====== Convention de nommage ======

Cette page centralise les règles de nommage utilisées sur l'infrastructure : hostnames, adressage IP, VMID Proxmox, interfaces switch/pare-feu et règles de firewall OPNsense. Référencée depuis ''network:ipam'' plutôt que dupliquée.

===== Principe de base =====

Trois éléments distincts, à ne jamais mélanger dans un seul nom :

  * **Hostname** — identité physique/logique stable de la machine
  * **Nom de service** — ce qui est exposé via le reverse proxy, peut survivre à une migration de host
  * **IP** — position réseau, gérée par l'IPAM, jamais encodée dans le nom

Ne pas encoder le VLAN dans le hostname (éviter ''srv-jellyfin-vlan40''). L'IPAM et le sous-réseau portent déjà cette information ; la dupliquer crée un point de désynchronisation en cas de migration de VLAN.

===== Domaine interne =====

domaine dédié à la résolution interne, distinct du domaine public :

<code>
homelab.lan
</code>

Résolu uniquement par Unbound.

===== Convention de hostname =====

Format : ''<prefix>-<slug>[-nn]'', minuscules, tirets uniquement (compatibilité DNS/RFC1123 strict, pas d'underscore).

^ Préfixe ^ Usage ^ Exemple ^
| fw-   | Pare-feu              | fw-opnsense |
| sw-   | Switch                | sw-crs310 |
| ap-   | Point d'accès         | ap-eap225-salon |
| srv-  | VM serveur            | srv-jellyfin, srv-unbound |
| ct-   | Conteneur LXC/Docker  | ct-pihole, ct-traefik |
| nas-  | Stockage              | nas-backup |
| iot-  | Objet connecté générique | iot-prise-salon |
| game- | Console/PC gaming     | game-ps5-salon |
| pc-   | Poste utilisateur     | pc-bureau |

===== Allocation IP par tranche =====

Découpage identique appliqué sur les quatre VLANs.

^ Plage ^ Usage ^
| .1–.9     | Infra réseau (gateway, switch mgmt, AP) |
| .10–.99   | Réservations statiques (serveurs, services critiques) — documentées dans ''network:ipam'' |
| .100–.200  | Pool DHCP dynamique — non tracké manuellement |
| .201–.254 | Réservé / tests temporaires |

===== Commentaires interfaces (switch / trunk) =====

Format : ''<ROLE>-<CIBLE>'' en PascalCase-avec-tirets.

Exemples en production sur le CRS310 : ''Trunk-AP-EAP225'', ''Access-Proxmox'', ''Uplink-OPNsense''.

===== Règles de pare-feu OPNsense =====

==== Format ====

<code>
[VLAN_SRC]_<ACTION>_<PROTO/SERVICE>_TO_<DEST>
</code>

MAJUSCULES_SNAKE_CASE, underscore comme séparateur — distingue visuellement des hostnames (qui utilisent des tirets).

  * **ACTION** explicite (ALLOW/BLOCK/REJECT) même si l'icône OPNsense l'indique déjà — facilite la recherche texte dans un export XML.
  * **BLOCK vs REJECT** : distinction conservée dans le nom, pas uniquement dans le comportement (utile pour les règles REJECT ciblées, ex. feedback DNS rapide sur Guest).
  * **Règles temporaires** : préfixe ''TMP_'' + date ISO **en commentaire uniquement**, jamais dans le nom de la règle (contrairement aux pages wiki, une règle firewall n'est pas de la documentation figée). Permet un grep ''TMP_'' périodique pour repérer les règles oubliées.

==== Alias ====

^ Préfixe alias ^ Contenu ^
| NET_  | Réseaux/CIDR (NET_TRUSTED, NET_HOMELAB) |
| HOST_ | IP unique (HOST_JELLYFIN) |
| PORT_ | Groupe de ports (PORT_WEB = 80,443) |

==== Mapping interfaces OPNsense → VLAN (état de production) ====

^ Interface OPNsense ^ VLAN ^ Remarque ^
| opt2 | TRUSTED (10)     | Règle de blocage RFC1918 présente mais désactivée intentionnellement (accès complet voulu depuis ce poste) |
| opt3 | GUEST (20)       | Pattern standard : DNS local, blocage RFC1918, accès internet |
| opt4 | IOT_GAMING (30)  | Comprend un blocage DNS forcé (force la résolution via le résolveur local) |
| opt5 | WIREGUARD (VPN)  | Sous-réseau tunnel 10.10.0.0/24, accès scopé vers Trusted et Homelab uniquement |
| opt6 | HOMELAB (40)     | Bloqué par défaut vers les autres VLANs, accès internet autorisé |
| lan  | Legacy (igc1, pré-VLAN) | Règles par défaut auto-générées, en cours de décommissionnement |

==== Exemple de jeu de règles renommé (VLAN Trusted) ====

<code>
TRUSTED_ALLOW_ANY_TO_HOMELAB
TRUSTED_ALLOW_DNS_TO_SELF
TRUSTED_ALLOW_ANY_TO_SELF
TRUSTED_ALLOW_ANY_TO_WIFI_CONTROLLER
TRUSTED_BLOCK_ANY_TO_RFC1918          # désactivée intentionnellement
TRUSTED_ALLOW_ANY_TO_ANY
TRUSTED_ALLOW_ANY_TO_WIREGUARD        # redondante avec la règle précédente, conservée pour lisibilité
</code>