Isolation VLAN40 et VLAN60 testée; accès Internet invité vérifié.
ACTIF
Stockage et gestion
VLAN30, VLAN50 et VLAN99 affectés aux rôles dédiés.
VÉRIFIÉ
Liaison AquaTwin
VLAN70, pare-feu et reprise des services vérifiés.
À TERMINER
Contrôles interzones
Audit des règles, VPN et poste administratif encore en cours.
Schéma public sans adresses, identifiants ni paramètres sensibles.
Résultats observés en laboratoire; tests partiels, sans audit indépendant ni certification.
Étude de cas en cours
Le diagramme présente l’architecture cible. Seules les observations explicitement documentées sont qualifiées de vérifiées.
IT / OT · VLAN · FIREWALL
01 / ARCHITECTURE
Séparer pour maîtriser les flux.
L’objectif est de passer d’un réseau largement partagé à des zones définies par rôle et risque, puis de vérifier les communications autorisées et interdites. La conception s’appuie sur une infrastructure physique de laboratoire, incluant un commutateur géré, un pare-feu pfSense et des systèmes virtualisés.
01
Commutation & VLAN
Ports d’accès et trunks, retrait d’appartenance VLAN 1 sur des ports d’essai, séparation du plan de gestion.
02
Frontières pare-feu
Politiques interzones pfSense conçues selon le principe du moindre privilège et du refus par défaut.
03
Sécurité des environnements OT
Séparation des communications SCADA, PLC, services d’infrastructure et administration.
04
Résilience & accès distant
TrueNAS principal, MediaVault comme copie secondaire transportable, VPN WireGuard ciblé pour le NAS et le NVR.
02 / MODÈLE DE SÉCURITÉ
Zones et conduits prévus.
Carte conceptuelle à adapter aux configurations réellement testées.
MGMT
Gestion
Administration du pare-feu, du commutateur et des hyperviseurs.
IT
Serveurs IT
Services Linux, applications et virtualisation.
OT
Contrôle industriel
OpenPLC, Ignition SCADA, simulation et communications de procédé.
DATA
Stockage & sauvegarde
TrueNAS principal, sauvegardes distinctes et restauration testable.
VIDEO
Surveillance
NVR avec PoE intégré et accès distant restreint par VPN.
IoT
VLAN IoT
Isolation dédiée aux objets connectés, prévue ou en cours.
GUEST
VLAN invités
Services moins fiables isolés des actifs critiques.
03 / OCTOBRE 2026 · PROGRÈS DOCUMENTÉS
Des VLAN aux validations concrètes.
Travaux de laboratoire vérifiables, sans revendiquer une certification ou un audit indépendant.
01 · Vérifié / Verified
VLAN et commutation
Trafic de couche 2 d’une VM Proxmox observé sur le VLAN attendu du commutateur administrable; preuve limitée à la couche 2.
02 · Vérifié / Verified
Cartographie du stockage
Ports du commutateur et interfaces du TrueNAS principal et de Proxmox identifiés et associés au VLAN de stockage.
03 · Fonctionnel / Operational
Accès distant WireGuard
Tunnel pfSense WireGuard opérationnel avec un pair Android, derrière DD-WRT. Client VPN sortant distinct sur DD-WRT préservé.
04 · Périmètre testé / Tested scope
Vidéosurveillance
NVR Hikvision sur zone dédiée; consultation locale et via VPN testée. Les caméras utilisent les ports PoE du NVR.
05 · À valider / Pending audit
Matrice des accès
Politique de moindre privilège documentée pour les zones de confiance, serveurs, stockage, IoT, surveillance, administration et VPN; audit exhaustif des règles à compléter.
06 · Partiel / Partial
Sauvegarde et résilience
TrueNAS est le NAS principal; MediaVault reste une cible de sauvegarde secondaire distincte, transportable. Exercices complets de restauration à effectuer.
07 · En cours / In progress
Segmentation AquaTwin IT/OT
SCADA Ignition, OpenPLC et simulateur sur VM séparées avec communications de procédé démontrées; validation des conduits pare-feu à terminer.
04 / CONTRÔLE DES ACCÈS
Matrice de moindre privilège.
Architecture expurgée des adresses et identifiants privés.
Source
Destination autorisée
Politique visée
Poste administrateur
Interfaces de gestion
Restreint
Clients fiables / WireGuard
NVR et fichiers NAS autorisés
Autoriser par service
Serveurs
Services nécessaires et sauvegardes
Restreint
IoT / vidéosurveillance
Aucun accès libre à la gestion
Refus par défaut
MediaVault
Sauvegardes chiffrées autorisées
Accès ciblé
Il s’agit d’une politique cible : les règles pfSense et les refus interzones exigent encore une validation complète.
05 / PROCHAINES ÉTAPES
Exploitation et preuves reproductibles.
Audit pfSense
Comparer règles d’interfaces, règles flottantes et VPN aux accès réellement permis ou refusés.
Sécurité des interfaces de gestion
Limiter commutateurs, hyperviseurs et NAS aux postes d’administration explicitement autorisés.
Reprise après sinistre
Tester la restauration depuis TrueNAS et MediaVault, mesurer les objectifs RTO/RPO.
Conduits OT/IT
Tester les communications SCADA–PLC et les refus d’accès à AquaTwin.
Référentiels utilisés en conception : ISA/IEC 62443, NIST SP 800-82 et CIS Controls, sans déclaration de conformité.Consulter les normes.
Services déclarés installés : Squid, SquidGuard, Snort, Zeek, pfBlockerNG et ClamAV. Une migration progressive des charges lourdes vers des VM est à l’étude. Le mode actif des protections reste à vérifier.
Illustration conceptuelle · données sensibles exclues