Passerelle (créer une zone)

Une zone est un sous-réseau, qui comporte une passerelle, derrière laquelle on branche autant de machines qu’on veut.

Le matériel

La passerelle est idéalement installée sur un mini-ordinateur toujours allumé, avec au moins deux interfaces réseau : une vers la box (WAN), les autres vers le réseau local (LAN, ethernet ou wifi).

Quel matériel ?

Par exemple, boîtier Protectli 🡕 ou équivalent :

• Disque NVMe ≥ 256 Go
• BIOS coreboot de préférence
• Carte wifi en option

Déclarer la zone

La zone et sa passerelle se décrivent dans etc/config.yaml :

etc/config.yaml

zones:
  maison:
    description: "Réseau de la maison"
    ipPrefix: "10.0"             # zone en 10.0.0.0/16
    gateway:
      wan:
        interface: "enp1s0"      # vers la box
      lan:
        interfaces: ["enp2s0"]   # vers le réseau local

hosts:
  - hostname: "gw"
    name: "Passerelle"
    zone: "maison:1.1"           # IP fixe 10.0.1.1
    profile: "gateway"
    services:
      adguardhome:               # DNS + anti-pub
      homepage:                  # portail des services
    disko:
      profile: "server-1-disk"
      devices:
        main: "/dev/sda"

Services automatiques

Le profil gateway câble le routeur, le pare-feu, le DNS/DHCP (dnsmasq) et le client VPN. Les services déclarés (homepage, adguardhome…) sont configurés tout seuls. Voir Réseau.

Installer la passerelle

L’installation se fait souvent à distance : une personne sur place prépare la machine, l’administrateur installe par SSH.

1. Préparer la passerelle (sur place)

   1. Brancher la passerelle à la box.
   2. Démarrer sur la clé USB (image just build-iso).
   3. Noter l’adresse IP de la passerelle.
   4. Rediriger le port 22 de la box vers la passerelle.

   Pourquoi rediriger le port 22 ?

   Il permet l’accès SSH le temps de l’installation. La clé USB n’accepte que les clés d’authentification (pas de mot de passe). La redirection peut être retirée ensuite.

2. Installer (administrateur)

   Une seule commande enchaîne le formatage disque, la configuration matérielle, le déploiement et le nettoyage :

   just full-install gw nixos <ip>

   • gw : nom d’hôte déclaré dans etc/config.yaml.
   • nixos : utilisateur de la clé USB live (image DNF).
   • <ip> : adresse notée à l’étape précédente.

   Se passer de l’adresse

   Si la clé mac de la passerelle figure dans etc/config.yaml, son adresse est réservée d’avance et ne change pas entre la clé USB et le système installé. just full-install gw suffit alors, sans rien relever ni saisir.

Installer depuis une autre zone

Une passerelle se prépare souvent ailleurs que chez son destinataire. Branchez son interface WAN au réseau local de la zone d’accueil : elle y reçoit l’adresse de passage que cette zone lui réserve sur sa MAC.

Trois conditions :

• la clé mac de la passerelle est déclarée dans etc/config.yaml ;
• la passerelle de la zone d’accueil a été redéployée depuis cette déclaration ;
• la machine d’administration aussi, pour que SSH lise la redirection posée pendant l’installation.

Ensuite, just full-install gw se passe d’adresse : l’outillage calcule la cible et la suit d’un bout à l’autre. Le principe est décrit dans Machines hors de leur zone.

Une fois la passerelle livrée

Sur place, elle reprend l’adresse fixe de sa zone (.1.1). La redirection SSH posée pour l’installation ne sert plus : just roaming-clear gw.

Enregistrer la passerelle sur le VPN

Une passerelle est un client Tailscale : elle publie le sous-réseau de sa zone dans le maillage Headscale. Tant qu’elle n’est pas enregistrée sur le tailnet, les autres zones ne la voient pas.

Suivre la procédure dédiée : Enregistrer une passerelle.

Brancher d’autres machines

• Postes Linux : même procédure que le premier poste, voir Installation initiale.
• Smartphones, tablettes, PC tiers : se connectent automatiquement au réseau de la passerelle.

Remplacer le matériel

Changer l’ordinateur d’une passerelle en service relève d’une procédure distincte : la machine est neuve, mais son état ne l’est pas. Voir Migrer le matériel d’une passerelle.