[{"content":"Je documente la construction d\u0026rsquo;un réseau d\u0026rsquo;entreprise sécurisé dans mon home lab, du premier achat à l\u0026rsquo;infrastructure as code : segmentation, Active Directory en tiers, Entra ID, Azure et SOC.\nChaque épisode raconte le besoin, les choix, la mise en place, ce qui a coincé et ce que ça donnerait en entreprise.\n","date":"7 novembre 2026","externalUrl":null,"permalink":"/","section":"Accueil","summary":"","title":"Accueil","type":"page"},{"content":"","date":"7 novembre 2026","externalUrl":null,"permalink":"/categories/","section":"Categories","summary":"","title":"Categories","type":"categories"},{"content":"","date":"7 novembre 2026","externalUrl":null,"permalink":"/tags/dell/","section":"Tags","summary":"","title":"Dell","type":"tags"},{"content":" Pourquoi je me lance là-dedans # Quand je travaillais en support informatique, ce que je préférais, c\u0026rsquo;était intervenir sur le matériel : ouvrir une machine, brancher, configurer, et comprendre pourquoi quelque chose ne fonctionnait pas. Depuis, je me suis orienté vers la sécurité, et j\u0026rsquo;avais envie de retrouver ce contact avec le concret.\nLes labs en ligne sont très bien pour apprendre des commandes. En revanche, ils n\u0026rsquo;apprennent pas à gérer un BIOS verrouillé, une carte réseau qui refuse de se réveiller ou un serveur particulièrement bruyant. Or, en entreprise, ces situations font aussi partie du quotidien.\nL\u0026rsquo;idée est donc simple : construire chez moi un réseau d\u0026rsquo;entreprise, le plus sécurisé possible. VLANs, Active Directory en tiers, PKI, Entra ID en hybride, proxy, SOC… Chaque brique, je la monte d\u0026rsquo;abord à la main, je la comprends, je la casse, et seulement après je la recode en infrastructure as code.\nCette série raconte tout dans l\u0026rsquo;ordre, du premier achat jusqu\u0026rsquo;au bout. On commence par la base : le matériel.\nL\u0026rsquo;objectif # Avant de parler machines, voici où je veux aller. C\u0026rsquo;est l\u0026rsquo;architecture cible, celle que les prochains épisodes vont construire petit à petit :\nL\u0026rsquo;architecture cible du lab. Ouvrir le schéma en grand\nConcrètement : un pare-feu au centre, qui découpe le réseau en zones (administration, postes d\u0026rsquo;admin, les trois tiers AD, SOC, DMZ, et un lab d\u0026rsquo;attaque complètement isolé). Trois hyperviseurs Proxmox pour faire tourner les VM. Une petite machine d\u0026rsquo;admin toujours allumée, qui est la seule porte d\u0026rsquo;entrée à distance, sans aucun port ouvert sur internet. Et de quoi allumer et éteindre chaque machine à distance, puisque je ne suis pas souvent à côté de la baie.\nLe matériel # D\u0026rsquo;où vient le matériel # Tout est d\u0026rsquo;occasion. Les deux Dell Precision 7560, je les ai trouvés sur Leboncoin, autour de 500 € pièce. Le PowerEdge T440 et toute la stack Fortinet viennent d\u0026rsquo;une entreprise qui s\u0026rsquo;en débarrassait, pour environ 1 000 € le tout. Le reste (thin client, baie, RAM, prise connectée…) vient aussi de Leboncoin, pour environ 500 €.\nC\u0026rsquo;est la stack Fortinet qui a tout déclenché : un FortiGate 61F, un FortiSwitch 224D-FPOE et une borne FortiAP 421E. Avec ce matériel, le switch et la borne Wi-Fi se pilotent directement depuis le pare-feu (FortiLink), exactement comme en entreprise. VLANs, règles de filtrage, Wi-Fi : tout se configure au même endroit. Avec une box ou un routeur grand public, je n\u0026rsquo;aurais jamais pu pratiquer cela.\nCe qu\u0026rsquo;il y a dans la baie # Rôle Machine Pourquoi elle est là Pare-feu FortiGate 61F VLANs, règles, FortiLink Switch FortiSwitch 224D-FPOE 24 ports, PoE, piloté par le pare-feu Wi-Fi FortiAP 421E le Wi-Fi du lab Hyperviseur 1 Dell Precision 7560 (i7-11850H, 64 Go, RTX A2000) 8 cœurs, 3 SSD NVMe Hyperviseur 2 Dell Precision 7560 vPro (i7-11850H, 64 Go, RTX A2000) pareil, avec Intel AMT Hyperviseur 3 Dell PowerEdge T440 (2 × Xeon Gold 6148, 96 Go) 40 cœurs, 8 disques SAS, iDRAC9 Admin Dell OptiPlex 3000 Thin Client (Celeron N5105, 8 Go) toujours allumé, très faible consommation Alim du switch Prise Shelly Plus Plug S couper ou rallumer le switch à distance Au total : 56 cœurs, 112 threads et 224 Go de RAM pour les VM, de quoi faire tourner un AD complet, un SOC et un lab d\u0026rsquo;attaque en même temps.