Un mini-PC serveur maison permet de centraliser photos, documents et sauvegardes, puis d’y accéder hors du domicile. Le mauvais réflexe consiste à publier directement SSH, Samba, Nextcloud ou une interface d’administration sur Internet. Pour un accès distant serveur Linux sécurisé, faites du VPN le point d’entrée unique et limitez chaque service au réseau privé.
Cette architecture réduit fortement la surface exposée, sans empêcher un usage quotidien depuis un portable ou un smartphone. Elle demande toutefois de traiter quatre sujets distincts : l’accès au domicile, l’identité des utilisateurs, les droits sur les fichiers et la reprise après incident.
Points clés
Pour consulter les fichiers d’un serveur Linux familial depuis l’extérieur, exposez uniquement le port UDP de WireGuard sur la box. Connectez les appareils autorisés au VPN, puis accédez au serveur avec SFTP, SSH ou une application web limitée au sous-réseau VPN. N’exposez ni SMB/Samba, ni RDP, ni une console d’administration au Web.
Avantages
- + Un seul service réseau accessible depuis Internet : le VPN WireGuard.
- + Les partages de fichiers restent invisibles aux scans Internet.
- + Chaque appareil possède sa propre clé, révocable sans toucher aux autres.
Limites
- – Il faut installer et maintenir le client VPN sur chaque appareil.
- – Une box derrière CGNAT peut empêcher toute redirection de port.
- – Un VPN ne remplace ni les sauvegardes ni les mises à jour du serveur.
Eurolite freeDMX AP Interface Bundle
Eurolite freeDMX AP Interface Bundle@+*Offre Bundle comprenant*, Eurolite freeDMX AP Wi-Fi Interface@+*Interface WLAN-DMX pour le contrôle sans fil d'éclairage*, Reçoit les signaux de commande via le réseau et les transmet à la chaîne DMX via un câble, Configuration via le serveur Web intégré, Point d'accès et mode Infrastructure, 1 sortie DMX en boucle, Peut envoyer jusqu'à 512 canaux DMX, Contrôlable via DMX, Light´J App, WLAN, Light Captain App, ArtNet, Bande de fréquence 2,4 GHz gratuite et sans licence dans le monde entier, Portée jusqu'à 60 m en extérieur et jusqu'à 30 m en intérieur, Entrée/sortie DMX sur XLR 3 broches, LEDs de statut: Signal, appairage, liaison, source de canal, Alimentation: 100-240 V AC, 50/60 Hz, 12 V DC 1 A, Indice de protection: IP20, Dimensions (L x P x H): 13 x 12 x 4 cm, Poids: 650 g, Eurolite Omega Holder for DXT Series@+*Support Omega*, Pour Eurolite série DXT, Poids: 50 g, Global Truss 812-B Half Coupler@+*Demi-coupleur*, Pour tube de diamètre entre 48 et 51mm, Largeur: 30mm, Supporte une charge max. de 100 kg, Contrainte de cisaillement: 30 kg, Vis de blocage M8, Vis d'admission M10 avec rondelle et écrou papillon, Poids: 0,16 kg, Finition: Noir
Thomann.dePartir d’une architecture qui n’expose qu’un VPN
Placez le serveur sur le LAN derrière la box et attribuez-lui une adresse IP fixe, idéalement par réservation DHCP. Installez WireGuard sur le mini-PC ou, si votre routeur le gère correctement, sur le routeur. Le serveur reste alors joignable par son adresse privée, par exemple 192.168.1.20, après connexion au tunnel.
Dans la box, créez une seule redirection : UDP vers le port WireGuard choisi, souvent 51820, et vers l’IP privée du serveur. Évitez les fonctions « DMZ », l’UPnP et toute règle qui publierait des ports TCP de fichiers ou d’administration. Un scan externe ne doit voir aucun service Linux hors du port VPN.
WireGuard chiffre le transport et authentifie les pairs par clés publiques. Il n’offre pas de compte partagé : générez une paire de clés par téléphone, ordinateur ou tablette. Retirez immédiatement le pair d’un appareil perdu ; ne recyclez jamais son fichier de configuration sur un nouvel appareil.
Le client doit envoyer vers le tunnel uniquement les réseaux utiles, via AllowedIPs = 192.168.1.0/24 ou, mieux, l’IP du serveur si l’usage se limite aux fichiers. Ce split tunneling évite de faire transiter toute la navigation web par la maison. Pour un accès complet au LAN, ajoutez les sous-réseaux nécessaires, sans inclure des réseaux que vous ne maîtrisez pas.
Vérifier la connectivité avant d’ouvrir un port
Une adresse IP publique change parfois : un DNS dynamique relie alors un nom de domaine à votre box. Vérifiez aussi la présence de CGNAT, fréquente sur certaines offres fibre et 4G/5G : si l’adresse WAN de la box diffère de celle affichée par un service de test d’IP, la redirection entrante peut échouer.
