https://blogs.damiendye.uk/fr/networking/ Recent content in Réseau on Le blog de Damien Dye Hugo fr-FR Mon, 14 Sep 2026 15:00:00 +0100 https://blogs.damiendye.uk/fr/networking/a-vpn-out-of-parts-and-what-egress-really-is/ Mon, 14 Sep 2026 15:00:00 +0100 https://blogs.damiendye.uk/fr/networking/a-vpn-out-of-parts-and-what-egress-really-is/ Un VPN, c'est un lien virtuel et un transporteur. Linux livre un programme pour chacun : pppd ou un tap, et netcat. Le construire des deux façons — sur TCP, UDP, TLS et DTLS, avec compression zstd — montre de quoi un VPN est fait, et ce qu'est vraiment l'egress : dès qu'un attaquant a root et que la sortie est ouverte, le tunnel est déjà installé. https://blogs.damiendye.uk/fr/networking/protocol-helpers-turn-them-off/ Mon, 14 Sep 2026 09:00:00 +0100 https://blogs.damiendye.uk/fr/networking/protocol-helpers-turn-them-off/ Un assistant NAT lit vos paquets et ouvre des ports entrants d'après ce qu'il y trouve. N'importe qui peut écrire ce texte : une page web suffit depuis 2010. Comment ils fonctionnent, comment des paquets fabriqués en font un service d'ouverture de ports, ce que fait le passage IPsec, pourquoi ils échouent à Cyber Essentials, et comment les couper. https://blogs.damiendye.uk/fr/networking/ipsec-was-a-good-idea-turn-it-off/ Sun, 13 Sep 2026 09:00:00 +0100 https://blogs.damiendye.uk/fr/networking/ipsec-was-a-good-idea-turn-it-off/ IPsec a lié la sécurité à l'adresse IP, puis le secteur a retiré l'adresse. NAT, double NAT sous CGNAT, NAT64 qui ne le transporte pas, pas de ports donc pas de répartition de charge, la taxe MTU, L2TP, PPTP et l'interop Windows — schémas, doc Cisco et Juniper, méthode de diagnostic complète et les raisons de le retirer. https://blogs.damiendye.uk/fr/networking/zero-trust-vdi-cloudflare-access/ Wed, 02 Sep 2026 14:00:00 +0100 https://blogs.damiendye.uk/fr/networking/zero-trust-vdi-cloudflare-access/ Première partie : l'architecture et l'argument de coût pour remplacer Azure Virtual Desktop par Proxmox, le SR-IOV d'Intel Arc Pro et Cloudflare Access. OAuth sur site pour l'identité, RDP rendu dans le navigateur, un tunnel LXC pare-feu sur son propre VLAN, KSM pour la densité mémoire, et les profils sur Ceph. Le prochain billet le construit. https://blogs.damiendye.uk/fr/networking/ping-the-diagnostic-tool-that-opens-a-whole-lot-more/ Tue, 01 Sep 2026 08:05:00 +0100 https://blogs.damiendye.uk/fr/networking/ping-the-diagnostic-tool-that-opens-a-whole-lot-more/ Pourquoi ping — l'écho ICMP, pas tout le protocole — est un risque : un canal que tout hôte doit honorer, si bien qu'un réseau qui « n'autorise que le ping » a un VPN vers l'extérieur. La menace, qui peut en ouvrir un, trois tunnels (Hans, icmptunnel, un en Python en AES-128), et la règle qui le ferme : nftables, pf, Cisco, Junos. https://blogs.damiendye.uk/fr/networking/how-far-away-is-the-firewall/ Fri, 28 Aug 2026 09:00:00 +0100 https://blogs.damiendye.uk/fr/networking/how-far-away-is-the-firewall/ Une connexion qui expire ne vous dit rien de l'endroit où elle est morte. Le TTL, si. Voici comment compter les sauts jusqu'à ce qui mange votre port, sur Linux, macOS, les BSD, Solaris et Redox, avec un script qui ne demande pas root sur Linux. https://blogs.damiendye.uk/fr/networking/we-never-ran-out-of-addresses/ Thu, 27 Aug 2026 18:00:00 +0100 https://blogs.damiendye.uk/fr/networking/we-never-ran-out-of-addresses/ Le Royaume-Uni a passé vingt ans à boulonner des contournements sur IPv4 plutôt que d'allumer IPv6. J'ai compté chaque réseau britannique de la table de routage pour voir qui l'a réellement fait, et la réponse dit que ça n'a jamais été une affaire d'argent.