Installation d’un serveur Linux Debian

debian1

Dans cet article, je pars d’une installation Debian 5.0 Lenny de base livrée par OVH (pour choisir la distribution Linux commandée chez OVH, je me suis basé sur cette page). Je décrie les étapes de l’installation des  packages complémentaires afin de disposer de Apache, MySQL, PHP, Java et Tomcat. Ceci peut vous intéresser, mais c’est également un aide mémoire pour moi-même. C’est un peu technique, mais je n’entre pas dans les détails.

Les commandes qui sont indiquées doivent être exécutées sous le compte root ou en mode avec sudo (on va voir sudo plus loin).

Mettre à jour le repository Apt

Apt, c’est l’outil qui permet d’installer des packages. Un logiciel est constitué de un ou plusieurs packages et peut être dépendant d’autres packages. Les dépendances entre packages sont gérées par la technologie de distribution par package. La mise à jour en question a pour but de mettre à jour la liste des packages disponibles.

Pour éviter que les futurs installation de packages demande l’insertion du CRDOM, on édite le fichier listant les sources de packages (/etc/apt/sources.list) afin de supprimer le CDROM comme source. Pour cela, il faut mettre en commentaire avec vi mettre la ligne qui commence par « deb cdrom: ». On met un « # » en début de ligne.

Installation du serveur OpenSSH

Afin de pouvoir se connecter en SSH sur le serveur, il faut installer OpenSSH.

Création de l’utilisateur « dominique »

Installer sudo

sudo permet d’exécuter des commandes comme utilisateur root sans être connecté sous le compte root.

Déclarer l’utilisateur dominique dans sudo en ajoutant la ligne suivante dans « /etc/sudoer« 

Redémarrer sudo

à partir de là, tout se fait si possible sous le compte « dominique » (et utilisation de sudo pour les actions necessitants les droits root).

Augmentation des limites systèmes (optionnel)

Pour mes besoins j’ai besoin d’augmenter certaines limites systèmes. Cela se fait en éditant le fichier  /etc/security/limits.conf

Personnellement, j’y ajoute les lignes suivantes :

Installation de apache2.2

J’installe Apache et l’intégration avec PHP 5

Activer le mode rewrite

Installation de mysql server 5.0

J’installe mysql avec les librairies pour PHP 5.

Installation php5

J’ai besoin de PHP 5 et quelques librairies complémentaires (curl par exemple pour appeler des web services en http, mysql, PEAR, …).

Installation et mise à jour de PHP PEAR

Puis installation de quelques modules Pear

Installation d’un JDK

On peut soit installer openJDK 6 ou Sun JDK 6

openJDK

Sun JDK

On commence par télécharger sur le site de sun la documentation en anglais du JDK (http://www.oracle.com/technetwork/java/javase/downloads/index.html). La dernière version disponible du fichier au moment ou j’écris ces lignes est : jdk-6u21-docs.zip

Il faut copier se fichier dans le répertoire /tmp du serveur mais en le renommant jdk-6u12-docs.zip (version actuelle du JDK sun fournie par les repositories Debian).

Sans ce pré-requis, l’installation est stoppée.

Installation de tomcat 5.5

Installation de lftp

lftp est un client ftp qui sera utile pour mettre les sauvegardes sur le serveur FTP mis a disposition par OVH.

Paramétrage de apache

Copier le fichier de configuration de mon virtualhost dans « /etc/apache2/site-available« ,
activer le site et relancer Apache.

Paramétrage Tomcat

Dans /var/lib/tomcat5.5/conf/server.xml, modifier le connecteur non-SSL pour y ajouter l’attribut « URIEncoding= »UTF-8″ »

Sous Debian, Tomcat est très sécurisé. Une autre manière radicale de passer outre cette sécurisation est de la désactiver dans le fichier « /etc/init.d/tomcat5.5 », en indiquant :

Par contre, je ne me permet ceci parce que je n’autorise l’acces à mon serveur Tomcat que localement. Dans /var/lib/tomcat5.5/conf/server.xml, j’ajoute une définition de valve au niveau engine :

Je change également le fichier « /etc/init.d/tomcat5.5 » pour lui indiquer le bon timezone et augmenter ses ressources mémoires. Editer le fichier « /etc/init.d/tomcat5.5 », trouver la ligne encadrée par « if [ -z « $CATALINA_OPTS » ]; then » et « fi », et modifiez la comme ceci.

Relancer tomcat

A partir de là, on dispose d’une configuration de base Debian Etch. le serveur est opérationnel.

Installer le compilateur GCC et l’outil make

Installer ntpdate

sudo apt-get install ntpdate

Pour mettre à l’heure en utilisant le serveur de temps de l’observatoire de Paris

/usr/sbin/ntpdate ntp-p1.obspm.fr

Dans la crontab ajouter la ligne suivante afin de synchroniser l’heure tous les matins à 3h

0 3 * * * root /usr/sbin/ntpdate ntp-p1.obspm.fr >/dev/null

Installer fail2ban

En fonctionnement, un serveur s’expose à des attaques. Fail2ban permet de se protéger contre les attaques de masse sur certains ports TCP ou UDP en attente de connexion. Le premier protocole à protéger (le seul exposé à la livraison du serveur lorsque qu’il n’y a pas de logiciel complémentaire installé) est ssh. Ssh permet de prendre la main sur un serveur à distance. Mais si on connaît le port d’attente (22 par défaut) et le mot de passe root, on peut tout faire sur le serveur. Fail2ban scrute les logs des services en attente de connexion pour déterminer si une attaque est en cours et si donc il doit bloquer l’adresse IP de l’attaquant.

dans « /etc/fail2ban/jail.conf », j’ajout mon ip perso dans les ip a ignorer

ignoreip = 127.0.0.1 82.xxx.xxx.xxx

redémarrage de fail2ban

Mise en place de règles de filtrage d’ip

Pour l’instant, il n’y a que ssh comme service sensible. Il est traiter par Fail2ban.
Avec iptables, j’ajoute des règles pour éviter des attaques par ping. J’autorise le ping depuis le serveur lui même, mon adresse IP perso et par les serveurs OVH (pour le support entre autre). Je fais un script pour ajouter les règles avec iptables.

set-iptables.sh contient :

"iptables -L" permet de lister les règles en place après l’exécution du script.

Il faut faire attention de ne pas bloquer ssh avec ces règles, sinon on ne peut plus prendre la main sur le serveur et il faut lancer le procédure de réinstallation du serveur (pas cool).

3 Commentairess

  1. janiszewski eric 6 mars 2011
  2. kemenec 4 octobre 2011
  3. admin 4 octobre 2011

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *