Génération des clés

La première étape consiste à générer les clés SSH (une publique, l’autre privée). Connectez-vous sur votre station de travail avec le même utilisateur que vous utilisez habituellement. Lancer un shell et tapez la commande :

ssh-keygen -t rsa

On vous demandera plusieurs choses.

• Enter file in which to save the key : on vous demande de choisir le nom de la clé privée. Si c’est la première fois que vous faites ça, vous pouvez laisser le choix par défaut. Dans le cas contraire, vous aurez probablement un message vous indiquant que le fichier id_rsa existe déjà.
• Enter passphrase (empty for no passphrase) : ce choix dépend de la sécurité de votre station de travail. La passphrase permet de chiffrer la clé privée pour éviter de vous la faire voler. Si votre station de travail est sûr, appuyez 2 fois sur entrer pour ne pas mettre de passphrase. Dans le cas contraire, ajouter votre mot de passe, sachant qu’il faudra faire une étape supplémentaire après.

Si tout se passe bien, vous devez avoir une « randomart image » (une sorte de petit dessin symbolisant votre clé) qui apparaît. À partir de ce moment, vous devriez avoir 2 nouveaux fichiers :

• ~/.ssh/id_rsa : la clé privée (qui doit absolument rester secrète)
• ~/.ssh/id_rsa.pub : la clé publique que vous allez envoyer sur le serveur

Envoi de la clé publique sur le serveur

Pour que l’identification fonctionne, il faut envoyer la clé publique sur le serveur et garder la clé privée sur la station de travail.

Explication du système de clé SSH

Pour envoyer un fichier sur le serveur, le plus simple reste d’utiliser scp. Voici un exemple :

scp ~/.ssh/id_rsa.pub root@ipServeur:/root/.ssh/

En premier argument, le fichier à envoyer (id_rsa.pub), ensuite le nom d’utilisateur et l’ip du serveur (à la manière de SSH) suivi de l’endroit ou placer le fichier. Si vous avez changé le port par défaut de SSH (22), vous pouvez le préciser avec l’option « -P » de scp.

Normalement, on doit renommer la clé publique (id_rsa.pub) en authorized_keys2 sur le serveur. Cependant, si ce fichier existe déjà, vous risquez de le supprimer. Voici une astuce pour ajouter le contenu de votre clé publique à la fin du fichier authoried_keys2 pour éviter ce problème :

ssh root@votreServeur -p votrePortSSH

cd /root/.ssh

cat id_rsa.pub >> authorized_keys2

Voilà, normalement ça fonctionne ! Vous pouvez le tester en vous connectant par SSH sur votre serveur, aucun mot de passe ne vous sera demandé. Cependant, si vous avez ajouté une passphrase, il y a une étape supplémentaire pour éviter de l’écrire à chaque fois.

Passphrase

Tout ceux qui ont ajouté une passphrase (qui permet de chiffrer le fichier id_rsa), doivent toujours taper un mot de passe pour se connecter. Heureusement, il existe un logiciel qui fait ça pour nous.

ssh-agent $BASH

ssh-agent add

Dorénavant, SSH ne vous demandera plus votre passphrase, ssh-agent s’en occupera pour vous.

Bonus

Pour faire une liste des clés gérées par ssh-agent :

ssh-add -l

Pour supprimer toutes les clés de ssh-agent :

ssh-add -D

Pour supprimer une clé spécifique sur ssh-agent :

ssh-add -d cle

Si vous avez changé le port par défaut de SSH sur votre serveur, vous devez le spécifier à chaque fois avec l’option -p du client SSH. Ce n’est pas spécialement pratique, mais vous pouvez modifier le fichier ~/.ssh/config pour changer le port par défaut :

Host serveur1

Hostname nomDeDomaineDeVotreServeur.fr

Port 2222

User utilisateurServeur

Avec ce fichier, vous préciser le nom d’utilisateur qui se connecte sur votre serveur, le nom de domaine de votre serveur et le port SSH utilisé. Ainsi, vous n’aurez plus qu’à taper :

ssh serveur1

Si vous avez d’autres astuces sur SSH, n’hésitez pas à les partager en postant un commentaire en dessous

(Image à la une)

Cet article Comment se connecter en SSH sans mot de passe est apparu en premier sur Tutoriels-Video.

J’ai choisi une distribution debian qui est réputé comme étant stable et facile d’utilisation. Au niveau de l’hébergeur, je reste fidèle à OVH qui pratique des prix correct avec un service de qualité (personnellement je n’ai jamais eu de problème avec eux et j’en suis très satisfait, mais ce n’est pas le cas de tout le monde). Côté serveur, je me suis contenté d’une offre Kimsufi 2G qui me suffit amplement, mais les tutoriels sont valables pour les autres offres. (Ajout : Maintenant je recommande également online.net pour des serveurs pas très cher)

Cette page sert de sommaire pour accéder à tous les articles qui comporte un tutoriel vidéo et un résumé textuelle complet (y en a pour tous les goûts !).

Installation et configuration du serveur

1. Première connexion en SSH et mise à jour du système
2. Installation d’apache, php, mysql et phpmyadmin
3. Installation d’un serveur FTP et configuration d’un nom de domaine sur le serveur (autrement dit, découvrez la joie de configurer un serveur DNS et apache)
4. Installation d’un serveur de mail
5. Sécurisation du serveur (iptables, failf2ban etc..)
6. Sécurisation, suite avec suEXEC et suPHP
7. Ajout d’un système de backup
8. Installation d’une interface Web (webmin) (à venir) Présent dans le tutoriel du monitoring
9. Surveiller l’état de son serveur avec Monit, munin, logwatch et Webmin
10. Amélioration des performances (à venir, dans un futur assez lointain)
11. Comment migrer un site vers un serveur dédié  (à venir)

Bonus

1. Apprendre à utiliser l’éditeur VI

Je tiens à préciser que pour le moment le plan est provisoire et risque de changer en fonction des choses que j’apprends. Il est également possible que des vidéos viennent avant d’autres (par exemple, je suis beaucoup plus inspiré par l’installation de Webmin que la configuration du serveur de mail …).

N’oubliez pas de lire de la documentation avant de poster des questions via les commentaires. Ça a le don de m’énerver et surtout je manque cruellement de temps pour répondre à tous le monde de façon précise.

Au passage, si des puristes passe par ici et remarque que j’ai fait une boulette dans une de mes vidéos, n’hésitez pas à me le faire savoir par commentaire ou email. En revanche, évitez de troller sur des sujets du genre « ouais, une RedHat c’est mieux qu’une Debian » mais vous pouvez critiquer mes choix de façon constructive (après tout, moi aussi je suis la pour apprendre).

Remerciement et sources :

• Un énorme merci à Koreth (fondateur de Drastic securité) qui m’a bien aidé et répondu à toutes mes questions
• Je recommande également le tutoriel d’alsacreation sur les dédiés
• Je remercie Matt pour ces articles intéressants
• Le tutoriel de Grafikart sur les serveurs dédiés (pour ceux qui veulent une version rapide)
• Et plein d’autres sites malheureusement trop nombreux pour être cités

Cet article Installation et configuration d’un serveur dédié est apparu en premier sur Tutoriels-Video.

• Monit : permet de surveiller l’état des différents services comme Apache, le serveur FTP, DNS mais aussi l’état des disques dur. Ce logiciel présente l’avantage de faire des configurations très précises chaque service.
• Webmin : c’est une interface d’administration en ligne. Ça vous permet de gérer votre serveur en vous connectant sur une page web sécurisé. Vous pouvez faire ce que vous voulez puisque vous avez même un accès à la ligne de commande.
• Logwatch : ce logiciel vous envoie des emails avec un résumé des différents fichiers de logs comportant les actions « importantes » effectuées sur le serveur durant les dernières 24h. Ça permet de détecter assez rapidement les attaques ou les processus défaillants.
• Munin : ce logiciel vous fournit des statistiques sous forme de graphique. Vous retrouvez la charge du CPU ainsi des statistiques liés aux différents services qui tournent sur votre serveur.

Voici le tutoriel vidéo sur le monitoring de son serveur :

Configuration de Monit

Comme je l’ai expliqué en introduction, il faut configurer chaque service que l’on souhaite surveiller avec quelques lignes de codes. En réalité, ça ressemble assez à de la programmation classique, puisqu’on donne une série de test et les actions à faire en fonction des résultats. C’est d’ailleurs ce qui rend monit si puissant.

Vous devez commencer par activer Monit en éditant le fichier /etc/default/monit et en plaçant le paramètre startup à 1.

Ensuite, je vous propose de reprendre mon fichier de configuration et de l’adapter selon vos besoins.

Ce fichier est découpé en plusieurs blocks, chaque block permet de surveiller un service (sauf le premier qui précise la configuration de Monit). Pour surveiller un service, on doit préciser au moins 3 éléments :

1. La commande pour démarrer le service
2. La commande pour le stopper
3. Le chemin du fichier qui contient le PID du processus (en cas de problème, ça vient généralement de ce chemin qui est invalide)

Ensuite on donne une série de test et les actions à effectuer si le test est positif. Une fois que l’on à compris le fonctionnement d’un block, c’est plus ou moins similaire pour les autres.

Pour plus d’explications, vous trouverez un mini-tutorial dans les commentaires du fichier /etc/monit/monitrc et dans la vidéo.

# /etc/monit/conf.d/config
# Configuration de Monit de base
 
set daemon 120                  # verif toutes les 2 minutes
    with start delay 240                # 1ere verif après 4min
set logfile syslog facility log_daemon      # précise les fichiers de logs
set mailserver localhost                # précise le serveur de mail pour les alertes
set eventqueue
                    # si le serveur de mail down, on stock les alertes
    basedir /var/monit              # répertoire de stockage
    slots 100                   # nomber d'alertes max
set mail-format {                   # le format du mail
    from: monit@$HOST
    subject: monit alert --  $EVENT $SERVICE
}
set alert  votreEmail@truc.fr           # qui reçoit toutes les alertes
# set alert deuxieme-adresse@truc.fr only on { timeout } # pour être précis
set httpd port 4598 and
    allow adminMonit:pass
 
# Services
 
# Apache2
check process apache with pidfile /var/run/apache2.pid
    group apache
    start program = "/etc/init.d/apache2 start" with timeout 60 seconds
    stop program  = "/etc/init.d/apache2 stop"
    if cpu > 70% for 2 cycles then alert
 
    if cpu > 90% for 5 cycles then restart
    if children > 250 then restart
    if failed host 127.0.0.1 port 80
    protocol http then restart
    if 5 restarts within 5 cycles then timeout
 
# MySQL
check process mysqld with pidfile /var/run/mysqld/mysqld.pid
    group database
    start program = "/etc/init.d/mysql start"
    stop program = "/etc/init.d/mysql stop"
    if failed host 127.0.0.1 port 3306 then restart
    if 5 restarts within 5 cycles then timeout
 
# SSH
check process sshd with pidfile /var/run/sshd.pid
    group ssh
    start program = "/etc/init.d/ssh start"
    stop program = "/etc/init.d/ssh stop"
    if failed host 127.0.0.1 port 2242 protocol ssh then restart
    if 5 restarts within 5 cycles then timeout
 
# Postfix
check process postfix with pidfile /var/spool/postfix/pid/master.pid
    group mail
    start program = "/etc/init.d/postfix start"
    stop program = "/etc/init.d/postfix stop"
    if failed port 25 protocol smtp then restart
    if 5 restarts within 5 cycles then timeout
 
# FTP
check process proftpd with pidfile /var/run/proftpd.pid
    start program = "/etc/init.d/proftpd start"
    stop program  = "/etc/init.d/proftpd stop"
    if failed port 21 protocol ftp then restart
    if 5 restarts within 5 cycles then timeout
# BIND
check process bind9 with pidfile /var/run/named/named.pid
    group bind
    start program = "/etc/init.d/bind9 start"
    stop  program = "/etc/init.d/bind9 stop"
    if failed port 53 then restart
    if 5 restarts within 5 cycles then timeout
 
# POP3
check process pop3 with pidfile /var/run/courier/pop3d.pid
    group mail
    start program = "/etc/init.d/courier-pop start"
    stop  program = "/etc/init.d/courier-pop stop"
    if failed port 110 then restart
    if 5 restarts within 5 cycles then timeout
 
# IMAP
check process imap with pidfile /var/run/courier/imapd.pid
    group mail
    start program = "/etc/init.d/courier-imap start"
    stop  program = "/etc/init.d/courier-imap stop"
    if failed port 143 then restart
    if 5 restarts within 5 cycles then timeout
 
# Disk
 
# SDA1
check device sda1 with path /dev/sda1
    group system
    if space usage > 85% then alert
    if space usage > 90% then exec "/root/script/cleanup.sh"
 
# SDA2
check device sda2 with path /dev/sda2
    group system
    if space usage > 85% then alert

Installation de webmin

L’installation de webmin est plutôt simple, mais comme ce n’est pas une application « officiel », il faut ajouter un dépôt en éditant le fichier /etc/apt/sources.list et ajouter ces 2 lignes :

Ensuite enchaînez avec ces commandes pour authentifier le dépôt, mettre à jour la liste des paquets et installer webmin :

Ensuite, pour vous connecter sur Webmin, vous devez simplement taper l’adresse IP de votre serveur (ou son nom de domaine du genre ksXXXXXX.kimsufi.com) sur le port 10000 (il faut juste ajouter :10000 dans l’adresse). Si ça ne fonctionne pas, vérifiez bien votre Firewall pour débloquer ce port.

