Infrastructure, vue d'ensemble
Cette page décrit nos serveurs aujourd'hui, l'infrastructure qu'on met en place et pourquoi chaque choix a été fait. Le suivi des tâches est dans le projet IT d'OpenProject.
Les pages de cette section
| Page | Contenu |
|---|---|
| Réseau : VLAN et OPNsense | Le firewall, la DMZ, ce qu'on demande à l'école |
| GitLab | Où il tourne, ses adresses, son certificat, la migration |
| Infra as Code | Le dépôt infra/infra et comment faire un changement |
| Mises à jour | Comment tout reste à jour |
| Déployer un poste Windows (FOG) | Refaire l'image Windows, la capturer et la déployer |
| Installer des logiciels (WAPT) | Ajouter un paquet et l'installer sur un poste |
| Profils itinérants et lecteurs réseau | Le serveur fsae-profils et les GPO des postes |
| Authentik et SSO | La connexion unique avec le compte AD, les applications branchées |
| Inventaire (généré) | Ce qui est réellement déployé, régénéré après chaque apply |
État actuel (2026-11-05)
La migration de VMware vers Proxmox est en cours. Les deux hyperviseurs tournent en parallèle.
Sur Proxmox (formule-pve-02, 10.194.24.46, Proxmox 9.2), tout est géré par OpenTofu :
| Service | Rôle | Accès |
|---|---|---|
| OPNsense (VM 110) | Firewall, porte l'IP publique 142.137.247.115 (DMZ), reverse proxy Caddy pour tous nos sites | interface web réservée aux postes admin, port 8443 |
| GitLab (VM 120) | Code, documentation, CI | gitlab.formuleets.ca (voir GitLab) |
| OpenProject (VM 101) | Gestion de projet | project.formuleets.ca (via Caddy) |
| FOG (VM 104) | Déploiement d'images Windows par PXE | réseau de l'école |
| WAPT (LXC 105) | Déploiement et mise à jour des logiciels | 10.194.24.57 |
| fsae-profils (VM 130) | Profils itinérants Windows (Samba membre du domaine) | fsae-profils.formulesae.local, 10.194.24.58 |
| fsae-auth (VM 131) | SSO Authentik | auth.formuleets.ca (via Caddy), 10.194.24.61 |
Encore sur VMware (ESXi 7, 10.194.24.11) :
| Service | Rôle | Accès |
|---|---|---|
| Windows Server (AD) | Domaine FormuleSAE.local, comptes et GPO, DNS | ad-fsae, 10.194.24.10 |
| Windows Server (fichiers) | Partages Shared et cad (lecteurs S: et P:, voir Profils et lecteurs réseau) | 10.194.24.12 |
| Vaultwarden | Gestionnaire de mots de passe | bitwarden.formuleets.ca (via Caddy), VM 10.194.24.45 |
| Nginx Proxy Manager | Ancien reverse proxy, remplacé par Caddy le 2026-11-05, à éteindre | 10.194.24.51 |
| GitLab Runner | Exécute les pipelines CI (tag formule) | 10.194.24.34 (migration prévue) |
| Ancien GitLab | Éteint, gardé en secours quelques jours | — |
backup, LinuxTrainer, Win10Sim | Autres VMs présentes sur l'ESXi | rôle à documenter |
On a aussi un ancien Windows Server physique (disques en RAID 1) et deux NAS.
Le modèle et la capacité des deux NAS, les caractéristiques du futur 2ᵉ nœud Proxmox.
L'infrastructure visée
Réseau de l'école (WAN) Internet (IP publique DMZ)
│ │
└───────────┬───────────────┘
│
┌────┴─────┐
│ OPNsense │ firewall, DHCP, reverse proxy
└────┬─────┘
│ VLAN dédié Formule ETS
┌──────────────┬─────────────┼──────────────┬──────────────┐
│ │ │ │ │
Proxmox pve1 Proxmox pve2 Ancien serveur NAS media Postes
(cluster) (cluster) PBS + QDevice NAS 2 (FOG + WAPT)
| Brique | Ce qu'elle fait |
|---|---|
| VLAN dédié | On gère nous-mêmes DHCP, DNS et firewall, sans dépendre du réseau de l'école. Voir Réseau : VLAN et OPNsense. |
| OPNsense | Routeur et firewall du VLAN. Expose nos sites web et remplace Nginx Proxy Manager. |
| Cluster Proxmox | Deux nœuds Proxmox remplacent VMware. Toutes les VMs y tournent. |
| Ancien serveur RAID 1 | Réinstallé en Proxmox Backup Server. Il porte aussi le QDevice, le 3ᵉ vote du cluster. |
| NAS media | Zone de dépôt du département Media. Seul ce qui est trié et important part sur Shared. |
| 2ᵉ NAS | Rôle à décider : cible de sauvegarde ou copie supplémentaire. |
| Infra as Code | Toute l'infra est décrite dans le dépôt infra/infra. Voir Infra as Code. |
| Monitoring | Netdata sur chaque hôte (temps réel), Grafana pour un tableau de bord d'accueil, Uptime Kuma pour savoir si un service est en ligne ou non. |
| Mises à jour | Renovate, Ansible, GPO et WAPT. Voir Mises à jour. |
Pourquoi ces choix
Un cluster Proxmox à deux nœuds a besoin d'un 3ᵉ vote. Avec deux nœuds seulement, si l'un tombe, l'autre perd le quorum et bloque ses VMs. Le QDevice sur l'ancien serveur fournit ce 3ᵉ vote sans 3ᵉ hyperviseur.
OPNsense remplace Nginx Proxy Manager. Le plugin Caddy d'OPNsense fait reverse proxy et certificats Let's Encrypt, en validation DNS Cloudflare. Une seule machine reçoit tout le trafic entrant. C'est en place depuis le 2026-11-05 pour GitLab, OpenProject et Vaultwarden : voir Domaines, reverse proxy et certificats.
Le file server reste joignable depuis le wifi de l'école. OPNsense redirige le partage de fichiers (SMB) vers le file server, uniquement depuis les réseaux de l'école. Voir Accès au file server depuis l'école.
Que des outils gratuits. OpenTofu, Ansible, Proxmox, OPNsense, Netdata, Grafana, Uptime Kuma, Renovate et WAPT Community sont tous gratuits.