Auto Hebergement - Historique des versions

Jpinon : /* Gestion de la sécurité des utilisateurs */

2025-02-12T20:18:56Z

Gestion de la sécurité des utilisateurs

← Version précédente		Version du 12 février 2025 à 20:18
Ligne 32 :		Ligne 32 :

	=== Gestion de la sécurité des utilisateurs ===		=== Gestion de la sécurité des utilisateurs ===

			==== Le mot de passe automatique pour sudo ====
			Sur les OS debian des raspberri Pi le user principal est sudo ALL sans mot de passe.

			Ce n'est pas forcément souhaitable. EN revanche pour le retirer c'est assez subtil!

			Avec visudo on a la ligne :

			<code>%sudo ALL=(ALL:ALL) ALL</code>

			donc les membres du groupe sudo ont un acces root total mais normalement avec un mot de passe qui sera demandé.

			Mon compte administrateur crée à l'installation est bien dans ce groupe alors.... pourquoi ça ne demande pas de mot de passe?

			Ca vient d'un ligne un peu plus bas :

			<code>@includedir /etc/sudoers.d</code>

			Que trouve-t-on dedans?<syntaxhighlight lang="text">
			ls -l /etc/sudoers.d/
			total 24
			-r--r----- 1 root root 36 Apr 29 2019 010_at-export
			-r--r----- 1 root root 44 Jun 19 2024 010_dpkg-threads
			-r--r----- 1 root root 31 Jul 25 2023 010_global-tty
			-r--r----- 1 root root 31 Feb 12 20:34 010_pi-nopasswd
			-r--r----- 1 root root 211 Mar 18 2022 010_proxy
			-r--r----- 1 root root 1096 Jun 27 2023 README

			</syntaxhighlight>Ha ha on y trouve un fichier <code>010_pi-nopasswd</code>qui est read-only pour... tout le monde.

			Il contient :

			<code>admin ALL=(ALL) NOPASSWD: ALL</code>

			C'est donc là!

			Il faut :

			* Changer le mode : <code>sudo chmod u+w 010_pi-nopasswd</code>
			* Editer le fichier : <code>sudo vi 010_pi-nopasswd</code> et commenter la ligne
			* Repasser le fichier en mode read-only : <code>sudo chmod u-w 010_pi-nopasswd</code> et Miracle ça demande le mot de passe!

	==== Loge de connexions ====		==== Loge de connexions ====

Jpinon : /* Ajouter les logs de connexions */

2025-02-12T20:03:35Z

Ajouter les logs de connexions

@@ Ligne 31 : / Ligne 31 : @@
 == Installations de base ==
-=== Ajouter les logs de connexions ===
+=== Gestion de la sécurité des utilisateurs ===
 Pour une raison étrange l'installation de base de linux pour Raspberry PI ne comporte pas les logs de connexion. C'est assez dommageable pour en contrôler les accès!
@@ Ligne 49 : / Ligne 51 : @@
 Ensuite on relance le service:<syntaxhighlight lang="bash">
 sudo service ssh restart
-</syntaxhighlight>On trouve alors un répertoire
+</syntaxhighlight>On trouve alors un fichier /var/log/auth.log contient les logs de connexions. <syntaxhighlight lang="text">
 === Fail2ban ===

Jpinon : /* Obtenir le certificat */

2025-02-10T19:09:53Z

Obtenir le certificat

← Version précédente		Version du 10 février 2025 à 19:09
Ligne 205 :		Ligne 205 :

	</syntaxhighlight>C'est fait il ne reste plus qu'à tester.		</syntaxhighlight>C'est fait il ne reste plus qu'à tester.

			En local : <syntaxhighlight lang="bash">
			curl https://127.0.0.1
			</syntaxhighlight>Nous réponds :<syntaxhighlight lang="text">
			curl: (60) SSL: no alternative certificate subject name matches target host name '127.0.0.1'
			More details here: https://curl.se/docs/sslcerts.html

			curl failed to verify the legitimacy of the server and therefore could not
			establish a secure connection to it. To learn more about this situation and
			how to fix it, please visit the web page mentioned above.

			</syntaxhighlight>et c'est normal puisque 127.0.0.1 n'est pas dans le CN du retificat!

			On force curl à ne pas vérifier le certificat avec <code>-k</code><syntaxhighlight lang="bash">
			curl -k https://127.0.0.1

			</syntaxhighlight>qui nous réponds:<syntaxhighlight lang="html">
			<html>
			<head>
			<title>Not secured</title>
			</head>
			<body>
			<h1>Not secured</h1>
			</body>
			</html>

			</syntaxhighlight>Ca marche.

			Maintenant on va ouvrir le port 443 du routeur et le rediriger vers notre serveur.

			maintenant de n'importe où :

			<code>curl <nowiki>http://principal.mondomaine.com</nowiki></code>

			Nous renvoie<syntaxhighlight lang="html">
			<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
			<html><head>
			<title>301 Moved Permanently</title>
			</head><body>
			<h1>Moved Permanently</h1>
			<p>The document has moved <a href="https://principal.mondomaine.com/">here</a>.</p>
			<hr>
			<address>Apache/2.4.62 (Debian) Server at principal.mondomaine.com Port 80</address>
			</body></html>
			</syntaxhighlight>Notre serveur a bien été configuré pour rediriger les requêtes http vers https.