Installation de LogWatch

Ce logiciel est très pratique puisqu’il vous envoie un résumé des différents fichiers de log par email tous les jours. En un coup d’oeil on peut voir si le site subit des tentatives de piratage ou si un service bug.

Pour l’installer il suffit de faire un apt-get install logwatch et de préciser votre adresse email dans le fichier de configuration /usr/share/logwatch/default.conf/logwatch.conf sur la ligne « Mailto ».

Des statistiques avec Munin

Munin est un outil pratique que l’on retrouve sur certains hébergeurs pour voir l’état de son serveur ou du réseau. Ça permet d’avoir une représentation graphique de la charge du serveur, de l’état de certain services, etc…

Vous pouvez installer munin en tapant la commande apt-get install munin. Ensuite vous devez configurer munin pour avoir accès à l’interface web. Ouvrez le fichier /etc/munin/munin.conf  pour dé-commenter et modifier ces lignes :

N’oubliez pas de créer le dossier monitoring et de donner les droits à munin.

Patientez entre 5 et 10 minutes pour voir apparaître les premières statistiques sur la page ksXXXXX.kimsufi.com/monitoring. Jusque la ça fonctionne mais c’est une bonne idée de mettre un htaccess avec un mot de passe dans le dossier monitoring pour bloquer l’accès. Pour ce faire, commencer par vérifier dans la configuration d’apache (/etc/apache2/sites-available/default) que vous avez la directive « AllowOverride » sur All pour autoriser les htaccess. Puis vous pouvez placer un fichier htaccess de ce genre dans le dossier monitoring :

Et n’oubliez pas de générer le fichier htpasswd qui contient les utilisateurs/mot de passe avec la commande : htpasswd -c .htpasswd admin (puis ajoutez votre mot de passe pour admin, le -c sert à créer le fichier htpasswd la preière fois).

Le tutoriel est terminé, j’espère que vous avez réussi à installer cette série de logiciel pour surveiller votre serveur dédié, dans le cas contraire vous pouvez poser vos questions via les commentaires. De même si vous connaissez d’autres outils du genre, faites le savoir via les commentaires.

Si vous avez apprécié le tutoriel, partager le sur Facebook ou Twitter et n’oubliez pas de rejoindre la page facebook du blog :).

(Image à la une : ekg)

Cet article Surveiller l’état de votre serveur avec monit et webmin est apparu en premier sur Tutoriels-Video.

Backup-manager est logiciel en ligne de commande qui permet de sauvegarder le contenu de certains dossiers quotidiennement, sous forme d’archives. Il est également capable d’envoyer ces sauvegardes sur un serveur distant via FTP ou SSH. Comme OVH propose un serveur FTP de backup avec ces offres pour les dédiés, nous allons l’utiliser pour sauvegarder tous les fichiers sensibles du serveur (fichier de configuration, base de données, email, site).

Installation de backup-manager

Pour installer ce logiciel, la commande « apt-get install backup-manager » est amplement suffisante. Durant l’installation, vous devrez répondre à certaine question pour commencer à configurer Backup-manager. Si vous vous trompez ce n’est pas grave puisqu’on va modifier manuellement la configuration pour ajouter le serveur FTP distant.

Configuration

Le fichier de configuration de backup-manager se situe dans /etc/backup-manager.conf et voici une liste non exhaustive des options intéressantes :

# /etc/backup-manager.conf
# Répertoire ou sont stockés vos backup
export BM_REPOSITORY_ROOT="/var/archives"
# Durée de vie max des archives
export BM_ARCHIVE_TTL="5"
# Format des archives (peut être aussi tar.gz)
export BM_TARBALL_FILETYPE="tar"
# Répertoire à sauvegarder
export BM_TARBALL_DIRECTORIES="/etc /home /var/lib/mysql /var/www /var/mail"
# Type de fichiers à exclure de la sauvegarde
export BM_TARBALL_BLACKLIST="/var/archives *.mp3 *.avi *.rar *.zip *.ogg *.sql
*.tgz *.mpg *.log *.7z"

# Configuration du FTP

# Méthode d'envoi
export BM_UPLOAD_METHOD="ftp"
# Login FTP
export BM_UPLOAD_FTP_USER="votre login"
# Mot de passe
export BM_UPLOAD_FTP_PASSWORD="votre mot de passe"
# Adresse du serveur FTP distant
export BM_UPLOAD_FTP_HOSTS="adresse du serveur (IP ou hostname)"

# Purge les archives trop anciennes :
export BM_UPLOAD_FTP_PURGE="true"
# Avec un délai de 5 jours :
export BM_UPLOAD_FTP_TTL="5"
# Destination d'upload sur le serveur FTP distant
export BM_UPLOAD_FTP_DESTINATION="/"
# Bonus : exécuter un script lorsque c'est fini
export BM_POST_BACKUP_COMMAND="/etc/votre_script"

N’hésitez pas à activer votre serveur FTP de backup proposé gratuitement par OVH avec l’achat d’un serveur dédié !

Une petite remarque au passage, vous pouvez vous connecter au serveur FTP de backup d’ovh qu’à partir du serveur dédié, il y a une vérification de l’adresse IP. C’est une sécurité qui fait que vous ne pouvez pas vous connecter sur votre serveur de backup à partir de filezilla sur votre PC par exemple.

Automatisation des backups

Dans les vieilles versions de Backup-Manager, le système lançait le script automatiquement. Maintenant il faut créer un fichier de configuration dans le dossier /etc/cron.daily pour que backup-manager se lance tous les jours :

#!/bin/sh
# cron script for backup-manager
test -x /usr/sbin/backup-manager || exit 0
/usr/sbin/backup-manager

N’oubliez pas de donner les droits d’exécution au script avec un chmod 751 /etc/cron.daily/votre_script.

N’hésitez pas à poser vos questions en commentaire, à partager ce billet sur Facebook/Twitter et à rejoindre la page du blog sur Facebook !

(Image à la une : Hard Disk)

Cet article Ajouter un système de sauvegarde automatique sur son serveur est apparu en premier sur Tutoriels-Video.

Les extensions suEXEC et suPHP permettent de remédier à ce problème. En effet, avec ces extensions le serveur web travaille sur ces fichiers avec l’utilisateur propriétaire des fichiers (qui possèdent des droits classiques). Si vous avez suivi depuis le début de mes vidéos sur le serveur dédié, vous devriez déjà avoir une configuration similaire, c’est-à-dire : un site = un utilisateur. C’est maintenant que ça prend tout sont sens, car ça va nous simplifier grandement les choses.

En plus d’améliorer la sécurité, ces 2 modules permettent de régler certains problèmes avec vos scripts et CMS comme WordPress. En effet, sur WordPress pour mettre à jour son blog ou ajouter des extensions, on peut utiliser un script qui le fait de manière automatique. Le problème, c’est que ce script doit pouvoir créer des fichiers sur votre serveur, ce qui n’est pas possible si l’utilisateur qui exécute le script est www-data (puisque le dossier appartient à l’utilisateur qui possède le site).

Installation de suEXEC

Le premier module à installer est suEXEC, c’est lui qui permet de lancer les scripts de types CGI avec l’utilisateur qui possède le script. L’installation se fait en 2 temps :

En ce qui concerne la configuration c’est très simple, un fichier à éditer ici /etc/apache2/suexec/www-data. Sur la première ligne vous placer le chemin du dossier qui contient tout vos sites web, dans notre cas « /home ». Sur la seconde ligne, vous placer le dossier qui contient tout les fichiers du site web, par défaut c’est « public_html » mais comme nous avons modifié /etc/apache2/mods-available/userdir.conf, c’est « www ».

Installation de suPHP

On doit ensuite installer suPHP qui permet d’exécuter les scripts php avec l’utilisateur propriétaire. Il est dépendant de suEXEC, vous devez donc installer et configurer suEXEC d’abord.

Au niveau de la configuration, encore une fois c’est très simple, il suffit d’éditeur /etc/suphp/suphp.conf.

Modification des virtualhosts

On doit modifier tout les fichiers virtualhosts de nos différents sites pour préciser à suPHP avec quel utilisateur et groupe il doit exécuter les scripts. C’est à cette étape que ça devient compliqué si vous n’avez pas suivi mes conseils de « 1 site = 1 utilisateur ».

Avant de faire les modif, vous devez désactiver le module php5 d’apache pour que suPHP prenne la relève. Pour cela un petit a2dismod php5 fait l’affaire.

Vous devez donc ajouter sur chaque fichier virtualhost de vos sites (sauf default), cette ligne :

Problèmes avec les htaccess et les erreurs 500

Lorsqu’on installe suEXEC et suPHP on rencontre plusieurs problèmes. Comme on est obligé de désactiver php5 pour que suPHP prenne le relais, on doit refaire tout nos fichiers .htaccess. En effet, toute les directives spécifiques à php (donc celle qui commence par php_flag ou php_value) feront planter le .htaccess et provoquera une erreur 500. Ça vient tout simplement du fait qu’apache ne sait pas quoi faire, pour lui php n’est pas installé, donc il ne connaît pas ces directives.

La solution est de créer un fichier php.ini à la racine de votre site avec toutes les configurations pour php et de placer ce bout de code dans votre fichier .htaccess en prenant garde de bien noter le chemin absolue vers la racine de votre site.

Et voici, par exemple, la ligne qu’il faut ajouter dans le fichier php.ini pour Roundcube : suhosin.session.encrypt=Off. La syntaxe est légèrement différentes des .htaccess, donc si vous avez du mal à comprendre, je vous renvoie sur cette page de la documentation PHP qui explique toutes les directives que l’on peut mettre dans un fichier php.ini.

Voilà, ce tutoriel est terminé, n’hésitez pas à faire vos propres recherches pour augmenter la sécurité de votre serveur. Vous pouvez par exemple creuser du côté du module apache pour la sécurité (mod_security), ou bien Chrooter tous les répertoires home des utilisateurs, installer l’application « snort », désactiver les services inutiles, surveiller les logs régulièrement et etc… .

Si vous avez des questions, n’hésitez pas à laisser un commentaire. Si vous avez apprécié le tutoriel, vous pouvez le partager sur Twitter/Facebook et rejoindre la page facebook du blog.

(Image à la une : Barbed wire fence)

Cet article Sécuriser votre serveur Web avec 2 modules apache : suEXEC et suPHP est apparu en premier sur Tutoriels-Video.

