Ceci est une ancienne révision du document !
Premières étapes dans la mise en place d'un serveur
Cet article concerne les premières choses à faire lorsque vous venez d'installer ou de réceptionner un serveur. Il est tout beau, tout neuf, tout vide, en dehors du système de base. Quel que soit son usage (hébergement de sites web, d'un serveur de jeu, de mails, etc…), il faut réaliser quelques opérations pour démarrer sur de bonnes bases et éviter d'avoir des soucis par la suite.
Dans ce tutoriel, nous prenons l'exemple d'une VPS sur laquelle est installé Debian Jessie. C'est facilement adaptable à un serveur dédié, un serveur hébergé en local ou une VM.
Pour se connecter en console :
ssh root@AdresseIP
Root, user, dépôts et détails de confort
Dans les premières choses à voir :
- Bidouiller le bashrc pour quelques fonctionnalités pratiques
- S'assurer qu'on a les dépôts qu'il nous faut et que tout est à jour
- Changer le mot de passe root
- Configurer un utilisateur “non root”
Si vous êtes à l'aise avec vim, il est installé de base. Sinon, nano est un éditeur de texte un peu plus facile à utiliser pour les néophytes, car les raccourcis sont affichés et son comportement est assez proche des éditeurs de textes plus classiques.
apt-get update apt-get install nano
Bashrc
Bien que ce ne soit pas le plus urgent, modifier un peu le bashrc va rendre la suite beaucoup plus confortable et éviter quelques énervements.
nano .bashrc
Décommentez les lignes suivantes pour avoir les couleurs lorsque vous utilisez “ls”, ce qui permet de mieux repérer dossiers, fichiers et leurs droits.
export LS_OPTIONS='--color=auto' eval "`dircolors`" alias ls='ls $LS_OPTIONS' alias ll='ls $LS_OPTIONS -l' alias l='ls $LS_OPTIONS -lA'
Il arrive que la complétion automatique coince, entre autre lorsqu'on fait apt-get inst[tab]
.
C'est souvent lié au paquet bash-completion
qui n'est pas installé.
apt-get install bash-completion
Ajoutez ensuite les lignes suivantes dans .bashrc
:
# Autocompletion if [ -f /etc/bash_completion ]; then . /etc/bash_completion fi
Dépôts
Ensuite, allons voir ce qu'on a actuellement dans les dépôts :
nano /etc/apt/sources.list
Si le résultat est le suivant, parfait. Sinon, ajoutez “contrib” et “non-free”, ça simplifie la vie.
deb http://ftp.debian.org/debian jessie main contrib non-free deb http://ftp.debian.org/debian jessie-updates main contrib non-free deb http://security.debian.org jessie/updates main contrib non-free
Ensuite, ajoutons un autre dépot bien utile. Ce n'est pas obligatoire : les paquets sont potentiellement moins stable et plus à jour. On y trouve aussi quelques paquets utiles, comme pass :
nano /etc/apt/sources.list.d/backports.list
Mettre dans ce fichier :
deb http://http.debian.net/debian jessie-backports main
Ensuite, on met à jour tout ça
apt-get update apt-get upgrade
Quelques logiciels utiles
apt-get install cron logrotate
Cron permet de configurer des actions de façon automatique.
Logrotate évite que les logs ne saturent la mémoire. Suivre les liens pour leurs configurations.
Modifier les locales
Si les accents ne passent pas, il faut reconfigurer les locales :
dpkg-reconfigure locales
Une liste de locales apparaît, cochez les FR si ce n'est pas déjà fait puis validez. Ensuite, indiquez que vous préférez utiliser utf-8, comme ça tout sera lisible. Voir aussi Debian et UTF8.
Utilisateurs et mot de passe
Si vous avez une VPS ou un serveur dédié, le mot de passe de root vous a été fourni en clair dans un mail. Donc, c'est pas sécu.
Il faut changer ce mot de passe. Comme on parle de root, donc d'un utilisateur qui peut tout faire sur votre machine, il faut un mot de passe très costaud. Utilisez le générateur de Teampass, ou le générateur de votre choix, et noter ce mot de passe de façon sécurisée et cryptée (par exemple, dans Teampass).
# passwd Enter new UNIX password: Retype new UNIX password: passwd: password updated successfully
Ensuite, on va créer un utilisateur basique. Cet utilisateur ne sera pas sudoers. Pour des raisons de sécurité, on ne pourra se connecter au serveur que via cet utilisateur (et pas directement en root), puis passer ensuite en root. Cela complique l'accès à root lors d'un piratage.
adduser lambda
Donner lui un vrai mot de passe aussi ; de toute façon vous n'aurez pas souvent à aller le chercher…
Ajoutez lambda dans le groupe www-data, ça sera toujours plus pratique pour la suite.
adduser lambda www-data
Sécurité de base
- Verrouiller qui peut se connecter au serveur, et comment.
- Installation de quelques logiciels permettant de surveiller les comportements suspects.
