Un serveur Linux que je conçois, sécurise et exploite seul, avec de vrais utilisateurs. Objectif : comprendre « sous le capot » ce que la DSI et les prestataires mettent en place, pour mieux piloter les projets logistiques qui en dépendent (WMS, ERP, IoT, IA).
Lors des grands déploiements (WMS, ERP, traceurs IoT), j'ai constaté que les retards viennent rarement de la logistique elle-même : ils naissent du fossé entre le terrain et l'IT. Les opérationnels demandent des flux sans voir les contraintes techniques ; l'IT impose des règles de sécurité que le terrain ne comprend pas.
Mon but n'est pas de devenir administrateur système, mais de parler les deux langues : anticiper les verrous d'infrastructure, challenger un prestataire sur des bases concrètes et écrire des cahiers des charges réalistes.
Un audit en lecture seule précède toute modification : on mesure l'existant, on distingue le constaté du supposé.
Tout est fermé sauf ce qui est justifié. L'administration ne passe jamais par Internet, seulement par un VPN.
Le plan de reprise est chronométré sur un clone isolé, pas seulement documenté.
Sauvegarde avant, vérification après, retour arrière écrit, journal des changements. Comme une migration WMS.
| Concept IT | Équivalent logistique |
|---|---|
| Sauvegarde 3-2-1 (3 copies, 2 supports, 1 hors site) | Stock de sécurité réparti sur plusieurs sites |
| Supervision et alertes | Tour de contrôle transport |
| Reverse proxy (point d'entrée unique) | Quai de réception unique avec contrôle à l'entrée |
| Authentification unique + 2FA | Badge d'accès par zone d'entrepôt |
| Test de restauration | Exercice du plan de continuité d'activité |
| Fenêtre de maintenance | Arrêt de ligne planifié |
Vue simplifiée et volontairement générique : tout passe par un point d'entrée unique et contrôlé, l'administration est isolée derrière le VPN, et les données partent chaque jour vers un site distinct.
%%{init: {'theme': 'base', 'themeVariables': { 'primaryColor': '#f8fafc', 'edgeLabelBackground':'#ffffff', 'tertiaryColor': '#fff'}}}%%
graph LR
classDef pub fill:#e0f2fe,stroke:#0369a1,stroke-width:2px;
classDef sec fill:#fee2e2,stroke:#b91c1c,stroke-width:2px;
classDef app fill:#f3e8ff,stroke:#6d28d9,stroke-width:2px;
classDef adm fill:#dcfce7,stroke:#15803d,stroke-width:2px,stroke-dasharray: 5 5;
classDef bak fill:#fef3c7,stroke:#b45309,stroke-width:2px;
U((Utilisateurs)):::pub --> FW[Pare-feu + IPS]:::sec --> RP[Reverse proxy
TLS automatique]:::sec --> SSO[SSO + 2FA]:::sec
SSO --> A1[Collaboration
fichiers, visio]:::app
SSO --> A2[E-learning]:::app
RP --> A3[Messagerie]:::app
RP --> A4[Sites web]:::app
ADM((Admin)):::adm -.-> VPN[VPN WireGuard]:::adm -.-> OUT[Supervision · coffre-fort · DNS]:::adm
A1 & A2 & A3 --> BK[Sauvegarde chiffrée
quotidienne]:::bak --> OFF[(Site distant
+ instantanés)]:::bak
S3[(Stockage objet S3)]:::bak --> OFF
Debian 12 · Docker Compose · Traefik · Let's Encrypt
UFW · CrowdSec · Wazuh · Authelia · WireGuard (Tailscale) · auditd
MariaDB · PostgreSQL · Directus (API) · BorgBackup · rclone · S3
Grafana · VictoriaMetrics · Prometheus · Uptime Kuma · ntfy
Nextcloud · Moodle · Mailcow · Vaultwarden · FreshRSS
PHP (plugin Moodle) · Python · JavaScript · Bash · n8n