• Iptables : c’est le Firewall des systèmes Linux, il est difficile à manier la première fois mais on peut faire des réglages très fin. Dans ce tutoriel je vous propose une série de règles classiques pour un serveur web.
• Fail2ban : c’est un système qui ban automatiquement tous les utilisateurs qui essayent de se connecter plusieurs fois de suites sans succès sur notre serveur. Ça permet d’éviter les attaques de type brute force.
• Rkhunter : c’est un logiciel qui nous prévient dés que des fichiers sensibles sont modifiés. Autrement dit, un bon détecteur de Backdoor et Rootkit.

Et en bonus, je vous donnerais une astuces pour être prévenue par email dés que quelqu’un se connecte en SSH sur votre serveur. À la fin du tutoriel vous aurez un serveur Web déjà bien sécurisé, mais pas assez à mon goût, d’où la seconde vidéo qui sécurise un peu plus les scripts php avec 2 modules pour apache.

Mise en place du Firewall : Iptables

Sans doute la partie la plus importe du tutoriel, la mise en place du Firewall. Normalement il est installé par défaut mais si vous avez des problèmes avec les règles, ça vient sans doute du noyau modifié d’OVH, mais je l’ai déjà expliqué dans la première vidéo.

Fonctionnement de Iptables

Je pense qu’un mini tutoriel sur Iptables, avec les arguments les plus utilisés et ces principes de bases ne fera pas de mal. Je vais faire ça sous forme de liste pour que cela soit plus simple, le but n’étant pas d’être exhaustif.

Si vous faites un iptables -L, vous verez les règles qui définissent votre firewall. En regardant le résultat de plus près, on aperçoit 3 types de chaînes :

• INPUT : correspond aux règles sur le traffic entrant du serveur
• OUTPUT : correspond aux règles pour le traffic sortant du serveur
• FORWARD : les règles permettant de faire des redirections

On constate également que l’on a la politique du firewall sur « ACCEPT » pour toutes les chaînes et ce n’est pas très bon au niveau de la sécurité. Notre démarche va être de tout bloquer (DROP) pour ensuite débloquer petit à petit les ports pour les services que l’on utilise.

Voici une liste des arguments que l’on utilisent fréquemment :

• -t : préciser sur quel table on travaille, par défaut c’est filter qui contient le input, output et forward
• -A : ajoute une règles en fin de chaîne
• -p : précise le protocole de la règle (généralement tcp, udp ou icmp pour le ping)
• –dport : précise le port de destination
• -j : précise la politique à appliquer (accept ou drop la plupart du temps)
• -F : efface toutes les règles (F = Flush)
• -X : efface la chaîne

Configuration des règles

Pour mettre en place un Firewall sur Linux, la plupart du temps on crée un fichier bash avec toutes les commandes iptables que l’on souhaite mettre. Dans mon cas, je remets Iptables à 0, puis je bloque tout, puis je débloque petit à petit les services que j’utilise. Par conséquent, l’ordre est important ! Voici le fichier utilisé pendant la vidéo, n’oubliez pas de modifier le numéro de port pour ssh ou sinon vous serez bloqué (un reboot hardware fera l’affaire pour vous débloquer).

#!/bin/sh
### BEGIN INIT INFO
# Provides:          Firewall maison
# Required-Start:    $local_fs $remote_fs $network $syslog
# Required-Stop:     $local_fs $remote_fs $network $syslog
# Default-Start:
# Default-Stop:
# X-Interactive:     false
# Short-Description: Firewall maison
### END INIT INFO

# Mise à 0
iptables -t filter -F
iptables -t filter -X
echo "Mise à 0"

# On bloque tout
iptables -t filter -P INPUT DROP
iptables -t filter -P FORWARD DROP
iptables -t filter -P OUTPUT DROP
echo "Interdiction"

# Ne pas casser les connexions établies
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

# Autorise le loopback (127.0.0.1)
iptables -t filter -A INPUT -i lo -j ACCEPT
iptables -t filter -A OUTPUT -o lo -j ACCEPT
echo "Loopback"

# ICMP (le ping)
iptables -t filter -A INPUT -p icmp -j ACCEPT
iptables -t filter -A OUTPUT -p icmp -j ACCEPT
echo "Ping ok"

# SSH IN/OUT
iptables -t filter -A INPUT -p tcp --dport 1337 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 1337 -j ACCEPT
echo "SSH ok"

# DNS In/Out
iptables -t filter -A OUTPUT -p tcp --dport 53 -j ACCEPT
iptables -t filter -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 53 -j ACCEPT
iptables -t filter -A INPUT -p udp --dport 53 -j ACCEPT
echo "dns ok"

# NTP Out
iptables -t filter -A OUTPUT -p udp --dport 123 -j ACCEPT
echo "ntp ok"

# HTTP + HTTPS Out
iptables -t filter -A OUTPUT -p tcp --dport 80 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 443 -j ACCEPT

# HTTP + HTTPS In
iptables -t filter -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 8443 -j ACCEPT
echo "http ok"

# FTP Out
iptables -t filter -A OUTPUT -p tcp --dport 21 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 20 -j ACCEPT

# FTP In
# imodprobe ip_conntrack_ftp # ligne facultative avec les serveurs OVH
iptables -t filter -A INPUT -p tcp --dport 20 -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -t filter -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
echo "ftp ok"

# Mail SMTP:25
iptables -t filter -A INPUT -p tcp --dport 25 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 25 -j ACCEPT

# Mail POP3:110
iptables -t filter -A INPUT -p tcp --dport 110 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 110 -j ACCEPT

# Mail IMAP:143
iptables -t filter -A INPUT -p tcp --dport 143 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 143 -j ACCEPT

# Mail POP3S:995
iptables -t filter -A INPUT -p tcp --dport 995 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 995 -j ACCEPT
echo "mail ok"

# Monit
iptables -t filter -A INPUT -p tcp --dport 4598 -j ACCEPT

# Webmin
iptables -t filter -A INPUT -p tcp --dport 10000 -j ACCEPT
echo "monitoring ok"

La partie supérieure (le gros bloque de commentaire, à l’exception du shebang qui est obligatoire) est optionnelle mais ça permet d’éviter des warnings dans les fichiers de logs. Au niveau de la difficulté, une fois qu’on à compris une ligne le reste vient tout seul. N’oubliez pas de donner les droits d’exécutions à ce fichier (chmod +x firewall) et de la placer dans le répertoire /etc/init.d/ et de l’activer au démarrage du serveur avec update-rc.d firewall defaults (mais assurez vous bien que le fichier fonctionne correctement avant !!)

J’en profite au passage pour vous donner mon script qui permet de bien remettre à 0 iptables en cas de soucis :

#!/bin/sh
echo "Flushing iptables rules..."
sleep 1
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

C’est tout du côté du Firewall. Si un jour vous installez des services supplémentaires et que ça ne fonctionne pas, n’oubliez pas de regarder du côté du Firewall, on a tendance à l’oublier lorsque la configuration est finie.

Ban automatique des kikoolol avec fail2ban

La plupart du temps, lorsqu’on essaye de pirater votre serveur, les pirates utilisent la méthode du brute force. C’est-à-dire qu’ils testent tous les mots de passe possible, en partant du plus probable (comme les mots du dictionnaire) au plus improbable (les suites de caractères aléatoires). Avec la puissance de calcul des ordinateurs actuels, ça fonctionne pas trop mal si votre mot de passe est simple. Heureusement on peut facilement le contrer en installant un système qui ban automatiquement les gens qui essayent de se connecter à mainte reprise sans y parvenir.

Configuration simple de fail2ban

Pour commencer, vous devez installer fail2ban avec la ligne de commande apt-get install fail2ban. Ensuite il est recommandé de laisser le fichier de configuration intacte et d’en faire une copie pour le modifier, donc cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.local et puis vi etc/fail2ban/jail.conf.local.

Pour activer un filtre, vous devez placer le champ enabled à true et éventuellement changer le maxretry (nombre de tentative avant le ban) , le bantime (temps de ban) et le port (surtout pour ssh).

Je vous recommande d’activer les filtres suivants : [ssh], [ssh-dos], [apache], [apache-multiport], [apache-noscript], [apache-overflows], [proftpd], [postfix], [couriersmtp] et [courierauth]. Ces filtres sont activés par défaut, vous n’avez rien d’autre à faire à par changer le enabled = false à true.

Ajouter des filtres personnalisés

Les filtres par défaut sont très bien, mais voici quelques filtres personnalisés que vous pouvez retrouver sur internet. Vous n’êtes pas obligé de les activer, c’est du bonus.

Le filtre « apache-404″ permet de bannir les utilisateurs qui font trop d’erreurs 404. Généralement ce sont ceux qui recherchent des pages d’administration à l’arrache en modifiant l’url. En revanche, faites très attention ! Si il manque un élement sur votre site, comme par exemple une image, ça va générer une erreur 404 et ça risque de bannir vos visiteurs.

Le filtre « apache-admin » permet de protéger votre espace d’administration si vous en avez un. Dans mon cas non mais je préfère vous le donner quand même.

Et le dernier, « apache-w00tw00t » permet de bannir un scanner de faille « w00tw00t » fréquemment utilisé, on en retrouve la trace dans les logs.

À ajouter dans le fichier /etc/fail2ban/jail.conf.local :

[apache-404]
enabled = true
port = http
filter = apache-404
logpath = /var/log/apache*/error*.log
maxretry = 10

[apache-admin]
enabled = true
port = http
filter = apache-admin
logpath = /var/log/apache*/error*.log
maxretry = 6

[apache-w00tw00t]
enabled = true
filter = apache-w00tw00t
action = iptables[name=Apache-w00tw00t,port=80,protocol=tcp]
logpath = /var/log/apache2/access*.log
maxretry = 1

Maintenant vous devez créer 3 fichiers, qui sont des filtres à base d’expression régulière (Regex), dans /etc/fail2ban/filter.d/ :

(Apparement dans la vidéo, j’ai oublié les « .conf » à la fin des fichiers, pensez y donc)

# Fail2Ban configuration file
#
# Author: Cyril Jaquier
#
# $Revision: 471 $
#

[Definition]

# Option: failregex
# Notes.: regex to match the password failure messages in the logfile. The
# host must be matched by a group named "host". The tag "" can
# be used for standard IP/hostname matching.
# Values: TEXT
# [client x.x.x.x] File does not exist: /home/www/admin/admin,
failregex = [[]client []] File does not exist: .*
#
# Option: ignoreregex
# Notes.: regex to ignore. If this regex matches, the line is ignored.
# Values: TEXT
#
ignoreregex =

# Fail2Ban configuration file
#
# Author: Cyril Jaquier
#
# $Revision: 471 $
#

[Definition]

# Option: failregex
# Notes.: regex to match the password failure messages in the logfile. The
# host must be matched by a group named "host". The tag "" can
# be used for standard IP/hostname matching.
# Values: TEXT
# [client x.x.x.x] File does not exist: /home/www/admin/admin,
failregex = [[]client []] File does not exist: .*admin|PMA|mysql

#
# Option: ignoreregex
# Notes.: regex to ignore. If this regex matches, the line is ignored.
# Values: TEXT
#
ignoreregex =

# Fail2Ban configuration file
#
# Author: Cyril Jaquier
#
# $Revision: 471 $
#

[Definition]

# Option: failregex
# Notes.: regex to match the password failure messages in the logfile. The
# host must be matched by a group named "host". The tag "" can
# be used for standard IP/hostname matching.
# Values: TEXT
# [client x.x.x.x] File does not exist: /home/www/admin/admin,
failregex = [[]client []] File does not exist: .*admin|PMA|mysql

#
# Option: ignoreregex
# Notes.: regex to ignore. If this regex matches, the line is ignored.
# Values: TEXT
#
ignoreregex =
root@ks367082:/etc/fail2ban/filter.d# cat apache-w00tw00t.conf
[Definition]

failregex = ^ -.*"GET \/w00tw00t\.at\.ISC\.SANS\.DFind\:\).*".*

ignoreregex =

Ensuite, vous pouvez faire un restart de fail2ban avec /etc/init.d/fail2ban restart et c’est terminé.

Détecteur de backdoor

Le dernier logiciel à installer est un détecteur de Backdoor. Pour l’installer, faites un apt-get install rkhunter et vérifier dans son fichier de configuration /etc/default/rkhunter que report_email est sur root et cron_daily_run à yes.

