Mon labo
Voici ce que je fais tourner à la maison, et pourquoi j'ai choisi chaque outil. Tout fonctionne localement, sur mon propre matériel, sans dépendre d'internet : les services, les modèles d'IA, et la gestion de l'ensemble restent dans la maison. La sécurité est un pilier, pas un après-coup.
Virtualisation
Le labo tient sur un seul serveur physique. Proxmox est l'hyperviseur : il fait tourner des machines virtuelles (KVM) et des conteneurs (LXC) côte à côte, chacun isolé. C'est ce qui me permet de tester, casser et recommencer sans risquer le reste. Ma carte graphique est passée dans une machine virtuelle dédiée via vfio/IOMMU, pour que l'IA ait la GPU pour elle seule, sans la partager avec l'hôte.
Conteneurs
La plupart de mes services tournent dans des conteneurs Docker, déclarés en Compose. L'idée : un service, un dossier, une commande pour le redémarrer. Si un conteneur meurt, il revient. Si je veux le recréer sur une autre machine, je recopie le dossier et c'est tout.
Réseau et DNS
Mes domaines pointent vers la maison avec le DDNS de Cloudflare, parce que mon adresse publique change. À l'intérieur, Pi-hole fait le DNS : il bloque la publicité et centralise les noms d'hôtes. Pour accéder au labo à distance, j'utilise Headscale, un serveur Tailscale auto-hébergé : une connexion chiffrée, sans ouvrir de port sur le modem. Chaque machine a son pare-feu UFW, et je n'ouvre vers l'extérieur que ce qui doit l'être.
Reverse proxy et certificats
Tout le trafic public entre par une seule porte : Traefik. Il route chaque domaine vers le bon conteneur, et Let's Encrypt s'occupe des certificats TLS automatiquement, y compris le renouvellement. Un seul point d'entrée, un seul endroit à surveiller.
Sécurité
Devant le proxy, CrowdSec analyse le trafic et bannit les adresses qui attaquent : brute force, scan de ports, bots. Les décisions tombent au niveau du proxy, avant que la requête n'atteigne les services. L'administration se fait en SSH avec des clés seulement, sans mot de passe, et j'ai audité chaque machine du labo pour fermer ce qui ne servait à rien.
Observabilité
Prometheus collecte les métriques de chaque machine, Grafana les affiche sur des tableaux de bord, Loki regroupe les journaux, et Uptime Kuma vérifie que les services publics restent en ligne. L'idée : je veux savoir qu'une machine a un problème avant que quelqu'un d'autre ne le remarque à ma place.
Sauvegardes
Les sauvegardes vont sur un serveur dédié, Proxmox Backup Server, et une copie part hors de la maison, chiffrée, chez Backblaze B2. Un labo sans sauvegarde qui sort de la maison, c'est un labo qui ne sera plus là après le prochain incendie ou le prochain vol.
IA auto-hébergée
ComfyUI génère des images, Qwen3-TTS génère de la voix, et llama.cpp fait tourner des modèles de langage sur le labo. J'y ai aussi construit un agent d'IA qui administre le labo lui-même : il tourne sur mes machines, il pense avec un modèle local, il déploie des services, fait des audits, et me signale les problèmes. Les modèles ne quittent jamais la maison.