# Plans d'adressage

<p class="callout info">**En bref**  
**Niveau** : référence  
**Durée de lecture** : 5 minutes  
**Prérequis** : « Entités et domaines »</p>

## Pourquoi des plans lisibles ?

Chaque entité suit une règle simple : le **troisième octet** de l'adresse identifie le réseau, et le numéro de VLAN en découle. Une adresse se lit alors sans tableau : `10.10.3.21` est dans le VLAN 103, réseau des services internes d'Erminig.

Trois plans coexistent, un par univers, avec des plages distinctes pour éviter tout recouvrement lors des liaisons VPN.

<table id="bkmrk-univers-plage-priv%C3%A9e"><thead><tr><th>Univers</th><th>Plage privée</th><th>Plage publique fictive</th></tr></thead><tbody><tr><td>Erminig (système d'information)</td><td>`10.10.0.0/16`</td><td>`198.51.100.0/24`</td></tr><tr><td>Nébuleuse (administration)</td><td>`10.99.0.0/24`</td><td>`192.0.2.0/24`</td></tr><tr><td>Kerlann Agglomération</td><td>`10.20.0.0/16`</td><td>`203.0.113.0/27`</td></tr></tbody></table>

Les plages publiques sont des blocs réservés à la documentation (RFC 5737).

## Règle de numérotation commune

Dans chaque réseau `/24` :

<table id="bkmrk-plage-usage-.1-passe"><thead><tr><th>Plage</th><th>Usage</th></tr></thead><tbody><tr><td>`.1`</td><td>Passerelle</td></tr><tr><td>`.2` à `.9`</td><td>Équipements réseau</td></tr><tr><td>`.11` à `.99`</td><td>Serveurs</td></tr><tr><td>`.100` à `.199`</td><td>DHCP</td></tr><tr><td>`.200` à `.254`</td><td>Réservé</td></tr></tbody></table>

## Erminig

Réseau `10.10.0.0/16`, découpé en `/24`. Le troisième octet va de 0 à 8, le VLAN vaut 100 plus cet octet.

<table id="bkmrk-r%C3%A9seau-vlan-usage-ma"><thead><tr><th>Réseau</th><th>VLAN</th><th>Usage</th><th>Machines (exemples)</th></tr></thead><tbody><tr><td>`10.10.0.0/24`</td><td>100</td><td>Infrastructure réseau</td><td>`fw-01` .1 ; `sw-core-01` .2 ; `sw-acces-01` .3</td></tr><tr><td>`10.10.1.0/24`</td><td>101</td><td>Administration des hyperviseurs</td><td>`pve-01` .11 ; `pve-02` .12 ; `pve-03` .13</td></tr><tr><td>`10.10.2.0/24`</td><td>102</td><td>Serveurs de production</td><td>`app-01` .11</td></tr><tr><td>`10.10.3.0/24`</td><td>103</td><td>Services internes</td><td>`dns-01` .11 ; `dns-02` .12 ; `dhcp-01` .13 ; `glpi-01` .21 ; `zabbix-01` .22 ; `vault-01` .23 ; `ntfy-01` .24</td></tr><tr><td>`10.10.4.0/24`</td><td>104</td><td>Accès et sécurité</td><td>`vpn-01` .11 ; `crowdsec-01` .12</td></tr><tr><td>`10.10.5.0/24`</td><td>105</td><td>Postes des collaborateurs</td><td>DHCP de .100 à .199</td></tr><tr><td>`10.10.6.0/24`</td><td>106</td><td>Wi-Fi invités</td><td>DHCP de .100 à .199, réseau isolé</td></tr><tr><td>`10.10.7.0/24`</td><td>107</td><td>DMZ</td><td>`proxy-01` .11</td></tr><tr><td>`10.10.8.0/24`</td><td>108</td><td>Sauvegarde</td><td>`bkp-01` .11</td></tr><tr><td>`10.10.250.0/24`</td><td>350</td><td>Pool VPN des nomades</td><td>Adresses attribuées par OpenVPN</td></tr></tbody></table>

Adresses publiques : pare-feu `fw-01` en `198.51.100.2`, `proxy-01` en `198.51.100.10`, `vpn-01` en `198.51.100.11`.