\nDes portables comme hyperviseurs ? # C\u0026rsquo;est un choix réfléchi. Un Precision 7560, c\u0026rsquo;est 8 cœurs et 64 Go de RAM, là où la plupart des mini-PC plafonnent bien plus bas. Il y a de la place pour plusieurs SSD NVMe, la batterie fait office de petit onduleur, c\u0026rsquo;est silencieux au repos, et en cas de problème au démarrage, j\u0026rsquo;ai un écran et un clavier directement disponibles. Pour installer Proxmox, c\u0026rsquo;est très pratique.\nEn contrepartie, un portable rangé écran fermé dans une baie a tendance à se mettre en veille et à chauffer. On verra comment je gère ça dans l\u0026rsquo;épisode 3.\nPourquoi un deuxième Precision plutôt qu\u0026rsquo;autre chose ? Pour avoir plus de puissance sans changer de plateforme : même CPU, même RAM, même façon de l\u0026rsquo;administrer. Avec un avantage que je n\u0026rsquo;avais pas vraiment anticipé : celui-ci est vPro, donc pilotable à distance avec Intel AMT, ce qui s\u0026rsquo;est révélé très utile par la suite (épisode 4).\nEt un vrai serveur en plus # Le T440, c\u0026rsquo;est la grosse capacité : 8 baies de disques, une carte RAID PERC H750, 96 Go de RAM et surtout l\u0026rsquo;iDRAC9, la carte de gestion à distance des serveurs Dell. C\u0026rsquo;est lui qui va porter les gros morceaux, comme le lab d\u0026rsquo;attaque GOAD et le SOC, directement sur ses disques SAS.\nLa façade du T440 : les huit baies de disques SAS, toutes occupées. Son principal défaut : il est très bruyant. La solution est simple : il ne tourne pas en permanence. Comme les Precision, il ne s\u0026rsquo;allume que quand j\u0026rsquo;en ai besoin.\nUne machine toujours allumée # Si tout le lab tourne à la demande, il faut une machine allumée en permanence pour réveiller le reste. C\u0026rsquo;est le rôle du thin client OptiPlex : il consomme très peu, il allume et éteint les autres machines, et c\u0026rsquo;est le seul point d\u0026rsquo;entrée quand je me connecte de l\u0026rsquo;extérieur.\nCe que j\u0026rsquo;ai laissé de côté # J\u0026rsquo;avais un Raspberry Pi Zero et un Wyse 3040, mais ils étaient trop limités, même pour la machine d\u0026rsquo;administration. Quant au tout-cloud, il ne correspond pas à ce que je veux apprendre : segmentation réelle, pare-feu physique, gestion hors bande. Le cloud arrivera, mais en complément, avec Entra ID et Azure.\nJ\u0026rsquo;ai aussi pensé à partir sur des mini-PC. Mais avec la crise actuelle de la RAM, les modèles bien dotés en mémoire sont devenus trop chers : à puissance égale, les Precision d\u0026rsquo;occasion restaient bien plus intéressants.\nRemise en état # Je ne mets pas du matériel d\u0026rsquo;occasion en service tel quel : chaque machine est d\u0026rsquo;abord passée par une remise en état.\nLe T440 : processeurs et mémoire # Le T440 est arrivé avec des Xeon Bronze et 32 Go de RAM, ce qui était insuffisant pour un serveur destiné à faire tourner des dizaines de VM. Je l\u0026rsquo;ai passé à deux Xeon Gold 6148 (20 cœurs et 40 threads chacun) et à 96 Go de RAM, en 6 barrettes de 16 Go.\nPetite anecdote : j\u0026rsquo;avais commandé des Gold 6138, et le vendeur m\u0026rsquo;a envoyé des 6148, un modèle au-dessus. Une erreur plutôt favorable.\nLe changement de processeurs est moins impressionnant qu\u0026rsquo;il n\u0026rsquo;y paraît, à condition de prendre son temps. On retire les dissipateurs, on nettoie l\u0026rsquo;ancienne pâte, on pose les nouveaux Xeon en faisant très attention aux broches du socket, puis on remet de la pâte neuve avant de revisser les dissipateurs. La RAM, elle, se répartit selon l\u0026rsquo;ordre indiqué par Dell pour que chaque processeur ait sa part de mémoire.