Systèmes de référence techniques

Systèmes de référence techniques Closecyber

Cette page fixe la stack de référence à utiliser par défaut pour concevoir, industrialiser, exploiter et supporter les solutions Closecyber.

Principe directeur : un outil n’est adopté comme référence que s’il est documenté, supervisé, sauvegardé, réversible et intégrable dans les processus CBOS.

Vue d’ensemble

Domaine	Système de référence	Rôle principal	Statut CBOS
Firewall et routage	pfSense	Segmentation, filtrage, NAT, VLAN, multi-WAN, VPN, haute disponibilité	Adopté
DNS sécurisé	AdGuard Home	Résolution DNS locale, filtrage, politiques par client ou réseau	Adopté
VPN	WireGuard	Accès distant, interconnexion site-à-site et tunnels d’administration	Adopté
Stockage collaboratif	Nextcloud	Synchronisation, partage contrôlé et espace documentaire interne	Adopté avec garde-fous
Supervision	Zabbix + Prometheus + Grafana	Supervision opérationnelle, métriques applicatives et visualisation	Architecture hybride adoptée
Alerting	Zabbix + Alertmanager	Déduplication, routage, escalade et notification des alertes	Adopté progressivement
Ticketing	osTicket	Incidents, demandes, SLA, traçabilité et communication client	Adopté
Logs	Graylog	Centralisation, recherche et exploitation des journaux	Adopté
SIEM/XDR	Wazuh	Détection sécurité, conformité, vulnérabilités et réponse	Adopté selon offre
Inventaire / IPAM	NetBox	Source de vérité des équipements, réseaux, VLAN, IP et sites	Cible
Virtualisation	Proxmox VE	Hébergement des services et workloads Closecyber	Adopté
Automatisation	Ansible	Configuration reproductible et maintien en condition opérationnelle	Adopté
Provisioning	Terraform / OpenTofu	Provisionnement déclaratif des ressources compatibles	Cible
Documentation / versioning	GitHub + CBOS	Documentation, scripts, modèles, décisions et historique	Adopté

1. Firewall : pfSense

pfSense devient le firewall de référence Closecyber pour les box Secure Start, Secure Pro et Secure Elite.

Pourquoi ce choix

segmentation VLAN et politiques inter-zones ;
NAT, routage, multi-WAN et bascule ;
WireGuard, OpenVPN et IPsec ;
portail captif ;
haute disponibilité CARP pour les offres avancées ;
sauvegarde et restauration de configuration ;
intégration avec la supervision et la centralisation des logs ;
maturité opérationnelle adaptée aux environnements TPE, PME, commerces et SOHO.

Standard Closecyber

Chaque déploiement pfSense doit inclure au minimum :

une convention de nommage des interfaces et VLAN ;
une politique par défaut restrictive ;
des aliases documentés ;
une sauvegarde chiffrée de la configuration ;
l’export des logs utiles vers Graylog ;
la supervision de l’état système, des interfaces, des gateways et des VPN ;
une procédure de restauration ;
une matrice de flux validée avec le client.

Positionnement produit

Secure Start : firewall unique, segmentation essentielle, sauvegarde de configuration ;
Secure Pro : segmentation avancée, VPN, supervision, logs centralisés ;
Secure Elite : haute disponibilité, redondance WAN, reporting, intégration SOC.

2. DNS : AdGuard Home

AdGuard Home devient le DNS filtrant de référence pour les environnements clients et les réseaux internes Closecyber.

Pourquoi AdGuard Home plutôt que Pi-hole

Les deux solutions sont sérieuses et open source. Pi-hole reste excellent pour un usage simple de DNS sinkhole et de blocage réseau. Pour Closecyber, AdGuard Home est retenu car il correspond mieux à une logique de service managé :

politiques différenciées selon le client ou l’équipement ;
gestion claire des clients identifiés ;
règles de filtrage fines ;
prise en charge native des protocoles DNS chiffrés selon l’architecture retenue ;
interface adaptée à la délégation contrôlée et au support ;
déploiement simple sous forme de service ou conteneur.

Position de Pi-hole

Pi-hole reste :

autorisé pour les laboratoires ;
supportable lors d’une reprise d’existant ;
pertinent pour un besoin très simple et léger ;
non retenu comme standard par défaut pour les nouveaux déploiements Closecyber.