Pour aller à l'essentiel sans tout relire, nous allons commencer par permettre de nous connecter au serveur, via l'utilisateur lambda, grâce à notre clé ssh (que vous avez déjà généré, sinon reportez-vous au tutoriel correspondant).
Depuis votre ordinateur personnel :
ssh-copy-id -i ~/.ssh/id_rsa.pub lambda@monserveur.org
Entrez le mot de passe de “lambda”.
Connectez-vous ensuite pour vérifier que votre clé a bien été prise en compte :
ssh lambda@monserveur.org cd .ssh more authorized_keys
Ensuite passez en root, et désactivez la possibilité de se connecter directement au compte root en ssh.
su nano /etc/ssh/sshd_config
Cherchez et modifiez la ligne suivante :
PermitRootLogin no
On peut aussi permettre l'option :
PermitRootLogin without-password StrictModes yes
Cela veut dire qu'on peut se connecter directement en tant que root à condition d'avoir renseigné sa clé ssh.
Ajoutez aussi la ligne suivante, qui permettra uniquement aux utilisateurs listés de tenter de se connecter en ssh :
AllowUsers lambda root
Relancer le service SSH après ces modifications :
/etc/init.d/ssh restart
On peut sécuriser plus finement via le fichier ssh_config ; de mauvais paramètres peuvent aussi vous empêcher de vous connecter. Plus d'infos ici. Ce qui est présenté dans ce tutoriel permet une sécurité basique mais déjà correcte.
Fail2ban
Fail2ban permet de surveiller les tentatives de connexion ratées. Il est un peu technique à configurer, mais bien documenté. Il permet de bloquer les attaques destinées à craquer un mot de passe en essayant toutes les combinaisons possibles (attaque par bruteforce).
Voir l'article complet : fail2ban
Rkhunter
Il peut être utile d'installer Rkhunter après avoir installé vos logiciels préférés. En effet, Rkhunter va vous signaler les changements sur votre système et tout ce qui lui semble louche, comme l'installation de trucs…
Pour installer et configurer RKhunter, voir la doc d'Ubunutu, très complète. Nous avons aussi une documentation complémentaire qui résume l'essentiel.
Nom de domaine, DNS, SSH
À compléter / pointer vers les tutos intéressants.
Pour résumer :
- Configurer son DNS afin que le nom de domaine pointe vers notre serveur
Pour le plaisir
- Changer le nom de la machine
- Change le message à la connexion
Si vous avez une VPS ou un dédié, vous avez peut-être un début de ligne en console qui ressemble à “root@vps158745547”. C'est moche et surtout, c'est vite fait de s'emmêler les pinceaux si vous avez plusieurs consoles ouvertes sur plusieurs VPS.
Pour renommer ce qu'il y a derrière @, il faut changer l'hostname.
nano /etc/hostname
Mettez le nom que vous voulez.
Ensuite, faites
hostname MonNom.localdomain
Remplacez “MonNom” par ce que vous avez mis dans hostname. Déconnectez-vous et reconnectez-vous, ça devrait être pris en compte. Sinon, redémarrez (mais en théorie y'a pas besoin).
Lorsque vous vous connectez à votre serveur, un message vous accueille, qui ressemble généralement à ça :
The programs included with the Debian GNU/Linux system are free software; the exact distribution terms for each program are described in the individual files in /usr/share/doc/*/copyright.
Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent permitted by applicable law. Last login: Mon Dec 28 06:56:13 2015 from 100-200-100-100.dsl.sfr.fr
Ça manque de poésie.
Pour modifier ce texte :
nano /etc/motd
Mettez ce que vous voulez
Installer un certificat SSL
Bien que ce ne soit pas obligatoire, cela fait partie de la sécurité. Les échanges entre votre serveurs et ceux qui y accèdent ne circuleront pas en clair.
La page Https et certificat ssl détaille les différentes possibilités.
VPS d'OVH : régler le temps avant déconnexion
Ceci est un test, je ne suis pas sûre que ce soit le bon truc mais… je tente et je note.
— zatalyz 2016/02/15 16:33
Lorsqu'on accède par ssh à une VPS d'OVH, au bout d'un certain temps elle donne l'impression de “bloquer”, sans pour autant couper la connexion de façon claire. Cela pourrait être lié à la gestion ssh des connexions.
Éditez le fichier /etc/ssh/sshd_config
sur la VPS. Changez ou ajouter les deux paramètres suivants :
ClientAliveInterval 900 ClientAliveCountMax 0
- ClientAliveCountMax indique le nombre total de message “checkalive” envoyé par le serveur ssh sans recevoir toute réponse du client ssh. La valeur par défaut est 3. 900 correspond à 15 minutes.
ClientAliveInterval indique le temps d'inactivité. Après x secondes, le serveur ssh enverra un message au client demandant une réponse. La valeur par défaut est 0 : le serveur n'enverra pas de message au client pour vérifier.
Sources :