Monter un labo SISR sur Proxmox : pfSense, Windows Server et Linux

Un laboratoire SISR est une petite infrastructure complète, virtualisée sur un hôte Proxmox VE, qui reproduit celle d'une organisation : un pare-feu pfSense, un contrôleur de domaine Windows Server avec son DNS et son DHCP, des serveurs Linux, un poste client, du stockage, des sauvegardes et de la supervision. C'est là que tu construis et que tu prouves tes réalisations professionnelles de l'E6 SISR. Ce chapitre dimensionne le laboratoire, construit son réseau isolé avec des VLAN, installe pfSense en VM, puis donne l'ordre de construction et ce qu'il faut documenter.

Ce que le laboratoire doit contenir

L'épreuve E6 SISR exige des réalisations sur une infrastructure réelle ou virtualisée : une solution réduite à une simulation Packet Tracer n'est pas acceptée (environnement de l'E6 SISR). Des VM sur un hyperviseur sont de vrais systèmes, et l'annexe du référentiel parle de serveurs « éventuellement virtualisés ». Le laboratoire de ce chapitre reprend le réseau de Sorbier, à plus petite échelle :

S'y ajoutent, selon tes réalisations, une VM TrueNAS (stockage, installation dans une VM Proxmox), une VM Proxmox Backup Server (sauvegardes, chapitre 9), une VM Wazuh (détection, installation du serveur tout-en-un). Dans un laboratoire, il est acceptable de les virtualiser sur le même hôte ; dans ton dossier, explique qu'en production elles seraient sur des machines séparées, pour que la panne de l'hôte n'emporte pas à la fois les VM, leur stockage et leurs sauvegardes.

Dimensionner le laboratoire

Avec Proxmox VE lui-même (2 Gio, plus le cache ZFS si tu as choisi ZFS), un hôte de 32 Go de mémoire porte ce laboratoire, à condition de ne pas tout allumer en même temps quand tu ajoutes TrueNAS (8 Go de mémoire au minimum selon l'éditeur) ou Wazuh (la documentation de Wazuh demande 4 vCPU et 8 Gio pour une installation tout-en-un jusqu'à 25 agents). Avec 64 Go, tout tourne à la fois. Côté disque, un SSD de 1 To suffit largement, les VM étant en allocation dynamique.

Le réseau du laboratoire

Le laboratoire doit être isolé du réseau de l'école ou de ta box : ses adresses (192.168.10.0/24), son DHCP et son annuaire ne doivent pas déborder. On utilise deux ponts sur l'hôte :

• vmbr0, relié à la carte physique, sur le réseau de la box ou de la salle : il porte l'adresse d'administration de Proxmox et la patte WAN de pfSense ;
• vmbr1, sans carte physique (bridge-ports none), sensible aux VLAN : c'est le « switch » interne du laboratoire, auquel rien d'extérieur n'est relié. Toutes les VM du laboratoire y sont branchées, avec leur VLAN.

Le fichier /etc/network/interfaces de l'hôte de laboratoire, avec une box en 192.168.1.0/24 :

auto lo
iface lo inet loopback

iface eno1 inet manual

# Réseau de la box : administration de Proxmox et WAN de pfSense
auto vmbr0
iface vmbr0 inet static
        address 192.168.1.50/24
        gateway 192.168.1.254
        bridge-ports eno1
        bridge-stp off
        bridge-fd 0

# Switch interne du laboratoire, sans carte physique
auto vmbr1
iface vmbr1 inet manual
        bridge-ports none
        bridge-stp off
        bridge-fd 0
        bridge-vlan-aware yes
        bridge-vids 10 20 60 99

Adapte address et gateway à ton réseau. Le réseau de la box (192.168.1.0/24) et celui du laboratoire (192.168.10.0/24) ne se chevauchent pas : pfSense peut router de l'un à l'autre. Si ta box utilise déjà 192.168.10.0/24, change d'abord le réseau de la box.

pfSense en machine virtuelle

pfSense CE 2.8 s'installe avec le Netgate Installer, un installateur qui télécharge le système pendant l'installation : la carte WAN de la VM doit donc avoir accès à Internet. Crée la VM 100 :

La seconde carte s'ajoute après la création (Hardware > Add > Network Device), ou en ligne de commande :

qm set 100 --net1 virtio,bridge=vmbr1,trunks='10;20;60;99'

Sur un pont sensible aux VLAN, une carte sans étiquette reçoit les trames étiquetées des VLAN autorisés : c'est un port de trunk. L'option trunks limite la liste aux VLAN du laboratoire.