Vous recevrez des emails en cas si des fichiers sensibles sont modifiées. Attention toutefois, car il peut générer des faux positifs.

Recevoir un email lors d’une connexion ssh

Cette fois-ci c’est plus une astuce qu’un logiciel. Si vous souhaitez recevoir un email dés que quelqu’un se connecte sur un compte d’un utilisateurs système, vous pouvez modifier son fichier ~user/.bashrc et ajouter la ligne suivante : echo ‘Acces SheLL Root’ `who` `date` | mail -s `hostname` Shell Root email@domaine.tld

À chaque connexion, ce bout de code sera exécuté et vous serez avertie. Plutôt pratique si vous êtes parano et souhaitez détecter des intrusions facilement.

En conclusion, avec ces quelques principes de bases vous devriez avoir un serveur sécurisé. N’oubliez pas qu’aucun serveur n’est infaillible et gardez toujours un système à jour pour limiter les risques. Dans la prochaine vidéo, nous verrons comment augmenter la sécurité d’apache et dans une autre vidéo comment mettre en place un système de backup.

Si vous voulez en apprendre plus sur Iptables, je vous recommande ce tutoriel sur le site du zéro.

Si vous avez aimé l’article, n’hésitez pas à le diffuser sur Facebook/Twitter via les boutons ci-dessous. Je vous invite également sur la page facebook du blog (merci d’avance).

(Image à la une : No entry sign)

Cet article Sécuriser son serveur dédié avec Iptables, fail2ban et Rkhunter est apparu en premier sur Tutoriels-Video.

À la fin de ce tutoriel, vous serez en mesure de gérer plusieurs adresses emails virtuelles (au moins une par nom de domaine) de la forme : contact@nomdedomaine.tld.

On va en profiter pour installer un Webmail pour gérer nos emails (envoie et réception) sur nos différents noms de domaine avec une interface en ligne assez sympa (merci Roundcube) :

En revanche, je ne vous cache pas que c’est probablement le tutoriel le plus compliqué de la série et qu’il y a énormément de choses qui peuvent planter ce qui ne facilite pas le débogage. Mais si vous suivez la vidéo avec attention, tout devrait bien se passer :

Comme d’habitude un petit résumé des grandes étapes avec un bonus à la fin des erreurs les plus courantes et quelques astuces en cas de problème !

Installation de Postfix

L’installation de postfix en elle-même est très simple, il suffit de taper la ligne de commande « apt-get install postfix-mysql » et de choisir « pas de configuration » pendant l’installation.

Les plus curieux d’entre vous auront constatés qu’on installe un paquet un peu spécial de postfix avec une extension « -mysql ». Cette version nous simplifie les choses, on utilisera une base de données MySQL pour stocker nos différents comptes email et noms de domaine.

Création des tables SQL pour Postfix

On a besoin de créer 3 tables pour Postfix :

1. Une table « domaines » qui contient la liste des noms de domaine hébergés sur le serveur
2. Une table « comptes » qui contient toutes les adresses emails virtuelle de la forme « contact@nomdedomaine.tld »
3. Une table « alias » qui contient différents alias email que nous n’utiliserons pas.

Pour créer ces tables, le plus simple reste de copier/coller ce code SQL dans phpmyadmin. En revanche, vous devez d’abord créer une base de données « postfix » avec un utilisateur « postfix » ayant tout droits sur cette base.

USE postfix;

CREATE TABLE `domaines` (
  `domaine` varchar(255) NOT NULL default '',
  `etat` tinyint(1) NOT NULL default '1',
  PRIMARY KEY  (`domaine`)
) ENGINE=MyISAM;

CREATE TABLE `comptes` (
  `email` varchar(255) NOT NULL default '',
  `password` varchar(255) NOT NULL default '',
  `quota` int(10) NOT NULL default '0',
  `etat` tinyint(1) NOT NULL default '1',
  `imap` tinyint(1) NOT NULL default '1',
  `pop3` tinyint(1) NOT NULL default '1',
  PRIMARY KEY  (`email`)
) ENGINE=MyISAM;

CREATE TABLE `alias` (
  `source` varchar(255) NOT NULL default '',
  `destination` text NOT NULL,
  `etat` tinyint(1) NOT NULL default '1',
  PRIMARY KEY  (`source`)
) ENGINE=MyISAM;

Configuration de Postfix pour le lier à la BDD

Maintenant que la base de données est fonctionnelle avec toutes les tables et un utilisateurs valide, nous devons créer 5 fichiers de configurations pour expliquer à Postfix comment utiliser cette base de données. Les fichiers se ressemblent donc faites attention aux erreurs d’inattention :

/etc/postfix/mysql-virtual_domaines.cf

hosts = 127.0.0.1
user = postfix
password = Mot de passe Mysql Postfix
dbname = postfix
select_field = 'virtual'
table = domaines
where_field = domaine
additional_conditions = AND etat=1

/etc/postfix/mysql-virtual_comptes.cf

hosts = 127.0.0.1
user = postfix
password = Mot de passe Mysql Postfix
dbname = postfix
table = comptes
select_field = CONCAT(SUBSTRING_INDEX(email,'@',-1),'/',SUBSTRING_INDEX(email,'@',1),'/')
where_field = email
additional_conditions = AND etat=1

/etc/postfix/mysql-virtual_aliases.cf

hosts = 127.0.0.1
user = postfix
password = Mot de passe Mysql Postfix
dbname = postfix
table = alias
select_field = destination
where_field = source
additional_conditions = AND etat=1

/etc/postfix/mysql-virtual_aliases_comptes.cf

hosts = 127.0.0.1
user = postfix
password = Mot de passe Mysql Postfix
dbname = postfix
table = comptes
select_field = email
where_field = email
additional_conditions = AND etat=1

/etc/postfix/mysql-virtual_quotas.cf

hosts = 127.0.0.1
user = postfix
password = Mot de passe Mysql Postfix
dbname = postfix
table = comptes
select_field = quota
where_field = email

Une fois terminée, je vous recommande de sécuriser un peu tout cela avec ces lignes de commandes :

Création de l’utilisateur et groupe vmail

Pour avoir une configuration assez propre et sécurisé, nous pouvons créer un utilisateur et un groupe vmail qui se chargera de gérer/stocker les courriels sur le serveurs. Nous devons préciser des UID et GID précis (5000) car nous en auront besoin plus tard dans un fichier de configuration.

Configuration de Postfix

Maintenant on doit configurer le fichier principal de Postfix. Par défaut le fichier est vide, car nous avons choisi « pas de configuration » pendant l’installation. Comme promis dans la vidéo, voici un exemple de fichier de configuration commenter pour vous expliquer les différentes lignes :

# Bannière afficher lorsqu'on se connecte en SMTP sur le port 25
smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU)

# Service qui envoie des notifications "nouveau message"
biff = no

# Desactive la commande SMTP VRFY. Arrête certaine technique pour avoir des adresses email
disable_vrfy_command = yes

# Impose au client SMTP de démarrer la session SMTP par une commande Helo (ou ehlo)
smtpd_helo_required = yes

# Avec le courier local ça ajoute .NDD aux adresses incomplètes (seulement le nom d'hote)
append_dot_mydomain = no

# Le nom de la machine du système de messagerie
# Par défaut c'est host.domain.tld mais on peut mettre un reverse dns
myhostname = REVERSE_DNS

# Le domaine utilisé par defaut pour poster les message local
myorigin = REVERSE_DNS

# Liste des domaines pour lequel le serveur doit accepter le courrier
mydestination = REVERSE_DNS, localhost.localdomain, localhost

# Pour effectuer des livraisons de courrier avec un relay (ici non)
relayhost =

# Liste des réseaux locaux autorisés
mynetworks = 127.0.0.0/8, IP_PUBLIQUE_SERVEUR

# Taille des boîtes au lettre (0 = illimité)
mailbox_size_limit = 0

# Séparateur entre le nom d'utilisateur et les extensions d'adresses
recipient_delimiter = +

# Interfaces réseaux à écouter (ici toutes)
inet_interfaces = all

# Gestion des boites mails virtuelle
# Contient les fichiers qui permettent de relier postfix  mysql
virtual_alias_maps = mysql:/etc/postfix/mysql-virtual_aliases.cf,mysql:/etc/postfix/mysql-virtual_aliases_comptes.cf
virtual_mailbox_domains = mysql:/etc/postfix/mysql-virtual_domaines.cf
virtual_mailbox_maps = mysql:/etc/postfix/mysql-virtual_comptes.cf

# Le dossier ou seront contenu les mails (=home de l'user vmail)
virtual_mailbox_base = /var/spool/vmail/

# L'id du groupe et de l'utilisateur vmail créé précédement
virtual_uid_maps = static:5000
virtual_gid_maps = static:5000

# Créer un dossier par comte email
virtual_create_maildirsize = yes

# A activer si vous souhaitez ajouter des quotas
virtual_mailbox_extended = yes

# Impose les limites au niveau des mails, dans notre cas aucune
virtual_mailbox_limit_maps = mysql:/etc/postfix/mysql-virtual_quotas.cf

# Ajouter une limite sur la taille des messages pour les boites virtuelles
virtual_mailbox_limit_override = yes
virtual_maildir_limit_message = "La boite mail de votre destinataire est pleine, merci de reessayez plus tard."
virtual_overquota_bounce = yes

# adresses d'expedition
smtpd_sender_restrictions =
        permit_mynetworks,
        warn_if_reject reject_unverified_sender

# adresses de destination
smtpd_recipient_restrictions =
        permit_mynetworks,
        reject_unauth_destination,
        reject_non_fqdn_recipient

# client
smtpd_client_restrictions =
        permit_mynetworks

Si vous avez encore des problèmes avec ce fichier, je vous recommande de lire la documentation qui explique tous les paramètres du fichier main.cf.

Une fois cette configuration terminée, vous pouvez redémarrer Postfix et vérifier sa configuration :

Ajout d’adresses email virtuelles

Tout est bon au niveau de postfix, il ne nous reste plus qu’à ajouter un nom de domaine et une adresse email virtuelle dans notre base de données via phpmyadmin. Voilà les codes SQL utilisés dans la vidéo :
Ajouter un nom de domaine

Ajouter une adresse virtuelle

Un petit test

Il ne nous reste plus qu’à tester notre configuration globale en nous connectant avec telnet sur le port 25 et en envoyant un email. De plus, en envoyant ce premier mail ça va automatiquement créer le dossier pour le nom de domaine dans /var/spool/vmail.