Demandez une IPv4 publique à votre fournisseur d’accès, utilisez une IPv6 correctement filtrée ou passez par un relais VPN administré par vos soins si vous êtes derrière CGNAT. En IPv6, chaque machine peut être publiquement routable : le pare-feu de la box et celui du serveur deviennent donc obligatoires, même sans redirection explicite.
| Service | Exposition Internet recommandée | Accès après connexion WireGuard |
|---|---|---|
| WireGuard | Un port UDP dédié | Point d’entrée du réseau privé |
| SSH | Aucune | Clé SSH et compte nominatif |
| SFTP | Aucune | Via SSH, dossier limité si nécessaire |
| Samba / SMB | Aucune | Seulement si un client en a besoin |
| Interface Nextcloud | Aucune dans ce scénario | Adresse privée ou nom DNS interne |
Testez depuis un partage de connexion mobile, VPN activé, plutôt que depuis le Wi-Fi du domicile. Validez d’abord la poignée de main WireGuard, puis l’accès à l’IP privée du serveur. Ce test sépare un défaut de tunnel d’un problème de DNS, de pare-feu ou de droits applicatifs.
Durcir le serveur Linux derrière le tunnel
Le VPN filtre l’entrée depuis Internet ; il ne protège pas un serveur compromis par un compte local faible ou un logiciel obsolète. Installez les mises à jour de sécurité, supprimez les paquets et services inutilisés, puis vérifiez les ports à l’écoute avec ss -tulpn. Un serveur familial n’a aucune raison d’exécuter une base de données ou un service d’impression non utilisé.
Conservez un pare-feu local avec une politique de refus entrant. Autorisez WireGuard sur l’interface publique, puis SSH et les services de fichiers seulement depuis l’interface wg0 ou depuis l’adresse du VPN. Avec UFW ou nftables, documentez les règles et gardez un accès local au clavier avant de les appliquer.
Pour SSH, désactivez l’authentification par mot de passe après avoir testé une clé Ed25519 depuis un second terminal. Interdisez la connexion directe de root, créez un compte d’administration nominatif et utilisez sudo. Un port SSH différent réduit le bruit des scans, sans constituer une mesure de sécurité.
Le partage fichiers sécurisé passe souvent par SFTP : il utilise SSH, fonctionne dans les explorateurs compatibles et évite d’ouvrir SMB hors du LAN. Pour un accès familial avec galerie photo et synchronisation, une application web peut rester liée à l’IP VPN ; protégez alors chaque compte par un mot de passe unique et une double authentification lorsqu’elle est disponible.
Isoler les données et les appareils familiaux
Créez un compte Linux distinct pour chaque adulte et évitez le dossier partagé en écriture générale. Les permissions Unix, les groupes dédiés et des répertoires séparés empêchent qu’un appareil connecté au VPN accède par défaut aux archives de toute la famille. Les comptes de service ne doivent ni disposer d’un shell interactif ni appartenir au groupe sudo.
Un téléphone infecté qui détient une clé WireGuard devient un client reconnu du réseau. Limitez donc ses routes à l’IP du serveur et aux ports requis, plutôt qu’à tout le LAN. Cette segmentation aide à sécuriser réseau domestique et objets connectés, souvent moins suivis qu’un ordinateur.
Sur le mini-PC, chiffrez le disque avec LUKS si le risque de vol physique existe et si vous acceptez le déverrouillage au redémarrage. Protégez aussi la console de la box : mot de passe d’administration propre, firmware à jour, Wi-Fi invité isolé et désactivation de l’administration distante du routeur. Le guide pour optimiser le réseau domestique peut aider à séparer les usages sans dégrader les visioconférences.
Prévoir la sauvegarde et le contrôle des accès
Une sauvegarde serveur Linux doit vivre sur un support distinct du mini-PC : disque USB débranché entre deux copies, second appareil local ou stockage hors site chiffré. Gardez plusieurs versions afin de restaurer un fichier supprimé ou chiffré par un rançongiciel. Testez réellement une restauration de photos et d’un dossier complet chaque trimestre.
Les photos occupent vite plusieurs téraoctets ; mesurez la capacité disponible avant d’automatiser les copies. Un SSD accélère les index et les bases de données, mais son endurance et sa santé SMART restent à suivre : ces bonnes pratiques pour la durée de vie d’un SSD évitent de confondre stockage rapide et archive fiable.
Consultez les journaux WireGuard, SSH et du pare-feu après la mise en service, puis lors de chaque ajout d’appareil. Révoquez les clés inutilisées, mettez à jour le système et testez l’accès depuis l’extérieur après toute modification de la box. Cet entretien régulier garde l’accès distant serveur Linux sécurisé sans transformer le serveur familial en service exposé.
Accès distant serveur Linux sécurisé : le bon niveau d’ouverture
Le schéma robuste tient en une règle : Internet atteint WireGuard, WireGuard atteint les services privés, et les services appliquent leurs propres droits. SSH par clé couvre l’administration, SFTP couvre les transferts et une application de photos reste interne au VPN. VNC ou xRDP ne se justifient que pour une interface graphique ponctuelle et doivent suivre le même chemin.
Commencez par le tunnel, le pare-feu et les comptes nominatifs avant d’ajouter une interface de partage. Un mini-PC bien dimensionné et maintenu suffit largement à cet usage ; pour choisir la machine et ses interfaces réseau, consultez aussi ce dossier sur les évolutions des mini-PC. La sauvegarde indépendante reste la dernière barrière quand une erreur ou une compromission contourne les autres.