\nLe T440 ouvert : les deux Xeon Gold 6148 sous leurs dissipateurs, entourés des barrettes de RAM. La mise à jour des firmwares, en revanche, m\u0026rsquo;a fait une petite frayeur. Je les ai tous mis à jour directement depuis l\u0026rsquo;iDRAC, qui va les chercher chez Dell : BIOS, disques SAS, cartes réseau. Après le redémarrage, plus rien à l\u0026rsquo;écran : « No Signal » pendant de longues minutes, et un serveur qui semblait bloqué. Un cycle d\u0026rsquo;alimentation lancé depuis l\u0026rsquo;iDRAC a suffi à tout remettre en ordre, et depuis, il est parfaitement à jour.\nAu passage, l\u0026rsquo;iDRAC remonte à chaque redémarrage des erreurs PCIe marquées « fatal » sur la carte réseau Broadcom intégrée. Le mot fait peur, mais après vérification, il s\u0026rsquo;agit d\u0026rsquo;un comportement connu de ce contrôleur, sans conséquence sur le fonctionnement.\nLa pâte thermique # Je l\u0026rsquo;ai refaite sur toutes les machines. Sur du matériel qui a quelques années, la pâte d\u0026rsquo;origine sèche et conduit de moins en moins bien la chaleur. Comme les portables allaient fonctionner écran fermé dans une baie, c\u0026rsquo;était la priorité.\nEt j\u0026rsquo;ai bien fait : sur toutes les machines, l\u0026rsquo;ancienne pâte était en très mauvais état. Je l\u0026rsquo;ai remplacée partout par de l\u0026rsquo;Arctic MX-4, une valeur sûre, facile à appliquer et qui tient dans le temps.\nRAM et SSD # Côté RAM, un des Precision est passé de 32 à 64 Go, le T440 de 32 à 96 Go, et l\u0026rsquo;OptiPlex de 4 à 8 Go.\nCôté stockage, j\u0026rsquo;ai upgradé les deux Precision. Le premier a trois SSD NVMe de 1 To, dont deux neufs : deux en miroir ZFS pour le système et les VM, le troisième comme espace de travail. Le second a reçu un SSD neuf de 2 To, en plus de ceux d\u0026rsquo;origine (500 Go et 128 Go). Le thin client, lui, tourne sur un petit SSD NVMe de 256 Go au format 2230.\nPour les SSD d\u0026rsquo;origine que je conserve, je vérifie systématiquement leur usure dans les informations SMART avant de les utiliser.\nLe T440 n\u0026rsquo;a pas été oublié : j\u0026rsquo;ai aussi upgradé ses disques SAS, et ses 8 baies sont désormais toutes occupées.\nLa baie # Le réseau et les portables tiennent dans une baie murale 7U. De haut en bas :\nle bandeau électrique, sur lequel est branchée la prise connectée du switch ; le FortiSwitch ; un passe-câbles, pour garder un câblage propre ; le FortiGate et le thin client OptiPlex ; le premier Precision ; le second Precision. La baie ouverte. On reconnaît la prise Shelly à son anneau vert sur le bandeau, puis le FortiSwitch, le FortiGate à côté du thin client, et les deux Precision rangés en bas. Sous les deux Precision, j\u0026rsquo;ai ajouté un ventilateur. Deux portables écran fermé l\u0026rsquo;un au-dessus de l\u0026rsquo;autre, la chaleur s\u0026rsquo;accumule vite : ce flux d\u0026rsquo;air supplémentaire les aide à rester à une température raisonnable.\nLa borne Wi-Fi est posée sur le dessus de la baie. Elle n\u0026rsquo;a pas besoin de sa propre alimentation : le switch l\u0026rsquo;alimente directement par le câble réseau, en PoE.\nVue de dessus : la FortiAP 421E, alimentée en PoE par le switch, à côté de la box internet. À droite, le T440. Un détail qui va compter pour la suite : le switch est branché sur une prise connectée. Je peux le couper et le rallumer à distance, et c\u0026rsquo;est la première brique de tout le système d\u0026rsquo;allumage à distance de l\u0026rsquo;épisode 4.\nLe bilan # Au total, le lab m\u0026rsquo;a coûté environ 2 500 € :\nPoste Coût 2 × Dell Precision 7560 ~1 000 € PowerEdge T440 + stack Fortinet ~1 000 € Thin client, baie, RAM, prise, divers ~500 € Avec le recul, il y a quelques points que je ferais différemment.\nD\u0026rsquo;abord, je vérifierais plus attentivement la plateforme des portables avant d\u0026rsquo;acheter. Mes deux Precision ont le même processeur, un i7-11850H compatible vPro, mais un seul est réellement vPro : sur l\u0026rsquo;autre, la gestion à distance par Intel AMT n\u0026rsquo;existe tout simplement pas dans le BIOS. L\u0026rsquo;étiquette « Intel Core vPro » sur le châssis, ou son absence, en dit plus long que la fiche technique du processeur.\nEnsuite, je privilégierais les machines avec un port Ethernet intégré et fonctionnel. Sur l\u0026rsquo;un des Precision, le réseau passe par un adaptateur USB, et cela m\u0026rsquo;a compliqué la vie : impossible de réveiller la machine par le réseau quand elle est complètement éteinte, et un lien qui ne remonte pas toujours après une mise en veille.