Voir la source de Installation d'un serveur web sous Debian GNU/Linux

== Installation de base ==

A l'installation de Debian, lorsque la selection de logiciels se présentera, cochez les cases indispensables à un serveur web :
* serveur web
* bases de données SQL
* serveur SSH
* utilitaires usuels du système

== Un peu de moquette dans la console ==
Pour donner un peu de couleurs à la console et aux différentes commandes et activer quelques alias simples, il faut modifier le fichier '''/root/.bashrc''' afin qu'il ressemble à ça :

<syntaxhighlight lang="bash">
# ~/.bashrc: executed by bash(1) for non-login shells.

# Note: PS1 and umask are already set in /etc/profile. You should not
# need this unless you want different defaults for root.
# PS1='${debian_chroot:+($debian_chroot)}\h:\w\$ '
# umask 022

# colorisation console
export PS1='${debian_chroot:+($debian_chroot)}\[\033[01;31m\]\u@\h\[\033[00m\]:\[\033[01;34m\]\w\[\033[00m\]\$ '

# You may uncomment the following lines if you want `ls' to be colorized:
export LS_OPTIONS='--color=auto'
eval "`dircolors`"
alias ls='ls $LS_OPTIONS'
alias ll='ls $LS_OPTIONS -l'
alias l='ls $LS_OPTIONS -lA'

# Some more alias to avoid making mistakes:
# alias rm='rm -i'
# alias cp='cp -i'
# alias mv='mv -i'
</syntaxhighlight>

== Besoin de firmware propriétaires ? ==
Parfois, votre machine a besoin de firmware spécifiques pour faire fonctionner correctement les différents matériels. Pour se faire, ajouter au fichier de source des paquets '''/etc/apt/sources.list''' le dépôt jessie-updates (dans le cas d'une debian 8) :

<syntaxhighlight lang="bash">
# jessie-updates, previously known as 'volatile'
deb http://debian.proxad.net/debian/ jessie-updates main contrib non-free
deb-src http://debian.proxad.net/debian/ jessie-updates main contrib non-free
</syntaxhighlight>

Puis resynchroniser les sources, et installer les firmwares :

<syntaxhighlight lang="bash">
$ apt-get update
$ apt-get install firmware-linux-nonfree
</syntaxhighlight>

== Utilitaires et paquets utiles ==

* htop : pour voir la charge du serveur "graphiquement" en temps réel
* nload : pour voir le debit de données en entrée et en sortie en temps réel
* iotop : pour voir les entrées/sorties (lecture/écriture) sur le disque dur en temps réel
* mcrypt : librairie d'encryption servant à plein de paquets
* curl : permet d'interroger des URL distantes (notamment)
* unzip : permet la compression/décompression des fichiers ''.zip''
* rsync : permet de synchroniser des répertoires locaux et/ou distants

La commande qui va bien :

<syntaxhighlight lang="bash">
$ apt-get install htop nload iotop mcrypt curl unzip rsync
</syntaxhighlight>

== SSH ==
Le serveur est accessible par défaut sur le port 22 en SSH et c'est plutôt pas très très bien.
Avant de modifier la configuration SSH, ajouter un nouvel utilisateur à travers lequel se connecter en remplacement de root (qui sera donc interdit de se connecter) en tapant la commande suivante dans le terminal :

<syntaxhighlight lang="bash">
$ adduser usersympa
</syntaxhighlight>

Puis, modifier le fichier '''/etc/ssh/sshd_config''' en changeant quelques paramètres comme suit :

Pour changer le port de connection SSH (mettre une valeur au-delà de 10000 idéalement) :

<syntaxhighlight lang="bash">
Port 43210
</syntaxhighlight>

Pour interdire la connection avec l'utilisateur root (d'où la création de l'utilisateur ''usersympa'' ci-dessus) :

<syntaxhighlight lang="bash">
PermitRootLogin no
</syntaxhighlight>

Puisque c'est un serveur sans interface graphique, pas besoin de ça :

<syntaxhighlight lang="bash">
X11Forwarding no
</syntaxhighlight>
Pour limiter la liste des utilisateurs autorisés à se connecter en SSH :

<syntaxhighlight lang="bash">
AllowUsers usersympa autreuser encoreunuser
</syntaxhighlight>

== FTP avec VSFTPD ==

Nous utiliserons [https://security.appspot.com/vsftpd.html VSFTPD] parce qu'il faut bien en choisir un.

