Challenge Réseau : un parc privé qui sort sur Internet, sans SSH direct

Ce challenge ne vous donne aucune commande : il vous donne un besoin, six contraintes et un budget, et vous demande la solution avec ses preuves. Il s'adresse à qui a suivi les leçons VPC, IPAM, filtrage et Public Gateway et veut savoir s'il saurait les enchaîner sans la page sous les yeux. Vous en repartirez avec une architecture que vous avez conçue, des preuves qu'un collègue peut relire, un coût horaire calculé puis vérifié, et un compte revenu à zéro. Le corrigé existe, replié en bas de page : ne l'ouvrez qu'après avoir livré, ou après une heure de blocage réel.

Ce que vous allez faire

Concevoir un parc de deux Instances sans adresse publique, à partir du besoin.
Prouver la sortie Internet, l'accès bastion et l'exposition d'un seul port.
Chiffrer le coût horaire avant de créer, et le confronter au relevé après.
Détruire dans l'ordre des dépendances, et le prouver par des listes vides.

Le besoin

Une petite équipe fait tourner un outil interne sur deux machines : un front qui sert l'outil, un worker qui traite les tâches en arrière-plan. Personne ne veut plus voir ces machines avec une adresse publique : la dernière fois, un scanner a trouvé le port SSH du worker en moins d'une heure. Les deux machines doivent pourtant continuer à télécharger leurs mises à jour, l'équipe doit pouvoir s'y connecter en SSH pour intervenir, et une démonstration exige que l'outil soit joignable depuis Internet sur un seul port, le temps de la démo.

Rien n'a besoin de survivre à la session : le parc se construit, se prouve et se détruit le même jour. Ce qui compte est la méthode, pas la durée de vie.

Les contraintes

Chaque contrainte a une preuve associée, et c'est la preuve qui compte, pas la déclaration. Une contrainte que vous croyez respectée sans pouvoir la montrer compte pour zéro.

#	Contrainte	Preuve attendue
1	Aucune des deux Instances ne porte d'adresse publique, ni à la création ni après	la liste des serveurs, où le champ d'adresse publique est vide pour les deux
2	Les deux adresses privées sont réservées à l'avance et choisies par vous, pas laissées au DHCP	la liste des adresses du réseau privé dans IPAM, avec la ressource attachée à chacune
3	Les deux machines sortent sur Internet sans adresse propre	depuis chacune, l'adresse que voit Internet est celle de la passerelle
4	L'administration passe par un bastion, jamais par une adresse sur les machines	une connexion SSH qui rebondit par la passerelle, et le refus d'une connexion directe
5	Le `front` est joignable depuis Internet sur un seul port, le `worker` sur aucun	une requête depuis l'extérieur qui aboutit sur le port publié, et une qui échoue sur tout autre
6	Le coût horaire de l'ensemble ne dépasse pas 0,05 €	votre calcul avant création, à partir des prix relevés par la CLI, puis la consommation lue après

Une septième exigence ne se prouve pas par une commande mais par une phrase : le VPC porte une Network ACL en politique par défaut drop, et vous devez expliquer pourquoi elle ne coupe rien dans cette architecture, et ce qu'il faudrait y ajouter le jour où un second réseau privé apparaît.

Ce que vous devez livrer

Un dossier de six éléments, lisibles par quelqu'un qui n'a pas assisté à la construction. Le format est libre, le contenu ne l'est pas.

L'architecture, en un schéma ou un tableau : le VPC, le réseau privé et son CIDR, les deux adresses privées choisies, la passerelle, le port publié, et pour chaque brique la raison de son gabarit.
L'inventaire des ressources créées, avec leur identifiant, dans l'ordre de création.
Les six preuves du tableau des contraintes, sous forme de sorties de commandes recopiées, pas de captures d'écran.
Le coût : votre calcul horaire avant création, poste par poste, avec la commande qui vous a donné chaque prix, puis la ligne de consommation lue après la session.
La destruction, dans l'ordre que les dépendances imposent, et les six listes vides qui la prouvent : serveurs, adresses d'Instances, passerelles, adresses de passerelles, réseaux privés, VPC.
Trois réponses écrites, en quelques lignes chacune : pourquoi la Network ACL ne coupe rien ici ; pourquoi un groupe de sécurité ne protège pas le worker dans cette architecture ; ce qui se passe pour l'accès SSH si quelqu'un retire le rattachement de la passerelle au réseau privé.

Comment vous auto-évaluer

La grille se lit ligne par ligne, et une ligne à zéro sur les contraintes 1, 4 ou 5 rend le reste secondaire : une machine exposée par erreur n'est pas « presque » isolée.

Critère	Ce qui vaut les points	Points
Contraintes 1 à 5 prouvées	chaque preuve est une sortie de commande, datée, reliée à la contrainte	5 × 2
Budget tenu	calcul avant, relevé après, écart expliqué s'il y en a un	2
Ordre de destruction	aucune erreur de dépendance, ou l'erreur est citée avec sa cause	2
Six listes vides	les six familles relistées, pas seulement les serveurs	2
Les trois réponses	chacune s'appuie sur un fait d'une leçon, pas sur une intuition	3
Sobriété	aucune ressource créée qui ne serve une contrainte	1

Seuil : 14 sur 20. En dessous, rejouez le challenge une semaine plus tard, sans relire le corrigé entre-temps. Au-dessus, vous êtes prêt pour le lab Load Balancer, qui ajoute la survie à la panne d'une machine.

