Épisode 1 – Le matériel : choix, remise à neuf et rack

Pourquoi je me lance là-dedans

#

Quand je travaillais en support informatique, ce que je préférais, c’était intervenir sur le matériel : ouvrir une machine, brancher, configurer, et comprendre pourquoi quelque chose ne fonctionnait pas. Depuis, je me suis orienté vers la sécurité, et j’avais envie de retrouver ce contact avec le concret.

Les labs en ligne sont très bien pour apprendre des commandes. En revanche, ils n’apprennent pas à gérer un BIOS verrouillé, une carte réseau qui refuse de se réveiller ou un serveur particulièrement bruyant. Or, en entreprise, ces situations font aussi partie du quotidien.

L’idée est donc simple : construire chez moi un réseau d’entreprise, le plus sécurisé possible. VLANs, Active Directory en tiers, PKI, Entra ID en hybride, proxy, SOC… Chaque brique, je la monte d’abord à la main, je la comprends, je la casse, et seulement après je la recode en infrastructure as code.

Cette série raconte tout dans l’ordre, du premier achat jusqu’au bout. On commence par la base : le matériel.

L’objectif

#

Avant de parler machines, voici où je veux aller. C’est l’architecture cible, celle que les prochains épisodes vont construire petit à petit :

Ouvrir le schéma en grand

Concrètement : un pare-feu au centre, qui découpe le réseau en zones (administration, postes d’admin, les trois tiers AD, SOC, DMZ, et un lab d’attaque complètement isolé). Trois hyperviseurs Proxmox pour faire tourner les VM. Une petite machine d’admin toujours allumée, qui est la seule porte d’entrée à distance, sans aucun port ouvert sur internet. Et de quoi allumer et éteindre chaque machine à distance, puisque je ne suis pas souvent à côté de la baie.

Le matériel

#

D’où vient le matériel

#

Tout est d’occasion. Les deux Dell Precision 7560, je les ai trouvés sur Leboncoin, autour de 500 € pièce. Le PowerEdge T440 et toute la stack Fortinet viennent d’une entreprise qui s’en débarrassait, pour environ 1 000 € le tout. Le reste (thin client, baie, RAM, prise connectée…) vient aussi de Leboncoin, pour environ 500 €.

C’est la stack Fortinet qui a tout déclenché : un FortiGate 61F, un FortiSwitch 224D-FPOE et une borne FortiAP 421E. Avec ce matériel, le switch et la borne Wi-Fi se pilotent directement depuis le pare-feu (FortiLink), exactement comme en entreprise. VLANs, règles de filtrage, Wi-Fi : tout se configure au même endroit. Avec une box ou un routeur grand public, je n’aurais jamais pu pratiquer cela.

Ce qu’il y a dans la baie

#

Au total : 56 cœurs, 112 threads et 224 Go de RAM pour les VM, de quoi faire tourner un AD complet, un SOC et un lab d’attaque en même temps.

Des portables comme hyperviseurs ?

#

C’est un choix réfléchi. Un Precision 7560, c’est 8 cœurs et 64 Go de RAM, là où la plupart des mini-PC plafonnent bien plus bas. Il y a de la place pour plusieurs SSD NVMe, la batterie fait office de petit onduleur, c’est silencieux au repos, et en cas de problème au démarrage, j’ai un écran et un clavier directement disponibles. Pour installer Proxmox, c’est très pratique.

En contrepartie, un portable rangé écran fermé dans une baie a tendance à se mettre en veille et à chauffer. On verra comment je gère ça dans l’épisode 3.

Pourquoi un deuxième Precision plutôt qu’autre chose ? Pour avoir plus de puissance sans changer de plateforme : même CPU, même RAM, même façon de l’administrer. Avec un avantage que je n’avais pas vraiment anticipé : celui-ci est vPro, donc pilotable à distance avec Intel AMT, ce qui s’est révélé très utile par la suite (épisode 4).

Et un vrai serveur en plus

#

Le T440, c’est la grosse capacité : 8 baies de disques, une carte RAID PERC H750, 96 Go de RAM et surtout l’iDRAC9, la carte de gestion à distance des serveurs Dell. C’est lui qui va porter les gros morceaux, comme le lab d’attaque GOAD et le SOC, directement sur ses disques SAS.

Son principal défaut : il est très bruyant. La solution est simple : il ne tourne pas en permanence. Comme les Precision, il ne s’allume que quand j’en ai besoin.

Une machine toujours allumée

#

Si tout le lab tourne à la demande, il faut une machine allumée en permanence pour réveiller le reste. C’est le rôle du thin client OptiPlex : il consomme très peu, il allume et éteint les autres machines, et c’est le seul point d’entrée quand je me connecte de l’extérieur.

Ce que j’ai laissé de côté

#

J’avais un Raspberry Pi Zero et un Wyse 3040, mais ils étaient trop limités, même pour la machine d’administration. Quant au tout-cloud, il ne correspond pas à ce que je veux apprendre : segmentation réelle, pare-feu physique, gestion hors bande. Le cloud arrivera, mais en complément, avec Entra ID et Azure.

J’ai aussi pensé à partir sur des mini-PC. Mais avec la crise actuelle de la RAM, les modèles bien dotés en mémoire sont devenus trop chers : à puissance égale, les Precision d’occasion restaient bien plus intéressants.

Remise en état

#

Je ne mets pas du matériel d’occasion en service tel quel : chaque machine est d’abord passée par une remise en état.

Le T440 : processeurs et mémoire

#

Le T440 est arrivé avec des Xeon Bronze et 32 Go de RAM, ce qui était insuffisant pour un serveur destiné à faire tourner des dizaines de VM. Je l’ai passé à deux Xeon Gold 6148 (20 cœurs et 40 threads chacun) et à 96 Go de RAM, en 6 barrettes de 16 Go.