## Nébuleuse

<table id="bkmrk-machine-adresse-d%27ad"><thead><tr><th>Machine</th><th>Adresse d'administration</th><th>Adresse publique</th><th>Nom</th></tr></thead><tbody><tr><td>Serveur Ansible</td><td>`10.99.0.2`</td><td>aucune</td><td>`ansible-01.nebuleuse.example`</td></tr><tr><td>Bastion Teleport</td><td>`10.99.0.3`</td><td>`192.0.2.5`</td><td>`bastion.nebuleuse.example`</td></tr><tr><td>`client-alpha` (Atelier Penhoat)</td><td>`10.99.0.21`</td><td>`192.0.2.21`</td><td>`sso.`, `cloud.`, `photos.`, `vault.` + `penhoat.example`</td></tr><tr><td>`client-beta` (Cabinet Kerjean)</td><td>`10.99.0.22`</td><td>`192.0.2.22`</td><td>`sso.`, `cloud.`, `vault.` + `kerjean.example`</td></tr></tbody></table>

Le client numéro *n* reçoit `10.99.0.(20 + n)` et `192.0.2.(20 + n)`. Un troisième client aurait donc `10.99.0.23` et `192.0.2.23`.

<p class="callout info">Le réseau d'administration `10.99.0.0/24` n'est accessible que depuis `10.10.1.0/24` (administration des hyperviseurs), à travers le pare-feu `fw-01`.</p>

## Kerlann Agglomération

Réseau `10.20.0.0/16`. Le troisième octet identifie le **site**.

<table id="bkmrk-troisi%C3%A8me-octet-site"><thead><tr><th>Troisième octet</th><th>Site</th><th>Réseau</th><th>Usage</th></tr></thead><tbody><tr><td>0</td><td>Siège</td><td>`10.20.0.0/24`</td><td>Infrastructure réseau : `fw-sie-01` .1 ; `sw-sie-core-01` .2</td></tr><tr><td>1</td><td>Siège</td><td>`10.20.1.0/24`</td><td>Serveurs : `dc-sie-01` .11 ; `dc-sie-02` .12 ; `fs-sie-01` .21 ; `hv-sie-01` .31 ; `hv-sie-02` .32 ; `mail-sie-01` .41</td></tr><tr><td>2</td><td>Siège</td><td>`10.20.2.0/24`</td><td>Postes administratifs</td></tr><tr><td>3</td><td>Siège</td><td>`10.20.3.0/24`</td><td>Impression et téléphonie</td></tr><tr><td>4</td><td>Siège</td><td>`10.20.4.0/24`</td><td>Wi-Fi</td></tr><tr><td>5</td><td>Siège</td><td>`10.20.5.0/24`</td><td>Gestion des équipements (commutateurs, onduleurs)</td></tr><tr><td>10 à 15</td><td>Mairies</td><td>`10.20.10.0/24` à `10.20.15.0/24`</td><td>Kerven (10), Lannaron (11), Trévenan (12), Plouvelen (13), Saint-Gweltaz (14), Kerdalec (15)</td></tr><tr><td>20 et 21</td><td>École du Menez</td><td>`10.20.20.0/24` et `10.20.21.0/24`</td><td>Administratif et pédagogique ; serveur `srv-emn-01` en `10.20.20.11`</td></tr><tr><td>22 et 23</td><td>École de Kersaint</td><td>`10.20.22.0/24` et `10.20.23.0/24`</td><td>Idem ; serveur `srv-eks-01` en `10.20.22.11`</td></tr><tr><td>24 et 25</td><td>École des Genêts</td><td>`10.20.24.0/24` et `10.20.25.0/24`</td><td>Idem ; serveur `srv-egn-01` en `10.20.24.11`</td></tr><tr><td>250</td><td>Nomades</td><td>`10.20.250.0/24`</td><td>Pool VPN des agents en déplacement</td></tr><tr><td>254</td><td>Interconnexions</td><td>`10.20.254.0/24`</td><td>Liens VPN site à site, un /30 par site distant</td></tr></tbody></table>

Le serveur d'une école porte une seconde adresse de passerelle sur son réseau pédagogique (par exemple `10.20.21.1` pour le Menez) et y sert le DHCP.

Adresses publiques : pare-feu `203.0.113.2`, extrémité VPN `203.0.113.3`, proxy de messagerie `203.0.113.10`. Les communes et les écoles sortent par le siège et n'ont pas d'adresse publique propre.

Page suivante : **Domaines et nommage**.