Si vous n’avez pas d’erreurs, c’est que tout ce passe bien et vous pouvez le vérifier grâce aux fichiers de logs.
Si vous n’arrivez pas vous connecter en telnet, vous pouvez tenter ces lignes de commandes :

Installation de Courier pour la gestion de l’imap et pop

Maintenant que Postfix est installé et configuré, on a besoin d’installer courier afin de gérer les protocoles pop et imap, qui nous permettent de récupérer nos email via un client comme Thunderbird ou de mettre en place un Webmin comme Roundcube. Voici la liste des paquets à installer :

Configuration

Nous devons configurer courier afin de préciser qu’on utilise une base de données pour les adresses emails virtuelles. Voici les modifications qu’il faut faire :

On doit ensuite fournir les identifiants de connexion à la base de données et le nom des tables :

Et c’est tout pour la configuration de Courier, il ne nous reste plus qu’à faire un reboot des différents services :

Roundcube

Tout est près, on peut d’ores et déjà récupérer ces emails avec un client comme le célèbre Thunderbird, mais je vous propose d’installer un Webmail qui présente l’avantage d’avoir une interface en ligne.
Commencez par récupérer le lien pour télécharger la dernière version de RoundCube sur cette page (Dans sourcefourge faites un clique droit/copier l’adresse du lien sur le « direct link »).
Ensuite en ligne de commande on télécharge et dé-zippe le fichier avec wget et tar puis on crée un utilisateur pour héberger le code de roundcube :

Désormais le code pour Roundcube est disponible dans le dossier /home/roundcube/www (comme pour les autres sites) et donc nous devons créer un fichier virtual host :

/etc/apache2/sites-available/roundcube

<VirtualHost *:80>
ServerAdmin votre@email.tld
	ServerName webmail.ks367082.kimsufi.com
	ServerAlias webmail.tutorielvideo.fr
	DocumentRoot /home/roundcube/www
	# SuexecUserGroup roundcube roundcube # on verra ça plus tard
	<Directory /home/roundcube/www>
		Options FollowSymLinks
		AllowOverride All

		Options FollowSymLinks MultiViews
		AllowOverride All
		Order allow,deny
		allow from all
	</Directory>
	ErrorLog ${APACHE_LOG_DIR}/error.log
	# Possible values include: debug, info, notice, warn, error, crit,
	# alert, emerg.
	LogLevel warn
        CustomLog ${APACHE_LOG_DIR}/access.log combined
</VirtualHost>

Maintenant on va créer la base de données pour Roundcube. Connectez-vous sur votre phpmyadmin et créez une base de données Roundcube avec un utilisateur Roundcube qui possède tous les droits sur la base.
Ensuite, on va importer un fichier SQL pour créer les tables nécessaires à Roundcube :

mysql -u root -p roundcubemail < /var/www/webmail/SQL/mysql.initial.sql

Ensuite, vous devez lancer l’installateur de roundcube en allant sur la page http://ksXXXXX.kimsufi.com/~roundcube/installer. Les étapes sont simples à suivre, n’oubliez pas de configurer la base de données.

À l’étape 2, Roundcube vous donnera 2 fichiers de configuration que vous devez créer avec l’éditeur VI par exemple.

Enfin n’oubliez pas de donner les répertoires ~roundcube/www/temp et logs à apache avec un chwon www-data:www-data /home/roundcube/www/temp (et logs).

Maintenant il ne vous reste plus qu’à tester Roundcube en envoyant un email de test et en testant l’imap en donnant l’adresse email virtuelle que vous avez configuré précédemment avec le mot de passe sur le serveur 127.0.0.1.

Erreurs fréquentes

Dans l’installation et la configuration d’un serveur de mail, on peut très facilement se tromper. Pour vous éviter de rechercher des solutions pendant des jours comme je l’ai fait, je vous propose une petite liste d’erreurs que j’ai déjà commise avec leurs solutions. Cette liste pourra éventuellement se mettre à jour en fonction de vos réactions.

J’ai une erreur 500 sur la page Roundcube

Si vous n’arrivez pas accéder à la page d’installation ou d’index de Roundcube et que vous avez une erreur 500, le problème vient probablement du fichier .htaccess. En effet, Roundcube utilise un fichier .htaccess pour redéfinir des règles pour Apache.

Cependant, il faut autoriser l’utilisation de fichier htaccess en plaçant une directive « AllowOverride All » dans le fichier virtual host du site. Il faut également placer cette directive dans le fichier de configuration de UserDir (/etc/apache2/mods-available/userdir.conf).
De toute manière, en faisant un tour dans les logs, on voit tout de suite si le problème vient des htaccess.

Je n’arrive pas me connecter avec Roundcube / L’imap fonctionne pas

Si le test de l’imap à l’étape 3 de l’installation de Roundcube plante ou si vous n’arrivez pas vous connecter avec une adresse email virtuelle, le problème peut venir du fait que le compte email est « vide ».

En effet, pendant le tutoriel nous utilisons telnet pour envoyer un email sur l’adresse fraîchement créé via phpmyadmin. Cela permet de vérifier que tout fonctionne bien, mais cela génère également le dossier qui va contenir tous les emails du domaine dans /var/spool/vmail/. Si ce dossier n’existe pas, vous n’arriverez pas à vous connecter sur votre compte avec Roundcube. La solution est donc de refaire l’étape du telnet et de vérifier que ça génère bien le dossier.

Si en regardant les logs, vous avez une erreur du type « authentification failed » ou un message ressemblant, ça vient probablement du fichier /etc/courier/authmysqlrc. Soit vous avez oublié de commenter la ligne « MYSQL_NAME_FIELD », ou alors vous avez oublié le « MYSQL_MAILDIR_FIELD ».

Je n’arrive pas me connecter en telnet

Si vous n’arrivez pas vous connecter en telnet (si ça freeze), c’est qu’un des fichiers de configuration est mal fait. Vous pouvez le vérifier en regardant dans /var/log/syslog. Si ça ne fonctionne toujours pas, vous pouvez toujours d’arreter postfix et de lancer la commande « newaliases« .

Comment trouver une solution à un problème

Si vous avez un problème qui n’est pas recensé ici, voici quelques pistes pour le trouver. Premier réflexe, si quelque chose ne fonctionne pas -> aller voir les logs.
Voici les fichiers de log intéressant dans ce cas :

• /var/log/syslog : la plupart des erreurs systèmes sont la dedans
• /var/log/mail.log : pour tout ce qui concerne les email
• /var/log/apache2/error.log : toutes les erreurs concernant apache

La plupart du temps vous pouvez identifier le problème et avec une recherche Google (et un peu de logique), on arrive trouver des solutions.

Le tutoriel est enfin terminé, si vous avez des questions ou un prolbème vous pouvez toujours laisser un commentaire. En revanche donnez moi des informations si vous voulez de l’aide (comme les fichiers de logs) car je ne suis pas devin :p.

Si vous me donner des fichiers de log, utilisez un service comme pastebin. Les commentaires de personnes qui donne directement les logs en brut dans les commentaires ne seront pas validés !
Enfin, n’oubliez pas de partarger cet article sur twitter/facebook et de devenir fan de la page en cliquant ici.

(Image à la une : Mail me)

Cet article Installation et configuration d’un serveur de mail avec postfix et courier est apparu en premier sur Tutoriels-Video.

Ce tutoriel est sans doute l’un des plus compliqués de la série sur les serveurs dédiés.
Pour résumé simplement, on va ajouter un site internet sur notre serveur dédié. Pour ajouter un site, on a besoin de configurer le serveur DNS pour que le nom de domaine soit bien géré par notre serveur dédié et configurer apache pour lui dire « si tu reçois une requête pour ce nom de domaine, voilà où sont situé les fichiers nécessaires et voilà les règles à appliquer ».

Avant de commencer la vidéo, je vous recommande de lire (en diagonale) la page wikipedia sur les serveurs DNS pour que vous puissiez vous faire une idée de ce que c’est.

Comme d’habitude, un petit résumé de la vidéo avec les différents codes utilisés s’impose.

Installation du serveur FTP

L’installation du serveur FTP est l’étape la plus simple de la vidéo, il suffit de faire un « apt-get install proftpd » et de choisir « indépendamment » (standalone) lors de l’installation pour avoir un serveur FTP fonctionnel.

Niveau configuration, voici ce que je recommande :

/etc/proftpd/proftpd.conf

# On est pas encore en IPV6 mais ça risque de changer sous peu
UseIPv6 Off
# Désactive l'identification distante
IdentLookUps Off
# Cache les liens symboliques
ShowSymLinks Off
# Enfermer les utilisateurs dans leurs homes (~) respectives (ou ~/www plutôt)
DefaultRoot ~/www
# Autoriser la reprise d'upload
AllowStoreRestart On
# Autoriser la reprise de download
AllowRetrieveRestart On

N’oubliez pas de faire un « /etc/init.d/proftpd restart » et vous pouvez tester en vous loguant avec un utilisateur système valide à partir d’un client FTP comme FileZilla par exemple.

Si vous avez des soucis avec l’envoi de fichier par FTP, c’est sans doute un problème de droits. La plupart du temps, c’est qu’un dossier appartient à « Root », vous pouvez changer cela avec chown et chgrp.

Configuration d’apache : les virtuals hosts

Si l’on souhaite ajouter un site internet sur notre serveur, il faut configurer apache pour qu’il sache quoi faire (dans quel dossier aller chercher les fichiers du site, les règles qu’il doit appliquer, ce genre de choses). Je vous recommande de suivre une règle simple : un nouveau site sur notre serveur = un nouveau fichier « virtual host » dans « /etc/apache2/sites-available/nom_du_site« .

Au niveau de la configuration, c’est plutôt simple puisque la plupart des fichiers virtual hosts se ressemblent, à force ce n’est plus que du copier/coller. Voici un exemple de virtual host :
/etc/apache2/sites-available/tutorielvideo.fr

<VirtualHost *:80>
	# Adresse email à contacter en cas de problemes
	ServerAdmin bvek1.prof@gmail.com
	# Nom de domaine avec les www
	ServerName www.tutorielvideo.fr
	# Les différents alias du site, généralement le NDD sans les www
	ServerAlias tutorielvideo.fr
	# La où sont stocké les données du site
	DocumentRoot /home/tutorielvideo/www
	<Directory />
		# Des options : ici suivre les liens symboliques
		Options FollowSymLinks
		# Autoriser l'override, autrement dit les .htaccess
		AllowOverride All
	</Directory>

	<Directory /home/tutorielvideo/www>
		# Encore des options : multiviews peut être pratique
		# Si on essaye d'accéder à site.com/index
		# Et que index n'existe pas, le serveur va rechercher index.*
		# Autrement dit : index.php, index.html etc...
		Options FollowSymLinks MultiViews
		# Autorise les htaccess
		AllowOverride All
		Order allow,deny
		allow from all
	</Directory>

	# Log pour les erreurs
	ErrorLog ${APACHE_LOG_DIR}/error.log
	LogLevel warn
	# Log des connexion au site
	CustomLog ${APACHE_LOG_DIR}/access.log combined

</VirtualHost>

Je vous conseille de reprendre mon fichier et de faire à peu près pareil pour tous vos sites. Surtout n’hésitez pas à regarder la documentation d’apache pour découvrir de nouvelles options intéressantes.

Au passage, j’en profite pour dire que j’ai une configuration assez particulière en ce qui concerne les sites. Pour moi, un site sur mon dédié = un utilisateur.
C’est assez pratique et intéressant au niveau de la sécurité (un site = un utilisateur = un compte ftp différents par sites, des répertoires séparés et cloisonné). Par contre, avec apache vous devez utiliser le mode userdir et modifier le userdir.conf (dans /etc/apache2/mods-available) pour remplacer « public_html » par « www ». Enfin bref, c’est expliqué dans la vidéo, c’était juste une parenthèse pour ceux qui souhaite copier/coller ma configuration.

Configuration des DNS avec Bind9

Pour faire pointer un nom de domaine sur notre serveur dédié, on doit configurer le serveur de DNS bind. On distingue 2 grandes étapes pendant cette configuration : créer la zone dans /etc/bind/named.conf.local et créer le fichier de configuration du site dans /etc/bind/db.nomdusite.

Si c’est la première fois que vous configurez vos DNS, vous devez également modifier le fichier /etc/bind/named.conf.options pour remplacer le « listen-on{127.0.0.1;}; » par « listen-on{any;}; » sinon les requêtes ne parviendront pas au serveur.

Exemple de zone dans : /etc/bind/named.conf.local

zone "tutorielvideo.fr" {
	type master;
	file "/etc/bind/db.tutorielvideo.fr";
	allow-transfer {213.186.33.199;};
	allow-query{any;};
	notify yes;
};

• type master : indique qu’il s’agit du serveur dédié maitre (pour un dédié secondaire, on aurait mis « slave » (esclave))
• allow-transter :l’adresse IP du serveur DNS secondaire, elle vous est fourni par votre hébergeur.
• allow-query : autorise tout le monde à interroger le serveur
• notify : envoie une notification aux esclaves en cas de mise à jour
• file « /etc/bind/db.tutorielvideo.fr » : indique le fichier qui contient les informations sur le nom de domaine et les sous domaines.