La solution, repliée

N'ouvrez ce bloc qu'après avoir livré, ou après une heure de blocage réel. Il ne contient aucune commande nouvelle : chaque geste renvoie à la leçon qui l'a validée en lab, avec l'ancre exacte. Si vous cherchez une commande, c'est là qu'elle est, et c'est là que vous devez la retrouver.

Le plan de construction, les pièges et l'ordre de destruction

Ordre de création. Le VPC d'abord, puis le réseau privé avec un CIDR que vous choisissez, par exemple un /24 : la leçon VPC montre les deux commandes et rappelle que quatre adresses par bloc ne sont pas attribuables, la première utilisable étant .2 (créer un VPC et un Private Network). Réservez ensuite les deux adresses privées dans IPAM, avec address= pour imposer la vôtre, avant de créer les machines (réserver une IP privée).

Les deux Instances se créent sans adresse publique, puis se rattachent au réseau privé par une carte réseau privée qui reçoit l'adresse réservée : c'est la troisième étape de la leçon Public Gateway, et le piège y est nommé, l'adresse privée appartient à la carte réseau, pas au serveur (construire l'ensemble, puis où trouver l'adresse privée).

La passerelle vient ensuite, gabarit VPC-GW-S avec son adresse publique réservée à part, puis son rattachement au réseau privé avec la traduction d'adresses et le bastion activé sur le port de votre choix entre 1024 et 59999. La leçon insiste sur deux points que le challenge teste : l'utilisateur du rebond est bastion, pas root, et les clés SSH du Projet ne sont copiées qu'à l'activation (prouver que la sortie fonctionne).

Le port publié est une règle PAT : port public de votre choix vers l'adresse privée du front et son port applicatif. Une seule règle, vers une seule machine, et le worker n'en reçoit aucune : c'est exactement la limite que la carte de l'exposition décrit avant de passer au load balancer (publier un service interne sans lui donner d'adresse, règle PAT ou load balancer).

La Network ACL se pose sur le VPC en politique par défaut drop, en sauvegardant la liste avant, parce que la commande de réglage écrase tout (les quatre pièges du CLI). Elle ne coupe rien ici parce qu'elle ne filtre qu'entre réseaux privés, et que le parc n'en compte qu'un : la passerelle, les deux machines et leurs flux vivent dans le même réseau, où rien ne filtre (que ne peut pas filtrer une Network ACL). Le jour où un second réseau apparaît, chaque flux autorisé demande sa règle de retour, source et destination permutées, parce que la liste est stateless.

Le groupe de sécurité ne protège pas le worker parce qu'il filtre le trafic public, et que le worker n'a pas d'adresse publique : la seule protection entre les deux machines est le pare-feu système de chacune (qui filtre quoi, exactement).

Retirer le rattachement coupe la sortie Internet et le bastion en même temps, donc l'accès d'administration, pas seulement les mises à jour (que se passe-t-il si on retire le rattachement).

Le budget se tient avec une passerelle VPC-GW-S et son adresse, deux DEV1-S et aucune Flexible IP : relevés le 10 septembre 2026 en fr-par-1, 0,026 € pour la passerelle, 0,005 € pour son adresse, et environ 0,009 € par Instance, soit 0,049 € par heure. Une Flexible IP sur une machine ajoute 0,005 € et viole la contrainte 1 avant même de dépasser le budget.

L'ordre de destruction est celui des dépendances, du plus dépendant au moins dépendant : la règle PAT, le rattachement de la passerelle, la passerelle, son adresse publique, les deux Instances, les deux adresses réservées dans IPAM, le réseau privé, le VPC. Deux refus sont normaux et instructifs : le réseau privé refuse d'être supprimé tant qu'il porte une ressource ou une adresse réservée, alors que la passerelle accepte de disparaître même rattachée (nettoyer, leçon Public Gateway et nettoyer, leçon IPAM).

À retenir

Un challenge se livre avec des preuves, sorties de commandes datées, pas avec des captures ni des déclarations.
Aucune adresse publique sur les machines : la sortie passe par la traduction d'adresses de la passerelle, l'entrée par une règle PAT, l'administration par le bastion.
Les adresses privées se réservent dans IPAM avant de créer, avec address=, et la première utilisable d'un bloc est .2.
Une Network ACL ne filtre qu'entre réseaux privés : sur un seul réseau, elle ne coupe rien, et chaque flux autorisé demande sa règle de retour.
Un groupe de sécurité ne protège pas une machine sans adresse publique : à l'intérieur du réseau, seul le pare-feu système filtre.
0,049 € par heure pour deux DEV1-S, une VPC-GW-S et son adresse, relevés le 10 septembre 2026 ; une Flexible IP oubliée après le nettoyage coûte plus que le parc.
La destruction suit les dépendances : règle PAT, rattachement, passerelle, adresse, Instances, adresses IPAM, réseau privé, VPC ; puis six listes vides.

Pour aller plus loin

Sécurité et identité Scaleway : la carte avant de construire : le volet suivant reprend ce parc et lui retire le dernier droit de trop, celui de la clé API qui l'a créé.
Terraform : provisionner, et surtout détruire : rejouer ce challenge en code, et découvrir ce que destroy sait et ne sait pas défaire.

Ressources externes

Documentation Public Gateways : la référence de la traduction d'adresses, des règles PAT et du bastion.
Documentation VPC : Private Networks, IPAM et Network ACL, avec les dates de disponibilité de chaque fonction.