Accès Réseau - Configuration Centralisée

Dernière mise à jour : 26/01/2026

CE FICHIER EST LA RÉFÉRENCE pour toutes les questions d'accès réseau.

Architecture de sécurité

┌─────────────────────────────────────────────────────────────────────────────┐
│                         ACCÈS DEPUIS INTERNET                                │
│                                                                              │
│  Visiteur externe ──► DNS Public (O2switch) ──► Freebox (82.65.119.221)     │
│                       *.33800.nowhere84.com      Port forward 80/443         │
│                                                         │                    │
│                                                         ▼                    │
│                                                  Nginx (192.168.1.104)       │
│                                                         │                    │
│                                    ┌────────────────────┴────────────────┐   │
│                                    │                                     │   │
│                              IP autorisée ?                        IP non    │
│                                    │                              autorisée  │
│                                    ▼                                    │    │
│                              Service OK                           403 Forbidden
│                                                                              │
└─────────────────────────────────────────────────────────────────────────────┘

Fichier source unique

Emplacement : /etc/nginx/snippets/allowed-ips.conf sur nginx.local

Ce fichier contient TOUTES les IPs autorisées. Il est inclus par :

• 54 configs nginx (include /etc/nginx/snippets/allowed-ips.conf;)
• O2switch .htaccess (via script sync)

IPs autorisées (état actuel)

Note : Le réseau stockage 10G (10.10.10.0/24) n'a PAS besoin d'accès web.

Services publics (SANS restriction)

Tous les autres services sont privés (restrictions IP).

Commandes de gestion

Ajouter une IP

# 1. Modifier le snippet
ssh gouroubleu@nginx.local "sudo nano /etc/nginx/snippets/allowed-ips.conf"

# 2. Tester et recharger nginx
ssh gouroubleu@nginx.local "sudo nginx -t && sudo systemctl reload nginx"

# 3. Synchroniser O2switch
/stock_8to/33800-stack/scripts/security/sync-allowed-ips.sh

Vérifier les IPs autorisées

ssh gouroubleu@nginx.local "cat /etc/nginx/snippets/allowed-ips.conf"

Vérifier qu'une config utilise le snippet

ssh gouroubleu@nginx.local "grep -l 'allowed-ips.conf' /etc/nginx/sites-available/*.conf | wc -l"
# Doit retourner 54

Scripts

Réseau local 33800 (Bordeaux)

Machines principales

VPN WireGuard (Freebox)

Le VPN est couvert par la plage LAN (192.168.1.0/24), pas besoin de règle séparée.

Réseau Raph (86000 - Poitiers)

DNS configurés sur O2switch (25/01/2026)

Acces autorises : Raph a acces a tous les services *.nowhere84.com et *.33800.nowhere84.com sauf indication contraire. Seul ami avec acces externe autorise. IP Freebox fixe (fibre).

• Services O2switch (.htaccess) : dashboard.nowhere84.com, claude.nowhere84.com, status.nowhere84.com
• Services nginx (54 configs) : IPs incluses via /etc/nginx/snippets/allowed-ips.conf

Verification DNS :

dig @ns1.o2switch.net test.86000.nowhere84.com A +short    # → 82.67.42.47
dig @ns1.o2switch.net test.86000.nowhere84.com AAAA +short # → 2a01:e0a:fb8:78c0::1

A faire pour 86000 : Wildcard SSL + reverse proxy chez Raph

Freebox Ultra

Port Forwarding actif

O2switch

Sites hébergés

Note : O2switch (109.234.161.246) est volontairement NON autorisé sur les services 33800. Le healthcheck O2switch considère 403 comme OK.

IMPORTANT : IPs publiques pour O2switch

Les sites O2switch (dashboard, claude, status) voient les IPs publiques des visiteurs, pas les IPs privées. Le script sync-allowed-ips.sh ajoute automatiquement :

• 82.65.119.221 (IP publique 33800)
• 2a01:e0a:2c:a320::/64 (IPv6 33800)

Ceci permet aux utilisateurs du LAN 33800 d'accéder aux sites O2switch (leur requête sort via l'IP publique Freebox).

VPN Rhinov (Entreprise) - fusionne depuis rhinov-vpn.md 23/02/2026

Config WireGuard :

[Interface]
PrivateKey = qLUWEgelsihZgs8eKagD2uscxHmlYnNfhmYssyki3Gw=
Address = 10.9.0.9/32, fd42:42:42::9/128
DNS = 192.168.10.250, 192.168.10.100

[Peer]
PublicKey = iOSjBbSgxpX2JTuVfLImPTM9SD6H3EDTkcENZh59tGI=
PresharedKey = WpaQeO6m4kLli3PWtilH4a1HoalTQOm6Gx0hnkr5h9I=
AllowedIPs = 0.0.0.0/0, ::/0
Endpoint = 92.154.124.233:11220

Commandes :

sudo wg-quick up rhinov    # Connecter
sudo wg-quick down rhinov  # Deconnecter
sudo wg show               # Status

Usage via connectors-api : Creer instance SSH + configurer VPN dans la section dediee pour acceder aux machines internes Rhinov.

Ce que Pi-hole fait et NE FAIT PAS

Pi-hole = Split-DNS pour le confort local, PAS une protection. La vraie protection = restrictions nginx + .htaccess O2switch.