Exemple d’un fichier de zone : /etc/bind/db.nomdedomaine

; tutorielvideo.fr
$TTL    3600
@	IN	SOA	ks383544.kimsufi.com. root.tutorielvideo.fr. (
			2011020906 ; SERIAL
			3600; REFRESH
			15M; RETRY
			1W; EXPIRE
			600 ) ; Negative Cache TTL
;
; NAMESERVERS
;
tutorielvideo.fr. IN       NS       ks383544.kimsufi.com.
tutorielvideo.fr. IN       NS       ns.kimsufi.com.
;
; Nodes in domain
;
www       IN A         94.23.254.44
mail      IN A         94.23.254.44
ns1       IN A         94.23.254.44
smtp      IN A         94.23.254.44
pop       IN A         94.23.254.44
ftp       IN A         94.23.254.44
imap      IN A         94.23.254.44
tutorielvideo.fr.	IN	A	94.23.254.44
tutorielvideo.fr.	IN	MX	10 mail.tutorielvideo.fr.
;
; subdomains
;
*.tutorielvideo.fr. IN A 94.23.254.44

• $TTL : si on traduit, c’est la durée de vie, autrement dit le temps max que les informations peuvent rester en cache (ici 3600s = 1h).
• @ : ça fait référence au domaine de base que l’on est en train d’écrire (ici tutorielvideo.fr)
• IN : c’est la classe, on le retrouve sur chaque ligne et sur internet c’est la seule option possible (autrement dit, on met toujours IN)
• SOA : cet enregistrement sert à indiquer le serveur de nom primaire, l’adresse email à contacter en cas de soucis (le @ remplacer par un .) et des paramètres d’expiration
• SERIAL : c’est une sorte de timestamp sous le format « yyyymmddnn », à changer à chaque modification du fichier pour indiquer une mise à jour
• Refresh : indique au bout de combien de temps les serveurs esclaves doivent rafraîchir leurs caches
• Retry : délai en seconde que les serveurs doivent attendre avant de faire une deuxième requête si la première a échoué
• Expire : le délai en seconde au terme du quel la zone est considérée comme expiré si les serveurs esclaves n’arrivent pas à contacter le serveur primaire
• Negative cache : durée de vie minimale de chaque enregistrement présenté plus bas dans le fichier

Ensuite on déclare tous les enregistrements. De manière globale, voici comment fonctionne un enregistrement (= 1 ligne)

1. En premier on a le nom de domaine concerné, par exemple pour www.tutorielvideo.fr on écrit simplement www. La même chose avec ftp.tutorielvideo.fr, on écrit juste FTP. Dans mon cas vous remarqez que la liste est plutôt longue, mais ce n’est pas obligatoire.
2. Ensuite on peut ajouter un TTL, chose que je n’ai pas faites ici.
3. On ajoute le mot clé IN, dans tous les cas.
4. On précise le type d’enregistrement (et c’est là que ça se complique). Il y a le type A qui permet d’associer une IP à un domaine, le type MX pour définir les serveurs de mail, le type CNAME pour faire des alias.
5. En dernier, la valeur. C’est généralement une adresse IP ou un nom de domaine. Pour les types A c’est une adresse IP.

Voilà pour la configuration de bind sur notre serveur dédié. C’est probablement la chose la plus compliquée à comprendre alors je vous recommande ces liens qui vous donneront des infos supplémentaires :

• La page Wikipedia des DNS : c’est une de mes sources pour ce tutoriel
• Un tutoriel sur le siteduzero : également une de mes sources, simple à comprendre pour les débutants
• Un article de SkyMinds : c’est un peu grâce à lui que j’ai réussi à faire fonctionner mes DNS la première fois

Maintenant que nous avons configurer bind, je vous propose quelques astuces pour vérifier vos fichiers de configuration. Premièrement, lorsque vous avez fini, placez vous dans le répertoire /etc/bind et lancez la commande « named-checkconf -z » qui se chargera de vérifier vos fichiers.

Je vous recommande également de lancer la commande « named-checkzone nomdedomaine. db.nomdedomaine » pour vérifier vos zones. N’oublier pas de redémarrer bind une fois terminé avec « /etc/init.d/bind9 reload« .

Une dernière vérification, lancez un terminal (côté client cette fois) et essayez « nslookup nomDeDomaine adresseDuServeur » et si tout est ok vous devez avoir votre nom de domaine suivi de l’adresse ip de votre serveur. Si c’est bon, vous pouvez passer à la configuration côté OVH.

Manipulation à faire sur le panel d’OVH

Lorsque vous avez fini de configurer votre serveur DNS sur le serveur, vous devez faire quelques manipulations dans votre panel OVH. La première chose à faire, c’est d’ajouter le nom de domaine que vous souhaitez héberger sur votre dédié dans le DNS secondaire d’ovh. Pour faire ça, vous devez sélectionner votre serveur dédié, onglet services, puis DNS secondaire. Vous cliquez sur « nouveau domaine » et vous précisez le nom de domaine avec l’ip de votre serveur. À la fin, vous devez avoir un truc qui ressemble à ça :

Ensuite, vous devez sélectionner le domaine que vous souhaitez mettre sur votre serveur dédié, cliquer sur « Domaine et DNS » puis « Serveur DNS » et enfin modification. En DNS primaire vous mettez votre serveur dédié et en secondaire, si vous avez un Kimsufi, ns.kimsufi.com (si vous avez une autre offre, renseigner vous). Vous devez avoir un truc comme ça :

Ensuite vous validez et patientez pendant 10-15 minutes. Si vous recevez un email vous confirmant que ça c’est bien passé, vous devez attendre encore 48h (ou moins si vous êtes chanceux) le temps que l’info se propage. Si vous avez une erreur, vérifier votre configuration de bind, surtout ce fichier /etc/bind/named.conf.options, regarder la ligne « listen-on » qui doit être sur « any » et non pas « 127.0.0.1 ».

Voilà, le tutoriel est enfin terminé, j’espère que vous avez appréciez et que ça fonctionne de votre côté. Si vous avez des questions vous pouvez laisser un commentaire ci dessous (mais par pitié, lisez de la doc et faites des recherches avant, je suis surchargé de questions …). N’hésitez pas à partager cette page sur Facebook/Twitter/Google+ et rejoingez la page officiel du blog sur Facebook (merci !).

(Image à la une : Image du kit online)

Cet article Installation du serveur FTP et ajout d’un nom de domaine sur un serveur dédié est apparu en premier sur Tutoriels-Video.

• Un serveur web apache2
• PHP pour avoir des pages dynamiques
• Une base de données Mysql
• L’application Web phpmyadmin pour gérer nos bases de données simplement

Dans la vidéo, vous apprendrez également comment fonctionne apache2, comment activer et désactiver des mods/sites. Voici la vidéo, pensez à activer le mode plein écran avec la HD :

Installation d’apache

Apache est l’un des éléments les plus importants, c’est le serveur web qui va délivrer les pages aux visiteurs. Vous pouvez l’installation via la ligne de commande « apt-get install apache2 apache2-common« . La configuration par défaut d’apache est pas si mal, mais on peut améliorer quelques éléments. Je vous conseille d’ajouter/modifier ces éléments :
Dans /etc/apache2/apache2.conf

Dans la vidéo, j’ai également parlé de quelques commandes. En voici un résumé, néanmoins sachez que j’en reparle dans la 3ème vidéo sur les serveurs dédiés :

• a2enmod : permet d’activer un mod pour apache (apache2 enable mod)
• a2dismod : permet de désactiver un mod (apache2 disable mod)
• a2ensite : active un site
• a2dissite : désactive un site
• apache2ctl -t -D DUMP_MODULES : permet de voir la liste des modules activés

Une parenthèse au passage, que j’explique dans le 3ème tutoriel, tous les mods disponibles sont contenus dans le dossier /etc/apache2/mods-available et tous les mods activé sont dans /etc/apache2/mods-enabled. C’est la même chose avec les sites dans /etc/apache2/sites-available (et enabled). À chaque fois que vous voulez ajouter un site, vous devez créer un fichier de configuration (appelé un virtual host) dans /etc/apache2/sites-available et activer ce site avec la commande a2ensite.

Par défaut, les sites sont dans le répertoire /var/www (en y faisant un tour, vous retrouvez le fameux « It Works »). Plus tard, on changera ça pour faire une configuration particulière : un site = un utilisateur sur le système et donc les fichiers du site seront contenu dans /home/username/www. Pour cela on aura besoin du mode userdir. (mais c’est l’objet de la prochaine vidéo)

Installation de PHP

Avoir un serveur Web c’est bien, mais s’il est seulement capable de gérer des pages HTML toute simple, on ne va pas aller bien loin ! On a donc besoin d’installer PHP pour avoir des pages dynamiques. Voici la commande (très longue) à taper pour installer PHP et tous ces modules  :

Une fois PHP installé, c’est une bonne idée d’aller faire un tour dans les fichiers de configuration. Voici ce que je vous propose de modifier/ajouter :
/etc/php5/apache2/php.ini

Voilà pour le fichier php.ini, qui est très long, je vous recommande de lire la documentation et notamment cette page qui contient toutes les directives de ce fichier php.ini. N’oubliez pas de redémarrer le serveur apache avec un /etc/init.d/apache reload.

Configuration de MySQL

Un site dynamique sans base de données n’est pas très utile. Pour installer MySQL, il suffit de faire un « apt-get install mysql-server mysql-client mysql-common« . Lors de l’installation on vous demandera des informations, comme le mot de passe Root de MySQL. Au niveau de la configuration, voici les options que le recommande :

/etc/mysql/my.cnf

# Mettre la langue en Français
language = /usr/share/mysql/french
# Taille du cache des index
key_buffer = 32M
# Limite du cache par requête
query_cache_limit = 2M
# Limite du cache pour toutes les requêtes
query_cache_size = 32M
# Loguer les requêtes lentes
log_slow_queries = /var/log/mysql/mysql-slow.log
# Indique le temps à partir du moment ou une requête est considéré comme lente
long_query_time = 2
# Activer l'utf-8 par default sur le serveur (dans [mysqld])
default-character-set = utf8
default-collation = utf8_general_ci
# dans [client]
default-character-set = utf8

Après avoir fait des modifications, n’oubliez pas de relancer le serveur avec « /etc/init.d/mysql reload« . Ensuite je vous recommande très fortement de lancer « mysql_secure_installation » pour sécurité votre installation. Répondez « no » à la première question (sauf si vous désirez changer le mot de passe root de mysql) et Yes à toutes les autres (et refaites un reload).

Installation de phpmyadmin

Pour gérer vos bases de données, je vous recommande d’utiliser phpmyadmin qui est bien plus pratique que mysql en ligne de commande. Pour cela rien de plus simple, faites un « apt-get install phpmyadmin » et donner le mot de passe root de MySQL et choigissez un mot de passe Root pour phpmyadmin durant l’installlation.

N’oubliez pas de cocher la case « apache2 » durant l’installation avec la touche espace du clavier (si vous faites « entrer » ça ne cochera pas apache et passera à l’étape suivante). Si vous avez fait « entrer » (comme moi au début, forcément), vous pouvez rattraper la boulette avec un dpkg-reconfigure phpmyadmin.

Lorsque l’installation est terminée, redémarrez apache et allez sur : http://ksXXXXXX.kimsufi.com/phpmyadmin pour vous loguer et créer vos BDD.

Le tutoriel est terminé, n’hésitez pas à approfondir vos connaissances en faisant quelques recherches, bidouiller les fichiers de configurations, poser des questions, c’est comme ça qu’on apprend ! Au passage, je vous propose de rejoindre la page facebook du blog en cliquant ici (merci !).

(Image à la une : DC-31 du kit de photo online)

Cet article Installation de apache, php, mysql et phpmyadmin sur un serveur dédié est apparu en premier sur Tutoriels-Video.

Par conséquent, pour créer/éditer des fichiers en console, on est obligé d’utiliser des outils à l’apparence simpliste et pas très « user friendly ». VI fait partie de ces éditeurs qu’il faut absolument savoir maîtriser, car il est installé par défaut sur les systèmes Unix.
Dans cette vidéo je vous montre les principes de bases pour comprendre comment VI fonctionne et pour savoir l’utiliser.

La vidéo n’est pas très exhaustive et plutôt rapide, car VI est tellement riche qu’il est impossible de tout expliqué (à vous de faire quelques recherches par la suite).

