Infrastructure Bare-Metal & Homelab DevOps

Infrastructure Bare-Metal & Homelab DevOps

J’administre mon propre serveur bare-metal sous Linux. Concrètement ? Une architecture micro-services, un reverse proxy ultra-sécurisé, et un monitoring complet de bout en bout.

Ce homelab, c’est mon terrain de jeu. Ça me permet de casser des choses, de tester des technos d’entreprise (ZFS, Proxmox, MikroTik) et surtout… de les maîtriser parfaitement avant de les croiser en prod.

Ce que ça prouve techniquement

  • Virtualisation Bare-Metal : Je gère Proxmox VE de A à Z. Déploiement de VMs Debian, allocation dynamique de la RAM (ballooning), isolation réseau.
  • Stockage Résilient (ZFS) : Fini les pertes de données. J’ai monté un pool ZFS en RAIDZ1 avec monitoring proactif (scrubs réguliers, vérification des checksums).
  • Réseau & Firewalling (MikroTik) : Mon routeur n’est pas une simple box FAI. Je gère les VLANs, le DHCP/DNS, et un firewall stateful strict (Input/Forward/NAT/Mangle) sous RouterOS.

L’Architecture globale

L’infrastructure repose sur un modèle hybride : virtualisation haute performance d’un côté, et routage matériel dédié de l’autre.

flowchart TD
    Internet((Internet)) --> FAI[Routeur FAI]
    FAI -- DMZ --> Firewall

    subgraph MikroTik [Routeur MikroTik - RouterOS]
        direction TB
        Firewall[Stateful Firewall & NAT] --> DHCP[Serveur DHCP]
        DHCP --> LAN[LAN Bridge: ether9, ether10]
    end

    subgraph Proxmox [Hyperviseur Proxmox VE Host]
        direction TB
        LAN --> Bridge[Pont Réseau Proxmox: vmbr1]
        Bridge --> VM[VM 102 : alex-container<br>Debian 13 Guest]
    end

    subgraph Storage [Stockage ZFS & SSD]
        direction TB
        VM --> SSD[alex-ssd<br>300 Go - OS & Sys VM]
        VM --> ZFS[alex-raidz1<br>4 To - Données Media en ZFS RAIDZ1]
    end

1. Couche Virtualisation (Proxmox & Debian)

Le cœur de la machine tourne sur Proxmox VE. Ma VM principale (alex-container) encaisse la majorité de la charge sous Debian 13. J’y ai alloué 14 cœurs CPU (en mode host pour éviter les soucis de compatibilité) et 48 Go de RAM gérés dynamiquement. Côté perfs disques, j’utilise le contrôleur virtio-scsi-single couplé à l’option iothread. Résultat : les accès disques sont parallélisés, ça va vite.

2. Le Stockage (ZFS)

J’héberge plus de 2.8 To de données. Hors de question de tout perdre sur un crash de disque. Je suis parti sur un pool ZFS en RAIDZ1. Le gros avantage ? Le Self-Healing. ZFS détecte et répare silencieusement les fichiers corrompus. Physiquement, l’OS tourne sur un SSD ultra-rapide de 300 Go, tandis que le stockage de masse repose sur 4 To de disques mécaniques dédiés.

3. Réseau & Sécurité (MikroTik)

Ma box FAI ne gère quasiment rien. Elle redirige tout le trafic en DMZ directement vers mon routeur MikroTik. C’est lui qui gère le vrai boulot : DHCP, DNS local, NAT, et surtout un pare-feu “stateful” hyper restrictif. J’ai optimisé les règles iptables pour que les paquets déjà validés (established, related) ne ralentissent jamais le processeur du routeur.

À quoi ça sert vraiment ?

L’idée, c’est d’avoir une indépendance totale. Fini les abonnements cloud éparpillés, je gère tout moi-même.

1. Plateforme de Streaming Privée (100% automatisée)

L’un des objectifs majeurs est la centralisation et la diffusion de flux multimédias en interne.

  • Plex fait office de serveur de streaming personnel, distribuant le contenu vers tous mes appareils.
  • La stack Servarr (Sonarr, Radarr, Prowlarr, Overseerr) agit comme un pipeline d’agrégation de données : elle scrute différentes sources, indexe les métadonnées, et organise automatiquement les répertoires de stockage. Zéro intervention manuelle.
  • FanKarr s’occupe spécifiquement de l’indexation de contenus d’animation.

2. Flux de Données P2P Sécurisés

La gestion des flux entrants volumineux est hautement sécurisée pour garantir la confidentialité des échanges.

  • qBittorrent agit comme client de synchronisation de fichiers de masse.
  • Le trafic de ce client passe obligatoirement par un tunnel VPN chiffré (Gluetun couplé à ProtonVPN). Grâce à l’isolation réseau des conteneurs Docker, un “kill-switch” naturel coupe instantanément la liaison si le tunnel tombe.
  • Le système gère dynamiquement l’ouverture des ports pour maintenir un débit optimal. À la fin de chaque traitement de fichier, un webhook déclenche une notification sur Discord.

3. Sécurité & Monitoring (Niveau Entreprise)

Parce qu’héberger chez soi c’est bien, mais bloquer les bots c’est quand même mieux.

  • Traefik gère le trafic entrant, le HTTPS (Let’s Encrypt) et masque mes vrais ports.
  • Authelia me sert de portail d’authentification unique. Un seul mot de passe fort pour tout déverrouiller.
  • CrowdSec analyse les logs en direct. Comportement louche = IP bannie illico.
  • Prometheus & Grafana pour les dashboards. Si un disque ZFS tousse ou qu’un conteneur crash, je suis alerté dans la minute.

4. Le fameux Bac à sable

Au-delà du stockage, c’est ici que je teste mes idées.

  • Hébergement de ce portfolio (Nginx/Hugo).
  • Accès distant à mes fichiers via Filebrowser (mon propre Google Drive).
  • Serveurs de jeux persistants (Palworld) pour jouer entre potes sans abonnement.
  • Déploiement de ma propre IA locale (Hermes), pour ne dépendre d’aucun cloud tiers.

Bref, j’ai rapatrié chez moi l’ensemble des services habituellement confiés à des plateformes cloud tierces (streaming, synchronisation de fichiers volumineux, stockage cloud, hébergement web), consolidant le tout sur une machine unique que je contrôle de A à Z.