Dans pfSense, après l'installation :

1. Atteindre l'interface web. Par défaut, pfSense donne à son interface LAN (ici vtnet1, sans étiquette) l'adresse 192.168.1.1/24 avec un serveur DHCP actif : elle chevauche le réseau de la box (192.168.1.0/24) où se trouve le WAN. Sur la console de pfSense (menu 2, Set interface(s) IP address), donne à l'interface LAN une adresse temporaire hors du réseau de la box, par exemple 10.99.0.1/24, et réponds non quand la console propose d'activer le serveur DHCP sur cette interface. Branche une VM d'administration sur vmbr1 sans étiquette, en 10.99.0.2/24, et ouvre https://10.99.0.1. Une fois l'interface ADMIN (VLAN 99) créée et joignable depuis pc-admin, tu peux retirer l'adresse de cette interface LAN (IPv4 Configuration Type : None) ou la désaffecter dans Interfaces > Assignments : les VLAN qui reposent sur vtnet1 continuent de fonctionner.
2. Interfaces > Assignments > VLANs > Add : quatre VLAN sur l'interface parente vtnet1, avec les étiquettes 10, 20, 60 et 99 et leurs descriptions (POSTES, SERVEURS, DMZ, ADMIN).
3. Interfaces > Assignments : ajoute chaque VLAN comme interface, active-la et donne-lui l'adresse de passerelle du VLAN (192.168.10.126/26, 192.168.10.190/28, 192.168.10.238/28, 192.168.10.222/28).
4. System > Advanced > Networking : coche Disable hardware checksum offload, puis redémarre. La documentation de Netgate le demande pour les cartes VirtIO de Proxmox : sans ce réglage, certains flux sont perdus de façon incompréhensible.
5. Services > DHCP Relay : active le relais sur l'interface POSTES vers 192.168.10.177.
6. Firewall > Rules : les règles de chaque interface, construites à partir de la matrice des flux. Leur écriture est expliquée dans le cours Pare-feu pfSense, de l'ordre des règles et des alias à la politique complète de Sorbier ; l'architecture des zones et la matrice des flux sont dans Cybersécurité des infrastructures.

L'ordre de construction

1. L'hôte. Proxmox VE, dépôt sans abonnement, mises à jour, ponts vmbr0 et vmbr1, ISO déposées (chapitres 3 et 5).
2. Les modèles. Le modèle Debian 13 cloud-init et le modèle Windows Server 2025 généralisé (chapitre 8). Sauvegarde des deux modèles avec vzdump.
3. Le pare-feu. pfSense, VLAN, passerelles, règles minimales (tout ce qui sort vers Internet en HTTP, HTTPS et DNS depuis les serveurs). Snapshot fw-ok.
4. L'annuaire. srv-ad : nom, adresse fixe, AD DS, DNS, étendue DHCP du VLAN 10 et relais sur pfSense (cours Windows Server). Snapshot ad-ok, en respectant la règle des contrôleurs de domaine.
5. Le poste client. pc-client obtient une adresse du VLAN 10 et rejoint le domaine : la preuve que pare-feu, DHCP, DNS et annuaire fonctionnent ensemble.
6. Les serveurs Linux. Clones du modèle Debian : srv-gestion (GLPI), srv-journaux (Zabbix et Grafana), srv-web dans la DMZ.
7. Le stockage et les sauvegardes. TrueNAS et son partage NFS déclaré dans Proxmox, Proxmox Backup Server et la tâche de sauvegarde planifiée (chapitre 9) ; un test de restauration.
8. La supervision. Zabbix supervise l'hôte Proxmox (jeton en lecture seule) et les VM ; une alerte de test arrive par courriel.

À chaque étape terminée, prends un snapshot nommé et note-le dans ta documentation : en cas d'erreur à l'étape suivante, tu reviens en quelques secondes à un état qui marchait.

Documenter le laboratoire

Ton dossier d'E6 et la fiche descriptive de chaque réalisation doivent permettre au jury de comprendre ton infrastructure sans la voir. Pour la partie virtualisation, rassemble :

Avant le jour de l'épreuve, exporte les VM de tes réalisations (sauvegardes vzdump sur un disque externe), et vérifie que tu sais les restaurer sur un autre hôte : la préparation complète est dans le chapitre Une infrastructure prête le jour J du cours sur l'E6 SISR.

Exercices