Je pense qu’un petit résumé des différentes fonctionnalités basique de VI ne fera pas de mal (n’hésitez pas à les recopier sur une feuille pour l’avoir à portée de main).

Déplacement

• h : aller à gauche (équivalent de la flèche gauche)
• j : aller en bas (flèche bas)
• k : aller en haut (flèche haut)
• l : aller à droite (flèche droite)
• 0 : se placer en début de ligne
• $ : se placer en fin de ligne
• w : se déplacer de mot en mot (w = word)
• G : dernière ligne du document
• gg : première ligne du document

Modes

• i : passage en mode insertion (sur le caractère courant)
• a : passage en mode insertion (après le carractère courant)
• r : remplacer une lettre
• ESC (echap) : passage en mode commande

Couper / Copier / Coller / Effacer

• x ou Suppr : efface les lettres  (4x efface 4 lettres)
• dd : supprime (coupe) une ligne  (2dd pour couper 2 lignes)
• dw : supprime (coupe) un mot
• d0 : supprimer du curseur jusqu’au début de la ligne
• d$ : supprime du curseur jusqu’à la fin de ligne
• yy : copie la ligne
• p : pour coller (ce qu’on à couper avec dd, d0, d$, dw ou yy etc…)

Recherche

• /mot clé : recherche le mot clé dans le document
• n : passe au mot clé suivant
• :s/ancien/nouveau : recherche « ancien » et le remplace par « nouveau »
• :s/ancien/nouveau/g : même chose que précédemment, mais sur toutes les occurrences d’une ligne
• :%s/ancien/nouveau/g : remplace « ancien » par « nouveau » dans tout le document

Enregistrer et quitter

• :w : enregistre le fichier (sans quitter VI)
• :wq : enregistre le fichier et quitte VI
• :q : quitter VI (à condition que le fichier soit déjà enregistré)
• :q! : quitte VI (sans enregistrer les modifications)

Paramétrage de VI

On copie le fichier de configuration dans notre répertoire personnel et on l’ouvre pour le modifier. Voici les options intéressantes :

• syntax on : pour activer la coloration syntaxique
• set background=dark : permet d’améliorer la lisibilité en faisant ressortir le texte
• set number : ajoute des numéros devant les lignes
• set mouse=a : activer la gestion de la souris (permet de scroller avec la roulette et de placer le curseur)

Voilà pour les bases de VI, si vous souhaitez approfondir vos connaissances il y a des tonnes de tutoriels sur internet ! Si vous avez des questions n’hésitez pas à laisser un commentaire (mais faites l’effort de faire une recherche avant, merci). N’oubliez pas de partager cet article sur Facebook/Twitter et allez rejoindre la page Facebook du blog .

(Image à la une : écran d’accueil de Vim édité par mes soins)

Cet article Apprendre à utiliser l’éditeur VI est apparu en premier sur Tutoriels-Video.

• Choisir et commander un serveur dédié (exemple d’ovh et des offres Kimsufi)
• Se connecter en SSH à son serveur
• Mettre à jour son système
• Ajouter des utilisateurs et changer le mot de passe Root
• Changer de noyau (facultatif)
• Sécuriser SSH (changement de port et blocage du login root)
• Des tas de petites astuces et conseils

Voici la vidéo, garder en tête que les temps de chargement sont coupés et n’hésitez pas à passer en pleine écran avec la HD :

J’espère que le tutoriel vidéo vous aura plus, mais un petit résumé avec du texte ne fera pas de mal :

Choix du serveur dédié et de la distribution

Lorsqu’on choisit un serveur dédié, on doit penser à plusieurs choses : quel type de serveur prendre (choix du processeur, ram, disque dur) et quel type de distribution prendre (un windows serveur, Ubuntu server, Debian). Dans mon cas et comme c’est mon premier serveur dédié, destiné à héberger tous mes sites avec un traffic assez faible, le choix du serveur était vite fait : le moins cher (un Kimsufi de chez OVH). Ensuite au niveau de la distribution, je connaissais bien Ubuntu puisque je l’utilise tous les jours sur mon PC, mais j’ai préféré prendre une Debian où j’ai plus de liberté que sur Ubuntu et puis c’est plus stable (en plus il y a des tonnes de tutoriel sur cette distribution).

Première connexion en ssh

Une des choses les plus importantes c’est se connecter à son serveur pour l’administrer. Malheureusement, comme vous l’avez certainement compris, il n’y a pas d’interface graphique et on est obligé de passer par des lignes de commandes (avec le temps on apprécie de plus en plus ). Pour se connecter on utilise un protocole sécurisé (basé sur la cryptographie asymétrique pour ceux que ça intéresse). Sur Linux et sur Mac, SSH est installé par défaut dans la console, mais sur Windows vous devez passer par un logiciel comme putty (voici un lien pour un tutoriel).

Pour une première connexion voici ce qu’il faut taper dans la console (ensuite n’oubliez pas d’entrer votre mot de passe fourni par email) :

Mise à jour du serveur

Une fois connecté à votre machine, la première chose que vous pouvez faire c’est mettre à jour votre système. Pour cela, il faut d’abord rechercher les mises à jour disponibles avec apt-get update et ensuite les installer avec apt-get upgrade . N’oubliez pas que c’est quelques choses à faire très régulièrement si vous voulez conserver un système à jour et donc plus sûr !

Changer de noyau

Comme je l’ai expliqué dans la vidéo, sur les serveurs Kimsufi (du moins lorsque j’écris ces lignes), la distribution que vous installez possède un noyau qui a été modifié par OVH. Malheureusement ça nous restreint, notamment au niveau du Firewall Iptables. Pour résoudre ce problème, le plus simple est d’installer un noyau non modifié.

La première ligne permet de savoir quel noyau linux vous possédez actuellement, la 2eme permet d’installer un noyau de base, la 3e permet de sauvegarder le fichier de configuration de grub dans le répertoire root, la 4e permet de générer une nouvelle configuration pour grub (avec le nouveau noyau), la 5e permet de dire à grub de démarrer sur le nouveau noyau, la 6e met à jour la configuration de grub et enfin on reboot et vérifie que le nouveau noyau est bien pris en compte.

Ajout d’un utilisateur et changement de mot de passe

Pour créer un utilisateur on utilise la commande adduser nom_utilisateur et on renseigne ces infos comme le mot de passe (le reste importe peu). Pour changer le mot de passe d’un utilisateur système, on utilise la commande passwd nom_utilisateur. Je vous recommande fortement de changer le mot de passe Root (passwd root).

Sécuriser SSH

Par défaut ssh est un protocole sécurisé, mais comme on le dit l’erreur est entre la chaise et le clavier :p. Pour sécuriser ssh, vous devez modifier le fichier /etc/ssh/sshd_config et changer le port (par défaut sur 22), véfifier que vous êtes bien en protocole 2, désactiver le login Root avec PermitRootLogin placé à « No » et faire une liste des utilisateurs autorisés à se connecter en ssh avec AllowUsers (vous pouvez mettre l’utilisateur que vous avez créé précédemment).

Pourquoi faire tout ça ? Tout simplement pour éviter les attaques par brute force, la première chose que chercherons les pirates, c’est de se connecter en tant que root sur le port 22 de votre machine, en essayant tout les mots de passe possible. On leurs rend la chose plus compliqué en changeant tout ça et même s’ils trouvent le mot de passe de votre utilisateur, ils n’auront pas les droits de root !

Plus tard on verra comment bannir les adresses ip qui tente de se connecter 3 fois de suites avec un mot de passe erroné grâce à fail2ban.

Le tutoriel est terminé, si vous voulez voir la suite je vous conseille la seconde vidéo qui explique comment installer un serveur apache avec php, mysql et phpmyadmin. Si vous avez des remarques ou des questions, vous pouvez toujours laisser un commentaire en bas :-). N’oubliez pas de rejoindre la page facebook et partager cet article si ce n’est pas déjà fait !

Cet article Se connecter en SSH à un serveur dédié est apparu en premier sur Tutoriels-Video.

• +100 ms sur le temps de chargement sur Amazon : -1% du chiffre d’affaire
• 500ms de plus chez Google : 20% de recherches en moins
• 400ms de plus pour Yahoo et 5% des gens iront chercher ailleurs

Comme c’est un sujet qui me tient à cœur, je vais vous présenter les différents outils et techniques utilisés pour optimiser la vitesse de chargement de son site.

Sommaire

1. Faire le point, faire une série de mesures
   • Pingdom tools
   • Webpagetest
   • Firebug et Yslow
   • D’autres outils
2. Concaténer ces fichiers CSS et Javascripts
3. Compresser vos fichiers
4. Activer le cache
5. Concaténer et compresser vos images
6. Quelques bonnes pratiques
7. Sources

I. Faire le point sur l’état de son site, mesurer la vitesse de chargement.

Avant de commencer à modifier son site pour le rendre plus rapide, il faut faire le point, observer ce qui rend le site lent et effectuer une série de mesures. Pour cela il existe énormément d’outils, certains sont en ligne (donc indépendant de notre connexion internet) et d’autres se présentent sous forme de plugins pour Firefox.

Pingdom Tools :

Pingdom tools est un service en ligne qui permet de voir l’ensemble des requêtes effectués afin de voir le temps que mets chaque fichier de votre site (css, javascript, image) à se télécharger. Ci-dessous une partie du graphique renvoyé par Pingdom Tools pour tutoriels-video.fr.

Ce graphique est simple à exploiter : il faut observer le nombre de fichiers qui se téléchargent, voir ceux que l’on peut supprimer ou les fichiers que l’on peut réunir (concaténer pour diminuer le nombre de requêtes).
Ensuite, il faut regarder les fichiers qui mettent du temps à se télécharger et voir s’ils ne bloquent pas les autres (cas typique des fichiers javascripts).

Cet outil donne également d’autres informations intéressantes comme le temps de chargement, le nombre de fichiers ainsi que leurs poids et le nombre de redirections.

Webpagetest

Webpagetest est un autre outil en ligne, similaire à pingdom Tools, mais en plus complet. À la différence de pingdom, il charge le site 2 fois, ceci afin de tester le système de cache (le second chargement devrait  prendre moins de temps). De plus, ce système vous attribue des notes à l’américaine sur certain critères :

Vous retrouvez le graphique « Waterfall » qui permet de voir tous les fichiers utilisés sur votre page et vous avez également un second graphique qui indique ce qui peut être optimisé.

Firebug + Yslow

Firebug est un plugin pour Firefox très connu des développeurs web, car il permet de gagner un temps fou, mais il possède aussi un onglet réseau qui donne le même type de graphique que le site présenté précédemment (à l’exception que la qualité de votre connexion internet est prise en compte !).
Quant à Yslow (Why slow ?) c’est un plugin pour Firebug développer par Yahoo qui permet de diagnostiquer votre site Web, il donne  un score sur 100 et une note à l’américaine (A -> F). Ce qui est bien avec cet outil, c’est qu’il précise, point par point, ce qui peut être optimiser et fournit des tutoriels.
Lorsque vous avez installé Firebug, activé l’onglet réseau en cliquant sur la flèche et recharger votre page (F5). Vous devez avoir quelque chose similaire à cette capture :

Ce résultat s’interprète de la même manière que pour Pingdom Tools, à l’exception qu’il dépend de la qualité de votre connexion internet (ça reflète plus la réalité, tout le monde n’a pas un serveur avec une connexion de 100 Mega).
Sur la droite de la barre d’onglet de Firebug apparaît l’extension Yslow qui est bien plus intéressante ! Cliquez sur Yslow puis Run Test (si ça ne fonctionne pas rafraîchissez la page avec F5). Vous devez avoir un écran similaire à ci-dessous (à l’exception du score ) :

Si vous avez une mauvaise note c’est normal ! (la première fois que j’ai lancé le test j’ai eu un F). Vous pouvez changer les règles en cliquant sur la liste déroulante « rulesets« , vous pouvez choisir « Small site » qui est moins exigent.
Normalement vous devrez voir plusieurs catégories d’erreurs avec une note de A à F pour chacune d’entres elles. Si vous cliquez sur l’erreur, vous devez avoir une petite explication et avec un peu de chance de la documentation pour expliquer comment y remédier. Dans le cas contraire, ce billet est fait pour ça ;).