Standard Closecyber

deux résolveurs quand l’offre exige la continuité de service ;
filtrage différent selon VLAN enfants, invités, IoT, collaborateurs et administration ;
liste blanche documentée ;
journalisation avec durée de rétention définie ;
sauvegarde de configuration ;
supervision des requêtes, erreurs, latence et disponibilité ;
aucun DNS public direct autorisé depuis les VLAN gérés, sauf exception documentée.

3. VPN : WireGuard

WireGuard devient le VPN de référence Closecyber.

Usages couverts

accès distant administrateur ;
accès distant client ;
interconnexion site-à-site ;
tunnel box vers hub Closecyber ;
administration via VPS central ;
accès aux services internes ou workloads Proxmox.

Pourquoi ce choix

surface de configuration réduite ;
performances élevées ;
modèle cryptographique moderne ;
déploiement reproductible ;
intégration naturelle avec pfSense et Linux ;
adapté aux architectures hub-and-spoke.

Règles de gouvernance

une clé par utilisateur ou équipement ;
révocation immédiate en cas de perte ou départ ;
aucun partage de configuration ;
stockage des secrets hors GitHub et hors CBOS ;
journalisation des créations, rotations et révocations ;
segmentation des droits réseau via AllowedIPs et règles firewall ;
revue trimestrielle des pairs actifs.

4. Stockage : Nextcloud

Nextcloud devient la plateforme de stockage collaboratif et de partage contrôlé de Closecyber, mais pas l’unique système de sauvegarde.

Ce que Nextcloud doit stocker

documents internes ;
modèles de livrables ;
documents de projet ;
rapports clients ;
fichiers de travail partagés ;
éléments administratifs non critiques selon classification.

Ce que Nextcloud ne doit pas être

l’unique copie des sauvegardes clients ;
un coffre-fort de secrets ;
un dépôt Git ;
une archive réglementaire sans politique de conservation ;
un remplacement de stockage objet ou de sauvegarde immuable.

Avis par rapport aux alternatives

Synology Drive / NAS propriétaire : excellent pour une appliance simple, mais moins portable et plus dépendant du constructeur ;
Seafile : très performant pour la synchronisation de fichiers, mais moins riche comme plateforme collaborative globale ;
MinIO / S3 : meilleur pour le stockage objet, les backups applicatifs et l’immutabilité, mais moins adapté à la collaboration utilisateur ;
SharePoint / OneDrive : très pertinent si Closecyber adopte Microsoft 365, avec meilleure intégration bureautique mais dépendance SaaS ;
Nextcloud : meilleur compromis actuel pour souveraineté, maîtrise, collaboration et extensibilité.

Architecture recommandée

Nextcloud pour les documents collaboratifs ;
stockage objet S3 compatible ou NAS pour les sauvegardes techniques ;
sauvegarde séparée de la base, de la configuration et des fichiers ;
chiffrement, MFA, quotas et journalisation ;
tests périodiques de restauration.

5. Supervision : architecture hybride Zabbix + Prometheus + Grafana

Closecyber ne choisit pas entre Zabbix et Prometheus : les deux couvrent des besoins différents.

Zabbix : supervision opérationnelle MSP

Zabbix est le moteur principal pour :

disponibilité des équipements ;
SNMP ;
ICMP ;
agents système ;
découverte ;
inventaire opérationnel ;
triggers ;
SLA ;
escalades ;
supervision des sites clients et des box.

Prometheus : métriques cloud-native et applicatives

Prometheus est utilisé pour :

métriques de services Linux et conteneurs ;
exporters ;
applications internes ;
Proxmox, WireGuard et services exposant des métriques ;
séries temporelles à forte granularité ;
intégrations modernes.

Grafana : couche de visualisation commune

Grafana devient la façade de visualisation pour :

dashboard Direction ;
dashboard MSP ;
dashboard SOC ;
tableaux clients ;
capacité, disponibilité et tendances ;
KPI consolidés issus de Zabbix, Prometheus, Graylog et Dolibarr.

Décision CBOS

Zabbix      → états, triggers, SLA, supervision MSP
Prometheus  → métriques techniques et applicatives
Grafana     → visualisation et dashboards

Cette architecture évite de forcer un seul outil à couvrir tous les cas d’usage.

6. Alerting : nécessaire, mais progressivement

Oui, Closecyber a besoin d’un système d’alerting dès les premiers clients managés. Sans alerting, la supervision reste passive.

Risque sans alerting

incident découvert par le client ;
absence d’escalade ;
bruit massif et fatigue d’alerte ;
aucune traçabilité de prise en charge ;
difficulté à prouver le respect des SLA.

