To achieve this setup — where Proxmox’s web interface on port 8006 is only accessible via one specific NIC and not the other — you need to bind the Proxmox web GUI to a specific IP address.
Here’s how you can do that:
🔧 Steps to Bind Port 8006 and 3128(spice) to a Specific NIC/IP
Identify the NIC/IPs: Run: bashCopyEditip a Let’s assume:
NIC1 (management): 192.212.5.245 — this should allow port 8006
NIC2 (isolated): 10.10.10.10 — this should block port 8006
Edit Proxmox Web GUI service config: Open this file: bashCopyEditnano /etc/default/pveproxy
Bind it to a specific IP (management interface): Find or add the line: LISTEN_IP="192.212.5.245"
Restart the pveproxy service:systemctl restart pveproxy and systemctl restart spiceproxy This change will make the Proxmox GUI listen only on 192.212.5.245, and not on all interfaces.
Partage entre Frigate et Ollama via Docker dans un LXC dédié.
Sauvegardes :
Backuper Paperless, WordPress, et configurations Docker.
Schéma Réseau & Applications
graph TD
%% Entry Point
Internet --> OrangeBox --> pfSense
%% VLAN Zones from pfSense
pfSense --> VLAN10
pfSense --> VLAN20
pfSense --> VLAN30
pfSense --> VLAN40
pfSense --> RPi[(Raspberry Pi)]
RPi --- Pihole
Pihole --- Gatus
%% VLAN 10 - Trusted
subgraph "VLAN 10 - Trusted"
direction TB
VLAN10 --- VM101["VM-105: Home Assistant"]
VM101 --- LXC103["LXC-115: Frigate + Ollama"]
LXC103 --- VM106["LXC-200: Docker DevBox"]
VM106 --- VM109["LXC-125: Docker Services"]
end
%% VLAN 20 - Web
subgraph "VLAN 20 - Web"
direction TB
VLAN20 --- VM108["VM-250 : Web Server - WordPress"]
end
%% VLAN 30 - IoT
subgraph "VLAN 30 - IoT WIP"
direction TB
VLAN30 --- GoogleNest[Google Nest]
GoogleNest --- SmartTV[Smart TV]
end
%% VLAN 40 - Media
subgraph "VLAN 40 - Media"
direction TB
VLAN40 --- NAS[(NAS - Synology DSM)]
NAS --- Emby --- Paperless --- Duplicati
end
%% Styling
style VLAN10 fill:#d5f5e3,stroke:#27ae60
style VLAN20 fill:#d6eaf8,stroke:#3498db
style VLAN30 fill:#fadbd8,stroke:#e74c3c
style VLAN40 fill:#fdedec,stroke:#f39c12
Légende Détaillée
Élément
Description
🟠 pfSense (VM1)
Routeur/firewall gérant les VLANs et la sécurité.
🟢 Raspberry Pi
Exécute Pi-hole (DNS) + Gatus (monitoring).
🔵 NAS Synology
Stockage central + applications média (Emby) et docs (Paperless).
VLAN 10 (Trusted)
Services critiques : HA, Frigate, Ollama, Dev(Docker,Jenkins).
VLAN 20 (Web)
Services exposés : WordPress
VLAN 30 (IoT)
Appareils connectés (Google Nest, Smart TV) isolés pour sécurité.
VLAN 40 (Media)
Accès aux médias (Emby) depuis la Smart TV.
Flux Clés à Retenir
Google Nest/Smart TV → Communiquent avec Home Assistant (VLAN 10) via règles firewall précises.
Frigate (VLAN 10) → Envoie les alertes à Home Assistant et Smart TV (via VLAN 30 autorisé).
WordPress (VLAN 20) → Accessibles depuis Internet (port forwarding contrôlé par pfSense).
Paperless (NAS) → Consommé par l’utilisateur via interface web NON exposée
pfSense
Exemple de Configuration pfSense (Règles VLAN 30 → VLAN 10)
Action
Source
Destination
Port
Description
✅ Allow
VLAN30
VM-105 (HA)
8123
Accès à l’interface HA.
✅ Allow
VLAN30
LXC-115(Frigate)
5000
Flux vidéo pour affichage TV.
🚫 Block
VLAN30
VLAN10
*
Bloquer tout autre accès.
Bonnes Pratiques
Pour les Nest
Mise à jour firmware : Vérifiez régulièrement via l’app Google Home.
Isolation : Bloquez l’accès aux autres VLANs sauf pour :
Home Assistant (port 8123).
Pour la Smart TV
DNS personnalisé : Redirigez-la vers Pi-hole (Raspberry Pi) pour bloquer les pubs.