Petite anecdote : j’avais commandé des Gold 6138, et le vendeur m’a envoyé des 6148, un modèle au-dessus. Une erreur plutôt favorable.

Le changement de processeurs est moins impressionnant qu’il n’y paraît, à condition de prendre son temps. On retire les dissipateurs, on nettoie l’ancienne pâte, on pose les nouveaux Xeon en faisant très attention aux broches du socket, puis on remet de la pâte neuve avant de revisser les dissipateurs. La RAM, elle, se répartit selon l’ordre indiqué par Dell pour que chaque processeur ait sa part de mémoire.

La mise à jour des firmwares, en revanche, m’a fait une petite frayeur. Je les ai tous mis à jour directement depuis l’iDRAC, qui va les chercher chez Dell : BIOS, disques SAS, cartes réseau. Après le redémarrage, plus rien à l’écran : « No Signal » pendant de longues minutes, et un serveur qui semblait bloqué. Un cycle d’alimentation lancé depuis l’iDRAC a suffi à tout remettre en ordre, et depuis, il est parfaitement à jour.

Au passage, l’iDRAC remonte à chaque redémarrage des erreurs PCIe marquées « fatal » sur la carte réseau Broadcom intégrée. Le mot fait peur, mais après vérification, il s’agit d’un comportement connu de ce contrôleur, sans conséquence sur le fonctionnement.

La pâte thermique

#

Je l’ai refaite sur toutes les machines. Sur du matériel qui a quelques années, la pâte d’origine sèche et conduit de moins en moins bien la chaleur. Comme les portables allaient fonctionner écran fermé dans une baie, c’était la priorité.

Et j’ai bien fait : sur toutes les machines, l’ancienne pâte était en très mauvais état. Je l’ai remplacée partout par de l’Arctic MX-4, une valeur sûre, facile à appliquer et qui tient dans le temps.

RAM et SSD

#

Côté RAM, un des Precision est passé de 32 à 64 Go, le T440 de 32 à 96 Go, et l’OptiPlex de 4 à 8 Go.

Côté stockage, j’ai upgradé les deux Precision. Le premier a trois SSD NVMe de 1 To, dont deux neufs : deux en miroir ZFS pour le système et les VM, le troisième comme espace de travail. Le second a reçu un SSD neuf de 2 To, en plus de ceux d’origine (500 Go et 128 Go). Le thin client, lui, tourne sur un petit SSD NVMe de 256 Go au format 2230.

Pour les SSD d’origine que je conserve, je vérifie systématiquement leur usure dans les informations SMART avant de les utiliser.

Le T440 n’a pas été oublié : j’ai aussi upgradé ses disques SAS, et ses 8 baies sont désormais toutes occupées.

La baie

#

Le réseau et les portables tiennent dans une baie murale 7U. De haut en bas :

1. le bandeau électrique, sur lequel est branchée la prise connectée du switch ;
2. le FortiSwitch ;
3. un passe-câbles, pour garder un câblage propre ;
4. le FortiGate et le thin client OptiPlex ;
5. le premier Precision ;
6. le second Precision.

Sous les deux Precision, j’ai ajouté un ventilateur. Deux portables écran fermé l’un au-dessus de l’autre, la chaleur s’accumule vite : ce flux d’air supplémentaire les aide à rester à une température raisonnable.

La borne Wi-Fi est posée sur le dessus de la baie. Elle n’a pas besoin de sa propre alimentation : le switch l’alimente directement par le câble réseau, en PoE.

Un détail qui va compter pour la suite : le switch est branché sur une prise connectée. Je peux le couper et le rallumer à distance, et c’est la première brique de tout le système d’allumage à distance de l’épisode 4.

Le bilan

#

Au total, le lab m’a coûté environ 2 500 € :

Avec le recul, il y a quelques points que je ferais différemment.

D’abord, je vérifierais plus attentivement la plateforme des portables avant d’acheter. Mes deux Precision ont le même processeur, un i7-11850H compatible vPro, mais un seul est réellement vPro : sur l’autre, la gestion à distance par Intel AMT n’existe tout simplement pas dans le BIOS. L’étiquette « Intel Core vPro » sur le châssis, ou son absence, en dit plus long que la fiche technique du processeur.

Ensuite, je privilégierais les machines avec un port Ethernet intégré et fonctionnel. Sur l’un des Precision, le réseau passe par un adaptateur USB, et cela m’a compliqué la vie : impossible de réveiller la machine par le réseau quand elle est complètement éteinte, et un lien qui ne remonte pas toujours après une mise en veille.

Enfin, je savais que le T440 serait bruyant, mais je l’ai sous-estimé. Il reste le bon choix pour la capacité, à condition de l’allumer uniquement quand j’en ai besoin.

Ce que je retiens surtout, c’est que le matériel professionnel d’occasion donne accès à des fonctionnalités absentes du grand public : FortiLink, iDRAC, AMT, exactement ce que l’on rencontre en entreprise. Avoir une petite machine sobre allumée en permanence change aussi beaucoup de choses, puisque le reste peut rester éteint. Enfin, le T440 est sans doute surdimensionné pour démarrer, mais compte tenu de ce que je prévois d’y faire tourner, il ne le restera pas longtemps.

Ce premier chantier m’a surtout rappelé pourquoi j’aime ce métier : chaque machine avait son petit problème à résoudre, et c’est en les résolvant que j’ai vraiment compris comment elles fonctionnent. Le socle est maintenant prêt. La suite, c’est de lui donner une structure, puis de construire dessus, brique par brique, le réseau d’entreprise que j’ai en tête.

La suite

#

Dans l’épisode 2, on découpe le réseau en zones : plan d’adressage, VLANs, et règles de communication entre elles.