ko0ler/homelabLabo domestique GNS3 documentant un réseau segmenté avec un pare-feu Cisco ASAv, un cœur L3, une DMZ et un domaine Active Directory pour s'exercer en réseau, en administration système et en sécurité offensive.
HomeLab est un lab GNS3 construit sur un seul ordinateur portable (OMEN 16, i7-14650HX, 32 Go de RAM, RTX 4060 8 Go) pour pratiquer le réseau, l'administration système et la sécurité offensive dans un seul environnement. Il modélise un périmètre avec une DMZ (Cisco ASAv), un cœur routé (SW-L3 + deux commutateurs d'accès), et un domaine Active Directory kooler.local fonctionnant sous Windows Server 2025. Les plateformes d'attaque (Kali, ParrotOS/Exegol) se trouvent sur le segment extérieur non fiable, aux côtés d'une passerelle NAT vers Internet.
Chaîne : Kali/Exegol + NAT (Switch-X) → Router → ASAv Firewall (avec patte DMZ) → SW-L3 → L2-SW-1 / L2-SW-2 (VLANs).
| Segment | Sous-réseau | Notes |
|---|---|---|
| Extérieur / non fiable | 192.168.160.0/24 | Switch-X : Kali/Exegol, cloud NAT ; Router en .100 |
| Router ↔ FW extérieur | 10.10.3.0/29 | Router .1, ASA outside .2 |
| FW ↔ DMZ | 10.10.2.0/30 | ASA dmz .2, Ubuntu .1 |
| FW ↔ SW-L3 (intérieur) | 10.10.1.0/30 | ASA inside .2, SW-L3 .1 |
| VLAN 30 | 192.168.30.0/24 | PC-C, PC-D |
| VLAN 40 | 192.168.40.0/24 | derrière L2-SW-2 — Windows 10, PC-B |
| VLAN 50 | 192.168.50.0/24 | derrière L2-SW-1 — Windows Server 2025 (DC01), PC-A |
| VLAN 100 | 192.168.100.0/24 | SVI présent sur SW-L3 ; trunké, pas encore dans le groupe d'objets ASA |
Les liens trunk SW-L3 ↔ L2-SW-1/L2-SW-2 transportent les VLANs 30, 40, 50, 100 (VLAN natif 999, dot1q).
| Équipement | Rôle | Plateforme | Interfaces clés |
|---|---|---|---|
| Router | Routeur de bordure, passerelle côté NAT | Cisco IOSv 15.9 | Gi0/0 10.10.3.1/29 (vers FW) ; Gi0/1 192.168.160.100/24 (vers Switch-X) |
| FW | Pare-feu périmétrique, DMZ | Cisco ASAv 9.22(1)1 | outside 10.10.3.2/29 ; dmz 10.10.2.2/30 ; inside 10.10.1.2/30 |
| SW-L3 | Commutateur L3 de cœur, routage inter-VLAN | Cisco IOSv L2 15.2 | Gi0/0 10.10.1.1/30 (vers FW) ; Gi0/1-0/2 trunks vers L2-SW-1/2 ; SVIs pour VLAN 30/40/50/100 |
| L2-SW-1 | Commutateur d'accès | Cisco IOSv L2 15.2 | Ports d'accès VLAN 50 (WinServer2025, PC-A) |
| L2-SW-2 | Commutateur d'accès | Cisco IOSv L2 15.2 | Ports d'accès VLAN 40 (Windows 10, PC-B) ; VLAN 30 (PC-D) |
ASAv est sous licence Smart Licensing Using Policy, fonctionnant en Evaluation Mode avec le niveau de fonctionnalité standard et le débit 1G déclaré localement (pas d'enregistrement CSSM).
| Hôte | OS / Build | Nom d'hôte | IP / VLAN | Services |
|---|---|---|---|---|
| Kali | Kali Linux 2026.2 (VMware amd64) | Kali | 192.168.160.130 (segment extérieur) | Plateforme d'attaque |
| ParrotOS/Exegol | ParrotOS + Exegol | — | segment extérieur (Switch-X) | Plateforme d'attaque |
| Ubuntu | Ubuntu Desktop 26.04 | ko0ler-VMware-Virtual-Platform | 10.10.2.1 (DMZ) | DVWA, bWAPP, httpbin, FTP, Samba, MySQL |
| WindowsServer 2025 | Windows Server 2025 | DC01 | 192.168.50.10 (VLAN 50) | ADCS, ADDS, DHCP, DNS, MSSQL — contrôleur de domaine pour kooler.local |
| Windows 10 | Windows 10 | PC1 | DHCP (VLAN 40) | Poste de travail joint au domaine |
| PC-A | VPCS | — | VLAN 50 (.15) | — |
| PC-B | VPCS | — | VLAN 40 (.15) | — |
| PC-C | VPCS | — | VLAN 30 (.1) | — |
| PC-D | VPCS | — | VLAN 30 (.2) | — |
Contrôleur de domaine : DC01 (Windows Server 2025, 192.168.50.10), exécutant ADCS, ADDS, DHCP, DNS et MSSQL côte à côte — un DC délibérément surdimensionné pour la pratique de la surface d'attaque (exposition de comptes de service, mauvaise configuration de templates ADCS, SQL sur un DC, etc.).
| Compte | Portée | Notes |
|---|---|---|
| Administrator | Local (DC01) | Administrateur local intégré |
| Ko0ler | Utilisateur du domaine | — |
| user1 | Utilisateur du domaine | — |
Windows 10 (PC1) est joint à kooler.local ; le login local ko0ler existe également sur cette machine, distinct du compte de domaine.
| Paire de zones | Direction | Autorisé |
|---|---|---|
| outside → DMZ | entrant | HTTP(80), HTTPS(443), 8080, 8070, 8060 vers Ubuntu (10.10.2.1) ; ICMP |
| DMZ → outside | sortant | HTTP, HTTPS, DNS(53) |
| DMZ → inside | — | refusé |
| inside → DMZ | sortant | IP complet vers Ubuntu |
| inside → outside | sortant | IP complet, PAT via l'interface outside de l'ASA |
NAT : PAT pour les sous-réseaux inside (192.168.30/40/50.0/24, dynamique, via l'outside de l'ASA) et NAT statique pour l'hôte DMZ (10.10.2.1 → 10.10.3.3, DMZ_MAPPED). Remarque : le trafic inter-VLAN entre les VLANs 30/40/50 ne traverse jamais l'ASA — SW-L3 le route localement, donc le pare-feu ne voit que le trafic nord-sud (DMZ/extérieur).
Suivi dans CHANGELOG.md.
Les identifiants du lab ne sont intentionnellement pas commités dans ce dépôt.
| Portée | Compte | Hôte |
|---|---|---|
| Local | kali | Kali |
| Local | ko0ler | Ubuntu |
| Local | ko0ler | Windows 10 (PC1) |
| Local | Administrator | DC01 |
| Domaine (kooler.local) | Ko0ler | — |
| Domaine (kooler.local) | user1 | — |
