Mon homelab : trois sites reliés par VPN

Je voulais une messagerie « comme iMessage » (photos, vidéos, vocaux), avec des appels de groupe à 4 ou 5, pour moins de dix proches et avec 4 à 5 Go de RAM disponibles sur le NAS. J'ai comparé Matrix à cinq autres solutions, puis déployé Synapse, PostgreSQL et LiveKit en Docker Compose sur le TrueNAS, avec un dataset ZFS par composant.

Premier piège : mon appel de test « réussi » passait en fait par le VPN, comme le montraient les journaux de LiveKit. Je l'ai refait en 4G, VPN et Wi-Fi coupés, pour vérifier que le chemin public fonctionnait vraiment.

Côté sécurité, la fédération et les inscriptions sont fermées, et l'API d'administration est bloquée depuis Internet. J'ai remplacé l'interface d'administration web par la ligne de commande en SSH : un service et un port exposé en moins. Avant de migrer l'authentification vers MAS (OIDC), j'ai pris un instantané ZFS et une sauvegarde de la base : 10 contrôles sur 10 au vert, comptes et messages conservés.

Résultat : des appels vidéo chiffrés de bout en bout, pour moins de 300 Mo de RAM pendant un appel. Encore ouvert : le son ne passe pas entre deux mobiles hors du réseau local, une capture réseau est prévue.

Ce que j'en retiens : un test qui marche ne prouve rien tant qu'on n'a pas vérifié par où passe le trafic.

J'ai confié le GPU du mini-PC à la VM multimédia (passthrough) pour le transcodage. Dès que le transcodage tournait en continu, la carte réseau Intel se bloquait et la machine devenait injoignable.

J'ai d'abord désactivé la gestion d'énergie PCIe (ASPM) et ajouté un script, lancé chaque minute par cron, qui relançait l'interface en cas de blocage. Il s'est déclenché trois fois en moins d'une heure : à chaque fois, le réseau revenait puis retombait 20 à 25 minutes plus tard.

J'ai alors vérifié que la carte et le GPU étaient dans des groupes IOMMU différents, puis épinglé leurs interruptions sur deux cœurs distincts (service systemd) et désactivé l'Energy Efficient Ethernet de la carte.

Résultat : une nuit complète de transcodage sans blocage.

Limite : j'ai épinglé les interruptions et désactivé l'Energy Efficient Ethernet en même temps, donc je ne sais pas lequel des deux a réglé le problème.