Ce projet regroupe le durcissement de mon infrastructure Softcloud, composée de deux Raspberry Pi 5 sous Debian : un serveur YunoHost (Web, mail, messagerie) et un point d’accès RaspAP. L’objectif est une défense en profondeur, où chaque couche limite ce que la précédente laisse passer.

La détection et la réponse reposent sur CrowdSec : analyse des journaux Nginx, SSH et mail, scénarios d’attaque, partage de signaux avec la communauté et listes de blocage. Les décisions sont appliquées directement dans le pare-feu nftables par un bouncer dédié, avec des alertes regroupées envoyées par mail. Les nouveaux scénarios sont d’abord observés en mode simulation avant d’être activés.

Le réseau domestique sort sur Internet par un tunnel WireGuard vers ILOTH, fournisseur d’accès associatif : le serveur sert de passerelle (NAT, DHCP, DNS) à l’ensemble du réseau local. La résolution DNS est chiffrée (DNS-over-HTTPS) et filtrée, et l’administration distante passe par un réseau privé Tailscale plutôt que par une exposition directe.

Chaque évolution suit la même méthode : audit en lecture seule, sauvegarde, correctif ciblé, validation, et retour arrière automatique pour les changements à risque. Les règles du pare-feu sont organisées en tables indépendantes afin qu’une modification ne puisse pas en écraser une autre.