🔐 Sécurité — Vue d'ensemble¶

Architecture de sécurité¶

graph TB
    ATK["Attaquants\nInternet"] -->|"Bloque\nAucun port ouvert"| BOX["Freebox .1"]
    ATK -.->|"WireGuard chiffre\nauthentifie"| TAIL["Tailscale CT109"]

    TAIL --> CADDY["Caddy CT110\nHTTPS TLS 1.3"]
    CADDY --> ADG["AdGuard CT105\n27% requetes bloquees"]
    ADG --> VW["Vaultwarden CT103\nMdp 128 car. + 2FA"]
    VW --> DATA["Donnees chiffrees\nPBS AES-256"]

    style ATK fill:#b71c1c,color:#fff
    style BOX fill:#4a148c,color:#fff
    style TAIL fill:#1b5e20,color:#fff
    style CADDY fill:#e65100,color:#fff

Etat des mesures de sécurité¶

Couche	Mesure	Statut
Perimetre	Box fermee (aucun port ouvert)	OK
Perimetre	Tailscale VPN WireGuard	OK
Acces serveur	SSH desactive sur tous les containers	OK
Acces serveur	Acces uniquement via noVNC/xterm.js Proxmox	OK
DNS	AdGuard — 27% requetes bloquees	OK
Transport	HTTPS partout (TLS 1.3)	OK
Auth	Mots de passe 128 caracteres uniques	OK
Auth	2FA sur tous les services compatibles	OK
Donnees	Sauvegardes chiffrees AES-256	OK
Donnees	Backup hors-site (bureau Nicolas)	OK
Antivirus	ClamAV integre dans Nextcloud	OK
IDS/IPS	CrowdSec	Planifie
Chiffrement disque	LUKS au repos	Envisage

Suppression de SSH¶

Decision de securite importante

SSH a ete completement desactive sur tous les containers LXC. L'acces se fait uniquement via l'interface Proxmox (noVNC / xterm.js), qui necessite :

Une connexion a l'interface Proxmox (protegee par mot de passe + 2FA)
Le script config [CT_ID] pour acceder a un container specifique

Avant cette decision, chaque container exposait potentiellement un port SSH — soit 25 vecteurs d'attaque. Maintenant, il n'y en a qu'un seul : l'interface Proxmox.

Philosophie — Extranet ferme¶

flowchart LR
    subgraph "Modele classique (risque)"
        INT1["Internet"] -->|"Ports ouverts\n80, 443, 22..."| SRV1["Serveur\nexpose"]
    end

    subgraph "Modele Galexios (securise)"
        INT2["Internet"] -->|"Aucun port ouvert"| BOX["Freebox"]
        INT2 -->|"Tailscale VPN\nchiffre, authentifie"| VPN["CT109"]
        VPN --> SRV2["Serveur\ninaccessible\ndepuis Internet"]
    end

Avantage : Meme si un service avait une faille de securite, un attaquant depuis Internet ne pourrait pas l'exploiter — il ne peut pas atteindre le serveur.

Prochaines etapes securite¶

1. CrowdSec (priorite haute)¶

# Installation future
bash -c "$(wget -qLO - \
  https://github.com/community-scripts/ProxmoxVE/raw/main/ct/crowdsec.sh)"

2. Chiffrement LUKS au repos¶

Chiffrer les disques au niveau Proxmox pour que les donnees soient illisibles si les disques sont voles physiquement.