Architecture retenue

Zabbix génère les alertes liées aux équipements, services et SLA ;
Prometheus Alertmanager traite les alertes issues de Prometheus ;
osTicket reçoit les incidents qui nécessitent une action et une traçabilité ;
Grafana affiche la situation ;
les notifications vont vers email, application de messagerie ou astreinte selon criticité.

Règle d’or

Une alerte n’est créée que si elle est :

actionnable ;
attribuable ;
priorisable ;
documentée par un runbook ;
corrélable à un service client ;
clôturable avec une preuve.

Niveaux de maturité

Niveau	Fonctionnement
V1	Email Zabbix vers équipe Closecyber
V2	Routage par criticité et client, création de ticket osTicket
V3	Déduplication, silence maintenance, escalade et astreinte
V4	Corrélation MSP/SOC, automatisation de remédiation contrôlée

7. Ticketing : osTicket

osTicket devient le système de référence pour les incidents et demandes de support.

Périmètre

incidents ;
demandes de service ;
demandes de changement simples ;
escalades ;
suivi des SLA ;
échanges client ;
base de connaissances support ;
preuve de traitement.

Intégrations prioritaires

Zabbix vers osTicket ;
Alertmanager vers osTicket ;
email support vers osTicket ;
Dolibarr pour rattacher client, contrat et niveau de service ;
CBOS pour les runbooks associés ;
Grafana pour les KPI support.

Convention minimale

Chaque ticket doit porter :

le client ;
le site ;
le service affecté ;
la criticité ;
la source de détection ;
le SLA ;
le propriétaire ;
les actions réalisées ;
la cause racine si connue ;
la preuve de résolution.

8. Architecture cible simplifiée

                         ┌────────────────────┐
                         │   CBOS / GitHub    │
                         │ docs, runbooks, IaC│
                         └─────────┬──────────┘
                                   │
       ┌───────────────────────────┼───────────────────────────┐
       │                           │                           │
┌──────▼──────┐             ┌──────▼──────┐             ┌──────▼──────┐
│  Dolibarr   │             │   NetBox    │             │  osTicket   │
│ clients/SLA │             │ assets/IPAM │             │ incidents   │
└──────┬──────┘             └──────┬──────┘             └──────▲──────┘
       │                           │                           │
       └──────────────┬────────────┴──────────────┬────────────┘
                      │                           │
               ┌──────▼──────┐             ┌──────▼──────┐
               │   Zabbix    │             │ Prometheus  │
               │ MSP/triggers│             │  métriques  │
               └──────┬──────┘             └──────┬──────┘
                      │                           │
                      └────────────┬──────────────┘
                                   │
                         ┌─────────▼─────────┐
                         │ Grafana/Alerting  │
                         │ KPI & événements │
                         └─────────┬─────────┘
                                   │
            ┌──────────────────────┼──────────────────────┐
            │                      │                      │
     ┌──────▼──────┐        ┌──────▼──────┐       ┌──────▼──────┐
     │   pfSense   │        │ AdGuard Home│       │  Nextcloud  │
     │ segmentation│        │ DNS filtrant│       │ collaboration│
     └──────┬──────┘        └─────────────┘       └─────────────┘
            │
     ┌──────▼──────┐
     │  WireGuard  │
     │ accès/tunnels│
     └─────────────┘

9. Ordre de mise en œuvre

P0 — indispensable avant premiers contrats MSP

pfSense ;
WireGuard ;
AdGuard Home ;
Zabbix ;
Grafana ;
osTicket ;
sauvegarde des configurations ;
alertes email actionnables.

P1 — industrialisation

Prometheus ;
Alertmanager ;
Graylog ;
intégration automatique Zabbix / osTicket ;
modèles de dashboards ;
runbooks par alerte.

P2 — montée en puissance

NetBox ;
Wazuh ;
stockage objet ;
haute disponibilité ;
corrélation MSP/SOC ;
automatisation Ansible ;
portail client.

10. Décision finale

La stack de référence Closecyber est :

pfSense
+ AdGuard Home
+ WireGuard
+ Nextcloud
+ Zabbix
+ Prometheus
+ Grafana
+ Alertmanager
+ osTicket
+ Graylog
+ Wazuh
+ NetBox
+ Proxmox
+ Ansible
+ GitHub / CBOS

Elle doit rester modulaire : chaque composant n’est activé que lorsqu’il apporte une valeur mesurable au client ou à l’exploitation Closecyber.