On va configurer VSFTPD pour : 
* restreindre les utilisateurs qui se connectent dans leur home : ils n'ont pas accès au reste des fichiers du serveurs. Une petite prison dorée quoi.
* avoir une connection sécurisée SSL/TLS (appelée aussi SSL implicite)

Avant tout, penser à désactiver SFTP, la méthode classique de connection FTP qui accompagne SSH, en commentant la ligne suivante dans le fichier '''/etc/ssh/sshd_config''' :

<syntaxhighlight lang="bash">
#Subsystem sftp /usr/lib/openssh/sftp-server
</syntaxhighlight>

Installation :

<syntaxhighlight lang="bash">
$ apt-get install vsftpd
</syntaxhighlight>

Pour que la connection soit sécurisée, on va devoir créer un certificat et la clef (valables ici pendant 10 ans) qui va avec en tapant la commande :

<syntaxhighlight lang="bash">
$ openssl req -x509 -nodes -days 3650 -newkey rsa:1024 -keyout /etc/ssl/private/vsftpd.key.pem -out /etc/ssl/certs/vsftpd.cert.pem
</syntaxhighlight>

Puis dans le fichier '''/etc/vsftpd.conf''', modifier comme suit :

<syntaxhighlight lang="bash">
# Write enable
write_enable=YES

# Default umask for local users
local_umask=022

# Login banner
ftpd_banner=Message d'accueil affiché lors d'une connection réussie

# Chroot les users avec droits d'ecriture
chroot_local_user=YES
chroot_list_enable=YES
# Décommenter et créer ce fichier pour y mettre un user par ligne qui NE SERA PAS chrooté (pas de prison dorée pour lui)
# chroot_list_file=/etc/vsftpd.no_chroot_list

# Activer SSL
ssl_enable=YES
</syntaxhighlight>

Mais il faut aussi ajouter à la fin de ce même fichier :

<syntaxhighlight lang="bash">
# SSL Session reuse (breaks many FTP clients if YES)
require_ssl_reuse=NO

# Passive mode
pasv_enable=YES

# Ports du Passive mode de 3000 à 3005 (à vous d'adapter si besoin)
pasv_min_port=3000
pasv_max_port=3005

# Complément au support SSL
allow_anon_ssl=NO
force_local_data_ssl=YES
force_local_logins_ssl=YES
ssl_tlsv1=YES
ssl_sslv2=YES
ssl_sslv3=YES

# Les chemins vers le certificat et la clef précédemment créés
rsa_cert_file=/etc/ssl/certs/vsftpd.cert.pem
rsa_private_key_file=/etc/ssl/private/vsftpd.key.pem
</syntaxhighlight>

== Fail2Ban ==

Fail2Ban permet de bannir des IPs qui tenteraient de se connecter trop souvent (via SSH notamment) sans connaitre le mot de passe d'un compte. La technique la + classique des robots est de tester des milliers/millions de mot de passe et ça s'appelle la Force Brute ("Brut Force" pour briller dans les diners).
Fail2Ban limite ces tentatives à 5 et banni l'IP 10mn par défaut.

