|
|
| Ligne 1 : |
Ligne 1 : |
| = Sécurité Eole3 – Règles à ne pas oublier =
| |
|
| |
|
| == 1. Firewall (UFW) ==
| |
|
| |
| === Principe ===
| |
| * Tout est bloqué en entrée par défaut
| |
| * Les sorties sont autorisées
| |
|
| |
| <pre>
| |
| Default: deny (incoming), allow (outgoing)
| |
| </pre>
| |
|
| |
| === Règles en place ===
| |
| * SSH :
| |
| <pre>
| |
| 22/tcp → ouvert partout
| |
| </pre>
| |
|
| |
| * SFTPGo :
| |
| <pre>
| |
| 2022/tcp → ouvert partout (protégé par fail2ban)
| |
| </pre>
| |
|
| |
| * Cockpit :
| |
| <pre>
| |
| 9090/tcp → limité aux IP autorisées
| |
| </pre>
| |
|
| |
| === Points importants ===
| |
| * Si Cockpit est inaccessible → vérifier l’IP autorisée
| |
| * Ajouter une IP :
| |
| <pre>
| |
| ufw allow from X.X.X.X to any port 9090
| |
| </pre>
| |
|
| |
| * Toujours garder une session SSH ouverte lors des modifications
| |
|
| |
| ----
| |
|
| |
| == 2. Fail2ban ==
| |
|
| |
| === Jails actives ===
| |
| * sshd
| |
| * sftpgo
| |
| * cockpit
| |
|
| |
| === White list globale ===
| |
|
| |
| Fichier :
| |
| <pre>
| |
| /etc/fail2ban/jail.local
| |
| </pre>
| |
|
| |
| Exemple :
| |
| <pre>
| |
| ignoreip = 127.0.0.1/8 ::1 10.0.0.0/8 ...
| |
| </pre>
| |
|
| |
| === Points importants ===
| |
| * Une IP whitelistée ne sera jamais bannie
| |
| * Maintenir la liste à jour (bureau, maison, VPN)
| |
|
| |
| === Commandes utiles ===
| |
| <pre>
| |
| fail2ban-client status
| |
| fail2ban-client status sshd
| |
| fail2ban-client status sftpgo
| |
| </pre>
| |
|
| |
| ----
| |
|
| |
| == 3. Accès SSH ==
| |
|
| |
| === Situation actuelle ===
| |
| * Ouvert au monde
| |
| * Protégé par fail2ban
| |
|
| |
| === Améliorations possibles ===
| |
| * Authentification par clé uniquement
| |
| * Désactivation du mot de passe
| |
| * Changement de port
| |
| * Restriction par IP
| |
|
| |
| ----
| |
|
| |
| == 4. SFTPGo ==
| |
|
| |
| === Situation ===
| |
| * Port 2022 exposé
| |
| * Protégé par fail2ban
| |
|
| |
| === Bonnes pratiques ===
| |
| * Un utilisateur = un client
| |
| * Pas de comptes partagés
| |
| * Vérifier les logs régulièrement
| |
| * Supprimer les comptes inutilisés
| |
|
| |
| ----
| |
|
| |
| == 5. Cockpit ==
| |
|
| |
| === Configuration actuelle ===
| |
| * Accès restreint par IP via UFW
| |
|
| |
| === Important ===
| |
| * Cockpit donne accès au système → ne jamais exposer publiquement
| |
|
| |
| ----
| |
|
| |
| == 6. Logs et surveillance ==
| |
|
| |
| === Commandes utiles ===
| |
| <pre>
| |
| journalctl -u sftpgo -f
| |
| journalctl -u cockpit -f
| |
| fail2ban-client status
| |
| </pre>
| |
|
| |
| === Comportement normal ===
| |
| * Scans Internet fréquents
| |
| * Tentatives SSH
| |
| * Erreurs TLS sur Cockpit
| |
|
| |
| ----
| |
|
| |
| == 7. Règle d’or ==
| |
|
| |
| * Toujours pouvoir revenir en arrière
| |
| * Tester les accès après modification
| |
| * Garder un accès SSH actif
| |
|
| |
| ----
| |
|
| |
| == 8. En cas de problème ==
| |
|
| |
| === Cockpit inaccessible ===
| |
| <pre>
| |
| ufw allow from TON_IP to any port 9090
| |
| </pre>
| |
|
| |
| === Fail2ban non fonctionnel ===
| |
| <pre>
| |
| systemctl restart fail2ban
| |
| fail2ban-client status
| |
| </pre>
| |
|
| |
| ----
| |
|
| |
| == 9. Améliorations futures ==
| |
|
| |
| * SSH par clé uniquement
| |
| * Restriction IP sur SFTP
| |
| * Alertes mail fail2ban
| |
| * Supervision système (RAM, charge, services)
| |
|
| |
| ----
| |
|
| |
| == Résumé ==
| |
|
| |
| * Limiter les accès (UFW)
| |
| * Bloquer les attaques (fail2ban)
| |
| * Surveiller les logs
| |
|
| |
| Serveur exposé = vigilance permanente
| |