\nEnfin, je savais que le T440 serait bruyant, mais je l\u0026rsquo;ai sous-estimé. Il reste le bon choix pour la capacité, à condition de l\u0026rsquo;allumer uniquement quand j\u0026rsquo;en ai besoin.\nCe que je retiens surtout, c\u0026rsquo;est que le matériel professionnel d\u0026rsquo;occasion donne accès à des fonctionnalités absentes du grand public : FortiLink, iDRAC, AMT, exactement ce que l\u0026rsquo;on rencontre en entreprise. Avoir une petite machine sobre allumée en permanence change aussi beaucoup de choses, puisque le reste peut rester éteint. Enfin, le T440 est sans doute surdimensionné pour démarrer, mais compte tenu de ce que je prévois d\u0026rsquo;y faire tourner, il ne le restera pas longtemps.\nCe premier chantier m\u0026rsquo;a surtout rappelé pourquoi j\u0026rsquo;aime ce métier : chaque machine avait son petit problème à résoudre, et c\u0026rsquo;est en les résolvant que j\u0026rsquo;ai vraiment compris comment elles fonctionnent. Le socle est maintenant prêt. La suite, c\u0026rsquo;est de lui donner une structure, puis de construire dessus, brique par brique, le réseau d\u0026rsquo;entreprise que j\u0026rsquo;ai en tête.\nLa suite # Dans l\u0026rsquo;épisode 2, on découpe le réseau en zones : plan d\u0026rsquo;adressage, VLANs, et règles de communication entre elles.\n","date":"7 novembre 2026","externalUrl":null,"permalink":"/lab/01-le-materiel/","section":"From zero to enterprise network","summary":"Deux Precision, un PowerEdge, du Fortinet récupéré et un thin client : comment j’ai monté le socle de mon lab pour 2 500 €, et ce que j’ai changé dedans.","title":"Épisode 1 – Le matériel : choix, remise à neuf et rack","type":"lab"},{"content":"","date":"7 novembre 2026","externalUrl":null,"permalink":"/tags/fortinet/","section":"Tags","summary":"","title":"Fortinet","type":"tags"},{"content":"","date":"7 novembre 2026","externalUrl":null,"permalink":"/series/from-zero-to-enterprise-network/","section":"Series","summary":"","title":"From Zero to Enterprise Network","type":"series"},{"content":"","date":"7 novembre 2026","externalUrl":null,"permalink":"/tags/homelab/","section":"Tags","summary":"","title":"Homelab","type":"tags"},{"content":"","date":"7 novembre 2026","externalUrl":null,"permalink":"/tags/materiel/","section":"Tags","summary":"","title":"Materiel","type":"tags"},{"content":"","date":"7 novembre 2026","externalUrl":null,"permalink":"/tags/proxmox/","section":"Tags","summary":"","title":"Proxmox","type":"tags"},{"content":"","date":"7 novembre 2026","externalUrl":null,"permalink":"/series/","section":"Series","summary":"","title":"Series","type":"series"},{"content":"","date":"7 novembre 2026","externalUrl":null,"permalink":"/tags/","section":"Tags","summary":"","title":"Tags","type":"tags"},{"content":"","date":"5 novembre 2026","externalUrl":null,"permalink":"/categories/iac/","section":"Categories","summary":"","title":"Infra as Code","type":"categories"},{"content":"","date":"5 novembre 2026","externalUrl":null,"permalink":"/categories/soc/","section":"Categories","summary":"","title":"SOC \u0026 détection","type":"categories"},{"content":"","date":"5 novembre 2026","externalUrl":null,"permalink":"/categories/identite/","section":"Categories","summary":"","title":"Identité (AD, Entra)","type":"categories"},{"content":"","date":"5 novembre 2026","externalUrl":null,"permalink":"/categories/reseau/","section":"Categories","summary":"","title":"Réseau \u0026 segmentation","type":"categories"},{"content":"","date":"5 novembre 2026","externalUrl":null,"permalink":"/categories/socle/","section":"Categories","summary":"","title":"Matériel \u0026 socle","type":"categories"},{"content":"","date":"5 novembre 2026","externalUrl":null,"permalink":"/lab/","section":"From zero to enterprise network","summary":"","title":"From zero to enterprise network","type":"lab"},{"content":"","externalUrl":null,"permalink":"/authors/","section":"Authors","summary":"","title":"Authors","type":"authors"}]