Proxmox VE - Les fondamentaux de la virtualisation et de la conteneurisation

Objectif : Appréhender l'écosystème Proxmox VE et installer le serveur hyperviseur selon les préconisations éditeur.

• Présentation de Proxmox VE : positionnement face aux hyperviseurs du marché (VMware vSphere, Microsoft Hyper-V), gouvernance open-source et modèles de souscription.
• Architecture technique du socle : noyau Debian GNU/Linux, hyperviseur KVM, conteneurs LXC et système de fichiers.
• Prérequis matériels et dimensionnement : virtualisation assistée par processeur (Intel VT-x / AMD-V), exigences RAM et calcul des capacités disques.
• Processus d'installation pas-à-pas depuis l'image ISO officielle et paramétrage réseau initial de la console.
• Découverte de l'interface graphique d'administration web HTTPS (port 8006) et gestion des dépôts APT (Enterprise vs No-Subscription).

Atelier pratique : Installation complète d'un hyperviseur Proxmox VE sur machine dédiée et configuration post-installation de la console et des dépôts.

Cas métier : Déploiement initial d'un serveur d'entreprise avec sécurisation des accès distants SSH et application des premiers correctifs de sécurité.

Compétence acquise : Savoir installer, initialiser et maintenir à jour un hyperviseur Proxmox VE propre et sécurisé.

Livrable : Un hôte Proxmox VE opérationnel, sécurisé, mis à jour et administrable via son interface web chiffrée.

Objectif : Concevoir l'architecture réseau virtuelle, isoler les flux et configurer le pare-feu Proxmox VE.

• Concepts réseau sous Linux et Proxmox : cartes physiques (NICs), ponts virtuels Linux Bridge (vmbr) et interfaces virtuelles.
• Configuration des commutateurs virtuels et création d'interfaces de gestion dédiées.
• Agrégation de liens physiques (Bonds / LACP 802.3ad) pour la résilience matérielle et l'augmentation de bande passante.
• Segmentation réseau par VLANs : ponts VLAN-aware et attribution de tags 802.1Q aux interfaces de machines virtuelles.
• Architecture du pare-feu Proxmox VE (PVE Firewall) : niveaux Datacenter, Nœud, VM et CT.
• Création de règles de filtrage de sécurité, d'alias IP et de groupes de sécurité réutilisables.

Atelier pratique : Création d'un pont virtuel VLAN-aware et mise en œuvre d'une politique de pare-feu pour isoler un sous-réseau administratif.

Cas métier : Configuration pas-à-pas de deux cartes réseaux physiques en agrégation (Bonding) pour séparer le flux d'administration du flux de production des VMs.

Compétence acquise : Maîtriser la commutation virtuelle sous Proxmox et savoir appliquer une politique de sécurité réseau étanche.

Livrable : Une matrice réseau virtuelle documentée avec ponts agrégés, segmentation VLAN et règles de pare-feu fonctionnelles.

Objectif : Configurer les banques de données locales et distantes et exploiter la puissance du système ZFS.

• Typologies de stockage Proxmox : stockage en mode fichier (Directory, NFS, CIFS/SMB) vs stockage en mode bloc (LVM, LVM-Thin, iSCSI, ZFS).
• Provisionnement dynamique via LVM-Thin : allocation à la demande et surveillance des surallocations.
• Architecture approfondie de ZFS sous Proxmox : principes Copy-on-Write, structure des pools (zpool) et types de vdevs (Mirror/RAID1, RAID10, RAIDZ).
• Fonctionnalités avancées ZFS : compression transparente (ZSTD), intégrité des données (scrub) et instantanés (snapshots).
• Raccordement d'un stockage réseau externe partagé (serveur NAS NFS d'entreprise et baies iSCSI).
• Attribution des rôles de stockage (disques VM, conteneurs, images ISO, templates, archives de sauvegarde).

Atelier pratique : Création d'un pool de stockage ZFS avec compression activée et interconnexion d'un datastore NFS distant.

Cas métier : Provisionnement d'un stockage LVM-Thin pour des charges applicatives exigeantes et configuration de seuils d'alerte d'espace libre.

Compétence acquise : Être en mesure d'architecturer, de dimensionner et de sécuriser les différents niveaux de stockage d'un hyperviseur.

Livrable : Une infrastructure de stockage opérationnelle combinant pool ZFS local à haute tolérance de panne et datastore distant pour les ressources partagées.

Objectif : Créer, optimiser et administrer des machines virtuelles d'entreprise sous KVM/QEMU.

• Fonctionnement de l'hyperviseur KVM (Kernel-based Virtual Machine) et rôle de l'émulateur QEMU.
• Création guidée pas à pas de machines virtuelles (systèmes Windows Server et distributions Linux).
• Optimisation du matériel virtuel : profil processeur (Host vs kvm64), contrôleur VirtIO SCSI et interfaces réseau VirtIO.
• Installation et paramétrage indispensable de l'agent invité (QEMU Guest Agent) : synchronisation du cache, gel des flux et remontée IP.
• Pilotage des consoles graphiques d'administration : technologies NoVNC, SPICE et xterm.js.
• Gestion des gabarits (Templates) et stratégies de clonage (Full Clone vs Linked Clone).
• Création, gestion et restauration de snapshots de machines virtuelles.

Atelier pratique : Création d'une machine virtuelle Linux avec pilotes paravirtualisés VirtIO, validation du QEMU Guest Agent et conversion en Template d'or.

Cas métier : Déploiement accéléré de trois serveurs de production par clonage lié (Linked Clone) avec personnalisation réseau.

