Infrastructure¶

Le parc tient sur six hôtes Docker et cinq machines sans Docker (relevé du 2026-10-06). Environ trois cents conteneurs sont répartis entre eux selon une logique simple : le GPU et les médias d'un côté, les services d'infrastructure de l'autre, le stockage au centre, et deux pièces à part — le coffre des secrets sur sa propre machine, les agents IA dans leur bac à sable.

Hôtes du parc — adresses, ports SSH, rôle, base Compose.
Stockage et vault — où vivent les données, et quelle copie fait foi.

La carte¶

flowchart TB
    subgraph cave["Cave — pièce ventilée"]
        nas["NAS Synology<br/>~35 conteneurs · NFSv4 · edge WAN"]
        compute["vm-compute-01<br/>~85 conteneurs · GPU"]
        subgraph pve["vm-compute-02 — hyperviseur Proxmox"]
            vmdocker["vm-docker<br/>~100 conteneurs"]
            vmaddons["vm-addons<br/>~30 conteneurs · passerelle MCP"]
            vmagents["vm-agents<br/>~35 conteneurs · agents IA, sans secret"]
            vmclaude["vm-claude<br/>dev, pas de Docker"]
        end
        bao["pi-bao<br/>coffre OpenBao, sans Docker"]
    end

    subgraph bureau["Bureau"]
        mac["Mac Pro<br/>Obsidian, plus aucune VM"]
        paw["paw-01<br/>poste d'administration"]
    end

    subgraph ailleurs["Hors LAN"]
        vps["vps-fr-ovh<br/>~15 conteneurs · nœud de sortie"]
    end

    vmdocker ---|"NFS"| nas
    vmclaude ---|"NFS"| nas
    compute ---|"NFS"| nas
    nas ---|"proxy interne"| vmdocker
    vps -.->|"tailnet"| nas

    classDef edge stroke-width:3px
    class nas edge

Le NAS est au centre pour deux raisons distinctes qu'il ne faut pas confondre : il porte les disques (NFS pour tout le monde) et il est l'entrée depuis Internet. Les deux rôles tombent sur la même machine, mais rien ne les lie.

Le découpage en une phrase¶

Ce qui tourne	Où	Pourquoi là
Reverse proxy, identité, Git, bases	vm-docker	Hôte de service, pas de GPU, proche du NAS
*arr, Plex, Immich-ML, LLM locaux, Home Assistant	vm-compute-01	Le seul avec un GPU
Immich, Syncthing, partages NFS, edge WAN	NAS Synology	C'est là que sont les disques
Passerelle MCP, petits services	vm-addons	Sortis de l'hôte GPU pour lui laisser sa mémoire
Agents IA de l'équipe	vm-agents	Bac à sable : un agent compromis n'y trouve aucun secret du parc
Secrets machines (OpenBao)	pi-bao	Une machine qui ne fait que ça : rien d'autre à compromettre dessus
Nœud de sortie, sondes externes	vps-fr-ovh	Hors du LAN, par construction

rtl-pi n'existe plus

rtl-pi (l-ancien-pi) est décommissionné depuis le 2026-08-25 : éteint, hors réseau, retiré de Dockhand. Une note plus ancienne qui parle de « cinq hôtes Docker » décrit l'avant. Ne pas le diagnostiquer comme une panne, ne pas le remettre dans un inventaire.

vm-rtx4070ti a été renommé

L'hôte GPU s'appelle vm-compute-01 depuis le 2026-08-27 — la machine et le compte SSH. Toute documentation antérieure qui dit « rtx » parle de cette machine.

Dernière vérification de cette page : 2026-10-06