Réseau & Noosphère

L’infrastructure s’expose à Internet via clochette et via RogueLeader (redirection de port de la box) ; tous les accès inter-machines passent par la noosphère Tailscale.

Topologie

Internet
    │
    ├── clochette (51.159.34.135)
    │       └── Traefik :80/:443
    │               └── photos.friloux.me    → immich
    │
    ├── box maison (redirection de port :80/:443)
    │       └── RogueLeader (192.168.0.10)
    │               └── Traefik :80/:443
    │                       ├── docs.friloux.me    → papra
    │                       └── wow-cp.friloux.me  → bookstack
    │
    └── Tailscale (100.x.x.x)
            ├── exampleHost
            ├── clochette
            └── RogueLeader

Tailscale

Tous les accès SSH inter-machines passent par Tailscale. SSH public sur clochette est fermé (openFirewall = false).

Seul le sous-réseau Tailscale 100.64.0.0/10 peut atteindre le port 22 de clochette :

networking.firewall.extraInputRules = ''
  ip saddr 100.64.0.0/10 tcp dport 22 accept
'';

L’interface Tailscale (tailscale0) est également dans trustedInterfaces, ce qui ouvre tous les ports depuis la noosphère Tailscale.

DNS clochette

Configuration statique (pas de DHCP) :

IP       : 51.159.34.135 / 24
Passerelle: 51.159.34.1
DNS      : 51.159.47.28, 51.159.47.26  (Scaleway)

Réseaux Docker sur clochette

Réseau	Usage
`web`	Réseau partagé Traefik ↔ services exposés
`immich`	Réseau interne Immich ↔ PostgreSQL ↔ Redis

Ports ouverts sur clochette

Port	Service
80	Traefik HTTP (redirige vers 443)
443	Traefik HTTPS
3000	crowdsec-manager (interne, bind sur 0.0.0.0 — à restreindre)