Compétence acquise : Maîtriser le cycle de vie complet, l'optimisation des performances et l'industrialisation des machines virtuelles KVM.

Livrable : Deux machines virtuelles pleinement opérationnelles et optimisées (Linux et Windows) et un template de référence prêt à l'emploi.

Objectif : Exploiter la technologie des conteneurs Linux LXC pour démultiplier la densité applicative.

• Principes de la conteneurisation système LXC : namespaces, cgroups et partage direct du noyau de l'hôte.
• Analyse comparative approfondie KVM vs LXC : comparaison de l'empreinte mémoire, des temps de boot et des niveaux d'isolation.
• Gestion de la bibliothèque de modèles de conteneurs (Templates CT officiels et appliances TurnKey Linux).
• Création et dimensionnement d'un conteneur LXC : allocation des cœurs CPU, quotas de RAM, swap et disques racine.
• Sécurité et privilèges : conteneurs non privilégiés (Unprivileged) vs privilégiés (Privileged) et mappage des UID/GID.
• Configuration des points de montage (Bind Mounts) pour partager des volumes de stockage hôte avec le conteneur.

Atelier pratique : Déploiement d'un conteneur LXC non privilégié hébergeant un serveur web Nginx, limitation fine des ressources et test de bascule.

Cas métier : Remplacement d'une machine virtuelle applicative consommatrice par un conteneur LXC allégé, réduisant l'empreinte mémoire de 85 %.

Compétence acquise : Savoir orchestrer des conteneurs légers LXC sécurisés et dimensionnés au plus juste des besoins métiers.

Livrable : Un conteneur LXC opérationnel, sécurisé, hébergeant un service applicatif actif et mesuré en charge.

Objectif : Mettre en œuvre la stratégie de sauvegarde d'entreprise, automatiser les reprises et durcir l'administration quotidienne.

• Mécanisme de sauvegarde intégré VZDump : modes de sauvegarde (Snapshot, Suspend, Stop) et formats d'archivage (Zstandard).
• Planification automatisée des tâches de sauvegarde et définition des règles de rétention d'entreprise (Keep-Last, Daily, Weekly).
• Procédures de restauration d'urgence d'une VM ou d'un conteneur (restauration à l'identique ou sous un nouvel ID).
• Présentation de Proxmox Backup Server (PBS) : déduplication globale à la source, chiffrement de bout en bout et immutabilité anti-ransomware.
• Gestion des utilisateurs et des habilitations (RBAC) : royaumes d'authentification (Linux PAM, Proxmox VE, Active Directory/LDAP), rôles prédéfinis et droits sur mesure.
• Sécurisation des accès administratifs : activation de l'authentification multifacteur (2FA TOTP / WebAuthn) pour les comptes administrateurs.
• Supervision des performances, alertes par email et exploitation des journaux d'événements système (Journalctl, Syslog).

Atelier pratique : Configuration d'une tâche de sauvegarde programmée avec rétention, simulation d'un sinistre sur une VM et restauration complète réussie.

Cas métier : Création d'un compte utilisateur dédié pour une équipe technique avec droits restreints (démarrage/arrêt de ses propres VMs sans accès à l'hyperviseur) et obligation 2FA.

Compétence acquise : Maîtriser la protection des données, la résilience opérationnelle et la gestion fine des accès sur un parc Proxmox VE.

Livrable : Une politique de sauvegarde automatisée opérationnelle et une console d'administration sécurisée par profilage des rôles et 2FA.

Objectif : Réutiliser en autonomie l'installation de l'hôte, les réseaux virtuels, le stockage, les machines virtuelles et les conteneurs LXC des journées ESSENTIEL.

• Réactiver les acquis des journées ESSENTIEL : rappel visuel et quiz sur l'architecture de Proxmox VE, les ponts réseau, le pare-feu, les types de stockage, les machines virtuelles KVM et les conteneurs LXC.
• Construire une infrastructure complète sur un hôte : réseaux séparés, stockage adapté, machines virtuelles et conteneurs selon les besoins.

Atelier pratique : Entraînement en binômes : choisir entre machine virtuelle et conteneur pour une liste de services, justifier les choix et les confronter avec un autre binôme.

Cas métier : L'infrastructure d'une PME (cas fil rouge) - Les participants configurent les réseaux et le stockage de l'hôte, déploient les serveurs de la PME en machines virtuelles et en conteneurs, appliquent les règles de pare-feu, puis présentent leur infrastructure au groupe.

Compétence acquise : Savoir construire en autonomie une infrastructure virtualisée complète sur Proxmox VE.

Livrable : L'infrastructure virtualisée et sa documentation, construites avec les mémos des journées ESSENTIEL.

Objectif : Mettre à l'épreuve les sauvegardes, la restauration, la supervision et les droits d'accès face à un incident réaliste.

• Retour sur les sauvegardes, la restauration d'urgence, la supervision et la gestion des droits vus les jours précédents.
• Restaurer rapidement un service et vérifier que chacun n'a accès qu'à ce qui le concerne.

Atelier pratique : Exercice guidé : restaurer une machine virtuelle à partir de sa sauvegarde et mesurer le temps nécessaire, puis comparer entre participants.

Cas métier : La panne du serveur de fichiers (cas fil rouge) - Le formateur provoque la perte d'une machine critique. Chaque participant la restaure, vérifie les données, contrôle les droits des utilisateurs et présente sa procédure de reprise au groupe.

Compétence acquise : Savoir restaurer un service virtualisé et sécuriser les accès à l'infrastructure.

Livrable : La procédure de reprise documentée, issue des modèles des journées ESSENTIEL.