), VM Windows Server : AD DS et DNS Active Directory, Pi-hole en redirecteur externe
05
VLAN 30 — Ad blocker : Raspberry Pi, Pi-hole (filtrage DNS)
06
VLAN 40 — Stockage / Backup : NAS de sauvegarde, snapshots, copie hors site S3 avec Object Lock (prévu)
07
VLAN 50 — SOC / Sécurité : EliteDesk Proxmox VE 32 Go, VM : Suricata, Wazuh, Shuffle, Veeam B&R, DC secondaire (optionnel) ; carte USB 3.0 de capture
08
VLAN 99 — Management : Interfaces d’administration de l’ER605, du switch et de Proxmox

05 : Fonctionnalités

Fonctions principales

Segmentation réseau par VLAN

Six VLAN 802.1Q séparent les usages : test et attaque, serveurs, Pi-hole, stockage, SOC et management. Le trunk entre l’ER605 et le switch est en cours de configuration. Statut : en cours de configuration.

Routage inter-VLAN et filtrage des communications

L’ER605 route entre les VLAN et filtre les communications par ACL, pour n’ouvrir que les flux nécessaires. C’est ce filtrage qui isole les VLAN entre eux. Statut : en cours de configuration.

Environnement de tests d’intrusion

VLAN dédié aux tests : VM Kali Linux et VM vulnérable en mode bridge sur des postes Windows. L’isolation avec les autres VLAN repose sur le filtrage inter-VLAN, en cours de configuration. Statut : postes et VM en place.

Administration Windows et Active Directory

VLAN 20 : VM Windows Server sur un OptiPlex, hébergeant AD DS et le DNS Active Directory. Les clients du domaine utilisent ce DNS, qui transmet les requêtes externes à Pi-hole. Statut : prévu (cible v2).

Détection d’intrusion réseau avec Suricata

IDS réseau qui analyse le trafic copié par le port mirroring du switch vers une carte USB 3.0 dédiée, dont la compatibilité avec Proxmox reste à valider. La couverture dépend des ports sources, du sens de capture et de la capacité du port miroir. Statut : prévu (cible v2).

Centralisation et analyse des événements avec Wazuh

SIEM qui centralise les journaux des agents et les alertes de Suricata pour les analyser. Statut : prévu (cible v2).

Automatisation des réponses avec Shuffle

SOAR qui reçoit les alertes de Wazuh et orchestre les actions de réponse. Statut : prévu (cible v2).

Sauvegarde et restauration avec Veeam

VM Veeam Backup & Replication sur l’hôte Proxmox : sauvegarde des VM et des configurations vers le NAS du VLAN 40, avec une copie hors site prévue. Statut : prévu (cible v2).

Filtrage DNS avec Pi-hole

Le Raspberry Pi du VLAN 30 filtre les requêtes DNS et bloque les domaines publicitaires. Dans la cible v2, il sert de redirecteur au DNS Active Directory sans le remplacer. Statut : en place.

06 : Technologies

Stack utilisée

Réseau

TP-Link Omada ER605TP-Link TL-SG108EVLAN 802.1Q

Systèmes et virtualisation

Proxmox VEWindows 11 ProWindows Server 2022Active Directory (AD DS)Raspberry Pi

Sécurité et SOC

Kali LinuxPi-holeSuricataWazuhShuffle SOAR

Sauvegarde

Veeam Backup & ReplicationNASStockage objet S3

07 : Défis techniques et évolutions

Limites et évolutions

Professionnaliser l’installation demande du matériel complémentaire :
baie serveur et racks
passe-câbles et câblage RJ45 adapté
onduleur pour protéger les équipements des coupures

Limites de l’infrastructure actuelle :
le TL-SG108E est un switch Easy Smart : il gère les VLAN et le port mirroring, mais pas de filtrage avancé, qui reste porté par l’ER605
Suricata ne verra que le trafic copié par le port mirroring, pas l’ensemble des VLAN
la carte réseau USB 3.0 de capture doit être validée avec Proxmox (chipset) et Suricata
l’hôte Proxmox concentre les VM du SOC : sa panne arrêterait toute la supervision

Évolutions envisagées :
finaliser le trunk 802.1Q, les ACL inter-VLAN et le port mirroring
déployer les VM du SOC (Suricata, Wazuh, Shuffle, Veeam)
mettre en place la copie hors site S3 et tester les restaurations

08 : Sécurité

Contrôles concernés

Segmentation des environnements par VLAN : test et attaque, serveurs, Pi-hole, stockage, SOC et management. Un VLAN seul n’isole pas : l’isolation repose sur le filtrage inter-VLAN.
Filtrage inter-VLAN par ACL sur l’ER605 : seuls les flux nécessaires doivent être autorisés (configuration en cours).
VLAN 99 dédié au management : interfaces d’administration de l’ER605, du switch et de Proxmox, distinctes des interfaces des VM hébergées.
Accès contrôlés entre le VLAN de test, les serveurs et le SOC : les flux d’attaque ne sont ouverts qu’à la demande, pour des exercices autorisés et dans le laboratoire.
Accès entrant au SOC limité aux flux nécessaires : agents et journaux vers Wazuh, tableau de bord depuis le poste d’administration uniquement (cible v2).
Capture réseau par port mirroring (SPAN) vers une carte USB 3.0 dédiée à Suricata (prévu) ; la couverture dépend des ports sources, du sens de capture et de la capacité du port miroir.
Supervision de sécurité centralisée avec Wazuh (prévu).
Sauvegardes sur NAS et copie hors site S3 avec Object Lock prévues, pour viser une stratégie 3-2-1.

09 : Résultats

Résultats observables

Mise en place d’une base matérielle pour expérimenter la segmentation réseau et l’administration des équipements.
Environnement de test destiné à la pratique de la cybersécurité offensive et défensive.
Architecture cible documentée et évolutive vers un SOC virtualisé.
Identification des dépendances techniques liées aux ACL, au port mirroring, à la virtualisation et aux sauvegardes.

Tous les projets SIGNA