Créer son Lab Pentest avec Proxmox : Guide Complet

L'entraînement en cybersécurité offensive nécessite un environnement réaliste et sacrificiel que les plateformes en ligne (Hack The Box, TryHackMe) ne peuvent pas pleinement remplacer. Un lab local offre un contrôle total sur l'infrastructure : réseau personnalisable avec VLANs et segmentation, Active Directory multi-forêts reproduisant les architectures d'entreprise complexes, machines vulnérables configurables à volonté, et aucune limitation de bande passante ou de durée de session. Proxmox VE domine le marché des hyperviseurs open source avec plus de 800 000 installations actives et une communauté technique francophone particulièrement active. L'investissement initial de 500 à 800 euros en matériel reconditionné (serveur Dell PowerEdge ou HP ProLiant) permet de monter un lab hébergeant 15 à 20 machines virtuelles simultanément, suffisant pour reproduire un réseau d'entreprise complet avec Active Directory, serveurs web, bases de données et postes de travail vulnérables. Le guide de hardening Proxmox sécurise la plateforme hôte elle-même. Le déploiement automatisé Proxmox avec IaC détaille les techniques Terraform/Ansible utilisées pour l'automatisation du lab. Les frameworks C2 comme Mythic et Sliver trouvent leur terrain d'exercice naturel dans ce lab. Les exercices Purple Team sur AD exploitent directement cette infrastructure pour des scénarios offensifs et défensifs réalistes. Le dimensionnement suit les recommandations du guide Proxmox officiel adaptées aux besoins spécifiques d'un lab de sécurité offensive, et les architectures de lab sont inspirées des environnements d'entraînement décrits par l'Offensive Security dans leurs certifications OSCP et OSEP.

Dimensionnement hardware et budget

Le dimensionnement optimal d'un lab pentest dépend du nombre de machines virtuelles simultanées et de la complexité des scénarios. Un lab basique (Kali + 3-5 machines cibles) fonctionne avec 16 Go de RAM et un processeur 4 cœurs. Un lab intermédiaire (AD vulnérable + 10 machines) nécessite 32 Go de RAM et 8 cœurs. Un lab avancé (multi-forêts AD + réseau segmenté + 20 VM) exige 64 Go de RAM et 16 cœurs. Le stockage SSD NVMe est indispensable pour les performances d'E/S : les machines Windows avec Active Directory consomment beaucoup d'IOPS lors du démarrage et de l'authentification.

Le budget matériel optimisé exploite le marché du matériel serveur reconditionné. Un Dell PowerEdge R730 avec 2× Xeon E5-2680 v4 (28 cœurs), 64 Go de RAM DDR4 et 2× SSD 480 Go se trouve entre 400 et 600 euros sur les plateformes de reconditionné. L'ajout d'un SSD NVMe de 1 To (80 euros) via adaptateur PCIe complète la configuration. Cette approche offre des performances supérieures à un PC gaming à 2 000 euros pour l'usage spécifique de la virtualisation intensive nécessaire au lab de pentest.

Architecture réseau segmentée

L'architecture réseau du lab utilise les bridges virtuels de Proxmox pour créer des segments isolés. Le bridge vmbr0 connecte Proxmox au réseau physique pour l'administration. Le bridge vmbr1 crée le réseau interne du lab sans accès au réseau physique. Une VM pfSense fait office de routeur/pare-feu entre les segments, contrôlant l'accès internet du lab (nécessaire pour les mises à jour) tout en empêchant toute communication non autorisée vers le réseau de production. Cette architecture garantit que les exploits lancés dans le lab ne peuvent pas affecter le réseau domestique ou professionnel.

La segmentation par VLANs reproduit l'architecture d'un réseau d'entreprise réel avec un VLAN serveurs (10.0.1.0/24 pour l'AD, DNS, DHCP), un VLAN postes de travail (10.0.2.0/24 pour les clients Windows), un VLAN DMZ (10.0.3.0/24 pour les serveurs web vulnérables) et un VLAN attaquant (10.0.4.0/24 pour Kali et les outils offensifs). Cette segmentation permet de pratiquer le pivoting et les mouvements latéraux dans un environnement réaliste où les routes réseau reproduisent fidèlement les contraintes rencontrées lors des vrais engagements de pentest.

Active Directory vulnérable : DVAD et GOAD

DVAD (Damn Vulnerable Active Directory) et GOAD (Game of Active Directory) sont les deux projets open source de référence pour déployer un environnement AD vulnérable automatiquement. GOAD déploie un lab complet avec 5 machines virtuelles (2 DC, 3 serveurs), des vulnérabilités configurées (Kerberoasting, AS-REP Roasting, délégation non contrainte, ACL abuse, ADCS misconfiguration) et des utilisateurs pré-créés avec des mots de passe faibles. Le déploiement complet via Ansible prend 45 minutes et produit un environnement prêt à l'exploitation offensive.

L'automatisation Terraform/Ansible permet de créer, détruire et recréer le lab en 15 minutes. Le fichier Terraform définit les machines virtuelles (template, réseau, stockage) et Ansible configure les rôles AD, les vulnérabilités et les utilisateurs. Ce workflow est essentiel car les exercices offensifs (exploitation de vulnérabilités, post-exploitation, persistance) modifient l'état du lab de manière irréversible. La reconstruction automatisée garantit un état initial propre pour chaque nouvelle session d'entraînement sans intervention manuelle.

Conclusion

Un lab pentest sur Proxmox VE offre un environnement d'entraînement réaliste et contrôlé pour un investissement modeste de 500 à 800 euros. L'architecture réseau segmentée, l'Active Directory vulnérable automatisé et l'automatisation Terraform/Ansible créent un outil d'apprentissage supérieur aux plateformes en ligne pour la pratique de la sécurité offensive.