D’autres outils

Comme tous les outils ce ressemble un peu je ne vais pas tous les décrire, mais voici une petite liste non exhaustive :

• Page speed : l’équivalent de Yslow développé par Google (je vous le recommande)
• Websiteoptimisation : Même genre que pingdom
• Webwait : Fait une moyenne sur X chargements
• Site-Perf : Encore un équivalent de pingdom

II. Concaténer ces fichiers CSS et Javascripts

Après avoir fait une série de mesures, il est grand temps de commencer à optimiser le site !  Si on se base sur l’outils Yslow de Yahoo, le premier point à améliorer c’est « Make fewer HTTP requests« . Il faut réduire le nombre de composant (fichiers) sur une page afin de réduire le nombre de requêtes pour créer le rendu de la page. Et moins il y a de requêtes, plus la page se charge vite ! Ça revient à réduire le nombre de ligne que l’on voit sur des outils comme Pingdom Tools ou l’onglet réseau de firebug.

Un bon moyen de réduire le nombre de requêtes faites au serveur est de concaténer les fichiers de même type ensemble. Plutôt que d’avoir 5 fichiers javascripts différents, provoquant 5 requêtes HTTP , il vaut mieux avoir un gros fichier javascript qui les fusionne tous. Même choses pour les fichiers CSS et les images (même si avec les images c’est plus compliqué, on y reviendra plus tard).

Vous pouvez le faire manuellement en copiant/collant tous vos scripts dans un seul fichier, mais prenez garde aux éventuelles bugs que ça peut causer (et garder toujours les fichiers JS séparer à porter de main, c’est toujours pratique). Si vous utilisez un CMS comme WordPress, il existe des plugins qui gèrent cela tous seul et s’occupe de réunir les différents fichiers externes automatiquement : c’est WP-Minify.

III. Compresser vos fichiers

Il faut également réduire le poids de vos pages web et pour cela compresser vos fichiers. Très souvent, les fichiers javascripts et CSS possèdent des espaces blancs et des commentaires (utile pour la lisibilité du codeur), mais ça prend de la place.

Une méthode simple pour compresser tous vos fichier html, css et javascript est d’utiliser Gzip. Gzip est un logiciel libre de compression qui est généralement installé sur Apache. Pour l’utiliser, il faut créer un fichier .htaccess à la racine de votre site web avec ces règles dedans :

<filesmatch ".(php|html|css|js)$">
SetOutputFilter DEFLATE
</filesmatch>

La première ligne indique quels types de fichiers doivent être compressés (surtout les CSS et javascript qui peuvent atteindre des taux de compression de 90% mais attention : pas d’images !!). La seconde ligne indique au navigateur que les fichiers devront être décompressés.
Si vous avez fait les manipulations correctement Yslow devrait vous donner une meilleure note pour « compress components with gzip » et vous devez ressentir la différence sur la bande passante.

IV. Activer le cache

Le cache est une fonctionnalité qui évite au navigateur de télécharger 2 fois le même fichier afin d’accélérer le temps de chargement des pages. Par exemple, si toutes les pages de votre site possède un logo identique, en naviguant de page en page vous n’allez pas re-télécharger cette image à chaque fois. Encore une fois on passe par un bout de code que l’on place dans un fichier .htaccess à la racine du site :

<ifmodule mod_expires.c>
<filesmatch ".(jpg|jpeg|png|gif|js|css|swf|ico)$">
ExpiresActive on
ExpiresDefault "access plus 1 months"
</filesmatch>
</ifmodule>

La première ligne test si le mode expires est bien activé et disponible. La seconde ligne précise les fichiers que l’on souhaite mettre en cache, la 3ème active le cache et la 4ème donne une date d’expiration (les fichiers ayant été téléchargé il y a plus d’un mois devront être re-télécharger).
Encore une fois vous pouvez vérifier vos manipulations en regardant sur Yslow dans la catégorie « Add expires headers » ou sur Webpagetest le « Repeat View » devrait être meilleure.

V. Concaténer et compresser vos images

Il est évident qu’il faut correctement compresser ces images sur le web et utiliser des formats adaptés comme le png, jpg (voir le gif, parfois intéressant). Je ne vais pas revenir là-dessus, mais depuis peu j’ai découvert un outils qui permet de réduire la taille de vos images sans en altérer la qualité. Cet outil c’est Smush.it et c’est developpé par Yahoo (donc du solide). Je ne sais pas trop comment ça fonctionne (apparemment en enlevant des méta-données), mais ça permet de réduire la taille de vos images de 10 à 20% en moyenne.
Ce qui est génial, c’est que Yslow a intégré Smush.it et vous pouvez réduire la taille de l’ensemble des images d’une page en un clic ! Ça se passe dans l’onglet Tools de Yslow, comme on dit en anglais « A picture is worth a thousand words » :

Si vous utilisez un CMS comme WordPress, sachez qu’il existe un plugin wp smush.it qui permet de compresser vos images automatiquement lors de l’upload. Vous pouvez également compressés les images datant d’avant l’installation du plugin en allant dans la bibliothèques des médias.

Compresser c’est bien, mais ça ne suffit pas ! De la même manière que pour les fichiers Javascript et CSS on peut concaténer les images que l’on utilise dans les propriétés background en CSS. C’est à dire qu’à la place d’avoir plusieurs images pour plusieurs background, on les réunit toutes en une « super image » (un sprite) et on utilise la propriété background position pour afficher une partie de ce sprite. Je ne vais pas rentrer dans les détails dans ce billet, je vous renvois sur mon tutoriel : comment utiliser les sprites.

VI. Quelques bonnes pratiques

J’ai bien détaillés les techniques les plus utilisés et performante, cependant pour avoir un site rapide il faut y faire attention tous les jours, voici quelques bonnes habitudes à prendre :

• Placer le code CSS en haut de votre page et éviter de mélanger du code CSS dans le code HTML
• En revanche placer vos fichiers javascripts en bas de page, car ils bloquent le chargement des autres éléments
• Réduisez les dimensions des images publiées, évitez de prendre des images trop grandes que vous réduisez en utilisant du CSS
• Évitez au maximum les inclusions de scripts externes tels que les boutons « Like » de Facebook ou Twitter
• Utilisez un autre domaine pour héberger les images, vous augmenterez le nombre de téléchargement en parallèle sur votre navigateur
• Faites très attention aux erreurs 404 qui coûte cher, faites en la chasse !
• Si vous utilisez WordPress, n’oubliez pas d’utiliser le plugin wp-super-cache

VII. Quelques liens et sources

• Une conférence d’Eric Daspet sur les performances web (vidéo)
• Une autre conférence (vidéo) de ParisWeb
• Le blog d’eric daspet

J’espère que ce billet vous aura plus, si vous avez des questions ou des nouvelles méthodes n’hésitez pas à intervenir en postant un commentaire .

(Image à la une : Speeding car)

Cet article Quelques astuces pour rendre votre site internet plus rapide est apparu en premier sur Tutoriels-Video.

La plupart des gros sites utilisent ce concept pour des raisons d’optimisations, voici quelques exemples provenant de google, facebook et youtube :

Voici le tutoriel vidéo suivi de quelques explications supplémentaires, suivi du code utilisé :

En résumé voici les idées essentielles de ce tutoriel :

• Ne pas négliger l’image et être le plus précis possible. S’il y a des décalages de quelques pixels dans l’image, ça se répercutera sur votre site. Pour cela vous pouvez utiliser des guides(comme ça) dans photoshop ou the Gimp (accessible en affichant les règles).
• On appelle également les sprites des portes coulissantes. Ce nom résume bien le concept, ce n’est qu’une question de math et de décalage (c’est d’ailleurs pour cela que les valeurs sont négatives).
• Les sprites permettent d’avoir un site plus rapide et d’éviter le phénomène de scintillement, car une seule image est utilisé.
• De manière générale une image sprite pèsera moins que la somme de l’ensemble des images prises à part (les méta-données n’étant pas répétés).
• N’oubliez pas de mettre un id sur chaque élément distinct du menu. Vous pouvez faire plus simple en créant un sprite avec 2 images : un background normal et un background au survol puis en affichant le texte par-dessus (« effet bouton web 2.0 »).
• N’oubliez d’adapter le code CSS avec votre sprite, dans la vidéo j’avais des images de 32×32 px mais ce n’est pas toujours le cas !! (j’anticipe les problèmes via les commentaires)

Voici les codes utilisés dans la vidéo ainsi que sur la page de démonstration :

Le menu en HTML :

<ul class="menu">
	<li><a href="#" title="Test 1" id="yt"><span>Texte 1</span></a></li>
	<li><a href="#" title="Test 2" id="rss"><span>Texte 2</span></a></li>
	<li><a href="#" title="Test 3" id="fb"><span>Texte 3</span></a></li>
	<li><a href="#" title="Test 4" id="tw"><span>Texte 4</span></a></li>
</ul>

Le code CSS qui va avec :

.menu{width:248px; margin:auto; list-style:none;}
	.menu li{float:left; margin:0px 30px 0 0;}
	.menu a{text-indent:-5999px;}
	.menu span{display:block; width:32px; height:32px;} 
	
	.menu #yt span {background:url('sprite-tuto.png') 0 0 no-repeat;}
	.menu #yt span:hover {background:url('sprite-tuto.png') 0 -32px no-repeat;}
	.menu #rss span {background:url('sprite-tuto.png') -32px 0 no-repeat;}
	.menu #rss span:hover {background:url('sprite-tuto.png') -32px -32px no-repeat;}
	.menu #fb span {background:url('sprite-tuto.png') -64px 0 no-repeat;}
	.menu #fb span:hover {background:url('sprite-tuto.png') -64px -32px no-repeat;}
	.menu #tw span {background:url('sprite-tuto.png') -96px 0 no-repeat;}
	.menu #tw span:hover {background:url('sprite-tuto.png') -96px -32px no-repeat;

N’hésitez pas à poser des questions, mais n’oubliez pas de faire une petite recherche sur Google avant et puis vous pouvez rejoindre la page facebook ça me fera plaisir !

(Image à la une : photomontage à partir du sprite CSS des emoji)

Cet article Comment utiliser les sprites CSS est apparu en premier sur Tutoriels-Video.

Le principe pour personnaliser son FTP est très simple et il se fait en 2 grandes étapes :

1. On crée ces fichiers header et footer qui contiennent le design de l’entête et du pied de page
2. On affecte à chaque type de fichier (.pdf, .avi et j’en passe) une image plus jolie que celle par défaut mais aussi une description.

Voici la vidéo qui détaille principalement la seconde étapes.

# On précise le chemin de l'entete et footer
HeaderName /tutoriel/ftp/header.htm
ReadmeName /tutoriel/ftp/footer.htm

# On cache certains fichier et le dossier Images
IndexIgnore .htaccess footer.htm header.htm /tutoriel/ftp/Images
# On donne quelques options : taille automatique, dimensions des icones
# mettre les dossiers en premier et ne pas tenir compte de la casse
IndexOptions SuppressHTMLPreamble FancyIndexing NameWidth=* DescriptionWidth=* IconWidth=32 IconHeight=32 FoldersFirst IgnoreCase
IndexOrderDefault Ascending Description

# On personnalise l'icone et la description pour les fichiers pdf
AddIcon (IMG,/tutoriel/ftp/Images/pdf.png) .pdf .PDF
AddDescription "Document Adobe PDF" *.pdf *.PDF

# Cas particulier du dossier parent (revenir en arrière)
AddIcon (PAR,/tutoriel/ftp/Images/back.png) ..
AddDescription "Revenir en arrière" ..

# Cas particulier des dossiers
AddIcon (DIR,/tutoriel/ftp/Images/folder.png) ^^DIRECTORY^^
AddDescription "Répertoire" */

# Pour les extensions inconnus, une image par défaut
DefaultIcon /tutoriel/ftp/Images/unknow.png