ARCHITECTURE ZERO TRUST

CONTEXTE

Dossier d'architecture (Guardia), cas d'une logistique multi-sites

RÔLE

Auteur unique : architecture, chiffrage, cartographie de conformité, lab

LIVRABLES

Document d'architecture technique, matrice de flux inter-VLAN, pile d'identité, guide de lab pratique

RÉSULTAT

Plan de migration en 5 phases, TCO de ~25 200 € sur 3 ans, cartographie NIS2 art. 21, implémentation homelab fonctionnelle

Concevoir une architecture Zero Trust pour une entreprise de logistique multi-sites déjà en activité n'a rien à voir avec le fait de la concevoir pour une entreprise qui n'existe pas encore. Le réseau en place a ses identifiants, ses flux de trafic et ses dépendances opérationnelles qui font vivre l'entreprise, et la migration ne peut en casser aucun. NIST SP 800-207 décrit la destination avec précision, mais il ne dit presque rien sur la façon d'y parvenir depuis un réseau monté il y a dix ans par des gens qui ont depuis quitté la maison.

Le plan d'adressage (10.SITE.VLAN.0/24, deuxième octet pour le site, troisième pour la fonction) a été choisi pour sa lisibilité d'audit, pas pour son astuce. Un plan qu'un nouvel ingénieur réseau lit en cinq minutes est un plan qu'il ne peut pas dérégler en douce. La matrice de trafic inter-VLAN, elle, a suivi une logique inverse : partir de rien et n'ouvrir que ce dont chaque fonction métier avait réellement besoin, pas tout ce que le réseau existant tolérait. Et le réseau existant en tolérait trop, ce qui est vrai à peu près partout. La pile d'identité (Step-CA pour la PKI interne, Authentik comme fournisseur d'identité avec MFA matériel, Teleport en remplacement du SSH et du RDP directs) était la partie la plus sensible à l'ordre de déploiement. Que la chaîne de confiance soit mal configurée au niveau de l'autorité de certification, et tout certificat signé en dessous devient suspect.

Le TCO sur trois ans s'est établi autour de 25 200 €, sur une infrastructure QEMU/KVM, calculé par imputation des coûts composant par composant plutôt qu'à partir d'un devis fournisseur. La nuance n'est pas anodine : un devis vous dit ce qu'une solution coûte à l'achat ; l'imputation composant par composant vous dit ce qu'elle coûte à exploiter, charge opérationnelle comprise, celle-là même que les devis passent toujours sous silence. La cartographie de conformité à l'article 21 de NIS2 a été tirée directement de la documentation d'architecture, et non reconstituée après coup : chaque mesure adossée à une décision de conception, et non revendiquée sur la foi d'un composant déployé. Côté homelab, l'implémentation faisait tourner OPNsense avec Suricata en mode IPS sur le périmètre, Nginx avec CrowdSec sur la DMZ, et Wazuh collectant les journaux de chaque segment.

Cinq phases de déploiement, chacune rendant le réseau plus restrictif que la précédente, chacune conçue pour qu'une défaillance à ce stade puisse être annulée sans contaminer les suivantes. La première phase déploie l'infrastructure d'identité sans pour autant déprécier les identifiants existants : cela semble contre-productif, c'est pourtant indispensable sur le terrain. Le guide de lab pratique qui l'accompagne répond à un besoin précis : un document d'architecture technique impossible à mettre en œuvre n'est qu'un avis de conception déguisé en ingénierie. Le guide fait le pont entre le document et le système qui tourne.