			On change le fichier index.html<syntaxhighlight lang="bash">
			sudo vi /var/www/html/secured/index.html
			</syntaxhighlight>avec :<syntaxhighlight lang="html">
			<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
			<html>
			<head>
			<title>Secured</title>
			</head>
			<body>
			<h1>Secured</h1>
			</body>
			</html>

			</syntaxhighlight>Et enfin avec Chrome:

			[[Fichier:Index.html secured.png\|sans_cadre\|615x615px]]

			== Conclusion ==
			Nous avons un serveur sécurisé, accessible de l'extérieur avec un acces ssl et une acces http/https.

			On peut augmenter la sécurité en :

			* Désactivant le port forwarding du routeur pour ssh (22). L'administration ne sera alors possible que de l'interieur du LAN
			* Désactiver le port 80 mais on perds l'auto redirection en https.

			Maintenant on peut utiliser ce serveur pour connecter d'autres applications. Il suffira de réaliser une configuration en "reverse proxy".

Jpinon : /* Obtenir le certificat */

2025-02-10T18:35:10Z

Obtenir le certificat

@@ Ligne 106 : / Ligne 106 : @@
          # However, you must set it for any further virtual host explicitly.
          ServerName principal.mondomaine.com
          ServerAdmin webmaster@mondomaine.com
@@ Ligne 149 : / Ligne 150 : @@
 === Obtenir le certificat ===

Jpinon : /* Installation apache en https avec let's encrypt */

2025-02-10T18:18:45Z

Installation apache en https avec let's encrypt

← Version précédente		Version du 10 février 2025 à 18:18
Ligne 141 :		Ligne 141 :
	== Installation apache en https avec let's encrypt ==		== Installation apache en https avec let's encrypt ==
	Maintenant on va sécuriser tout ça.!		Maintenant on va sécuriser tout ça.!

			=== Installer les packages de base pour let's encrypt ===
			<syntaxhighlight lang="bash">
			sudo apt update
			sudo apt install certbot python3-certbot-apache
			</syntaxhighlight>A part un "yes" il n'y a rien à faire.

			=== Obtenir le certificat ===

Jpinon : /* Prérequis */

2025-02-10T17:37:02Z

Prérequis

← Version précédente		Version du 10 février 2025 à 17:37
Ligne 26 :		Ligne 26 :

	On peut également ajouter un utilisateur sans droits particuliers. Il y a déjà [[Ajouter/retirer utilisateur Linux\|une page]] pour ça.		On peut également ajouter un utilisateur sans droits particuliers. Il y a déjà [[Ajouter/retirer utilisateur Linux\|une page]] pour ça.

			Dans le cas présent et comme j'ai beaucoup d'imagination, j'ajoute un utilisateur appelé: <code>user</code>.

	== Installations de base ==		== Installations de base ==

Jpinon : /* Prérequis */

2025-02-10T17:36:02Z

Prérequis

← Version précédente		Version du 10 février 2025 à 17:36
Ligne 24 :		Ligne 24 :
	sudo reboot		sudo reboot
	</syntaxhighlight>Normalement, avec un linux tout frais ca devrait âtre rapide mais moi.... ça a duré 15 min :(		</syntaxhighlight>Normalement, avec un linux tout frais ca devrait âtre rapide mais moi.... ça a duré 15 min :(

			On peut également ajouter un utilisateur sans droits particuliers. Il y a déjà [[Ajouter/retirer utilisateur Linux\|une page]] pour ça.

	== Installations de base ==		== Installations de base ==

Jpinon : test ssh

2025-02-10T17:33:50Z

test ssh

@@ Ligne 52 : / Ligne 52 : @@
 Il évite que des "méchants" tentent des attaques en force brutes.<syntaxhighlight lang="bash">
 systemctl start fail2ban
 </syntaxhighlight>

Jpinon : Apache basic

2025-02-10T17:27:28Z

Apache basic

@@ Ligne 16 : / Ligne 16 : @@
 * Un OS Debian GNU/Linux 12 en 64 bits version lite. (sans X, sans desktop)
 * Une adresse IP fixe dans le LAN (soit présélection dans le DHCP soit en dur dans la machine)
 On fait la mise à jour:<syntaxhighlight lang="bash">
@@ Ligne 55 : / Ligne 57 : @@
 On va d'abord installer les briques de bases.<syntaxhighlight lang="bash">
 sudo apt-get install apache2
 </syntaxhighlight>
 == Installation apache en https avec let's encrypt ==

Jpinon le 10 février 2025 à 16:52

2025-02-10T16:52:38Z

← Version précédente		Version du 10 février 2025 à 16:52
Ligne 57 :		Ligne 57 :

	</syntaxhighlight>		</syntaxhighlight>

			== Installation apache en https avec let's encrypt ==

Auto Hebergement - Historique des versions

Jpinon : /* Gestion de la sécurité des utilisateurs */

Jpinon : /* Ajouter les logs de connexions */

Jpinon : /* Obtenir le certificat */

Jpinon : /* Obtenir le certificat */

Jpinon : /* Installation apache en https avec let's encrypt */

Jpinon : /* Prérequis */

Jpinon : /* Prérequis */

Jpinon : test ssh

Jpinon : Apache basic

Jpinon le 10 février 2025 à 16:52

Jpinon : /* Gestion de la sécurité des utilisateurs */

Jpinon : /* Ajouter les logs de connexions */

Jpinon : /* Obtenir le certificat */

Jpinon : /* Obtenir le certificat */

Jpinon : /* Installation apache en https avec let's encrypt */

Jpinon : /* Prérequis */

Jpinon : /* Prérequis */

Jpinon : test ssh

Jpinon : Apache basic