Installation :

<syntaxhighlight lang="bash">
$ apt-get install fail2ban
</syntaxhighlight>

Puis dans le fichier '''/etc/fail2ban/jail.conf''' modifier les valeurs comme suit (penser à mettre le bon port SSH configuré auparavant) :

<syntaxhighlight lang="bash">
destemail = votre-mail@votre-nom-de-domaine.org

action = %(action_)s

[ssh]

enabled = true
port    = 43210
filter  = sshd
logpath  = /var/log/auth.log
maxretry = 5

[ssh-ddos]

enabled = true
port    = 43210
filter  = sshd-ddos
logpath  = /var/log/auth.log
maxretry = 5
</syntaxhighlight>

== Firewall avec IPTables ==

=== Ressources ===

* [https://wiki.debian.org/iptables Debian Wiki IPTables]
* [https://www.upcloud.com/support/configuring-iptables-on-debian-8-0/ Configuring IPtables on Debian 8]
* [https://help.ubuntu.com/community/IptablesHowTo IPTablesHowTo]
* [http://www.thegeekstuff.com/2011/06/iptables-rules-examples Collection of classic IPTables Rules]
* [http://www.howtogeek.com/177621/the-beginners-guide-to-iptables-the-linux-firewall/ Beginner's Guide]
* [http://lea-linux.org/documentations/Iptables Lea Linux IPTables]

=== Commandes utiles ===

Lister les règles actuelles :

<syntaxhighlight lang="bash">
$ iptables -L
</syntaxhighlight>

Exporter les règles actuelles :

<syntaxhighlight lang="bash">
$ iptables-save > monserveur.rules
</syntaxhighlight>

Restorer les règles d'un fichier :

<syntaxhighlight lang="bash">
$ iptables-restore < monserveur.rules
</syntaxhighlight>

Vider toutes les règles :

<syntaxhighlight lang="bash">
$ iptables -F
</syntaxhighlight>

Voir les modules chargés :

<syntaxhighlight lang="bash">
$ lsmod | grep ip
</syntaxhighlight>

=== Script pour remettre les règles par defaut ===

Dans un coin sécurisé de votre serveur, par exemple '''/root/scripts''', créer un fichier '''firewall-reset.sh''' et restreindre son usage à root :

<syntaxhighlight lang="bash">
$ touch firewall-reset.sh
$ chmod 700 firewall-reset.sh
</syntaxhighlight>

Dans ce fichier, mettre ceci :

<syntaxhighlight lang="bash">
#!/bin/sh

echo ""
echo "* Remet les règles iptables par default"

#----------
# Back to default Policy ACCEPT
#----------
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

#----------
# Back to default Policy for table NAT
#----------
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT

#----------
# Flush all rules
#----------
iptables -F
iptables -t nat -F

#----------
# Remove user rules
#----------
iptables -X
iptables -t nat -X

echo "[OK]"
echo ""

#----------
# Reset Fail2Ban (si installé)
#----------
service fail2ban restart

exit 0
</syntaxhighlight>

Pour executer le fichier, mettez vous dans son répertoire et tappez :

<syntaxhighlight lang="bash">
$ ./firewall-reset.sh
</syntaxhighlight>

=== Règles de base bien pratiques (script) ===

Toujours dans le même coin sécurisé de votre serveur, par exemple '''/root/scripts''', créer un fichier '''firewall-start.sh''' et restreindre son usage à root :

<syntaxhighlight lang="bash">
$ touch firewall-start.sh
$ chmod 700 firewall-start.sh
</syntaxhighlight>

Dans ce fichier, mettre ce qui suit. Notez que les ports 300 à 3005 sont ouverts pour le FTP car nous utilisons VSFTPD (voir plus haut) et que nous l'avons configuré comme tel :

<syntaxhighlight lang="bash">
#!/bin/sh

#----------
# Load needed modules
#----------
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp

#----------
# Local loop
#----------
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT ! -i lo -d 127.0.0.0/8 -j REJECT
iptables -A OUTPUT -o lo -j ACCEPT

#----------
# Connexions already established
#----------
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

#----------
# NTP (123)
#----------
iptables -A OUTPUT -p udp --dport 123 -j ACCEPT