Dans pfSense : DHCP → Option DNS = IP du Pi-hole.
Désactivez le suivi : Désactivez ACR (Automatic Content Recognition) dans les paramètres TV.
Intégration de la Smart TV
Configuration Réseau
VLAN : Même VLAN IoT (30) que les Nest pour simplifier.
Règles pfSense :
Autorisez la TV à accéder à :
Internet (streaming Netflix/YouTube).
Emby/Jellyfin (NAS) via le VLAN Media (ex: VLAN 40 si existant).
Interaction avec Home Lab
Pour Emby/Jellyfin (NAS) :
Montez un dossier partagé Synology en SMB/NFS accessible à la TV.
Exemple de configuration Emby : docker-compose.yml (NAS) volumes: – /volume1/medias:/media
Contrôle via Home Assistant :
Intégrez la TV via HDMI-CEC ou API spécifique (ex: Samsung Tizen, LG webOS).
Automatisations possibles :
Allumer/éteindre la TV quand Frigate détecte un mouvement.
Afficher les caméras sur la TV via un dashboard.
Intégration des Google Nest (Assistant Google)
Configuration Réseau
VLAN Recommandé : Isolez-les dans un VLAN IoT (ex: VLAN 30) pour limiter l’accès au reste du réseau.
Pour pfSense (VM-101) :CopyCréez un VLAN 30 → Interface dédiée → Règles de firewall : – Autoriser OUT vers Internet (HTTPS/DNS). – Bloquer l’accès aux autres VLANs (sauf exceptions comme Home Assistant).
Communication avec Home Assistant (VM-101)
Via le protocole local :
Activez Google Assistant SDK dans Home Assistant.
Utilisez Nabu Casa (ou un domaine personnalisé avec HTTPS) pour la liaison sécurisée.
Scénarios :
Contrôle des lumières/prises via commandes vocales.
Synchronisation avec vos calendriers/rappels.
DNS
💡 Network Overview (Goal)
Orange Box (ISP Router/Gateway):
IP: 192.168.1.1
LAN/Internet Gateway
pfSense (Firewall/Router):
WAN Interface: Gets IP from 192.168.1.0/24 (e.g. 192.168.1.2)
LAN Interface: New network 192.212.5.0/24 (e.g. 192.212.5.1)
Home Lab Devices:
On VLANsbehind pfSense
Pi-hole:
Installed behind pfSense (e.g. 192.212.5.2)
🧠 What You Want:
Devices on the lab network use Pi-hole for DNS.
pfSense uses Pi-hole for DNS too (optional but recommended).
Internet access for lab network is through pfSense ➝ Orange Box ➝ Internet.
Lab network stays isolated from home network.
✅ Step-by-Step DNS Configuration
1. Install and Set Up Pi-hole
Install Pi-hole on a device behind pfSense (VM, Raspberry Pi, etc.).
Give it a static IP, e.g. 192.212.5.2
During setup, don’t use DHCP (let pfSense handle that).
Choose public upstream DNS (Cloudflare 1.1.1.1, Google 8.8.8.8, etc.)
2. Configure pfSense to Use Pi-hole as DNS
a. Set DNS Server
Go to System > General Setup in pfSense.
In the DNS Server Settings, add: nginxCopyEditDNS Server 1: 192.212.5.2 (your Pi-hole IP)
Uncheck “Allow DNS server list to be overridden by DHCP/PPP on WAN” — this avoids getting ISP’s DNS from the Orange Box.
b. Disable DNS Resolver (Optional)
If you don’t want pfSense to do any DNS resolution, you can:
Go to Services > DNS Resolver, and disable it.
Or keep it enabled for pfSense’s internal name resolution, but forward to Pi-hole.
3. Configure DHCP on pfSense VLANs)
Go to Services > DHCP Server > LAN
Under “DNS Servers”, set: DNS Server: 192.212.5.2
Now, all clients getting IPs from pfSense will also use Pi-hole as DNS.
4. (Optional) Block DNS Leaks
To prevent clients from bypassing Pi-hole (e.g., hardcoded DNS like 8.8.8.8):
Go to Firewall > NAT > Port Forward
Create rules to redirect all port 53 (DNS) traffic to Pi-hole IP.
Example:
Interface: LAN
Protocol: TCP/UDP
Destination Port: 53
Redirect target IP: 192.212.5.2 (Pi-hole)
Redirect Port: 53
Quelques rappels utiles
pfSense est la gateway de chaque VLAN → donc une IP par VLAN
Le DNS de chaque client dans chaque VLAN doit pointer vers le Pi-hole
pfSense peut rediriger les requêtes DNS via une règle NAT (port 53) vers le Pi-hole si nécessaire