#----------
# NetBios (137)
#----------
iptables -A INPUT -p udp --sport 137 -j ACCEPT
iptables -A OUTPUT -p udp --dport 137 -j ACCEPT

#----------
# PING
#----------
iptables -A INPUT -p icmp --icmp-type 8 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p icmp --icmp-type 8 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

#----------
# DNS (53)
#----------
# UDP
iptables -A INPUT -i eth0 -p udp --sport 53 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p udp --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT
# TCP
iptables -A INPUT -i eth0 -p tcp --sport 53 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT

#----------
# WHOIS (43)
#----------
iptables -A OUTPUT -p tcp --dport 43 -j ACCEPT

#----------
# SSH (22022)
#----------
# Incoming (22022)
iptables -A INPUT -i eth0 -p tcp --dport 22022 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 22022 -m state --state ESTABLISHED -j ACCEPT
# Outgoing (22)
iptables -A INPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
# Outgoing (22022)
iptables -A INPUT -i eth0 -p tcp --sport 22022 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --dport 22022 -m state --state NEW,ESTABLISHED -j ACCEPT

#----------
# HTTP (80)
#----------
# Incoming
iptables -A INPUT -i eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
# Outgoing
iptables -A INPUT -p tcp --sport 80 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT

#----------
# HTTPS (443)
#----------
# Incoming
iptables -A INPUT -i eth0 -p tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT
# Outgoing
iptables -A INPUT -p tcp --sport 443 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 443 -j ACCEPT

#----------
# FTP (21,3000:3005)
#----------
# Incoming
iptables -A INPUT -i eth0 -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 21 -m state --state ESTABLISHED -j ACCEPT

iptables -A INPUT -i eth0 -p tcp --dport 3000:3005 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 3000:3005 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i eth0 -p udp --dport 3000:3005 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -o eth0 -p udp --sport 3000:3005 -m state --state ESTABLISHED,RELATED -j ACCEPT

#----------
# SMTP (25,587)
#----------
# Incoming
iptables -A INPUT -i eth0 -p tcp --dport 25 -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 25 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 587 -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 587 -j ACCEPT
# Outgoing
iptables -A INPUT -i eth0 -p tcp --sport 25 -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --dport 25 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --sport 587 -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --dport 587 -j ACCEPT

#----------
# MUNIN (4949)
#----------
iptables -A OUTPUT -p tcp --dport 4949 -j ACCEPT

#----------
# Logs
#----------
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied INPUT: " --log-level error
iptables -A OUTPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied OUTPUT: " --log-level error

#----------
# DROP everything else
#----------
iptables -A INPUT -j DROP
iptables -A OUTPUT -j DROP
iptables -A FORWARD -j DROP

#----------
# Reload Fail2Ban (si installé)
#----------
service fail2ban restart

exit 0
</syntaxhighlight>

Et pour démarrer ce script automatiquement au (re)démarrage de votre serveur, modifier le fichier '''/etc/rc.local''' et avant la dernière ligne ''exit 0'' mettre :

<syntaxhighlight lang="bash">
/root/scripts/firewall-start.sh
</syntaxhighlight>

=== Script pour redémarrer le Firewall avec toutes les règles ===

Toujours dans le même coin sécurisé de votre serveur, par exemple '''/root/scripts''', créer un fichier '''firewall-restart.sh''' et restreindre son usage à root :

<syntaxhighlight lang="bash">
$ touch firewall-restart.sh
$ chmod 700 firewall-restart.sh
</syntaxhighlight>

Et dans ce fichier mettre :

<syntaxhighlight lang="bash">
#!/bin/sh

# Reset le firewall
echo ""
echo "Reset le Firewall"
/root/scripts/firewall-reset.sh
echo "[OK]"

# Start le firewall avec mes règles
echo ""
echo "Charge les règles personnalisées"
/root/scripts/firewall-start.sh
echo "[OK]"
echo ""

exit 0
</syntaxhighlight>